长话短说这台密码破解机既不需要任何的“黑魔法”，也不需要你花大量时间和精力去组装各种乱七八糟的零配件。如果你按照这篇文章给出的方法来进行设备组装的话，你应该可以在三个小时之内搭建出一台密码破解工作站。各位同学不用担心，这台机器的搭建方法非常简单，只要你按照步骤一步一步操作就肯定不会出错。我们的目标我们目前的工作站配备了六块GTX970S，我们现在的目标是将其升级为八块GTX1080，而且还要保证工作站能够稳定运行。组件清单硬件1.    机箱支架&主板-Tyan Ft77C-B7079（P/N:B7079F77CV10HR-N）2.    CPU：两块Xeon E5-2620V3 LGA2011（不要只买一块CPU，因为我们需要两块CPU来管理和控制所有的PCIE插槽）3.    内存：两根32g DDR4 2400MHz LRDIMM内存条4.    硬盘：三星SSD 850 EVO 固态硬盘，容量1T5.    GPU：八块EVGA gtx1080 FE显卡（也就是我们所说的公版卡）软件1.    Ubuntu-14.04.3 64位服务器版本；2.    hashcat-www.hashcat.net；3.    hashview-www.hashview.io；组装现在想要搭建出一台中高端的密码破解机实际上就跟玩乐高积木一样，尽管这是一种非常昂贵的“乐高积木”。我们专门录制 ...继续阅读 (65)

根据ESET研究所最新研究成果，发现了一种伪装成Adobe Flash Player升级程序的安卓恶意软件下载器。尽管早在2011年Adobe就表示将停止为移动设备开发 Flash Player，2012年，Flash Player正式退出 Android 平台。但是仍然无法避免网络犯罪分子滥用它，来诱使不知情的用户下载并安装他们的恶意程序。通常情况下，攻击者主要通过一个精心设计、高度仿真的外观来诱使用户下载并安装该虚假的升级程序。此次ESET发现的恶意程序名为“Android/TrojanDownloader.Agent.JI，这一新型威胁主要使用“模仿用户点击” 这种技术来感染用户的设备，浏览社交媒体和成人网站信息。恶意程序安装后会呈现给受害者更具欺骗性的屏幕提示，诱骗他们在Android上可访问菜单中赋予其特殊权限，该权限可以允许其下载并执行额外的恶意软件程序。在这种情况下，该木马程序会弹出一个提醒窗口通知受害者“消耗过多电量”，建议启动“省电模式”。像大多数恶意软件一样，该木马下载器不接受否定的答复，并将继续显示提示信息，直到用户同意支持服务为止。此时，该恶意程序将受害者引导至“系统设置”->“辅助功能”菜单，该菜单选项中展示了具备辅助功能的服务列表，其中就包括了恶意软件在安装过程中创建的名为“省电”的新服务。当用户启用它之后，它就会请求获得监听操作、获取窗口内容和触屏导航 ...继续阅读 (52)

前言个人认为信息收集是渗透测试中最重要的部分，它将直接影响到渗透测试的结果。今天给大家分享的是信息收集中的一小部分，域名爆破。域名爆破的重要性域名爆破能够发现一些在公开信息里搜索不到的域名；有的域名可能直接绑定的内网地址，有利于一些漏洞的延伸，比如SSRF漏洞很多小型网站的后台是很多都在主域名的某个目录下面者三级域名下，而很多大型网站的后台都是在二级、三级及以下域名下，甚至有可能在这些域名的目录下。爆破原理爆破的原理其实是通过枚举域名的A记录的方式来实现的泛解析如何爆破首先的访问一个随机并不存在的域名chorashishuaige.xx.com，记录其泛解析到的IP地址。然后通过字典或者自定义规则的方式枚举域名的A记录，并与最开始的chorashishuaige.xx.com的A记录做对比，不同的则是存在的域名，也就是在用的域名。如何防御并没有真正意义上的防御方案，只能说增大域名爆破的难度。可以使用泛解析配合DNS轮询的方式，即访问一个随机不存在的域名chorashishuaige.xx.com会得到一组IP，访问另一个不存在的域名又会得到另外一组IP，这样就会给域名爆破工具带来误报，当然域名爆破工具完全可以先多次枚举随机域名，将得到的IP组保存在集合里，然后再进行对比，如果枚举到的域名A记录不在该集合里，则是存在的域名，也就是在用的域名。特色有的厂商喜欢使用mxxx.xx.com ...继续阅读 (57)

作者：shan66预估稿费：300RMB投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿摘要最近，基于硬件的攻击已经开始通过Rowhammer内存漏洞或旁路地址空间布局随机化保护机制来攻击系统了，这些攻击方式都是基于处理器的内存管理单元（MMU）与页表的交互交互方式的。这些攻击通常需要重复加载页表，以观察目标系统行为的变化情况。为了提高MMU的页表查找速度，现代处理器都使用了多级缓存，例如转译查找缓存（translation lookaside buffers，TLB）、专用页表缓存，甚至通用数据缓存。要想攻击得手，需要在访问页表之前可靠地刷新这些缓存。为了从非特权进程中刷新这些缓存，攻击者需要基于这些缓存的内部体系结构、大小以及缓存交互方式来创建专门的内存访问模式。虽然关于TLB和数据高速缓存的信息通常都会在供应商的处理器手册中发布，但是关于不同处理器上的页表高速缓存的特性方面的信息却鲜有提及。在本文中，我们改进了最近提出的针对MMU的EVICT + TIME攻击，对来自Intel、ARM和AMD的20种不同微架构中页表缓存与其他缓存的内部架构，大小以及其交互方式。同时，我们以代码库的形式将我们的发现公之于众，该代码库不仅提供了一个方便的接口来刷新这些缓存，同时还可以用来在新的体系结构上自动逆向页表缓存。引言由于添加到系统中的高级防御日益增加，致使针对软件的攻 ...继续阅读 (68)

