白嫖情报收集站

CISA KEV — 已被黑客利用的漏洞目录

美国官方维护，收录的是「已经在野被利用」的漏洞，比普通 CVE 列表更值得先打补丁。

• 是否已被利用进这个目录 = 已经在野被利用 · 这是它和普通 CVE 列表最大的区别，优先级拉满
• 打开先看收录日期、官方给的修复到期日、有没有被勒索软件用过这三列
• 补丁去哪找KEV 本身给厂商链接，顺着去厂商公告下补丁，别在第三方站下「修复包」
• 你怎么用拿你在用的软件 / 路由器 / NAS 型号去目录里搜，搜到同型号就先升级，再看别的

NVD 国家漏洞库

查任意 CVE 编号的严重程度（CVSS）、影响版本和修复方式，认准这个源头。

• 严重程度怎么读CVSS 分数对照：9.0–10 严重 / 7.0–8.9 高 / 4.0–6.9 中 / 0.1–3.9 低（标准分档）；先看分数再看标题，别被二手文章的标题吓
• 影响版本详情页列受影响的产品和版本范围——先对自己的版本号，不在范围内就不用慌
• 补丁入口详情页 References 区找厂商公告 / 补丁链接，这是每条 CVE 的官方修复出处
• 和 KEV 的分工NVD 管「有多严重」，KEV 管「有没有人已经在打」；两个都中 = 马上处理

GitHub Advisory + Exploit-DB

开源组件漏洞看 GitHub Advisory；公开利用代码（仅限自己设备 / 授权测试）看 Exploit-DB。

• Advisory 看什么受影响的包和版本范围、已修复版本号——你的项目 / 工具用了这个包，就升到修复版
• 有没有公开利用Exploit-DB 上能搜到对应编号，说明利用代码已公开，没打补丁的暴露面最危险
• 使用边界只限自己设备 / 授权测试 · 拿公开利用去扫别人的机器是另一回事，站里不教这个

FreeDomains（StackRyze）— 你在用的

后缀：.indevs.in / .sryze.cc / .ryzedns.org / .nx.kg。到期前 60 天起可免费续一年。运营方背景未完全查清，只放不重要的站。

坑：子域名不能单独上免费版 Cloudflare（非 Enterprise 不能建独立 zone），用它自家 NS 做 A / CNAME，或 CNAME 到已托管在 CF 的域名。

• 续期窗口到期前 60 天起可免费续 1 年 · 已核实，别等过期才想起
• 配额上限每账号能注册几个：未核实 · 以面板里实际可注册数量为准
• DNS 支持用它自家 NS 做 A / CNAME 记录；子域名不能单独建免费 CF zone（见上）
• 要不要绑卡未核实 · 注册页没让你付费就别在第三方代注册处留卡信息
• 转让 / 转卖未核实 · 没查到官方转让规则，别买别人转手的号下域名
• 适合放什么运营方背景未完全查清，只放不重要的站，别绑主邮箱 / 主账号找回

DPDNS / DigitalPlat — 本站域名来源

你现在这个 kitwore.dpdns.org 就是走这类免费域名面板。两个域名面板你都在用：DigitalPlat 和 StackRyze，别记混。

• 你要加的解析绑 Pages 就在 DPDNS 面板加一条：主机名 kitwore、类型 CNAME、值 bai-piao-qing-bao.pages.dev，加完等几分钟再打开
• 续期 / 有效期未核实 · 到期日以面板里这个域名显示的为准，看到期提醒就先续，别等解析失效
• 配额上限每账号能领几个：未核实 · 以面板实际可申请数量为准
• DNS 支持本站实际要用的就是 CNAME 指向 Pages；其它记录类型以面板编辑页能选的为准
• 要不要绑卡未核实 · 免费领取流程里让你付费的步骤先停下，回来对官方页面
• 转让 / 转卖未核实 · 这是你主站域名，别经手来路不明的转让号

is-a.dev

GitHub PR 注册，注册已恢复（2026-10 复查）。但要求网站先上线、做完、和开发相关、非商业，还要填完整 PR 模板 + 预览截图，人工审核。你已评价：太麻烦——列在这只作备选。

