xz看到的，写的很好，mark一下。原文链接：
https://xz.aliyun.com/t/9173
要熟悉java语法，知道啥是类，啥是方法，啥是接口，啥是常量巴拉巴拉巴拉
在打开源码时先判断系统框架，例如一个struts2项目中web.xml文件存在Filter-class为:
以及resources目录（或src（root）目录下）中存在strtus.xml
如果存在pom那pom.xml中存在struts依赖信息
而springmvc的特征则是在pom.xml中会存在相关依赖
web.xml中存在关于DispatcherServlet的注册配置
这篇文章是对http://blog.innerht.ml/csp-2015/ 的翻译，因为最近在想对抗csp策略的一些绕过方式，而该文章给了我不少的tips，个人认为还是值得和大家分享一下。
2015年。事情已经发生了很多变化，我们目睹了ECMAScript的版本在2015升级到了第5版本。它使得前端技术具有快速的变化，也有像资源的完整性和客户端的保护机制。许多新的建议被提到网站安全的防范上。
CSP，安全机制，试图涵盖在客户端的广泛的攻击面，也升级到第二阶段。在这篇文章里，我想简单用一个我用在推特的bug绕过csp的例子，讨论了它的有效性和存在的不足。 继续阅读
最开始的时候也是从乌云得知有这么一个漏洞，很多不了解的可能看了就会觉得有点迷茫，其实这个漏洞和svn泄漏有那么一点类似，同样可以根据配置文件还原整个项目的一个过程。
根据漏洞：http://www.wooyun.org/bugs/wooyun-2014-076372的提示，找到了利用工具：rip-git.pl。
基于perl开发，使用之前需要先配置perl环境。
这里我就直接贴代码出来了：rip-git.pl 继续阅读
昨天因为WireLurker，导致MacHook以及国内几个第三方APP下载站火了，Mac下的黑色产业链也逐渐浮现在公众视线。其实我本人一直比较怀疑第三方APP下载站提供的APP安全性，是否有类似EXE捆绑方式寄生在破解APP上的恶意程序，是不是很高级很难实现的patch技术？这些都不得而知。
但昨天WireLurker被媒体曝光后，有人给出了一段自查脚本引起了我的注意，WireLurkerDetector 。
特别是其中这个函数 继续阅读
这篇文章是我在乌云zone空间里首发的，但是没想到得到这么多好朋友的支持，决心不定期同步搜索引擎到这里，也算是做个小的记录，一点点小福利：）
正文：
大家在找资源，或者是做些渗透测试的时候，信息收集阶段，都需要搜索引擎的帮助。常规的、谷歌，百度，雅虎，bing，这些常用的。我就不说了，也不是本帖讨论的范围。我来说说一些比较少人知道的，如果你知道【请不要吐槽】，希望你也能分享一些你已知的，好用的搜索引擎，那么我先来，在这分享一些在安全测试过程中有价值的搜索引擎： 继续阅读