我的第五条个人原则 – for 2025不把自己当成成功机器 – 关注自我感受多过政治正确将感觉良好、没有困扰列为2025的一个目标 – 不会时长感到不安和焦虑将爱和喜悦带给身边的人 – 而不是焦虑和烦恼从长远来看，1~3和工作业绩/事业成就不会冲突。1-3的优先级会高于短期的工作业绩。我的第五条个人原则 aka 工作狂的自救指南最先出现在帅核桃说。 ...继续阅读 (3)

我曾经在几家科技公司工作，公司为我提供了非常多的计算资源，而且对我来说是可以免费使用的。但是也有两个问题：理论上来说公司的服务器上不应该跑个人的代码。离职之后会立马失去公司服务器的所有权限。作为一个不折腾会死星人，还是要有一些自己的计算资源，但是云厂商的资源又死贵死贵的。先上答案，我的Homelab硬件包含：存储：群晖的4盘位 NAS，3X16TB HDD。-with RAID5计算：一台配备了霄龙7601的大主机和一张4090显卡网络：TPLink 企业级路由器 + Koolshare 虚拟机至此，所有的存储和计算需求已经可以满足我的需求了，计算焦虑症在2025年也得到了治愈。我接下来会介绍这套方案的优点和不足，供大家参考。从最后说起1. TPLink企业级路由器在这之前我使用过很多的方案，例如：使用R2S或者其他双网口设备，做软路由使用爱快做主路由 + 一个旁路由TPLink路由器 + Macmini Surge…方案1和2在但历史上多次出现过稳定性问题，每次网络宕掉都带来若干个小时的折腾时间，维护成本极高。方案3稳定性很好，后来Mac mini送人了…现在的方案是：TPLink做拨号的主路由器 + 群晖NAS上开个虚拟机，启动一个可以你懂的SOCKS5/HTTP PROXY。这一套方案到现在为止，稳定得令人发指。2. 一台霄龙7601的大主机在这之前我 ...继续阅读 (3)

今年的年终总结比2023来得更早一些，趁陪张美丽考证，在咖啡厅里记录敲下我对2024对一些记忆，写到哪算哪里吧。马上到年底了，今年除了没有赚到钱，其他整体来说还不错。1. 变化1 – 关于工作和清闲的NWCD不同，今年工作占了今年的大头，我有大量的时间都投入到了工作里。加入网商银行（之后用Mybank替代）之后，我在一个偏研发的团队做甲方安全。总的来说还不错，感觉和公司处在一个互相共赢的状态。公司给了我工资和平台，我把时间和知识/经验卖给公司，公司的工资和平台会让我累积更多的知识和经验，我的知识和经验也让公司运转更加安全稳定。总结：左脚踏右脚，一起向前进。2. 变化2 – 不简单的稳定性今年经济不好，我猜今年乙方安全的同学的日子仍然不好过。今年安全行业让我印象最深的绝对是今年7月时候Crowdstrike 的蓝屏事件，国内影响比较小，但总归是个很恐怖的事情。除了CS的这个稳定性事件，阿里集团也不太稳定。总结：祈祷2025平安少出事，行稳致远3. 说说去年总结里的业余项目1. 神龙漏洞平台断断续续更新了一些feature，不出意外的话会一直做下去。在平台里引入了大模型的能力，包括多模态的模型和微调过的大模型。有希望帮助我们从繁杂的漏洞运营工作里解放出来。总结：投入的时间比较少，但还在往前迭代，很不错了！ASM & 测绘ASM和测绘今年完全停止了。MyBank的 ...继续阅读 (4)

大模型如果你现在访问神龙漏洞库，不出意外的话已经有大模型为您解读Link里的内容啦！（底层是基于千问做的），访问https://cve.imfht.com/detail/CVE-2024-10699试试吧！如果你关注一下同类的产品，会发现我们做的东西还挺不错的，例如阿里云漏洞库和微步在线漏洞库。断断续续更新一年了，没有哪个大厂会有这样的耐心，也没有哪个小公司能一直投入做这种没有盈利的事情，祝我们一切都好啊~ ;-D神龙漏洞库的十月更新：Link解读集成千问大模型，一些其他优化最先出现在帅核桃说。 ...继续阅读 (15)

