一、背景晚上看到有台服务器流量跑的很高，明显和平常不一样，流量达到了800Mbps，第一感觉应该是中木马了，被人当做肉鸡了，在大量发包。我们的服务器为了最好性能，防火墙（iptables）什么的都没有开启，但是服务器前面有物理防火墙，而且机器都是做的端口映射，也不是常见的端口，按理来说应该是满安全的，可能最近和木马有缘吧，老是让我遇到，也趁这次机会把发现过程记录一下。二、发现并追踪处理1、查看流量图发现问题查看的时候网页非常卡，有的时候甚至没有响应2、top动态查看进程我马上远程登录出问题的服务器，远程操作很卡，网卡出去的流量非常大，通过top发现了一个异常的进程占用资源比较高，名字不仔细看还真以为是一个Web服务进程。4、结束异常进程并继续追踪killall -9 nginx1 rm -f /etc/nginx1干掉进程之后，流量立刻下来了，远程也不卡顿了，难道删掉程序文件，干掉异常进程我们就认为处理完成了么？想想也肯定没那么简单的，这个是木马啊，肯定还会自己生成程序文件（果然不出我所料，在我没有搞清楚之前，后面确实又生成了）我们得继续追查。5、查看登录记录及日志文件secure通过命令last查看账户登录记录，一切正常。查看系统文件message并没有发现什么，但是当我查看secure文件的时候发现有些异常，反正是和认证有关的，应该是尝试连进来控制发包？7、更多异常文件的发现查 ...继续阅读 (323)

instance 从创建到删除的整个生命周期都是由 Nova 管理的。 后面各小节我们以 instance 生命周期中的不同操作场景为例，详细分析 Nova 不同组件如何协调工作，并通过日志分析加深大家对 Nova 的理解。在研究 Nova 各个操作之前，我们先来学习一个重要的内容：OpenStack 日志。OpenStack 的日志记录了非常详细的细节信息，是我们学习和 troubleshoting 的利器。日志的位置我们实验环境使用的是 devstack，日志都统一放在 /opt/stack/logs 目录下，每个服务有自己的日志文件，从命名上很容易区分。比如 nova-* 各个子服务的日志都以 “n-” 开头： n-api.log 是 nova-api 的日志 n-cpu.log 是 nova-compute 的日志。Glance 的日志文件都是 “g-” 开头： g-api.log 是 glance-api 的日志 g-reg.log 是 glance-registry 的日志。Cinder、Neutron 的日志分别以 “c-” 和 “q-” 开头。对于非 devstack 安装的 OpenStack，日志一般放在 /var/log/xxx/ 目录下。 比如 Nova 放在 /var/log/nova/ 下，Glance 放在/var/log/glance下……各个子服务 ...继续阅读 (114)

FineCMS一个XSS漏洞分析FineCMS是一套用CodeIgniter开发的中小型内容管理系统，目前有三个分支:1.x，2.x，5.x，这次分析的是2.x的最新版2.1.5一、用户输入既然是XSS，那么就一定有用户的输入以及输出。// controllers\member\InfoController.php public function avatarAction() { if (empty($this->memberconfig['avatar']) && $this->isPostForm()) { $data = $this->input->post('data', TRUE); $this->member->update(array('avatar'=> $data['avatar']), 'id=' . $this->memberinfo['id']); $this->memberMsg(lang('success'), url('member/info/avatar'), 1); } $this->view->assign(array( 'avatar_ext_path' => EXT_PATH . 'avatar/', 'avatar_ret ...继续阅读 (114)

IoT恶意软件概述IoT恶意软件即针对智能设备等物联网嵌入式设备的恶意程序。最近一段时间以IoT设备为肉鸡的僵尸网络变得越来越流行。Mirai、Hajime、LuaBot等IoT僵尸网络的出现不断蚕食着互联网，一次又一次给用户敲响警钟，告诉我们IoT安全的重要性。这些恶意软件通过入侵路由器、调制解调器（“猫”）、智能摄像头等其他连接在互联网上的IoT嵌入式设备，进而对目标网络发起DDOS攻击。总的来说，恶意软件的感染过程没什么特别的。很多IoT恶意软件甚至不需要利用漏洞即可完成对目标设备的入侵。由于用户安全意识薄弱，购置部署智能设备后往往采用默认配置，即可能存在弱口令、空口令等安全问题。在这种情况下，感染这些IoT设备只要做一件事就好了，即使用一些常用的密码暴力破解telnet服务，直到登录成功为止。通常来说，攻击者通过入侵telnet服务，往往可以拿到一个低权限的shell（译者注：这里所说的低权限应该是指多数只能设备采用一个阉割版的busybox提供交互式shell，仅能执行有限的命令）。安全客小百科：Mirai僵尸网络2016年10月21日 11:10 UTC（北京时间19:10左右）Mirai僵尸网络对美国域名服务供应商Dyn发起DDOS攻击，导致美国东海岸地区许多网站宕机。你可能没有听说Dyn，但你一定知道这些网站，如GitHub、Twitter、PayPal等。Dyn为 ...继续阅读 (112)

