leveryd

没想到x-waf还可以用来测rasp

今天研发rasp的师傅使用x-waf工具发现了产品上的sql注入的绕过case，完成修复后再使用x-waf复测通过。 我没想到，用户比作者更懂使用场景。我本来说x-waf就是用来做waf防护能力测试的，没想到rasp研发时也能用来做测试。 过程中我也发现x-waf从下载到使用过程中会有一些明显的障碍、bug，我也做了一些优化。 希望大家可以向我反馈使用上的bug、讨论fuzz时的payload变异策略，无论是issue还是微信群里。 项目地址是 https://github.com/leveryd/x-waf

一起聊聊x-waf的新功能和未来发展吧！

简单点，让“绕WAF”简单点

宇宙最强WAF长亭雷池都可以fuzz出bypass，更何况其他WAF呢[疑问] （遇到select关键字就拦的当我没说）

分享图片

我的知识星球来啦！！！

在这个经济下行的时候，我想尝试一下以个体提供力所能及的服务。 请各位师傅帮忙转发一下，谢谢！！

超级实用的思维工具-5W1H

5w1h思维工具太好用了，作者近几年常用。 本文使用"通义千问"润色，提示词是"风格请和原文保持一致，不要过于书面化，也不要过于口语化，重新润色"。

开源WAF规则运营入门

介绍基于开源WAF引擎ModSecurity运营规则时的调试方法、变量含义

安全规则中的正则表达式

不论是商业安全产品还是开源安全产品，在规则运营中，写正则一直是很重要的一个事情，而正则使用中有一些基础知识容易被忽略

写了一个测爬虫能力的靶场，因为目前leveryd-asm的爬虫能力是基于katana，就测试了一下，结果看到很多场景里目前katana还不能解析页面中的链接。 测试的结果：https://github.com/projectdiscovery/katana/issues/415 爬虫靶场项目：https://github.com/leveryd-asm/crawler-test

asm项目v0.0.3版本总结

此次更新，用户能够在argo ui创建多种类型资产的探测任务。结合elasticsearch功能丰富的查询api可以更加灵活地过滤出资产，对资产做更一步的处理。

asm项目v0.0.2版本总结

背景今天asm项目v0.0.2版本[1]发布了，新增了一些功能：支持"用户浏览器设置代理后访问网站，利用代理

asm项目和爬虫

背景刚写asm项目时，爬虫服务是通过service对外提供服务。爬虫服务容器编排yaml文件见 https:

基于任务编排的漏扫实现(asm项目)

https://github.com/leveryd-asm/asm实现了上周说的《基于任务编排玩一玩漏扫》

基于任务编排玩一玩漏扫

背景攻防两端对外网资产的安全风险都很关注，在资源有限的情况下，怎么低成本地实现性能、扩展性都不错的、易运维的

蓝军和elf loader

背景在linux系统上执行二进制文件一般会用到execve系统调用，比如下面的执行sleep 1000[ro

webshell绕过案例

背景在研究基于netfilter的后门时，我想到如果webshell可以创建af_packet、af_net

浅谈云原生安全建设

背景我想总结一下我理解的云原生安全，内容源于我的工作经历、我看到的公开分享、最近面试时被问到的。kubern

浅析洞态iast产品

背景之前的工作中我处理过一些洞态iast[1]的漏报误报案例,也逐渐了解这个项目。本文记录我对洞态iast基

关于"linux能力"的两个特殊案例

背景虽然官方文档(man capabilities)和《Linux 内核安全模块深入剖析》书的第六章对"能力

基于netfilter的后门

NFLOG在蜜罐、后门实现时都能用上