ARP欺骗ARP EMP v1.0http://www.xdowns.com/soft/1/44/2014/Soft_133963.htmlCain_v4.9汉化版http://www.orsoon.com/Soft/105715.htmlMAC地址扫描器http://www.pc6.com/softview/SoftView_61658.htmlNetFuckhttp://www.xdowns.com/soft/1/44/2014/Soft_133960.html幻境网盾http://www.pc6.com/softview/SoftView_68062.htmlARPKillerhttp://www.xdowns.com/soft/1/44/2014/Soft_133961.html注入工具明小子http://www.arpun.com/soft/25612.htmlHavij Pro 1.17 绿色版_旁注工具http://www.xdowns.com/soft/8/19/2014/Soft_133922.htmlPangolin 4.0 绿色多语版_SQL Injection-SQL注入渗透测试工具http://www.xdowns.com/soft/8/19/2009/Soft_52287.htmlSafe3SIhttp://www.panduoduo.net/r/441 ...继续阅读 (67)

漏洞编号CVE-2017-6074漏洞概述Linux内核近日又曝出权限提升漏洞，该漏洞可追溯至2005年，漏洞影响Linux操作系统主要发行版本，包括Redhat、Debian、OpenSUSE和Ubuntu。利用该漏洞，攻击者可以从低权限进程中进行内核代码执行。目前已知受影响的最老版本是2.6.18（2006年9月），不过该漏洞可能在先前的版本中已经存在，或许从支持DCCP开始（2005年10月的2.6.14）就已经存在问题了。在Seclists.org发布该漏洞的作者Andrey Konovalov表示，很快就会放出PoC，在此期间给予修复时间。安全研究员Andrey Konovalov最近用Syzkaller fuzzing工具，发现了DCCP协议实现中的Linux内核漏洞，漏洞潜伏时间超过10年。DCCP协议DCCP协议是面向消息的传输层协议，可最小化数据包报头带来的开销和终端处理的工程量。该协议可建立、维护和拆卸不可靠连接的数据流以及对不可靠数据流进行拥塞控制。该DCCP双重释放漏洞可允许本地低权限用户修改Linux内核内存，导致拒绝服务（系统崩溃），或者提升权限，获得系统的管理访问权限。漏洞详情这是个UAF漏洞：在IPV6_RECVPKTINFO开启的情况下，内核解析DCCP协议的流程中判断已经收到了DCCP_PKT_REQUEST返回包，就会释放解析过程使用的SKB地 ...继续阅读 (57)

今天我们开发在test服务器上面用phpmyadmin导出了一段SQL语句，让我导入到beta上面的数据库里面，但是beta服务器上面没有安装phpmyadmin软件，看了里面还有删除创建数据表的过程，用mysql命令导入肯定是不行的，难道只能在beta服务器上面安装phpmyadmin软件才能可以导入该SQL语句？该SQL语句如下，我只是截取了其中一部分：-- phpMyAdmin SQL Dump-- version 3.3.9-- http://www.phpmyadmin.net---- Host: localhost-- Generation Time: Dec 24, 2011 at 08:44 PM-- Server version: 5.0.45-- PHP Version: 5.2.4 SET SQL_MODE="NO_AUTO_VALUE_ON_ZERO";/*!40101 SET @OLD_CHARACTER_SET_CLIENT=@@CHARACTER_SET_CLIENT */;/*!40101 SET @OLD_CHARACTER_SET_RESULTS=@@CHARACTER_SET_RESULTS */;/*!40101 SET @OLD_COLLATION_CONNECTION=@@COLLATION_CONNECTION */;/*!40101 ...继续阅读 (72)

前言：渗透测试软件Cobalt Strike Windows版破解笔者使用环境本机Debian Linux服务器VPS（Debian Linux）目标Windows 2003（虚拟机）Cobalt Strikev3.6（开心版）Cobalt Strike开启团队服务器模式需要Java环境，本机使用也需要，推荐安装Oracle java8先上传Cobalt Strike压缩包到服务器上，解压如图所示，输入命令root@AliYun:~/cobaltstrike# nohup ./teamserver 你的服务器ip 你要设置的密码&这样就可以开启Cobalt Strike的团队服务模式了，并且可以后台挂载在那里然后，本机打开Cobalt Strike，输入服务器IP、端口、密码，用户名任意设置顺利的就连上了服务器，现在开始正题拿出我们准备好的域名，修改NS记录绑定到DNSPod上先添加一个域名A记录，指向我们的服务器IP想用Cobalt Strike的DNS Beacon话，我们还需要添加两个域名的NS记录注意：记录值要填写刚刚设置A记录的二级域名fuck.xxx.com，最后设置好如图所示下面开始配置Cobalt Strike，生成后门添加一个listener，选择第一个beacon_dns就是走DNS隧道协议，隐蔽性极强，不开任何端口。（缺点：响应速度慢）配置好监听后，就 ...继续阅读 (70)

