活动 | 来了来了，BSRC"爱与黑客"文化衫让你炫酷一夏！
六一儿童节快到了，最最最宠爱你们的BSRC又出现了！还不速速前往BSRC官网，选你中意的惊喜礼品吧！
PancakeBunny攻击事件复盘分析
PancakeBunny致力于通过为用户提供一种简便的方法，通过Binance Smart Chain自动组合其收益，来支持底层的DeFi生态系统。
ptmalloc malloc部分源码分析
ptmalloc是glibc的默认管理器，我们常用的malloc和free就是由ptmalloc提供的内存分配函数，对malloc部分的代码进行分析。
CVE-2021-21985: VMware vCenter Server远程代码执行漏洞通告
2021年05月26日，360CERT监测发现VMware官方发布了VMware vCenter Server远程代码执行漏洞的风险通告，该漏洞是由360 Noah Lab的安全研究员Ricter Z发现的。漏洞编号为CVE-2021-21985，漏洞等级：严重，漏洞评分：9.8。
Fastjson-RCE漏洞复现
Fastjson提供autotype功能，允许用户在反序列化数据中通过 @type 指定反序列化的类型，其次Fastjson自定义的反序列化会调用指定类中的setter方法和部分getter方法。
5月26日每日安全热点 - 黑客承认出售6.5万名医疗保健人员的信息
黑客承认出售6.5万名医疗保健人员的信息；将针对加密货币交易所的CryptoCore攻击归因于LAZARUS（朝鲜）；Zeppelin勒索软件出现最新变种版本。
AFL源码分析（II）——白盒模式下的afl-gcc分析（Part 2）
本文将接续第一篇文章，继续分析afl-gcc向程序中插入的关键代码。
活动 | 阿里云峰会Last Call，你看那朵云像不像在对你招手的我？
5月28日-29日，国家会议中心，2021阿里云峰会，向你招手展示成立12年阿里云的“云上创新“全景图”。
拒付赎金后，爱尔兰卫生服务执行局获免费解密程序
拒付赎金后，爱尔兰卫生服务执行局获免费解密程序；网络成战争博弈新高地，以色列轰炸哈马斯网络行动大楼；DarkSide结业烂摊子一地，成黑客论坛追“债”目标。
安全事件周报（05.17-05.23）
本周收录安全热点14项，话题集中在恶意软件、数据泄露方面，涉及的组织有：CNA Financial、Codecov、Guard.me、爱尔兰卫生部等。
5月25日每日安全热点 - TPG TrustedCloud客户被攻破
TPG TrustedCloud客户被攻破；电子商务巨头Mercari遭受重大数据泄露；联邦调查局：Conti勒索软件攻击了16个美国医疗保健和急救机构。
带你走进API安全的知识海洋（一）
API（Application Programming Interface，应用程序接口）是一些预先定义的接口（如函数、HTTP接口），或指软件系统不同组成部分衔接的约定。用来提供应用程序与开发人员基于某软件或硬件得以访问的一组例程，而又无需访问源码，或理解内部工作机制的细节。
加密货币暴涨几十倍？是发财契机吗？
由于虚拟货币市场的火热，市面出现了众多借助虚拟货币名义实施诈骗诈骗或非法集资的项目。表面炒高虚拟货币价值，私底下却干着大量资本套现的勾当，坑的就是一波波“韭菜”！
NEEPUSec CTF 2021 公开赛官方writeup
东北电力大学第二届网络安全攻防大赛的成功举办，不仅是指导老师的教导有方和运维人员的勤勤恳恳，更是各位参赛选手的支持。比赛以圆满落幕画上句号，我们一定会继续努力，诚心诚意地为大家带来更高质量的比赛。
PWN掉一款小型开源OS——用户态利用
题目来源于DefCon Quals 2021的coooinbase二连pwn，第一部分是用户空间利用，第二部分是内核利用。本篇文章是coooinbase用户态pwn的解题思路。
