# 技能进化日志

> 记录每一次对已有技能文件的改进操作。
> 格式: `YYYY-MM-DD | 技能 | 文件 | 操作类型 | 变更摘要 | 来源`

---

| 日期 | 技能 | 目标文件 | 操作 | 变更摘要 | 来源技术ID |
|------|------|---------|------|---------|-----------|
| 2026-06-05 | SecSkills-main | references/web-xss.md | ➕ 追加 | §10 实战XSS绕过进阶技巧: 标签事件/空格绕过/引号绕过/关键字绕过/括号绕过/SVG/伪协议/长度限制/反射点闭合(9个子节) | 公众号XSS文章×2 |
| 2026-06-05 | SecSkills-main | references/web-upload.md | ➕ 追加 | §10 实战WAF绕过进阶技巧: Webshell混淆/图片马高级制作/内容混淆/双后缀/Windows特性(5个子节) | 公众号文件上传文章 |
| 2026-06-05 | SecSkills-main | references/web-captcha.md | 📌 新增 | 全新文件: 图形验证码6种+短信验证码8种+绕过技巧6种+逻辑漏洞+检查清单(5个章节) | 公众号验证码渗透文章 |
| 2026-06-05 | SecSkills-main | SKILL.md | 🔄 待更新 | 导航索引增加验证码渗透引用 → `references/web-captcha.md` | — |
| 2026-06-05 | skill-evolver | references/false-positives.db.md | 📌 新增 | 5条负向反馈学习: JS硬编码不可用→不报/共享数据≠IDOR/JWT可解码≠漏洞/路径泄露无危害→不报/OCR验证码→确认漏洞 | 实战反馈 |
| 2026-06-05 | SecSkills-main | references/web-auth-logic.md | ✏️ 修正 | IDOR检测规则: 必须先确认数据归属模型(共享池vs用户私有)，避免将平台共享数据误判为越权 | FP-002 |
| 2026-06-05 | SecSkills-main | references/web-sqli.md | ✏️ 修正 | 移除 DROP TABLE payload，改为 SLEEP(2) 无破坏性验证 | 安全红线 |

---

## 操作类型说明

| 操作 | 含义 |
|------|------|
| `📌 新增` | 在目标文件中创建新章节 |
| `➕ 追加` | 在现有章节中追加新内容 |
| `✏️ 修正` | 修正错误或过时的内容 |
| `🔄 更新` | 扩展现有内容但不改变结构 |
| `🔀 合并` | 多个技术合并为一张表格 |
| `⬆️ 提权` | 将已验证技术移至更显眼位置 |

---

*最后进化: 2026-06-05 | 总改进次数: 7*