总的来说，还是有希望的一、向经营自己的公司一样去工作。这个实践起来会有一些问题。1. 自己会怀疑合理性，毕竟钱没有装进我的口袋里。2. 大部分其他同事不是这个出发点，配合也会有一些问题。3. 结果认定由一小部分人决定，如果经营理念不一致也没有好的结果。再说为什么有这一条，在前两家公司都听到过类似的话：“你可以放心，我做这个完全没有私心，完全是从部门/公司的角度出发，为了部门/公司好”。其中一位是湖南老乡，一个安全产品线总监（我走那年就听说快升GM了）。另外一位是公司CEO，职业经理人，都厉害得很。二、建立了原则可以翻翻博客里的帖子，建立原则之后生活简单了很多。当把工作和家庭的优先级写称原则时，一些决策就不用过脑子了。我觉得很不错，继续保持和捍卫原则。三、赚钱很难，售卖时间不长久比较惭愧，毕业六年了，暂时不具备创造财富的能力，每个月靠发薪养家。工作越来越忙，时间越来越少。长期来看需要自己具备创造财富的能力，土话一点讲就是要自己当老板，创造就业岗位。但是现在还没有太多进展。我想以后可能可以：等抗风险能力再高一点再出发。等本钱再多一点再出发。能不能通过股市把我对行业的认知变现呢？四、总的来说最近这个话经常从脑子里冒出来。例如：“总的来说，这份工作还不错”、“总的来说，现在也还可以。”经济不好，士气低落。这个是既定事实。但另外一个事实是年轻人方锦旭还在上升期，有很多问题还等待我去解决。保持 ...继续阅读 (14)

1. 神龙大模型今年S1在公司全职做过一段时间大模型，后来觉得落地成本实在太高，从算力到基建到研发范式都不成熟，恰逢组织架构调整，于是快刀斩乱麻，停止了对大模型落地的研究。神龙漏洞库是我一直在维护的一个开放的漏洞平台（应该是国内的为数不多的提供API的漏洞库），其中就用到了一些大模型来辅助提供漏洞的信息，例如在漏洞描述信息里的翻译信息就是通过大模型提供的。如果你观察足够仔细的话，你会发现国家漏洞信息库CNNVD，有自己的一套翻译逻辑。使用基座大模型进行一些微调之后，神龙大模型学习了CNNVD的漏洞翻译方式，从技术上我们可以实现和CNNVD非常接近的翻译效果。技术原理也不复杂， 如果你感兴趣的话，可以在文章下面留言，有时间我会再分享一下技术原理。神龙大模型现在还没有上线，是CNNVD的翻译格式好还是用原生的英文翻译，这个我还没有想好。不知道是公司的原因还是成长阶段的原因，最近没有想清楚的事情有很多。和同事交流也常常是，这个我还没有想好，我们先不做。没有想好的一个原因是脑力不够用，另外一个原因是注意力不够集中，想得太多用来做事的时间就少了。2. 神龙文件库国内一直缺少类似Exploit-DB这样的公开网站，如果有的话也一般留在了企业内部，因为乙方企业把POC数量作为安全能力建设的一个指标。在收集漏洞信息的同时，我把一些情报和POC数据在本地也存了一份。所以你可以在POC页面去查看到PO ...继续阅读 (20)

关注我博客的朋友们都知道，我之前一直挖大坑，做OpenEASM的项目，但是精力实在是跟不上来，离成熟产品还有很远距离，于是项目暂时搁置。最近又开始挤出时间来挖坑做新项目，受以下3个事情的影响：最近收到了一封来自热心网友的邮件，主题是“关于cve.imfht.com无法访问的咨询及提供帮助意愿”，大受鼓舞，恢复了平台之后，又更新了几个新功能（例如把离线的POC缓存到本地供离线获取，解决在线信息源被删除的问题）。最近看到白帽汇赵武赵老板的一个文章，https://mp.weixin.qq.com/s/CL1JDTtT4YqWc7s4BYKNOw，除了分享成长故事之外还提到了信创背景下，一些自主可控的科技企业会有新的机会。我现在的老板（不透露名字了），不止一次在不同的场合和我聊到，中国的网络安全市场还很不成熟，期待若干年后会好一些（可能是十年）国内安全环境确实不成熟，以开放的DNS数据为例，我做过一段时间的情报研究，申请过一个Rapid7 OpenData 的授权，后来因为Rapid7公司收缩了授权，这些文件的最后更新时间都停留在了2020年，始终没有找到可替代的数据源。这些数据至今还躺在我的Google云盘里当然也有一些国内的安全研究人员自立更生，创建了类似的项目，但比Rapid7家的数据还是差了一点意思，比如：https://data.y1ng.org/FDNS/1x1_A%20Re ...继续阅读 (25)

