聊聊CVE漏洞编号和正式公开那些事
CVE编号获得易，正式公开难！有价值更难！！
获得CVE编号并不等于这个漏洞是有价值的，甚至说这个漏洞都不一定是真实存在的。这主要源于CVE编号颁发机构开放式的工作模式，后面我们会详细介绍。
【攻击溯源】当4G遇上DDoS | 实战鹰眼溯源
某运营商出现4G防火墙CPU异常增高，导致部分用户用iphone访问apple网站异常缓慢，疑似DDOS攻击。针对可疑某一业务IP，运用BSA大数据安全分析平台的IP业务可视化溯源功能，展开分析下钻，最终成功定位溯源，本文展示了这个DDOS实战过程，并提供一些思路。
phpwind利用hash长度扩展攻击修改后台密码getshell
哈希长度扩展攻击（hash length attack）是一类针对某些哈希函数可以额外添加一些信息的攻击手段，适用于已经确定哈希值和密钥长度的情况。这里推荐有python扩展的HashPump，HashPump是一个借助于OpenSSL实现了针对多种散列函数的攻击的工具，支持针对MD5、CRC32、SHA1、SHA256和SHA512等长度扩展攻击。
【威胁通告】微软发布12月补丁修复37个安全问题
微软于周二发布了12月安全更新补丁，修复了37个从简单的欺骗攻击到远程执行代码的安全问题，产品涉及Adobe Flash Player、Device Guard、Microsoft Edge、Microsoft Exchange Server、Microsoft Malware Protection Engine、Microsoft Office、Microsoft Scripting Engine以及Microsoft Windows。
OWASP TOP 10 2017 | 最新十大WEB安全风险你都GET到了吗？
近几年，云、大数据、物联网、人工智能等技术广泛应用，软件开发过程引入敏捷开发和DevOps实现开发运维工作自动化、版本快速迭代。迅速扩张的攻击面也伴随而来，攻击者总是能找到新的攻击面。在此背景下，时隔4年我们再次迎来OWASP Top 10（十大Web应用安全风险）的正式更新。
OWASP自动化WEB威胁介绍
现在的绝大多数安全厂商，始终还在对用户强调SQL注入，XSS等常见攻击的重要性、危害性以及用户的WEB防护是多么多么不堪一击，但从攻击者的角度来看，其最终目的并不是通过SQL注入、XSS等攻击形式获得用户数据，而是获得这些数据后如何加以利用，从而达到最终的目的。OAT自动化威胁手册主要描述黑客获得用户数据后，如何利用应用程序漏洞达到最终目的提供了有意义的见解。
【Linux实践】Linux服务器下的动态路由实践篇
路由协议如静态路由、动态路由 大家都知道，大家也知道linux下用的路由软件zebra。今天给大家普及一下Linux下的路由开源软件quagga，介绍quagga的原理及实现方法。
【安全报告】2017 物联网安全研究报告
中国电信安全帮携手绿盟科技联合发布《2017 物联网安全研究报告》，旨在进一步加强物联网安全建设，向社会提供有关物联网安全状况的权威数据。
【威胁通告】Apache Synapse 远程代码执行漏洞（CVE-2017-15708）
近日，Apache Synapse发布了新版本修复了一个远程代码执行漏洞（CVE-2017-15708）。该漏洞源于Apache Commons Collections组件，攻击者可以通过注入特制的序列化对象来远程执行代码。
【威胁通告】Fastjson autotype 远程代码执行漏洞
Fastjson于今年3月份曝出一个远程代码执行漏洞，官方随后通过默认关闭autotype功能和开启黑名单解决了该漏洞，但近日有研究人员发现该黑名单存在一定限制，在开启autotype功能后可以通过改变相关类名来绕过黑名单，从而实现远程代码执行。
基于JdbcRowSetImpl的Fastjson RCE PoC构造与分析
这篇文章主要是基于我在看雪2017开发者峰会的演讲而来，由于时间和听众对象的关系，在大会上主要精力都集中在反序列化的防御上。前面的Fastjson PoC的构造分析涉及得很少，另外我在5月份分享的Fastjson Poc构造与分析限制条件太多，所以写下这篇文章。