Routersploit: Router 弱點利用框架

Router 是網路系統的重要元件,不僅ISP業者有,每個人的家中也都有,如此廣泛使用的裝置,資安議題必定永不停歇。RouterSploit 是一個基於 Python 所開發的 Router 弱點利用框架,不僅用於開發弱點利用工具外,本身也帶有非常多實用的模組,足以身任網路基礎設施掃描的重責大任。

從 web-for-pentest 看 PHP 原始碼審計

這篇文章使用 PentesterLab 靶機的 XSS 題組作為範例,一步一步的介紹作者在代碼審計過程中的思路,從題目限制分析、需要具備哪些基本知識,一路到 Payload 構成,值得新手閱讀。

代碼審計的基本思想從資料流下手,什麼樣的資料流進,經過哪些函數,從什麼地方流出,過程中有沒有經過危險函數。輸入的過程是否有進行過濾,過濾是否確實。有沒有訪問其他系統或者協定的機會,跨越系統容易出現疏忽,其中 SSRF 就是一個很好的例子。

Docker Hub 團隊下架了 17 個有後門的 Docker Image

Docker 容器技術讓我們可以輕易的將程式環境進行隔離, 不論是部署還是安全維護都非常便利, 在建構 Docker 環境過程中, 時常會藉由引入他人已經建構過的 Docker Image 來加快工作腳步, 但最近 Docker Hub 移除了 17 個具有後門的 Docker Image, 這些 Image 不僅帶有後門,  連現在最熱門的挖礦程式也一併附帶(真的是非常划算), 所幸官方已經將這些有問題的 Image 進行下架, 這次發現的後門可能只是冰山一角, Docker Image 的來源眾多, 下次各位在引入他人的 Docker Image 前, 請務必仔細的進行檢查.