价值观不同，是一个很难受、很痛苦的事情。在关键事情的实现路径上，出现了价值观的分歧导致进展推动缓慢(准确的来说是更重视右侧价值导致开发进展非常非常非常缓慢)，让我的上班体验大打折扣，大打折扣，我深受其害。改变他人的价值观是个很难的事情（就像我也很难被人说服一样），我想我有必要分享一下我的软件开发价值观。告诉大家：我是个敏捷开发主义的信徒。我认可右项的价值，但更重视左项的价值，如果你不认可我们的价值，让我们像牛仔一样，开始决斗吧我的软件开发价值观最先出现在帅核桃说。 ...继续阅读 (39)

佛教有时候自带一些历史虚无主义的特征，比如金刚经里讲过去心不可得 现在心不可得 未来心不可得当时学经的时候，看到这里心都凉了，本因心中愁苦才来学佛，佛还把每条路都给堵死了。讲经的老师讲：过去的已经过去了，想也没用，现在转瞬即逝，抓也抓不住，未来还没到，想也没有用。两年之后回过神来，要把这个定义为历史虚无主义，虽然很有道理，但是主义不对，我们要批判他。什么是存在主义呢，毛主席就说过：世界是你们的，也是我们的，但是归根结底是他们的。这就很好，过去也存在，未来也存在，虽然归根结底都会变成别的东西，但世界还是妥妥的存在。那些个爱恨情仇，焦虑苦闷，心欢愉悦，都是我们的真实感受。过去存在在我们的记忆中，现在正在运转，未来也可预判。向虚无主义开炮，历史存在主义万岁~！向历史虚无主义开炮最先出现在帅核桃说。 ...继续阅读 (39)

如果你想把AWVS的扫描数据导出，以及不想使用它的API，那么可以看看这个方法。1. 登录容器，获取数据库密码：cat /home/acunetix/.acunetix/wvs.ini|grep 'connection.password' |awk -F '=' '{print $2}' # HcMKzXYgGwDv6IumYxvHZDndamYzuC (最后两位我马赛克掉了)2. 登录使用容器内的postgresql连接（v_211220100需要更换为你的版本），以及输入你的密码/home/acunetix/.acunetix/v_211220100/database/bin/psql -h localhost -U acunetix -p 35432 -d wvs -W > （输入你的密码） 看看有什么表： \dt 还不少呢~ Schema | Name | Type | Owner --------+--------------------------+-------+---------- public | admin_records | table | acunetix public | checks | table | acunetix public | e ...继续阅读 (63)

问题描述：中文糖尿病问题分类评测任务旨在自动为患者提出的有关糖尿病问题进行分类。该任务将有助于增强搜索结果的性能并推动糖尿病自动问答服务的发展。参赛者需要预测测试集中糖尿病问题对应的分类，预测完成后需将测试数据集空缺的类别标签数据进行填充。评价环节仅对填充的数据进行误差分析，得出预测表现得分。问题样例：糖尿病是否引起疲劳? 4糖尿病患者可否食用鲶鱼? 32型糖尿病患者是否可服用参鹿补片? 32型糖尿病的尿路感染是否能够治愈? 22型糖尿病患者能否食用甘庶和葡萄? 3请问同仁堂是否推出治疗糖尿病的泡脚中药? 5尝试用大模型来解，发现成本过高，于是使用预训练模型一把梭（下方gist访问不了可能需要魔法上网）。准确率：76%（场上选手最高 79%）【天池比赛】NCAA2024-中文糖尿病问题分类评测最先出现在帅核桃说。 ...继续阅读 (57)

已集成在Tenable-One(暴露面管理)的产品中，产品名字：ExposureAI三个功能：搜索、解释、行动搜索：自然语言转SQL、总结和行动建议。背后基于暴露数据库：ref: https://www.tenable.com/solutions/exposure-ai网络安全与大模型，Tenable在做什么？最先出现在帅核桃说。 ...继续阅读 (77)

