Neeao's Security Blog

某杀毒厂商招网络安全工程师

Neeao — Mon, 08 Mar 2010 10:14:00 +0800

Neeao's Blog ( http://neeao.com/ ) :

职位：网络安全工程师
部门：研发部
工作地点：北京
招聘人数：1
招聘类型：社会招聘
招聘时间：2010
联系邮箱：lifc@rising.com.cn
职位信息：
工作职责：
1、流行操作系统及应用平台的攻击及防御技术研究
2、跟踪国内外安全动态，对安全事件进行快速响应

任职资格：
1、具有网络安全攻防知识和经验，对各类操作系统、应用平台的弱点有较深入的理解
2、熟悉TCP/IP协议和逆向工程、C语言
3、良好的文字表达能力，较强的独立工作能力，面对压力较好解决问题的能力
4、计算机或相关专业本科以上学历（能力突出者学历和专业不限），1年以上相关工作经验。

有意应聘上述职位者,将简历发送到指定邮箱（邮件主题请标注应聘职位），请勿加附件。所有应聘资料存入公司人才档案库，恕不奉还。甄选应聘资料后，合则约见，未约勿访。

某大型互联网企业招聘安全工程师

Neeao — Wed, 03 Mar 2010 10:00:00 +0800

Neeao's Blog ( http://neeao.com/ ) :

帮朋友发个招聘信息：

应用安全工程师
工作地点：深圳
岗位职责：
1、能够针对公司业务和产品架构进行评估，给出合理的安全策略建议；
2、在出现各类安全事件时，提供紧急响应服务，帮助公司恢复系统及调查取证；
3、能够解决公司业务日常安全问题。
4、能够对安全系统数据进行简单的数据分析。
岗位要求:
1、计算机或相关专业本科以上学历（能力突出者学历和专业不限）；
2、具备一年以上安全行业工作经验，或两年以上的系统集成、网络管理经验；（能力突出者不限）
3、有Unix、Windows系统知识经验，能熟练使用Unix、Windows系统平台下各种应用系统；
4、熟悉多种安全技术，掌握或熟悉各种攻击与防护技术；
5、能够独立完成各种系统（主机、网络，数据库等系统）的安全加固；
6、喜欢学习新知识、乐于接受新事物。
7、具有一定的编程能力者优先；
8、有大型项目经验，或熟悉企业级网络系统维护经验者优先；
9、有安全、网络、系统，数据库国际认证证书者，如DBA、CCNP、CCIE、CISP、CISSP、SUN 等认证者优先考虑。

网络安全工程师
工作地点：深圳
岗位职责：
1、主要负责公司网络、IDC安全策略制定和安全事件应急响应。
岗位要求:
1、计算机或相关专业本科以上学历（能力突出者学历和专业不限）；
2、具备一年以上安全行业工作经验，或两年以上的网络管理经验；（能力突出者不限）
3、熟悉各种路由交换技术，TCP/IP协议。
4、熟悉多种安全技术，掌握或熟悉各种攻击与防护技术，有网络攻击事件响应经验者优先。
5、喜欢学习新知识、乐于接受新事物。
6、有大型项目经验，或熟悉企业级网络系统维护经验者优先；
7、有CCNA、CCNP、CCIE等认证者优先考虑

招聘公司：腾讯

工作地点：深圳

有意者把简历发送到lake2{at}80sec.com，或者联系我。

待遇：具体面谈。

某大型连锁酒店招聘高级安全工程师

Neeao — Tue, 23 Feb 2010 09:49:00 +0800

Neeao's Blog ( http://neeao.com/ ) :

要求：

1.精通WebApp安全审计，网络系统安全技能扎实。

2.对IT审计、流程、变更管理流程熟悉

3.有写策略文档功底。

在上海上班，薪酬6-10K，公司上市后有股票，具体待遇当面谈。

有意者联系我或者cloie.ed[at]gmail.com。

Sablog-X v2.x 任意变量覆盖漏洞修补

Neeao — Mon, 22 Feb 2010 16:36:00 +0800

Neeao's Blog ( http://neeao.com/ ) :

