cdxy.me
Cyber Security / Data Science / Trading

Penetration Testing
CDK CDK是一款为容器环境定制的渗透测试工具,在已攻陷的容器内部提供零依赖的常用命令及PoC/EXP。集成Docker/K8s场景特有的 逃逸、横向移动、持久化利用方式,插件化管理。 场景介绍 ... Read More
Penetration Testing
Kube-apiserver API Server是k8s control panel中的一个组件,下游与etcd(k8s数据库)通信,通过kubelet控制每个节点的行为,上游暴露API供pod内部编程调用和管理员从外部通过kubectl调用。 API Server默认支持8080免鉴权端口(已被最新k8s默认配置禁用)以及6443鉴权端口。因K8s本身的配置不当、鉴权不当导致API ... Read More
Reading
信息来源:比尔盖茨的年度荐书书单 完成时间:2020.12.16 此书出版于2019年,中文标题为《范围:为什么通才能在专业化的世界中取胜》,但目前未有全文译本。 书中解释了作者的一个观察——虽然世界似乎需要越来越多的专业化人才,但是更多研究表明在许多领域中"起步时涉猎广泛,并在实践中探索真正属于自己赛道"的人会走的更远。 ... Read More
Penetration Testing
CVE-2020-15257 漏洞原理、基础知识请阅读以下链接,不再展开: https://medium.com/nttlabs/dont-use-host-network-namespace-f548aeeef575 或者中文的: https://mp.weixin.qq.com/s/iNziquZJxcox9453jF8LOg ... Read More
Penetration Testing
Blue Team
函数计算 函数计算(serverless functions)即在云厂商提供隔离的环境中运行用户的脚本代码,用户上传代码+暴露接口即可快速实现一个API服务,其弹性伸缩与底层安全隔离由云厂商实现。支持node,python,java,php等常见服务端开发语言。 ... Read More
Trading
This post requires access token, contact mail:i@cdxy.me if needed. Read More
Reading
五大主题: 同理心 机会判断 系统能力 用户体验 创新模式 附:能力评估与思考框架 1. 同理心 理性往回拉,感性向前推。感性是驱动人做出进步和创造性结果的源动力。 为什么需要同理心与情感分析:用户不是产品经理,不会表达具体需求,只能表达模糊的情感。 四种基础情感 常见的四种基础情绪有:愉悦、不爽、愤怒、恐惧。 爽(愉悦):预期被满足 不爽:预期不被满足 愤怒:边界被侵犯,但还可以控制 ... Read More
Blue Team
背景 云安全中心9月8日收到客户求助,其部署在公有云K8s集群遭到入侵,在数分钟之内K8s节点全部沦陷,并被植入挖矿程序。 阿里云安全团队紧急协助排查入侵原因,结合K8s审计日志以及云安全中心主机侧日志还原入侵链路,发现了此次针对K8s API Server的批量攻击。 K8s API Server鉴权问题 K8s API Server 默认会开启两个端口:8080(Localhost ... Read More
Blue Team
1 K8s Secrets K8集群中管理敏感信息的概念叫做Secrets,比如SSH key、云产品AK、OAuth token等信息,会在Secrets存储与管理,在业务运行时由Pod访问Secrets对象进行调用。 比如说一个Pod运行了WEB服务,需要访问云上的数据库服务RDS,其AK就保存在K8s Secrets对象中。 ... Read More
Reading
https://www.youtube.com/playlist?list=PL2FF649D0C4407B30 1 ORIENTATION Education & Training Education is what, when, and why to do things, Training is how to do it. Follwing the knowledge dilemma ... Read More