nns

道德黑客与网络安全博客。

通过音频调试服务和厂商 HAL，从不可信应用获取 OnePlus 15 的 root 权限

作者 nns 从 OnePlus 3T 一路用到 OnePlus 15（OxygenOS 16），主动排查固件能否被第三方 APK 拿到 root。结果发现两个可链式利用的独立漏洞，最终实现“无需任何特殊权限的普通 APK → uid 0、具备全部 Linux capabilities”。漏洞链条涉及音频调试服务和厂商 HAL，属于 untrusted_app 提权到完全 root 的干净路径。文章是一手实测 + 漏洞分析，对 Android 安全、移动逆向和 OnePlus 用户都有直接价值，可引发安全圈与工程圈讨论。

收藏6 天前

链式利用 Project Zomboid 多个漏洞，在多人游戏客户端上执行代码

安全研究员在 Project Zomboid 42.20.3 多人游戏组件中发现三个独立漏洞，可串联实现恶意服务器在连接客户端上执行任意代码。实测针对 Build 42 更新后的多人模式，漏洞利用链涉及反序列化、对象注入和命令执行三个环节。项目为开源 Java 游戏，漏洞影响所有连接恶意服务器的玩家。

收藏35 天前

绕过 Sound Blaster 新固件的签名检查

安全研究员深入分析了 Creative 针对 Katana 音箱 BadUSB 漏洞发布的 1.20.260617.1110 固件更新，指出其新的签名检查机制存在缺陷，攻击者仍可绕过防护劫持设备。这对关注硬件安全和 IoT 设备固件验证的技术读者具有直接的参考价值和警示意义。

收藏89 天前

Hacking your PC using your speaker without ever touching it

In my last post (/2026/02/20/katana-v2x-re), I talked about reverse engineering my new Creative Sound Blaster Katana V2X's firmware. What initially started as simply wanting to write a Linux tool for...

收藏119 天前

逆向工程 Creative Katana V2X 条形音箱：在 Linux 上实现自由控制

我最近买了一款Creative Sound Blaster Katana V2X声条（真是个拗口的名字），用来替换我那老旧又廉价的罗技电脑音箱。 这些音箱一直用得挺好的，但听音乐或看电影时，音质却远谈不上最佳。到家后，我将它安装好，才发现它配备了一个USB接口——除了可以作为音频输入使用外， 还能让用户对音箱进行各种设置：调整均衡器、切换不同模式下的LED灯等。 然而，令人遗憾的是，这款产品必须通过（专有的）Creative App才能正常使用。更糟糕的是，它似乎只适用于Windows系统——而我根本不用Windows。 虽然在虚拟机中使用它没问题，但说实话，这可称不上多方便。这让我觉得，这是一个绝佳的机会——去逆向工程专有应用程序、设备和协议，并编写工具来与它们进行通信。

收藏222 天前

用171个字符破解Fossil的ASCII艺术验证码

用代码高尔夫（Code Golf）的方式，把Fossil SCM的ASCII艺术验证码求解器压缩到仅171个字符。作者先逆向工程了验证码的5×7点阵字体，发现只需取第3行和第6行两行数据即可唯一区分全部16个十六进制数字，将35位模式压缩到10位；再通过模运算（%43）和XOR（^293 %21）技巧将查找表从43字符缩到21字符。全程展示了walrus运算符、单字符像素判断、位偏移公式等压缩技法，并附带了每次迭代的代码演变。文章技术细节扎实、思路清晰、有完整的一手实验过程和可复现结果，个人风格鲜明，对代码优化和逆向工程感兴趣的读者吸引力很高。

收藏244 天前

171字符破解Fossil SCM验证码

最近，我偶然发现了一种或许是我见过的最迷人、也最天真的验证码实现方式：提供的基于文本的验证码。它会将十六进制数字转化为 ASCII 图形，并利用 Unicode 字符块中的字符来呈现，然后要求用户输入他们所看到的内容。您可以在找到一个实时示例。69B34B04 看起来是这样的：我立刻想到，不妨试着写一个解码器来玩一玩，但就在这样做的过程中，我又开始思考：这个解码器究竟能做到多小呢？由于我之前从未做过任何代码高尔夫比赛，这似乎是个很好的借口来一试身手。

收藏244 天前

逆向破解联网电动滑板车，意外找到一把能解锁所有同款车的主密钥

电动滑板车公司Äike破产后App停用，车主因车辆无物理开关完全无法启动，于是动手逆向工程BLE蓝牙协议。他不仅成功接管了自家车辆，更意外发现：云端下发的加密切块密钥在所有车辆上相同，掌握此主密钥即可解锁所有Äike及旗下Tuul共享滑板车。文章详细记录了嗅探蓝牙流量、逆向加密算法、提取XOR密钥、破解HMAC认证签名、复现全部登录到控制流程的完整技术路径，并在发现后主动联系厂商披露漏洞，最终选择不公开密钥以防被盗。一个关于物联网所有权困境、硬件锁定风险与极客自救的精彩一手案例，信息密度极高，叙事与技术兼备。

收藏267 天前

绕过dnsmasq dhcp-script限制：配置注入攻击中的命令执行

本文展示了一个实用的 dnsmasq 配置注入攻击新技巧：当网络设备允许用户设置配置选项但编码过滤不严格时，攻击者可通过注入换行符插入任意的 dnsmasq 配置项，进而利用 dhcp-script 选项实现远程命令执行。作者基于自身在分析网络设备安全时的实际发现，详细说明了从选项注入到命令执行的完整攻击链路与绕过思路。内容短小精悍，信息密度高，对从事网络设备安全研究、固件安全分析和渗透测试的人员有直接参考价值。

