𝙏𝙂 · 𝙎𝙀𝘾

🏳️ @TGSEC - 《实战经验技巧分享》 前言： 首先在运行Claude Code的时候比如使用高级模型例如 Opus5 会遭到Cyber提示，以及一些拒绝，或者是根本不进行工作。 小技巧如下： 先了解Claude Code的优先级 Claude.md 项目指令文件，全局级。 我们在审计的过程中肯定不单Ai去审计，都会开启子Agent进行操作。 但是子Agent取决于主页面控制，相当于： Claude.md 👉 主运行进程 👉子Agent进程。 这时候呢，我们在Claude.md中加策略为： # 子 Agent 模型切换 - Agent 工具的 `model` 参数只支持别名（sonnet/opus/haiku/fable），无法区分同系列版本（如 Opus 4.6 vs 5） - 需要指定模型版本时，用 .claude/agents/ 下的自定义 Agent 定义文件，通过 subagent_type 调用 - 当前可用：`subagent_type:"opus5"` → Claude Opus 5 代表着，子Agent保持Opus5去执行任务。 —— @TGSEC

🏳️ @TGSEC - 《小国从0到1 拆解基础AI渗透》 ✅基础： 古法渗透以及SRC教育课程中，首先基础是抓包，亦或者是F12查看Cookie或者是查看JWT，推荐是使用Burpsuite、Yakit，这种基础方便上手的，当然这是你学会渗透的第一步，往后的每一个篇章都逐一拆解，直到所有人都学会为止。 一、首先学会认识几个点 常见请求方式： POST： 提交 GET：获取 PUT：更新 DELETE：删除 PATCH：部分更新 常见状态码： 1XX：100、101 服务器收到了你的请求 2XX：200、204等请求成功 3XX：301 、302等重定向 4XX：400、403、404等服务返回错误 5XX：500、501等服务器错误 ✅最常遇到的状态码 • 200 → 成功 • 301 / 302 → 重定向 • 304 → 缓存命中 • 400 → 参数错误 • 401 → 未登录 • 403 → 没权限 • 404 → 页面/资源不存在 • 500 → 服务器报错 • 502 / 503 / 504 → 服务器或网关问题 常见认证方式： 1.Cookie+Session 2.JWT 其余认证方式： Oauth2.0、APIKEY等。 ✅常见抓包姿势： 1.BurpSuite、Yakit： ⚠️网络自取教程 2.F12: 步骤： 1. 打开 Chrome / Edge / Firefox 2. 按 F12 或右键 → 检查 3. 切换到 Network（网络） 面板 4. 刷新页面或操作一下 5. 就能看到所有请求（包括请求头、响应、Cookie、JWT 等） ✅常见漏洞TOP10（不是必需学会，但是你需要在适当的位置想到对应的漏洞）： 1.越权，未授权，权限绕过，SSRF。 2.云存储开放。 3.SQL注入，命令注入，XSS三种类型。 4.弱口令，弱密钥，弱密码。 其余自行查询OWASP Top10。

🏳️ @TGSEC - 《心态决定命运》 ⭐️其实，很多社区成员，都想让我在直播中讲些什么，指导些什么，但是课程大纲写了一遍又一遍，我发现讲的东西，还是那一套，真正学习的地方，是“心法”以及“经验”。 “心法”： 很多成员，问题就是在于： 没有漏洞怎么办啊！ 挖不到漏洞呀！ 怎么总是不成功？ 等等，诸多问题因素。 导致这些的原因就是，你的心态，因为你的心态，并不是很强大，你面对挫折，面对强大的目标的时候，你第一想法是退缩的，是抗拒的，“没有天赋，那就重复”这句话是在Ai审计的过程中是要强加给自己的，如果你目前处于全职挖洞，那么一定要记住！ “经验”： 经验，往往与你对目标的了解，以及熟练度，一定要多练，多实战，把任务复盘，把知识点了解，总结，Ai渗透是帮助了我们很多，但是，自己的经验，才是你发挥最大程度的主要，无论如何不要放弃持续吸收新知识，有问题就提出，解决，吸收。 —— @TGSEC

🏳️ @TGSEC - 今日分享小Tips： 使用CODEX、Claude进行渗透测试的时候可以包装成CTF进行绕过，这是大家熟知的操作 但是例如codex还是会说不会对授权的站点进行测试，此时可以： 自己起一台服务器绑定一个域名，然后使用nginx进行反代目标网站 然后让codex/claude进行网站验证，例如txt验证，子域名验证，你就可以XXOO了。

🏳️ @TGSEC 社区门槛提升 为促进社区成员学习，以及日常审计私密性，隐私保护，群内日常红包发放，以及成员权益，特此对社区门槛提升，社区高质量成员约540人，付费会员200+，VIP内部3人。 ⭐️社区资格：原388U 现588U （CTF技术入群始终有效） ✨VIP资格：保持3888U 权益查看： https://t.me/tgsec/189 加入社区会获得那些权益？ 1. 促进技能提升，免费知识解答，不定时直播讲解思路，分享审计报告等提升水平的分享。 2.审计成果无法变现，我们来协助，例如：云控账号，肉鸡，各种数据等一切资源变现。 3. @JZGX 小国供需每月一条免费发送资格。 4.小国24小时在线回复解答问题，对接资源。 5.社区不定时美金红包现金红包福利，目前已发送2万美金+

🏳️ @TGSEC 滲透測試的本質就是利用工具以及運氣遊戲，聽懂掌聲👏。

🏳️ @TGSEC 温馨提示🔔 TeleGram近期杀熟，交易跑路，担保跑路事件频发，@TGSEC 衷心提醒大家！ 老手，新手，都把电报当许愿的社交场了，自带滤镜觉得高端、大气，以为电报上的人，无所不能来上面找发财商机呢  幻想一夜报富，最后才发现自己才是猎物，大家共勉，注意防骗 去掉任何滤镜，回归本质 。