TLS 握手优化详解
这篇讲的是随着HTTPS成为主流，如何优化TLS握手带来的性能开销。作者从TLS握手需要消耗两个RTT（往返时间）的痛点出发，详细拆解了False Start优化技术——它允许客户端在握手尚未完全结束时就提前发送加密的应用数据，从而将握手延迟从两个RTT压缩至一个。文章还深入分析了证书链的优化策略，指出证书过长或中间证书缺失会导致额外开销，并推荐了使用ECC证书来显著减小证书体积。通过Wireshark抓包图，文章直观展示了这些优化前后的对比效果。对于正在部署HTTPS的开发者来说，这些关于握手流程和证书配置的实践细节，能有效帮助他们在不牺牲安全性的前提下提升连接速度。
Java反序列化漏洞被忽略的大规模杀伤利用
这篇讲的是Java反序列化漏洞被大家热议时，一个关键攻击面却被普遍忽略了。作者指出，焦点大多集中在Web中间件上，但实际上，像RMI这类在企业级Java CS架构中广泛使用的通信协议，其传输过程完全基于序列化，是漏洞大规模利用的“原罪”。 文章核心观点在于，攻击者只需找到开放的RMI服务端口（默认1099），配合Apache Commons Collections等常用库，就能轻易构造攻击载荷实现远程代码执行。作者批评了许多修复建议只是“治标不治本”，并特别点明了原始研究中关于RMI利用的部分被众多安全人员忽视的现象。 文中不仅分析了原理，还对比了通用利用工具（如ysoserial）在获取回显交互时的不足，并展示了作者为解决此问题而编写的、针对RMI的具体实现代码。这提醒安全研究者，漏洞的实际影响面往往比最初曝光的更广，在企业内网的分布式服务中，这类风险可能更为隐蔽和普遍。
数据防泄漏DLP技术深度剖析
这篇文章从企业数据保护的演进出发，剖析了数据防泄漏（DLP）技术从粗放式“全加密”管理，向智能化、精细化管控转变的历程。作者指出，DLP的核心在于“内容识别”，以此为基础构建对结构化与非结构化数据的区分防护能力。 文章重点拆解了DLP的基础检测技术（正则、关键字、文档属性）与高级检测技术（EDM、IDM、SVM）的关键差异。例如，精确数据比对（EDM）适用于保护数据库中的客户信息，可通过多字段组合精准触发策略；而文档指纹（IDM）与支持向量机（SVM）则分别通过文件特征学习和语义分类，应对复杂文档与代码的防护。此外，文章还阐述了文件级、网络级、磁盘级动态加密技术的实现原理与适用场景。 在产品形态上，文章梳理了DLP从早期“设备强管控”的囚笼型、聚焦文档加密的枷锁型，到行为审计的监察型，再到当前具备内容感知能力的智慧型产品的演变路径。最后提到，在国产化浪潮下，国内DLP产品正从萌芽走向成熟，市场潜力与挑战并存。
移动APP安全测试要点
这篇文章由绿盟科技移动APP安全测试专家侯绍岗、杨乔国撰写，以一次真实的Android APP安全测试为案例，系统拆解了移动应用可能面临的威胁与关键检测点。 作者从运营商APP自主开发越来越多但可能绕过应用市场审核这一现状切入，提出了从评估思路到自动化检测的完整框架。文章的核心在于具体的安全检测要点：比如，`allowBackup`属性设置不当可能导致用户数据被导出；WebView未限制方法调用，会为JavaScript攻击设备敞开大门；登录等关键数据若使用HTTP明文传输，则易被网络监听截获；甚至在注册环节，若服务器未验证提交的手机号与下发验证码的手机号是否一致，也可能被利用注册任意账号。 文章不仅给出了明确的整改建议（如将`allowBackup`设为`false`、对敏感数据加密传输），还深入探讨了检测中发现的争议点。例如，关于“关键数据明文传输”是否算漏洞，作者对比了金融、社交等不同平台的安全要求差异；而针对“登录界面可被钓鱼劫持”的风险，文章通过Android启动Activity机制的原理图解，演示了恶意程序如何抢先推送伪装界面，并对比了有无防劫持提示的APP表现，直观说明了该风险的实际危害与防御价值。 这篇技术复盘不仅罗列了漏洞清单，更通过原理分析、情景演示和行业讨论，为安全从业者提供了从识别、评估到整改的实践思路。
