2022年第一季度发现，洗钱黑产与上游犯罪呈链条式发展，存在明显的相互依存关系，特别是对资金流转需求巨大的电信网络诈骗产业。

某些WSO2产品允许不受限制地上传文件，从而执行远程代码。以WSO2 API Manager 为例，它是一个完全开源的 API 管理平台。

最近在做一些安服项目，随便挖了一些漏洞，系统功能点太少，导致只有一些小的漏洞点，领导不是很满意，随后就有了以下内容。希望大家能从文中学到点知识，来应付工作压力。

说到“IP”属性的应用场景，其早已渗透到我们的生活当中。比如：一个手机号码，只能在平台注册一个账号，网上投票，一个ID只能投一票。

我国于2021年颁布了《关键信息基础设施安全保护条例》，并制定了一系列关键信息基础设施安全保护标准，为开展关键信息基础设施安全保护提供了基本原则，对维护国家安全、保障经济社会健康发展、维护公共利益和公民合法权益具有重大意义。

2022年4月份修复的高危漏洞 CVE-2022-26809 距今已经过去一月有余，期间除了 L1nk 师傅发了一篇关于 GetCoalescedBuffer() 漏洞函数触发条件的分析，再无其他消息。

adb的全称为Android Debug Bridge,起到调试桥的作用，是连接Android手机与PC端的桥梁，方便我们在电脑上对手机进行操作。

大部分看到这篇文章的人应该都明白什么是文件上传，文件上传是攻击非常常见的方式，网上也有非常多的优秀文章，不过还是想自己整理+归纳+总结+讲解一篇关于文件上传的文章。

无论从网络安全的攻击或是防护视角，信息的采集和甄别都至关重要，其中主机的系统类型是关键出发点。

零时科技区块链安全情报平台监控到消息，北京时间 2022年5月16日 BNB Chain 和 Ethereum 链上 FEGtoken 遭到闪电贷攻击。

2022年第一季度发现，黑灰产业在渠道引流、洗钱手段等均进行了“迭代更新”，攻防对抗也在不断升级。

本文全是自己猜的，没有实际操作。

在网络犯罪分子不断更新网络攻击技术和工具的时代，安全人员必须不断完善防御战略，以跟上不断变化的威胁形势，加强检测和响应能力，争取领先攻击方一步。

2022年第一季度360赔付保（原手机先赔）共接到11类手机诈骗举报，涉案总金额高达273.5万元，人均损失23375元。在所有诈骗类型中，虚假兼职占比最高达31.6%；其次是交友、虚假购物。

随着app的广泛应用，使用过程中，难免会遇到些很不友好的功能，比如：游戏充值、间断性弹窗广告、续费解锁下一回等等。

近日，Apache官方发布了Apache Struts2的风险通告，漏洞编号为CVE-2021-31805。Apache Struts2是一个用于开发JavaEE网络应用程序的开放源代码网页应用程序框架。

在上一篇文章《攻防演练中常见的8种攻击方式及应对指南》中，笔者总体介绍了攻防演练中常见的八种攻击方式及针对各种攻击的响应方式。

腾讯在线文档是非常方便的软件，可以自定义等等。如果想自动打开，或大量修改数据可以使用python脚本实现。

从2012年开始，移动互联网进入快速发展阶段，带动了Android App的开发热潮，而这股热潮也推动了Android平台软件保护的发展。

PE文件的全称是Portable Executable，意为可移植的可执行的文件，常见的EXE、DLL、OCX、SYS、COM都是PE文件，PE文件是微软Windows操作系统上的程序文件（来自百度百科）。

Bot（Robot）流量是指在互联网上对Web网站、APP应用、API接口通过工具脚本、爬虫程序或模拟器等非人工手动操作访问的自动化程序流量，一般也称为机器流量，据第三方厂商统计2020年的Bot流量请求占比达到57%，已经超过人工的访问流量。

在红蓝对抗中，攻击方广泛应用webshell等技术在防守方提供的服务中植入后门，防守方也发展出各种技术来应对攻击，传统的落地型webshell很容易被攻击方检测和绞杀。

近日，山东菏泽男子小宋用手机下载了一款非法的涉黄APP，平台客服告诉他这些动作视频影片都是付费观看的。可以充值成为会员解锁权益需要在平台里一项名叫“热门竞猜”的链接里“下注”刷销量...

零时科技区块链安全情报平台监控到消息，北京时间2022年5月9日凌晨 Fortress Loans 遭到攻击。

这篇文章记录了漏洞包装的过程中克服的一些难点——无session情况下的冰蝎连接及Netty下通过Header头获取POST的body内容。

近日，ATT&CK发布了V11版本！按照其发展路线图，ATT&CK会在2022年会更新两个版本：在4月份更新V11版本，并在10月份更新V12版本。

某银行是我国由民间资本设立的商业银行，拥有覆盖全国的分支及附属机构。

不久前拿到一个使用.NET目标的任务，有段时间exchange连续出了n次洞，一直想系统学下.NET相关的东西，这次遇到了，趁热补一下。

近日，中国信通院安全所公示了第一批网络安全能力评价工作组成员单位，青藤凭借领先的技术优势和市场影响力位列其中，并将参与体系研究、标准研制和示范推进三个工作组的相关工作。

