编者按近源渗透（物理渗透）是红蓝对抗演练中的一个关键点，从相关新闻及实际测试结果来看，许多企业线上部署各种安全设备严阵以待，结果马奇诺防线在线下被物理渗透绕过 —— 物理安全或许就是部分企业的短板。本期TSRC特别邀请到腾讯企业IT部蓝军团队成员、《黑客大揭秘：近源渗透测试》第二作者杨芸菲（yyf），他将撰文与大家一起探讨近源渗透攻防。同时也向对近源渗透感兴趣的同志推荐该书。前言近源渗透是这两年常

计算机使用网络进行通信。这些网络可以位于局域网LAN上，也可以暴露于Internet。网络嗅探器是捕获通过网络传输的低级程序包数据的程序。攻击者可以分析此信息，以发现有价值的信息，例如用户ID和密码。在本文中，我们将向您介绍用于嗅探网络的常见网络嗅探技术和工具。我们还将研究可以采取的对策，以保护通过网络传输的敏感信息。什么是网络嗅探？计算机通过使用IP地址在网络上广播消息进行通信。在网络上发送消息

什么是IP和MAC地址IP地址是Internet协议地址的缩写。Internet协议地址用于唯一标识计算机或设备，例如打印机，计算机网络上的存储磁盘。当前有两个版本的IP地址。IPv4使用32位数字。由于Internet的迅猛发展，已经开发了IPv6，它使用128位数字。IPv4地址的格式为四组数字，中间用点分隔。最小数为0，最大数为255。IPv4地址的示例如下所示；127.0.0.1IPv6地

作者｜ 腾讯蓝军 jumbo红蓝对抗越加普遍及重要，甚至成为了大型赛事，随之⽽来的是防守方大量部署安全设备，如FW、WAF、IDS、IPS等，想要从Web端深⼊到对⽅内⽹已经困难重重。但是，⼈永远是最⼤的弱点，在日渐增多的防护设备⾯前，钓⻥攻击（Phishing）已经成为对抗中&

当我们渗透测试已经走到登录页面时，有哪些思路来作为本次渗透的切入点呢本文会分享关于登录页面测试一些常规的思路(水平有限，如果有缺有错，师傅们多带带)1.暴力破解对于用户名密码明文传输的登陆点。

1.bWAPPbWAPP，或者一个有缺陷的web应用程序，是一个免费的、开源的、故意不安全的web应用程序。是什么让bWAPP如此独特？嗯，它有超过100个网络漏洞！它涵盖了所有已知的主要web错误，包括来自OWASP Top 10项目的所有风险。bWAPP是一个使用MySQL数据库的PHP应用程序。它可以通过Apache/IIS和MySQL托管在Linux/Windows上。它也可以与WAMP或

某企业授权渗透报告https://www.freebuf.com/articles/network/243831.html渗透经验分享之SQL注入思路拓展https://xz.aliyun.com/t/7919从0到1学会搭建小型企业拓扑到由外向内的渗透测试https://www.anquanke.com/post/id/208992某大学渗透测试实战靶场报告-Part1https://mp.we

北京时间2020-6-22日Apache官方发布了Dubbo 2.7.7版本，其中修复了一个严重的远程代码执行漏洞（CVE-2020-1948），这个漏洞是由腾讯安全玄武实验室的ruilin提交，该漏洞允许攻击者使用任意的服务名和方法名发送RPC请求

一、DVWA官网：http://www.dvwa.co.uk/ 进入官网点击右上角框处的地方点击一下。点击后直接跳转GitHub平台，然后点击绿色图标，然后下载ZIP格式文件。二、下载一个环境，虚拟环境可以使用win7以及20008R2等phpStudy集成环境下载 - https://m.xp.cn/  如：你的虚拟系统是多少位就选择多少位 -三、因为我已经把虚拟系统安装好了，系统安装这块就先跳

在2019年，McAfee Advanced Threat Research（ATR）披露了一个名为BoxLock的产品中的一个漏洞。此后的某个时间，英国公司iParcelBox的首席执行官与我们联系，并提出发送其一些产品进行测试。尽管这不是我们研究的典型MO，但我们赞扬该公司积极开展安全工作，因此，由于iParcelBox的团队很友好，可以将所有东西都交付给我们，因此我们决定看看。iParcel

从1月份入坑到现在，已经5个月了。这五个月来一直在刷edusrc，并且在本月初成功达到了总榜第五名。很多人问我如何快速批量刷站？那么，他来了。本次分享一次对自己学校的一次安全检测实战文章。帮助萌新理清思路，同时，欢迎各位大佬指点不足。0x01先看学校的域名ip地址注意:这里我建议不要看主域名的，看二级域名的ip地址。因为一些地区的职业院校都是集中统一在一台服务器上的，只有一些二级域名才会搭建在学校