SSH 信任限制只能执行 rsync 命令
这篇讲的是如何在不全面开放SSH权限的前提下，实现服务器间安全的rsync文件同步。作者从一个常见的运维场景出发：Server A需要经常向Server B同步文件，但Server B不想配置复杂的rsyncd，同时出于安全考虑，也不能完全开放SSH登录权限。 文章提供的解决方案核心在于精细配置Server B上的`~/.ssh/authorized_keys`文件。通过将公钥的`command`字段指定为`rrsync`脚本，并附带目标目录路径，就能实现两个关键限制：一是SSH连接建立后，只能执行`rrsync`（受限的rsync）命令，无法获得shell；二是文件传输被严格限定在指定的目录（例如`/data/work/package/`）内。同时，配合一系列`no-`前缀选项，彻底禁用了端口转发、X11转发等可能产生安全隐患的功能。 具体步骤上，文章给出了清晰的操作指引：在Server A生成专用的ssh密钥对，在Server B部署`rrsync`脚本并编辑`authorized_keys`。最后通过一条包含密钥路径的rsync命令，即可完成从本地到远程指定目录的上传。这种方式既满足了自动化同步的业务需求，又将服务器的安全暴露面降到了最低，是一个实用且安全性较高的配置技巧。
IOS安全–浅谈关于IOS加固的几种方法
这篇讲的是iOS平台加固方法的梳理与对比。作者开篇就点明了iOS系统在未越狱时的相对安全性，但同时也指出，针对逆向分析与破解的加固需求并未消失。 文章重点对比了市面上几款iOS加固产品的早期形态：从被作者认为是“噱头”的爱加密IOS加密，到使用起来需要替换编译器的Safengine工具，再到体验相对较好、考虑更周全的白盒加密方案。通过这些产品演进，带出了当前iOS加固的主流技术方向。 核心内容围绕四种具体方法展开：一是字符串加密，防止明文信息被静态分析直接获取；二是类名与方法名混淆，让通过class-dump得到的接口难以被理解；三是基于Clang编译器IR层的代码混淆，增加反编译后的逻辑分析难度；四是集成安全SDK，提供反调试、注入检测、越狱检测等运行时防护能力。文章不仅指出了问题现状，也给出了部分方法的开源实现参考。 作者以亲身实践的角度，串联起了iOS加固从工具产品到具体技术实现的全景，为关注移动端安全的开发者提供了清晰的入门图景。
iOS安全系列之二：HTTPS进阶
这篇讲的是在iOS开发中如何让HTTPS连接更安全，作者从实际遇到的HTTPS问题出发，深入剖析了中间人攻击的几种常见形式。文章首先模拟了最简单的钓鱼式攻击，通过Charles代理工具详细演示了攻击者如何利用伪造证书窃取HTTPS流量，直观暴露了许多App仅依赖系统默认校验的安全隐患。 在此基础上，作者对比了SSL剥离等更具隐蔽性的攻击手段，并针对性地指出了防范关键：不仅要依赖系统校验，App内部更应对服务器证书进行本地的、硬编码的对比校验。文中还延伸讨论了iOS 9引入的App Transport Security（ATS）特性，以及如何使用Wireshark调试SSL/TLS通信，将理论与开发实践紧密结合。 对于希望加固应用网络安全的开发者而言，文章从攻击原理到防御代码都提供了具体思路，特别是关于WebView中易忽略的URL协议校验等细节，具有很强的实操参考价值。
Android安全–DexClassLoader动态加载分析
这篇讲的是DexClassLoader在Android动态加载中的具体实现机制。作者从DexClassLoader的构造函数切入，像侦探一样，一步步追踪代码执行流程。 他沿着构造函数进入父类BaseDexClassLoader，再到关键的DexPathList，最终锁定了加载dex文件的核心函数`loadDexFile`与`openDexFile`。这条路径清晰展示了参数如何被解析与传递。 最巧妙的部分在于，作者将分析延伸到了native层。在`openDexFileNative`函数中，系统会根据文件后缀，分别调用`dvmRawDexFileOpen`处理dex文件或`dvmJarFileOpen`处理jar包，最终返回一个统一的`DexOrJar`结构。这揭示了Android如何将不同格式的代码包归一化处理，巧妙地衔接了Java与Native层的实现。
