SCA是什么？我想可能很多人都有这个问题。SCA的全称叫做Software Composition Analysis，有的朋友可能直接把他叫做软件成分分析，也可以叫他组件安全分析。现代的SCA大多数都是基于白盒的角度去做，也就是SAST中的一环，但是也有不少场景需求对二进制或者运行中软件做分析，当然这不是今天讨论的主要目标。这个东西最常见的地方就是github，github内置了一个简单的SCA扫描
今天我们主要聊聊白盒角度的SCA，SCA这个东西听名字好像很复杂，但是实际上把它聊的简单一点儿可以拆开两部分，一个是组件数据，另一个是漏洞数据，我们分开聊聊这两个部分。
新建这篇文章的时候，是我离开小米的倒计时7天，也是我加入小米的第289天。这篇文章发出来的时候，是我离职的最后一天，实话讲10个月的时间对于一段工作经历来讲显得好像特别短，显得不止一提。但是对于一段人生经历来讲，貌似足够做很多事情。
1年前我在离开知道创宇的时候曾写了一篇万字长文，聊了聊毕业之后的一些经历，很多朋友从那篇文章认识了我。那个时候的我决定离开舒适圈，去尝试生命的更多可能。289天后的今天，我又一次做了同样的决定，这一次我决定做一个自由职业者。
其实实话讲，离开一家公司的原因大可不必说的那么高尚，无非就是钱不够、事太多、不想干3种原因中的一个。很显然，结合我的性格，我自然是因为不想干所以选择离开小米，所幸的是也有一些能力支撑我探索下一阶段的方向，在正值结婚的节骨眼，面临生活的很多未知的压力，我女友也愿意相信我的选择。关于离职原因中和公司有关的部分以后有机会再说，今天想给大家分享几个故事。
2021年12月9日，一场堪比永恒之蓝的灾难席卷了Java，Log4j2爆出了利用难度极低的JNDI注入漏洞，其漏洞利用难度之低令人叹为观止，基本可以比肩S2。
而和S2不一样的是，由于Log4j2 作为日志记录基础第三方库，被大量Java框架及应用使用，只要用到 Log4j2 进行日志输出且日志内容能被攻击者部分可控，即可能会受到漏洞攻击影响。因此，该漏洞也同时影响全球大量通用应用及组件，例如 ：
Apache Struts2
Apache Solr
Apache Druid
Apache Flink
Apache Flume
Apache Dubbo
Apache Kafka
Spring-boot-starter-log4j2
ElasticSearch
Jedis
Logstash
…
下面我们来一起看看漏洞原理
在2019年初，微软正式选择了Chromium作为默认浏览器，并放弃edge的发展。并在19年4月8日，Edge正式放出了基于Chromium开发的Edge Dev浏览器，并提供了兼容Chrome Ext的配套插件管理。再加上国内的大小国产浏览器大多都是基于Chromium开发的，Chrome的插件体系越来越影响着广大的人群。
在这种背景下，Chrome Ext的安全问题也应该受到应有的关注，《从0开始入门Chrome Ext安全》就会从最基础的插件开发开始，逐步研究插件本身的恶意安全问题，恶意网页如何利用插件漏洞攻击浏览器等各种视角下的安全问题。
在经历了前两篇之后，我们把视角重新转换，把受害者的目标从使用插件者换到插件本身。对于Chrome ext本身来说，他会有什么样的问题呢？
PS: 当时这份研究是在2020年初做的，当时还在知道创宇的404实验室，感觉内容很有趣所以准备拿去当议题。2020年我想大家都懂的，很多会议都取消了，一拖就拖到2021年，本来打算拿去投KCON，但是没有通过。所以今天就整理整理发出来了~
前一段时间刚到小米，由于一直以来都没从事过甲方安全，在熟悉工作的过程中慢慢有很多感触。于是就写下了这篇文章，其中的一些观点来自我个人的理解，如果有错误的话，麻烦联系我指出~