今天分享的是作者在众测过程中实现的一次性验证密码（OTP）绕过技巧，通过拦截修改响应中的内容即可有效绕过OTP，姿势非常简单，但也值得学习借鉴，一起来看看。漏洞发现假设目标网站为example.com，当我在其中创建了用户账号之后，我的注册邮箱中就收到了一个一次性验证密码（OTP），该OTP目的是通过验证邮箱来确认我的身份。开启Burp抓包后，我输入了正确的OTP后，请求的响应简洁明了，其中包含一

漏洞简介近日，joomla官方给出了一个安全公告。从公告可知Joomla! CMS versions 2.5.0 - 3.9.16版本在处理用户组时缺少对根用户组的检查，从而导致了一个提权漏洞的产生(CVE-2020-11890)。

本文没有getshell,漏洞已报送至教育行业漏洞平台,经验证漏洞已修复。我挖的是edu.cn的漏洞，使用了oneforall进行子域名搜集，在看到一个标题为“某某某管理信息系统”的站点，就上手了。1.任意密码重置账号 admin 密码123456（只要是数字就会自动进入修改密码页面）提示我们需要改密码。我们修改成 abc123456抓包，抓响应包。这里面有许多学号与身份证信息，我保留下来两个作为

前言前些日子在h1溜达的时候发现时看到国外的一位师傅对短信身份验证的安全风险，进行了总结，我将其翻译过来并结合自己以往的一些测试经验进行补充。涉及到的安全风险账户接管这个是短信身份验证最严重的安全风险，攻击者可以窃取任意用户的账户，甚至是事先不知道用户的手机号码用户模拟与上面的类似，但是这个的风险取决于具体的服务。通常，如果可以进行模拟，由于确认机制相同，因此也有可能窃取已注册的帐户。短信轰炸短信

近时间某朋友分享一公众号发现是一个Qp-0day，那么这个0day也是有一段老久的时间了，本来我不想拿出来写的，不过那位老哥分享的工具是挺不错的；直接把APP安装包怼进去运行就可以获取APP的ip、url、hash、key等，还可以把安装包丢到360显微镜扫一扫，扫的过程的话一般都是低位；主要还是看个人如何去利用吧！这里就不多哆嗦了！那么QP 0day，我看了一下利用方式简直哪里是0day，就是普

前言在内网渗透时，一个WebShell或CobaltStrike、Metasploit上线等，只是开端，更多是要内网横向移动，扩大战果，打到核心区域。但后渗透的前提是需要搭建一条通向内网的“专属通道”，才能进一步攻击。可实战中因为网络环境不同，所利用的方式就不同。以下为自我总结“实战中内网穿透的打法”思维导图：目标出网（socks代理）这是实战中最愿意碰到的网络环境，目标机可以正常访问互联网，可直

在说到短信轰炸和邮箱轰炸，可能大家都遇到过，思路可能也就停留在那几个点，这篇文章我会带你进入各种思路下的不一样的短信邮箱轰炸问题。

之前写的文章收到了很多的好评，主要就是帮助到了大家学习到了新的思路。自从发布了第一篇文章，我就开始筹备第二篇文章了，这篇文章我可以保障大家能够学习到很多思路。之前想准备例子视频，请求了很多家厂商进行授权，但是涉及漏洞信息方面的，厂商都是很严谨的，所以，整个过程没有相关的实际例子，但是我尽可能的用详细的描述让大家能够看得懂。大家不要睡着呦~说到APP手势密码绕过的问题，大家可能有些从来没接触过，或者

这些小技巧都是我在漏洞挖掘过程当中实践过的，没有实践过的，比如网上也有很多思路，我没有遇到过成功案列我就不再列出来了，文章里的小技巧有些是我自己在测试过程中自己发现的，有些是网上已经有了的思路。

CVE-2020-3153CVE-2020-3153的POC代码-Cisco Anyconnect路径遍历漏洞在此处阅读有关此漏洞的更多信息：https://ssd-disclosure.com/ssd-advisory-cisco-anyconnect-privilege-elevation-through-path-traversal/要获得具有SYSTEM特权的桌面Windows Shell

Cisco IOS XE软件的Web服务器身份验证中的漏洞可能允许经过身份验证的远程攻击者破坏设备上的Web服务器。该漏洞是由于身份验证期间输入验证不足所致。攻击者可以通过在有效身份验证期间输入意外字符来利用此漏洞。成功的利用可能使攻击者使设备上的Web服务器崩溃，必须通过禁用和重新启用Web服务器来手动恢复该Web服务器。思科已经发布了解决此漏洞的软件更新。没有解决此漏洞的解决方法。可通过以下链