简化运营流程：问、回答、行为。询问：最近几天华盛顿的登录失败请求，展示查询结果和SummaryAI架构图：从产品感受来看，crowdstrike对GenAI是偏保守的。从官方博客发表的文章来看，底层调用的是API，技术上可能是类似functioncall一类的。其他厂家（Google、Fortinet）生成的是SIEM的SQL语句。https://www.crowdstrike.com/blog/questions-to-ask-for-responsible-generative-ai-use/（发表于2023-12-20）产品上，展示每个QL后的具体Action公司介绍：网络安全与大模型，Crowdstrike在做什么？最先出现在帅核桃说。 ...继续阅读 (65)

打造产品：Fortinet Advisor ，引入生成式AI，与Forti SIEM和FortiSOAR结合。灵魂质问：4个关键价值：1. 使事件、警报和事件更易于理解：分析此事件并告诉我要采取什么行动。告诉我有关此恶意软件以及使用它的攻击者的信息。哪些 IOC 与此攻击活动相关？2. 快速响应活动和有效性：哪些阻止行动将有助于遏制这一事件？ 推荐针对此警报的响应手册。该威胁行为者采用了哪些 MITRE 技术？3. 将自然语言请求转换为执行复杂数据库查询所需的技术查询并自动构建丰富的报告。显示最新的已知漏洞– 此查询检索 FortiSIEM 已知的环境中的所有漏洞的列表。创建一个报告，显示源 IP、目标 IP 和事件总数，其中报告设备 IP 属于防火墙设备组，事件类型属于允许的网络连接组。按源 IP 和目标 IP 进行分组，仅在事件总数大于 100 时显示结果，并按事件数降序排列结果。创建过去 30 天内每个关键事件的事件报告。4. 提供有关 playbook 模板的指导、推荐 playbook 组件，甚至构建整个 playbook。 创建一个剧本来阻止公司防火墙上的 IOC 列表。制定一个剧本，从这次攻击活动中寻找 IOC。这本剧本的每一步都在做什么？ref: https://www.fortinet.com/blog/business-and-technology/fortin ...继续阅读 (68)

带着问题思考：如果我们要做网络安全大模型产品，对着哪个借鉴成功率会最高，理由是什么？1. Google / Mandiant2023年4月，将智能化融入到日常安全工作流程中2023年11月，正式发布Duet AI产品2023年4月以对话方式搜索、分析和调查安全数据漏洞搜索Summary：文章搜索结果SummaryNL2SQL 辅助运营输入结果，输出SQL，直接运行检索规则助手：NL自动生成规则、直接运行和总结AI解读BAS结果生成BAS结果总结和其他三个问题：Google AI架构图ref: https://www.youtube.com/watch?v=OBnylC91RCk2023年11月, Google Cloud上线Security Dute AI早期用户反馈表明，安全运营中的 Duet AI 将安全分析师编写、运行、优化搜索以及对复杂案例进行分类的时间减少了大约 7 倍。ref: https://cloud.google.com/blog/products/ai-machine-learning/duet-ai-for-developers-and-in-security-operations-now-ga告警简化：冗余复杂的告警信息，AI进行了简化简化前：简化后，展示核心内容：通过智能自动生成SIEM QL，提高生产力用户反馈：Duet AI in Security O ...继续阅读 (57)

昨天参加了中关村开源生态论坛暨大模型智能应用技术大会，继PyCon2023后参加的第二个外部会议。PyCon的主题是”Hello, AI“，我全职做大模型才一个月的时间，参加PyCon时候还没有入职新公司，也第一次听说微软也有类似langchain这样的东西。当时我问到一个尖锐的问题：“作为普通开发者，我应该在什么时候选择Langchain，什么时候选择semantic-kernel?”，没想到一个月之后，这个问题就变成了我需要在职场里回答的问题。从现在来看，semantic-kernel是更适合开发企业级应用的，langchain则更适合开发个人的应用。其实也本来就不冲突，semantic-kernel中也可以嵌入langchain的组件和模块，提高大模型应用的开发效率。再说这次参加的《中关村开源生态论坛暨大模型智能应用技术大会》，很像是一群大模型信徒，攒了一个线下的聚会，在刚建好没多久的中关村论坛大楼里，大家一起分享自己在大模型领域的所思所想。中关村论坛大楼大会的录象带已经公开了，大家可以在网上观看: https://www.c114.com.cn/live/t799.html我根据自己的兴趣，重点关注参加了以下议程:上午上午的会议比较高屋建瓴，一半是开源生态，一半是大模型相关：议题有：《The Feature will be Open -共探开源AI》。以前只听说过Apach ...继续阅读 (122)

