SystemdMiner 挖矿木马分析 SystemdMiner 挖矿木马分析与处置 背景之前应急时捕获分析过一个挖矿样本，后续因为逆向功底太差就搁置了，最近带新人尝试重新分析这个样本，发现这个挖矿样本仍然存活，并且有了不少改进。以下截图是2021年11月6日捕获的样本并提交virustotal分析的结果，首次提交并且只有一个引擎提示风险，话不多说，直接进行分析。申明一点儿：事后，全网检索了一下，发现有部分内容和SystemdMine 2021-11-08 Security Trojan
在星际蜗牛上安装ESXI 6.7 及openwrt 在星际蜗牛J1900平台上上安装ESXI 6.7及openwrt 背景之前做NAS，替换出一块电源和一块星际蜗牛的主板，从咸鱼上淘了一个千兆USB网卡，就组成了一个简单的X86软路由，由于固态容量只有16G，安装一个openwrt虚拟机磁盘就占的的差不多了，最近想扩容一下固态，在重新安装ESXI和openwrt过程中，之前遇到的坑又走了一遍，所以记录下来，供以后参考。 准备 ESXI 6.7 安 2021-11-06 Linux openwrt
plasma使用扩展屏幕无法加载任务栏bug plasma使用扩展屏幕无法加载任务栏bug 背景由于笔记本的屏幕过于垃圾,并且有点儿小,所以就把外接的显示器当作主屏幕,并在plasma的配置中将笔记本屏幕关闭,然后就会出现一个玄学的问题,每次开机进入桌面,任务栏消失了,也无法通过win键唤起Application Launcher,这就很尴尬,之前以为是plasma自身的bug导致的,网上也没找到相关方法,当时由于工作比较忙,也没有时间来捣 2021-08-28 Linux Plasma
Xjar加密破解 Xjar加密破解 背景研发人员在客户侧部署系统时，为了防止更多源代码信息泄露，通常会将源码打包成二进制包，其中参杂一些混淆和加密的操作，防止逆向分析，安全人员在做测试，或者从一些泄露出来的二进制包进行漏洞挖掘时，总会遇到这些拦路虎，博主在逆向分析某系统jar包时就发现可以自动获取class文件，但是class内数据均被加密，打开全是乱码，但是spring boot启动相关代码是可以通过反编译获取 2021-07-16 Security Code Audit
SDL最佳实践原则 SDL最佳实践原则 SDL是一个方法论,只是一种手段，而不是目的，安全左移理念,目的是设计与交付更安全的软件,来保护公司及用户资产,同时降低安全的成本;如果盲目为了SDL而SDL,完全照搬微软SDL流程,结果必然是悲惨的,就算你能完全实现,那最直接的就是没业务了,公司全员搞安全了… 因地制宜,提升企业自身安全能力，只有适合自己的才是最好的,我们做SDL其实真正花时间去思考解决的就是找到合适的方法 2021-07-05 Security SDL
谷歌SLSA供应链框架介绍 谷歌SLSA供应链框架介绍 背景软件供应链攻击事件（对软件包进行未经授权的修改）在过去的两年中呈上升趋势，并且被证明是影响所有用户的常见且可靠的攻击方式。软件开发和供应链部署都是相当复杂的，从源代码到构建再到发布，在整个工作流程中会存在众多威胁。虽然确实存在针对某些特定漏洞的单点解决方案，但没有全面的端到端框架来定义如何减轻整个软件供应链中的威胁，并提供合理的安全保障方案。面对近几个月令人大开眼 2021-06-23 Security Supply Chain
常见java反编译工具 常见java反编译工具 在源代码审计或者进行漏洞挖掘，有时会碰到war包，jar包，或者直接打包的class文件，需要通过反编译进行源代码审计。以下是个人常用的几种java反编译工具，个人比较推荐使用IDEA自带的反编译组件，直接调用IDEA的java-decompiler组件进行反编译，也方便进行调试分析。部分工具不仅限于反编译，其他功能请自行摸索。萝卜青菜，各有所爱，各位依据自身情况选择工具 2021-06-22 Security Java
DevOps元素周期表及DevSecOps检查清单介绍 DevOps元素周期表及DevSecOps检查清单介绍 DevOps元素周期表介绍Ledge （from Know-Ledge，意指承载物）知识和工具平台，是我们基于在 ThoughtWorks 进行的一系列 DevOps 实践、敏捷实践、软件开发与测试、精益实践提炼出来的知识体系。它包含了各种最佳实践、原则与模式、实施手册、度量、工具，用于帮助您的企业在数字化时代更好地发展。 DevOps 运 2021-06-22 Security DevSecOps
软件供应链安全风险 软件供应链安全风险 软件供应链安全风险介绍软件供应链本身就是软件的生产过程，始终贯穿于软件研发生命周期(SDL)当中。在软件系统研发过程当中，时刻面临着有意或者无意引入漏洞的威胁。 阶段 案例 需求设计 手机被劫持：2016年，一家境外公司设计的软件被美国的手机制造商使用。该软件会每隔72小时，手机将会把文本，通讯录，通话记录通过加密的方式上传到境外的服务器上 编码 SolarW 2021-06-18 Security Software Supply Chain
第三方组件安全评估指南 第三方组件安全评估指南 组件安全这个话题太大，从去年就一直构思，不知道该怎么写，大半年了，拖延癌晚期，今天终于拼凑了一篇，最近主要在整理组件安全相关方案，感兴趣的童鞋可以给我留言一块交流。 简述常见第三方组件分为开源和闭源两种情况，广义上的开源组件实际上就是基于各种协议公布源代码让所有人使用的软件依赖，源代码只要遵守对应的协议就可以使用，我们在这里说的开源软件实际上是Open-Source So 2021-06-16 Security Code Audit Dependency