声明：此文章仅供研究学习和技术交流，请勿用于破解他人 WIFI 密码！如果你有这些时间和精力，完全可以新买一坨无线路由器，何必蹭别人家的无线网！！！！前言网上类似的教程不少，但是大部分都是没讲完整，或者搭建一个足够简单的环境，使用类似123456这样的简单密码，导致的结果是，看教程感觉很容易很顺利，可实际操作起来才发现困难重重。经常听说，WIFI 密码要设置复杂一些，可是复杂的密码使用时很不方便，最重要的是，复杂密码就能保证自己的 WIFI 绝对安全吗？为了消除这些疑虑，我决定亲自尝试一下。我对无线网络的各种协议没有研究，所以这里不讨论，只是通过网上的教程，选择合适的工具，在已有的硬件条件下提高破解效率。选择工具的原则很简单，有中文的就绝对不用英文的，有带界面的就绝对不用命令行的，有开源的就绝对不用花钱的，有 Windows 版的就绝对不用 Linux 版的。。。总之，怎么简单怎么来。接下来，开始行动。准备工作先说一下大概的流程：扫描无线网—获取握手包（抓包）—暴力破解握手包（跑包）—得出密码。 其中，抓包和跑包是最关键的两个步骤，可能耗费大量的时间，还有些运气成分。主要工具： CDLinux：小型的 Linux 系统，用于抓包，中文带界面，可以放到U盘中；hashcat：异常强大的密码破解工具，支持 GPU 加速，除了支持破解 WPA，还能破解 md5、zip 等密码；U盘：运行 ...继续阅读 (68)

研究人员最近发现，Java和Python运行时都存在漏洞，它们未能正确验证FTP URL中的特殊字符，最终导致黑客甚至能够绕过防火墙访问本地网络。上周六，安全研究员Alexander Klink公布了一种很有趣的攻击方式，他利用Java应用中的XXE(XML External Entity)漏洞发送邮件。XXE漏洞就是欺骗应用去解析构建的XML文件，从而让XML解析器泄露敏感信息如文件、目录列表甚至是服务器上运行的进程。Klink演示相同类型的漏洞还可以用来欺骗Java runtime向远程服务器发起FTP连接，URL形式是：ftp://user:password@host:port/file.ext结果发现Java FTP客户端并不会过滤特殊的CR和LF字符，而会解析这些字符。CRLF的意思就是回车(CR, ASCII 13, \r) 换行(LF, ASCII 10, \n)。在FTP URL中插入这些字符会导致Java FTP客户端执行这些命令，甚至还可以执行SMTP (Simple Mail Transfer Protocol)命令，因为SMTP与FTP语法很相似。Klink的演示中，黑客可以利用漏洞强迫Java程序向SMTP服务器发送邮件。Klink在博客介绍了攻击场景：“当你能从一台能够解析XML的服务器连接到一台无限制（甚至没有垃圾邮件、病毒邮件过滤）的内部邮件服务器时 ...继续阅读 (63)

0x01 前言巡风是同程安全应急响应中心（YSRC）在GitHub上开源的安全工具，采用Python编写，“是一款适用于企业内网的漏洞快速应急、巡航扫描系统，通过搜索功能可清晰地了解内部网络资产分布情况，并且可指定漏洞插件对搜索结果进行快速漏洞检测并输出结果报表。”对于这款工具，总体感觉小巧、高效，一定程度上关注到了安全运维中的部分痛点。笔者作为公司的安全运维负责人，在工作中有幸使用巡风来寻找内网的安全问题，现将巡风的安装过程和源码的阅读体会与大家一起分享。0x02 安装参考了官方给出的安装方法，下面是我在CentOS 7系统上的实际操作过程。1.安装Python基础软件包curl-O https://bootstrap.pypa.io/get-pip.pypythonget-pip.py pip install pymongoFlaskxlwt paramiko2.安装MongoDB数据库配置MongoDB安装源vi/etc/yum.repos.d/mongodb.repo[mongodb-org-3.4]name=MongoDBRepositorybaseurl=https://repo.mongodb.org/yum/redhat/$releasever/mongodb-org/3.4/x86_64/gpgcheck=1enabled=1gpgkey=https://www. ...继续阅读 (61)