1.昨天到上海，才开始上班，也没看blog，今天登陆的时候，发现多了一个管理员账户，一查看日志，原来利用的是Sablog-X v2.x 任意变量覆盖漏洞，详见：http://www.80vul.com/sablog/sablog-x.txt，昨天看到了这个oday了，没在意，没想到下午就被黑了，杯具了。

2.还好，没有替换首页页，只是留了一个文件和shell在上面，在此谢过这位朋友了，多谢手下留情。

3.目前貌视sablog官方还没发布补丁，对代码做了简单的处理，应该是没问题了，以下为修改方法，只有在两个变量都为真的情况下，才初始化变量。

if($sax_hash&&$sax_uid) 
{ 
    @extract($_EVO); 
}

不知道这样还能被利用不，欢迎拍砖。

祝各位2010春节快乐

Neeao — Tue, 09 Feb 2010 15:31:00 +0800

Neeao's Blog ( http://neeao.com/ ) :

2月10日回老家过年，2月20日回上海上班。

祝各位朋友2010年春节快乐，虎虎生威，大吉大利。

我的twitter：@neeao

Neeao — Wed, 03 Feb 2010 09:53:00 +0800

Neeao's Blog ( http://neeao.com/ ) :

最近在用twitter，刚开始朋友给了个vpn，翻墙用；后来自己通过GAE架设了个twitter的API翻墙用；再后来我的手机上也装了个twitter的客户端，当然用的翻墙的API。

twitter真的很好用，欢迎Following me:@neeao .

LVS环境下的ARP欺骗简单分析

Neeao — Thu, 28 Jan 2010 16:56:00 +0800

Neeao's Blog ( http://neeao.com/ ) :

今天遇到一个问题，同事问怎么来防止LVS环境下的ARP欺骗，对于LVS不是太熟悉，于是到whitehat群中请教，然后自己又看了下关于LVS的资料，做了个简单的分析，记录下。

首先了解下LVS，LVS是Linux服务器集群系统(Linux Virtual Server)的简称，其官方网址为： http://www.linuxvirtualserver.org/zh/lvs3.html,其中LVS主要采用了三种IP负载均衡技术，即：

VS/NAT 通过NAT实现虚拟服务器（Virtual Server via Network Address Translation）;
VS/TUN 通过IP隧道实现虚拟服务器（Virtual Server via IP Tunneling）;
VS/DR 通过直接路由实现虚拟服务器（Virtual Server via Direct Routing

具体的介绍可以到官网查看，我们这里只分析下它们的架构：

1.VS/NAT

上图是官网给出的架构图，VS/NAT主要有一台调度服务器和下面的一个内网组成，中间通过交换机连接。

其数据流为：用户->调度服务器->Switch/Hub->到达real服务器->Switch/Hub-->调度服务器->用户。

a.调度服务器同一交换环境下的服务器来ARP欺骗调度服务器VIP。如果ARP欺骗的话，通过调度服务器同一交换机下的服务器来欺骗调度服务器这个IP，是可以完成的，它们在同一交换环境下的。

b.如果采用调度服务器IP来欺骗同一交换环境下的其他IP，因为入侵进去的话，实际登陆的可能是调度服务器后面的内网里的某一台服务器，如果这个session断开的话，可能就无法找到是哪一台服务器了，这是其一；当然了，由于是负载均衡吗，我们可以把内网所有的主机都控制了，然后再来实施ARP欺骗，很显然，由于此IP在内网，我们很难欺骗调度服务器VIP相同网段的其他IP。

预防：那么直接在交换机上设置VIP和mac的绑定理论上应该就可以防止对VIP的ARP欺骗了。

2.VS/TUN

通过上图，可以看出，VS/TUN的架构为一台调度服务器，下面是目标服务器。

数据流为：用户->调度服务器->目标服务器->直接返回给用户.

