Aggregator

细说fastjson dnslog探测payload的构造原理

Companies doing business with the Department of Defense must soon be audit certified under something called the CMMC. The depth required will depend on the amount of Controlled Unclassified Information a company handles.

凌凌漆带你走近美国雷神山火神山

零信任和传统安全的区别在哪里，是否有价值，以及什么场景可以考虑去选择零信任架构，这是本文试图解答的问题？

As businesses and consumers around the world adjust their routines amid the various COVID-19 restrictions, the internet is being used at a scale that the world has never experienced. In addition to millions of people who are now working from...

第一个CVE 在今天获得了第一个有CVE编号的漏洞 CVE-2020-10804 . CVE只是一个漏洞数据库,只需要自己申请即可. 但国内会自己给小漏洞申请CVE很少,往往视

工控蜜罐-实战攻防演练专用（定制）是一款诞生于灯塔实验室安全研究团队内部攻防实战实践，适用于实战攻防演练的专用…

近些年，勒索软件大行其道。甚至有些团伙利用疫情传播勒索软件，攻击医院。一旦攻击成功，带来的不仅是财务损失，而是患者的生命。作为安全从业人员，我们需要思考，勒索软件到底意味着啥。我们的检测和防御体系如何应对这种挑战

真正的牢狱是恐惧 而真正的自由是 免于恐惧的自由 ——昂山素季 北京，下雪了

近几年北京下雪的场景比较罕见，不过今年似乎是个以外，这已经是北京的第三场雪了。而中国最传统的节日——春节也即将到来。

王梓坐在不知通往哪里的车，看着窗外的大雪，回忆起了10年前的冬天：同样是下雪天，而他穿着单薄的衣服，刚刚从网吧里出来。而此时的他已经没有钱了。因为经常来这家网吧，他跟网吧的老板比较熟，他曾经跟老板商量，能不能赊账。当时网吧老板直接就给拒绝了，并摆出了一副没有商量的姿态。网吧老板知道王梓的父亲跟母亲离婚，而父亲整日无所事事，只会到处去骗点钱，然后买酒，赌博。10年前的王梓还在上初中，整天不好好学习，沉迷于网络游戏中，但是因为穷，父亲给的钱不多，也没多少时间上网。每次从网吧出来都要走着回家。

本来不准备评论这个事情的，但作为微博用户看到自己的数据泄漏且被如此对待，还是想借这个事情说两句企业安全建设。

在一些漏洞利用场景，或者因为waf等原因，导致无法使用空格时，可以试试如下命令：

IFS=,;`cat<<<cat,/etc/passwd` cat$IFS/etc/passwd cat${IFS}/etc/passwd cat</etc/passwd {cat,/etc/passwd} X=$'cat\x20/etc/passwd'&&$X

经过测试，除最后一条在mac osx下执行失败，这些命令在ubuntu 19.10和centos7下均执行成功。在mac osx系统下系统会将cat\x20/etc/passwd当成一个可执行文件，会提示No such file or directory。

来源：https://twitter.com/omespino/status/1241544334329208838

我不相信造化弄人。世界上出类拔萃的人，都主动找寻他们想要的环境。要是遍寻不获,他们就创造一个。 ——萧伯纳

王梓家中

结果往往在一个人做选择的时候就已经注定。危险正在一点一点向王梓靠近。买家提出的线下交易，对于网络杀手走入现实，那么就以为着自杀。羸弱的王梓，能打得过谁呢。除此之外，还很有可能就像阿桑奇被捕时的样子。那一副银白色手镯想想都觉得冰冷。王梓不禁打了一个冷颤。

当下，王梓没有太多的时间想这些，他必须要走下去。就算没有出路，那么也要走出一条自己的路。

普通的夜晚，大多数人已进入梦乡。王梓在电脑前敲击着键盘，眼镜上可以看到映射出的一行行代码，电脑的usb口上连接着一台树莓派上。此时编写的程序就是即将在这台微型电脑上运行的。流动的代码仿佛在与时间赛跑，慢一步就可能被超过而崩溃。

不知不觉，清晨的朝阳照亮了阳台，温暖而不炙热。随着最后一次回车键按响，程序也可以正常运行起来。就要离开这里了，收起桌上的两台笔记本电脑、U盘、望远镜、还有插在电脑上的树莓派装到背包里。将手机放到了微波炉里，并放在了电脑旁。王梓走出房子，电脑正常运行着。

站在天台上，阳光照射全身，一股暖意袭遍王梓的全身。好难得的时光。可惜，马上就要走了。王梓找了快隐蔽的可以放进树莓派的地方，把树莓派放好，然后把太阳能天池板放到外面。可以为树莓派续航。