活动 | 长安对决倒计时，2021年陕西省大学生网络安全技能大赛报名开启！
由中国电子商会自主创新与安全技术委员会及陕西省计算机学会网络空间安全专委会发起主办的2021年陕西省大学生网络安全技能大赛正式登陆古都西安，结合四叶草安全的S-Plan全国网络安全校园行-陕西站活动，为陕西省的网络安全相关专业在校大学生提供优质平台进行实战交流从而提高专业技能。
一次黑产链接分析引发的渗透测试
五一在家日常冲浪，无意间看到有人在相亲相爱一家人群里发了一个链接引起了我的注意。
5月24日每日安全热点 - 澳大利亚和新西兰多个集团受到恶意软件攻击
澳大利亚和新西兰多个集团受到恶意软件攻击；阿拉斯加卫生部服务受到恶意软件攻击的影响；研究人员发现DarkSide勒索软件变种。
pocassist——全新的开源在线poc测试框架
pocassist 是一个 Go (Golang) 编写的全新的开源漏洞测试框架，实现对poc的在线编辑、管理、测试。
堆利用之unlink
通过这个实例先看看unlink攻击到底是什么样，注意这个例子是在2.26版本之前，需要不启用tcache，大家可以使用patchelf修改动态链接库指向2.23版本。
一路向北：Konni APT组织以“朝鲜局势”相关主题为诱饵对俄进行持续定向攻击活动
Konni APT组织据悉由特定政府提供支持，自2014年以来一直持续活动。该组织经常使用鱼叉式网络钓鱼攻击手法，且经常使用与朝鲜相关的主题或社会热点作为诱饵，吸引用户查看并执行附件。
前尘——数据连接池下的至暗之处
这是分析Java反序列化系列的第四篇文章,内容的填充度已经过半。此系列的每一篇文章 都会对漏洞产生的原因进行剖析，理解事物的原理往往在攻击时发挥奇效。
如何让openresty支持ntlm认证
openresty 作为反向代理被广泛应用于各种项目中，微软的很多产品采用ntlm认证，当两者相遇时，会碰撞出令人头痛的问题——-认证失败，如果项目具有认证重试的功能，则会发生反复要求输入用户名，密码的现象，无法完成认证，后续功能也就无从谈起。
浅谈命令执行的绕过方法
命令执行漏洞已经学过很久了，但一直没有系统地简单总结一下命令执行的绕过方法。
CISCN2021 初赛wp by fr3e
大家好，我们是fr3e战队，上周打了国赛，最后排名26（华中4），各大高校的各位大师傅们tql。下面是fr3e的wp，希望和各位大师傅们交流。仓促整理，有错误直接issue，dalao们轻喷 ：p
MSSQL：我(蹦蹦跳跳地)来了
说实话，平时学习运用技能，很多情况都是遇到的MySQL（默认端口号3306），所以对SQL Server（默认端口号1433）比较陌生了。因此便有这一篇的学习笔记，思想均来自互联网，提供学习参考，如有谬误，敬请指正。
CVE-2021-1732 Windows10 本地提权漏洞复现及详细分析
CVE-2021-1732 是蔓灵花（BITTER）APT 组织在某次被披露的攻击行动中使用的 0day 漏洞，该高危漏洞可以在本地将普通用户进程的权限提升至最高的 SYSTEM 权限。
活动 | BSRC千寻计划发布，论如何成为一支有Funer的BCTF社区战队
加入BCTF社区，成为BCTF社区战队，成为一支有Funer的战队。
争议！美国科洛尼尔输油管道公司承认已向黑客支付440万美元赎金
美国科洛尼尔输油管道公司首席执行官约瑟夫·布朗特在接受《华尔街日报》采访时承认，在该公司系统遭到网络黑客攻击并被迫关闭后，他授权向黑客支付了440万美元的赎金。
TeaBot-目标欧洲银行的Android恶意软件
银行恶意软件一直都是我们暗影实验室关注的重点。近期，意大利出现了一种新型的Android恶意软件，研究人员发现它与目前已知的银行木马家族都不相关，命名这款新型的银行木马家族为TeaBot（也有命名为Anatsa）。