文章总结： 安艺圈是一个安全领域的付费圈子，提供SRC漏洞挖掘、工具优化、代码审计等内容，作者在SRC方面有显著成就（猎聘和蔚来汽车SRC总榜第一）。圈子主要分享SRC实战案例、burp插件规则、密码字典，以及dddd工具优化（指纹POC优化、bug修复）、leak-info-finder工具（自动化爬取接口和敏感数据识别）、JAVA代码审计学习记录等。目前已吸引近百位师傅加入，计划将审计0day集成于dddd工具中。
综合评分： 87
文章分类： SRC活动,漏洞分析,WEB安全,代码审计,安全工具
安艺圈值得的
原创
安全艺术
安全艺术
2025年12月5日 08:18
北京
依然记得那是在今年G护开始前的午夜时分，与一位曾经的老友闲聊说要搞个小圈子，他分享他写的工具Fine，我分享一些漏洞挖掘技巧之类的，有点一文一武的感觉。安艺圈就这样马马虎虎上线了。从开始分享SRC漏洞挖掘和dddd工具优化，到现在的代码审计，再到老友工具即将全部开源，最后只剩我独自坚持着。精力投入越来越多，圈子内容也越来越丰富，也是吸引了近百位师傅加入。但是回过头来发现还没有给这个圈子正式写过一些介绍呢，虽然圈子中做的事情没那么高大上，但贵在一步步坚持搞下来了，也算小有成就。深思熟虑后还是正式写一个介绍吧，安艺圈值得的。
1. 适用对象
安艺圈目前做的事情：
1、SRC和HVV相关内容（分享SRC和HVV实战案例、burp插件规则和实战密码字典等内容）；
2、dddd原版bug和指纹POC优化（随时更新），leak-info-finder接口自动化爬取加自动敏感数据识别工具；
3、JAVA代码审计2025年最新版学习记录分享（价值999元，投资自己造福圈友，一口气卷了半个多月了）；
4、CNVD大型央国企事件型高危证书挖掘案例（包含资产收集、漏洞挖掘和漏洞提交完整过程）；
5、网络空间测绘Key共享，目前已上线Quake永久会员Key(每月25号更新10万查询额度)；
6、针对dddd扫出来的重点指纹和漏洞编写对应的漏洞利用手册。
计划中：
审计0day集成于dddd中。
2. SRC挖掘
目前SRC小成绩：猎聘和蔚来汽车SRC总榜第一，WPS、自如和货拉拉等多家SRC年榜前十。
圈子中关于SRC的内容全是本人挖的，对以上SRC感兴趣的师傅们可以多多交流：
1、分享个人SRC漏洞挖掘完整过程，包括不限于漏洞挖掘思路、漏洞挖掘完整路径等；
2、分享自用优化的burp插件或规则文件以及实战总结的账号密码字典等文件。
不仅分享案例，挖掘过程中用到的字典和插件规则都可以共享。
3. 工具优化
3.1. dddd
3.1.1. 指纹优化
很多指纹又臭又多，基本没有poc可打，在两年时间里基本都删除了，保证扫描结果更加实用，不用花费精力眼里在无用的指纹上。同时，合并了很多公开的指纹库，也参考学习了很多付费圈子/星球的指纹库，但是合并后会发现每个指纹基本都存在重复内容的，最终还是需要进行去重处理（11253条指纹）。一个表格告诉你合并后每个指纹都至少有2到3个重复。
及时优化指纹误报，减少眼力精力损耗。这也算是一个强迫症患者吧，误报看多了，很影响心情。
3.1.2. 目录指纹
网站目录扫描：这块主要是针对SRC挖掘和HVV项目中碰到的比较多的需要路径信息的指纹进行补充的，新增了很多发现频率非常高的springboot相关的接口信息，并通过指纹信息精准匹配，基本扫到就可以进一步利用。
网站指纹识别：这是圈子上线后来着圈友的需求，网站指纹识别输出，原版是统一输出的，没有任何区别，改版后新增了重点指纹（SRC和HVV漏洞高爆发点）高亮显示。
3.1.3. POC优化（包含代码审计审出来的洞）
近两年时间在原版dddd上新增或优化近1000个POC。主要基于实战进行新增或优化吧，以Nacos和Jeecgboot为例吧。
1、有些Nacos版本需要加入一些特定header头才可以正常访问（回想下自己是不是错过了很多Nacos的洞）。
2、jeecg-boot-jmreport-qurestSql-sqli（添加绕druid防护机制的poc）学习代码审计时看源码审出来的。
以上相关POC都已集成到圈子版的dddd中。我记得有圈友问过优化频率，这么说吧，一般发现问题都会及时优化。主要是我在工作中也一直在用dddd的，再加上具备强迫症，看到误报就想立马修复吧。
3.1.4. 其它bug
POC运行死锁、POC扫描大量重复输出以及web和指纹识别输出大量重复数据等。
3.2. leak-info-finder
主要用来自动化爬取接口信息加自动敏感数据识别的，具体实现如下。
正则匹配敏感信息，如身份证、手机号、密码、ak/sk等。
遍历请求提取的api接口信息。
导出html报告，包含敏感信息接口和敏感信息出现的次数统计。
高亮显示敏感信息。
4. JAVA代码审计
花了999买了代码审计的课程，圈子中也会分享自己的代码审计学习记录（从0到1），代码审计也一直是我的薄弱项，为了提高圈子的质量，花了半个多月时间完完整整的学了遍JAVA代审相关知识，算是有点小入门了。
5. 安艺圈知识库
6. 杂七杂八
- CNVD大型央国企事件型高危证书挖掘案例，包含资产收集、漏洞挖掘和漏洞提交完整过程；
- 网络空间测绘Key共享，目前已上线Quake永久会员Key(每月25号更新10万查询额度)；
- burp插件，如HaE、RouteVulScan等插件实战挖SRC的规则分享；
- 常用字典、资产收集方法和常见漏洞利用方式分享，实用工具推荐等等。
介绍完后，发现圈子投入的精力真的是越来越大，SRC挖掘几乎停摆，希望为了圈子学的代码审计可以在未来的工作或SRC挖掘中诚不欺我吧，最后发现这半个多月确实有点卷啊，不能一直这样，该停下来划划水了。最后的最后，真心欢迎既卷又划收放自如的师傅们加入安艺圈，让我们一起探讨如何通过安艺圈走向安逸的人生吧。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全艺术 安全艺术《安艺圈值得的》