ARP欺骗攻击

a.通过了解TUN方式的VS可以知道调度服务器实际上和后台的目标服务器是同处一个交换环境下面的，那么我们就可以使用VIP同一交换环境下的IP对调度服务器VIP进行攻击，由于VS的real服务器和调度服务器一个交换环境下，那么也可以对任一台进行ARP欺骗攻击，前提是得知道他们的真实IP地址，而不是VIP地址。

b.通过VS来ARP欺骗VIP同一交换环境下的其他IP，调度服务器给我们随机分配一台目标服务器，由于目标服务器和调度服务器是在一个交换环境下，那么就可以成功的对其实施ARP欺骗攻击，当然了，也要知道调度服务器分配的真实IP地址了。

预防：理论上可以通过在交换机上设置IP地址和MAC绑定的方法来防止ARP欺骗。

3.VS/DR

上图为DR方式的VS，调度器和服务器组都必须在物理上有一个网卡通过不分断的局域网相连，如通过高速的交换机或者HUB相连。VIP地址为调度器和服务器组共享，调度器配置的VIP地址是对外可见的，用于接收虚拟服务的请求报文；所有的服务器把VIP地址配置在各自的Non-ARP网络设备上，它对外面是不可见的，只是用于处理目标地址为VIP的网络请求。

数据流：用户->调度服务器->目标服务器->用户。

ARP欺骗攻击：

a.通过VIP环境下的IP来欺骗VIP，由于在同一交换环境下，欺骗是可以成功的。

b.那么通过VIP来ARP欺骗同网段的其他IP呢，获得的权限可能是调度器分配的目标服务器任意一台，由于他们都处于同一交换环境，但是，目标服务器只响应调度服务器的ARP请求，其本身无法发送ARP广播，在这里的话，就无法通过目标服务器来达到ARP欺骗其他服务器的目的了，实际上类似于给目标服务器设置了一个接受ARP的白名单，将自己保护起来了。

预防：理论上只需要绑定VIP对应的调度器MAC就可以预防ARP欺骗。

以上仅仅是凭自己对LVS的理解来分析的，真实的LVS环境没有接触过，也不知道是否真如上面所说，欢迎各位看官批评指正。

By:Neeao 2010-01-28 16:55

上海某网游公司招聘高级信息安全工程师

Neeao — Fri, 22 Jan 2010 09:16:00 +0800

Neeao's Blog ( http://neeao.com/ ) :

工作地点：上海
公司性质：网络游戏 1000人+
薪水范畴： 6k-10k 谢绝over qualified简历

以下条件无需100%满足，只要符合其中超过50%就可以投简历试试，我们也擅长发现被低估的人才并给予合理的发展空间

岗位职责：
1. 保障公司运营环境、生产系统与内部办公环境的信息安全与业务连续性；
2. 完善与改进现有信息安全管理体系，建立相关安全流程、规范、制度并审计执行结果；
3. 按需检查服务器系统、应用配置、网络策略安全，根据业务实际需要设计相关安全方案或标准；
4. 跟踪安全动态，周期性发布信息安全预警、安全意识与技能培训、安全策略制定与实施；
5. 按需开发自动化小项目，提高安全监控、检查以及运维工作效率；
6. 妥善处理安全事件，按需应急响应并设计规避同类风险方案；

职位要求：
1. 专业不限、学历不限、证书不限；
2. 熟悉当前流行渗透、入侵相关技术（SQL注入、缓冲区溢出、挂马与客户端攻击、木马免杀、XSS/CSRF、钓鱼攻击等）与防护策略；
3. 熟悉Windows、*NIX操作系统的安全配置与入侵检测；
4. 熟悉常见网络服务（IIS、Apache、MSSQL、MYSQL、DNS、SMTP、FTP等）的配置与安全攻防；
5. 熟悉常见木马、Rootkit或恶意文件运行原理与清除方法；
6. 熟悉TCP/IP，了解常见网络协议；
（以下为加分条款）
7. 沟通能力强、团队合作能力强、学习能力强、文档撰写能力强者优先；
8. 熟悉PHP、JSP、.NET代码安全审计，具备漏洞挖掘经验者优先；
9. 熟悉常见安全产品工作原理或具备相关维护、开发经验优先；
10. 熟悉ISO 27001、ISO 17799、ITIL、ISO 20000等相关标准、安全管理实践优先；
11. 具备乙方安全服务经验优先；
12. 掌握1门或多门编程语言，熟练开发各种小工具、小脚本优先；