说说 XcodeGhost 这个事
这篇文章围绕曾经引起广泛关注的“XcodeGhost”事件展开。作者并非单纯复述事件经过，而是从一个技术观察者的视角，深入剖析了这场安全风波背后的技术逻辑与行业生态。 文章指出，被植入木马的Xcode确实导致了大量国产App被污染，但其实际危害程度需要理性评估。作者核心观点在于，iOS系统自身的安全设计（例如iCloud密码的高优先级保护、沙盒机制）构筑了多道防线，有效限制了恶意代码所能造成的最坏后果。他详细解释了为何直接窃取iCloud密码极其困难，并指出了用户可识别的钓鱼特征，如对话框反常地要求输入完整的Apple ID。 更重要的是，作者将此事与国内开发者普遍集成不明第三方SDK的风气进行了对比，认为后者对App信任链的破坏远超XcodeGhost。他借此批评了行业安全意识的薄弱，并呼吁用户（尤其是国产安卓用户）加强基本防护，如开启二步验证、谨慎对待系统弹窗。文章最后回归到技术本质，强调了操作系统层面安全机制的关键作用，为读者提供了在恐慌情绪之外更为冷静和深入的安全思考。
Android libcutils库中整数溢出导致的堆破坏漏洞的发现与利用
文章从研究Android图形子系统时发现的一个整数溢出漏洞讲起，这个漏洞存在于libcutils库的native_handle_create函数中。作者龚广(@oldfresher)揭示了，当传入精心构造的numFds和numInts参数时，会导致堆内存分配大小计算溢出，进而引发堆破坏。具体来说，这个漏洞可通过Android图形系统的Binder接口（如IGraphicProducer的setSidebandStream）被低权限进程跨进程触发。 更巧妙的是，作者构建了一条清晰的提权路径：从普通应用出发，必须按顺序依次注入mediaserver、surfaceflinger，最终目标是获得system_server的“半神”权限。摘要中点明了这一“三步走”策略的必要性——每一步获取的权限是攻击下一步的门票。文中还提及了攻击过程需克服的ASLR、SELinux以及je_malloc堆管理器等现实障碍，并以mediaserver注入为例，详细拆解了从控制Binder服务线程到最终代码注入的五个步骤。整篇文章不仅定位了漏洞根源，更完整呈现了从漏洞发现到实现高权限提权的复杂工程化利用全貌。
Android安全–加强版Smali Log注入
这篇讲的是如何在Android逆向或调试时，更高效地向Smali代码注入日志打印。作者从实际场景出发：当我们需要在Smali中插入`Log.d()`来输出某个变量的值时，常规做法很繁琐，往往需要手动修改方法的寄存器数量，再添加多行指令，容易出错且效率低下。 为了解决这个痛点，作者提出了一种巧妙的“加强版”方案。核心思路是自己创建一个`crack.smali`工具类，并在其中预先定义好几个好用的日志输出函数（如`log1`、`log2`等）。这样一来，在需要注入日志的地方，只需简单调用这个类中对应的方法，并将要打印的变量作为参数传入即可。 这种方法将通用操作封装成了模块，避免了每次注入时重复编写和调整基础的Log代码，既降低了出错概率，也大幅提升了逆向分析或调试的效率。文章通过具体的Smali代码示例，清晰展示了从繁琐到简洁的转变过程，对于经常需要动态分析APK的开发者来说，是一个非常实用的技巧。
搭建自己的CA服务 – OpenSSL CA 实战
