在本文中，我们将考察入侵方所采用的战术、技术和程序，以及他们在执行任务时所采用的具体工具。根据我们的经验来看，攻击者通常都会使用Cobalt Strike。因此，作为防御方，我们应该熟悉在事件响应的各个阶段，具体如何检测Cobalt Strike。这篇文章的主要目的，是展示我们在检测和跟踪入侵事件案例中，最常见的基于Cobalt Strike的攻击手法；当然，我们不可能全面介绍Cobalt Strike的所有特性。

随着学习的深入，接触的设备已经慢慢的从一些简单的路由器向其他的智能设备开始扩散，就会碰到更多看起来比较复杂的固件，就比如RTOS的固件，当用常规的方法----binwalk对它进行解包的时候，并不能直接看见文件系统里面的内容，笔者一开始接触这类系统十分的困惑，在研究完修改的过程之后，记录一下学习的过程。

1. windows内核之栈溢出(一)

2. windows内核之任意地址写入(二)

3. windows内核之UAF(三)

4. windows内核之Null指针解引用(四)​

前言：在参加RWCTF正赛的同时也参加了体验赛，正赛还是一如既往的难度非常高，但也能非常勉强的看懂1-2个题了。正赛的区块链是一个类密码题，用数据结构做了些文章，体验赛整体难度较为简单。区块链主要考察阅读代码，同时也跟队友一起解决了一个IOT方向的赛题。这个IOT洞比较明显 也算是比较好利用的。

如果已经了解CodeQL基础知识相信如下内容对各位有一定的帮助

本文针对基于java的三种常见的模版引擎(FreeMarker、Velocity、Thymeleaf)所引起的服务端模版注入漏洞SSTI进行分析、整理和总结。所谓模版引擎，简单来讲就是利用模版语言的特定语法处理模版中的特定参数，帮助动态渲染数据到view层或生成电子邮件、配置文件、HTML网页等输出文本。

最近在整理Linux提权方式的时候，找到了一个很不错的靶机，基本可以覆盖基础Linux提权的技巧，因此做一个记录

C3P0：

C3P0是一个开源的JDBC连接池，它实现了数据源和JNDI绑定，支持JDBC3规范和JDBC2的标准扩展。 使用它的开源项目有Hibernate、Spring等。

asp.net下的内存马研究文章比较少，目前提到过的包括虚拟路径内存马以及HttpListener内存马。最近研究了一下其他类型的内存马，发现.net可以利用的地方要多得多。所以准备写个系列文章，讲一讲asp.net下的内存马。

在分组加密中，明文与密文分组长度是固定的，那么对于较大数据的加密肯定要拆分为多组明文来进行加密运算。在这个过程中，不同分组之间是否需要进行交叉处理、是否需要额外的运算，这些不同的方法就构成了不同的分组加密模式。那么对于不同的加密模式，对应了不同的密码学特性，其也有不同的攻击手段。本文中，我们将对其中的三种进行分析，并整理基本的攻击手段。

MTCTF初赛碰到的题，复现了一下感觉预期解的构造还是挺妙的，出题人应该也是花了心思出的，可惜比赛的时候似乎被非预期了蛮多的。

最近的学习遇到了2个漏洞点十分相似的题目，但都是公链相关题目，一道题是BalsnCTF中的Draupnir还有一个是RWCTF3rd中的Billboard，分别是jwang-a和iczc师傅提供的优质赛题，主要的漏洞点基本都围绕 缓存和正常存储机制由于失败交易而导致的异步问题。Draupnir利用此为基础用合约做为漏洞利用点，而Billboard则是做了一个Dapp，利用相关的去中心化服务进行攻击。都是比较有趣的。Draupnir基于ganache-core 0day，Billboard基于cosmos框架的cve。我作为一个菜鸟也是写一些自己的理解，如有错误恳请指正。

在NCTF/NJUPTCTF 2021中有一道misc题:

我们可爱的Hex酱又有了一个强大的功能，可以去执行多行语句惹~
但是为了防止有些居心叵测的人，我们专门把括号，单双引号，都过滤掉，噢对不准色色，所以也不准出现h哟~

高版本JDK在RMI和LDAP的trustURLCodebase都做了限制，从默认允许远程加载ObjectFactory变成了不允许。RMI是在6u132, 7u122, 8u113版本开始做了限制，LDAP是 11.0.1, 8u191, 7u201, 6u211版本开始做了限制。

所以修复后的JDK版本无法在不修改trustURLCodebase的情况下通过远程加载ObjectFactory类的方式去执行Java代码。