记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华上海锐成携锐安信SSL证书倾情赞助2023 GDS数字大会
Global Digital Summit 2023数字产业大会，即将于2023年6月15日在“太湖明珠 江南盛地”——无锡举行。大会汇聚各大行业领军企业、企业领袖、业界专家，是国内具高规格、大规模的行业盛会。GDS 2023数字产业大会将通过主题分享、论坛对话、项目路演等会议版块，对域名、云计算、AI应用、数字营销、跨境电商等热门话题深入交流与探讨，探索数字资产、智能技术、营销新生态、跨境贸易等各个产业的融合与创新升级，促进互联网各领域的渗透整合，实现行业价值的延伸扩展。
发布时间:2023-06-08 16:57 |
阅读:41659 | 评论:0 |
标签:SSL
一文了解通配符SSL证书
部署 HTTPS 网站的时候需要证书，证书由 CA 机构签发。陕西CA今天为大家讲解通配符SSL证书。 通配符SSL证书是目前很受欢迎的一种SSL证书版本，其优势在于可以用一张SSL证书保护一个域名及其下一级所有的子域名，没有个数限制，无需对每个使用证书的子域名进行单独验证，（注意：但该证书无法保护3级子，对于该级下的域名证书均无效。）所以，通配符SSL证书无论是从审核上，还是从使用的便捷上，都非常的方便。 通配符 SSL 通配符ssl证书，通配符域名证书，泛域名证书，Wildcard certificate。
发布时间:2023-06-07 04:43 |
阅读:32823 | 评论:0 |
标签:SSL
SSL握手失败是什么原因？
作为当下企业网站安全的第一道防线——部署SSL证书可实现网站HTTPS加密保护及身份的可信认证，防止传输数据的泄露或篡改，提高网站可信度、品牌形象和SEO排名，为企业带来更多访问量，同时这也是网络安全法及PCI合规性的必备要求。 但有时候，在部署SSL证书时，我们会遇到无法在服务器和客户端之间建立安全连接，SSL（安全套接字层）握手失败的情况。这主要是由什么原因引起的呢？又要如何才能解决呢？本文将为您详细解答这些问题。什么是SSL握手？“握手”是建立一个HTTPS连接过程的专业术语。涉及SSL/TLS的大部分困难工作都在此步完成。
发布时间:2023-06-01 16:56 |
阅读:35183 | 评论:0 |
标签:SSL
Nginx 下SSL证书安装/配置/测试/备份/恢复
部署前特别说明 1. 陕西CA SSL服务器证书部署指南(以下简称“本部署指南”)主要描述如何通过第三方产生密钥对和如何将SSL服务器证书部署到Nginx服务器 2. 本部署指南适用于Nginx服务器环境； 一、获取服务器证书 1.获取证书 在您完成申请SNCA服务器证书的流程后，SNCA将相应的CA证书，解压对应的压缩文件 CA证书就是文件就是youdomain.crt和私钥文件youdomain.key,请确认所收到的证书文件是您需要的CA证书。
IPSec和SSL国密数据包分析
0x01 IPSec
IPSec协议实际上是一套协议集合，包括IKE协议、认证头（AuthenticationHeader，AH）协议、封装安全载荷（Encapsulating Security Payload，ESP）协议和用于网络身份鉴别及加密的一些算法等。
从工作流程上看，IPSec协议可分为两个环节：IKE是第一个环节，完成通信双方的身份鉴别、确定通信时使用的IPSec安全策略和密钥；第二个环节是使用数据报文封装协议和IKE中协定的IPSec安全策略和密钥，实现对通信数据的安全传输。
IPSec工作模式分为传输模式和隧道模式。
SSL证书周期变为90天? 如何应对行业新规
3月3日，谷歌在其“Move Forward, Together”栏目中，称已向CA/B论坛发起了投票提案，建议将公共TLS（也称为SSL）证书的最长有效期从398天减少到90天。值得注意的是，即便CA/B论坛没有通过这一提议，谷歌也可以单方面强制行业改变，将较短的有效期作为Chrome根程序的要求。这主要是因为浏览器控制自己的根程序需求，不必等待CA/B论坛的正式规则更改。而考虑到Chrome的市场份额，如果谷歌坚持这一改变，90天的上限将成为每一个商业公共证书机构都必须遵循的事实上的标准。据预测这一新变化很大可能将在2024年底生效。