根据我们的安全性发布政策，Django团队正在发布 Django 3.1.1， Django 3.0.10和 Django 2.2.16。这些版本解决了下面详述的安全问题。我们鼓励Django的所有用户尽快升级。CVE-2020-24583：Python 3.7+上的中级目录的权限不正确在Python 3.7及更高版本上，当使用collectstatic管理命令时，FILE_UPLOAD_DIRE

近日，阿里云应急响应中心监测到Openwall社区披露一个Linux内核AF_PACKET原生套接字内存破坏漏洞，该漏洞出现在net/packet/af_packet.c中，由整数溢出导致越界写，可以通过它进行权限提升。该漏洞危害评级为高，编号为CVE-2020-14386。漏洞描述Linux发行版高于4.6的内核版本net/packet/af_packet.c中，在处理AF_PACKET时存在整

随着iOS 14的发布，Apple引入了一项新功能，当用户存储的密码因数据泄露而受到破坏时，会向用户发出警告。iOS包含钥匙串密码管理器，该密码管理器允许用户保存凭据并将其自动填写到网站和应用程序的登录表单中。密码管理器可在“设置” “ 密码”下找到，访问时，可让您查看所有已保存的密码或添加其他密码。在iOS的早期版本中，钥匙串密码管理器会警告用户是否使用了容易猜测或破解的密码，并会提示您进行更改

针对Microsoft Windows'Zerologon'缺陷（也称为CVE-2020-1472）发布的Exploit发布，它使黑客立即成为企业网络上的管理员Windows服务器版本具有一个非常关键的缺陷，网络犯罪分子和黑客可能会利用该缺陷来获得对域范围服务器的特权访问。不幸的是，此Windows Zerologon Windows漏洞的四个概念验证代码已公开泄漏。这意味着所有W

Netlogon上周二在Microsoft August Patch中修复的最新漏洞是一场噩梦，CVSSv3得分达到10.0。该漏洞被称为“ Zerologon”（也标识为CVE-2020-1472），可能允许攻击者劫持Windows域控制器。攻击者所需要的只是本地网络访问权限，这也是为什么不能直接通过Internet执行访问的原因。但是，如果攻击者在目标环境中立足，他们可以在可以访问的任何Win

2020年8月12日，阿里云应急响应中心监测到微软发布补丁修复了NetLogon权限提升漏洞（CVE-2020-1472），CVSS评分10，官方评级严重。目前微软官方已提供相应的月度安全补丁以修复该漏洞。2020年9月有国外黑客将该漏洞的验证脚本PoC公开上传到Github，相关的技术细节已经被公布，风险较高。漏洞描述微软官方于8月12日发布安全更新，其中修复了一个修复了NetLogon权限提升

蓝牙4.0到5.0的某些实现中存在一个漏洞，攻击者可以利用该漏洞覆盖或降低配对密钥的强度，从而使他们能够访问经过身份验证的服务。该漏洞是由两个学术研究团队独立发现的，并被命名为BLURtooth。它会影响“双模式”蓝牙设备，例如现代智能手机。攻击者可以在支持蓝牙经典和低功耗（LE）数据传输方法的设备上利用BLURtooth并使用交叉传输密钥派生（CTKD）相互配对。一份安全公告解释说，当CTKD用

报告编号：B6-2020-090302报告来源：360CERT报告作者：360CERT更新日期：2020-09-030x01 漏洞简述2020年09月03日，360CERT监测发现phpStudy发布了phpStudy 安全配置错误漏洞的风险通告 ，漏洞等级：高危，漏洞评分：7.6。phpStudy存在nginx解析漏洞，攻击者能够利用上传功能，将包含恶意代码的合法文件类型上传至服务器，从而造成任

Apache发布了两个安全公告，以解决潜在的远程执行代码漏洞和拒绝服务漏洞。提供公开的概念证明代码。背景8月13日，Apache 发布了安全公告，以解决Apache Struts版本2中的两个漏洞。Apache Struts是用于创建Java Web应用程序的开源模型-视图-控制器（MVC）框架。分析CVE-2019-0230是强制性的双重对象图导航语言（OGNL）评估漏洞，当Struts尝试对标

2020年8月27日，阿里云应急响应中心监测到jackson-databind官方发布安全通告披露jackson-databind  2.9.10.6存在反序列化远程代码执行漏洞（CVE-2020-24616等）。利用漏洞可导致远程执行服务器命令，官方git已发布公告说明，请使用到jackson-databind jar组件的用户尽快升级至安全版本。漏洞描述jackson-databind是一套开