• 续期 / 有效期没有到期和续期 · 已核实；只有违规才会被移除
• 配额上限官方维护者说法是每 GitHub 账号没有数量上限，一个网站提一个 PR；例外：单字母域名每人限 1 个 · 已核实
• 申请门槛网站必须先上线且做完（不能是 Hello World 空壳）、开发相关、非商业（不能有定价 / 商业页）
• 审核方式志愿者人工审核，PR 模板必须填全 + 附网站预览截图，缺一项就卡住
• DNS 支持具体能配哪些记录类型：以官方仓库文档为准，未核实的不在这编
• 要不要绑卡走 GitHub PR 申请，流程里没有付费环节；让你付费的都是假入口

FJ.KG（Zerexa）

每邮箱 5 个子域名，实际 7 个后缀：fj.kg / ccp.tw / awa.bz / fr-e.org / im-a.org / sbeam.net / 844880.xyz。运营主体无法核实，只适合临时测试站，别绑重要东西。

• 配额上限每邮箱 5 个子域名 · 已核实
• 续期 / 有效期官方声称永久、无需续期 · 只是官方说法，运营方都查不到，别当真长期依赖
• 申请门槛只要邮箱 + 验证码，不要银行卡、不要身份证件 · 已核实
• DNS 支持未核实 · 以注册后管理页实际能加的记录为准
• 转让 / 转卖未核实 · 这种查不到主体的域名更不要买二手
• 风险运营主体无法核实：条款只写「Zerexa」，页脚写 © 2026 hekuo，无公司注册 / 地址 / 国家，只有 QQ 和 Telegram 联系方式

Cloudflare Pages — 本站就用它 ✅

静态页面免费托管 + 免费 HTTPS，正好放这个情报站。你已建好只有 Pages Edit 权限的 Token（到 12 月 14 日过期），绑 kitwore.dpdns.org 用。

• 期限免费档长期可用，没有「试用 X 天到期」这一说；真正会到期的是你的部署 Token（12 月 14 日）
• 能放什么只有静态文件（HTML / 图片 / 前端 JS）；没有后端、没有数据库、没有 SSH，跑不了 3x-ui
• 资源上限构建次数 / 文件数等免费额度：未核实 · 以官方 Limits 页现行数字为准，这个站的体量远用不到上限
• 要不要绑卡未核实 · 你这次建项目全程没让你绑卡，部署流程里出现付费页先停下核对
• 自有域名支持 · 免费 HTTPS；本站就差 DPDNS 面板那条 CNAME（见域名区 DPDNS 卡）
• 退款 / 续费免费档不涉及；别误开付费档，付费条款以下单页为准

Railway — 免费试用暂停中 ⚠

2026-11-02 重新开放注册，但新号必须先订 Hobby（$5/月）或 Pro 才能部署，免费试用部署仍暂停。文档里写的 $5 试用额度现在新号用不了，等状态页说恢复才算数。

• 当前能不能免費用不能 · 新号能注册（不用卡），但部署前必须先在工作区套餐页完成 Hobby（$5/月）或 Pro（$20/月）订阅，光绑一张卡不够，GitHub 项目部署同样被拦 · 已核实
• 试用口径（暂停中）文档写的免费试用是：$0、一次性 $5 额度、30 天、不用卡；上限 2 vCPU / 1 GB 每服务、每项目 5 个服务、2 个项目、500 MB 卷、1 个自有域名 · 2026-11-03 核实，现在新号用不了，恢复以状态页为准
• 试用后免费档原口径：1 vCPU / 0.5 GB 每服务、1 个项目、每项目 3 个服务、无自有域名、日志留 3 天；试用的数据卷在试用到期 30 天后删除 · 已核实（同为暂停口径）
• 试用分档坑试用分完整版 / 受限版，看 GitHub 账号自动验证（年龄 / 活跃度）：没通过的出站网络受限、端口受限，官方不接受人工申诉
• 没账号的临时机官方有 ssh railway.new 免账号临时机（2 vCPU / 2 GB，24 小时内认领，每 IP 每天 3 次，高峰期可能临时关）· 已核实，只适合临时试命令
• 恢复判断只认官方状态页说「试用部署恢复」，文档和定价页还写着旧口径，不算数

