🎉🎉🎉🎉🎉🎉🎉🎉🎉
🆒Hacking Team是一家在意大利米兰注册的软件公司，主要向各国政府及法律机构销售入侵及监视功能的软件。其远程控制系统可以监测互联网用户的通讯、解密用户的加密 文件及电子邮件，记录Skype及其它VoIP通信，也可以远程激活用户的麦克风及摄像头。其总部在意大利，雇员40多人，并在安纳波利斯和新加坡拥有分支机构其产品在几十个国家使用。💰
🪩🪩🪩🪩🪩🪩🪩🪩🪩
🔥7月5日晚，Hacking Team服务器被攻击，其掌握的400GB数据泄露出来，由此引发的动荡，引起了业界一片哗然，里面有Flash 0day, Windows字体0day, iOS enterprise backdoor app, Android selinux exploit, WP8 trojan等等核武级的漏洞和工具，其远程控制系统可以突破系统默认以及杀毒软件的安全防护，后台监控用户的网络通讯、解密用户的加密文件及电子邮件，记录Skype和其它VoIP工具的聊天内容，以及远程激活用户的麦克风及摄像头。🔥
🎉🎉🎉🎉🎉🎉🎉🎉🎉

🤘本文为Hacking Team泄露的400GB数据当中，查到韩国和哈萨克斯坦曾跟Hacking Team合作利用其开发漏洞利用工具发起针对中国攻击的证据。🤘
🥳🥳🥳🥳🥳🥳🥳🥳🥳🥳

💎💎💎💎💎💎
IOS APP本地文件安全；HTTP/HTTPS下通信数据安全性的思考；非安全从业者是中间人攻击的重灾区。这次我们将简单的介绍一些方法和工具，来作为IOS APP安全测试的入门教程。由于本人能力有限，文章难免会有些错误，还望小伙伴们见谅。🚀
👅👅👅👅👅👅👅👅
🍓在我刚刚开始接触IOS逆向分析的时候想要一口吃个胖子，我从AppStore上下载APP进行安装后，找到其目录下的可执行文件，然后直接扔到了IDA中。结果可想而知，我看到了一坨不知所云的函数，那时我还一度怀疑过自己是不是真的适合做这一行。好在后来去除了浮躁的心态，知道我这么一个瘦子是无法变成胖子的，从前人的劳动成果中学习到从AppStore上下载的软件都是经过加密的，可执行文件被加上了一层厚厚的壳，这节我们只做一件事情，就是将APP厚厚的伪装去掉。之所以说是伪装，是因为加了密的APP想要解密并不是什么难事，不像Android下的APP加壳种类那么多。目标APP苏宁易付宝钱包（这是一个良心厂商，奖励了白帽子好多购物卡，这里的演示仅供学习毫无恶意）。🔞
🤔🤔🤔🤔🤔🤔🤔🤔🤔

💎💎💎💎💎💎💎
PS.之前一直想把零零碎碎的知识整理下来，作为知识沉淀下来，正好借着wooyun峰会的机会将之前的流程又梳理了一遍，于是就有了下文。也希望整理的内容能给甲方工作者或则白帽子带来一些收获💰
🍒🍒🍒🍒🍒🍒🍒🍒
随着网络安全越来越受到重视，发展越来越快。随之也出现了越来越多的安全防护的软件。例如有：

1.云waf；[阿里云盾，百度云加速，360网站卫士，加速乐等]

2.传统安全厂商的硬件waf以及一直存在的ips，ids设备；[绿盟，启明，深信服，安恒等]

3.主机防护软件如安全狗，云锁；

4.软waf如modsecurity，nginx-lua-waf等

🆒在明白了各种防护软件在网络环境下的拓扑之后，现在了解一下基础数据的流量与相关设备的基本处理。🆒
1）一个完整的过程，首先会请求DNS，由于配置云waf的时候，会修改DNS的解析。我们发送DNS请求之后，域名会被解析到云WAF的ip上去。DNS解析完成之后，获取到域名信息，然后进入下一个步骤。

