飞塔FortiGate SSH后门事件

参考资料飞塔系统存在SSH后门影响版本 4.0 – 5.0.7！！飞塔SSH后门进一步利用方法飞塔SSH后门 4900台机器样本测试报告 SSH Backdoor for FortiGate OS Version 4.x up to 5.0.7 zoomeye.org 思

无状态协议中认证状态保持方案的一些思考

给文章起了一个高大上的名字，主要是想写一下对于http协议中用户登陆之后，如何进行用户身份跟踪，以及不同的实现方案可能存在的安全问题。何为登陆login维基百科上解释是一个用户通过认证获得一个系统的访问权限的过程。感觉更多的是一种业务上的描述，在讨论安全架构设计的时候都是使用i

什么是SSL pinninghttps协议验证服务器身份的方式通常有三种，一是根据浏览器或者说操作系统（Android）自带的证书链；二是使用自签名证书；三是自签名证书加上SSL Pinning特性。第一种需要到知名证书机构购买证书，需要一定预算。第二种多见于内网使用。第三种在是

发布在了Freebuf上，有删改。 CSRF的漏洞原理和利用方式这里就不多赘述了。平时大家讨论的CSRF利用多是发送一次请求。比如CSRF刷粉丝，CSRF发微博。这里主要讨论一个稍微复杂点的利用场景。最近在众测的时候遇到一个案例，用户绑定邮箱的请求没有防御CSRF。但是大家都知

MyBatis 是支持定制化 SQL、存储过程以及高级映射的优秀的持久层框架。MyBatis 避免了几乎所有的 JDBC 代码和手动设置参数以及获取结果集。MyBatis 可以对配置和原生Map使用简单的 XML 或注解，将接口和 Java 的 POJOs(Plain Old J

github Docker Cheat SheetNOTE: This used to be a gist that continually expanded. It’s now a GitHub project because it’s considerably easier

LuManager 高危SQL注入0day分析中提到监控到利用payload如下：可以看到攻击者使用了multipart/form-data格式发送payload。对于应用来说，和使用application/x-www-form-urlencoded获取到的数据是一致的。关于

使用github做博客一直感觉不错。只是网络环境问题，萌生了在gitcafe做一个备份的想法。其实方案也比较成熟了。搜索gitcafe github有不少文章详细介绍了如何实现。使用hexo实现起来也很简单。hexo支持同时部署到多个地方，修改一下配置文件就可以。平时使用起来也不

SSISSI Injection (Server-side Include)服务器端包含提供了一种对现有HTML文档增加动态内容的方法。根据查资料的理解这是http服务器提供支持的一个特性。apache和iis都可以通过配置支持SSI。apache关于SSI的文档在网页内容被返

前言大家对支付漏洞的理解通常都是篡改价格，已有的对支付漏洞的总结也是对现有的一些案例的经验式归类，没有上升到对在线支付流程深入分析的一个层面。这里尝试从分析在线支付流程，在线支付厂商的接入方式开始，深入业务分析整个在线交易流程中容易出现的安全问题。支付宝/在线支付流程支付宝即时