2019全国大学生信息安全竞赛初赛 Crypto Writeup
ciscn 2019，Crypto真的没有排面，题目都比较基础，最后总分也不到300，可以说是比较影响参赛体验了。
4月24日每日安全热点 - ShadowHammer瞄准多家公司，华硕只是其中之一
ShadowHammer瞄准多家公司，华硕只是其中之一；CVE-2018-18500：利用Firefox的堆漏洞进行攻击；卡巴关于ShadowHammer供应链攻击的详细分析；反混淆JavaScript代码：Steam网络钓鱼网站。
how2heap之glibc——2.26版本
本文是我在学习how2heap遇到的一些坑，做了一些整理，最主要的是因为glibc-2.26之后引入了tcache机制，导致刚开始学习时，发现运行结果和说好的不一样，N脸懵逼。
分析供应链攻击中的C/C++运行时库代码篡改技术
软件及服务器已经成为网络犯罪分子首选的攻击和篡改目标。攻击者会通过各种方式入侵原始软件，比如恶意篡改软件源代码、更新服务器，或者同时攻击这两个目标。
我是如何在ModSecurity的核心规则集中找到ReDOS漏洞的
简单来说，ReDOS漏洞由于某些正则表达式在编写时忽略了安全性，导致在匹配搜索某些特殊的字符串时会消耗大量计算资源，产生DOS攻击的效果。
正则表达式所引发的DoS攻击（Redos）
使用正则表达式进行匹配搜索可能需要计算执行大量计算步骤，但一般来说这并不是问题，但是，计算机也是有极限的，我们能否造出一个字符串让计算机长时间的超负荷运转？
jQuery CVE-2019-11358 原型污染漏洞分析和修复建议
jQuery官方于日前发布安全预警通告，通报了漏洞编号为 CVE-2019-11358的原型污染漏洞。由攻击者控制的属性可被注入对象，之后或经由触发 JavaScript 异常引发拒绝服务，或篡改该应用程序源代码从而强制执行攻击者注入的代码路径。
“天鼠”系列盗号木马分析报告
近期，360核心安全团队发现了一个作案时间长达7年之久的盗号团伙，该团伙捆绑了多种游戏外挂软件植入盗号木马，盗取包括聊天工具、Steam游戏、棋牌游戏等数十款客户端的账号密码，并通过倒卖这些账户最终获利。
对过WAF的一些认知
本文的主要从绕过WAF过程中需要注意的角色、点出发，尝试理解它们的运作，构建一个简单的知识框架。如果对本文中的任何知识点有任何反对想法或是意见、建议，请提出来，这对笔者是十分重要的，笔者也会十分感激。
4月23日每日安全热点 - 木马化的TeamViewer用于针对多个大使馆的定向攻击
木马化的TeamViewer用于针对多个大使馆的定向攻击；FBI：2018年因网络犯罪而损失27亿美元；立法应为公民个人生物信息提供特殊保护；攻击组织使用Bit.ly，BlogSpot和Pastebin分发RevengeRAT。
2019全国大学生信息安全竞赛Web Writeup
这次web题真切得让我感受到了我得辣鸡 顿时被打了鸡血 最后只做出来一题，但是有两道题都是马上要出来了最后时间不够 ，这里总结一下。
2019全国大学生信息安全竞赛初赛pwn前四题writeup
这次比赛很尴尬，我本来以为自己报上了名，但是结果没报上。。。只能让同学给我发题目然后自己做，没法拿flag，一共六题，只做出来四题，两题栈，两题堆。
“找回密码”邮件骚操作之帐户接管
在这篇文章中，我将讲述我在某个网络应用中所找到的逻辑漏洞，它存在于“找回密码”这个功能中，可以让我接管任意用户的帐号。
【缺陷周话】第31期：错误的内存释放方法
代码审计是使用静态分析发现源代码中安全缺陷的方法，能够辅助开发或测试人员在软件上线前较为全面地了解其安全问题，防患于未然，已经成为安全开发生命周期 SDL 和 DevSecOps 等保障体系的重要技术手段。
4月22日每日安全热点 - WannaCry：哈钦斯现在正式成为一名被定罪的网络犯罪分子
WannaCry：哈钦斯现在正式成为一名被定罪的网络犯罪分子；Drupal发布四个较严重的的第三方漏洞；INPIVX隐藏服务，一种勒索软件攻击的新方法；Oracle WebLogic反序列化RCE漏洞。