Checkpoint研究人员最近发现了一种新型攻击手段–字幕攻击，当受害者加载了攻击者制作的恶意字幕文件后将会触发播放器漏洞，从而实现对受害者系统“悄无声息”地完全控制。据测试发现，该攻击方法可以在多个知名视频播放器存在漏洞的版本软件上成功实现，目前，由于这些涉漏洞视频软件的全球下载量超过2亿次，并被用户在各种播放设备平台中使用，所以这种攻击方法将可能成为近年来影响广泛、传播深远的入侵手段之一。先来看攻击实现的PoC视频：攻击简介当你想在电脑上观看影片时，很自然地打开视频播放器，加载字幕，当然遇到一些“生肉”影片时，我们还可能在网上千方百计寻找字幕，好吧来个葛优躺，….两小时过去了，殊不知，当你在完全放松欣赏大片的时候，黑客早已经悄悄入侵了你的电脑，把该干的事都干了。这种字幕攻击手段可能是最最容易被用户忽视和防范的黑客攻击技术，因为对于普通用户和播放器来说，都会把字幕文件认为是可信文件。对于攻击者来说，他们可能会制作一些专门的恶意字幕库，然后通过各种手段向受害者推送这些恶意字幕文件，诱导受害者加载使用。而对用户来说，这种毫无防范意识的攻击将会是最危险的攻击。当前，这种攻击在根源和意识方面，杀毒软件等各类安全厂商都还不具备检测识别能力，从某种程度上来说，这更增加了用户风险。受影响用户范围：据统计，因为目前每一种播放器的涉漏洞版本都存在数百万计的用户下载量，所以该攻击方法影响用户可能达 ...继续阅读 (110)

今天我要向大家展示的是，我如何发现了Oracle Responsys云服务系统中的一个本地文件包含漏洞（LFI）。由于当前很多商业销售、网络存储和社交关系公司都采用了Oracle Responsys的云解决方案，所以，该漏洞对多个知名公司服务造成影响，这些公司包括Facebook、Linkedin、Dropbox等。Responsys：原先为一家领先的企业级B2C云营销软件提供商，公司主要向企业提供网络广告营销软件，帮助企业通过电子邮件、网站、移动设备、社交网络及展示广告进行营销宣传与沟通。2013年12月21日，甲骨文宣布斥资15亿美元收购，之后成为Oracle Responsys。Responsys进一步整合延伸了Oracle商业云、销售云、服务云、社交云及营销云等诸多客户关系云服务。Responsys提供企业级别的B2C商业服务模式，当企业使用Responsys云服务方案进行了系统架设之后，Responsys会为每一个客户企业分配与其它企业不同的“私有IP”，以访问和使用其自身的云服务系统。漏洞发现这多少有点无心之举，我经常在邮箱中收到Facebook发给我的一些开发者邮件，这些邮件有些是发自域名为em.facebookmail.com的邮箱，就好比我邮箱中经常有一些来自fbdev@em.facebookmail.com的邮件，这引起了我的注意。漏洞挖掘思维让我觉得域名em. ...继续阅读 (113)

本节讨论 nova-compute，并详细分析 instance 部署的全过程。先给大家道个歉：今天这篇文章的篇幅比以往要多一些，本来想分两次发，但考虑到文章的完整和系统性，还是一次发了出来，这次可能要超出 5 分钟了，大家见谅。nova-compute 在计算节点上运行，负责管理节点上的 instance。 OpenStack 对 instance 的操作，最后都是交给 nova-compute 来完成的。 nova-compute 与 Hypervisor 一起实现 OpenStack 对 instance 生命周期的管理。通过 Driver 架构支持多种 Hypervisor接着的问题是：现在市面上有这么多 Hypervisor，nova-compute 如何与它们配合呢？ 这就是我们之前讨论过的 Driver 架构。nova-compute 为这些 Hypervisor 定义了统一的接口，Hypervisor 只需要实现这些接口，就可以 Driver 的形式即插即用到 OpenStack 系统中。 下面是Nova Driver的架构示意图我们可以在 /opt/stack/nova/nova/virt/ 目录下查看到 OpenStack 源代码中已经自带了上面这几个 Hypervisor 的 Driver某个特定的计算节点上只会运行一种 Hypervisor，只需在该节点 n ...继续阅读 (131)