疫情肆虐全球的上半年，网络钓鱼攻击增加了600％，勒索软件攻击增加了148％，FBI报告的网络犯罪暴增了300％。而企业的检测与响应能力和速度，却并没有成比例增加，这也使得各种DR解决方案成为当下企业的安全投资热点。网络检测和响应（NDR）解决方案能够帮助企业增强威胁响应能力，提高网络安全的可见性和威胁免疫力。要为业务选择合适的网络检测和响应解决方案，企业需要考虑的因素有很多，以下，我们整理了几位

ISC2020第八届互联网安全大会上，QEMU-KVM虚拟机的0day漏洞（虚拟机逃逸）被公开。该漏洞可越界读写某一个堆之后0xffffffff（4 GB内存）的内容，可实现完整的虚拟机逃逸。阿里云已于2019年12月完成该漏洞的修复，云上主机已不受该漏洞影响。2020年8月24日，qemu 官方更新了安全补丁修复该漏洞，漏洞编号：CVE-2020-14364，https://xenbits.xe

2020年8月20日，通达OA官方发布安全更新，其中修复了多个高危漏洞。漏洞描述通达OA（Office Anywhere网络智能办公系统）是由北京通达信科科技有限公司自主研发的协同办公自动化软件。近日通达OA官方发布安全更新，其中修复了多个高危漏洞。攻击者通过文件删除漏洞，以及配合早期版本的后台文件上传漏洞，可以获取服务器系统权限。阿里云应急响应中心提醒通达OA用户尽快采取安全措施阻止漏洞攻击。影

一位讲俄语的黑客以纯文本形式发布了来自an网中超过900台Pulse Secure虚拟专用网络企业服务器的用户名和密码以及IP地址。名为KELA的威胁情报公司从黑暗的网上购买了这份清单。该列表包含Pulse Secure的企业VPN服务器固件版本，所有本地用户及其密码哈希，SSH服务器密钥，以前的具有明文凭据的VPN登录，管理帐户详细信息和会话cookie。多个网络安全来源已经验证了在暗网上发布的

•[Tools]FUDGE: Fuzz Driver Generation at Scale:https://research.google/pubs/pub48314/・FUDGE: Fuzz Driver Generation at Scale，大规模自动化生产用于 Fuzz 目标的测试驱动代码–Jett•Apache Struts research at

2020年8月3日，阿里云应急响应中心监测到Nexus Repository Manager 3.x 版本存在远程命令执行漏洞。漏洞描述Sonatype Nexus Repository是一个开源的仓库管理系统，在安装、配置、使用简单的基础上提供了更加丰富的功能。近日Sonatype官方发布安全公告披露了在Nexus Repository Manager 3.x 版本中存在远程命令执行漏洞（CVE

•[Tools]Mistica - An Open Source Swiss Army Knife For Arbitrary Communication Over Application Protocols:https://ift.tt/39OCWhl・开源的协议封装工具Mistica–Schwarrzz•[Tools]BlackBerry releases

近日，阿里云应急响应中心监测到国外某安全研究团队披露关于CVE-2020-4450 WebSphere 远程代码执行漏洞相关分析详情。漏洞描述WebSphere Application Server 是一款由IBM 公司开发的高性能的 Java 应用服务器，可用于构建、运行、集成、保护和管理内部部署和/或外部部署的动态云和 Web 应用。2020年6月5日IBM官方发布安全补丁，修复了CVE-20

8月31日，卡内基国际和平基金会的网络政策倡议发布了蒂姆·毛勒（Tim Maurer）和加勒特·欣克（Garrett Hinck）撰写的报告“ 云安全：政策制定者入门 ”，大西洋理事会的网络治国倡议发起了“ 关于云的四个神话：云计算的地缘政治”通过Trey Herr。卡内基报告的重点是（a）云是什么的问题，（b）云及其市场的发展以及（c）云安全性，包括对过去与云相关的事件的回顾以及可以考虑的新颖框

文章来源：等级保护测评2017年6月1日《网络安全法》正式实施，网络安全等级保护进入有法可依的“等保2.0”时代。网络安全等级保护2.0较1.0最大的特点是等级保护对象在原有的传统系统上增加了云计算、大数据、物联网等新技术的应用。云计算看不见、也摸不着，使得关于如何开展云计算等级保护工作成为当下面临的重要问题之一。网络安全等级保护2.0时代，落实等级保护制度的五个规定基本动作：定级、备案、建设整改

什么是SSL握手？这是浏览器建议与Internet服务器建立安全连接的现象。有时客户端（因此服务器）无法通过协议建立连接。这就是SSL握手失败发生的时间。此故障通常发生在Apigee Edge中。不幸的是，客户端收到带有文本“ Service Unavailable”的HTTP状态503。并不是您的错，因为公司提供了这些SSL安全证书。在浏览器打开页面时发生此类错误是他们的错。该错误还会出现类似“

