以CVE-2020-8840为例分析Jackson漏洞
前面讲了FastJson的相关漏洞，温少属实辛苦。这次来看下另一种JSON解析库：“世界上最好的JSON解析库—Jackson”，并以CVE-2020-8840来详细分析下Jackson的漏洞。
攻击者竟然将恶意RubyGems包用到了加密货币供应链攻击之中
近期，安全研究人员发现了一种新型的恶意RubyGems包，而这种恶意的RubyGems包竟然被网络犯罪分子应用到了针对加密货币的供应链攻击活动之中。
12月18日每日安全热点 - SolarWinds失陷服务器测绘分析报告
SolarWinds失陷服务器测绘分析报告；360-CERT: 2020安全漏洞年报；ZDI总结全年最重要的5个漏洞。
LibFuzzer workshop学习之路 （进阶）
上一篇对libfuzzer的原理和使用有了基本的了解，接下来就到进阶的内容了，会涉及到字典的使用，语料库精简，错误报告生成以及一些关键的编译选项的选择等内容，希望能对libfuzzer有更深入的学习。
HTTP协议攻击方法汇总（下）
最近一段时间,部门的小伙伴们看了一些HTTP协议相关的攻击方法，现做一个汇总。
仿冒Cyberpunk 2077应用的勒索软件
近期暗影安全实验室发现黑客在一个假冒GooglePlay的钓鱼网站上分发勒索软件，该勒索软件仿冒Cyberpunk2077应用，Cyberpunk2077《赛博朋克2077》是一款知名的角色扮演游戏APP。黑客利用该应用的热度分发勒索软件以加密用户文件胁迫用户支付比特币。
Json Web Token 2020 攻击指南
最近工作中测试一款客户端exe程序，web框架基于CEF，认证用的是jwt。在查阅了大量的国内以及国外文献后，经过大量的代码编写以及测试，写下此篇攻击指南。
12月17日每日安全热点 - SolarWinds供应链攻击事件中C2的DGA子域名列表
SolarWinds供应链攻击事件中C2的DGA子域名列表；SolarWinds供应链攻击中域名生成算法破解工具。
2020 我的OSCP认证满分通过之路与Offensive Security新认证体系展望
有别于网上的旧资料，OSCP在2020年度进行了一次大升级，发生的改动较多，课程名次除了原本的PWK(Penetration with Kali Linux)还有了一个新名字PEN-200，想要参与OSCP学习和认证的强烈建议前往官网查看权威信息。
DLL劫持原理及其漏洞挖掘（一）
动态链接库(Dynamic-Link-Library,缩写dll), 是微软公司在微软视窗操作系统中实现共享函数库概念的一种实现方式。
2020安全漏洞年报
360-CERT是政企安全创新中心的尖兵团队，团队致力于维护计算机网络空间安全，是360基于“协同联动，主动发现，快速响应”的指导原则，对全球重要网络安全事件进行快速预警、应急响应的安全协调中心。
活动 | 2020网络安全标准论坛暨第十二期标准宣贯培训会报名开启
2020年度网络安全标准论坛暨第十二期标准宣贯培训会即将于12月27日-28日在京召开。
Tomcat容器攻防笔记之Valve内存马出世
基于现阶段红蓝对抗强度的提升，诸如WAF动态防御、态势感知、IDS恶意流量分析监测、文件多维特征监测、日志监测等手段，能够及时有效地检测、告警甚至阻断针对传统通过文件上传落地的Webshell或需以文件形式持续驻留目标服务器的恶意后门。
某众测平台入驻邀请码获取
今天刚到公司，看到刚哥在群里发的消息。打开一看是个众测平台，注册的时候提示需要邀请码，而邀请码的获得方式有两种，一种是老用户邀请，另一种则需要通过平台提供的一个小游戏获取flag。
Windows内存破坏漏洞的现代探索，Part I：堆栈溢出（四）
在上一篇文章中，我们为读者解释了ROP链的创建过程，以及执行任意代码的实现过程，在本文中，我们继续为读者介绍针对SEH劫持技术的一种强大的防御机制，即SEHOP。
红色行动之从绝望到重见光明
无论是红队项目还是渗透项目，打点的过程总是充斥着不确定性的，在一个攻击面上充满着各种可能性，每一个对外开放的服务都可能成为我们进入内网的通道，随着每个人关注点的不同，进入内网的方式也是多种多样的。
TP诸多限制条件下如何getshell
先说说2020_n1CTF的web题Easy_tp5复现问题。这个题在保留thinkphp的RCE点的同时，并且RCE中ban掉许多危险函数，只能允许单参数的函数执行。对于现在在网络中流传的文件包含的点也增加了限制。
活动｜认证定向众测
58认证定向活动。
活动 | 年终冲刺，为了最后的荣耀，奋勇向前吧！
本年度最后一次奖励翻倍活动，助力白帽们冲刺年终荣誉，大家一起冲！
CVE-2020-29436：Nexus Repository Manager 3 XML外部实体注入漏洞通告
2020年12月16日，360CERT监测发现 Nexus Repository Manager 3 发布了 Nexus Repository Manager 3 命令注入漏洞 的风险通告，该漏洞编号为 CVE-2020-29436 ，漏洞等级： 高危 ，漏洞评分： 8.7 。
活动 | 阿波罗计划第二期
阿波罗计划第二期来啦！更奇妙的靶场环境，更丰富的奖励，全球同步进行，邀请海内外明星白帽，敬请期待12.16开启！
活动 | 大咖助力，2020-2021四叶草全国网络安全校园行全面启动
“2020-2021四叶草全国网络安全校园行”系列活动，旨在创新协同育人模式，聚焦行业人才需求，促进相关专业毕业生高质量就业，为加快网络强国和人才强国建设贡献力量。
2021年CVE漏洞趋势安全分析报告
面对高速发展的今天，互联网成为了联结所有人信息的交汇点，同样对于互联网中的漏洞也在不断的迭代更新。
AMNESIA：33 多个TCP/IP开源代码库漏洞通告
2020年12月15日，360CERT监测发现 Forescout 发布了 AMNESIA:33 的研究报告，事件等级： 严重 ，事件评分： 9.8 。
Google服务大面积中断，登上Google热搜榜
给我一部手机，在狱中也能风生水起；Google服务大面积中断，登上Google热搜榜；已故艺人推特账号被盗，凌晨突然更新。
Windows内存破坏漏洞的现代探索，Part I：堆栈溢出（三）
在上一篇文章中，我们为读者详细介绍了SHE劫持技术，以及DED和ASLR防御机制，在本文中，我们将继续为读者讲解如何创建ROP链。
隐藏在浏览器背后的“黑手”
2020年10月，美团安全运营平台发现流量中存在恶意JavaScript请求，信息安全部收到告警后立即开始应急处理。
利用JARM指纹进行TLS服务端标记
经过一段时间的分析研究，我们也总结出一些关于JARM的认识与大家交流和分享。抛砖引玉，希望大家多多指正。
12月15日每日安全热点 - Adrozek的新恶意软件分析
Adrozek的新恶意软件分析；Russian APT28 利用新冠疫情进行攻击；angelboy关于windows内核堆的研究——Slide。
活动 | XCTF高校网络安全专题挑战赛正式开启报名！
本次大赛面向全体全日制在读学生，围绕华为“HarmonyOS和HMS”、“华为云”、“鲲鹏计算”业务为赛事主题，将校园知识和业内实践经验进行打磨融合。