项目主页https://github.com/Blacksmith-shop/xunfeng简介巡风是一款适用于企业内网的漏洞快速应急、巡航扫描系统，通过搜索功能可清晰的了解内部网络资产分布情况，并且可指定漏洞插件对搜索结果进行快速漏洞检测并输出结果报表。其主体分为两部分：网络资产识别引擎，漏洞检测引擎。网络资产识别引擎会通过用户配置的IP范围定期自动的进行端口探测（支持调用MASSCAN），并进行指纹识别，识别内容包括：服务类型、组件容器、脚本语言、CMS。漏洞检测引擎会根据用户指定的任务规则进行定期或者一次性的漏洞检测，其支持2种插件类型、标示符与脚本，均可通过web控制台进行添加。安装指南基础环境需求：Python 2.7Mongodb v3.0.0运行与安装过程需要在管理员权限下进行官网国内下载较慢，我们提供了镜像地址https://sec.ly.com/mirror/python-2.7.12.msi https://sec.ly.com/mirror/python-2.7.12.amd64.msi https://sec.ly.com/mirror/mongodb-linux-x86_64-ubuntu1604-3.4.0.tgz https://sec.ly.com/mirror/mongodb-linux-x86_64-3.4.0.tgz https://sec.l ...继续阅读 (61)

前言很多小伙伴溯源一般只追查到whois信息，但个人认为该信息未必是真实有效的，挖掘背后的信息才是正章。起因今天在朋友圈，看到朋友发了一条信息，说收到带病毒短信。分析直接通过上述地址下载该安卓木马。通过APK逆向分析工具分析后得知，该木马基本已经将能获取的权限都申请一遍了。如下图，开机启动，发送短信，删除短信，获取联系人，允许接收WAP信息并删除，唤醒手机，检查网络状态，甚至连振动器的权限都申请了。看一下具体的行为：1、激活设备管理器操作。2、无意间还翻到这个。呵呵呵呵！3、通过手机接收受害者相关信息。4、通过邮箱接收受害者相关信息。发送邮箱用户名：发送邮箱密码：5、获取手机号码，并对应判断拦截这些手机的短信内容。6、发送恶意短信“我给你录了段小视频你看看  ryxxxx.xxx/MUStx”来进行传播。7、监听短信发件箱及收件箱。通过上述代码不难看出，该木马的主要功能为获取手机内的短信，获取手机内的联系人并发送至指定邮箱，同时将木马下载地址通过短信的方式传播给手机里所有的联系人。大同小异的木马。下面是重点了，我们的溯源之路。溯源一、初步探测1、通过邮箱注册的号码来看，应该是字母+手机号，通过一些手段，我们查找到，该手机号码，归属地为辽宁朝阳，实名认证姓名是于国玲，开卡时间为2014年9月22日，套餐为神州行家园卡欢乐套餐。但无法确认该手机号的实名认证信息一定是放马人的。2、通过木 ...继续阅读 (64)

本节首先讨论 image 删除操作，然后介绍 OpenStack CLI 的使用方法，最后讨如何 Troubleshoot。Web UI 删除 imageadmin 登录后，Project -> Compute -> Images在列表中选择格式为 ARI 和 AKI 的 image，点击点击确认删除操作成功CLI 删除 image设置环境变量查询现有image删除image如何使用 OpenStack CLIOpenStack 服务都有自己的 CLI。 命令很好记，就是服务的名字，比如 Glance 就是 glance，Nova 就是 nova。但 Keystone 比较特殊，现在是用 openstack 来代替老版的 keystone 命令。 比如查询用户列表，如果用 keystone user-list会提示 keystone 已经 deprecated 了。 用 openstack 命令代替不同服务用的命令虽然不同，但这些命令使用方式却非常类似，可以举一反三。1. 执行命令之前，需要设置环境变量。这些变量包含用户名、Project、密码等； 如果不设置，每次执行命令都必须设置相关的命令行参数2. 各个服务的命令都有增、删、改、查的操作其格式是CMD-create [parm1] [parm2]… CMD-delete [parm] CMD-update [parm1] [p ...继续阅读 (70)

前言为了寻找新的有趣的域名解析系统漏洞，我决定查看各种各样的顶级域名，并分析它们的错误配置，经过一些初步的搜索，我发现有一个很好的开源服务工具，可以帮助DNS管理员扫描它们的域名系统，察看是否存在错误配置，这就是瑞典互联网基金会开发的DNScheck工具,该工具会高亮显示出各种各样的奇怪DNS配置错误，这种错误例如：有一个权威名称服务器列表，一个域名的权威名称服务器和该名称服务器在上一级顶级名称服务器的设置之间不配置(引起这种问题的原因在“通过劫持DNS解析服务器攻击目标”这篇文章中可以看到)。尽管这些域名有配置错误，但是它并没有明确指出漏洞在哪里，不过它可以让我们知道：如果发现有些配置是错误的，那么研究这些错误配置，将是研究工作的一个不错的开始。截止写这篇文章时，有1519个顶级域名。我并没有手动的逐个扫描每一个顶级域名，我选择写一个脚本来自动扫描所有顶级域名。我已将这个脚本的扫描结果放在了Github上，名称是“TLD Health Report”。该脚本可以高亮显示出有严重配置错误的顶级域名。在花了一两个小时对顶级域名配置错误进行检查后，我在“.gt”顶级域名上发现了一个有趣的问题，该错误可以从Github的页面看到，下面是一部分：正如上面我们看到的，maestro.gt域名存在多个错误或警告状态，有无法路由错误，并且是“.gt”顶级域名的一个无效的主名称服务器(MNAME) ...继续阅读 (63)