结合实例浅析壳编写的流程与难点
前段时间自己学习了一下壳的编写，发现网上相关资料不是非常全，而且讲解顺序不太对胃口。因此参考了《黑客免杀攻防》中的代码对DLL型壳编写的结构进行了一次归纳整理，并附上相应代码解析。
4月21日每日安全热点 - 法国政府安全消息软件 Tchap 被攻破
法国政府安全消息软件 Tchap 被攻破；Google 谷歌阻止嵌入式浏览器框架的登录尝试；TeleKiller - 针对Telegram Windows的密钥窃取工具。
4月20日每日安全热点 - Facebook承认以明文存储了数百万Instagram用户的密码
Facebook承认以明文存储了数百万Instagram用户的密码；新的INPIVX（RaaS：勒索软件即服务）服务可能会改变当前勒索软件的格局；Threatpost发现，四分之三的用户不相信Facebook。
Confluence 路径穿越漏洞分析（CVE-2019-3398）
根据官方文档的描述，我们大致能知道这是个需要权限的路径穿越的漏洞，并且可以将文件上传到任意路径。造成这个漏洞的关键点在于DownloadAllAttachments这个资源。
国家安全机关公布境外网络攻击窃密案件
近日，国家安全机关发布三起破获的境外间谍情报机关对我国实施的网络攻击窃密案件，旨在进一步提高全社会网络安全意识，筑牢信息安全防线。
伊朗APT组织的网络间谍工具源代码和攻击者被泄露和曝光
最近，有人发布了属于伊朗国家背景的APT攻击组织APT34(oilrig,HelixKitten）的黑客工具。
2018年我国互联网网络安全态势报告
CNCERT依托我国宏观安全监测数据，结合网络安全威胁治理实践成果，在本报告中重点对2018年我国互联网网络安全状况进行了分析和总结，并对2019年的网络安全趋势进行预测。
JavaScript 原型链污染
最近看到一篇原型链污染的文章，自己在这里总结一下。
4月19日每日安全热点 - 黑客揭露伊朗APT34组织的运营和成员信息
黑客揭露伊朗APT34组织的运营和成员信息；不安全的数据库泄漏了6000万个已删除的LinkedIn记录；勒索软件攻击有针对性的数据情报公司Verint；2019年Pwn2Own中的两个Mozilla Firefox中JIT的漏洞分析。
C++逆向之容器vector篇入门
在这篇文章里，我会以题目中出现的逆向出来的代码以及C++的代码进行对比，让你们更好的知道，c++容器入门篇其实不难。
冲突的公链！来自 P2P 协议的异形攻击漏洞
异形攻击又称地址池污染，是指诱使同类链的节点互相侵入和污染的一种攻击手法，漏洞的主要原因是同类链系统在通信协议上没有对非同类节点做识别。
CVE-2019-3398：Confluence 路径穿越漏洞预警
2019年4月17日Confluence官方发布安全公告，Confluence Server和Data Center产品在downloadallattachments资源中存在一个路径穿越漏洞。
.NET高级代码审计（第十一课） LosFormatter反序列化漏洞
LosFormatter一般也是用于序列化和反序列化Web窗体页的视图状态(ViewState)，使用反序列化不受信任的二进制文件会导致反序列化漏洞从而实现远程RCE攻击，本文笔者从原理和代码审计的视角做了相关介绍和复现。
4月18日每日安全热点 - 超过1亿JustDial用户个人数据被暴露在互联网上
超过1亿JustDial用户个人数据被暴露在互联网上；利用ASLR薄弱点：Chrome沙箱逃逸漏洞分析；如何检测无文件恶意软件攻击；十个案例，深度解析侵犯公民个人信息犯罪。
iSCSI未授权访问漏洞，数万iSCSI可能受影响
2019年4月17日，白帽汇安全研究院（以下简称白帽汇）经过FOFA系统分析，发现存在许多未授权访问的iSCSI面临安全风险，任意的攻击者都可对未授权访问的iSCIS进行访问、修改、删除等操作，对用户造成数据泄露、数据丢失等风险。