2）HTTP协议是应用层协议，且是tcp协议，因此会首先去做TCP的三次握手，此处不去抠三次握手的细节，假设三次握手建立完毕。

3）发送HTTP请求过去，请求会依次经过云WAF，硬件IPS/IDS设备，硬件WAF设备，服务器，web服务器，主机防护软件/软WAF，WEB程序，数据库。 云WAF，硬件IPS/IDS，硬件WAF均有自己处理数据的方式。云WAF与硬件WAF细节上不太清楚，对于硬件IPS有一定的了解。
🔥🔥🔥🔥🔥🔥🔥🔥🔥🔥🔥

逆向基础 OS-specific
🤘🤘🤘🤘🤘🤘
💎TLS是每个线程特有的数据区域，每个线程可以把自己需要的数据存储在这里。一个著名的例子是C标准的全局变量errno。多个线程可以同时使用errno获取返回的错误码，如果是全局变量它是无法在多线程环境下正常工作的。因此errno必须保存在TLS。

C++11标准里面新添加了一个thread_local修饰符，标明每个线程都属于自己版本的变量。它可以被初始化并位于TLS中。💎
🆒🆒🆒🆒🆒🆒🆒🆒
rand_state现在处于TLS段，而且这个变量每个线程都拥有属于自己版本。它是这么访问的：从FS:2Ch加载TIB（Thread Information Block）的地址，然后添加一个额外的索引（如果需要的话），接着计算出在TLS段的地址。

最后可以通过ECX寄存器来访问rand_state变量，它指向每个线程特定的数据区域。

FS：这是每个逆向工程师都很熟悉的选择子了。它专门用于指向TIB，因此访问线程特定数据可以很快完成。

GS: 该选择子用于Win64，0x58的地址是TLS。

Listing 65.3: Optimizing MSVC 2013 x64

_TLS SEGMENT
    rand_state DD 01H DUP (?)
_TLS ENDS

_DATA SEGMENT
    $SG85451 DB '%d', 0aH, 00H
_DATA ENDS

_TEXT SEGMENT
init$ = 8

my_srand PROC
    mov edx, DWORD PTR _tls_index
    mov rax, QWORD PTR gs:88 ; 58h
    mov r8d, OFFSET FLAT:rand_state
    mov rax, QWORD PTR [rax+rdx*8]
    mov DWORD PTR [r8+rax], ecx
    ret 0

💎💎💎💎💎💎💎💎💎

👅👅👅👅👅👅👅
🔥要讨论模板引擎的攻击，先来了解下什么是模板引擎

模板引擎（这里特指用于Web开发的模板引擎）是为了使用户界面与业务数据（内容）分离而产生的，它可以生成特定格式的文档，用于网站的模板引擎就会生成一个标准的HTML文档。（百度百科） 说白了，就是使得后端数据转换成前端html以及样式的中间应用件。🎉
♥️♥️♥️♥️♥️♥️♥️♥️♥️
🤘模板引擎（Template engines）在现代web应用被广泛使用，它们被用来动态地显示数据。然而，不安全地将用户输入嵌入到模板中，会导致一系列针对服务器的注入攻击。然而，这种漏洞很容易被误当做Xss对待。然而，针对模板的注入其实可以攻击服务器，往往还能够RCE(远程命令执行)，触发任意对象构造，任意文件读写，远程文件包含信息泄露，和提权。🤘
🥳🥳🥳🥳🥳🥳🥳🥳🥳
当今web应用频繁地使用模板系统，诸如Twig，FreeMarket等。当用户输入嵌入在一个很没有安全性的模板时，模板注射就可能发生。
现在我们假设调用了Twig框架用来显示欢迎页面，如果直接把名字传递给模板，不会出现错误 就像这样

$output = $twig->render("Dear {first_name},", array("first_name" => $user.first_name) );