如果你在甲方从事安全行业，那我想DevSecOps是一个你不得不听说过的一个词语。从几年前甲方安全一直推行SDL开始，这几年DevSecOps又成了当前安全践行的主流方向。今天的文章我们就从DevSecOps开始，探讨在这个环节下的白盒究竟需要怎么样的形态。
发现最近已经有一段时间没有产出新的文章了:<，最近刚入职新公司，有很多东西在感受学习，所以博客也开始难产啦，后续会慢慢写一些最近一段时间关于白盒的很多新感受。
今天正好赶上内部分享，也就炒个冷饭，这是我在内部分享的一个PPT，因为内容偏简单，算是一个区块链的科普文章，所以觉得发出来也不错，为了面向新手，其中很多内容做了删减，毕竟已经不从事区块链安全研究很多年了，很多事情确实也是一知半解，如果有错误，欢迎朋友在twitter上联系我~
创建下这篇文章的时候，距离我倒计时离开公司还有2天，事情都是一些琐事，也很难提得起兴趣再做点儿什么，翻了翻还没写的代码，始终是没有动力开始写一个新功能，心中总是百感交集，往事一件件的过，不得不承认我是一个很内向但却是个表达欲望很强烈的人，即便心里深知在离职后谈论过去是很不合适的行为，但仍旧没忍住创建这篇文字。
也许是因为年纪正处于承上启下的关键，稍微停下来不知道该干什么的时候，有些矫情劲总是过不去，忍不住的回忆起过去的一件件过往，有点儿青春期感时伤怀的那味儿。
这些年北漂虽然说大体上过得还是比较符合心意，但仍旧经历了不少，回头看的仍旧不免感叹，既然起笔了，就从大三的暑假开始吧。
流水账警告！
4月12号，@cursered在starlabs上公开了一篇文章《You Talking To Me?》，里面分享了关于Webdriver的一些机制以及安全问题，通过一串攻击链，成功实现了对Webdriver的RCE，我们就顺着文章的思路来一起看看~
感谢蓝猫师傅@cursered在复现过程中的很多帮助~
前篇：通达OA代码审计篇 - 11.7 有条件的任意命令执行
前篇中提到的漏洞在11.8版本中被完全修复后，我痛定思痛，从头开始找一个新的漏洞，于是就有了今天这个漏洞的诞生，但没想到的是，在保留到2021年初时，1月11号更新的11.9版本中再次被定向修复。
今天我们也来看看这一次的漏洞逻辑~
这是一个由有条件的任意用户登录+低权限文件上传+低权限目录穿越+低权限文件包含组成。可能是盯着国内OA的人太多了，这个漏洞在2020年9月28号的11.8版本中被更新修复，比较可惜的是，一次更新修复了全部的漏洞逻辑，不禁令人惊叹。
今天就一起来看看整个漏洞的逻辑~
反序列化漏洞是PHP漏洞中重要的一个印象面，而反序列化漏洞的危害则需要反序列化链来界定，如何挖掘一条反序列化链，往往成为了漏洞挖掘中最浪费时间的部分。
而和挖掘漏洞一样，建立在流敏感分析基础上的自动化白盒漏洞扫描技术，依赖数据流中大量的语法节点数据，通过合理的分析手段，我们就可以回溯分析挖掘漏洞，而挖掘php反序列化链也一样，只要有合理的分析思路，那么我们就可以通过分析数据流来获得我们想要的结果。
今天我们就来一起聊聊，如何把人工审计转化成自动化挖掘方案吧~
将时间还原到2019年6月之前，扫描器的世界大多还停留在AWVS这样的主动扫描器，被动扫描曾被提出作为浏览器插件火热过一段时间，可惜效率太低等多种问题束缚着它的发展。随着Xray的发布，一款免费好用的被动扫描器从很多方面都带火了自动化漏洞扫描的风潮。
其中有的人将Xray挂在自己的常用浏览器上以图在使用的过程中捡漏，有的人只在日站的时候挂上以图意外之喜，也有人直接操起自己尘封已久的爬虫配合xray大范围的扫描以图捡个痛快。可以说配合xray日站在当时已经成了一股风潮。