这篇讲的是如何用OpenSSL从零搭建一个私有CA服务，特别适合那些内部节点间需要SSL加密通信，又不想向公共CA支付证书费用的场景。 作者从“内部通信也需要安全认证但成本高昂”这一现实问题出发，提供了一份完整的OpenSSL自建CA实战指南。文章的核心是手把手的操作流程：从准备关键的openssl.conf配置文件开始，一步步创建CA自己的私钥、自签根证书，再到用这个CA为其他服务器颁发和签署证书。每一步都配有可直接运行的详细命令行示例，比如生成4096位RSA密钥、设置证书主体信息等，可操作性很强。 通过搭建自己的CA，你可以完全掌控内部系统的证书颁发与管理，既确保了节点间通信的安全性，又省去了向第三方CA申请证书的开销。对于需要快速为内部服务批量建立信任关系的运维和开发人员来说，这套自给自足的方案相当实用。
NodeJs下的Web安全
这篇文章聚焦于Node.js应用面临的Web安全威胁及防御之道。它系统地拆解了从基础到进阶的多种攻击模式，每种都清晰地阐述了攻击原理与具体防范措施。 比如，针对SQL注入，文章展示了恶意参数如何拼接出`drop table`的毁灭性语句，并强调对用户输入进行过滤是关键。对于XSS脚本攻击，作者提醒要保持对用户数据的怀疑，并推荐了具体的过滤模块。文章还深入讲解了CSRF请求伪造、HTTP管道洪水漏洞，以及包括Slowlori慢速攻击、超大Buffer耗尽内存在内的多种应用层DoS攻击手法。 除了这些经典问题，内容也延伸至Node.js开发中特有的风险点，如因直接拼接文件路径导致的目录遍历漏洞，以及MD5等传统加密方式因彩虹表而变得不安全的现状。文末的总结建议，将Node.js应用部署在Nginx之后、对输入进行严格过滤，是极具操作性的生产环境防护指南。
nginx访问控制Access Control的问题
这篇讲的是nginx中一个容易踩的坑：使用`allow`和`deny`配置IP访问控制时，规则可能出乎意料地“不生效”。 作者通过一个实际配置进行测试：在server块禁用了IP `211.81.175.6`，在`location /nginxacc`块禁用了IP `211.81.175.8`。预期结果是前者全站不可访问，后者仅目录受限。但实际测试发现，IP `211.81.175.6`竟然能访问`/nginxacc`，而IP `211.81.175.8`却可以访问根目录。 问题的根因在于nginx的访问控制规则继承机制。如果子级（如location块）定义了任何ACL规则，它就**不会**继承父级（如server块）的规则，而是完全使用自己定义的规则列表。这意味着，虽然IP `211.81.175.6`在server层被禁，但在`/nginxacc`这个location里没有重新声明禁止，因此该location的访问是被放行的。 文章引用了nginx源码作为依据。这个发现提醒我们，在设计多层级访问控制时，必须清楚理解规则的继承与覆盖逻辑，不能想当然地认为规则会自动累加。否则就可能出现安全策略漏洞，本该封锁的IP反而获得了访问权限。
微信扫码登录网页实现原理
这篇文章从作者的一次腾讯面试经历出发，深入剖析了微信扫码登录网页版的核心技术原理。作者通过浏览器工具抓包，逐步拆解了整个流程：首先，网页会生成一个包含唯一临时ID（uid）的二维码；同时，前端会通过创建一个长连接（长轮询）来持续监听该uid的扫描状态。如果扫码超时（约27秒），服务器会返回408状态码；一旦手机端扫码，即上报uid与手机令牌的绑定关系，长轮询便会收到201状态码，网页随即跳转至确认页面。最终用户在手机确认后，服务器才会下发授权令牌，完成整个登录交互。 文章的巧妙之处在于，它清晰地揭示了微信如何利用“长轮询”实时性好、轮询次数少的特点，高效同步了网页与手机端的状态。同时，通过临时uid、网络断开后令牌失效等机制，在便利性与安全性之间取得了不错的平衡。作者结合实际的网络请求代码片段和状态码截图，让这个看似复杂的流程变得直观易懂。
文件权限之粘滞位
