m0_48520508的博客

还记得我们上个月上传在B站的一个入门必刷靶场视频吗？面对7000＋的播放量，塔塔子陷入了思考沉迷于东塔靶场学习平台，对学习细胞进行云调动东塔靶场不也上线了吗？快介绍介绍安排！“东塔攻防世界靶场” 正式上线啦前段时间看了塔塔子上传的入门必刷靶场视频后初学者们是否正在到处寻找更多练手的平台？是否为搭建各种环境而苦恼？以上的问题都通通不是问题东塔网络安全学院带着“东塔攻防世界靶场”高调向你走

东塔网络安全学院凡尔赛文学精髓，你get到了么？今天你“凡尔赛”了吗？网络文学是一场轮回早些年流行玛丽苏前段时间有“拼团媛”“打工人”​最近又有一种听起来颇为洋气的文学形式“凡尔赛文学”在互联网上火了起来朋友圈冒出了许多“凡学人”这一热词也瞬间成为了很多人的快乐源泉塔塔子观察到走在冲浪前线的安全圈人er们也不甘示弱纷纷化为段子手花样百出地炫技那么什么是凡尔赛文学呢？所谓的凡尔赛文学就是先抑后扬、自问自答以故作苦恼的责怪，达到在假装不经意之间炫耀自己想炫耀

安全公告编号:CNTA-2020-002110月13日，微软发布了2020年10月份的月度例行安全公告，修复了其多款产品存在的87个安全漏洞。受影响的产品包括：Windows 10 2004 & WindowsServer v2004（51个）、Windows 10 1909 & WindowsServer v1909（50个）、Windows 10 1903 & WindowsServer v1903（50个）、Windows 8.1 & Server 2012 R2（2

CVE-2019-17564-Apache Dubbo反序列化漏洞CVE-2020-1938-Apache Tomcat文件包含漏洞CVE-2020-1948-Apache Dubbo反序列化漏洞CVE-2020-1956-Apache Kylin远程命令执行漏洞CVE-2020-9480-Apache Spark远程代码执行漏洞CVE-2020-9483-Apache SkyWalkingSQL注入漏洞

即将迎来双节同庆但比放假更重要的是再看看“双节”起明令禁止的大数据杀熟行为（其实塔塔子内心深处还是放假）毕竟小伙伴们都准备趁着这时间好好玩耍的佳节，在前不久，被文化和旅游部最新公布将于今年10月1日起正式施行的《在线旅游经营服务管理暂行规定》中，特地声明了禁止大数据的杀熟的行为。9月16日消息，据央视报道，文化和旅游部最新公布的《在线旅游经营服务管理暂行规定》（以下简称《规定》）将于今年10月1日起正式施

1、准入系统概述网络准入这一概念是由思科发起、后续由华为、联软、北信源等多家厂商根据此概念，基于在NACC、802.1x、EOU、WebAuth、MAB、IAB的基础上进行自主研发的一门新兴技术。其宗旨是防止病毒和蠕虫等新兴黑客技术对企业安全造成危害，为企业建设一套网络安全体系。2、联软UniNAC网络准入控制系统功能• 发现自动发现网络设备、自动发现接入设备、自动发现网络拓扑；自动发现接入设备的类型，包

网络安全检测与防护技术国家地方联合工程研究中心1、负载均衡系统概述天融信负载均衡系统（以下简称TopApp产品）是一款融合了智能带宽控制功能的链路及服务器负载均衡产品。通过对网络出口链路和服务器资源的优化调度，TopApp-LB负载均衡系统让大规模的应用部署轻松实现，同时达至最稳定的运行效果，最高的资源利用率，最佳的应用性能和用户体验。大量的企事业单位通过TopApp-LB负载均衡系统顺利实现了应用部署，满足了信息化发展的需求，并极大地提升了工作效率。天融信负载均衡设备图：应用场景图：2、漏洞

