腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

漏斗社区

这是一条通往白帽子的神奇之路！

专栏作者

151

文章

314558

阅读量

131

订阅数

【技术创作101训练营】真香预警：带你玩转“百香果”内网安全沙盘

tcp/ip 网络安全安全

大家好，很高兴能参加腾讯云+社区技术创作101训练营第二季的活动，来进行这个技术分享，先来做个自我介绍吧，我叫xxx，但在圈内大家都习惯叫我小表姐，目前是漏斗社区一名普通的信息安全研究员，主要从事网络信息安全相关的工作，不知道大家有没有好奇为啥圈内都叫我小表姐呢？那还得从我刚开始接触信息安全的时候说起，那时候发现群里都喜欢把大佬称之为表哥，而圈内本来就男孩子居多，表姐是难得的存在，所以在遇到大表姐之后我就是小表姐咯，嘿嘿，目前大表姐在滴滴安全，而我的目标就是向大表姐学习，继续延续漏斗社区从成立以来一直坚持的带你走进白帽子的奇妙世界的宗旨，带领更多的人了解信息安全和学习信息安全。

2021-01-20

1.3K0

Windows NetLogon权限提升漏洞(CVE-2019-1424) 复现

windows server windows 安全 https 网络安全

2020年08月11日，微软MSRC官方发布了NetLogon特权提升漏洞的安全通告，该漏洞编号为 CVE-2020-1472，漏洞等级：严重， CVSS 评分：10.0。该漏洞由Secura公司的Tom Tervoort发现提交，因此被命名为ZeroLogon。

2020-09-24

1.6K0

CTF解题技能之压缩包分析进阶篇

网络安全安全文件存储数据结构

上次斗哥的压缩包分析介绍了基础分析和伪加密分析，这次就和斗哥继续来学习压缩包分析的暴力破解、明文攻击和CRC32碰撞的解题思路吧。

2019-04-29

2.7K0

专属| 新型恶意软件“俄罗斯套娃”现身

mac os 网络安全安全游戏访问管理

近日，安全团队发现恶意攻击者利用GitHub推广后门版应用。所有托管后门应用的账号目前全部移除。恶意应用下载名叫 Supreme NYC Blaze Bot (supremebot.exe)的 Java 恶意程序。攻击者建立了一批账号，有的账号托管了几十个恶意应用，黑客创建了许多合法应用的后门版本，其中包括 MinGW、GCC、Ffmpeg、EasyModbus 和一些 Java 游戏。

2019-04-29

6600

业务逻辑漏洞探索之活动类漏洞

网络安全安全腾讯云测试服务 http java

很多平台都会通过参与活动类赢取奖励的功能的方式来吸引用户或是使用资金、虚拟货币、积分等进行交易，然而如果这些功能没有设计好，很容易造成重大的利益损失。例如年初拼多多被爆100元无门槛优惠券漏洞就使拼多多遭受一定量的损失。

2019-04-29

1.6K0

专属| 黑客可通过漏洞劫持裸金属服务器

游戏黑客网络安全安全

Coinomi 钱包应用被发现会以明文向Google的拼写检查服务发送用户密码，让用户容易遭到中间人攻击，导致账号内数字货币失窃。Coinomi是基于Chromium，集成了多种 Google 服务，其中一种是自动拼写服务，能对所有用户文本框输入进行拼写检查。Coinomi 团队没有关闭这项功能，导致用户密码在设置过程中通过 HTTP 泄漏。

2019-04-29

2.6K0

专属| 流行密码管理器存在重大漏洞

安全漏洞黑客网络安全安全游戏

CrowdStrike发布了最新一期的全球网络安全威胁报告，指出在安全漏洞曝出之后，黑客最快可在不到20分钟的时间内展开行动。去年，这家安全研究机构引入了“突破时间”的概念，特指首个节点设备遭到黑客入侵后，攻击者在网络中横向移动所需的时间。调查还显示，针对大型组织发动的勒索软件攻击、以及黑客之间展开的复杂合作，已经变得愈发常见。

2019-04-29

1.3K0

盘它！PWN栈溢出漏洞。

网络安全安全编程算法

在国内的CTF比赛中，PWN题最常见考点就是缓冲区溢出漏洞，而缓冲区溢出代表就是栈溢出漏洞。

2019-04-29

9320

专属| VFEmail遭受毁灭性攻击

黑客网络安全安全

近日，电子邮件服务商 VFEmail 报告它遭到毁灭性攻击，数据和备份全部被人在几小时内重新格式化。 VFEmail 创始人 Rick Romero 在 Twitter 上称，@VFEmail 实际上已经完了，不太可能恢复。攻击发生在周一，VFEmail 的整个基础设施，包括邮件主机、虚拟机主机、SQL 服务器集群，全部被破坏，攻击者格式化了能找到的所有服务器。。VFEmail 创办至今有近 20 年历史。

2019-04-29

8250

DNS Rebinding 域名重新绑定攻击技术

dns http 网站安全 https

近期斗哥在学习有关于浏览器同源策略方面的知识点，发现了一个有趣的绕过浏览器同源策略的方法，故在这一期的文章中与大家分享。

2019-03-07

2.9K0

盘它！PWN栈溢出漏洞。

网络安全安全编程算法

在国内的CTF比赛中，PWN题最常见考点就是缓冲区溢出漏洞，而缓冲区溢出代表就是栈溢出漏洞。

2019-03-07

9840

啥是佩奇？PWN解题技能全配齐!