这篇讲的是Unix/Linux系统中一个具体而微小的技术点：粘滞位（Sticky Bit）在可执行文件上的行为。作者从一个实际问题出发——如果给一个root属主的可执行文件设置了粘滞位，那么由它派生的其他进程，其有效用户ID（euid）还会是root吗？ 为了验证，作者编写了一个简单的PHP脚本（test.php），其核心就是输出当前进程的euid和uid。随后，他通过给这个脚本文件设置粘滞位并以root身份执行来观察结果。测试发现，新进程的euid并没有如预期那样保持为root。 由此得出一个明确的结论：粘滞位（即使在可执行文件上）并不能在程序执行后被其创建的其他进程所继承。这个发现澄清了对文件权限位作用范围的一个常见误解。
给Nginx配置一个自签名的SSL证书
这篇讲的是如何为Nginx配置一个自签名SSL证书，来快速启用HTTPS安全连接。 在Web开发中，HTTPS几乎是保障浏览器与服务器通信安全的必选方案，但向证书颁发机构申请正式证书往往需要每年几十到几百美元的费用。如果只是为了内部管理或测试目的，自签名证书就能提供一个零成本的解决思路。 文章从SSL证书验证的两种模式切入，解释了为什么普通网站通常只验证服务器证书，并点明自签名证书的适用场景。核心方案部分，作者详细演示了利用openssl创建证书的四步流程：生成密钥、创建签名请求、移除口令并最终签名。为了简化操作，文章还提供了一个shell脚本，以域名www.test.com为例，展示了从运行脚本到输入口令的完整交互过程，以及生成的四个关键文件。 配置环节，文章明确指出Nginx需要加载证书和密钥文件的具体路径，并附上了示例配置。最后还提到一个实用技巧：让Nginx统一处理HTTPS，后端应用服务器只用HTTP连接，这样既发挥了Nginx在处理SSL方面的优势，也避免了其他服务器配置证书的复杂性。整个过程下来，即使是自签名证书，也能让管理员通过浏览器安全地连接到服务器进行维护。
记一次LVS/Nginx环境下的访问控制
作者从一次监控异常出发，揭示了LVS/Nginx架构下访问控制的典型陷阱。他在Graphite上发现服务器网卡流量
HTTPS, SPDY和 HTTP/2性能的简单对比
这篇翻译文章源于作者对抗运营商网络劫持的关注，借此机会详细对比了传统HTTPS、SPDY/3.1以及新兴的HTTP/2协议在性能上的具体差异。 测试以Google英国首页为例，在相同条件下对比三者。一个关键区别在于报头压缩：HTTP/2采用的HPACK算法，在报头大小上显著优于SPDY所使用的DEFLATE压缩，使得HTTP/2的空请求报头体积最小，优势明显。 在响应信息大小方面，情况则更为复杂。对于图片资源，三者表现相近。但对于文本内容，虽然HTTP/2报头更小，但其数据帧的可选填充字节，使得最终响应信息反而大于SPDY。文章解释，这种填充机制主要是为了对抗如BREACH等特定安全攻击。 总体来看，HTTP/2在连接初期的数据传输效率上建立了优势，尤其是在报头处理上更为高效。而SPDY在某些特定内容的传输中依然保持着竞争力。文章通过具体的截图和数据，清晰地展示了下一代网络协议在优化性能与保障安全方面的不同设计权衡。
网络数据包调试利器之wireshark
网络调试中，Wireshark 是不少工程师离不开的“瑞士军刀”。这篇文章没有停留在概念介绍，而是直接带你走进 Wireshark 的实际操作现场。从如何在不同系统上安装开始，重点讲解了软件的核心使用流程。 文章细致拆解了 Wireshark 的主界面，并逐步演示了捕获数据包的关键设置。比如，如何选择网卡接口、理解混杂模式的用途以捕获局域网全部流量，以及如何设置像“port 80”这样的捕获过滤条件来提前筛选 HTTP 流量。 更实用的部分在于捕获后的分析环节。作者详细说明了如何使用显示过滤器，通过构建表达式来精确定位目标数据包。同时，介绍了着色规则和 IO 图表等可视化功能，这些都能帮助用户快速识别网络中的异常流量或性能瓶颈，比如通过 IO 图表直观发现 TCP 重传的低谷点。整篇文章像一份简洁的操作手册，让复杂的工具使用变得清晰可循。