本节重点介绍 nova-scheduler 的调度机制和实现方法：即解决如何选择在哪个计算节点上启动 instance 的问题。创建 Instance 时，用户会提出资源需求，例如 CPU、内存、磁盘各需要多少。OpenStack 将这些需求定义在 flavor 中，用户只需要指定用哪个 flavor 就可以了。可用的 flavor 在 System->Flavors 中管理。Flavor 主要定义了 VCPU，RAM，DISK 和 Metadata 这四类。 nova-scheduler 会按照 flavor 去选择合适的计算节点。 VCPU，RAM，DISK 比较好理解，而 Metatdata 比较有意思，我们后面会具体讨论。下面介绍 nova-scheduler 是如何实现调度的。在 /etc/nova/nova.conf 中，nova 通过 scheduler_driver，scheduler_available_filters 和 scheduler_default_filters 这三个参数来配置 nova-scheduler。Filter schedulerFilter scheduler 是 nova-scheduler 默认的调度器，调度过程分为两步：通过过滤器（filter）选择满足条件的计算节点（运行 nova-compute）通过权重计算（weighting ...继续阅读 (115)

ELK简介ELKStack即Elasticsearch + Logstash + Kibana。日志监控和分析在保障业务稳定运行时，起到了很重要的作用。比如对nginx日志的监控分析，nginx是有日志文件的，它的每个请求的状态等都有日志文件进行记录，所以可以通过读取日志文件来分析；redis的list结构正好可以作为队列使用，用来存储logstash传输的日志数据。然后elasticsearch就可以进行分析和查询了。本文搭建的的是一个分布式的日志收集和分析系统。logstash有agent和indexer两个角色。对于agent角色，放在单独的web机器上面，然后这个agent不断地读取nginx的日志文件，每当它读到新的日志信息以后，就将日志传送到网络上的一台redis队列上。对于队列上的这些未处理的日志，有不同的几台logstash indexer进行接收和分析。分析之后存储到elasticsearch进行搜索分析。再由统一的kibana进行日志web界面的展示[3]。目前我用两台机器做测试，hadoop-master安装nginx和logstash agent（tar源码包安装），hadoop-slave机器安装安装logstash agent、elasticsearch、redis、nginx。同时分析两台机器的nginx日志，具体配置可参见说明文档。以下记录了ELK+ ...继续阅读 (115)

本节开始，我们将详细讲解 Nova 的各个子服务。前面架构概览一节知道 Nova 有若干 nova-* 的子服务，下面我们将依次学习最重要的几个。今天先讨论 nova-api 和 nova-conductor。nova-apiNova-api 是整个 Nova 组件的门户，所有对 Nova 的请求都首先由 nova-api 处理。 Nova-api 向外界暴露若干 HTTP REST API 接口。 在 keystone 中我们可以查询 nova-api 的 endponits。客户端就可以将请求发送到 endponits 指定的地址，向 nova-api 请求操作。 当然，作为最终用户的我们不会直接发送 Rest AP I请求。 OpenStack CLI，Dashboard 和其他需要跟 Nova 交换的组件会使用这些 API。Nova-api 对接收到的 HTTP API 请求会做如下处理： 1. 检查客户端传人的参数是否合法有效 2. 调用 Nova 其他子服务的处理客户端 HTTP 请求 3. 格式化 Nova 其他子服务返回的结果并返回给客户端nova-api 接收哪些请求？ 简单的说，只要是跟虚拟机生命周期相关的操作，nova-api 都可以响应。 大部分操作都可以在 Dashboard 上找到。打开Instance管理界面点击下拉箭头，列表中就是 nova-api ...继续阅读 (111)

北京时间5月12日晚，新型“蠕虫式”勒索软件WannaCry在全球爆发，攻击各国政府和公共网络系统，众多学校、医院受到严重侵害。我国教育网络成黑客入侵重灾区，教学系统大面积瘫痪。大规模的网络攻击被认为是使用了美国国家安全局(NSA)泄露的“永恒之蓝”黑客武器在全球范围内传播开来的。这个名为WannaCry的勒索软件锁定了包括英国、美国、中国、俄罗斯、西班牙、意大利等近100个国家的上万个信息服务网络的计算机系统，并要求用户用比特币支付300美元。代价很大!比特币涨到1800美元了，好像已经赎不起了。根据第一财经记者独家获得的360最新研究数据，已经有2600万高校大学生被该软件勒索，800万应届生深陷“肄业危机”。不过网络安全领域的一位消息人士对第一财经记者表示;“中国全年毕业生一共才800万，不可能全被勒索，这个数据的可靠性还有待考证。”但他承认，这次大规模的黑客事件相当严重。“中国的政府部门网络很多都跟教育网互通，被带到了。”这位安全专家进一步对第一财经记者表示，“如果手机上大规模爆发类似的病毒，支付宝都要爆掉了。”英国医疗系统崩溃受WannaCry程序影响最深的是英国国家医疗系统NHS。英国各大医院和医生的门诊都已经取消预约，救护车也被临时调回。这已经对英国的数十万病患产生了直接的影响。“我们无法进入病人的病历、处方和预约系统。”英国国立医院的医生发表Twitter称，“这是 ...继续阅读 (139)