上次写了一个文章，叫做《那些年看过的美剧 2022H2 ~ 2023H1》那些年看过的美剧 2022H2 ~ 2023H1》。总结是个好习惯，再接再厉。最近依旧很忙，加入新公司，虽然还在信息安全领域，但新人要落地还是有点挑战的，新公司的工作节奏对比上篇美剧总结时已经快了非常多，我的时间也忙忙忙忙忙忙不过来了。好在我是个忙碌型人格，忙忙忙但是能创造价值，感觉很很不错。在新公司做大模型，任务艰巨，很多坑都没有人趟过，有一种创业的感觉。以后我就不说自己是个忙碌型人格啦，以后要说自己是个高效能人士。以下是近期读过的几本书，分别是：《高效能人士的七个习惯》、《秘密》-村上春树、《吃掉那只青蛙：高效时间管理法则》，以及还有前段时间读过的村上春树的另外一本小说叫做《海边的卡夫卡》，放一起回顾总结一下。高效能人士的七个习惯很早之前就听说过这本书（我猜我也读过一点点），可能是因为没找到共鸣，没共振起来，这次换了工作之后再读这个书，频率高度共振。趁着刚看完热乎劲还在，根据印象总结一下我关注的一些点。高效能人士，即关注产出，也关注产能。上帝很公平，每个人一天都只有24小时，要创造价值（积累财富）就需要提高效能。高效能人士注重产出，也注重产能。例如：一个鹅每天下一个蛋，这个蛋就叫做产出，鹅能够持续地下单，就叫做产能。如果杀鹅取卵，则只有产出而没有产能。高效能人士需要兼备产出与产能。如果把工作当成产出，身体 ...继续阅读 (59)

这是大语言模型的第二篇，写完这个短期内应该也不会继续更新了，接下来一段时间需要继续集中精力去解决工作中的复杂问题。使用大模型（特指GPT4）来替代一些简单的工作（或者入门级的安全工程师），还是比较有希望的，替代中高级工程师短期来看不可能。原因也很简单，大模型用到的语料都是博客啊、书籍啊一类的东西，很多牛逼的东西都装在专家脑子里，即使专家想把毕生功力传给大模型，也不是一个简单的事情。譬如我问某师傅：“你咋知道这里有洞？”，某师傅：“我一看就感觉这里有洞。”。专家很难替代，而基于铺天盖地的入门级文章，大模型掌握一些常见的渗透测试方法，不是个难事。期待GPT5的出现， 以及国产GPT4的出现，大量的应用都值得使用大模型重新做一遍。（脑力不够用了，有机会再新开一个文章畅想一下）。基于大语言模型做了一个demo ，在kali环境里创建一个Agent，大模型自己一溜就调用系统命令，获取输出之后又能自己编排生成下一步的参数。我感觉是真的牛。背景在渗透测试或者漏洞扫描产品里，一般都会通过nmap去识别端口，然后再调用一些检查模块，例如漏洞扫描、例如弱口令扫描等去对目标完成安全检测。一般这个工作是由人来做的，或者由具备开发经验的安全人员开发代码去进行一些检查。挑战由人来做：人力成本高。由开发来做：开发成本高，且只能根据开发出来的流程执行，缺乏灵活度。方案给大语言模型一个Kali，让大语言模型基于 R ...继续阅读 (64)

今年的回忆录，比以往几年要来得早一些，在奔波忙碌中，2023又接近了尾声。以前写年终总结，总是离不开工作里的项目，有的时候还因为一些保密性的原因，年终总结写得得也不太顺手。今年就不一样了，自打从腾讯离职之后，工作清闲自在了很多，工作在生活中的占比也少了一些。如果抛开工作里具体项目不说的话，今年的脉络比较清晰。首先甲方安全转型还在继续：考证书，换工作。6月：考下了CISSP证书，攒了一些甲方安全转型的理论基础。7-8：在处理搬家的事情。9月：开始找工作，看了一圈新加坡的工作，无果后开始看国内的机会。10-11月：开始找国内的工作，选定新的安全赛道。离职交接，直到现在。然后是生活上的事情：搬新家，住新房把我爸接到北京住了两个月，北漂少年终于有人照顾了，后来岳母也来北京住了两周，家里有人，体验还是大不一样。今年搬进了自己的房子，生活空间也从60平变到了90平，自己的房子住着固然是舒服，但恋旧的锦旭也怀念租房时候的快乐生活。不交房租之后，感觉生活宽裕了一点（但是还有一万好几的月供啊~~），开始找新的人生意义。和去年一样，今年也产生了很多新概念：大模型、ASM、BAS，我也进行了一些落地实践。大模型 & AI技术大模型去年就开始火了，当时注册了一个账号体验了一下OpenAI的在线聊天，实际用的也少。倒是GitHub的copilot给我的编程提供了很多的便利。可能是因为我比较活跃或者是给哪个开 ...继续阅读 (52)