1、绿盟 UTS 综合威胁探针概述绿盟全流量威胁分析解决方案针对原始流量进行采集和监控，对流量信息进行深度还原、存储、查询和分析，可以及时掌握重要信息系统相关网络安全威胁风险，及时检测漏洞、病毒木马、网络攻击情况，及时发现网络安全事件线索，及时通报预警重大网络安全威胁，调查、防范和打击网络攻击等恶意行为，保障重要信息系统的网络安全2、漏洞描述(1) 修改登录数据包 {“status”:false,“mag”:""} -> {“status”:tr

1、Microsoft Exchange Server概述Microsoft Exchange Server是微软公司推出的一套商业电子邮件系统，因其稳定、易用、安全等特点在全球多个行业被广泛地应用。除了常规的 SMTP/POP 协议服务之外，它还支持 IMAP4 、LDAP 和 NNTP 协议。Exchange Server 服务器有两种版本，标准版包括 Active Server、网络新闻服务和一系列与其他邮件系统的接口；企业版除了包括标准版的功能外，还包括与 IBM OfficeVisi

1、Apache DolphinScheduler概述Apache DolphinScheduler(Incubator,原Easy Scheduler)是一个分布式数据工作流任务调度系统，主要解决数据研发ETL错综复杂的依赖关系，而不能直观监控任务健康状态等问题。Easy Scheduler以DAG流式的方式将Task组装起来，可实时监控任务的运行状态，同时支持重试、从指定节点恢复失败、暂停及Kill任务等操作。以下是Apache DolphinScheduler架构图：2、Apache Dolp

0x01 漏洞概要2020年8月11日，Microsoft公司发布安全公告，公布了Netlogon 特权提升漏洞（CVE-2020-1472）的相关信息。12日起，各大安全研究团队纷纷对该漏洞作出漏洞通告。下图是某厂对该漏洞的影响力的一份评估：0x02 漏洞详情NetLogon组件 是 Windows 上一项重要的功能组件，用于用户和机器在域内网络上的认证，以及复制数据库以进行域控备份，同时还用于维护域成员与域之间、域与域控之间、域DC与跨域DC之间的关系。当攻击者使用 Netlogon 远程协

​最近东塔小姐姐收到多数同学们的反馈，很多人表示“不知道怎么入门网络安全行业”，遇到的问题五花八门。小林同学大学学的是计算机专业，应届毕业生。因为一直都很喜欢网络安全这个行业，原本想着趁着疫情，在家好好自学一番，但无奈自学效率低，便跑来问我们，应该怎样学习才有效果。宇宇同学也是应届毕业生，但他大学学的专业和网络安全行业毫不搭边。但从小喜欢网络安全，无奈基础薄弱觉得压力很大。这两位同学的问题看似不太一样，但其实导致这些问题的都是同一个根本原因——对渗透能力理解的深度和广度都不够。学习网络安全，首先需

东塔安全快讯，10分钟带你了解最新网络安全大事件，多喝水，多睡觉，多挖洞，还有最重要的就是，别忘了准时来看东塔每周快讯哦！很多人总以为网络安全是件与自己没多大关系的事，其实并非如此。在我们的日常生活中，但凡和手机相关的内容，例如聊天、刷抖音、微信支付等等都与网络安全息息相关。随着5G技术的发展，中国移动互联网的普及率来看，网络安全已经与国家、企业、普通用户的利益已经完全分不开，不注重网络安全，小则可能会给我们带来一些麻烦，大则可能让我们产生金钱损失。本期快讯01 研究发现儿童智能手表漏洞：黑客可随意

一、前言随着新漏洞数量的不断增加，漏洞管理已成为确保业务连续运行的最关键过程之一。很明显，及时修补是必不可少的，但定量了解延迟如何增加风险也很重要。攻击者使用刚刚披露的CVE或未知（0day）漏洞来破坏是什么？为了了解漏洞披露和漏洞利用开发的状况，在撰写本文时，研究人员分析了Exploit Database中的45,450种公共可用漏洞。该研究将漏洞利用数据与漏洞和补丁信息相关联，以从多个方面研究漏洞的发展。研究表明：在漏洞数据库中的45,450个公共漏洞中，漏洞数据库中有1,1,079（〜26％）

