作者：Zgao

阅读更多

去年在博客上分享过用Nginx反向代理实现的zsxq登录态网站，但是实际体验并不友好。

1. 第一次访问加载js时间非常长
2. 服务端接口故意返回报错，导致页面空白
3. 多人访问导致Nginx反向代理替换大文件字符串效率低下
4. Nginx部署在境外，国内访问速度很慢

而上面出现的问题，实际上都可以通过CDN缓存加速的方式解决。

YARA 是一款被广泛用于应急响应人员和恶意代码分析师的模式匹配与恶意软件识别工具。它的全称是 Yet Another Ridiculous Acronym。通过编写结构清晰、易读的规则，我们可以在文件或内存中快速定位攻击者留下的特征信息。

在应急响应流程中，YARA 类似于 Suricata 分析网络流量、Sigma 分析日志，而 YARA 则专注于对文件、内存、进程进行静态或半动态检测，是研判恶意样本与横向排查过程中最常用的“武器”。

阅读更多

应急响应日常处置告警时打交道最多的就是各类 Web 攻击。每次拿到一条告警，第一个问题往往是：这是真实攻击吗？攻击成功了吗？要回答这两个问题，得先搞清楚 Web 应用的底层通信机制，然后才能谈怎么在日志里找到蛛丝马迹，提升排查效率。

在进行取证调查时，Windows 回收站被视为重要的证据来源，因为通过文件资源管理器和任何回收站感知程序删除的任何项目一开始都将放入回收站。回收站保留与已删除项目相关的有价值的信息，例如已删除项目的名称、删除前项目的原始位置、已删除项目的大小以及删除项目的日期和时间。

当用户使用 RDP 连接到另一个系统时，小尺寸（位图）图像会存储在其 RDP 配置文件中，这样一旦要在会话中使用相同的图像，就可以更快地获取/拉取。如果连接速度较慢，则整体 RDP 会话体验会得到增强。对缩略图取证有时可以帮助我们识别用户在其 RDP 会话中看到的内容。