安全 shell https 网络安全

CTF的PWN题想必是很多小伙伴心里的痛，大多小伙伴不知道PWN该如何入门，不知道该如何系统性学习，本期开始，斗哥将输出PWN的一系列文章，手把手带小伙伴们入坑。

2019-03-07

1.4K0

关于ReelPhish神器的使用

前几周斗哥给大家介绍了一款自动化测试工具selenium，本周带来跟selenium应用相关的实时双因子钓鱼工具。什么是双因子认证？简单解释一下：正常的网站登录界面都需要账号密码（something you know）为登录凭证，但是某些安全性高的网站会开启双因子认证，即在原来的基础上再加上一重认证，比如常见的手机短信验证码、银行的U盾的PIN码（something you have）或者指纹以及其他生物识别的方法（something you are）等身份双因子认证。本篇文章重点想传递的信息是：使用双因子认证的网站并不能避免钓鱼网站的威胁，希望通过对该工具的测试来了解双因子钓鱼的原理，以此来更好的防范实时双因子钓鱼网站的危害，推动新的防御机制。

2018-12-27

2.6K0

专属| 谷歌提前关闭Google+

据外媒报道，研究人员发现，全球超41.5万台路由器感染了旨在窃取路由器计算能力并偷偷挖掘加密货币的恶意软件。影响最为严重的是MikroTik路由器，有记录显示，针对该品牌的一系列加密攻击始于今年8月，有20多万台设备被感染。尽管攻击者过去倾向于使用CoinHive–一种用于面向隐私加密货币Monero (XMR)的挖掘软件，但研究人员注意到，攻击者已经开始转向了其他挖掘软件，“CoinHive、Omine和CoinImp是使用最多的服务。

2018-12-27

6770

专属| 7种新预测执行攻击被爆出

arm 安全 wordpress 黑客网站

近日，研究人员报告了七种新的预测执行攻击。其中一种是新的Meltdown攻击变种，利用了英特尔的Protection Keys for Userspace，另一个攻击则利用了英特尔的Memory Protection eXtensions ，两种攻击都利用无效访问让处理器的预测执行功能泄漏敏感信息。而另外五种攻击其中四种是分支预测。这些攻击除了对英特尔处理器有效外，还影响到 AMD 处理器和 ARM 处理器。

2018-12-14

8030

看！我手里有个Email收集神器

git 安全 http go dns

众所周知，在工作中，大家用到最多的便是Email来传输工作内容，因此，像一些VPN信息、服务器账号密码、公司人员清单等敏感数据，均会通过Email进行传输，并且更重要的是，大部分工作人员，在传输这些数据时，是为进行过加密的。记得在某云网上也有很多相关的由于邮箱泄露引发的“悲剧”。

2018-12-14

7330

专属| 200余个恶意程序被曝光

短信安全 go java ios

通过自主监测和样本交换形式，国家互联网应急中心近日共发现202个窃取用户个人信息的恶意程序变种，感染用户3822个。该类病毒通过短信进行传播会私自窃取用户短信和通讯录，对用户信息安全造成严重安全威胁。这批恶意程序主要潜藏在含有违章查询、通知单、成绩单、相册、照片等内容的短信中，用户一旦点击链接，即有可能被感染。

2018-12-11

7770

安全运维中基线检查的自动化之ansible工具巧用

安全运维自动化开源 bash

前几周斗哥分享了基线检查获取数据的脚本，但是在面对上百台的服务器，每台服务器上都跑一遍脚本那工作量可想而知，而且都是重复性的操作，于是斗哥思考能不能找到一种方法来实现自动下发脚本，批量执行，并且能取回执行的结果。对比参考学习某些开源的平台都有这么一个特点就是需要安装客户端(说白了就是类似后门木马的插件)，客户端的兼容性适应问题不说，而且全部服务器都要装相应的客户端，明显超出斗哥预期的轻量级的实现自动化的初衷，但是办法总比困难多作为老板的省钱小能手身轻如燕的斗哥还真找到一个工具无需安装客户端就能实现自动化运维的工具。话不多说，斗哥决定先给大家演示一下ansible如何实现基线检查脚本的自动下发，批量执行和结果取回，然后再进一步学习这款工具的安装和使用，以及后期的自动化思路。

2018-10-23

2.3K0

专属| 苹果账号遭集体盗刷

物联网 ide android shell 安全

近日Bitdefender Labs发布报告称已经发现Hide and Seek新型变种。利用Android开发者调试之用的Android Debug Bridge (ADB)功能中所存在的漏洞，该变种通过WiFi网络连接来感染Android设备，使之成为僵尸网络的一员。虽然并非所有Android都默认启用ADB功能，但部分Android手机厂商会默认自动启用，可以通过5555端口使用WiFi ADB远程连接就能轻松进行攻击。在连接至默认激活ADB的Android系统之后，允许攻击者以root级别获得shell访问，可以在受感染设备上运行和安装任何东西。

2018-10-23

6800

HASH函数烧脑大作战

编程算法 go 安全 python git

本期讲解一下hash函数，由于之前在比赛中做到了一题hash有关的题目，引发了此次的深（烧）度（脑）研究，本来想讲讲原理，但是太难，看得很痛苦，所以此次通过结合CTF题来看看HASH的一些利用，一切从简开始讲述，小编是如何入坑的。

2018-10-23

1.3K0

点击加载更多

社区活动

腾讯技术创作狂欢月

“码”上创作 21 天，分 10000 元奖品池！

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态