背景当新的漏洞或者新的威胁出现时，安全厂商或往往会通过例如博客、公众号等渠道发布安全预警文章，并在文章中分享与此事件相关的IOC指标指标。IOC一般翻译为入侵指标或妥协指标，例如某个C&C;服务器的IP或某个恶意文件的MD5值。安全运营人员往往需要在这些非机构化的文本中提取最新的IOC指标，以丰富企业的威胁情报库并判断企业内部资产与这些IOC指标的关联性。挑战各个厂商的安全公告格式各有不同，为非结构化的数据。具有上下文含义，例如攻击者服务器IP 1.1.1.1和更新服务器IP `1.1.1.1` 显然是两类IP，通过正则表达式无法实现匹配。需具备上下文理解能力。初步测试结果测试模型：GPT-4是否满足需求：是测试简述：使用大模型提取微步在线发布的安全预警通告Confluence RCE 已引发一连串勒索，速修中的IOC指标。稳定性测试：未测试USER: 我是一个网络安全分析人员，我的主要工作是从文章中获取到威胁情报相关的IOC，接下来我会给你一篇文章，你将会把其中的IOC通过JSON的方式返回给我。如果IP或者域名中包含一些防止误判的转移字符，请帮我自动移除。请注意这对我的职业生涯很重要。BOT：当然，我很乐意帮助你。请提供你需要我分析的文章。USER: 微步漏洞团队于10月31日监控到Confluence Data Center and Server远程命令执行漏洞（CVE-2 ...继续阅读 (67)

我从来没有预料到，25岁的我竟然会有白头发。最近忙得不可开交，终于基本告一段落。赶上周末准备休息一下，张美丽给我拍了一张照片。结果没想到，我竟然长出了几根白头发。天呐噜，我才25岁，用ice的话来说，正是当打之年，怎么就长出白头发来了？我在一轮HR面试的时候被问到：“你读书好早啊，这个对你现在的工作有什么影响吗？”。当时叨叨叨说了很多，但是如果用一句话来回答的话：“我是一个早熟的人。”，这个我觉得是和读书早是脱不了干系的，身边人的年龄都比我大，我也比较喜欢和比我年龄大的人玩。久而久之，思想水平就容易向年龄比我大的朋友们看齐。尤其工作之后更加如此，除了和身边的人对话，我又读了（我觉得不少）的书，和我对话的人跨越古今，于是大道理装了一肚子。古语有云：“见贤思齐“，我成了一个早熟的人，早熟到长出白头发了。当然，众看官可能会好奇：“锦旭你哪里早熟了？”。我觉得我思考了很多不该我这个年纪思考的事情，很多问题可以留给30岁的我再去琢磨。天天琢磨些有的没的，经济政治历史大趋势小趋势，你看，有白头发了吧。早熟的人长出了白头发最先出现在帅核桃说。 ...继续阅读 (63)

搬到新家已经快两个月了，一直都在整理收拾，也因为工作上有了新的想法，叠加鼻炎手术住院休养，忙得不可开交。国庆回家听说妈妈最近不忙，便邀请妈妈来新房住住，顺带照顾自理能力不太强的我们。赶上周末，一家人齐往故宫游玩。去故宫玩，要记得预约天安门的门票，从天安门广场进故宫才比较顺溜，否则得从偏门绕，步行时间比较长。天安门前的石狮子，制于明朝天安门近景：中华人民共和国万岁从天安门进入后便到故宫，走过一个步行区，便能见到故宫博物院的门楼。虽然已经过了国庆节假期，但是故宫的游客依然有很多。故宫博物院门楼在往前走，便是午门，午门是故宫的大门。午门斩首，也就是把人逐出皇宫处斩。午门近景运气不错，准点抢票约到一个午门的展览，有机会上午门游览。登高望远，人可真不少展览名：茶出中国我拍摄了一些展品，请君过目：茶叶只能看不能喝，简单一看便作罢。锦旭之意不在展，在乎午门美景也。让张美丽给我来了一张君临天下我爱我的祖国。我爱我的祖国因为附近没有高的建筑，午门楼上能直接看到远处的中国尊。远处的中国尊还能看到离这里不远的国家大剧院。人真是不少下来拍一张故宫一角。故宫一角太和殿说来惭愧，刚到太和殿，我就玩不动了。这次的故宫秋游记的博文就到这里吧！不知道什么时候会再去故宫呢，我想会是今年冬天吧！故宫 · 秋游 照片记最先出现在帅核桃说。 ...继续阅读 (63)