近日，来自Sucuri的研究人员发现WordPress存在重大漏洞，漏洞在于WordpressREST API，成功利用该漏洞可删除页面或修改页面内容。官方很快发布了升级版Wordpress，但很多管理员没有及时升级，以至于被篡改的网页从最初的几千一路飙升到了150万，在此也提醒各位管理员尽快升级。漏洞详情1. 漏洞信息：WordPress是一个以PHP和MySQL为平台的自由开源的博客软件和内容管理系统。在4.7.0版本后，REST API插件的功能被集成到WordPress中，由此也引发了一些安全性问题。近日，一个由REST API引起的影响WorePress4.7.0和4.7.1版本的漏洞被披露，该漏洞可以导致WordPress所有文章内容可以未经验证被查看，修改，删除，甚至创建新的文章，危害巨大。2. 漏洞影响版本：WordPress4.7.0、WordPress 4.7.13. 复现环境：Apache 2.4PHP 7.0WordPress4.7.14.复现过程：(1) 安装WordPress并配置REST API① 配置Apache+PHP+Mysql的运行环境，下载含有漏洞版本的WordPress (https://wordpress.org/wordpress-4.7.1.tar.gz)并安装。② 加载Apache的rewrite模块。在Apache的配置文件中添加 ...继续阅读 (66)

0×00 前言拜读完devttys0前辈的”exploiting embedded systems”系列.分析了下相关固件路由器型号: TEW-654TR固件下载地址: http://download.trendnet.com/TEW-654TR/firmware/0×01 环境设置#!/bin/bash INPUT="$1" LEN=$(echo -n "$INPUT" | wc -c) PORT="1234" if [ "$LEN" == "0" ] || [ "$INPUT" == "-h" ] || [ "$UID" != "0" ] then echo -e "\nUsage: sudo $0 \n" exit 1 fi cp $(which qemu-mipsel-static) ./qemu echo "$INPUT" | chroot . ./qemu -E REQUEST_METHOD="POST" -E CONTENT_LENGTH=$LEN -E CONTENT_TYPE="application/x-www-form-urlencoded" -E REMOTE_ADDR="1.1.1.100" -g $PORT /usr/bin/my_cgi.cgi 2>/dev/null rm -f ./qemu这里因为是小端机mips架构,所以 ...继续阅读 (60)

0×00. 介绍现在越来越多主要的web程序被发现和报告存在XXE(XML External Entity attack)漏洞，比如说facebook、paypal等等。 举个例子，我们扫一眼这些网站最近奖励的漏洞，充分证实了前面的说法。尽管XXE漏洞已经存在了很多年，但是它从来没有获得它应得的关注度。很多XML的解析器默认是含有XXE漏洞的，这意味着开发人员有责任确保这些程序不受此漏洞的影响。本文主要讨论什么是XML外部实体，这些外部实体是如何被攻击的。0×01. 什么是XML外部实体？如果你了解XML，你可以把XML理解为一个用来定义数据的东东。因此，两个采用不同技术的系统可以通过XML进行通信和交换数据。 比如，下图就是一个用来描述一个职工的XML文档样本，其中的’name’,'salary’,'address’ 被称为XML的元素。有些XML文档包含system标识符定义的“实体”，这些XML文档会在DOCTYPE头部标签中呈现。这些定义的’实体’能够访问本地或者远程的内容。比如，下面的XML文档样例就包含了XML ‘实体’。在上面的代码中， XML外部实体 ‘entityex’ 被赋予的值为：file://etc/passwd。在解析XML文档的过程中，实体’entityex’的值会被替换为URI(file://etc/passwd)内容值（也就是passwd文件的内容） ...继续阅读 (67)

Android for Work是Android的“沙盒”机制，它的目的是安全地存储企业资料。然后最近来自Skycure 的安全研究人员发现，Android for Work可以通过一种“中间app攻击”的方式被Hack。这个Android work模式其实就是遵从BYOD(Bring Your Own Device)理念的产物，BYOD指的是携带自己的设备办公。Android for work从Android 5.0 Lollipop版本引入，就是为了将个人的Android设备变成公司环境，将个人环境和企业环境隔离开来，其中企业环境是由IT管理人员进行管理的。Android for Work会将所有涉及企业的app、邮件和文档存储在企业profile中，但是不会对个人profile有所限制，这样用户的隐私就被保护了起来，因为IT管理员们无法管理监控他们的个人app。这个功能是使用了用户分离的机制。Skycure的研究人员称，他们发现了两种“中间app攻击”，能够让个人profile里的恶意软件访问到企业档案中的数据。两种攻击方式利用的都是安全链条中最薄弱的环节——人。两种攻击方式都需要用户交互。攻击方案一第一种攻击方案是个人档案的恶意应用诱导用户开启读取通知权限。由于通知权限是设备级别的权限，恶意应用就可以读取到工作档案中的通知，可能包括日历、邮件消息等通知。之后，恶意应用可以把 ...继续阅读 (60)

