小心浏览器插件窃取你的隐私
浏览器插件已经成为了浏览器的必备品，但是市场上的插件也良莠不齐，甚至部分插件切换用户隐私，如浏览器的历史记录。笔者就遇到了这样一个插件，就是著名的手势插件：crxMouse Chrome Gestures，更可气的是已经用了这个插件一年多了。
SlemBunk木马浅析
SlemBunk最初由FireEye发现，后来其他一些安全公司也相继发现，作者有幸拿到该样本，分析该木马发现其设计精妙绝伦，可在此基础上做进一步演变。该样本伪造成其他一些常用android应用，欺骗用户输入信用卡相关敏感信息，下面我们就一步步分析。
Burpsuite插件开发之RSA加解密
burpsuite是一款非常好用的抓包工具，我自己也是重度用户，所以就上手了burpsuite的插件接口开发，本文主要记录了一个解密请求包，插入payload，再加密的插件开发过程，插件应用场景主要是用于通过分析apk的实现。这里做探讨的目的只是方便安全测试人员的个人学习，或大家渗透测试使用。
Redis数据库漏洞防护
Redis是一个高性能的数据库，Redis Crackit及Redis安全漏洞本质上是由于Redis自身缺乏安全防护机制，同时Redis的使用者又未曾遵循官方的安全规范所导致的。
REST API 安全设计指南
REST API 安全设计指南。REST的全称是REpresentational State Transfer，它利用传统Web特点，提出提出一个既适于客户端应用又适于服务端的应用的、统一架构，极大程度上统一及简化了网站架构设计。
目前在三种主流的Web服务实现方案中，REST模式服务相比复杂的SOAP和XML-RPC对比来讲，更加简洁，越来越多的web服务开始使用REST设计并实现。但其缺少安全特性，《REST API 安全设计指南》就是一个REST API安全设计的指南，权当抛砖引玉，推荐网站后台设计及网站架构师们阅读。
Django任意代码执行漏洞分析
从Django的SECTET_KEY到代码执行
Django是一个可以用于快速搭建高性能，优雅的网站的平台，由Python写成。采用了MVC的软件设计模式，即模型M，视图V和控制器C。它最初是被开发来用于管理劳伦斯出版集团旗下的一些以新闻内容为主的网站的，即是CMS（内容管理系统）软件。并于2005年7月在BSD许可证下发布。
最近在进行网站代码审查的过程中，发现某些产品由于session使用不当，导致可能被攻击者利用，执行任意代码。这些产品在登录的JS代码中，泄露了SECRET_KEY,将该值作为密码加密的盐，这样就暴露了加密salt不太好吧，更重要的是对django的安全造成了极大的威胁。
php “== ” 操作符带来的安全问题
1 比较操作符
php的比较操作符有==（等于）松散比较，===（完全等于）严格比较，这里面就会引入很多有意思的问题。在松散比较的时候，php会将他们的类型统一，比如说字符到数字，非bool类型转换成bool类型，为了避免意想不到的运行效果，应该使用严格比较。如下是php manual上的比较运算符表：
- 1
- 2