文章总结： 作者回顾2025年安全学习与实战，完成Java代码审计与Go语言学习，研发漏扫引擎获国赛二等奖，参与多次护网及攻防演练。总结在逻辑审计、云原生及攻防经验上的不足，规划2026年开源渗透工具、申请CVE、提升红队能力并持续技术分享。 综合评分： 85 文章分类： 实战经验,代码审计,安全工具,漏洞分析,红队

2025 年终总结

原创

AuroraSEC

AuroraSEC

2025年12月30日 22:23 黑龙江

AuroraSEC · 煤城 写于 2025/12/30

“2025 年结束我想再来一次总结，我的计划有没有完成。” ——去年元旦立下的 flag，今天来还愿。

一、对照去年我立的 Flag：完成度 85%，剩余 15% 写进 2026

| 去年小目标 | 当时措辞 | 2025 落地结果 | 自评 | | — | — | — | — | | 1. 钻研 Java 代码审计 | “今年也想去钻研一下” | 系统学完 Java Web + Spring Boot 源码，能独立审 OWASP Top10；但是反序列化相关链子需要明年进行跟进。 | ★★★★☆ | | 2. 打 SRC 出成绩 | “目标就是 src 打出一些成绩” | 我的漏洞提交量是很少的，现在主要沉浸在攻防对抗上，不过我现在已经具备教育系统冲分能力，只需要时间堆积就行，证书拿下了两个学校的证书。 | ★★★★★ | | 3. 学 Java & Go | “想去认真学习一下 JAVA 和 go 语言” | Go：学习完成并发编程，和朋友Future一起写了漏洞扫描引擎，成果上拿下来A类竞赛两个省一，一个国二；Java：完成 Spring等学习，输出一定笔记。 | ★★★★☆ | | 4. 完善小工具并加 UI | “最好能写一个 UI” | 哈哈，这个鸽了 | ☆ | | 5. 实习 / 护网 | “今年想去实习一下或者护网” | 年初安天、夏季 360 国 hvv，累计 5 个月一线实战。 | ★★★★★ | | 6. CTF 随缘 | “明年的重点也不在此” | 一场没有参加。 | ☆ | | 7. 博客 & 公众号 | “写得完美的感觉可以往公众号发一下” | 全年原创 5篇，个人知识库 N 篇；其中奇安信社区原创两篇。最高一篇14075浏览量，并且均拿到了稿费 | ★★★★☆ |

小结：去年 7 个 flag 兑现了5个，其中 工具开发、实习深度、代码学习超额完成；CTF 主动降级，时间让给研发与审计，取舍无悔。

二、今年最硬的三个“第一次”

第一次拿国赛奖牌

与 Future 联合研发的Go漏扫引擎，拿下 A 类赛事国家二等奖。领奖那一刻，想起 17 届信安我们兄弟四人只能做知识问答，这回真的“不用做冷板凳”了。

第一次收到工资以外的“社区稿费”

把《 CVE-2025-32463 Linux sudo chroot本地提权漏洞分析复现》发到奇安信攻防社区后，收到了稿费打赏。哈哈，“免费分享”也不完全是是“零收入”，而是“被认可”的另一种循环。

第一次打攻防演练

参与了一共参与了3次攻防演练，1次重保项目，扮演两次BT，两次RT，学习到一定的项目经验，暴露了我的攻击方经验严重不足，目前在努力补全。

三、仍然磕绊的角落

逻辑漏洞审计：还停在“看功能猜漏洞”阶段，缺乏业务流 + 数据流抽象方法；计划 2026 年完成 2 套开源系统源码通读并画数据流图。

云原生安全：去年 ekkoo 师傅提点过，今年只读到 etcd 未授权访问，K8s 供应链攻击仅停留在概念；2026 再思考再提升。

大模型安全：依旧停留在理论学习阶段，毫无建树

SRC排名：实习几乎占我本年度的一半时间，很遗憾没能刷比较高的排名，今年希望可以拿一个比较不错的排名

四、2026 继续立 Flag（公开处刑版）

开源：预计设计并开源至少两个Go写的渗透测试工具

目标至少有一个能拿到500star，加油

审计：完成 1 次公开 CVE 编号申请（Java 生态），一次CNVD通用高危证书。

攻防演练：预期定位红队方向，补全完成技术栈，达到标准的Rt成员能力。

附加：英语能拿下CET-4

分享：公众号原创 ≥12 篇，奇安信社区投稿 >5 篇。

五、致谢名单（排名不分先后）

保安姐：伟大无需多言，2026，继续向你学习“无偿分享”的底气。。

ekkoo 师傅：我网安生涯的引路人，审计，域渗透教练，明年还想继续跟着师傅学，好好看，好好学，希望我能成长到能帮助到师傅的水平。

Future：明年一起把奖牌升级成“一等”，最佳合伙人，也是最佳“背锅位”。

zock 老师：在学校帮我兜住学业底线，让我放心去 hvv，指导我的项目和竞赛，课本与实战的跷跷板，因为老师您而保持平衡。

利群群U & 我的读者和朋友 & 无数的白帽子黑客们：你们藏在屏幕后面、ID 后面，却让我每一次发文章时，都能瞬间收到成排的“赞”

每天的群聊里，总有人陪我一起畅谈、一起聊工作的琐事、一起看着每天的乐子笑出猪叫。我想你们是我慢慢长路，少有的星火，感谢群友们，把孤独的技术长夜切成碎片，再拼成朝霞。

2025 年，我的 CVE 编号、SRC 排名、国赛奖牌，有一半功劳属于你们的“秒回”和“在线陪调”。 2026 年，我们继续把键盘敲成鼓点，把屏幕刷成烟花—— 让“白帽子”三个字，始终亮成互联网夜空里最温柔的探照灯： 照见漏洞，也照见彼此。

新年愿我们都能 “日挖高危，夜无噩梦； 常得 CVE，永不被律。”

—— 你们的小老弟 AuroraSEC 2025/12/30

煤城 夜

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：AuroraSEC AuroraSEC《2025 年终总结》