作者：Zgao

通常在docker run 时可能会忘记添加必要的端口映射，但是在运行成功后，想要添加新的端口映射。网上给出的方案基本都是要先stop容器再重新commit，这种方式非常麻烦，对于没有volume挂载的容器，容器内部运行时的数据可能会丢失。

常用的压缩包格式有zip，rar，7z这三类。一开始在处理这些压缩包时，采用的思路是直接用python封装的第三方模块如zipfile、rarfile、py7zr这些直接处理原始压缩文件。

如果只是处理几百兆的小文件，是没有任何问题，但对于几十G的压缩包效率极其低下，尤其针对不解压提取压缩包内部的文件内容的场景，一个rar的压缩包处理时长可能花费数十个小时。

本文针对压缩包清洗，花费大量时间研究。深入分析清洗数据的坑点，以及优化思路。

和朋友一起协同开发，需要打通双方的局域网互访，所以考虑到vpn的场景。一开始考虑frp+openvpn的实现。frp实现点对点穿透，openvpn负责组网。但是感觉这样配置较为繁琐，双方都需要部署frp和openvpn，体验不是很友好。

探索了多种方案最终选择了Zerotier，一个自带P2P打洞的vpn，同时满足需要。只需要自建一台有公网ip的moon服务器就可以高效实现各个zerotier节点之间的打洞。

近期发现某国内的黑客团伙用0889.org作为恶意样本地址和通信域名，后面简称0889组织。最近一次排查某云上挖矿的case，发现该组织通过jenkins RCE漏洞突破边界，内网横向后拿到主机权限后，批量下发挖矿和rootkit后门。

挖矿就没什么好说的，本文重点分析该组织的rootkit后门隐藏手法以及应急排查思路。

macOS 文件系统

macOS 目前使用的文件系统称为 Apple File System（APFS）。APFS 在 2017 年随 macOS High Sierra 引入，并取代了之前的 HFS+（Mac OS X 使用的旧文件系统）。Apple 转向 APFS 的主要原因是增强加密能力，从而提升安全性，同时在多个领域也做了改进，包括：

在云上应急响应和安全运营场景中，AWS S3 几乎是绕不开的核心基础设施之一。

Amazon S3（Simple Storage Service）是 AWS 提供的对象存储服务，主打高可用、高可靠、可无限扩展。从企业日志、业务数据，到备份、镜像、取证文件，很多关键数据最终都会落在 S3 上。

也正因为它“什么都能存”，一旦配置不当，S3 也是云上数据泄露、勒索攻击、取证对抗中最常被利用的点之一。

在企业级 Windows 域环境中，Kerberos 是最核心的身份认证机制之一。而一旦 Kerberos 的根基被攻破，攻击者就可能获得对整个域的“无限通行证”——这正是 Golden Ticket（黄金票据）攻击 的本质。

在 Active Directory 环境中，NTDS.dit 是最核心、也是最危险的一份数据。一旦这份文件落入攻击者手中，基本可以视为整个域已经失守。在应急响应过程中，如果我们忽略了对 NTDS 数据库转储行为的监控，往往意味着攻击者离拿下域控不远了。