美团员工打群架，7月15日，媒体流传着四张所谓“美团饿了么聚众斗殴”的图片，中关村银科大厦附近，美团与饿了么发生冲突导致斗殴。三位饿了么外卖送餐员及两位美团外卖送餐员描述，这并非是一起斗殴事件，而是由车辆擦碰导致的冲突，双方并未发生斗殴。图为事件现场图为事件现场饿了么美团再度传出聚众斗殴的消息，TechWeb采访了围观这起事件的几位“吃瓜群众”发现，双方并不是聚众斗殴。美团员工打群架，7月15日，媒体流传着四张所谓“美团饿了么聚众斗殴”的图片，中关村银科大厦附近，美团与饿了么发生冲突导致斗殴。三位饿了么外卖送餐员及两位美团外卖送餐员描述，这并非是一起斗殴事件，而是由车辆擦碰导致的冲突，双方并未发生斗殴。图为事件现场事件还原7月15日，媒体流传着四张所谓“美团饿了么聚众斗殴”的图片，据某媒体称，中关村银科大厦附近，美团与饿了么发生冲突导致斗殴。TechWeb采访了三位饿了么外卖送餐员及两位美团外卖送餐员，据他们描述，这并非是一起斗殴事件，而是由车辆擦碰导致的冲突，双方并未发生斗殴。今日中午，在中关村大恒科技大夏，一位饿了么员工驾驶电动车由苏州街往北四环方向行驶，撞上了停靠在大恒科技大厦门前的一位美团员工的电动车。随后饿了么员工停下来查看情况，与被撞美团员工发生口角冲突，饿了么员工驾车要离开事故现场，美团员工拉住饿了么员工的电动车。刚启动的电动车被美团员工一拉，偏离方向，撞上了马路边的 ...继续阅读 (63)

我之前用过cacti,munin这二种服务器监测工具，下面我将详细讲解一下nagios的安装配置过程，nagios安装比较简单，但是配置是比较复杂，这篇文章只是安装配置的第一篇。都放到一篇博客里面写，文章会过长。一，cacti,munin,nagios的比较cacti安装比较麻烦，配置也比较复杂，不过插件还是比较多的。web界面做的比较美观。有一点我不喜欢用它，就是它用到mysql数据库，数据库这一块本来就是网站性能的瓶颈所在，测控工具还要数据库，这是我所不能接受的。想了解cacti请参考linux cacti 服务器监控 安装配置munin是我目前为止最喜欢的一种服务器监控工具，安装配置简单，不光是单服务器，还是多服务器。还有它不要用mysql数据库。唯一要的就是web服务。想了解munin，请参考linux munin 服务器监控 安装配置nagios是我准备要用的监控工具，它不要mysql支持，它可以提供服务器警告功能，例如当服务器down机，它会发邮件通知，或者是短消息通知，这一点就比较好了。如果管理的服务器太多，就不要整天盯着监控看了。就是配置起来比较麻烦一点。发邮件是要邮件服务器支持的，请参考前几天写的postfix安装配置。二，安装nagios及所要的安装包[root@localhost etc]# yum install nagios-plugin nagios n ...继续阅读 (63)

下面内容是参加的一门网络课程的一个章节脉络。自己再脉络基础上进行了扩展。看图说话1.平台综述描述一个平台(linux,windows),这里说的平台，其实就是主机。衡量一个主机的好坏，主要从5方面入手即可。主机的用途不同，要求指标也会略有不同。2.解决性能问题的一般步骤解决线上问题的步骤，和医生诊断的情形进行类比。解决线上问题的过程，往往最耗时，最困难的地方，就是定位问题过程，往往伴随着迭代往复。尤其解决那些不易复现的问题，非常困难。我的处理方式是：对于性能问题，没有好的办法，针对任务类型，从主机和应用层面进行调优；对于业务BUG，只能先定位问题起点，设法在测试环境模拟出BUG发生。3.指标获取及分析这个阶段，可以类比为医生查看诊断报告。诊断报告，也分为两部分，静态信息（如身高，体重，性别），和动态信息（氨基酸比例，白细胞比例等）。对这些指标综合考虑，可以正确评价繁忙程度。指的注意的时，日志是主机向我们传达的信息，非常重要。系统参数，影响着主机行为，也非常重要。4.主机五要素4.1 CPU指标命令注意总体负载(Load average)uptimetopsar -q要综合考虑CPU合数CPU使用率sar -uvmstat( us sy id wa st)当CPU使用率持续达到80%以上，那就说明服务器在高负荷运行，比较危险用户进程的CPU使用率sar -u如果在总的CPU使用率中占 ...继续阅读 (72)

很多广告商会在自己的网页广告中使用一种名叫uXDT的技术，这项技术可以帮助他们追踪用户的访问习惯，这样就可以更有针对性地向用户投放广告了。此时，攻击者就可以在一个Web页面中嵌入能够发出超声波的广告或JavaScript代码，当Tor用户使用Tor浏览器访问这个页面时，他就可以利用附近的手机或电脑来劫持目标设备向广告商发送识别信标来获取到包含用户敏感信息的数据了。这种攻击模型是一个由六名研究人员组成的团队研发出来的，并在2016年底发布了出来。据了解，他们还在2016年的Black Hat黑客大会和第33届混沌通信大会上演示了这种攻击技术。基于超声波跨设备追踪技术（uXDT）的攻击模型他们的研究主要集中在超声波跨设备追踪技术（uXDT）之上，而现代广告平台在2014年左右就已经开始使用这项新技术了。uXDT技术实现的基础是广告商隐藏于广告中的超声波信号。当广告在电视或广播中播放时，或者是广告代码在移动设备或计算机中运行时，它会发射出超声波信号，而这些信号可以被附近配备了麦克风的笔记本电脑、台式电脑、平板电脑或手机所捕获。这些设备在监听到超声波信号之后，可以解析出其中包含的隐藏指令，然后再根据广告商服务器所返回的数据来提取出目标设备的相关信息。广告商之所以要使用uXDT技术，主要是为了将不同的设备与同一用户联系起来，了解用户的习惯，并向用户投放更加合适的广告。的确可以用超声波来对To ...继续阅读 (66)

