HackerOne 平台发布年报，内容主要包括：黑客从哪里来？为何挖漏洞？最喜欢的黑客目标和工具是什么？从哪里学习？为何要和他人协作等等。另外，还公布了首位获得百万赏金的黑客年仅19岁且自学成才。报告数据来自 HackerOne 调查数据以及2018年12月以及2019年1月的 Harris 调查数据，后者的数据来自100多个国家和地区超过3667名黑客。HackerOne 平台数据来自成功地

背景几个月前，我自愿对一家法国公司进行了安全审计。该公司有一个企业站，你可以在其中找到新闻，联系页面或下载文档。这是一个非常典型的网站，当加载某些内容，将会发送AJAX请求，该请求由2个参数组成。并允许你以HTML格式获取一个包含最新新闻动态的响应。远程代码执行由此可以了解网站的工作原理。名为ajax的端点允许你使用任何类的任何方法。在此之前，我尝试使用了stdClass类和方法，但没有任何功能。

在游戏的世界里，棋牌类游戏以其独特的魅力深受越来越多的玩家喜爱，而当玩家们准备大笔一挥、酣畅淋漓地氪金充值打游戏，殊不知钱包早已被邪魅的眼睛盯上……近期，360安全大脑监测发现一批通过搜索引擎广告位进行大量传播的游戏盗号木马，该木马瞄准“1378棋牌游戏”和“850棋牌游戏”的用户群体进行盗号，一旦用户号码被盗，“虚拟财产”将遭受难以估计的损失，360安全大脑对此进行了深入的追踪和拦截查杀。&nb

一、行为概述    近日，深信服安全团队收到客户反馈，其服务器遭到勒索病毒攻击，所有文件数据被加密，加密后缀名为“.tater”。此次攻击的为一种新型的勒索病毒，除了豁免少数几个系统文件夹以外，其会对其他目录的所有后缀的文件进行无差别加密，同时该病毒还加了一层VB程序外壳进行伪装。由于加密算法采用了RSA+AES的方式，暂时无法解密。勒索信息：加密后文件：二、入侵分析文件加密时

译文声明本文是翻译文章，文章原作者F5，文章来源：f5.com                                原文地址：https://www.f5.com/labs/articles/threat-intelligence

背景360威胁情报中心近期发现一例针对韩国手机银行用户的黑产活动，其最早活动可能从2018年12月22日起持续至今，并且截至文档完成时，攻击活动依然活跃，结合木马程序和控制后台均为韩语显示，我们有理由认为其是由韩国的黑产团伙实施。其攻击平台主要为Android，攻击目标锁定为韩国银行APP使用者，攻击手段为通过仿冒多款韩国银行APP，在诱骗用户安装成功并运行的前提下，窃取用户个人信息，并远程控制用

译文声明本文是翻译文章，文章原作者rhinosecuritylabs，文章来源：rhinosecuritylabs.com                                原文地址：https://rhinosecurityl

言在学习PHP的过程中发现有些PHP特性的东西不好理解，如PHP中的00截断，MD5缺陷，反序列化绕过__wakeup等等。本人不想拘泥于表面现象的理解，想探究PHP内核到底是怎样做到的。下面是将用CTF中常用的一个反序列化漏洞CVE-2016-7124(绕过魔法函数__wakeup)为例，将此次调试PHP内核的过程分享出来。包括从内核源码调试环境的搭建，序列化与反序列化内核源码分析到最后的漏洞分

据赛门铁克报道称，在长达两年的时间里，持续发现一黑客组织频繁的针对沙特阿拉伯和美国的关键基础设施发动攻击，这一黑客组织就是被赛门铁克称之为Elfin的APT33。该组织早在2015年末就开始活跃起来，其针对的目标较为广泛，其中包括中东和世界其他地区的政府、研究所、化工、工程、制造、咨询、金融和电信等组织。赛门铁克从2016年初开始，就一直在监控Elfin的攻击，并发现该组织同时针对多个组织发起了一

今天给大家介绍的是一款名叫Vuls的漏洞扫描工具，该工具采用Go语言编写，可帮助研究人员在无需安装任何代理工具的情况下实现对Linux/FreeBSD的漏洞扫描。工具演示视频视频地址：https://asciinema.org/a/3y9zrf950agiko7klg8abvyck工具介绍对于系统管理员来说，每天的安全漏洞扫描以及软件更新任务肯定是非常繁重的．为了避免产品生产环境没有及时更新，很多