网络安全研究人员2020年8月19日揭开了一个复杂的、多功能的P2P（peer-to-peer，P2P）僵尸网络的面纱，该僵尸网络自2020年1月以来一直在积极瞄准SSH服务器。Guardicore Labs2020年8月19日发布的一份报告显示，这个名为“FritzFrog”的是一个模块化、多线程、无文件的僵尸网络迄今已突破500多台服务器，感染了欧美知名大学和一家铁路公司。Guardicore的Ophir Harpaz说：“凭借其分散的基础架构，它可以在所有节点之间分配控制权。” “在没有单一故障点.

马斯克：创造能够解决脑部/脊椎损伤问题的设备​美国当地时间8月28日，马斯克旗下的脑机接口公司Neuralink 举办发布活动，公开了可实际运作的Neuralink设备和自动植入手术设备。马斯克在发布会上表示，Neuralink的目的是创造能够解决脑部/脊椎损伤问题的设备，且能够舒适地放置在脑部。所谓脑机接口（BCI），就是在人脑或动物脑与外部电子设备间建立的直接连接通路。马斯克在发布会上表示，医学研究最新进展显示，脑电波数据是可以受到控制的，而Neuralink的电脑芯片仅约一枚硬币大小，不会.

过去5年中发布的所有Intel处理器都包含一个无法修补的漏洞，该漏洞可能使黑客能够破坏几乎所有基于硬件的安全技术，这些技术原本旨在保护用户的敏感数据，即使系统受到破坏。该漏洞被命令为CVE-2019-0090，驻留在英特尔融合安全性和管理引擎（CSME）ROM（只读存储器）上运行的硬编码固件中，如果不替换就无法修补。英特尔CSME是一个独立的安全微控制器，集成到处理器中，可提供隔离的执行环境，免受主CPU上运行的主机打开系统的影响。它负责通过加载和验证固件组件，基于信任根的安全启动来对基于Intel的.

一组学术研究人员（此前曾于今年早些时候成为揭露4G LTE和5G网络中严重安全问题的头条新闻）今天提出了一种称为“ ReVoLTE ” 的新攻击，该攻击可能使远程攻击者破坏VoLTE语音通话所使用的加密并监视目标电话。该攻击并未利用LTE语音（VoLTE）协议中的任何漏洞；相反，它实际上利用了大多数电信提供商对LTE移动网络的薄弱实现，从而允许攻击者窃听目标受害者的加密电话呼叫。VoLTE或Voice over Long-Term Evolution协议是一种标准的高速无线通信，用于移动电话和数据终端.

Microsoft已发布了针对Windows 8.1，Windows RT 8.1和Windows Server 2012 R2系统的紧急带外软件更新，以修复两个最近披露的新安全漏洞。被跟踪为CVE-2020-1530和CVE-2020-1537，这两个漏洞都存在于远程访问服务（RAS）中，它以一种管理内存和文件操作的方式存在，并且可以使远程攻击者在成功利用后获得更高的特权。简而言之，Windows操作系统的远程访问服务功能允许远程客户端连接到服务器并通过Internet从任何地方访问内部资源。这两.

Emotet是一个臭名昭著的基于电子邮件的恶意软件，它是由僵尸网络驱动的垃圾邮件活动和勒索软件***的幕后黑手，它包含一个漏洞，允许网络安全研究人员激活一个杀戮开关，并在6个月内阻止恶意软件感染系统。James Quinn说：“你读到的大多数漏洞和***对***者来说是好消息，对我们其他人来说是坏消息。”。“然而，重要的是要记住，恶意软件是软件也可能有缺陷。正如***者可以利用合法软件中的缺陷造成伤害一样，防御者也可以对恶意软件进行逆向工程，以发现其漏洞，然后利用这些漏洞来击败恶意软件。”从2020.