LXI.be

5GB 空间、无限流量、5 个 name.lxi.be 地址、PHP 8.3 + MariaDB + 免费 SSL，德国慕尼黑公司运营。真相：没有 SSH，只有文件管理器 / SFTP；Python 要 Pro（€9.99/月）。只适合小 PHP / WordPress / 静态站。

• 期限 / 价格€0 / 月 · 永久免费 · 不要银行卡 · 已核实
• 资源上限5 GB 空间、无限流量、最多 5 个 name.lxi.be 地址、PHP 8.3 + MariaDB、免费 SSL、欧盟服务器
• 访问方式没有 SSH · 只有浏览器文件管理器、SFTP、加密 FTP；没有 root、没有 Docker
• 自有域名只能用在 LXI 注册的域名，你在别家面板的域名绑不过来
• 升级才有Python 要 Pro（€9.99/月）；免费档就是小 PHP / WordPress / 静态站的命
• 运营方Henley Franc UG，德国慕尼黑 · 已核实

Cloudzyro

Launch 免费档：1 vCPU / 512MB、100GB/月流量（超了降到 2Mbit/s 不断网）、自有域名 + 免费 HTTPS。没有 SSH / root / Docker，Node 应用闲置 1 小时休眠。英国注册公司，和被指伊朗运营的 Cloudzy 不是一家。

• 期限 / 价格$0 · 永久免费 · 不要银行卡 · 已核实
• 资源上限1 vCPU / 512 MB；流量 100 GB/月，超了降速到 2 Mbit/s，不断网
• 访问方式没有 SSH / root / Docker · 不是 VPS，只能放静态站 / SPA / Node.js
• 休眠规则Node 应用闲置 1 小时就睡，下次访问才唤醒——不适合要常驻的服务
• 自有域名支持 · 带免费 HTTPS，这点是它比下面 Uppcoder 免费档强的地方
• 运营方Cloudzyro Ltd，英国注册（11856343），伦敦总部，创始人 Kofi Agyem，2019 年成立，未发现中国关联 · 已核实；和 Cloudzy 不是一家，别认错

Uppcoder

2GB RAM + 2GB 磁盘，浏览器 VS Code / 终端 + SSH，克罗地亚公司。但服务条款 7.1 明文禁隧道和代理：跑 VPN / 隧道会被自动停 + 封号。免费档无自有域名，2026-10 中旬才上线，稳定性未验证。

• 期限 / 价格Spark €0 · 永久免费 · 不要银行卡 · 已核实
• 资源上限2 GB 内存 + 2 GB 磁盘；这是云开发环境，不是 VPS
• 访问方式有 SSH + 浏览器 VS Code / 终端 · 这批免费主机里少见的
• 红线条款 7.1 禁隧道和代理 · 跑 VPN / 隧道会被自动停应用 + 封号，拿它练手写代码可以，当节点不行
• 自有域名免费档没有自有域名
• 运营方 / 风险WEBSSON d.o.o.，克罗地亚注册，未发现中国关联信号；2026-10 中旬才上线，稳定性未验证 · 已核实

你的 3x-ui 部署 — 还差信息

上面几个免费主机都跑不了 3x-ui，还是得用你自己的 VPS。等你给 VPS 的 IP、用户名、端口和系统版本，就能走 SSH 部署那条线。

• 要你给的 4 样VPS 的 IP、登录用户名、SSH 端口、系统版本（如 Debian / Ubuntu 几点几）——缺一样都开不了工
• 开工前先查SSH 能不能连上、是不是 root 或有 sudo、系统有没有现成的面板 / 服务占着端口
• 为什么免费机不行3x-ui 要 root + 常驻进程 + 开端口：LXI / Cloudzyro 没 SSH 没 root，Uppcoder 有 SSH 但条款禁代理会封号

Roamless — 一张全球 eSIM（Flex 按量付费）

土耳其团队 2023 年创立、美国总部，一张 eSIM 全球按量走 Flex 余额。网上很多评测说它「永不过期」是错的，以下以官方条款为准（2026-10-15 复查）。

