進行中
校務系統的安全工作
發現一個能讀到其他學生資料的 IDOR，透過 HITCON ZeroDay 揭露後被電算中心找進去。在授權範圍內補掉一個後門、修了幾個 XSS，也寫了幾支 Python 內部工具。
Burp SuitePython授權範圍內
關於
- 端到端交付
- 前端、後端、部署維運一個人做完。一句一幀、早餐店點餐系統都是這樣上線的。
- 攻防視角
- 在校務系統找到能讀別人資料的 IDOR，透過 HITCON ZeroDay 揭露後進電算中心修補。
- 逆向與自動化
- 把沒有文件的系統摸清楚，變成能用的 API 和工具。Agora-AI 就是這樣來的。
經歷
- 2026 — 現在工讀生學校電算中心
通報漏洞之後進來的。單位的雜事也做，資安則在授權範圍內動手。在這裡才體會到：看得到問題，不代表有權限去動它。
- 2022 — 2024Lead Scripter國際遊戲工作室（Roblox）
全英文環境，跟各地開發者一起寫技能系統、打擊感和 FPS 框架。國中自己摸 Roblox Studio，2022 年開始有人付錢請我寫。
學歷
- 2022 — 2027（預計）台北城市科技大學資訊工程科 五專部
目前四年級。同時在準備 116 特殊選才。
會的東西
都是在上面那些專案裡真的用過的，不是看過教學就列上來。
- 語言
- PythonTypeScriptLua / LuauSQL
- 後端與資料
- FastAPINext.js API RoutesDrizzle ORMSQLite
- 前端
- Next.jsReactTailwind CSS
- 基礎設施
- DockerLinuxOpenWrtCloudflare TunnelProxmoxTailscale
- 資安
- Burp SuiteIDOR / XSS / CSRF負責任揭露WAF / reverse proxy
做過的東西
還在跑的，以及一些已經停了的。
已暫停
Agora-AI ↗
把沒有文件的校務 API 逆向出來，包成 10 個 agent 工具、69 個通過的測試，學生可以直接問「我這週有什麼課」。部署在學校 VM 上。目前暫停，想重新想清楚範圍。
FastAPINext.jsDocker
運作中
一句一幀 ↗
輸入台詞，找到那個畫面。把三個各做各的舊專案併成一套並搬到網頁上。截圖和 GIF 改成用 ffmpeg 即時生成加 LRU cache，圖片儲存從 4 GB 降到 0。
Next.jsEasyOCRffmpeg
開源
早餐店點餐系統 ↗
掃碼用 LINE 登入點餐，下單推 Flex Message 給店主。訂單用狀態機管、SSE 同步進度，並存菜單快照，之後改菜單不會動到歷史訂單。
Next.jsSQLite + DrizzleLINE Bot