发布时间:2023-04-28 11:04 |
阅读:72081 | 评论:0 |
标签:SSL
一文让你读懂国际算法与国密算法SSL证书的区别
作为当今使用的两种最受欢迎的公钥加密算法，国际算法和国密算法被广泛应用于互联网数字证书领域。而随着数据安全隐患增加，网站部署SSL证书盛行，选择合适算法的证书也成为企业网络安全防护不可忽视的一环。那么国际算法SSL证书和国密算法SSL证书究竟有什么区别呢？下面锐成就对此做下简单介绍。什么是国际算法证书？国际算法证书是由国际电信联盟（ITU）制定的一种标准，旨在评估密码算法的安全性和性能。国际算法证书通常用于评估通信协议中使用的加密算法，如TLS和IPsec等。其评估标准基于国际标准，如ISO/IEC 18033和ISO/IEC 19772等。
发布时间:2023-04-26 22:48 |
阅读:109336 | 评论:0 |
标签:SSL
锐成SSL特惠活动倒计时，买国产SSL证书立省70%！
各位站长： 本次锐成11周年庆的SSL证书特惠活动接近尾声了，只剩最后一周！最后一周！最后一周！还没有参加的朋友赶紧来看看，别再错失近在眼前
发布时间:2023-04-20 04:42 |
阅读:112197 | 评论:0 |
标签:SSL
MySQL Case-show processlist Sending to client状态详解
今天客户脱敏机器，访问MySQL数据库查询数据，show processlist状态一直处于Sending to client状态，时间持续了1.5h还没有结束，那么一直处于这个状态具体是在做什么呢？如何缩短这个状态时间呢？今天我们来看下这个案例，同时我也在自己的测试环境模拟了测试下。客户的环境一直卡在这里，show processlist信息如下我们知道，Sending to client 表示 sql已经执行完了，在网络传输，或者客户端在处理数据，那有哪些因素影响此效率呢？根据上述情况：我自己创建了600万行的大表，执行全表查询操作，分别用datagrip客户端和crt客户端。
ssl加密证书链是什么?有啥用?网络安全刻不容缓
最近有很多人咨询SNCA说不知道ssl加密证书是啥啊，有啥用啊，啥意思啊，加密证书链又是什么东西呢？不要着急，让我们先来看看SSL是啥。 作为数字证书认证中心，snca先来给大家盘点一下数字证书是啥，能用来做什么。数字证书分为UKey证书、手证通证书、云证书、SSL证书。从这一点我们可以看出来SSL证书是被包含在数字证书里头的。 UKey证书存储在USBKey（也称U盾）的符合X．509格式的数字证书，证书的密钥受到U盾中的硬件密码模块保护，一般可作为机构证书和岗位证书。
三分钟，带你了解SSL证书
2020年以来，每个人的生活都被彻底改变。直播带货、线上下单都成为生活中必不可少的一部分，我们在享受着互联网带给我们便捷的同时，也伴随着许多安全问题，尤其是对用户的信息安全，产生严重的影响和威胁。当遭受黑客攻击的时候，无疑会产生巨大的损失。幸运的是，有一种易于实施且安全高效的解决方案：SSL证书数字证书1．UKey证书存储在USBKey（也称U盾）的符合X．509格式的数字证书，证书的密钥受到U盾中的硬件密码模块保护，一般可作为机构证书和岗位证书。2．手证通证书存储在移动设备（手机、Pad）中的符合X．509格式的数字证书，证书的密钥受到移动设备中的软件密码模块保护，一般可作为个人证书。
发布时间:2023-03-17 14:35 |
阅读:118507 | 评论:0 |
标签:SSL
锐成SSL证书特惠抢购攻略在此！照着买，羊毛薅到手软！
很多云服务商在新春开年之际做优惠促销活动，而这个时段相对来说比较少有SSL证书特惠活动。恰巧，最近国内领先HTTPS解决方案服务商锐成正值11周年
发布时间:2023-03-16 15:11 |
阅读:133277 | 评论:0 |
标签:SSL
