2026-11-04 00:49:05 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【AI赋能案例分享-25】AI辅助+人工分析简直太过完美！

原创

low洞百出
low洞百出

low洞百出

2026年11月2日 16:00
湖南

去阅读

免责声明：本公众号分享的日常渗透测试、网络安全及 SRC 漏洞挖掘相关文章，内容仅供学习交流与技术研究参考。严禁将文中技术、方法用于任何非法入侵、未授权测试、数据窃取等违法违规行为。若因擅自使用文章内容开展非法操作或传播文章，所引发的一切法律责任与经济损失，均由使用者自行承担，与本公众号及作者无关。如有内容侵权，请及时联系处理。

前言

最近有段时间没更新了，原因也很简单：AI 对行业的冲击确实肉眼可见。自己也在用 AI 辅助测试，能明显感受到它的强大——强到有时候会觉得自己的方法在 AI 面前平平无奇，更新的欲望自然就淡了。

但换个角度想，AI 的发展已经势不可挡，与其焦虑，不如快速适应、融入日常工作和生活，享受它带来的便利。这篇文章就是一个很好的例子：AI 负责\"广撒网\"，人工负责\"收网\"。

案例分享

此次案例分享也是测试过程中碰到的一个比较隐蔽的漏洞，首先站点就经过了大大小小n次hw了，加上平常也是测试了很多次，并没有发现有什么。

也是想着这次直接上AI跑一下看看

结果AI酷酷一顿造，一个漏洞没测出来。

也是得亏没有直接看测试结果就不管了，人工注意到AI测试过程中发现了一处接口存在sql报错。

GET /api/xxx/query HTTP/1.1Host: target.example.comUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)Accept: application/jsonConnection: close

去手动验证了一下直接get请求访问一下接口发现直接就是sql报错，就很奇怪

POST /api/xxx/query HTTP/1.1Host: target.example.comUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)Content-Type: application/jsonContent-Length: 26Connection: close
{}

感觉真有sql注入问题，但是目前什么参数都没传就报错了，直接让AI分析一下报错信息，接口是请求体缺少参数大概是要传入id值之类的数据去查询，直接传入参数id也还是不对，一直报错，不管传入不对的参数还是不传参数都报错

POST /api/xxx/query HTTP/1.1Host: target.example.comUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)Content-Type: application/jsonContent-Length: 26Connection: close
{\"id\":\"1\"}

最后也是通过分析报错信息+fuzz模糊测试出参数identitys

POST /api/xxx/query HTTP/1.1Host: target.example.comUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)Content-Type: application/jsonContent-Length: 26Connection: close
{\"identitys\":\"\"}

果然参数正确，接口就不报错了,直接返回成功

HTTP/1.1 200 OKContent-Type: application/json;charset=UTF-8Content-Length: 158Connection: close
{  \"code\": 200,  \"message\": \"success\",  \"data\": {  }}

测试一波sql注入，事实证明接口确实是存在注入，后续也就是直接报错注入，常规测试了。

后续人工回过头来看了一下该接口，发现AI确实是不简单。

首先就是这个接口手工压根就没找到，后续也是直接问AI如何一步一步找到该隐藏接口的，不得不说AI对js的挖掘与分析真的是又仔细又深入。

但是AI也有局限：接口无论怎么访问都持续 SQL 报错，AI 虽然做了注入测试，却因为参数始终不对，注入点一直出不来，最终还是需要人工介入分析。