技术符合度为基础条件，
安全管理类知识，有大型互联网企业安全工作经验的为优先考虑条目。

投送简历要求：
1. 简历正文请粘贴在邮件正文
2. 来信注明期望薪资
2. 简历请发送到 zhiyeqianqian#gmail.com
请将#替换为@ ，谢谢

杭州19楼招聘Web/系统安全工程师

Neeao — Mon, 04 Jan 2010 18:01:00 +0800

Neeao's Blog ( http://neeao.com/ ) :

Web应用安全工程师

职位描述：
1、应用代码安全审计，并且提出合适的解决方案，以增强WEB应用程序的安全；
2、对当前WEB应用安全进行评估，并协助修正错误；
3、参与WEB应用整个开发过程的安全指导或者处理；
4、对相关的人员进行培训，以确保安全的正确实施。

职位要求：
1、熟悉多种安全攻防技术；
2、精通SQL注射、跨站脚本攻击；
3、理解多种Web应用脚本语言（PHP、JAVA），并熟悉他们相关的安全问题；
4、熟悉Mysql数据库；
5、具备良好的沟通能力和团队协作精神及较好的文档能力；
6、有很好的学习、研究能力。

系统安全工程师
职位描述
1、网站服务器安全搭建和管理；
2、跟踪最新漏洞信息，定期编写安全事件分析报告
3、定期进行安全审计，并协助安全事件的调查；
4、对相关的人员进行培训，以确保安全的正确实施。

职位需求
1、Unix系统或网络管理工作经验2年以上；
2、精通主流UNIX平台系统管理和网络管理，能用SHELL编写相关脚本；
3、熟悉主流网络产品及安全产品，能够根据企业需求制定相应的安全解决方案；
4、熟悉SYSLOG,SNORT等相关安全监控系统；
5、有很好的学习、研究能力。
6、具备良好的沟通能力和团队协作精神及较好的文档能力

工作地点：杭州

薪资待遇：面议；5金齐全

招聘单位：杭州都快网络传媒有限公司，杭报集团下属单位，公司简介。

有意者请发送简历至：reject.wl@gmail.com

19楼网址：http://www.19lou.com/

谷歌音乐试听歌曲下载工具 20100102版

Neeao — Sat, 02 Jan 2010 15:33:00 +0800

Neeao's Blog ( http://neeao.com/ ) :

自从谷歌音乐上线以后，再也没到其他地方下载过歌曲，不过这两天帮朋友下载一些歌曲的时候，发现谷歌音乐对某些歌曲并不提供下载服务。

比如：欧美热歌中的第一首：后街男孩的Shape Of My Heart就不提供下载，如图：

[attach=24]

但是它还是提供试听的，本想通过试听地址下载下来，不想google对音乐文件地址进行了简单的加密处理。通过分析html页面还不好找到，经过一番分析后，终于发现了，google隐藏地址的原理，在这里就不啰嗦了，有兴趣的自己研究下。为了方便以后下载，用C#写了个小工具，不敢独享，放出来给需要的朋友用下了。

[attach=25]

使用方法：

0.此软件基于.net2.0开发，因此如果是XP的系统，运行的话，需要安装Microsoft .NET Framework 2.0 版可再发行组件包。Windows7的系统，默认支持.net2.0了。

1.点击打开试听地址，输入到试听地址中，然后点击GET，即可获取到歌曲的信息，如果获取不成功则报错,地址栏变红色，成功，则会输出歌曲信息，地址栏变绿色。

2.点击保存地址的按钮选择保存的路径，如果不选则默认保存在程序允许的目录下面。

3.开始下载，等待下载完成，点击重来，重新下载其他歌曲。

本地下载