API 前端服务每个 OpenStack 组件可能包含若干子服务，其中必定有一个 API 服务负责接收客户请求。以 Nova 为例，nova-api 作为 Nova 组件对外的唯一窗口，向客户暴露 Nova 能够提供的功能。 当客户需要执行虚机相关的操作，能且只能向 nova-api 发送 REST 请求。 这里的客户包括终端用户、命令行和 OpenStack 其他组件。设计 API 前端服务的好处在于： 1. 对外提供统一接口，隐藏实现细节 2. API 提供 REST 标准调用服务，便于与第三方系统集成 3. 可以通过运行多个 API 服务实例轻松实现 API 的高可用，比如运行多个 nova-api 进程Scheduler 调度服务对于某项操作，如果有多个实体都能够完成任务，那么通常会有一个 scheduler 负责从这些实体中挑选出一个最合适的来执行操作。在前面的例子中，Nova 有多个计算节点。 当需要创建虚机时，nova-scheduler 会根据计算节点当时的资源使用情况选择一个最合适的计算节点来运行虚机。调度服务就好比是一个开发团队中的项目经理，当接到新的开发任务时，项目经理会评估任务的难度，考察团队成员目前的工作负荷和技能水平，然后将任务分配给最合适的开发人员。除了 Nova，块服务组件 Cinder 也有 scheduler 子服务，后面我们会详细讨论。Work ...继续阅读 (114)

概述当我们在编写一个Shellcode Payload时，我们总是拥有无限的可能性，尤其是在Windows平台上。但我们要知道的是，想要编写高质量的Shellcode其实并非易事，因此我才决定要通过这篇文章跟大家聊一聊我对此的看法。就我个人而言，我比较喜欢用C语言（用Visual Studio编译源码）来完成我的工作。因为C语言的源代码非常优美，而且编译器可以最大程度地优化源码，如果你需要的话，也可以通过LLVM实现你自己的代码混淆器。为了方便演示，我将以x86 Shellcode作为样例进行讲解。当然了，你想将其用于x64平台也是可以的。查找基本的DLL介绍当一个Shellcode Payload在Windows平台中加载之后，第一步就是要定位我们所需要使用到的功能函数。首先，我们要搜索保存了系统功能函数的动态链接库（DLL）。为了实现这个目标，我们将会使用到多种不同的结构体，请大家往下看。线程环境块（TEB）TEB是Windows系统用于描述一个线程所使用到的一种结构。每一个线程都可以通过FS寄存器（x86平台）以及GS寄存器（x86_64平台）来访问自己的TEB。TEB的结构如下：0:000> dt ntdll!_TEB     +0x000 NtTib            : _NT_TIB     +0x01c EnvironmentPointer: Ptr32 Voi ...继续阅读 (108)

在这里，要向大家推荐一款名为“Fake Image Exploiter”的黑客工具，该工具可以在图片文件中捆绑隐藏的恶意.bat或.exe程序，方便钓鱼或社工攻击过程中的入侵控制。如果受害者点击该恶意图片文件后，将会向控制主机反弹一个管理控制会话。以下是其使用视频：https://www.youtube.com/watch?v=4dEYIO-xBHU配置使用首先，打开Kali终端，执行下载安装和配置：git clonehttps://github.com/r00t-3xp10it/FakeImageExploiter.git下载完成之后，进入FakeImageExploiter文件夹，选择setting文件进行配置：在此，你可以选择隐藏在图片中的Payload格式，有ps1、bat、txt和exe四种格式可选，我们选择PAYLOAD_EXETNSION=bat；在生成捆绑图片文件的替换图标icon选项中，我们选择BYPASS_RH=NO，非自动，需要手动更改和添加最终生成的图片图标icon。同样，在setting文件中找到以下两列进行按需修改：AUTO_PAYLOAD_BUILD=YES （自动生成Payload选项）AGENT_HANLER_PORT=4444（植入恶意程序后的客户端监听端口）配置选项完成后，可以启动Fake Image Exploiter主程序。生成Payloa ...继续阅读 (106)

在eBay或Amazon购买二手iPhone很有可能是上锁的(即iCloud锁)，那么如何绕过iPhone 7(Plus),6S Plus,6S,6 Plus,6,5S,5C,4S,4,iPad或者iPod touch的iCloud激活锁？当你使用这台二手苹果设备时，它将会不断的向你请求该设备原主人的iCloud登录信息。在接下来的文章中我将向大家展示如何通过几个简单的步骤以绕过iCloud激活锁。iCloud激活锁iCloud激活锁是iOS系统中的主要安全保护功能之一。如果你的iPhone丢失，你可以通过激活“Find my iPhone”这个服务来尝试寻找你丢失的iPhone手机。该服务将会保护你的手机不会被其他人使用，即使设备被重置也无法使用这台设备。此外，iCloud会锁定该丢失设备屏幕，并不断请求以原机主的iCloud账户登录。因此如果不幸购买了一台带激活锁的iPhone手机，心理会很不爽！然而有了我们这篇文章，利用”DNS方法”就可以让你走出阴影，放心大胆的捡垃圾(指淘二手产品)吧！重要提示本文讲解的利用DNS方法绕过iCloud激活锁，并非最优的解决方案。但依然能够让你使用iPhone手机功能，应用软件以及游戏等等。已测试系统版本及设备经过测试，本文讲解的DNS绕过方法可以在以下iOS系统版本中正常工作：iOS10.3iOS10.2.1iOS10.2iOS10.1.1 ...继续阅读 (119)

