SecWiki周刊（第250期）
2018/12/10-2018/12/16
安全资讯
[人物]  黑客张福：我要的东西，比钱更贵
https://mp.weixin.qq.com/s/AZ7jgvTFkoMhZA4DP9nQsw
[人物]  海航科技陈颢明：坎坷信安路，孜孜不了情
https://mp.weixin.qq.com/s/CGw8GZ2FVbVtgOJyyDZYSw
[观点]  卡巴斯基：2018年度安全大事件盘点
http://www.4hou.com/info/observation/15090.html
[观点]  美国安局NSA对中国电信巨头的长期潜伏渗透
https://media.weibo.cn/article?id=2309404315334994735837
[新闻]  美国竟如此监控—“老鹰哨兵”项目
http://zhuanlan.51cto.com/art/201712/561144.htm
安全技术
[Web安全]  ThinkPHP 5.x (v5.0.23及v5.1.31以下版本) 远程命令执行漏洞利用
https://www.vulnspy.com/cn-thinkphp-5.x-rce
[Web安全]  tp5-getshell.py：thinkphp5 rce漏洞检测工具
https://github.com/theLSA/tp5-getshell
[Web安全]  phpMyAdmin 4.8.0~4.8.3 Transformation 任意文件包含漏洞
http://www.vulnspy.com/cn-phpmyadmin-pmasa-2018-6/
[Web安全]  Java反序列化漏洞辅助工具之gadgetinspector
https://mp.weixin.qq.com/s/RD90-78I7wRogdYdsB-UOg
[Web安全]  phpMyAdmin LOAD DATA INFILE 任意文件读取漏洞
http://www.vulnspy.com/cn-phpmyadmin-load-data-local-file-read-local-file/
[其它]  defectdojo 漏洞管理使用测评
https://bloodzer0.github.io/ossa/application-security/vulnerability-management/vm-tools-defectdojo/
[漏洞分析]  50 CVEs in 50 Days: Fuzzing Adobe Reader
https://research.checkpoint.com/50-adobe-cves-in-50-days/
[运维安全]  从张焕杰的《校园网站安全防护之Nginx》说开
https://mp.weixin.qq.com/s/oY8QMnfBO81xRuBxqOG_lg
[设备安全]  NIST SP 800-193: BIOS 平台固件弹性指南
https://hardenedlinux.github.io/system-security/2018/12/12/NIST-SP-800-193.html?from=timeline
[取证分析]  UEBA架构设计之路1：UEBA框架
https://mp.weixin.qq.com/s/Sai3h-wNGXc92Va941yG6A
[工具]  情报分析师的工具箱
http://dingba.top/sjjkl
[漏洞分析]  Python Web之flask session&格式化字符串漏洞
https://xz.aliyun.com/t/3569
[比赛]  Code Breaking 挑战赛 Writeup
https://paper.seebug.org/755/
[Web安全]  ThinkPHP5远程代码执行漏洞，影响至少21套通用系统
https://nosec.org/home/detail/2050.html
[取证分析]  Threat hunting-威胁狩猎
https://mp.weixin.qq.com/s/C9mVLHjFmYs-kziC0rwYow
[漏洞分析]  业务逻辑漏洞探索之敏感信息泄露
https://bbs.ichunqiu.com/thread-48686-1-1.html
[Web安全]  如何利用imap绕过PHP中的disable_functions（CVE-2018-19518）
https://nosec.org/home/detail/2044.html
[漏洞分析]  Docker容器时代安全实践
https://mp.weixin.qq.com/s/dgnoD2LG0kxKW-HkBYVuoQ
[其它]  复盘第一次面试
http://4o4notfound.org/index.php/archives/178/
[取证分析]  理解DNS记录以及在渗透测试中的简单应用
https://www.freebuf.com/articles/web/190947.html
[运维安全]  浅析红蓝对抗中攻击方基础设施的日志聚合和监控
http://www.4hou.com/system/14975.html
[Web安全]  Exploiting XXE with local DTD files
https://mohemiv.com/all/exploiting-xxe-with-local-dtd-files/
[恶意分析]  使用马尔科夫链进行Android恶意软件检测
http://www.4hou.com/mobile/14989.html
[运维安全]  openstar: 基于OpenResty的WAF功能
https://github.com/starjun/openstar