• 免费额度500MB 免费试用 · 已核实
• 流量有效期赠送 / 试用流量默认 6 个月（官方可缩到 3 个月）；Flex 付费余额闲置 12 个月作废；另售的 Fix 定量套餐是 30 天 · 均已核实
• 最低充值$5 起充 · 已核实
• 每 GB 价格约 $2.45 / GB（按 Flex 费率折算，不同国家有别）· 已核实
• 收短信 / Gmail 码不能 · 纯流量、无短信功能，收不了短信验证码
• 有没有手机号没有 · 不配号码
• 要不要绑卡试用不用绑卡 · 500MB 免卡开通已核实；后续充值付款方式以 App 内为准
• 激活期限未核实 · 官方未见明确天数，下单前看 App 内该套餐页标注

优惠码别再试：ROAM25 / ROAM50 / ROAM75 已确认过期、原活动页已下（2026-10-15 复查）。其它流传的 Roamless 优惠码一律标未核实，站里不推。

Eskimo — 流量永不过期，账号要保活

卖点就是流量买了不过期，适合低频出境备用。但「流量不过期 ≠ 账号永久」：人长期不用，号会被清掉（官方条款 2026-06-01 版）。你自己只有一个号；几百个号保活那是你朋友的情况。

• 免费额度未核实 · 站内没有查到可确认的固定免费额度，以官网当前活动为准，不编数字
• 流量有效期流量本身永不过期 · 已核实
• 最低充值未核实 · 以官网套餐页现价为准
• 每 GB 价格未核实 · 按国家 / 套餐浮动，以官网现价为准
• 收短信 / Gmail 码不能 · 纯流量、无短信功能，收不了短信验证码
• 有没有手机号没有 · 不配号码
• 要不要绑卡未核实 · 购买套餐时的付款要求以官网结账页为准
• 账号期限账号连续 2 年完全不用会被删除，官方提前至少 30 天通知 · 已核实。保号做法：2 年内至少用一次
• 优惠码未核实 · 站内没有查到可确认有效的 Eskimo 优惠码，网上流传的先别当真，要用去官网活动页对原文

ESTKme Go 1 — 写卡硬件（国行 iPhone 用）

给国行 iPhone 12 选的就是它：它是一张可写的实体 eSIM 卡，iPhone 本机就能经 STK 写卡、不用借安卓。它本身不卖流量——下面涉及流量的几项，都是「看你写进去的那张 eSIM 套餐」，别和 Roamless / Eskimo 混着比。

• 硬件价格HK$78 / US$10 预售 · 已核实（发货在 2026-11-22 之后那批预售口径）
• 免费额度硬件本身不自带流量套餐；自带 Bootstrap 只供写卡 / 联网引导用，不是拿来日常上网的免费流量
• 流量有效期由你写入的 eSIM 套餐决定（写 Roamless 就按 Roamless 的有效期，余类推），Go 1 本身不决定
• 最低充值 / 每 GB不适用 · 同上，看写入套餐的充值门槛和费率
• 收短信 / Gmail 码由写入的套餐决定：写纯流量卡就不能收码；Go 1 本身不提供号码和短信
• 有没有手机号本身没有 · 有没有号看写入的套餐
• 要不要绑卡未核实 · 指买流量时是否必须绑银行卡，以所写套餐的 App 为准；买 Go 1 硬件本身按官方店付款即可
• 激活期限下单后 545 天内必须激活；Bootstrap 在激活后 365 天有效 · 均已核实。前提：国行 iPhone 12 / iOS 16 起 / 无 SIM 锁 / 有实体卡槽，教程 PDF 已交付，真卡未实测
• 优惠码未核实 · 没有查到可确认有效的 Go 1 优惠码，官方店现价就是 HK$78 / $10，别去第三方买所谓折扣码

免费账号 / 会员试用

这一格只进官方公开活动（新用户试用、教育优惠、开源作者计划），不收共享号 / 盗版号——那种随时封，还连累主号。新活动抓到就更新到实时情报流里。

• 截止时间每场活动各不相同、未核实的不写 · 看到活动先看官方页的截止日，过期活动不进站
• 申请门槛只认三类：新用户试用、教育优惠（要学生身份验证）、开源作者计划（要公开仓库）；要你先付费再「返现」的直接跳过
• 绑卡要求因活动而异 · 试用要绑卡的，先看清试用结束自动扣费的日期，记好提前取消
• 风险共享号 / 盗版号不收 · 随时封，还可能连累你的主号和支付方式

