做安全研究没有灵感怎么办？
原创 c0ny1 2025-11-08 14:59 中国香港
获取灵感的小tips
1. 把自己放在问题里
我能清晰的感受到，之前在乙方公司做一线工作的时候，每天都有东西可以去探索有想法要去实现。而后面选择gap的几年时间里，我几乎没有输出过什么文章。
后来我意识到了一线的工作环境每天会抛给你无数的问题。它倒逼我去主动思考解决问题，在解决问题的过程当中我发现了很多有意思的东西。
可是我们无法决定自己的环境，那能否主动创造这样的氛围呢？
如下是我自己在实践的tips
• a. 关注社群/知识星球/朋友的提出的一些疑问，特别关注反复出现的
• b. CTF题目,可以当休闲时间的小玩具
• c. 在日常生活中细微的异常（经常报的错，莫名其妙的崩溃闪退，某些情况下网速异常...）
2. 定期回顾经典漏洞/议题
太阳底下无新事，圣经里的这句话放在漏洞挖掘领域尤为合适。
当我在觉得JumpServer伪随机重置密码漏洞（CVE-2023-42820）使用伪random+密码重置场景很有想象力时，其实早在15年前的CVE-2008-4102已有所体现。
当我在感叹，Zoho ManageEngine ADAudit Plus XXE to RCE（CVE-2022-28219）漏洞作者使用XXE的上传和列目录非常巧妙时，原来Timothy Morgan早在2013年的AppSec USA上提过。
3. 阅读经典设计文档和源码
比如RFC文档,JDK源码,中间件实现等等
Beched曾经好奇orange是怎么知道phar涉及php反序列化的
，orange的回答是阅读php代码。
