前两天跳跳糖发表了一篇如何基于vol3构建symbols_table的文章
Linux新版内核下内存取证分析附CTF题
vol3之于vol2，很大的改变就是用symbol_tables(符号表)替换了profile(配置文件)，vol3带有一个广泛的符号表库，并且可以基于内存映像本身为大多数 Windows 内存映像生成新的符号表。
最近的2022祥云杯正好出了一道需要自己构建新版本内核的题（这里“新"指的是profile在互联网上找不到对应的profile），关于构建profile中文社区没发现什么文章。这里记录一下，直接用祥云杯的附件做例子了。

继续抽空学习Weblogic CVE中有关T3协议的漏洞利用方式！

前面几篇文章将afl的大部分内容都已经覆盖到了（编译、反馈到监控），最后一个部分主要讲afl是如何挑选样本并针对样本的数据进行变异的。通过之前的分析我们已经知道，编译的种子通过链表的形式形成种子队列，种子经过变异后如果能够触发目标程序新的行为，会作为新的种子队列存入到链表中。但是对于新一轮的模糊测试，挑选哪个种子进行变异以及如何变异尚未解决，本文主要阐述afl是如何挑选种子进行变异以及如何变异。

终端对抗一直是红队研究的重点内容，本文主要通过前面已有的研究来解开Windows Defender的ASR规则的神秘面纱，由于国内可供参考资料很有限，多以国外会议和议题参考为主

SUID提权是前阵子在蓝帽杯中刚接触到的一个点，本来以为是挺鸡肋的一个点，但是前两天接触了一台真实使用的服务器（类似于上机排查取证）。发现竟然有很多可以利用的点，印象深刻的就是当时机子里有个vim-basic，甚至好像还有个find留着。这些都可能利用suid的特殊权限实现突破。于是重新学习一下。

学习zoho pmp这块相关知识点，简单做个总结

最近参加了浙江省信息安全竞赛，遇到了一道攻击fastcgi的题目，发现自己对php-fpm不够了解，于是做了一个归纳总结。

CobaltStrike真好用啊，但是缺点就是太好用了被各类安全厂商严防死守，研究了半天shellcode loader和白加黑之类的免杀，多多少少都有翻车的记录，有没有更好的办法呢？

BOF(Beacon 对象文件)是C/C++编译，但未链接产生的Obj文件，BOF运行在Beacon进程中，并执行内部的Beacon API和Win32 API函数。BOF本质是COFF Obj文件，其符合COFF文件格式规范，结构类似于windows PE文件格式。在被Cobalt Strike加载和使用过程中，BOF是一段地址无关的Shellcode，BOF本身体积比较小，在传输过程中，适用于那些传输带宽小的模式，然后其本身运行在beacon进程内部，不会重新创建进程，也可以有效规避EDR。

这篇是继上篇中的T3协议进行漏洞利用，继续分析Weblogic CVE的有关利用方式和修复手法

之前所接触的大多是PHP 反序列化题型，最近遇见了一道Python pickle反序列化类型题，因此学习了一下其反序列化，简单总结如下，希望能对各位师傅有所帮助。

此篇文章为ATTCK矩阵中的攻与防的第二篇，T1218是windows里面常见的规避EDR常用的渗透横向技巧，大部分技巧在互联网上都有师傅们分享，笔者只是将其中的内容总结起来，以ATT&CK矩阵来探究其中的攻防之道，regsvr32和rundll32曾在知识星球分享过，看过的师傅们看前面的即可，如若文章有技术问题，欢迎各位师傅在评论区交流

今年六月份见到了 CVE-2022-1134 ，这是 V8 在 Turbofan 中另一个很有意思的攻击面，提交者在这之后很详细的介绍了这个漏洞的利用方式，它的利用方法同之前的 Turbofan 有着很不一样，但却相当有意思的地方。

Extended Berkeley Packet Filter（eBPF）是一种内核技术（从 Linux 4.x 开始），它允许程序在无需更改内核源代码，或添加额外模块的情况下运行。你可以将其视为 Linux 内核中的轻量级沙箱虚拟机（VM），程序员可以在其中运行 BPF 字节码，从而利用特定的内核资源，近几年eBPF的发展越来越火热，对应的，他的安全问题也是一项不可忽视的关注点

这次的分析接着上次的来讲，也是分析了两个中间件的通信模型，分别是非主流中间件被厂商魔改后的中间件➕CGI和OpenWrt中间模块uhttpd/lighttpd➕CGI/Lua，话不多说，直接开始...