💎💎💎💎💎💎💎💎💎

😱😱😱😱😱😱
😱😱dnSpyEx 是一款功能强大的开源 .NET 程序集逆向工程工具，它集成了 反编译器 (Decompiler)、调试器 (Debugger) 和 汇编编辑器 (Assembly Editor) 三大核心功能。在网络安全渗透测试或取证分析中，当安全人员通过文件上传、信息泄漏或其他方式获取到目标 .NET 网站（如 ASP.NET） 后端的 DLL 文件（通常包含业务逻辑、敏感配置或加密密钥等），dnSpyEx 就能发挥关键作用。安全人员可以利用其 反编译 功能，将 DLL 文件中的 IL 代码 还原为可读性高的 C# 源代码，从而分析应用程序的内部工作原理、识别潜在的 敏感信息（如数据库连接字符串、硬编码凭证）或查找业务逻辑中的安全漏洞。此外，dnSpyEx 的 调试器 允许在反编译的代码级别进行单步跟踪，帮助理解复杂的代码执行流程，而其 编辑 能力甚至允许直接修改程序集，用于验证补丁或自定义分析。💰💰
🥳🥳🥳🥳🥳🥳🥳

👍👍👍👍👍
🚗🚗每个会议发出论文邀请以及会议的主页，并列出了投稿主题和兴趣，以及截止投稿时间。每个学术会议一般一年举办一次，最有名的学术界四大安全会议为S&P（又称Oakland），Usenix Security，CCS和NDSS (排名分先后)。
🪩🪩🪩🪩🪩🪩
👍👍研究员在截止日期之前提交论文。每个会议通常会收到100至300篇论文投稿，语言必须为英文，每篇论文包含等同于8-15页双栏或者20-40页单栏的文字量（包括引用）。有的会议还接受short paper（短篇论文），比full paper（完整论文）大概少一半的文字量。
🔥🔥🔥🔥🔥🔥🔥
🥳🥳Program Committee（会议程序委员会） 由大约20 - 50位专家学者组成。每篇文章会被三到五个人评审，这些人要么是PC成员，要么是由PC成员邀请的志愿外部审稿专家。审稿过程会持续约1-3个月左右。
🥳🥳🥳🥳🥳🥳
🚗🚗在所有PC成员完成审稿后，PC会参考审稿人的建议开会决定接受哪些论文和拒收哪些论文。比较好的会议的中稿率都会在20%以下，二流会议的中稿率大概在20%-30%之间。随后PC向所有作者发email通知他们是否接受其论文，并附上审稿意见。因为这些相对较低的接受率，一篇论文在被接受发表之前被拒收，修改，重新提交数次是不奇怪的，这个过程可能会花费数年。（一篇文章在同一时间只能被提交到一个会议。）

🔼🔼🔼🔼🔼🔼
Burpsuite作为web测试的神器，已经人手必备了。它提供的一系列互相配合的工具，极大的提高了手工测试的效率，从1.5版本开始，Burpsuite开始支持扩展。用户可以自己开发扩展实现一些特殊的需求。不过目前关于Burpsuite扩展开发的中文资料很少。这里抛砖引玉总结一下学习的过程。
💰💰💰💰💰💰
目前burpsuite官方支持用java，python，ruby开发扩展，选择还是很多的。Brupsuite的扩展可以实现非常多的功能，比如自定义扫描，修改http请求和响应，修改burp配置等等。几乎所以burpsuite功能都支持在扩展中进行控制。所以其实是可以用扩展把自己经常使用的功能做成自动化的。
👍👍👍👍👍👍👍

👍👍👍👍👍👍
从反汇编的代码可能看到两个令人激动的函数，一个是memfrob()，通过找男人(man)知道，这个函数是将输入的指定长度的字符串中的字符与数字42做异或，既然是异或操作，就是可逆的。另一个函数是strcmp()，这个函数才是最令人激动的，从整个程序流程大概看到，程序通过scanf()获取用户输入，然后通过memfrob()做异或处理，然后再送入strcmp()做匹配，所以，我们只要在strcmp()函数调用处下断点，然后查看栈内容就可以得到真正的密码了。
👅👅👅👅👅👅

id = getpid()
s = lstat("touch " + str(id))
if(s & 0xf000 == 0x8000){
unlink(str(id);
system("touch " + ID);
}
sleep(0x7d0);
system("cat " + str(id));