自大流行开始以来，视频会议和呼叫应用程序的使用猛增，这已将威胁参与者的眼球吸引到这种新的攻击面上。这无意中意味着视频通话平台已经受到关注，而Zoom恰好陷入了陷阱，因为它以前不支持免费用户的端到端（E2E）加密。它受到了很多攻击，特别是来自信息安全社区。但是，它纠正了错误，并为其所有用户提供了端到端加密。但是，它缺少一些基本的安全功能，例如两因素身份验证（2FA）。看来它终于有义务了，现在为用户引

几个组织担心人为错误导致意外泄露公司的关键数据。斯坦福大学教授杰夫·汉考克（Jeff Hancock）和安全公司Tessian的一项联合研究表明，十分之九（88％）的数据泄露事件是由员工的错误引起的。研究“ 人为错误的心理学 ”强调指出，如果组织严厉地评判员工，他们不愿意承认自己的错误。了解人为错误背后的心理有助于组织了解如何防止错误变成数据泄漏。根据这项研究，将近50％的员工表示他们“非常”或“

IoT安全威胁与防御的调查Shassan I.Ahmed1*、Abdurrahman A.Nasr2、Salah Abdel-Mageid3和Heba K.Aslan4，开罗信息学系电子研究所助理研究员，埃及1爱资哈尔大学计算机和系统工程系主任，埃及开罗系统与计算机工程系2埃及开罗爱资哈尔大学系统与计算机工程系项目负责人埃及开罗爱资哈尔大学电子与通信工程系4接收日期：2019年7月13日；修订日期

世界经济论坛（WEF）警告说，诸如物联网，人工智能和量子计算等新兴技术具有改变人类生活的潜力，但也可能以使社会更容易受到网络攻击的形式带来意想不到的后果。与保险经纪和风险管理公司Marsh合作编写的《 WEF 2020年全球风险报告》已进入第15年， 详细介绍了明年及以后世界面临的最大威胁。数据泄露和网络攻击是2018年和2019年最可能发生的全球五大风险之一，但尽管两者仍然构成重大风险，但它们现

9月2日，内蒙古自治区综合性网络安全检查组一行到乌兰浩特机场进行现场督导检查，此次检查由内蒙古大数据发展管理局网络与数据安全处副处长包瑞林带队，机场副总经理王志刚陪同。当日，检查组一行到机场召开现场会议，会上首先由王志刚简要汇报机场网络与信息安全工作开展情况。随后，检查组包瑞林强调，要提高政治站位，认真落实《网络安全法》《密码法》等工作要求，切实履行网络安全工作责任制，加强网络安全工作部署，提升网

文章来源：等级保护测评最近在和一些客户交流，很惊讶地发现，都2020年了，还有人不知道《中华人民共和国网络安全法》第21条明确规定：国家实行网络安全等级保护制度。换句话说，不做等保就等于在违法。不可能所有人都知道这个事，这是对所有人来说是这样。但是对于我们这些从事网络安全工作，从事IT工作，负责信息化的同志来说这是思想上认识严重不足，对网络安全工作对等保这项工作重视不够，长此以往，早晚要出事。上周

网络架构，是数据中心的“神经脉络”如果把数据中心比作一个“人”，则服务器和存储设备构成了数据中心的“器官”，而网络（交换机，路由器，防火墙）就是这个数据中心的“神经脉络”。那本节就针对数据中心的网络架构和一般设计的套路来说了。01网络分区与等保一般情况下，本着灵活、安全、易管理的设计原则，企业都会对数据中心网络的物理设备进行分区。通常情况下，数据中心都会采用核心—汇聚—接入三层的网络结构，核心用于

特权提升：这是什么？每当网络攻击者在应用程序或操作系统中部署错误，设计缺陷或任何形式的配置错误，以获取对用户通常不可用的资源的提升的直接访问权时，特权升级就会发生。攻击者现在使用获得的特权来窃取机密数据并部署恶意软件，以破坏操作系统，服务器应用程序以及最终损害组织的声誉。甚至可以由不老练的黑客来获得对组织数据的这种类型的攻击，以获取逐步升级的特权，原因是大多数业务组织未使用足够的安全措施和控制。特

贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见网络安全等级保护制度和关键信息基础设施安全保护制度是党中央有关文件和《网络安全法》确定的基本制度。近年来，各单位、各部门按照中央网络安全政策要求和《网络安全法》等法律法规规定，全面加强网络安全工作，有力保障了国家关键信息基础设施、重要网络和数据安全。但随着信息技术飞速发展，网络安全工作仍面临一些新形势、新任务和新挑战。为深入贯彻落

