和○西○行搞网络的学弟聊天，我说金融科技视角的安全建设，往往会经历这个阶段演变：
1. 买安全设备
2. 买安全服务
终极. 网络科剥离出安全部门
4. 安全部门出条例
5. 安全部门引入现代化手段（资产管理、SDL、演练等）
6. 安全部门孵化出红队选手和实验室，组建自己的力量
7. 体系内左右互搏锻炼肌肉
8. 对外输出。
1. 买安全设备
2. 买安全服务
终极. 网络科剥离出安全部门
4. 安全部门出条例
5. 安全部门引入现代化手段（资产管理、SDL、演练等）
6. 安全部门孵化出红队选手和实验室，组建自己的力量
7. 体系内左右互搏锻炼肌肉
8. 对外输出。
Forwarded from Miracle
Most people need to pick between money or doing something significant in cybersecurity
Forwarded from Miracle
You need to be very luckly to be able to have both
imagine 三十年后 晋升厅级领导的流程是把大脑从躯体中取出 安插到用无人机、无人警务车和全市摄像头加上一堆算力设备构成的城市大脑网络上，，，
外面似乎还在流行很严重的瘟疫……为了管住不听话在外面乱跑传播病毒的人，我们早已安装了由程序指挥的智能门锁，小区门口也有消杀隔离闸道；伙食全部由本地的保供企业用无人车投递到门口。家里的老二为了给老三发的抖音VR视频换取更高的权重决定考公，今年已经是他在家备考公务员的第五年了，赶考也是他极其难得的出门的机会。枝江大学考点附近的黑市似乎有卖魔改过信道的星链终端，我让他把装有东雪莲直播切片NFT的闪存片嵌在牙槽里带过去换一个；好多年前就有预感她会被封杀，我独自研发的加密混淆隐写算法终于派上了用场。
记录旧文：
这两天试做一个有控制面的内网L4代理，用意是参考一些服务网格，针对dliv3学长的Venom Proxy重新思考和设计，做一些稳定性和操作逻辑上的优化。做的时候的一些思考：
1 其实绝大多数功能meterpreter就有，但meterpreter为了躲避检测牺牲了太多。portfwd比想象中好用很多，上次四五层内网，直接meterpreter fwd meterpreter的流量，一个msfconsole就捅穿了。
2 Service Mesh这个概念看似很新颖，其实在云原生起来之前就已经被一些高级的C2流量代理工具用得炉火纯青；云原生的Mesh这几年才开始关注eBPF，而NSA早好多年就开始用eBPF来hide C2了。现在在做的这个代理是冲着端到端分布式去的，实践上的mesh无非是把端到端的控制面流量传递不断优化（比如用IaaS能力的交换机收束到L2），而传C2时是恰恰相反的。
3 把C2伪装成压缩过的dubbo或者HTTP/2能不能绕开实时流量分析？
4 再深入一点，如果要做APT，是不是可以考虑客户端偷内网本来就有的服务RPC信道，远端通过读服务日志（或者packet filter）来C2？
5 高强度搞networking开发却不学Go，就像看V不看东雪莲，饮料不喝维他奶，球鞋不买耐克，他整个人的境界就停在那了，只能度过一个相对比较谔谔的人生
这两天试做一个有控制面的内网L4代理，用意是参考一些服务网格，针对dliv3学长的Venom Proxy重新思考和设计，做一些稳定性和操作逻辑上的优化。做的时候的一些思考：
1 其实绝大多数功能meterpreter就有，但meterpreter为了躲避检测牺牲了太多。portfwd比想象中好用很多，上次四五层内网，直接meterpreter fwd meterpreter的流量，一个msfconsole就捅穿了。
2 Service Mesh这个概念看似很新颖，其实在云原生起来之前就已经被一些高级的C2流量代理工具用得炉火纯青；云原生的Mesh这几年才开始关注eBPF，而NSA早好多年就开始用eBPF来hide C2了。现在在做的这个代理是冲着端到端分布式去的，实践上的mesh无非是把端到端的控制面流量传递不断优化（比如用IaaS能力的交换机收束到L2），而传C2时是恰恰相反的。
3 把C2伪装成压缩过的dubbo或者HTTP/2能不能绕开实时流量分析？
4 再深入一点，如果要做APT，是不是可以考虑客户端偷内网本来就有的服务RPC信道，远端通过读服务日志（或者packet filter）来C2？
5 高强度搞networking开发却不学Go，就像看V不看东雪莲，饮料不喝维他奶，球鞋不买耐克，他整个人的境界就停在那了，只能度过一个相对比较谔谔的人生
