去年去某著名安全公司做技术交流，中间聊了一点云WAF的事情，细思极恐，一直想吐槽，一直没时间，拖到现在。填坑，现在开始吐。
0x01 可怕的云WAF
从攻击者的角度看，云WAF确实可怕：
1、攻击代码被拦截，一些NDay的exp会直接被云WAF拦截，甚至连菜刀的一句话都会被拦截，着实蛋疼。
2、云WAF不仅可以标记网站指纹，还可以标记黑客指纹。
攻击者的常用攻击手法、常用攻击工具、常用IP的攻击特种会被记录，同时其正常上网的记录也会被记录，从而可以形成一个黑客《=》用户的映射。如果不注意...
吐了个槽 可怕的云WAF
杂七杂八 小博客半血复活
断断续续搞了很久的Blog终于是算完成了吧，于是把原来空间的Wordpress换掉了，改成了这个东西。
这是我使用Yii开发的一套博客程序，目前博客所有功能已经完成，前端的话有几个小的BUG不影响使用，现在就这么凑合玩吧。当前模版只支持现代浏览器访问。。。Blog程序目前比较完整，剩下的大概是一些琐碎功能的管理，再就是添加和完善一些好玩的模块了。
其实虽然去年各种瞎忙活，但是还是在Yii方面开发有些心得，想写出来以作备忘，可是真是在瞎忙活，一直也没写，决定以后把这些坑都填上。
可惜SAE限制了本地I/O，而Yi...
这就是生活啊 悲痛刺激了我的消费欲
吐了个槽 Struts2 S2-016 EXP代码与工具
从Struts官方不负责任的公布了S2-016/S2-017的POC以来，已经过去了2个周。期间各种工具和代码满天乱飞，被黑了的网站也不计其数，包括淘宝在内的多个电商、网银等等统统中招。为啥点名淘宝呢，因为漏洞的分析者空虚浪子心正是阿里巴巴的安全专家，不过即使这样，由于各种狗血的原因淘宝依旧没有摆脱Struts2漏洞的影响。
期间有传言淘宝被脱裤。不明真相的我表示：从S2-016这种0day的出现可以看出，网络上必然流传着很多直接秒杀各种服务器和应用的0day，所以即便被脱裤了，也不要太惊讶。另外，帐号安全是多个维度的，即使帐号密...
这就是生活啊 凄然七月间
似水流年，凄然七月天。
不忘初心，欣然向前行。
这个七月，原本以为是一个很好的开端和转折点，结果成了一个悲喜交加最终让我感觉非常痛苦的一个月。
蛋碎了一地。
实在是懒的写东西，刚想玩会游戏，转念一想，算了，还是写写吧，一会再看看代码，什么时候决定卸载了游戏基本我就成佛了，现在能做的就是恢复多一点的奋斗状态。
北漂四个月了，已经熟悉了帝都的工作环境和工作内容。渐渐进入养老的节奏，啊，草泥马啊，我实在是不想这样养老，可是身体却不听使唤，懈怠。
7月13号去了魔都，参加 O...
吐了个槽 Struts2 S2-016/S2-017 吐槽
昨天struts2的漏洞被公布，官方发了公告并给出了POC。
http://struts.apache.org/release/2.3.x/docs/security-bulletins.html
漏洞代号S2-016和S2-017，其中S2-106的描述中提到“allows remote command execution”，即远程命令执行。漏洞分析地址：http://www.inbreak.net/archives/507。空虚浪子心（腾讯微博）已经发了很详细的分...
技术笔记 菜鸟走进Ubuntu——准备切换工作环境咯
唯一一次在硬盘装Linux是在大三。装了之后大概几个月都没怎么用，后来Windows出了点问题想重装，重装之后就直接从Windows把Linux的分区删了...此后Linux是路人。
由于大四工作的原因，接触服务器虚拟化的内容，又开始使用Red Hat。不过都是浅尝辄止，只是用到了KVM、libvirt等项目有关的几个部分，在工作环境尝试迁移到Linux的时候，由于各种扯淡的原因，到此为止了。
而如今，再次决定将工作环境迁移到Linux下，打算使用Ubuntu做开发和测试平台 ，于是开始慢慢学习，一步步走进Ubuntu。参考书籍《鸟哥的Linux私房菜》。
这就是生活啊 正式开启北漂模式
0x01
从三月末来北京，已然过去了一个多月。
新工作算是正式进入安全行业，在人称xxxPPT小分队/xxx文档（方案）大队的地方工作。写文档写的头疼。
刚来头几个周，实在没法入手。这里没有入职培训，也没有资料库。让我拿着大学期间黑XDJWC的本事去黑各种BC，这玩笑有点大。写文档也是各种蛋疼，所以才会有一个测试标准化的工作开始做。曾经看到某牛人讲对新员工来说，入职先开发内部工具的效果比直接上手干活会好一点。我这是被动走上了这条道路-，-
期间做了两个程序。第一个是仿xsser.me的跨站测试平台，其实...
技术笔记 使用Print2Flash做文档转换[仿百度文库]出现1155错误的解决方法
前一阵子做了一个学校实验室的选课系统。
提到选课系统就感觉像是学生阶段的练手作品。
确实如此，因为有学生已经做过了，我的学弟做的，使用TP2框架，结果1秒钟被我黑了（哈哈，TP的那个RCE你懂的）。
后来由我接手做这个东西，当然是公司工作交接之前的。
要求除了常规的发布课程，学生选课，课程安排，名单统计等功能外，还要有些额外的特色功能，比如这个要求：教师上传文档（Word、Excel、TXT、PDF）等要求学生可以查看，但是不能下载（按权限可下载），最好能做成百度文库的样子。
其实解决方法比...
技术笔记 Discuz! X2.5特殊主题：发帖处不显示特殊主题？
大约半年多没碰康盛的东西了，年前在DZ7.2开发了几个插件，我们这边的开发任务就停止了，现在又有项目需要做dzx2.5的开发，于是开始搞特殊主题。
尼玛我参照开发手册（http://dev.discuz.org/wiki/）写的开始开发，结果就是在论坛的设置处可以看到自定义的特殊主题，发帖的时候却没有这个选项。蛋疼。断断续续折腾了两天，蛋疼，直接翻DZ相关源码，终于找到问题所在：尼玛。。。弄个特殊主题光在论坛设置里面设置还不够，还特么要在用户组给用户使用这个特殊主题的权限。。。