某金融app的加解密hook+rpc+绕过SSLPinning抓包
0x01 抓包1.1 burp抓包测试(抓不到)1.2 httpcanaryHttpCanary可以抓到包，可以看到有请求包有加密。可以看到报文有显著的特征：params0x02 代码分析直接将app拖到Jadx-gui中，可以看到没有加壳：然后搜索报文中的：“params”，然后定位到了加解密的地方，有报文的参数进行搜索，找加解密还是比较快的。下面是加解密的核心代码：小tips：jadx-gui中，可以在类或方法名称上右键——复制为frida片段，便可以自动生成frida hook代码了。
锐成SSL证书周年庆特惠来袭 72元起实现网站HTTPS安全防护！
随着网民及网站所有者对网络安全意识的增强，很多企业网站部署了SSL证书，尤其是银行、金融、电商等中大型网站开启了HTTPS加密传输数据的模式。但是，对一些中小型企业、个人站长来说，申请SSL证书可能会增加一笔不菲的采购成本。实际上，随着域名安全证书的普及，其价格也没有想象中的那么贵了，而且很多数字证书服务商还经常有优惠活动。
什么是SSL证书？
什么是SSL证书？SSL证书是符合SSL安全套接字层的服务器数字证书，称为安全套接字层。通过在用户浏览器和远程服务器之间建立SSL安全通道，对网络传输的数据进行加密，防止网站数据在传输过程中被嗅探或篡改。它具有不窃听、不篡改、不否认、不假冒的特点，充分保证了数据传输的安全性。SSL证书由国际可信CA机构授权颁发，提供可信认证和加密传输功能。 为什么要用HTTPS？作为WEB服务的初始协议，HTTP简单快捷。然而，由于传输的数据没有加密，因此存在数据泄露、篡改和身份假冒等安全问题。
发布时间:2023-03-07 04:11 |
阅读:194433 | 评论:0 |
标签:SSL
影响wolfSSL的四个漏洞（二）
Dolev Yao追踪Dolev Yao追踪建立在Dolev Ya模型之上，并使用术语代数来象征性地表示消息。就像在Dolev Yao模型中一样，加密原语被视为黑盒。这允许fuzzer关注逻辑错误，而不是测试加密原语的正确性。让我们从臭名昭著的Needham Schröder协议的一个示例开始。Needham Schröder是一种身份验证协议，允许双方通过可信服务器建立共享秘密；然而，它的非对称版本因易受MitM攻击而臭名昭著。该协议允许Alice和Bob通过可信的第三方服务器创建共享密钥。该协议通过向服务器请求一个共享密钥来工作，该密钥对Bob和Alice分别加密一次。
影响wolfSSL的四个漏洞（一）
Trail of Bits 安全公司披露了影响wolfSSL的四个漏洞：CVE-2022-38152、CVE-2022-38153、CVE--202-39173和CVE-2022-42905。这四个漏洞的CVSS评分从中等到严重不等，都可能导致拒绝服务（DoS）。wolfSSL是一个轻量级的 SSL 实现，主要应用于嵌入式系统。DOSC：CVE-2022-38153允许MitM攻击者或恶意服务器通过拦截和修改TLS数据包对TLS 1.2客户端执行DoS攻击，此漏洞影响wolfSSL 5.3.0。
Analysis of FG-IR-22-398 – FortiOS - heap-based buffer overflow in SSLVPNd
Fortinet has published CVSS: Critical advisory FG-IR-22-398 / CVE-2022-42475 on Dec 12, 2022. The following writeup details our initial investigation into this malware and additional IoCs identified d
锐安信SSL证书动态签章上线 信任和安全再度升级