[比赛]  Real World CTF 2018 rwext5命題報告
http://maskray.me/blog/2018-12-09-real-world-ctf-2018-rwext5
[漏洞分析]  windows kernel exploit part 7
https://www.redog.me/2018/11/04/windows-kernel-exploit-part-7/
[漏洞分析]  一则有趣的XSS WAF规则探测与绕过
https://www.freebuf.com/articles/web/190995.html
[观点]  零信任架构 ：网络安全新范式
https://mp.weixin.qq.com/s/RXXJrJipdhKlTb7JMTy1iQ
[Web安全]  高级JavaScript注入技术
https://xz.aliyun.com/t/3588
[取证分析]  威胁情报标准——结构化威胁信息表达式（STIX）
https://www.anquanke.com/post/id/167620
[Web安全]  我的3个Google漏洞赏金报告分享
https://nosec.org/home/detail/2063.html
[数据挖掘]  机器学习入门之像使用Print一样使用算法检测WebShell
https://www.freebuf.com/articles/rookie/190953.html
[编程技术]  vue封装防用户删除的平铺页面水印功能
https://segmentfault.com/a/1190000017297876
[取证分析]  gOSINT: OSINT Swiss Army Knife
https://github.com/Nhoya/gOSINT/
[恶意分析]  未知网络服务分析之调试技巧
https://paper.seebug.org/759/
[比赛]  Kaggle新赛：微软恶意软件预测比赛
https://www.kaggle.com/c/microsoft-malware-prediction
[数据挖掘]  物联网数据分析体系
https://zhuanlan.zhihu.com/p/51965926
[其它]  NICE的网络安全人才框架之三操作和维护（OM）
https://mp.weixin.qq.com/s/LZSXDkn2FjywZicvUQv9BQ
[其它]  NICE的网络安全人才框架之二 安全提供（SP）
https://mp.weixin.qq.com/s/ZGrchfRkvQkArhf99r8q0A
[恶意分析]  针对家用及SOHO路由器的Novidade EK
https://www.anquanke.com/post/id/167770
[恶意分析]  驱动人生旗下应用分发恶意代码事件分析
https://mp.weixin.qq.com/s/aSKWbnin9tl8SU5lRb3OzQ
[漏洞分析]  iOS URL Schemes与漏洞的碰撞组合
https://bbs.ichunqiu.com/thread-48631-1-1.html
[其它]  NICE的网络安全人才框架之六 分析（AN）
https://mp.weixin.qq.com/s/RRe8IsV8vAlmaqD46fB3zw
[漏洞分析]  一篇文章带你领悟Frida的精髓（基于安卓8.1）
https://www.freebuf.com/articles/system/190565.html
[取证分析]  2018年APT攻击事件回顾
https://mp.weixin.qq.com/s/CdwF5eRddzMwA8WpteH6AA
[其它]  NICE的网络安全人才框架之四 监督和治理（OV）
https://mp.weixin.qq.com/s/gEmlY0zWT1msv2SK-6fk7w
[恶意分析]  sharpshooter活动分析及与Lazarus的同源性分析
https://mp.weixin.qq.com/s/LOOrzsLGtfcP8gTZ_xuBQw
[其它]  开源安全架构
https://bloodzer0.github.io/ossa/
[其它]  NICE的网络安全人才框架之五保护和防御（PR）
https://mp.weixin.qq.com/s/KPuTRb80iJbUFqMnPa1rWw
[杂志]  SecWiki周刊（第249期)
https://www.sec-wiki.com/weekly/249
[取证分析]   How side-channel attacks can compromise privacy in WhatsApp, Telegram, and Sign
https://blog.talosintelligence.com/2018/12/secureim.html
[取证分析]  公开资源情报计划——OSINT
https://www.anquanke.com/post/id/167564
[设备安全]  Resources to help get started with IoT Pentesting
https://github.com/adi0x90/IoT-Pentesting-Methodology
[其它]  SANS新安全培训之一：SEC530可防御的安全架构
https://mp.weixin.qq.com/s/g5wdMxKqnXpjjLF1kXK4NA
-----微信ID：SecWiki-----
SecWiki，12年来一直专注安全技术资讯分析！
SecWiki：https://www.sec-wiki.com

本期原文地址: SecWiki周刊(第250期)