此工具党非彼工具党
昨晚刺的“道哥黑板报”发出了《中国黑客传说:游走在黑暗中的精灵》，非常精彩，如果里面人物感情再细腻些可以拍电影了，哈哈。今天各种讨论、猜测、抨击都来了，这个在很多人的预料之内，不过那种一上来就爆粗口的实在不敢恭维，列入黑名单。
还有人说这样的大数据黑客，大数据攻击早N年都在使用了，其实我是相信的，我们所知的“黑产”或“灰产”很多攻击模式都是这样，举几个例子：
曾经疯狂的网马产业链
知道创宇07年底就开始推出的全国第一个最全面的全国网马监控系统（蜜罐里是HOOK IE很多系统APIs的沙盒系统），08年是这个系统的成熟期，也是网马产业链持续高潮的时[……]
这个活动是百度和三星合作的，使用三星手机登陆百度网盘手机客户端就可以获得2年35G扩容空间，我借同事的盖世3扩容成功！
如果你恰好用的是三星系的手机话，那就只需要下载百度三星网盘手机客户端登陆就行了（这里的客户端并不是官网上的百度云客户端，而是百度与三星合作推出的百度云客户端）
下载链接：
http://pan.baidu.com/share/link?shareid=324331&uk=456127636
如果你用的不是三星系的手机的话，如果直接登录后发现不行，可以试试下面步骤操作，也可以拿到扩容空间，操作有风险，请慎重。
需要的条件：1.手机已ROOT[……]
很早就听说由于Backtrack本身系统的局限性，offensive-security.com准备使用新架构发布一套更加强大可扩展性更强的Linux开源系统，遵循Debian的开发标准。今天终于发布了1.0版本，也意味着可能BackTrack将慢慢成为一代经典的回忆。
并且本次有了中文版的文档，不过翻译的好蛋疼，我宁愿看英文。ARM版本支持很多的物理设备，比如树莓派、chromebook什么的。官方也在这里列出了很多相对于BackTrack的进步与改变：What is Kali Linux ?
官方网站：http://www.kali.org/
官方文档：http://d[……]
距离上一个版本发布，已经过去了3年，在前几天，OSASP发布了2013版本的Top 10，后面加了个RC1，看来后续可能还会有修改。发现虽然许多年过去了，可是排在前面的还是那几个老东西，看来未来相当长一段时间，前面几位是很难变动了，很多Web应用扫描器都是以OWASP的这个Top 10来衡量扫描功力的，估计会引起大家的关注。
PDF下载地址：https://code.google.com/p/owasptop10
OWASP官网： https://www.owasp.org[……]
去年9月转了一篇文章，取名为《77怒汉，77个XSS用例总结》，现在已经被我删掉了，是一些XSS用例的总结，一开始觉得是从某知名安全站转的，应该没什么问题，中间也有网友指出过其中的一些错误。后来找到了文章的出处，就是OWASP的XSS Filter Evasion Cheat Sheet，今天想自己看一看XSS有关BYPASS过滤的内容，越看越不靠谱，特别是一对照了英文原版的时候，我发现那篇翻过来的东西就是篇垃圾啊，不仅翻译有问题啊，尼玛很多地方代码都是一样的啊。
在这里要为转载了一篇垃圾文章道歉，特别那篇文章已经被好多采集站和黑客站转过去传播了，在这里一并向那些被误导的读者道歉。由于还[……]
马上就过年了，送个漏洞和奇葩的GetShell给大家吧。
千博企业网站管理系统是一套比较常见的企业网站管理系统，很多市面上的企业网站都是改它的源码而来的。它的ASPX版本是封装起来的，就是说很多东西是放进DLL里面的，因此给查看源代码带来了难度。漏洞出现的版本是2011版的了，网上挺多的，其实想要说的重点是在后面的GetShell，很有技巧。
漏洞名称：千博企业网站管理系统SQL注入
测试版本：千博企业网站管理系统单语标准版 V2011 Build0608
漏洞详情：由于搜索处未对输入进行过滤，导致SQL注入。出现漏洞的文件名是：Search.Aspx。[……]
来自宝岛台湾POLICE大学的一篇文章，内地很难看到这样的真正操作文章，值得一看，有空可以下个工具来试试。
摘要
网际网路的迅速发展之下，為我们带来了许多便利，许多生活上所需要的东西都可以从网 路上取得，例如：网路购物、网路转帐等…但随着这些便利的网路应用，也使得一些人利用这 些便利做一些非法的应用。
许多案例是员工监守自盗，将客户的个人资料卖给诈骗集团，也有些因為公司或机关保护 客户个人资料不够周全，让骇客透过网路或是其他方式，窃取客户个人资料。
被骇客入侵后，如何取得骇客再受害者电脑做了什麼事，以及骇客从何而来，并且将这些 证据可以作為法庭上证据，证明自己被攻击，以及透过这[……]
在SecList上，king cope一口气发布了好几个MySQL的0Day，简单记录一下：
MySQL4.x用户名暴力查询漏洞
http://seclists.org/fulldisclosure/2012/Dec/9
MySQL(Windows)远程提权漏洞[包括扫描及利用程序](stunet利用的0day)
http://seclists.org/fulldisclosure/2012/Dec/13
MySQL（Linux）远程数据库提权漏洞
http://seclists.org/fulldisclosure/2012/Dec/6
MySQL拒绝服务([……]
最新评论