5月2日，Shodan和Recorded Future联合推出在线恶意软件C&C;（命令和控制）服务器搜索引擎-Malware Hunter，该工具被集成在Shodan基础搜索引擎之上，可以极大方便广大安全研究人员进行相关恶意软件感染设备的探测发现。Malware Hunter技术支持Malware Hunter通过大量的搜索节点（bot）发现互联网上的僵尸主机。为了准确跟踪和确定C&C;服务器位置，搜索节点通过模仿或假装受恶意软件感染主机，向特定C&C;服务器发送多种预定义请求，如果对方作出有效响应，Malware Hunter就记录下其IP地址和其它相关信息，储存进入Shodan搜索库。Malware Hunter基于Shodan和Recorded Future的共同技术，其中，Shodan负责互联网IP地址快速高效的探测能力，而Recorded Future提供模仿受恶意软件感染的假冒主机技术。Recorded Future曾与Google和CIA共同开发互联网开源情报信息系统。关于Malware Hunter的更多技术，请参考Recorded Future15页技术报告《主动威胁识别过程发现远程访问木马的有效方式》。Malware Hunter识别能力广泛目前来说，Malware Hunter能识别和发现多种远控端（RAT），如Dark Comet、njRAT、Poison ...继续阅读 (118)

美国劳动力的中值年龄是42岁，而StackOverflow的一项有关年龄的调查表明，40岁之后的开发人员只占开发人员总数的13%。那么其他人到哪里去了？他们被解雇了或者上升到管理岗位了吗？软件开发对于过了40岁的人来说，是不是就意味着终结？本文罗列了10位年龄超过40岁的老程序员们的故事，他们都是顶级的软件开发者，拒绝从事管理岗位，仍然活跃在开发一线，将编程作为生活收入的主要来源。本文内容来自Belisoft博客，并已获得作者的翻译授权，查看原文SOFTWARE DEVELOPERS AFTER 40, 50 AND 60 WHO ARE STILL CODING。Rob Fletcher，Netflix（Los Gatos，CA）的高级软件工程师，45岁专长：Web开发、测试驱动开发、敏捷软件开发、Grails、Groovy、Spock以及AngularJS。“我已经写了16年的代码，做了几年独立承包商之后，在42岁那年加入Netflix，成为一名高级工程师。我每天都写代码。目前最喜欢的语言是Kotlin。我想学习Go语言，平常用得比较多的是Java、Scala和Groovy。我一直在学习新的东西，哪怕是很小的事情。我知道自己会是一个糟糕的管理者，所以我压根没有想往管理方向发展。很多事情取决于你的态度。不要成为厌恶新技术的老技术人，也不要嘲笑那些正在使用新技术的人。在进行技术选型 ...继续阅读 (115)

工具简介WiFiPhisher是一款高度可定制的WiFi钓鱼攻击工具，它可以对具体的WiFI客户端进行攻击，例如获取用户凭证或感染恶意软件。与其他攻击不同的是，WiFiPhisher并不会进行爆破攻击，因为它主要使用的是社会工程学技术，而社工技术也是攻击者窃取用户凭证的一种简单且有效的方法。【官网链接】【工具下载】注：WiFiPhisher需要在KaliLinux系统上运行，使用开源GPL许可证。工作机制利用EvilTwin（双面恶魔）攻击实现了中间人攻击之后，WiFiPhisher会将目标用户所有的HTTP请求重定向至一个由攻击者控制的钓鱼页面。从用户的角度来看，这种攻击主要由以下三个阶段组成：1.    用户无法接入自己的无线网络接入点。因为WiFiPhisher会劫持目标范围内的所有无线网络接入点，并通过劫持请求数据包来阻止用户访问接入点。2.    用户会接入一个流氓热点。WiFiPhisher会扫描范围内的无线接入点，复制这些接入点的设置信息，然后利用这些配置来创建一个流氓热点，最后欺骗用户连接这个流氓热点。3.    用户会被重定向至一个高度定制化的钓鱼页面。WiFiPhisher会搭建一个小型的Web服务器，并响应用户的HTTP或HTTPS请求。当用户请求一个页面时，WiFiPhisher会用伪造的页面来响应用户的请求，并通过钓鱼页面来窃取用户凭证或传播恶意软件。需要 ...继续阅读 (120)

