总结目前开发和运维架构中，常用的应用未授权访问漏洞利用方式。包含MongoDB、nfs、ZooKeeper、Memcache、Elasticsearch、docker、Hadoop、CouchDB、RedisJenkins、rsync等。

Spring Boot 相关漏洞学习资料，利用方法和技巧合集，黑盒安全评估 check list

ATT&CK，全称是Adversarial Tactics, Techniques, and Common Knowledges。A是Adversarial，表示攻击者、对手；两个T分別是Tactics和Technical，即战术和技术；CK是Common knowledge，通用知识库。这是一套反应各个攻击生命周期攻击行为的模型和知识库。

ATT&CK模型分为三部分，分别是PRE-ATT&CK，ATT&CK for Enterprise和ATT&CK for Mobile。

Cobalt Strike 是一个为对手模拟和红队行动而设计的平台，主要用于执行有目地的攻击和模拟高级威胁者的后渗透行动。

一、准备工作

Gophish是一个开源网络钓鱼工具包

特点是开箱即用，特别适合甲方用来对内部员工进行邮件钓鱼演练。

项目主页：https://getgophish.com/

声明：本文曾经发表在FreeBuf，文章分享的思路与方法仅供信息安全同行研究，请勿用于非法。

一、前言

近日朋友收到一封来自海外的钓鱼邮件，委托我帮忙分析。因此我对钓鱼者身份和攻击路径进行了一次详细的溯源。大致摸清了攻击者组织身份、攻击手法以及动机。本次溯源工作主要是通过提取攻击者控制的肉鸡服务器、网站访问日志、攻击者后门特征等。关联分析这些日志和特征最终得到攻击者的身份信息。本文以流水账的方式，详细记录整个溯源过程，包括分析手法和思路，以供安全研究人员参考。