Ultra Mobile PayGo — $3/月保号首选

美国真实手机号，不是虚拟号，所以 Gmail、银行、券商这类挑号的验证码通过率最高。开 Wi-Fi Calling 在国内也能收短信 / 打电话。$3 含少量通话短信，纯保号 + 接码够用，是长期养一个美国号最划算的选法之一。

注意：要买实体卡寄到 / 转运，激活和充值走官网；别在来路不明的店铺买已激活号，容易被找回。

• 价格$3 / 月保号档，含少量通话短信，纯接码够用；实际扣费以官网 PayGo 页现价为准
• 怎么保号按月续着 PayGo 别断费；人在国内就开 Wi-Fi Calling，短信和电话走 Wi-Fi 收
• 能不能收码能 · 美国真实号，Gmail / 银行 / 券商这类挑号的验证码通过率最高
• 注册风险风险主要在买卡渠道：只买未激活的卡自己在官网激活，买已激活号容易被原卖家找回

Tello — $5/月起 · eSIM 即开即用

同样是美国真实号、T-Mobile 网络，胜在不用等寄卡：支持 eSIM 的手机直接扫码开通。套餐自己拼，只要最低档保号接码就行，随时可改 / 可停。适合不想折腾实体卡、手机本身支持 eSIM 的人。

和你国行 iPhone 的情况分开看：国行机用 eSIM 要靠 ESTKme 写卡那条线（见上面 eSIM 区），别直接扫。

• 价格$5 / 月起自选最低档保号，无合约；以官网现行套餐价为准
• 怎么保号最低档订阅别停；停订 = 号没了，要长期用就一直续最低档
• 能不能收码能 · 美国真实号、T-Mobile 网，eSIM 扫码即开，不用等寄卡
• 注册风险官方直开、号是自己的，风险低；唯一门槛是你的手机得能装这张 eSIM（国行机走写卡线）

giffgaff — 英国号 · 免费寄卡、低成本保号

英国 O2 网络的预付费卡，官网可免费申请寄卡，充值后使用，按量付费、没有月租压力。适合需要一个欧洲号收码、注册英国 / 欧洲服务的场景。保号规则以官网为准：长期完全不用有销号风险，隔几个月主动用一次更稳。

• 价格SIM 免费寄、没有月租，充值后按量扣；最低要充多少以官网激活页为准，具体金额未核实，不在这写死
• 怎么保号长期完全不用有销号风险——隔几个月主动用一次（发条短信 / 上一次网）更稳，具体天数以官网保号规则为准
• 能不能收码能 · 英国 +44 真实号，主攻英国 / 欧洲服务的验证码
• 注册风险官网免费寄卡自己激活，风险低；代购的已激活卡别碰，理由同 Ultra 那张

按次接码平台 — SMS-Activate / 5SIM

不想养号、只为注册一次时最划算：在平台上按国家 + 要注册的 App 买一次接码，收到码就结束，不用月租。两家都是老牌大平台，国家和库存全，先小额充值试通了再多充。

红线：这种号是临时的、过后就放回池子，绝不能绑主 Gmail、银行、微信这类要长期找回的账号；热门平台的码也常被目标 App 风控，多备一家。

• 价格按次买断，几毛到几元一次（看国家和目标 App）；没有月租，先小额充值试通再多充
• 怎么保号保不了 · 用完就放回池子，过后这个号跟你没关系
• 能不能收码当场能收；但热门号段常被目标 App 风控拦截，收不到就换国家 / 换一家
• 注册风险最高一档 · 号不是你的，日后找回 / 二次验证等于没通道，只配一次性小号

Hushed — 付费虚拟号 · 要隐私小号时用

App 里买美 / 加等地的虚拟号，能打电话、收短信，适合注册购物、外卖、二手交易这类不想暴露真号的场景。比免费虚拟号稳，但本质还是虚拟号段，银行和少数大厂会拦，别拿它当主验证号。

