二零一五至二零一六

07 Jan 2016 - evi1m0

:出于各种因素,内容已经大幅删除。

公司内公司外,这一年我都在忙碌着,反观到了年底倒是轻松了不少,文章记录去年较有重要意义的事件,随后瞻望下即将到来的二零一六,算是年底给自己个总结。

KnownSec

工作上今年满意度自评 7/10 分,加分点在于对所负责的几个项目产品的完成度和效果,不足点则是身为 Leader 对团队的建设及思考远不如对待项目产品那么认真,可能我更适合当 PM ?

Demon: 时间是一个很神奇的东西,它帮你洗净铅华,沉淀下来的,净是一些深刻的感悟。 自从发现学校的课程完全不是自己想象中的那样后,头也不回的选择了逃课北上,去了北京一家安全公司实习。404是个好地方啊,它承载了我青春时的梦想和期盼,还结识了至今还一直联系的朋友。

多少个日日夜夜,天南地北的聊着各种话题,拍着胸脯说着荡气回肠的话语,抱着吉他呢喃着悲伤的歌曲,还有桌底下那只猫,一脸不屑的样子让我至今难忘。

如今已经毕业,身在异乡,有时偶尔抬头看看这没有星星的夜空,心里会有新的彷徨和无奈,还是会低头叹气。但想起青春时的迷茫,早已犹如星辰大海里的一颗即将消逝的星星,若隐若现,如不细想,却怕是早就遗忘在心底。

时间可真是一个神奇的东西….

当然我也会时常挂念 13 年的那批伙伴。

Beebeeto

这种社区化的漏洞验证脚本平台概念最早可能源于 Metasploit 社区,由安全研究人员自愿的利用官方提供的框架编写规范的漏洞验证脚本或者攻击脚本并发布到聚合中,由于框架强制性规范代码,使得各家产品能够轻松的调用“社区”编写的大量验证/攻击脚本,用来扫描、攻击、验证等用途。

在 Beebeeto 上线前很长一段时间里,我对社区化的漏洞验证脚本平思考过尽可能多的细节(站在使用者、编写者、管理者的角度),当初设想为漏洞爆发 -> 代码编写 -> 脚本管理 -> 脚本利用 -> … ,面对上面的流程我们推崇了 BBS 社区化,推出框架来强制规范编写者填写漏洞相关字段,对应函数体,为的是能够方便未来(现在的 Beehive)扫描器。之后安全行业涌出了多家社区化漏扫平台,我开始站在用户的角度去使用、编写他家的框架脚本,才意识到目前的框架是束缚,而不是舒服。它强制我填写每一个字段,而每个字段又需要去官方文档或者 Demo 代码中查看对应内容,例如 Beebeeto 中的 VulType ,强制要求编写者去查看官方文档寻找漏洞类型填写对应的英语版、漏洞描述等字段,事实上这些都是可以简化的,可能只需要一个 Referer。

这一年圈里也涌出了大量诸如 bb2 类的平台,这个手握百万投资那个桌上无限风光,这些讲真 I DON’T CARE,模仿也好原创也罢,成功就好(这不就是现在的商业理论)。

这个系列当初我是想出门创业大干一笔的,可终究计划赶不上变化,就这么拖沓下来了,当然我依然就职于知道创宇(13~至今),在 Beebeeto 早期公司有找我谈过这款产品的收购计划,可我年轻气盛哪能让别人收购,一口咬定不能坚决不能。直到年底再次找我讨论这款产品何去何从时我才发现,倘若一直这样将它放置在这,可能它这辈子,也就这样了。随后年底商议讨论收购计划,给它一个交代。

印迹永在。

Security

除了公司内部的研究,个人研究的 40% 已写成短/长文发表在了博客及公众号:

Python Threadpool Int
WordPress 4.1.2 / 4.2.1 XSS Vulnerability
Python Requests Response [text/content]
Backdoor CTF 2015 - WriteUP
Alibaba CTF 2015 - XSS400 WriteUP
Python-Django Celery BUG01
BCTF 2015 WEB Writeup
CodeGate2015 CTF - WEB400
CodeGate2015 CTF - WEB200
Search Registration Version 1.0
PHP multipart/form-data Remote DOS Vulnerability
CVE/2015/8213 - Django settings leak possibility in date template filter
HTML5 Upload Folder With Webkitdirectory - Phishing
Dotabuff BBS Worm
Xss-quiz.int21h.jp
Django logout function Denial-of-service
Beehive v0.1.0 Release
Bypass NoScript Vulnerability ( < 2.6.9.28rc1 )
Chrome XSS Filter Bypass - 1187843005
Docker install Kali Linux
jQuery 1.11.3 DomXSS Vulnerability
使用CloudSight API进行图像识别的Python脚本
美拍接口未限频导致的帐号随机密码碰撞
12306 售票网站新版验证码识别对抗
12306 新版验证码
MIMTf [中间人攻击测试框架] - 入口源码分析
MIMTf [中间人攻击测试框架] - Introduction
微拍APP漏洞 - 屌丝的从无到有
新浪微博 CSRF / ClickJacking 蠕虫
腾讯企业邮箱跨站漏洞分析
巧遇 Dota2 钓鱼,我的做法是?
跨站世界中有趣的复制与粘贴
Django实现RSS订阅功能
DIY 一款舒适的新浪微博
你所看到的“真相”
百度空间倒闭后
...

安全方面想必不用过多念给自己,诸如漏洞和私有项目这种着实不方便公开的也就只好藏着掖着。

Life & Girl

于 2015-05-12 接触 Dota2 这款游戏,随后的半年中对这款游戏投入金钱、时间较大,现已稳定许多。

  • 比赛(包括人机):1611 场
  • Steam 在线 :1432 小时
  • 资金投入 : 50,000+ 元

英雄池(常用/擅长):

  • 卡尔
  • 帕克
  • 米波
  • 敌法师
  • 恐怖利刃
  • 克林克兹
  • 灰烬之灵
  • 圣堂刺客

现在只偶尔和朋友开黑内战,理解为生活中的一款休闲游戏。除了游戏变得技术娴熟让我开心以外,幸运的是我遇到了她,七月相识十月相爱,至此也算走过小半年的风雨,她诗词俱精,可爱迷人,是今年最大的礼物,让我心安。

大头的变化倒是不大,除了吃还是吃,只是更加喜欢棍状物体了。周末闲暇看他趴在身边熟睡,满足极了!至于身体,真是越来越差,除了不时的心脏痛以外牙齿也是疼的令人窒息,也许是雾霾的锅,嗯。

安全要搞,产品更是得继续。

评论插件使用 Disqus ,需翻墙才能查看及留言。