Forwarded from PRDM
俺hw打到一个非常有趣的资产，使用非常安全，闪光般快的的锈语言编写，可是它前端传入SQL语句并执行。
Forwarded from bupt.moe
#canokeys #security
Canokeys Pigeon 2022.5 版本来了！
081100Z 开始发售，请各位耐心等待
https://item.taobao.com/item.htm?id=664914723920
@canokeys
Canokeys Pigeon 2022.5 版本来了！
081100Z 开始发售，请各位耐心等待
https://item.taobao.com/item.htm?id=664914723920
@canokeys
那几天频繁打车，一些和中老年出租司机聊天记录：
1
>周日
怎么你周日早上还往那边
加班
加班，是不是加班工资多
没有工资，国家有任务，我去为国家做贡献
你这……现在没有人讲为国家做贡献了的，都是讲这个（用力用手比划）钱！都是讲钱！
2
小兄弟，那个查电话号码的号码是多少啊
>查号码百事通
你可不可以帮我问一下，xx打车平台的客服电话
我前几年都是跑滴滴的，去年回老家时删了滴滴，回来就装不上了……现在都是在这些小平台上注册，但跑的单还是滴滴这里接
但是小平台信不过，我还有两千块钱现在在xx平台，取都取不出来，这两天都快没钱吃饭了（有些凝噎）
>搜到了客服号码，目的地也送到了
您对着拨一下这个号码，再见
谢谢，注意安全，再见
（听到了他和客服痛诉的声音远去）
1
>周日
怎么你周日早上还往那边
加班
加班，是不是加班工资多
没有工资，国家有任务，我去为国家做贡献
你这……现在没有人讲为国家做贡献了的，都是讲这个（用力用手比划）钱！都是讲钱！
2
小兄弟，那个查电话号码的号码是多少啊
>查号码百事通
你可不可以帮我问一下，xx打车平台的客服电话
我前几年都是跑滴滴的，去年回老家时删了滴滴，回来就装不上了……现在都是在这些小平台上注册，但跑的单还是滴滴这里接
但是小平台信不过，我还有两千块钱现在在xx平台，取都取不出来，这两天都快没钱吃饭了（有些凝噎）
>搜到了客服号码，目的地也送到了
您对着拨一下这个号码，再见
谢谢，注意安全，再见
（听到了他和客服痛诉的声音远去）
什么是父权呢？举个身边的例子，x公司的X总派组长A和组员P去拿下y公司掌管一个大片区几百万上千万元资源调动权的Y总的大单。
首先在地X就会请A和P（或者反过来，其实重点在于一定有一个表示的局）喝一顿表示感谢，A就得连连敬X，P进行一个附和；
然后A和P又到了Y的地区喝一顿，连连敬Y（甚至Y的上司），五十三度的白酒，五两、八两、一斤（规定出来之前只会更恐怖），哐当哐当。
那么Y喝醉之后A就需要把打车代驾护送一系列事情给Y办妥喽，Y回家之后，A喝酒的后劲压不住了，P又得陪着“发酒疯”然后把A按住送回去。
然后P才能回到家，酒的后劲也上来了，P的妻子还得帮他铺铺被窝乃至拖干净被吐脏的地板。如果P是一个“业务能力了得”的人，妻子怕是只会更惨。
而这个环节上的每一个人，都只不过是为了在整个体系里，从两百万的大单里，争“自己的那一口”。女性往往只能出现在迎合这一体系当中最卑劣的地位（比如上文中甚至没有提及给领导转桌收盘递酒的服务员们，也没有提及一些有“嗜好”的领导喝完酒之后去洗脚“保健”的服务员们）。
首先在地X就会请A和P（或者反过来，其实重点在于一定有一个表示的局）喝一顿表示感谢，A就得连连敬X，P进行一个附和；
然后A和P又到了Y的地区喝一顿，连连敬Y（甚至Y的上司），五十三度的白酒，五两、八两、一斤（规定出来之前只会更恐怖），哐当哐当。
那么Y喝醉之后A就需要把打车代驾护送一系列事情给Y办妥喽，Y回家之后，A喝酒的后劲压不住了，P又得陪着“发酒疯”然后把A按住送回去。
然后P才能回到家，酒的后劲也上来了，P的妻子还得帮他铺铺被窝乃至拖干净被吐脏的地板。如果P是一个“业务能力了得”的人，妻子怕是只会更惨。
而这个环节上的每一个人，都只不过是为了在整个体系里，从两百万的大单里，争“自己的那一口”。女性往往只能出现在迎合这一体系当中最卑劣的地位（比如上文中甚至没有提及给领导转桌收盘递酒的服务员们，也没有提及一些有“嗜好”的领导喝完酒之后去洗脚“保健”的服务员们）。
经典回顾：
【台湾南昌飞行员折磨教官【元旦快乐！】-哔哩哔哩】 https://b23.tv/b8rHHKU
【台湾南昌飞行员折磨教官【元旦快乐！】-哔哩哔哩】 https://b23.tv/b8rHHKU
Bilibili
台湾南昌飞行员折磨教官【元旦快乐！】_哔哩哔哩_bilibili
动动手指投币点赞帮助小狗重返地球。