东塔安全快讯，10分钟带你了解最新网络安全大事件，多喝水，多睡觉，多挖洞，还有最重要的就是，别忘了准时来看东塔每周快讯哦！很多人总以为网络安全是件与自己没多大关系的事，其实并非如此。在我们的日常生活中，但凡和手机相关的内容，例如聊天、刷抖音、微信支付等等都与网络安全息息相关。随着5G技术的发展，中国移动互联网的普及率来看，网络安全已经与国家、企业、普通用户的利益已经完全分不开，不注重网络安全，小则可能会给我们带来一些麻烦，大则可能让我们产生金钱损失。一、深圳光明警方举办“净网2020”网络安全主题宣传活

Hi这里是东塔安全学院“小白入门”课堂开课了宝宝们是不是已经等不及啦那快点排排坐东塔小姐姐要开讲啦网络安全的前景如何？相信这个问题应该是所有宝宝们最想了解的问题了吧现在，东塔小姐姐就“网络安全的前景如何？”给各位宝宝们依次分点解答网络安全行业的职业前景主要有以下几点：（1）薪资待遇高宝宝们先来看看各地给的“渗透测试工程师”的薪资情况（51job截图）可以看到，基本上在1-3年的工作经验的工程师，薪资在1.5w-2.5w左右，刚毕业无经验的在8-15k。且积累一定工作年限

作为周二发布的每月补丁的一部分，微软今天发布了13个产品和服务中120个漏洞的修复程序，其中包括两个0Day。8月份发布的补丁是周二发布的第三大补丁，紧随着2020年7月的第二大补丁（123个补丁）和2020年6月的最大补丁（129个补丁）。这也使得2020年的安全修复总数达到862–比微软在2019年发布的多11个。“如果他们保持这样的速度，他们很有可能在今年发布超过1300个补丁，”Trend Micro零日计划（ZDI）的Dustin Childs说这一数量以及困难的服务场景给补丁管理团队带来了额

0x00简介深信服EDR属于终端安全产品部，是深信服公司在安全业务的战略级投入产品。终端安全部门负责下一代终端安全解决方案的产品研发，基于先进的AI技术和高效的安全领域经验， 建设深信服整体安全解决方案的端点响应能力，与云、网、端产品联动，构建面向未来、有效防御的闭环体系。0x01利用方法1.https://xxx.xxx.xx.xx/tool/log/c.php?strip_slashes=system&host=id2.linux读取文件3.验证码绕过// 校验验证码if (

网络安全研究人员今天发现了一种完全无法被检测到的Linux恶意软件，该恶意软件利用未公开的技术来监视并瞄准以流行的云平台（包括AWS，Azure和阿里云）托管的可公开访问的Docker服务器。Docker是一种流行的针对Linux和Windows的平台即服务（PaaS）解决方案，旨在使开发人员更容易在松散隔离的环境（称为容器）中创建，测试和运行其应用程序。根据Intezer 与The Hacker News 共享的最新研究，正在进行的Ngrok挖矿僵尸网络活动正在Internet上扫描配置不正确的Do.

0x01漏洞描述近日，腾讯安全团队向Apache SkyWalking官方团队提交SQL注入漏洞，攻击者可利用漏洞获取服务器的敏感信息，目前官方已发布新版本修复该漏洞。东塔安全学院建议相关单位及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。0x02漏洞详情在SkyWalking多个版本中，默认开放的未授权GraphQL接口，通过该接口，攻击者可以构造恶意的请求包进行SQL注入，从而导致用户数据库敏感信息泄露。鉴于该漏洞影响较大，建议企业尽快修复。Apache Sky.