0×00 前言笔者发现不少甲方公司的办公网络依靠五花八门的局域网聊天软件进行办公通信，而这些软件中同样存在各种安全风险。本文就带大家利用协议分析技术来还原一款局域网聊天软件的通信协议，并对其进行简易攻击。0×01 协议分析网络协议是指计算机网络中通信双方必须共同遵守的一组约定，这些约定包括数据传输格式和顺序等内容，它最终体现为在网络上传输的数据包的格式，只有双方遵守相关约定才能确保正常通信交流。人类社会使用自然语言进行沟通交流，计算机则使用网络协议来进行通信，只有使用同一语言或协议才能进行有效沟通交流。两者有诸多相似性，包含语法、语义、时序三大要素。1、语法：数据或命令控制信息在传输时的形态结构或格式；2、语义：在约定的格式下，每一块数据所对应的具体含义，例如在信息中指明控制信息属于哪种，需要完成什么任务，需要得到什么回应等。3、时序：时间序列，在约定好的语法语义框架下，相关数据需要按照一定的时间顺序才能构成连贯完整的通讯数据。协议也可以说是连入网络的计算机遵循的一定技术规范，包含硬件、软件和端口等的技术规范。另外，协议还必须遵守以下几点：1、 协议中的每个人都充分知晓协议，掌握所有需要完成的步骤；2、 协议中的每个人都必须同意并遵循它；3、 协议的每一步必须明确定义，无二义性，不会引起误解。为了增强兼容性和迭代性能，协议采用分层定义进行管理，设计者将网络通信过程划分为多层，每一层 ...继续阅读 (108)

《白帽时鉴期刊》是一本由安全文库团队牵头策划并联合多个安全团队联合推出的，一本面向信息安全领域的计算机技术类刊物。在此之前，在信安领域就曾出版过多种多样的安全期刊，例如《黑客防线》、《黑客手册》、《黑客X档案》等一批优秀刊物，这些刊物可以说在当时影响了一代人。时过境迁如今的圈子早已不比当年，安全圈愈发显得浮躁…但前辈们的精神我们还得继续传承。我们的每一步其实都是站在巨人的肩膀上摸索出来的，每个时代都需要有这个时代的标杆。就是在这种大环境下，《白帽时鉴期刊》横空出世！《白帽时鉴期刊》深入信安领域，收录了时下最热的技术类精华文章，力求打造一本高质量的信息安全类刊物。从策划到正式推出，无论是编辑排版还是封面设计，安全文库团队都付出了巨大的心血。作为合作团队之一，我谨代表铁匠运维网团队感谢安全文库的倾情打造。希望大家多多支持安全文库团队及《白帽时鉴期刊》。相信《白帽时鉴期刊》会越办越好，引领属于我们的这个时代。 ...继续阅读 (112)

工具简介BeRoot是一款Post-Exploitation工具，也就是在黑客拿到目标主机的Shell之后所要用到的一种东西。BeRoot可以帮助我们检查目标Windows系统中存在的错误配置，并找出提权的方法。【GitHub传送门】BeRoot项目将会作为一个Post-Exploitation模块被添加进Pupy项目（一个开源的、跨平台Post-Exploitation工具，采用Python编写）中，当beRoot作为一个模块添加进去之后，它就可以直接在内存中运行了，整个过程都无需与磁盘交互。需要注意的是，这款工具只能用来检测，而无法直接利用目标系统中存在的漏洞。但是，如果它发现了错误配置，它可以通过模版来利用这些漏洞。模版文件位于templates/service目录下，如果项目提供的模版文件无法运行，我们也可以根据目标系统的情况手动创建一个模版文件。工具下载【beRoot.zip】（zip）【源代码】（zip）【源代码】（tar.gz）工具运行接下来，我们会给大家介绍所有的检测方法。包含空格且不含引号的路径地址请大家先看看下面这个文件路径：C:\Program Files\Some Test\binary.exe如果文件路径中包含空格且不含引号，那么Windows系统将会按照下面的顺序定位并执行目标程序：C:\Program.exe C:\Program Files\Some ...继续阅读 (126)

免费的信息安全类电子书PacktPub每天都会给用户提供一本免费的电子书，而本文介绍的几个GitHub库所提供的电子书大多数来源于PacktPub，并且同样是免费的。请各位同学注意，千万不要直接克隆这些代码库，因为其大小约为1GB左右，你可以选择你需要的电子书，然后单独保存即可。信息安全类电子书-Free-Security-eBooks-from-PacktPub【传送门】免费的技术类电子书有的同学可能在阅读这些安全类技术书籍的过程中，会遇到编程方面的问题，不过别担心，你可以从下面这个GitHub库中找到你所需要的资料。技术类电子书-free-tech-ebooks-from-packtpub【传送门】托管免费电子书是否合法？在此，我们必须重新声明一下，这些库中托所托管的电子书是从tahmid-choyon的项目中fork过来的，而tahmid-choyon有资格接收并发布这些免费电子书。Hack with GitHub只是从他的库中pull了最新更新的电子书，并从中移除了与信息安全无关的内容，这样就可以让安全从业人员以最快地速度找到自己所需要的书籍。但我们仍然建议各位同学能够购买这些电子书，因为作者在编写这些书籍的过程中也付出了辛勤的劳动。另外，PacktPub在发布这些书籍时也需要成本。总结如果你还想了解更多关于信息安全的知识，或者想要获取更多的免费资料，请关注Hack wit ...继续阅读 (113)

