2024 年度总结
2024 年度总结
1 月
1 月份和小绿草一块打了打 Real World CTF 2024 体验赛玩玩
虽然只是体验赛, 但是拿了特等奖 (第 2 名), 和北邮同分, 就是交 flag 的时间晚了几分钟, 有点可惜
晚些时候收到了知道创宇和 i 春秋送来的新年礼盒, 因为之前恰好给 Seebug Paper 投过稿, 春秋云镜也打了好一段时间 (不过现在不怎么打了)
2 月
这个月主要学了学 .NET 安全的内容, 调试了一遍 ysoserial.net 的反序列化链, 还有 .NET Remoting, ASP.NET 内存马, ViewState 的内容
然后把 @Y4er 推荐的 .NET 反序列化白皮书啃了一遍, 收获很大
很喜欢推特网友的一句话: 学习就是把你看起来觉得很牛逼的东西打下神坛, 有些东西因为你没学过所以就感觉很牛逼很高大上, 但是实际上学会了之后会发现, 其实也就那样
.NET 其实跟 Java 没啥特别大的区别, 而且现如今国内外很多产品 (例如 SolarWinds, Exchange) 依然停留在 .NET Framework 的层面, 而不是 .NET Core, 所以从某种程度上来讲跟万年 JDK 8 没什么不同
2 月份另外一个比较开心的事情就是入坑了碧蓝档案 (Blue Archive)
虽然大家都说国服就是史, 但是对于我这个剧情党来说光是国服全剧情有配音这个点就已经薄纱外服了 (谁能想到一款运营了三年多的游戏, 外服依然还是没有全剧情配音)
3 月
3 月初没事干随便看了看 SolarWinds 的一个 1day, 没想到最后的利用思路还是挺有意思的 (虽然绕了一大圈但也成功 RCE 了)
3 月底参加了安恒的西湖论剑决赛, 本来是抱着旅游的想法随便划划水的, 没想到顺手拿了个冠军
赛后逛了一圈杭州的著名景点
京杭大运河
中国动漫博物馆
西湖
4 - 6 月
因为 3 月中旬开始跟别人合作搞一个 AIxCC Java Fuzzing 的项目, 一直持续到 6 月份, 所以这段时间就没怎么搞别的事情
4 月份对区块链有点感兴趣, 看完了北大的区块链教程, 然后学了一段时间智能合约审计
https://exp10it.io/2024/04/ethernaut-writeup/
当时把 Ehternaut 靶场刷了一遍, 收获很大, 不过后续因为项目和找实习的原因, 也就没有时间继续研究了 (Web 3 这个行业我不发表评价 - -)
5 月份最高兴的事情是在学长的推荐下投了玄武实验室, 经历了人生中第一次面试, 最后成功拿到 offer
然后是碧蓝档案国服 3.4 剧情开放, 整个第三章的剧情水平很高, 我感觉仅次于最终章
5 月份正好出了个 Nexus Repository 的目录穿越, 试着结合 Fuzzing 写了篇分析文章
https://exp10it.io/2024/05/通过-java-fuzzing-挖掘-nexus-repository-3-目录穿越漏洞-cve-2024-4956/
现在来看通过 Jazzer 实现完全自动化的 Fuzzing 或者说挖洞依然还是有很长一段路要走, 而且 Web 的漏洞几乎都是在应用/业务层面, 不像二进制 Fuzzing 只要 crash 了那么或多或少都会存在溢出/越界/UAF
Java Fuzzing 我觉得目前比较适合的场景是像目录穿越这种针对某个标准化/过滤函数进行 Fuzzing, 有些比较奇葩的千奇百怪的 payload 你自己想可能得想好一段时间, 但是用 Jazzer 很快就跑出来了
整个 6 月份依然在搞项目, 然后期末周复习
7 - 9 月
7 月初考完试独自一人去了北京海淀, 前七天住了🐧厂预定的酒店, 还是比较舒服的
后续在靠近公司的地方合租了一个房间, 房租 2500/月, 三室一厅, 通勤无论是骑车还是打车只要十来分钟, 比较幸运逃过了北京地铁高峰期的毒打
上班第一天见到了 MitAh 和 Dlive 大哥, 大家都很热心, 部门氛围也挺好的, 学到了很多东西
就是我自己太社恐了, 一开始还不太怎么适应, 不怎么敢说话, 到后面稍微好了一些, 在这里给大哥们道个歉 😢
夕阳下的腾讯大楼
晚上地面在大楼墙面上的反射, 可以清楚的看到有一个熊猫脸
这几个月趁着实习把北京好好逛了一圈
圆明园
王府井
《东映动画早日倒闭》
