甲方安全之白帽子生存手册

由于年前实在太忙了，没有时间把文章整理，年前说过，年后会把

这个发出来，标题名字改了，改成《甲方安全之白帽子生存手册》。

虽然我不太清楚关注本公众号的人有多少，但是肯定会也有在甲方当中工作的同学，但你们有没有想过在公司除了维护自家产品，也会部署很多第三方的开源程序而作为这些开源程序并不绝对都安全的。

加入甲方之后的这段时间里我发现了很多国外厂商的漏洞，包括某个IDE编辑器、Google、以及一些运维小哥哥用到的系统服务(如：Hy****x)。

先来讲一下吧，在甲方当中少不了就是做资产统计，那么除了统计之余还可以看一下那些服务究竟是干什么用的，最终会导致什么后果。如“支持使用Jython或Groovy脚本创建测试场景并使用多个代理在JVM中生成压力。” 那么在这里我们肯定会想到python脚本…那么这个脚本是否能够命令执行呢？

与官方交谈时…由于内设安全模式(但需要用户开启)所以官方并没有承认到这个漏洞，但是没关系，一个人最重要的是成长过程而不是说他发现多少漏洞获得多少奖励！

又比如可以借助巡风当资产统计，发现x端口x ip对应的服务还可以显示标题，快速准确知道这是一个什么东西

再比如Hy****x存在SSRF，它能够做到直接请求内网，获取当前容器数据。当时由于通过邮件上报漏洞，后面官方修复之后告知可以参加他们在bugcrowd.com当中的私人项目计划以便获得奖励。

还有某款IDE的WEB界面上可以请求网址，通过请求可以访问http://127.0.0.1或者内网等ip从而进行端口探测！

其实只要在做好本职工作之余在甲方也可以挖到很多不同的漏洞，让人有全新的成长。今天一文只不过是告诉大家在做资产统计、日常巡检当中不要放过任何一个系统，否则有可能错失上千美金。

当然现在看来比较大型一些的甲方企业都会有国外的业务需要拓展，公司也可以直接访问国外站点不被墙，那么利用好这些资源可以往外面发展，不用仅局限于国内的SRC。

那么自行翻墙同时也可以抓取数据包，请看这一文章 BurpSuite基于SS抓取流量 ！

好了，今天只是指点一二，而真正更多的例子，我可能需要时间去沉淀。等吧…等一个时间点！

以上小姐姐所述
我司一概不负责

本文始发于微信公众号（逢人斗智斗勇）：甲方安全之白帽子生存手册