应急响应-提取黑客已删除的文件内容

应急响应过程中，经常会遇到黑客删文件的情况。比如上面这种黑客执行 echo > /root/.bash_history 的方式来删除文件，如果没有事先部署主机安全agent做命令审计，这种情况基本都无解。

但通过魔改debugfs的源码，解决了这一类痛点。

json_str = '''{
"optionsList": "[{\"mysql\":\"mysql\"},{\"neo4j\":\"neo4j\"}]"
}
'''

import json
json.loads(json_str)
# 报错json.decoder.JSONDecodeError: Expecting ',' delimiter: line 2 column 20 (char 21)

这是是一段从浏览器f12提取出来的json，在线json格式校验没有问题，但使用Python的json.loads()加载会报错。

在应用商店随便找的一个免费piano应用，通过逆向分析去除应用中的谷歌广告。

因为日常使用shadowrocket，所以每次打开某租车app都会提示检测到手机开了代理，并且在越狱设备上打开还会直接闪退。如何绕过app的代理和越狱检测呢？

某内网k8s集群主机安全告警存在ssh爆破成功的记录，上机排查发现该主机存在长达几个月的异常ssh登录，每天固定凌晨0点-4点出现ssh登录记录，并且同一个ip的ssh登录失败和成功的记录交叉出现。

初步判定这是一起非入侵导致的应急事件，但是该如何定位k8s容器出现异常ssh登录的原因呢？

最近的攻防项目中挖掘到了一处SQL注入，但由于存在waf过滤了select和like等关键字，导致无法通过常规手段进行注入。经测试发现waf并没有拦截regexp正则函数关键字，于是有本文的正则盲注分析。

最近帮朋友抓取某币圈大佬操盘的数据，但是关键数据被加密了。通过砸壳逆向分析后，用frida来hook解密函数进行抓取。逆向难度相对简单，适合入门学习。