0×01 前言在最近的恶意软件的调查中，我们发现了一些有趣的混淆JavaScript代码。此代码伪装成现在流行的插件AddThis social sharing的一部分，在URL命名约定和图像文件中使用它。恶意软件最终将网站访问者重定向到node.additionsnp[.]top，这个网站存在着可能对访问者造成威胁的技术骗局。这种恶意软件巧妙的隐藏了自己，网络管理员很难能识别它。0×02 混淆的恶意图像文件恶意代码嵌入在WordPress核心文件的末尾wp-includes/js/jquery/ui/datepicker.min.js攻击者使用onblur函数加载恶意内容，窗口失去焦点三秒后，它将使用replace函数来解密模糊的payload URL。 这是通过在字符串中随机位置添加0到5的数字来编码的，如下所示：22c1n4d41.3s27-44a2d11d1t0hi4s3.0t1o2p001在从字符串中删除0-5之间的所有数字后，我们看到它从以下位置的URL获取payload：//cnd.s7-addthis[.]top恶意软件还会在字符串前添加http和附加#ad.png，从而生成PNG图像文件的URL。0×03 一个令人信服的假图像该恶意软件很狡猾，如果你直接去访问PNG文件，会返回一个404页面。这很可能是攻击者基于访问者浏览器的 user-agent字符串进行了限制 ...继续阅读 (65)

0×00 背景年前Fuzzing暴风影音时，得到一个avi格式poc样本，MSEC插件提示Exploitable，一直拖到现在才把整个分析过程整理出来。最后虽然无法成功利用，但总算搞清楚了漏洞产生的原因。期间自己也悟出了一些漏洞分析的基本思路，细细品味，甚是欢喜。故总结成文，希望能和大家共同探讨漏洞分析奥妙之一二。不当之处，敬请指正。0×01 漏洞现场还原系统环境：Win7 x64 暴风影音：5.67.0116.1111 发布日期：2017年01月17日POC样本内容：00000000h: 52 49 46 46 68 02 00 00 41 56 49 20 4C 49 53 54 ; RIFFh...AVI LIST 00000010h: 2A 02 00 00 68 64 72 6C FE 80 80 80 80 80 AD C1 ; *...hdrl€€€€ 00000020h: B0 44 6A F8 80 80 81 AB FC 80 80 80 81 94 02 FE ; 癉j鴢€伀鼆€€仈.? 00000030h: 80 80 80 80 81 B9 F8 80 80 81 87 E0 81 87 E0 81 ; €€€€伖鴢€亣鄟囙? 000 ...继续阅读 (62)

Docker是一个开源的应用容器引擎，可以轻松的为任何应用创建一个轻量级的、可移植的、自给自足的容器。利用Linux的LXC、AUFS、Go语言、cgroup实现了资源的独立，可以很轻松的实现文件、资源、网络等隔离，其最终的目标是实现类似PaaS平台的应用隔离。Docker值得关注的特性：文件系统隔离：每个进程容器运行在一个完全独立的根文件系统里。资源隔离：系统资源，像CPU和内存等可以分配到不同的容器中，使用cgroup。网络隔离：每个进程容器运行在自己的网络空间，虚拟接口和IP地址。日志记录：Docker将会收集和记录每个进程容器的标准流（stdout/stderr/stdin），用于实时检索或批量检索。变更管理：容器文件系统的变更可以提交到新的映像中，并可重复使用以创建更多的容器。无需使用模板或手动配置。交互式shell：Docker可以分配一个虚拟终端并关联到任何容器的标准输入上，例如运行一个一次***互shell。Docker通常用于如下场景web应用的自动化打包和发布；自动化测试和持续集成、发布；在服务型环境中部署和调整数据库或其他的后台应用；从头编译或者扩展现有的OpenShift或Cloud Foundry平台来搭建自己的PaaS环境。本文介绍如何在RedHat/CentOS环境下安装Docker。官方文档要求Linux kernel至少3.8以上，且docker只 ...继续阅读 (70)