几乎大部分网络都有交换机、路由器和防火墙这三种基本设备，因此这三种设备对于网络而言非常重要，很多人对这三种设备的使用容易弄混，其中交换机与防火墙有不少朋友问到关于他们的使用，本期我们来看一下他们的应用与区别。本篇内容主要包括两部分：1、交换机与防火墙的区别2、交换机与防火墙的如何对接配置上网一、交换机与防火墙的区别一、交换机交换机的我们可以把它看作是桥接网络的设备，在局域网（LAN）中，交换机类似

一、基础网络架构如图，为基础网络架构，最新等保2.0要求“一个中心，三重防护”：安全通信网络、安全区域边界、安全计算环境、安全管理中心，故网络安全规划设计，也都是围绕这四个要点展开。二、网络区域划分与设计基于防护等级：把安全等级要求相同或相近的业务或重点，划分到一个区域，比如典型的内网服务器、还有DMZ服务器等；基于业务类型：比如Web应用、DB数据库应用、App应用，可以划分在不同区域；基于网络

英国国家网络安全中心（NCSC）与来自五个国家的国际网络安全机构携手发布了安全指南，旨在帮助全球组织披露数据泄露和处理威胁因素。与美国网络安全和基础设施安全局（CISA），澳大利亚网络安全中心，新西兰国家网络安全中心，CERT NZ和加拿大合作发布了联合安全咨询 “发现和补救恶意活动的技术方法”通讯安全机构。该通报称：“该报告的目的是增强合作伙伴和网络管理员之间的事件响应，并充当事件调查的工具书。

通过互联网连接的智能电视和家庭助理等物联网设备的数量每天都在增加，与之相关的潜在威胁和恶意网络活动也在不断增加。因此，为了解决这些问题，澳大利亚引入了“操作规范”，这是该国所有物联网设备的基本网络安全标准。对“业务守则”网络安全标准的需求2019年，全球连接到互联网的有源IoT设备数量仅为76亿。然而，Transforma Insights的一项研究表明，这一数字到2030年将达到近241亿美元，

过去十年中，网络威胁情报（CTI）取得了飞速发展，其目的是通过结合计算机科学和情报学科来对抗网络威胁。由黑客组织实施的网络攻击是最常见且损失最为高昂的网络安全事件，但防御端的检测和响应却极为迟钝，现代企业检测网络入侵的平均时间为206天，而平均缓解和遏制时间则为73天。为了弥合这一差距，网络安全社区创造了网络威胁情报（CTI）的概念和方法。威胁情报的主要目标是建立相对于网络威胁参与者的知识优势。在

文章来源：测评能手今年3月6日，全国信安标委归口的《个人信息安全规范（GB/T 35273-2020）》正式发布，并将于10月1日正式实施。除标准前言部分已给出的“主要技术变化”，笔者把2017版与2020版标准内容进行详细对比，补充几点变化的相关解读，供大家参考。1新增“授权同意”、“个性化展示”、“业务功能”定义并拓展部分术语界定标准明确个人信息控制者（有权决定个人信息处理目的、方式等的组织或

文章来源：e安在线基于“动态安全”体系架构设计，构筑“网络+安全”稳固防线“等级保护2.0解决方案”，基于“动态安全”架构，将网络与安全进行融合，以合规为基础，面对用户合规和实际遇到的安全挑战，将场景化安全理念融入其中，为用户提供“一站式”的安全进化。国家网络安全等级保护工作进入2.0时代国家《网络安全法》于2017年6月1日正式施行，所有了网络运营者和关键信息基础设施运营者均有义务按照网络安全等

2020年8月30日，为深入落实工业互联网创新发展战略，推动工业互联网加快发展，强化产业推广及生态建设，持续提升我国工业互联网的影响力，特在云端举办2020工业互联网大会。本次大会由工业和信息化部、北京市人民政府主办，中国信息通信研究院、北京市经济和信息化局、北京市通信管理局、工业互联网产业联盟承办。本次大会以“赋能、融通、创新，为新工业革命筑基”为主题，希望各方共同探讨工业互联网新技术、新应用、

Rampant Kitten威胁小组针对电报凭证等进行的广泛监视活动的一部分，已经发现了一种新的Android恶意软件菌株。研究人员发现威胁组织发起了针对受害者的个人设备数据，浏览器凭据和电报消息应用程序文件的监视运动。该小组武器库中一个值得注意的工具是一个Android恶意软件，该恶意软件收集发送到设备的所有两因素身份验证（2FA）安全代码，嗅探Telegram凭据并发起Google帐户网络钓鱼