• 价格月付 / 年付订阅制；具体金额未核实，以 App 内当前套餐页为准，别看第三方写的旧价
• 怎么保号订阅期内号是你的，停订就回收——要留着就别断订
• 能不能收码普通短信能收；银行和少数大厂的码收不到，虚拟号段会被拦
• 注册风险中档：绑购物 / 外卖 / 二手交易没问题，绑主验证账号等于给自己埋雷

怎么选？一句话对照

长期主号 / 收重要码：Ultra PayGo 或 Tello（真实号）。
要欧洲号：giffgaff。
只注册一次：SMS-Activate / 5SIM 按次买。
完全不想花钱：看下面免费区，但只绑不重要的号。

• 判断口诀这个号丢了你疼不疼：疼 → 付费真实号；不疼 → 免费号；只用一次 → 按次接码。拿不准就按疼的算
• 共同注意所有价格都会变，下单前以各家官网现价为准；站里标「未核实」的就是没查到可靠数字，宁可空着也不编

Google Voice — 免费里最稳的美国号

免费美国号里收码最稳的一个，短信在 App / 网页里收，长期保号也相对好。难点在申请：领取时需要一个已有的美国实体号做验证、且对申请环境挑剔，国内直申经常过不了——有条件借到美国号验证时，它是免费档的第一选择。

• 价格免费 · 领号和使用都不花钱
• 怎么保号领到后正常隔段时间用一次，别长期零使用；具体回收期限以官方通知为准，未核实不写死天数
• 能不能收码免费档最稳 · 但少数机构仍会拦虚拟号段，绑之前先拿小号试收一次
• 注册风险难点全在申请那关：要已有美国实体号验证 + 申请环境挑剔，国内直申常过不了；这是借号验证也要对方靠谱

TextNow — 免费美 / 加号 · App 内直接领

不用实体卡，App 里免费领一个美 / 加号码，免费打电话和发短信，普通 App 的验证码大多能收到。代价：号码闲置不用会被回收，要定期在 App 里发条短信 / 打个电话保活；少数银行和大厂会拦虚拟号段，收不到别硬试主账号。

• 价格免费 · App 内直接领号，靠广告维持
• 怎么保号定期在 App 里发条短信或打个电话，闲置不用会被回收，号一回收绑的账号就找不回
• 能不能收码普通 App 大多能收；银行和少数大厂拦虚拟号段，收不到别拿主账号硬试
• 注册风险中档：适合次要账号；风险不在申请，在哪天忘了保活号被回收

TextFree / Fongo — 免费号备选

TextNow 领不到号或区号不合适时的备选：TextFree 给美国号，Fongo 给加拿大号，都是 App 内免费领、靠广告维持。能收一部分验证码，但号段被各家 App 识别的程度不一，适合多备一个轮着试，同样记得定期使用保号。

• 价格免费 · App 内领号
• 怎么保号同样要定期使用保活；具体闲置多久回收两家各不相同、未核实，以 App 内提醒为准
• 能不能收码能收一部分；哪家 App 认哪个号段全看运气，多备一个轮着试
• 注册风险中高档：只绑丢了不疼的号，别指望它长期稳定

公共接码池 — 完全免费，但码人人可见

网页上直接列出一堆各国号码，谁都能看这个号收到的短信，所以验证码是当场能收到的。只适合注册论坛、小工具这类丢了也无所谓的号，成败看号有没有被目标 App 拉黑，多换几个号试。

绝不能收：Gmail 主号、银行、支付、微信 / QQ 的验证码——你看得到，别人也看得到，等于把找回通道公开。这类池的数量和存活你已在每 2 天的监测里单列跟踪，本轮无达标的「免费 + 带流量 + 能收 Gmail 码的个人号」时就报无新发现，不拿公共池凑数。

• 价格¥0 · 无需注册 · 打开网页就能用
• 怎么保号没有保号这回事 · 号是全网共用的，页面换一批你就找不回原号
• 能不能收码当场能收、页面公开刷新；但热门号早被各家拉黑，成败看运气，多换几个号试
• 注册风险最高 · 码人人可见 = 找回通道公开，只配注册丢了无所谓的论坛 / 小工具号