新年伊始，春节将至！由国内知名数字证书品牌锐安信（sslTrus）率先推出的SSL证书动态签章已于2023年1月3日正式上线。最新的锐安信SSL证书网站签章是国内首个实时彰显经验证的企业名称和ICP状态等信息的动态信任签章，给予网站可信认证和安全保护，切实帮助企业在新的一年里提升用户信任、建立品牌信誉！近年来，随着HTTPS的普及，越来越多的网站开始部署了SSL证书，然而超50%以上的企业使用的是免费SSL证书或域名验证级别的SSL证书（即DV SSL证书）。
免费SSL证书透明度日志查询工具助力识别伪造证书
近期，锐成面向大众推出SSL证书透明度日志查询工具。作为证书生态系统的辅助工具，CT Log可以通过输入域名或企业名称查询旗下域名所有SSL证书的签发记录，识别过期、吊销、误签或恶意签发的SSL证书。如今全球有数百个受信任的CA机构，任何一家CA都有权利为您的域名颁发有效的SSL证书。如果CA机构未按照验证机制误签SSL证书，或CA系统被黑而签发恶意证书或伪造证书，导致这些非法签发的SSL证书流入网络，威胁互联网的安全。
eCapture支持bogingssl TLS 1.3明文捕获
前言一个多月前，有网友反馈Android上，TLS 1.2明文网络包正常捕获，而TLS 1.3的明文网络包无法捕获。笔者得知这个问题后，花了几个周末时间修复、添加了这个功能。在这期间，笔者工作繁忙以及感染新冠，整个功能拖了一两个月 才完成。精力与体力，支撑起来越来越吃力。搞开源，全是靠爱发电，实属不易。值得庆幸的是，收获了5400星的关注，这也是对笔者最大的认可。这个周末，发布了eCapture 0.4.11版本，支持boringssl的TLS 1.3的密钥捕获，支持明文解密pcapng数据包存储。有需要的朋友可以下载使用。
Fortinet FortiOS sslvpnd远程代码执行漏洞(CVE-2022-42475)
阅读： 7一、漏洞概述近日，绿盟科技CERT监测到Fortinet官方修复了一个FortiOS sslvpnd中的远程代码执行漏洞(CVE-2022-42475)。由于sslvpnd对用户输入的内容验证存在缺陷，未经身份验证的攻击者通过发送特制数据包触发缓冲区溢出，最终可实现在目标系统上执行任意代码。CVSS评分为9.8，目前已监测到在野利用，请相关用户尽快采取措施进行防护。Fortinet FortiOS是Fortinet公司的一套专用于FortiGate网络安全平台上的安全操作系统。该系统为用户提供防火墙、防病毒、IPSec/SSLVPN、Web内容过滤和反垃圾邮件等多种安全功能。
UEFI固件使用OpenSSL暴露了软件材料清单（SBOM）的弱点，戴尔、惠普和联想中招
Binarly REsearch团队近日深入研究了最近的OpenSSL安全更新给UEFI固件供应链生态系统带来怎样的影响以及OpenSSL版本在固件环境中是如何广泛使用的。研究结果不容乐观。科技行业正在积极讨论使用“软件材料清单”（SBOM）来化解供应链安全风险。为了确保供应链安全实践落地，必须加强软件依赖项方面的透明度。以前，任何一款软件作为黑盒子来发布，并不提供与软件依赖项和第三方组件相关的任何信息。固件在很大程度上也是如此。
发布时间:2022-12-11 22:16 |
阅读:276632 | 评论:0 |
标签:SSL
被高度忽视的攻击面——多家知名电脑厂商仍在使用过时的OpenSSL版本
近日，Binarly 研究人员发现戴尔、惠普和联想的设备仍在使用过时版本的OpenSSL加密库。OpenSSL是一个开放源代码的软件库包，应用程序可以使用这个包来进行安全通信，能够有效防止窃听，同时确认另一端连线者的身份，广泛被应用在互联网的网页服务器上。主要库以C语言写成，实现基本的加密功能及安全套接字协议（SSL）与传输层安全（TLS）协议。研究人员通过分析上述制造商使用的设备的固件图像时发现了问题所在。专家们分析了作为任何UEFI固件所必要的核心框架之一EDKII，该框架在CryptoPkg组件中的OpenSSL库（OpensslLib）上有自己的子模块和包装器。
戴尔、惠普和联想设备使用过时的 OpenSSL 版本