迷宫勒索软件操作者采用了Ragnar Locker团伙先前使用的策略；从虚拟机中加密计算机。虚拟机会将主机驱动器安装为远程共享，然后在虚拟机中运行勒索软件以加密共享文件。由于虚拟机未运行任何安全软件，并且正在安装主机的驱动器，因此主机的安全软件无法检测到恶意软件并将其阻止。与Ragnar Locker先前的攻击相比，这在磁盘大小方面是一种昂贵的攻击方法。由于Ragnar Locker的VM攻击使用

什么是Lokibot恶意软件？Lokibot，也称为Loki-bot或Loki bot，是一种信息窃取恶意软件，可从最广泛使用的Web浏览器，FTP，电子邮件客户端以及被感染计算机上安装的一百多种软件工具收集数据。它是在前苏联国家之一开发的。它是由创作者发布的销售公告于2015年5月3日首次发现的，该恶意软件至今仍处于活动状态。Lokibot的一般描述Lokibot间谍软件的最初版本最初是由称为“

执行摘要在2020年7月6日和7月9日，我们观察到与对中东和北非的两个国有组织的攻击有关的文件，这些组织最终安装并运行了Thanos勒索软件的变体。Thanos变体创建了一个文本文件，该文件显示赎金消息，要求受害者将“ 20,000 $”转入指定的比特币钱包以恢复系统上的文件。我们无法了解这些攻击的总体影响，也无法了解威胁行为者是否成功从受害者那里获得了付款。图1.加密文件后显示的Thanos赎金

概述近日，奇安信病毒响应中心在日常黑产挖掘过程中发现一种利用支付宝支付和微信支付进行诱导诈骗的新型黑产项目，在地下论坛中被称为“暗雷”和“明雷”。

【文章摘要】腾讯安全威胁情报中心检测到ID为LaoXinWon的勒索病毒攻击者在国内活跃，攻击者疑通过弱口令爆破方式投递勒索病毒。该攻击者同时携带2款勒索病毒样本，一款为C#编写的勒索模块，加密添加.aes扩展后缀。另一款为Delphi编写的Scarab勒索模块，加密添加.lampar扩展后缀。腾讯电脑管家可查杀拦截此病毒。一、概述腾讯安全威胁情报中心检测到ID为LaoXinWon的勒索病毒攻击者

【文章摘要】腾讯洋葱反入侵系统检测发现PyPI官方仓库被恶意上传了request钓鱼包，攻击者通过钓鱼包实施窃取用户敏感信息及数字货币密钥、种植持久化后门、远程控制等一系列攻击活动。腾讯安全应急响应中心（TSRC）建议各开源镜像站以及对开源镜像站有依赖的公司尽快自查处理，确保清除恶意库，保障用户系统安全。一、概述8月5日，腾讯洋葱反入侵系统检测发现PyPI官方仓库被恶意上传了request钓鱼包，

Zix / AppRiver威胁团队对Phorphiex / Trik僵尸网络及其广泛的攻击并不陌生。在6月4日（星期四），我们开始捕获由同一僵尸网络分发的活动，该活动反映了我们在去年4月防御和分析的僵尸网络所使用的技术，战术和程序。但是，此活动提供了新的Avaddon勒索软件，该软件转换为Abaddon，意味着厄运或破坏。这些消息的主题非常简单。所有这些都包含各种主题行，试图诱使收件人打开“照片

7月2日，我们找到了一个带有嵌入式文件的存档文件，该文件伪装成来自印度政府。此文件使用模板注入来删除加载了Cobalt Strike变体的恶意模板。一天后，同一威胁参与者更改了模板，并放下了一个名为MgBot的加载程序，通过使用Windows上的应用程序管理（AppMgmt）服务来执行并注入其最终有效负载。7月5日，我们观察到另一个带有嵌入式文件的存档文件，该文件借用了英国首相鲍里斯·约翰逊（Bo

在该博客的第一部分中，我完成了对新发现的Rootnik恶意软件变体的本机层的分析，并获得了解密后的真实DEX文件。在第二部分中，我们将继续进行分析。看解密的真实DEX文件解密的DEX文件的条目是demo.outerappshell.OuterShellApp类。类OuterShellApp的定义如下所示。图1.类demo.outerappshell.OuterShellApp我们将首先分析函数at

背景Loki Bot已被观察多年。如您所知，它旨在从受害者计算机上已安装的软件中窃取凭据，例如电子邮件客户端，浏览器，FTP客户端，文件管理客户端等。FortiGuard Labs最近捕获了一个PDF样本，该样本用于传播新的Loki变体。在此博客中，我们将分析此新变体的工作原理以及它所窃取的东西。PDF样本图1. PDF示例的内容PDF样本仅包含一页，如上所示，其中包含一些社会工程学内容，以诱使用