1.0 在进入话题之前我们先了解下session与cookie的原理1.1 session介绍简单介绍：PHP session 变量用于存储有关用户会话的信息，或更改用户会话的设置。Session 变量保存的信息是单一用户的，并且可供应用程序中的所有页面使用。1.2 几个常用的session配置php.inisession.use_cookies=1  #1代表使用cookie记录客户端的sessionid（php.ini默认就是1）session.save_path=”xx” #session文件的保存路径session.gc_maxlifetime=1440 #服务器端session的储存的时间，如果超过1440秒没操作，那么Session数据就自动删除。session.cookie_lifetime=0 #这个代表SessionID在客户端Cookie储存的时间，默认是0，代表浏览器一关闭SessionID就作废（下面会深入了解）session.name=PHPSESSID #cookie的名称 利用他来识别session文件（下面会深入了解）1.3 深入了解php代码：session_start(); #开启session机构当我们把PHPSESSID 的值改成 freebuf 之后再发送一次请求可以看到就生成了一个新的session解释：这就是session.cookie ...继续阅读 (129)

一、linux 系统内核参数1、/etc/sysctl.conf文件常用参数net.core.netdev_max_backlog = 32768 #允许送到队列的数据包的最大数目 net.core.rmem_max = 8388608 #SOCKET读缓存区大小 net.core.wmem_max = 8388608 #SOCKET写缓存区大小 net.core.somaxconn = 32768 #系统中每一个端口最大的监听队列的长度 net.core.rmem_max = 16777216 #最大socket读buffer net.ipv4.ip_local_port_range = 1024 65000 #允许系统打开的端口范围 net.ipv4.tcp_fin_timeout = 30 #TIME_WAIT2进入CLOSED的等待时间 net.ipv4.tcp_keepalive_time = 1200 #TCP发送keepalive消息的时间 net.ipv4.tcp_timestamps = 0 net.ipv4.tcp_synack_retries = 2 net.ipv4.tcp_syn_retries = 2 net.ipv4.tcp_synack_retries = 1 #内核放弃连接 ...继续阅读 (129)

Nova 物理部署方案前面大家已经看到 Nova 由很多子服务组成，同时我们也知道 OpenStack 是一个分布式系统，可以部署到若干节点上，那么接下来大家可能就会问： Nova 的这些服务在物理上应该如何部署呢？对于 Nova，这些服务会部署在两类节点上：计算节点和控制节点。 计算节点上安装了 Hypervisor，上面运行虚拟机。 由此可知： 1. 只有 nova-compute 需要放在计算节点上。 2. 其他子服务则是放在控制节点上的。下面我们可以看看实验环境的具体部署情况。 通过在计算节点和控制节点上运行 ps -elf|grep nova 来查看运行的 nova 子服务计算节点计算节点 devstack-compute1 上只运行了 nova-compute 子服务控制节点控制节点 devstack-controller 上运行了若干 nova-* 子服务RabbitMQ 和 MySQL 也是放在控制节点上的可能细心的同学已经发现我们的控制节点上也运行了 nova-compute。 这实际上也就意味着 devstack-controller 既是一个控制节点，同时也是一个计算节点，也可以在上面运行虚机。这也向我们展示了 OpenStack 这种分布式架构部署上的灵活性： 可以将所有服务都放在一台物理机上，作为一个 All-in-One 的测试环境； 也可以将服务部署在 ...继续阅读 (108)

好久没写文章了，最近要来刷下存在感，近两年，运维自动化被炒的火的不行，行业趋势不可挡，现在企业招运维工程师都要求会一门开发语言。我们公司也不例外，由于刚上市，一下子有钱了，开始招兵买马瞎折腾，因此最近我也面试了不下十来个求职者，本成想可以很容易招到几个不错的小伙，结果却令我很失望，今天贴几个面试者例子上来，跟大家吐槽下：面试A君：应聘职位：高级系统工程师  ， 工资要18K此君简历写的不错，在360干过几年，简历上写的是维护公司的360网盘平台，管理着2000多台机器，写了很多自动化工具。然后我就让他跟我聊聊他做的自动化工具，哥们娓娓到来跟我讲他写的那些脚本（自动部署、批量命令、日志分析），从他的表情中感觉他好像觉得他做过的这些东西很牛B（其实都是一堆SHELL+PYTHON拼凑起来的粗糙工具，需求稍一改变就不能满足，脚本的扩展性极差），他说他现在的工作基本上80%都能通过脚本完成，说完后直视我，貌似是等待着我的认可，出于尊重，我只好说那确实不错。接下来我就拿他写过的批量并发执行命令的脚本跟他深入聊了下，他说这个脚本是Python多线程并发的，1000台机器执行一次批量命令1分钟就能全部完成，我于是让他给我讲讲多线程与多进程的区别，在什么时候用线程或进程更合适，结果哥们说了很多废话也没有讲明白。然后我又让他用PYTHON多线程给我写个简单的生产者消费者模型，哥们愣是不知道这是啥东西 ...继续阅读 (120)

