ailx10

差不多2020年9月份研究ATT&CK的时候，做规则覆盖能力，遇到了端口敲击（Port Knocking，PK），当时我设计了检测方案，但是没有做实验来验证，也没有列入开发计划，直到今天2021年2月研究零信任的时候，再次碰到了PK，只不过这次换了个马甲，叫SPA（单包授权认证），终于下定决心来一探究竟~SPA单包认证，通过wireshark抓包，发现是通过UDP报文敲打服务端的62201...

最近在研究https服务，说实话事情太多（零信任sdp落地问题），我非常不喜欢这种状态，但是当下又无能为力，只能走一步看一步。压力太大 ，有时候啥也不干，放空自己，也算是一种减压~说回正题，仅仅学习了一点皮毛，所以记录如下，证明曾经有过，哪怕只是一点皮毛，首先是基于openssl 生成证书，然后基于python3 实现ssl服务端和ssl客户端的通信~本来我是打算用java来做这个案例的，但是实践...

OTP一次性口令（one time password），我们收到的短信验证码，就算是一种一次性口令，因为它只能使用一次，还有登陆时候验证码，就是那种歪歪扭扭的字~实际上，这是一种增强验证的方式，短信验证码属于比较好的双因素验证，因为绑定了手机号，所以接收人就是唯一的，但是这也导致隐私问题泄露，比如国外的REG007就能花钱买到手机号注册的网站，如果发现你注册了某个色情APP，那不就很尴尬了嘛~而登...