收藏433 天前

When parameterization fails: SQL injection in Nim using parameterized queries

收藏546 天前

在LTE调制解调器里托管博客的四年回顾

四年前作者把个人博客托管在PinePhone的LTE调制解调器上——那个Quectel猫本身就是一个完整的Linux系统，root后就能当服务器用。四年后回顾这场极端DIY实验为何没能持续：一系列或明显或隐蔽的实际问题最终让这个有趣的项目无疾而终。不是一篇技术奇闻，而是一份第一手的嵌入式极限压榨踩坑记录，对了解LTE猫的底层能力边界、真实运行限制以及非常规建站方案有直接参考价值。

收藏547 天前

参数化查询失效：Nim 标准库 db_postgres 模块存在 SQL 注入漏洞

作者发现 Nim 标准库 db_postgres 模块在特定配置（禁用 standard_conforming_strings 的旧版 PostgreSQL）下，参数化查询仍存在 SQL 注入风险。这不是理论推测，而是基于实际测试发现的安全漏洞披露，对 Nim 后端开发者有直接警示意义。

收藏551 天前

符号链接挂载点攻击：利用MikroTik RouterOS容器挂载漏洞实现宿主机代码执行

安全研究员披露了MikroTik RouterOS 7.4beta4引入容器功能后的一处严重实现缺陷：通过符号链接（symlink）作为挂载门户，可从容器内部逃逸至宿主机执行任意代码。文章详细拆解了容器挂载点的设计漏洞，演示了如何利用Linux符号链接特性绕过隔离限制。这是一篇有明确技术发现、完整复现路径的一手安全研究，对使用MikroTik设备的企业网络管理员和渗透测试人员具有直接参考价值。

收藏1517 天前

通过 AT 命令在 Quectel RG500Q-EA 5G 调制解调器上实现 root 级代码执行

作者对 Quectel RG500Q-EA 5G 调制解调器进行安全研究，发现其 OTA 下载流程存在漏洞，攻击者可利用该漏洞在调制解调器上以 root 权限执行命令。这是一项涉及 5G 硬件的实际漏洞发现，对物联网安全和移动设备安全领域的研究者极具参考价值。

收藏1562 天前

不要相信注释

作者提醒：即使是标准库中的代码，也要养成审查第三方代码的习惯。注释可能具有误导性，实际行为和文档描述可能不符。简短但直击要害的安全原则提醒。

收藏1703 天前

通过AT命令在Quectel EG25-G调制解调器上以root权限执行代码

安全研究人员证实，PinePhone等设备常用的Quectel EG25-G调制解调器存在严重OS命令注入漏洞：AT命令解析守护进程大量使用system调用且未充分过滤输入，攻击者可通过发送特制AT命令以root权限在调制解调器上执行任意代码。作者延续此前博客的研究思路，实际验证了自己的猜测，并披露了完整攻击路径。该漏洞直接影响使用该型号调制解调器的移动设备安全性，为硬件安全与嵌入式系统防御提供了重要警示和具体分析素材。

收藏2006 天前

这个博客现在运行在一个 GPS/LTE 调制解调器上

作者不是开玩笑——真的把自己的博客部署到了 Quectel 5G 调制解调器上运行。虽然发布时间是 4 月 1 日，但作者声明这不是愚人节玩笑。这是一篇极客趣味极强的硬件 hack 项目记录，展示了将完整博客塞进嵌入式设备内存的技术挑战与实现思路。

收藏2008 天前

在 RedmiBook 16 上查看和重置 BIOS 密码

作者不小心忘记了 RedmiBook 16 的 BIOS 密码，意外发现从 Linux 系统中可以轻松查看甚至重置 BIOS 密码。这篇文章分享了这个实际踩坑经历和操作细节，对同样忘记 BIOS 密码的 RedmiBook 用户有直接帮助。

收藏2081 天前

修补 ACPI 表，为 RedmiBook 16 开启深度睡眠

作者入手 RedmiBook 16 后发现 Linux 下深度睡眠（S3）失效，于是自己动手排查并修复。通过逆向分析和修补 ACPI 表，最终成功让笔记本进入深度睡眠。这是一篇完整的一手排坑记录，包含具体操作步骤和工具链，对同款设备或有类似 ACPI 问题的 Linux 用户非常有用。

收藏2172 天前

iopshell：用于与IOPSYS设备通信的类Shell应用

安全研究员为演示IOPSYS(Inteno)设备漏洞而自建的工具iopshell正式发布。这是一个类Shell应用，提供与设备后端通信的简便方式，是该研究员系列漏洞披露博文的技术基础设施。工具源码已公开在Git仓库中，对其他从事同款设备安全分析的研究者有直接实用价值。来自一线漏洞挖掘者的真实项目，非营销通稿。

收藏2682 天前

Unsafe firewall includes allowing for remote code execution on Inteno's IOPSYS devices

In Inteno's IOPSYS devices, and very possibly other devices running firewall3 (which is included by default on most OpenWRT-based firmwares), it is possible for an authenticated attacker to abuse fire...

收藏2834 天前

自制密钥生成器，重置海康威视IP摄像头的管理员密码

海康威视IP摄像头强制用户首次登录时修改默认密码12345，看似堵住了弱口令漏洞。但作者通过逆向工程，破解了其密码重置密钥生成算法，开发出可直接运行的密钥生成工具。文章从固件分析入手，详细展示如何提取设备序列号、逆向密钥推导逻辑、最终编写工具代码的完整技术路线。对于忘记密码导致设备被锁的真实用户，这是一份可操作的自救方案；对物联网安全研究者，这是一份一手逆向案例——证明强制密码修改并不能真正阻止有准备的攻击者。

收藏2982 天前

nns