王梓拿起了一部新手机，拨通了小楠的电话。响了三声，电话接通了。传来了带有起床气的一声喂，哪位？。

BIGip是对负载均衡的实现，主要通过Virtual Server、iRules、Pool、Node、Monitor和Persistent（会话保持）实现。BIGip在实现会话保持机制时会在用户首次发起请求时，会为用户设置一个cookie，即服务端会添加set-cookie响应头头（比如：Set-Cookie: BIGipServerFinanceAndAdminWebfo.unc.edu=105389996.20480.0000 ）。后续的请求会判断并使用这个cookie值，服务端解码该cookie并使用服务器。

最近发现一款工具，可以解BigIP的cookie，以此获取内网ip或者真实ip地址。这款工具名叫rabid，是ruby语言编写，支持4种cookie格式。github地址：https://github.com/Orange-Cyberdefense/rabid

工具使用

工具使用ruby编写，需要ruby 2.4以上版本的环境。首先要保证安装好ruby。然后使用gem安装包

gem install rabid

安装完成后，可以使用ruby包含该库，也可以直接运行命令执行。

命令示例如下：
rabid 'BIGipServer~FinanceAndAdminWeb~fo.unc.edu=105389996.20480.0000'

上面的参数就是set-cookie的值。

运行结果(运行环境macos，ruby 2.6.3)：

##芭堤雅

下午两点，一架直升机停在4000米的高空中，王梓手握着飞机舱门上的把手，耳边是螺旋桨旋转发出的轰隆声，身体下方的是距离4000米高的海岸。背后的老外对他喊的话，他已经听不清楚。撒开手，他与身后的老外一起跳下飞机。突然间，王梓大脑一片空白，心感觉也要从嗓子眼中蹦出去，但很快他感觉到的是身体极速下坠的失重感。王梓闭上了眼睛，脑海中浮现出他拿到的那份资料，文件里一个个名字，以及记录的时间和地点，让他产生了恐惧，这次他犹豫了，不知道是否要继续下去。过了几秒，他身后的老外打开了什么东西，双腿突然向被甩出去一样，降落的速度慢了一些。但是，下降的速度还是会形成很大的气流，吹的他脸部、胳膊都变形了。他睁开了眼睛，阳光照射下的海洋、沙滩、树木、草地尽收眼底。王梓想：“这就是上帝视角吧”。这种居高临下的感觉，是前所未有的，那种强者才有的孤独感更加的强烈。

男人的天堂——芭堤雅。夜晚降临，这座城市才真正的迎来高潮。你所看到大街上的美女不一定是个女人。倘若你走上路上，坐在按摩店门口的泰国中年女子拉着你的手叫你老公或者老板。也会看到欧美中年肥胖男子手里搂着他们买来的泰国老婆。当然，街上的中国人也不少。近些年来大陆来东南亚的游客越拉越多。王梓坐在酒吧的一个角落里，独自一人喝着酒。他还在犹豫。桌上的酒已经喝的差不多了，他看着手中的酒杯。然后猛地的一口将杯中酒全部喝完。轻轻的放下酒杯，起身走出酒吧，他已经做出了决定了。

记录记录

这是一个最好的时代，这是一个最坏的时代； 这是一个智慧的年代，这是一个愚蠢的年代； 这是一个光明的季节，这是一个黑暗的季节； 这是希望之春，这是失望之冬； 人们面前应有尽有，人们面前一无所有； 人们正踏上天堂之路，人们正走向地狱之门。 　　 ——《双城记》狄更斯

入侵的路从来就不是平坦的，这取决实施入侵的人。黑客通常会找到别人看不到的路通往最终的目标。而这次是一个庞大的集团，尽管入口可能很多，但是许多条路都纷繁复杂，有些甚至可能是甜蜜的陷阱，又或者是达不到最终的终点。

面对如此庞大的集团，除了自动化的信息收集系统，需要大量的人为的将这些信息进行提取、组合，制定入侵的方案。从而用最短的事件达到目标。盲目的去乱碰无异于浪费时间与生命。

是否是因为最近几个月拒绝了任务让自己做出如此不合常规的操作？王梓内心中开始嘲笑起自己之前的愚蠢做法。这种情况对于一名职业网络杀手来说是一个危险的信号。他不得不重视起来并将自己紧绷起来，在内心中，此次的入侵绝对不能掉以轻心。

Continuing in our commitment to sustainability, Akamai is excited to announce the launch of our accelerator program supporting innovators and building solutions to address India's water challenges.

Talent scarcity is making it hard to fill headcount. But what do you do in the meantime? F5's Gail Coury writes for Disruptive.Asia, discussing what types of managed services make sense to give you a hand with security issues.

最近一直在研究Windows逆向的东西，想着快要把Android给遗忘了。所以就想利用工作之余来研究Android相关的技术，来保持对Android热情。调用微信代码来发送朋友圈动态一直是自己想实现的东西，研究了一下，果然实现了，遂写下本文当作记录。本文主要分析发送纯文字朋友圈动态和发送图片朋友圈动态。

Python Pickle / Format String / PHP Wrapper