3月14日每日安全热点 - WordPress 5.1 CSRF 导致远程命令执行漏洞预警
WordPress 5.1 CSRF 导致远程命令执行漏洞预警；美专家谈委大断电：网络攻击关键基础设施是颠覆政权的有效手段；使用DFA攻击硬件的AES算法，并从PlayStation Vita中提取硬件密钥。
警惕！GandCrab V 5.2正在利用恐吓主题钓鱼邮件进行传播
近期，360威胁情报中心捕获到一起针对中文使用者的钓鱼邮件。该邮件带有一个压缩包，经分析发现，该压缩包内为最新的GandCrab 5.2勒索软件。
浅谈eval和assert
eval和assert的特性经常把我搞懵，所以在这里记录一下。
3月13日每日安全热点 - 伪造视频帧欺骗智能监控系统
伪造视频帧欺骗智能监控系统；Python Unicode编码处理信息泄露漏洞；微软修补了在目标攻击中被利用的两个Windows漏洞；48 小时逃逸 Virtualbox 虚拟机——记一次 CTF 中的 0day 之旅。
360-CERT 蔡玉光：RSAC 2019观感录
新的一年，又是在旧金山阴冷的雨季中参加完了RSAC 2019安全大会。对比去年，2019年延续了2018年的节奏。2018年“Now Matter”的主题给大家来了当头一棒，描述了安全紧迫的氛围，号召放弃银弹思维，需要务实提升行业安全能力。
WordPress 5.0.0 Remote Code Execution分析思考
2月20号，RIPS团队在官网公开了一篇WordPress 5.0.0 Remote Code Execution，CVE编号CVE-2019-6977。而我在复现过程中却发现了在配合变量覆盖来目录穿越写文件这一步中有另外的目录穿越写文件方法。
2月政企终端安全态势分析报告
《政企终端安全态势分析报告》是“360终端安全实验室”定期发布的针对政企网络终端的安全态势分析报告。报告数据来自 360 企业安全公有云安全监测数据。
F5 以6.7亿美金收购 NGINX
NGINX 公司以 6.7 亿美金的价格被 F5 Networks收购。
渗透测试实战——unknowndevice64-1靶机+Moonraker靶机入侵
哈喽大家好，爱写靶机实战的文章的我，又又来啦，最近靶机更新的有点多，小弟没日没夜的搞，库存有点多，所以本文还是一样，写2个靶机的实战入侵pwn。
.NET高级代码审计（第三课）Fastjson反序列化漏洞
Java中的Fastjson曾经爆出了多个反序列化漏洞和Bypass版本，而在.Net领域也有一个Fastjson的库，作者官宣这是一个读写Json效率最高的的.Net 组件，使用内置方法JSON.ToJSON可以快速序列化.Net对象。
Windows内核栈溢出从win7 x86 到win8 x64
HEVD：一个Windows内核漏洞训练项目，里面几乎涵盖了内核可能存在的所有漏洞类型，非常适合我们熟悉理解Windows内核漏洞的原理，利用技巧等等。
谭晓生：七年之痒，RSAC2019之我观
从2013年开始参加RSAC，今年正好是第七年。婚姻中有“七年之痒”的说法，对一个会议也有类似感觉：很多东西已经熟悉，新鲜感没那么强了，但还有比新鲜更重要的东西：持久、稳定、可依靠。
渗透测试实战-DC-1:1靶机入侵+Matrix2靶机入侵
大家好，靶机更新了爱写靶机实战的我又来了，文章最后有福利哦！！
EOS新型攻击手法之 hard_fail 状态攻击
昨日（2019 年 3 月 10 日）凌晨，EOS游戏 Vegas Town（合约帐号 eosvegasgame）遭受攻击，损失数千 EOS。慢雾安全团队及时捕获这笔攻击，并同步给相关的交易所及项目方。
AES加密的安全问题
AES算法全称Advanced Encryption Standard,是DES算法的替代者，旨在取代DES成为广泛使用的标准，于2001年11月26日发布于FIPS PUB 197，并在2002年5月26日成为有效的标准。2006年，高级加密标准已然成为对称密钥加密中最流行的算法之一。
从委内瑞拉大范围停电一事来看美国的攻击手段