​过去几个月，安全行业讨论最多的话题就是新冠疫情将如何深刻改变网络安全行业。近日首席信息安全官Jon Oltsik分享了他与多位CISO讨论后的结论，认为新冠疫情将引发网络安全行业一系列重大变革，安全牛整理如下：1.居家办公将成为新常态根据ESG研究，有79％的IT高管表示，在新冠病毒大流行消退之后，他们的组织将采取更加灵活的远程办公政策。此外，在家办公模式似乎运转良好：78％的知识工作者报告说在家工作更具生产力或生产力没有变化。在提高生产率和节省房租方面，在家办公是赢家，并且正在推动安全投资和优先事

作者：Stephen M.W.一．前言复杂的技术系统，新的严格数据保护法规，复杂的网络攻击，网络恐怖主义，国家资助的黑客攻击以及Internet的普遍存在，都促使人们对系统和数据保护的新方法提出了要求。在这种情况下，生物识别技术已经确立为最有效，准确，可靠和快速的用户识别和认证方式。虽然以前是政府和十亿美元公司的财产，但由于传感器和相关系统的价格下降，准确性的巨大提高以及公众的接受度越来越高，生物识别和生物识别认证已被迅速采用。生物识别技术利用个人独特的身体或行为属性来验证其身份。它的工作原理是首先捕

7月29日消息，据外媒报道称，微软、任天堂、迪士尼、华为海思、Adobe、联想、AMD、高通、联发科、通用电气等在内的50家互联网科技公司的源代码被泄露在网上。因为不安全的DevOps应用程序导致公司专有信息被暴露，很多公司已经撤回源代码。报道中提到，科技公司遭泄露的源代码被发布在 GitLab 上一个公开存储库中，并被标记为 “Exconfidential” (绝密)，以及 “Confidential & Proprietary”(保密&专有)标签，如下图显示。根据安全研究人员 B

入门网络安全行业有三种学习路径，上次我们讲了第一条学习路径：先学习编程，然后学习Web渗透及工具使用等，小伙伴们还记得么？不记得的话可以回顾一下哦今天我们继续介绍小白入门的第二条和第三条路径线路2：先学习Web渗透及工具，然后再学习编程；之前讲过了先学习编程后学习web渗透及工具的学习的方法和步骤；如果你的代码能力很弱，或者根本没有什么代码能力，其他基础也比较差，那么建议先学习Web渗透及工具，然后再学习编程；那有的小伙伴就会问了，没有基础，怎么学习Web渗透呢？一些基础部分还是要提前学习的，比

2020年6月25日，Hackone公布了2020年十大漏洞赏金项目TOP10榜单，该列表基于HackerOne项目目录中的公共信息，排名依据每家企业在2020年4月（包括之前）向黑客支付的累计赏金总额。榜单排名具体如下：第一名、Verizon Media行业：数字媒体总支付赏金：9,408,000美元最高赏金：7万美元初次响应时间：8小时奖金支付平均账期：13天答谢黑客：1315名解决报告问题：5928个第二名、Paypal行业：支付、互联网金融总支付赏金：2,790,000美元

东塔带你看热点，“天才黑客”到底是不是真的天才呢？为什么给他取名为“天才黑客”呢？真真假假，让我们一起来看看吧！网上盛传的 “阿里天才黑客”的吴翰清道哥前段时间通过微博辟谣：“这是个假新闻！请不要再消费我和阿里来赚流量了。我再澄清一次：1、我从没黑过阿里网站。2、宣传黑客攻击是倡导错误的价值观，这是法治社会，黑客攻击不是英雄，是罪犯。3、黑客精神和黑客攻击是两码事，不要混为一谈。4、“马云下死命令留他”、“500万年薪”都是以讹传讹。5、阿里的安全是上千名工程师的共同结晶，我只做出了微小的

7月15日，美国社交网站推特（Twitter）上多位名人政要和官方账号受影响。包括奥巴马、贝索斯、苹果等认证账号，均发布了拙劣的诈骗推文，让人们给同一个比特币账户打钱。这也成为了有史以来一家社交媒体网站上影响最大的“史诗级”安全漏洞事件。但它的关键之处不在于黑客到底成功诈骗了多少钱，而是因为被黑的这些账号都是全世界最大的意见领袖，其中有一些人会在这些推特上发布重要消息甚至是政治决策，他们的账号被黑可能会造成灾难性的后果。现在还不知道黑客是怎么做到的此次攻击，也不知道推特的系统受到了多大程度的破坏。