此文根据【QCON高可用架构群】分享内容，由群内【编辑组】志愿整理，转发请注明出处。王康，奇虎360基础架构组资深工程师 目前负责分布式配置管理服务QConf的研发和维护，并推动其在奇虎360的应用。专注于服务端底层通用工具、框架和系统的研发，为公司的Web服务端及服务端提供易用、可靠的基础服务支持。QConf是奇虎360广泛使用的配置管理服务，现已开源，欢迎大家关注使用。https://github.com/Qihoo360/QConf本文从设计初衷，架构实现，使用情况及相关产品比较四个方面进行介绍。设计初衷在分布式环境中，出于负载、容错等种种需要，几乎所有的服务都会在不同的机器节点上部署多个实例。而业务项目中又总少不了各种类型的配置文件。因此，我们常常会遇到这样的问题，仅仅是一个配置内容的修改，便需要重新进行代码提交SVN/Git、打包、分发上线的全部流程。当部署的机器有很多时，分发上线本身就是一个很繁杂的工作。何况，配置文件的修改频率又远远大于代码本身。追本溯源，我们认为麻烦的根源是日常管理和发布过程中不加区分配置和代码造成的。配置本身源于代码，是我们为了提高代码的灵活性而提取出来的一些经常变化的或需要定制的内容，而正是配置的这种天生的变化特征给我们带了巨大的麻烦。因此，我们开发了分布式配置管理系统QConf，并依托QConf在360内部提供了一整套配置管理服务，QConf致 ...继续阅读 (56)

本文将告诉各位同学如何通过VPN来保护Android手机的隐私安全，你也许不需要花任何的钱，但免费的VPN应用也有其不足之处。在Android手机上使用VPN不仅可以帮助你访问那些被墙掉的内容，而且还可以让你在上网过程中保持匿名性。目前市场上有很多App可以给用户提供免费或收费的VPN服务，但是哪一款才是最适合你的呢？为此，我们专门对目前市场上最热门的六款AndroidVPN应用进行了测试，并对这些VPN服务的性能进行了全面的分析。当然了，你也可以选择使用其他厂商的VPN服务，或直接使用Android平台内置的VPN工具，经过一些自定义设置之后，Android内置的VPN工具同样会非常的好用。为什么要使用VPN？简单来说，VPN（虚拟专用网络）可以将你所有的网络通信数据汇集到一台远程服务器中，然后再由这台服务器将数据发送到目标地址。用户可以通过VPN来伪造定位数据，并掩盖自己的真实IP地址。VPN会对流经服务器的网络数据进行加密处理，并增加数据窃听者的攻击难度。从某种程度上来说，即便你使用的是不安全的WiFi网络，VPN也同样能够保障你的数据安全。由于VPN可以帮你伪造地理位置信息，所以你就可以利用VPN来访问某些受到地理限制的服务，例如脸书等等。但是在享受这种“畅通无阻”的服务时，用户也需要关注VPN服务提供商的安全问题，毕竟他们可以访问你所有的网络数据。就好比HolaVPN一样 ...继续阅读 (58)

前言长话短说，事情的起因是这样的，由于工作原因需要分析网站日志，服务器是windows，iis日志，在网上找了找，github找了找，居然没找到，看来只有自己动手丰衣足食。那么分析方法我大致可分为三种：1. 基于时间：将请求url按时间段分类，那么我们根据每个时间段的url数量及攻击数量就可以大致判断出哪个时间段有apt类型攻击，哪个时间段是扫描器行为；2. 基于攻击ip：正常的攻击肯定会有请求被记录（当然你要是有0day当我没说，正常的探测总会有吧=。=！），然后每个ip去分析；3. 基于访问请求的状态码，也大致可以判断出行为。规则可以基于开源waf规则，分析扫描器写正则也可以，开源waf地址是https://github.com/loveshell/ngx_lua_waf/tree/master/wafconf。扫描器正则https://github.com/smarttang/w3a_SOCD的database里面有详细地址https://github.com/smarttang/w3a_SOC/tree/master/db_sql。Sql语句里面有想把它做的功能全一些，但是学python学习时间也不是很长，写出来的代码也没有pythonic，会慢慢写的。目前分三个模块，一个日志归类模块命名为url.py，攻击分析模块attac.py， ip地理位置查询模块ipfind.py ...继续阅读 (65)

摘要漏洞扫描器，也叫VA（Vulnerability Assessment）漏洞评估或者VM（Vulnerability Management）漏洞管理，一直是各大安全厂商产品线中不可或缺的一部分。本文是以一个产品经理的角度讨论其中更细分的一个领域，WEB漏洞扫描器。所谓产品经理的视角其实是兼顾甲方和乙方的立场。重要地位WEB漏洞扫描器主要任务是发现WEB服务存在的安全漏洞，及时通知用户并给出一定的修复建议。在PDR以及P2DR模型中，WEB漏洞扫描器属于检测环节，是动态响应和加强防护的依据，通过不断地检测和监控网络系统，来发现新的威胁和弱点，通过循环反馈来及时做出有效的响应。当攻击者穿透防护系统时，检测功能就发挥作用，与防护系统形成互补。在SDL过程中，WEB漏洞扫描器的一大作用就是在上线前在测试环境对业务系统进行安全扫描，发现WEB漏洞。常见衡量标准如何衡量一款WEB漏洞扫描器能力是一个非常复杂的问题。Gartner的观点主要是以下几点：对设备、第三方运营系统及应用的覆盖范围广度；漏洞签名和相关通告的范围和质量；扫描机制的速度、可靠性、易管理性和安全性；分析和报告发现结果的能力；漏洞数据管理和跟踪能力；集中化管理和扫描器扫描调配能力。实践中的不足市场上的WEB漏洞安全产品十分丰富，从开源工具到免费SaaS产品和商业产品，几十款肯定打不住。我在实际工作中也接触了很多，以比较严格的 ...继续阅读 (72)