本文先对本次的安全事件的主角:委内瑞拉，进行一次国家介绍，经济状况和国际关系的普及，再交代断电一事，最后再是美国的历史攻击其他要制裁国家的发电站的事件汇总。国家基础设施 = 国家命脉，网络安全务必落实到位。
3月12日每日安全热点 - 红队与理论：Credential Relay 与 EPA
红队与理论：Credential Relay 与 EPA；Kage - 用于Metasploit Meterpreter和会话处理程序的图形用户界面；汽车黑客工具收集；由于配置错误的Box帐户，包括苹果在内的数十家公司泄露了敏感数据。
Metinfo 6.1.3 XSS漏洞分析
前段时间看到一个cms造成的xss漏洞，这里想分析下。这个漏洞是metinfo6.1.3版本因参数问题造成前台和后台引起了两处xss漏洞。
PWN——那些年坑过我们的数据类型
本人安全客上一篇内核pwn的坑还记得吧？就是关于无符号整型使用不当的漏洞利用，最后传进去的长度值为啥是0xffffffffffff0000|0x100，不着急，我们从基础开始介绍。
【缺陷周话】第25期：硬编码密码
代码审计是使用静态分析发现源代码中安全缺陷的方法，能够辅助开发或测试人员在软件上线前较为全面地了解其安全问题，防患于未然，已经成为安全开发生命周期 SDL 和 DevSecOps 等保障体系的重要技术手段。
从一道ctf题学习mysql任意文件读取漏洞
我在做这道题时第一反应是爆破数据库，进入下面的else语句里，写入代码到config.php执行，但是发现如果直接输入对应的参数。我觉得这像是出题人的一个陷阱。那真正的利用点在哪呢？
Spring Security学习笔记（一）基础介绍Ⅱ
书接上文，在上一篇中介绍了Spring Security的基本组件以及基本的认证流程，此篇介绍一下Spring Security的一些核心服务。
Globelmposter 3变种病毒详细分析报告
Globelmposter是一种比较活跃且变种比较多的病毒，其主要攻击手段是采用RSA加密算法加密本地磁盘下的所有文件，如果想要解密文件必须获取病毒作者手中的私钥信息，故这种病毒的危害性相对比较大。
恶意代码使用JavaScript混淆规避反病毒程序
该文讲述了攻击者如何使用JS混淆的方法来使一个知名远控RevengeRAT的变种躲避杀毒软件检测的。
CVE-2018-8550分析与复现
这个漏洞属于com组件Unmarshal类型本地权限提升漏洞，在cve2018-8550更新补丁出来不久，微软就取消了64位ole32.dll和coml2.dll调试符号提供,不过32的仍然可以正常提供，为了方便调试我用vc在32位系统上成功复现了poc。
3月11日每日安全热点 - 委内瑞拉的停电可能是由美国进行的网络攻击造成的
委内瑞拉部长宣布委内瑞拉的停电可能是由美国进行的网络攻击造成的；STOP勒索软件在受害者的计算机安装Azorult密码窃取木马；WinRAR远程代码执行漏洞结合Metasploit+Ngrok实现远程上线。
3月10日每日安全热点 - RSA 2019：运营技术拓宽了供应链攻击面
RSA会议2019：运营技术拓宽了供应链攻击面；Citrix从FBI了解内部网络安全漏洞；RSAC 2019：机器学习的黑暗面；车联网安全：利用汽车报警器。
MachineAccountQuota在活动目录中的应用
MachineAccountQuota（MAQ）是一个域级别的属性，默认情况下可以允许非特权用户将主机连接到活动目录（AD）域，能连接的主机数最多不超过10台。我与MAQ的缘分可以追溯到很早以前……
3月9日每日安全热点 - 不安全的数据库导致超过8亿条数据记录泄露
不安全的数据库导致超过8亿条数据记录泄露；Facebook Messenger漏洞让黑客可以看到你在和谁聊天；一个“严重的”Windows 0-day在野活跃利用。
中国女性比男性赚钱少，被骗损失却更高？真相是…
据《2019中国职场性别差异报告》统计显示，2018年中国女性平均薪酬为6497元，薪酬均值为男性的78.3%。而随着工作年限增长，薪酬差异逐渐拉大。虽然女性平均薪酬低于男性，然而遭遇网络诈骗之后人均损失金额却高于男性。