2022/5/4日F5官方发布一个关于BIG-IP的未授权RCE（CVE-2022-1388）安全公告，官方对该漏洞的描述是Undisclosed requests may bypass iControl REST authentication。

近期出现了一种名为Fakecalls的新型银行木马，除了常见的隐私窃取功能外，它还可以通过拦截银行与用户之间的通话从而冒充银行员工进行诈骗和窃取。

在红队HW中通过前期的打点获得shell后通常下一步就是对内网进行横向，获得shell进想要行横向的前提是我们必须有代理可以访问内网中的资产，这时候我们就需要通过拿到shell的那台机器权限。

在日常渗透中，我们在拿到入口点（Windows）之后，我们可以使用at&schtasks在目标内网利用密码传递，进行横向渗透。

在许多业务非常聚焦比如行业应用、银行、公共交通、游戏等行业，C/S架构中服务器高度集中，对应用的版本控制非常严格，这时候就会在服务器上部署对app内置证书的校验代码。

XSS全称跨站脚本(Cross Site Scripting)，为避免与层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故缩写为XSS。

讨论这么火热，那到底什么是“IP属地”？

目前绝大部分组织的安全防御思路仍然停留在边界防御阶段，相比之下对内网的安全防护 关注则较少，针对内网横向移动的防护不够“坚固”，甚至是缺失。

眼下，很多餐厅都推出了“无接触服务”，扫一扫二维码即可完成排队、点餐、结账等多项服务，方便消费者的同时也节省了人工营运成本，提升了营运效率。

Etcd是CoreOS团队于2013年6月发起的开源项目，它的目标是构建一个高可用的分布式键值(key-value)数据库, 用于服务发现、共享配置以及一致性保障等。

Brida是Burp中的一个插件，它可以把Burp和Frida结合起来使用，简化测试流程，通过Brida能在Burp中直接调用目标app中的加/解密函数，进行参数修改测试更多的输入点。

本⽂由浅⼊深地讲述CET的实现细节，最后提出⼏个理论可⾏的绕过⽅案，供研究者参考。

这几天我想学习一点逆向的知识，但苦于入门较难，教学视频废话太多，也不想看，就去刷ctf题，不会的就看wp，不得不说ctf真的是居家旅行，杀人灭口必备良药啊。

腾讯在线文档是非常方便的软件，可以自定义等等。如果想自动打开，或大量修改数据可以使用python脚本实现。

在hw中经常用到的代理工具有很多，根据不同之需和个人不同的使用习惯选择不同工具进行使用，本文主要对NPS这款代理工具进行介绍。

本周一 MITRE ATT&CK 更新了 v11 版本。

Spring Cloud Gateway 远程代码执行漏洞（CVE-2022-22947）发生在Spring Cloud Gateway应用程序的Actuator端点，其在启用、公开和不安全的情况下容易受到代码注入的攻击。

混入班级群，冒充老师诈骗的案例屡见不鲜。

蔓灵花(Bitter)是一个被广泛认为来自印度的APT组织，该组织长期针对我国及周边南亚各国的政府、军工、电力、核等部门发动网络攻击，窃取敏感数据，具有较强的政治背景。

本文对 CVE-2022-21701 istio 提权漏洞进行分析，介绍 go template 遇到 yaml 反序列化两者相结合时造成的漏洞。

2022年4月13日，欧洲网络及信息安全局发布《欧盟协调漏洞披露政策》（Coordinated Vulnerability Disclosure Policies in the EU）报告。

上期讲到了物联网终端关于硬件方面的一些基础知识，接下来我们再来聊聊固件。

探究NETGEAR R7000中的漏洞，其允许攻击者无需认证而执行任意代码。

在溯源反制过程中，会经常遇到一些有趣的玩法，这里给大家分享一种docker在特权模式下逃逸，并拿下主机权限的玩法。

近年来，洗钱黑产与上游犯罪呈链条式发展，存在明显的相互依存关系，特别是对资金流转需求巨大的电信网络诈骗产业，依托游离于“监管”之外的第四方支付平台进行资金“洗白”。

Smarty 模板是基于 PHP 开发的模板，我们可以利用 Smarty 实现程序逻辑与页面显示（HTML/CSS）代码分离的功能。

当前，网络空间与现实空间交叉融合，“双层社会”业已形成。

GitLab是一个用于仓库管理系统的开源项目，使用 Git 作为代码管理工具，可通过 Web 界面访问公开或私人项目。

为提升静态分析在二进制文件漏洞检测领域效率和可扩展性，科恩孵化并开源二进制文件静态漏洞分析工具BinAbsInspector项目。

CVE-2022-21882漏洞是Windows系统的一个本地提权漏洞，微软在2022年1月份安全更新中修补此漏洞。本文章对漏洞成因及利用程序进行了详细的分析。

2021年8月马里兰大学Kevin Bock等在USENIX大会上提出一种利用中间盒发起的新型TCP反射放大攻击手法。