市面上比较常见的组合crawlergo+xray中的crawlergo也正是在这种背景下被开放出来。
但可惜的是，建立在自动化漏洞挖掘的基础上，当人们使用相同的工具，而我们又没办法自定义修改，是否能发现漏洞变成了是否能发现更多的资产的比拼。建立在这样的背景下，我决定自己发起了一个开源的爬虫项目，这就是LSpider诞生的背景。
LSpider作为星链计划的一员，已经开源，工具可能并不算成熟，但持续的维护以及更新是星链计划的精神~
前段时间开源新版本KunLun-M的时候，写了一篇《从0开始聊聊自动化静态代码审计工具》的文章，里面分享了许多在这些年白盒静态扫描演变过程中出现的扫描思路、技术等等。在文章中我用了一个简单的例子描述了一下基于.QL的扫描思路，但实际在这个领域我可能只见过一个活的SemmleQL（也就是CodeQL的原型）。这篇文章中我也聊一聊这相关的东西，也分享一些我尝试探索的一些全新的静态扫描方案。
本文提到的小demo phpunserializechain作为星链计划的一员开源，希望能给相关的安全从业者带来帮助。
本文会提及大量的名词，其中如有解释错误或使用不当欢迎指正。
自从人类发明了工具开始，人类就在不断为探索如何更方便快捷的做任何事情，在科技发展的过程中，人类不断地试错，不断地思考，于是才有了现代伟大的科技时代。在安全领域里，每个安全研究人员在研究的过程中，也同样的不断地探索着如何能够自动化的解决各个领域的安全问题。其中自动化代码审计就是安全自动化绕不过去的坎。
这一次我们就一起聊聊自动化代码审计的发展史，也顺便聊聊如何完成一个自动化静态代码审计的关键。
前两天看了今年Geekpwn 2020 云端挑战赛，web题目涉及到了几个新时代前端特殊技巧，可能在实战中利用起来难度比较大，但是从原理上又很符合真实世界的逻辑，这里我们主要以解释题目为主，但是也探索一下在真实场景下的利用。
本文初完成于2020年3月31日，由于涉及到0day利用，所以于2020年3月31日报告厂商、CNVD漏洞平台，满足90天漏洞披露期，遂公开。
前几天偶然看到了一篇在hackone上提交得漏洞报告，在这个漏洞中，漏洞发现者提出了很有趣的利用，作者利用GMP的一个类型混淆漏洞，配合相应的利用链可以构造mybb的一次代码执行，这里我们就一起来看看这个漏洞。
https://hackerone.com/reports/198734
以下文章部分细节，感谢漏洞发现者@taoguangchen的帮助.
3个没用的Xss
以下是一篇不完整的文章，主要记录了在审计过程中的一些记录，在面对这类复杂的代码审计的时候，一旦被打断或者过后重新复习都会花费巨大的代价，所以这次稍微记录了一下结构。
以下笔记适用于 Roundcube mail 1.4.4
周末看了一下这次空指针的第三次Web公开赛，稍微研究了下发现这是一份最新版DZ3.4几乎默认配置的环境，我们需要在这样一份几乎真实环境下的DZ中完成Get shell。这一下子提起了我的兴趣，接下来我们就一起梳理下这个渗透过程。
与默认环境的区别是，我们这次拥有两个额外的条件。
1、Web环境的后端为Windows
2、我们获得了一份config文件，里面有最重要的authkey
得到这两个条件之后，我们开始这次的渗透过程。
以下可能会多次提到的出题人写的DZ漏洞整理
在经历了两次对Chrome Ext安全的深入研究之后，这期我们先把Chrome插件安全的问题放下来，这期我们将一个关于Chrome Ext的番外篇 – Zoomeye Tools.
这篇文章让我们换一个角度，从开发一个插件开始，如何去审视chrome不同层级之间的问题。
这里我们主要的目的是完成一个Zoomeye的辅助插件。