lykchat信息发送系统是Python3开发的，通过模拟微信网页端，基于个人微信号，为系统管理人员提供信息发送工具。实现的功能有用户登录管理、微信登陆管理和微信信息发送功能。特点1、简单高效 基于个人微信号，模拟微信web端，部署和维护简单 web管理页面实现可视化管理微信登陆 接口采用URL，简化调用复杂度，返回结果均为json格式 2、信息共享 通过共享用户session和微信登陆信息，保证系统长期稳定运行 3、7*24不间断服务 计划任务定时检查微信登陆状态，微信保持登陆超过20天 4、支持发送多媒体信息 除了支持发送纯文字信息外，还支持发送图片、视频、文件等信息 5、用户管理 通过用户隔离微信个人号，不同用户管理不同微信号 用户密码分为管理密码和接口密码，保证用户信息安全性 6、微信信息安全 不会监控和存储微信聊天信息 不会增加和删除好友截图管理页面–功能展示管理页面–微信登陆时长接口-发送信息成功发送信息接口使用说明https://github.com/lykops/lykchat/wiki/%E5%8F%91%E9%80%81%E4%BF%A1%E6%81%AF%E6%8E%A5%E5%8F%A3%E4%BD%BF%E7%94%A8%E8%AF%B4%E6%98%8E模块和工作流程ht ...继续阅读 (120)

1. 概述360互联网安全中心近期监测到“我爱卡”网站（51credit.com）出现挂马情况，进一步分析发现，访问该网站会加载跳转到漏洞攻击包（Exploit Kit）页面的恶意Flash广告，没有专业安全防护的访问者电脑会感染号称勒索软件“集大成者”的Sage2.0，造成文件被加密勒索的惨重损失。相比以往的漏洞攻击包，此次整个攻击链完全使用Flash文件实现，不再需要HTML与Javascript脚本交互功能，呈现出新的攻击形式和较高的技术水平。2. 技术分析2.1 广告挂马点图1 整体挂马流程我爱卡网站采用了较为常见的OpenX开源广告系统，该广告系统具备较完整的商业生态，被很多大型网站采用。但是因为审核不严格，已有多次漏洞攻击包通过该广告系统进行传播[1]。图2 返回挂马广告内容浏览我爱卡网站任意页面时，会插入了一个广告Flash文件hxxp://consultantvideo.info/admedia/player.swf。而在另外一个被挂马网站中，这个Flash则被直接托管在挂马网站上。显然，攻击者将这个Flash文件伪装成广告提供给广告运营商，广告运营商审核不严直接在投放网站上上线。打开该Flash文件，其实是没有任何可以显示的内容，实际功能则是利用AS3代码实现了获取Flash版本号并进行相关判断、加载Flash文件功能，使得只有是IE浏览器并且安装了Flash11 ...继续阅读 (110)

上一篇文章我们讲了ansible的基础用法和安装，不会的请去查看传送门,这一篇，我们总结一下他的playbook的yml用法，以及基础概念。一、playbook的简单使用1、创建文件实例（1）编辑配置文件[root@tiejiangSRC1 ~]# cd /etc/ansible/ [root@tiejiangSRC1 ansible]# vim test.yml //固定后缀为yml，一定要注意空格 --- - hosts: testhost user: root tasks: - name: playbook_test shell: touch /tmp/playbook.txt 注意： hosts参数指定了对哪些主机进行参作； user参数指定了使用什么用户登录远程主机操作； tasks指定了一个任务，其下面的name参数同样是对任务的描述，在执行过程中会打印出来。（2）执行创建playbook文件文件[root@tiejiangSRC1 ansible]# ansible-playbook test.yml PLAY [testhost] **************************************************************** ...继续阅读 (125)

一、简介ansible 和 saltstack 一样都是基于 Python 开发的，是比 puppet 和 saltstack 更轻量级的运维自动化工具。无服务器端，使用时直接运行命令即可，不需要在被管控主机上安装任何客户端，所以任何一台机器只要安装了 ansible 就可以管控其他主机。基于模块工作，可使用任意语言开发模块。也可使用 yaml 语言定制剧本 playbook；基于SSH工作；可实现多级指挥。二、安装配置1、准备工作准备三台机器 Centos6.5_64，这两台机器都关闭 selinux，清空 iptables 规则并保存。master：192.168.2.71slaver：192.168.2.72slaver：192.168.2.732、编辑 hosts 文件两台都设置，若机器太多，可以通过搭建 DNS，则不用在每台机器上设置这个192.168.2.71master.test.com192.168.2.72slaver2.test.com192.168.2.73slaver3.test.com3、设置 hostname在 master 上 [root@tiejiangSRC1 ~]# vim /etc/sysconfig/network HOSTNAME=master.test.com 在 slaver 上 [root@tiejiangSRC1 ~]# ...继续阅读 (111)