SDL的全称是安全开发生命周期（Security Developement Lifecycle），与之类似的词叫做软件开发生命周期SDLC（Software Development Lifecycle）。随着企业安全建设的发展，近两年SDL的岗位也越来越多，针对SDL我有这样的三个观点：SDL和安全左移或者DevSecOps没有本质区别，都是安全介入更早的开发流程中，及早发现风险敞口，降低修复成本。SDL意味着安全团队下场和业务团队一起踩泥巴，对很多公司来说一个安全团队往往需要服务很多条业务线，安全团队的定位更多是在CI/CD流程中进行卡位，自动踩泥巴而不是在架构时就参与设计。对于甲方安全从业者来说，长期在软件开发右侧不是个好主意，时代潮流是往左走，左边的安全和右边的安全没有本质的区别，但是对人会有更细分场景的期待。以下内容转载自：https://www.fooying.com/from_sdl_to_devsecops_security_in_dev/，版权归原作者所有。随着云计算被普遍运用，微服务等基础架构的成熟，同时企业业务高速发展带来的对开发运维更高效的要求，企业开发运维模型也从传统的瀑布模型演变到敏捷模型再到DevOps，而安全模型也随之改变，但其核心一直都是贯穿始终以及更前置的安全。其中“DevSecOps”是Gartner在2012年也提出的DevOps模式下的安全概 ...继续阅读 (56)

CISO的任务是识别和处置风险，对于甲方从业者来说，如何帮助CISO识别公司的风险，是一个绕不过去的话题。不同背景的安全从业者，对安全的理解也不同，故需要找到一个业界的指导框架来指引行动。看到业内创投人谭晓生在2021年的一个分享材料，感觉分类比较科学，便存文分享。六大基础安全领域1. 端点安全关键词：EPP、EDR、HIDS2. 网络安全关键词：IPS、IDS、流量、蜜罐3. 应用安全关键词：WAF、API安全4. 数据安全关键词：数据安全、数据治理、隐私计算5. 身份与访问管理IAM、iDaaS等6. 安全管理SOC、威胁态势感知、SOAR、漏洞管理【转帖】六大基础安全领域最先出现在帅核桃说。 ...继续阅读 (57)

CURL这个组件大家都熟悉，是一个用来发送HTTP请求的命令行工具，同时也有libcurl的库，可以方便其他软件集成自己的能力。10.13(次日)更新好基友发来微信消息，发现我俩的分析逻辑很多地方对不上。经过之后，发现是我俩的CURL版本不同，不同的CURL版本，buffer的逻辑也不同。CURL v7.85.0 之前，目标buffer是个hardcode的值，大小为600byte (SOCKS_REQUEST_BUFSIZE)。CURL v7.85.0 之后，目标buffer是个变动的值，在cmd tool里默认是10kb，通过增加 –limit-rate 参数可以影响这个buffer大小。关于状态机的描述存在不准确，CURL作者的描述是需要一个slow enough的socks5代理，实际测试任意代理均可，但是如果curl以一个极缓慢速度运行时候（例如通过debug step by step运行），则不会触发crash，这个与作者通过socks5实现的状态机有关，鉴于精力未再继续分析。漏洞背景最近，CURL的作者在讨论区提到了近期会发布一个新版本，其中会修复两个漏洞，其中一个漏洞为高危漏洞，并且提到：“所有使用liburl的软件都会被这个漏洞影响”。之后又有热心网友提前发现了补丁和更多的漏洞细节随着更多的热心网友的参与和漏洞细节被公开，长舒了一口气，还好还好，影响面 ...继续阅读 (59)