Binarly 研究人员发现，戴尔、惠普和联想的设备仍在使用过时版本的 OpenSSL 加密库。OpenSSL软件库允许通过计算机网络进行安全通信，能够有效防止窃听。OpenSSL包含开源的安全套接字协议（SSL）和传输层安全（TLS）协议，研究人员通过分析上述制造商使用的设备的固件图像时发现了问题所在。专家们分析了作为任何UEFI固件所必要的核心框架之一EDKII，该框架在CryptoPkg组件中的OpenSSL库（OpensslLib）上有自己的子模块和包装器。EDK II 是一个现代化、功能丰富的跨平台固件开发环境，适用于 UEFI 和 UEFI 平台初始化 (PI) 规范。
发布时间:2022-11-28 16:15 |
阅读:246962 | 评论:0 |
标签:SSL
戴尔、惠普和联想的设备使用过时的 OpenSSL 版本
Binarly 研究人员发现，戴尔、惠普和联想的设备仍在使用过时版本的 OpenSSL 加密库。
OpenSSL软件库允许通过计算机网络进行安全通信，能够有效防止窃听。OpenSSL包含开源的安全套接字协议（SSL）和传输层安全（TLS）协议，研究人员通过分析上述制造商使用的设备的固件图像时发现了问题所在。
专家们分析了作为任何UEFI固件所必要的核心框架之一EDKII，该框架在CryptoPkg组件中的OpenSSL库（OpensslLib）上有自己的子模块和包装器。EDK II 是一个现代化、功能丰富的跨平台固件开发环境，适用于 UEFI 和 UEFI 平台初始化 (PI) 规范。
域前置技术和C2隐藏
点击蓝字
关注我们
域前置介绍
域前置又译为域名幌子，是一种隐藏连接真实端点来规避互联网审查的技术。在应用层上运作时，域前置使用户能通过HTTPS连接到被屏蔽的服务，而表面上像在与另一个完全不同的站点通信。
域前置工作原理
域前置核心就是CDN，可以通过添加 A 记录或 AAAA 记录解析的方式将网站域名指向网站服务器公网 IP 地址，来实现用户可以通过域名直接访问已部署在服务器上的网站，而无需使用难记且无明显标识的 IP 地址访问。
OpenSSL 3漏洞补丁释出，漏洞等级略降
备受瞩目的 OpenSSL 3 漏洞补丁释出，漏洞等级从之前被认为与 Heartbleed 漏洞相当的“高危”降为“高”。最新释出的 OpenSSL version 3.0.7 修复了两个缓冲溢出漏洞 CVE-2022-37786 和 CVE-2022-3602，两个漏洞影响所有 OpenSSL 3.x 系列版本，但不太可能导致远程代码执行。包括 Fedora 在内的 Linux 发行版因该漏洞而推迟发布。在所有 OpenSSL 版本中，OpenSSL 1.1.1 仍然处于长期支持阶段，OpenSSL 3.x 的普及度还不高。
众至科技发布11月漏洞通告 | OpenSSL缓冲区溢出漏洞；Spring Security 绕过授权漏洞
【漏洞通告】 OpenSSL缓冲区溢出漏洞
基础信息
CVE
CVE-2022-3602
等级
高危
类型
缓冲区溢出
漏洞详情
11月1日，OpenSSL项目发布安全公告，修复了OpenSSL中的2个缓冲区溢出漏洞（CVE-2022-3602和CVE-2022-3786），详情如下：
CVE-2022-3602：X.509电子邮件地址4字节缓冲区溢出漏洞
由于OpenSSL 3.0.0 - 3.0.6版本中在X.509证书验证中存在缓冲区溢出漏洞，可以通过制作恶意电子邮件地址以溢出堆栈上的4个字节，成功利用此漏洞可能导致拒绝服务或远程代码执行。
OpenSSL出现高危漏洞，请立即升级！
#威胁通告 18 个 #漏洞 23 个 #OpenSSL 1 个 01 漏洞概况 近日，微步捕获到 OpenSSL 缓冲区溢出漏洞(CVE-2022-3602)相关情报，攻击者可以利用该漏洞造成缓冲区溢出, 可能造成远程代码执行。OpenSSL 是一个强大的、商业级的、功能齐全的工具包，用于通用加密和安全通信。当应用程序验证不受信任的X.509证书（包括TLS证书）时, 可能被攻击者利用此漏洞, 该漏洞已经在 OpenSSL 3.0.7 版本被修复。
黑帝公告 📢
❤十年经营、持续更新、精选优质黑客技术文章的Hackdig，帮你成为掌握黑客技术的英雄❤
💰￥万百赚万千着跟：由自富财↓💸
❤用费0款退球星，年1期效有员会
🧠富财控掌，知认升提，长成起一💡