奥林匹克公园, 中秋节那会跟在北京的好兄弟一块逛的
好兄弟说要带我去长亭逛一圈, 结果那天国家会展中心有活动所以没去成
鸟巢
水立方
三里屯太古里
颐和园
天坛公园
前门大街
9 月初去成都参加了巅峰极客决赛, 跟 N1 的师傅们一起拿了亚军
去了一趟天府广场
只能说不愧是成都, 连本子的周边都在卖 (
在成都比较可惜的是没能坐一坐曲总的奔驰哈哈哈
回北京之后, 可能因为自己是第一次出来实习, 而且我本身是个江苏人, 也许是不太适应北京这座城市的生活气息 (江浙沪的都不愿意出去), 再加上后面学校也有事情
所以在 9 月中旬办了离职手续, 很感谢 MitAh 和 Dlive 两位大哥这几个月的照顾
🐧的入职礼包
中秋礼包
月饼除了豆沙藤椒牛肉月饼以外都挺好吃的
离职第二天在小区楼下的 KFC 拿下了崩三联动套餐
后面几天继续逛了逛颐和园、天坛公园、前门大街等景点, 照片都贴在前面了
10 月
10 月份跟校队一块办了 0xGame 2024, 今年使用了 GZCTF 作为比赛平台, 但本着 “步子迈太大容易扯到 *” 的原则 (其实是因为我比较懒), 还是沿用以往的静态服务器, 不过最后办的还算顺利, 今年的学弟学妹们都挺活跃的
从北京回来后不知道自己未来想要干啥, 摆烂了一段时间 (试玩了最近国服回归的魔兽世界)
后面借着给 0xGame 出题的机会学习了去年一直想学的 Rust, 把 Rust 圣经 完整看了一遍, 像模像样的出了几道 Web 题
11 月
经历了半个多月的摆烂, 我发现我还是不能将自己的视野局限于 Web 安全 (更别说 Java 了), 应该适当学一点其它方向的技术, 不求能干出什么成果, 哪怕只是有一个了解也挺好的
所以就开始学起了 Pwn, 因为自己本身对 Pwn 也很感兴趣, 所以学的还算比较快, 到 11 月底之前把堆的知识点看了个大半 (House of 系列), 本来是想着学到 Linux kernel 就停, 但因为后面还有比赛和考试, 就只能明年再说了
另外看了一遍碧蓝档案 2.2 和最终章前半部分的剧情
11 月底跟 N1 一块参加了 Black Hat MEA CTF Final 2024, 第二次去沙特利雅得
Nu1L 的排名经历了 2 -> 1 ->3 的反复横跳, 最后拿下了季军
比赛结束后去利雅得的国家博物馆逛了一圈
12 月
回国飞机上海落地, 索性在上海的好兄弟家里住几天, 顺带在上海玩了一圈
百联
南京路步行街
外滩
陆家嘴
新开业的 Apple 静安
典中典之三件套
静安大悦城
新世界百货
豫园
世博园
另一件事是在好兄弟家里拿着他的松下学了一点摄影, 现在起码知道曝光三要素分别有什么作用了 (
后面四天去郑州跟 N1 打强网杯, 运气好拿了第 6 名一等奖
打完之后回上海待了两天继续逛景点, 然后就回学校了
继续看碧蓝档案最终章的后半部分, 我愿称之为神作
最后 12 月下旬一时兴起顶着复习考试的压力用 Rust 随便写了个端口转发的玩具: https://github.com/X1r0z/pivot-rs
也是借着这个项目学会了通过 Issues + Pull Requests 来管理项目, 通过 GitHub Action 实现自动化编译
总结
去年的部分 Todo 在今年以一种很阴差阳错的方式实现了, 例如学习 Rust 竟然是为了给新生赛出题, 因为想学 Pwn 所以恶补了 CSAPP 里面的基础知识
今年跟几个朋友交流了好几次, 对安全行业有了一些新的看法, 这里就不过多展开了
明年的一些想法
- 学一些其它方面的知识, 无论是 Pwn/Rust/LLM 还是其它什么东西, 然后做几个小项目, 我不是很希望我给别人一种 “我是搞 Java 安全的” 的印象, 一个真正的安全研究员不应当把自己的视野局限在这个 b Java 身上, 我离一个真正的安全研究员还有很长的一段路要走, 同时我也不想一直呆在 Web 安全这么一个舒适圈内
- 找一份实习度过大三下学期, 目前感觉自己还是不太愿意离开江浙沪, 以后比较偏向在上海/杭州发展
- 多看几本书, 自从上高中之后我就从来没有好好的读过一本书, 今年年度总结的文笔还是一如既往的烂, 希望明年能多增加一些阅读量
哪怕是漫画也好 - 多玩一些游戏, 平衡一下自己的生活, 自从换了 Macbook 之后 Steam 库就没怎么动过
- 多看几部番, 自从上了大学之后我的看番量越来越少了