关注我博客的朋友们可能知道，我有一个ASM的Side Project，经过一段时间的持续测试和验证之后，感觉到ASM的平台似乎存在一个无形的墙，这个墙看不见摸不着，但是确实存在，不管投入多少的精力去开发ASM平台，最终的结果都会碰到这个墙。我的ASM平台接入了全球顶尖的扫描器（OWASP ZAP和AWVS），有全球顶尖的端口扫描工具，甚至还购买了全球顶尖的威胁情报数据以获取企业的外部暴露面，但是以Tesla为例，不管通过什么自动化程序尝试发现Tesla的风险，结果往往都不尽如人意。而对腾讯这种具有复杂业务的企业来说，虽然外部暴露面大，也发现了一些安全问题，但要想持续、稳定地发现企业的安全漏洞，则非常具有挑战。而面对一些信息资产数量本来就少的公司，ASM的表现则更为鸡肋。算法的边界很多人都看过三体这个小说，而其中提到的能够锁死人类科学的 “质子”给我留下了深刻的印象。无独有偶，吴军老师在一个讲关于Chatgpt是否能够替代人工智能的分享里也提到一个概念，叫做算法的边界，或者数学的边界。大意就是算法就是数学，而数学是有边界的。关于数学的边界有完整的理论证明，但是证明的内容我没记住，感兴趣的朋友可以自行搜索一下，但其中有一个案例我觉得很形象，比如一个装载了自动驾驶算法的汽车，学会了怎么熟练的躲避障碍物和安全行驶，算法非常完美。但是如果遇到前面有一个大石头挡住了路，不管实验室的工程师怎么努 ...继续阅读 (61)

最近和某个大佬聊天的时候，大佬问我”锦旭你分析过的最近的一个漏洞是什么？”。这个问题让我不禁一愣，在腾讯天天虽然和漏洞打交道，但涉及到具体的漏洞分析和POC撰写，一半完都会交给同事去做，我一般会更关注流程和体系的建设（当然不忙的时候也还是会自己分析一下漏洞啦）。回想了一下，最新的一个漏洞应该还是在2022年一个minio的权限提升的漏洞，漏洞曝光的时候刚好不忙，对着补丁，搭建了一个本地的minio的单机环境，并写了一个分析文章和漏洞的POC。考虑到minio的漏洞着实有点久远（而且分析文章也留在腾讯内网了），于是我便想着，趁着休病假在家，找个新的漏洞做一个Re-Search吧！但是在开始之前，让我先向你介绍一下aigcve.com吧！AIGCVE.COM我在前段时间开发了一个基于专家经验和一些人工智能的漏洞平台：https://aigcve.com/。平台可以自动收集CVE漏洞，并使用人工智能的技术自动预测漏洞的风险等级和对应的漏洞类别。以及一些人工的专家标签，例如下面截图中的有开源补丁供审计。好，就是你了CVE-2023-43642。漏洞信息漏洞IDCVE-2023-43642漏洞标题Snappy-Java 拒绝服务漏洞风险等级高危 (CVSS分数：7.5分)影响组件Snappy-Java公开日期09/25/2023影响范围广泛组件介绍Snappy-Jav ...继续阅读 (66)

OEDB是我独立开发的一个网络空间测绘平台。OEDB由分布式消息队列NATS + 无状态扫描器ZMAP + 端口指纹识别器PunkMap+ 基于LMDB的全文搜索引擎MeiliSearch+ 一些Python脚本构建而成 + Nuxt.JS构建而成。当前可以识别包括HTTP/HTTPS/SSH/RDP/MYSQL等在内的常见协议，平台的数据量级大概在百万的水平，但是看官可以先访问https://oedb.imfht.com/进行体验 ^_^虽然OEDB是一个让我自豪的业余项目，但是一些问题需要解决，例如：PunkMap 的端口服务识别数量还有待加强（后续兼容Nmap的probefile?）MeiliSearch 在数据量大了之后，性能是一个很大的问题，基于LMDB、不支持分布式处理、甚至做索引的时候不支持多线程写，这将成为项目的短板。将MeiliSearch迁移到ElasticSearch是一个好主意，但是我需要更多的硬件来运行ES，硬件成本对我来说会是一个比较大的问题。OEDB (OpenEASM BannerDB) first version is comming!最先出现在帅核桃说。 ...继续阅读 (80)