2019年TA505组织攻击统计在过去的六个月中，积极技术专家安全中心的威胁情报团队一直密切关注TA505网络犯罪组织。恶意因素被吸引到金融领域，其目标分散在多个大洲的数十个国家中。TA505组织以什么有名？该cybergang已经相当多产从2014年起：他们的武器库包括Dridex银行木马，僵尸网络中微子，以及Locky，JAFF，GlobeImposter和其他勒索。从北美到中亚，全世界都发现

数以千计的HiddenAds Trojan应用程序伪装成Google Play应用程序McAfee移动研究团队最近发现了HiddenAds Trojan的新变种。HiddenAds Trojan是一个广告软件应用程序，用于显示广告和收集用户数据以进行营销。此类应用程序的目标是通过将用户重定向到广告来产生收入。广告软件通常有两种赚钱的方法：在用户计算机上展示广告以及用户点击广告后的每次点击付款。尽管

在我们的第一篇文章中，我们讨论了有针对性的勒索软件攻击的增长模式，其中第一个感染阶段通常是一种信息窃取类恶意软件，用于获取凭据/访问权以确定目标是否对勒索软件攻击有价值。在第二部分中，我们将从中断的地方继续前进：攻击者可以通过控制受感染的主机来在网络上立足，或者拥有有效的帐户来访问远程服务。使用有效的帐户或有权访问公司系统的东西，您要了解的前两件事是：我可以从这台机器获得什么样的权利？我在这个网络

多年来，我一直在数字取证，恶意软件分析和威胁情报领域工作和教学。在上一堂课时，我们总是谈论洛克的交换原则：“两个项目接触，就会进行交换”。如果我们将其转换为数字世界：“当对手违反系统时，他们将留下证据的痕迹”。面临的挑战通常是如何及时发现证据以采取行动并发现可用于检测的来源。易失性证据来源必须尽快得到保护，而非易失性证据来源的优先级较低。波动顺序的一个例子：在本系列的两篇文章中，您将看到一个示例，

威胁行动者正在不断创造出更复杂的方式来使恶意软件逃避防御。我们已经观察到Netwalker 勒索软件攻击所涉及的恶意软件不是经过编译而是用PowerShell编写，而是直接在内存中执行，而没有将实际的勒索软件二进制文件存储到磁盘中。这使该勒索软件变种成为无文件的威胁，从而使其能够保持持久性并通过滥用系统中已经存在的工具来发起攻击来逃避检测。这种类型的威胁利用了一种称为反射式动态链接库（DLL）注入

我们最近注意到MalwareHunterTeam 在Twitter上发布的帖子显示Java下载器的检测率较低。其名称为“由于Covid-19爆发CI + PL.jar而导致的公司PLP_Tax减免”，表明它可能已用于以Covid-19为主题的网络钓鱼活动。运行该文件导致下载了一个用Node.js编写的，未检测到的新恶意软件样本。该木马被称为“ QNodeService”。对于编写商品恶意软件的恶意

前言本文分析的病毒，是一种新型电脑病毒，主要以邮件、程序木马、网页挂马的形式进行传播。该病毒性质恶劣、危害极大，一旦感染将给用户带来无法估量的损失。这种病毒利用各种加密算法对文件进行加密，被感染者一般无法解密，必须拿到解密的私钥才有可能破解。该病毒会扫描端口，目标机器被成功攻陷后会从攻击机下载WannaCry病毒进行感染，并作为攻击机再次扫描互联网和局域网其他机器，形成蠕虫感染。病毒运行1.电脑感

概述在本篇文章中，我们将重点介绍Mispadu，这是一个主要以拉丁美洲地区为目标的银行木马，伪装成麦当劳的广告从而将其攻击面扩展到Web浏览器。我们认为，该恶意软件家族针对的是普通用户，其主要目标是窃取金钱和用户凭据。在巴西地区，我们发现其背后的攻击者分发了一个恶意的Google Chrome扩展程序，该程序时图窃取信用卡数据和在线网银数据，并伪装成Boleto支付系统。恶意软件特征Mispadu

说明：  萌新一枚，最近一段时间在面试病毒相关岗位，有的公司会电话、远程面试询问相关知识，有的则会直接发送病毒样本要求分析，写出分析报告。下面要分析的就是面试过程中的某个样本，整理成文，发表出来，供大家参考学习，一起进步！如有不当之处，也希望大佬批评指正，晚辈一定虚心受教。由于考虑到时间问题，不能让面试官等太久，所以我只将病毒关键功能模块进行分析说明，没有之前文章那么详细，也请大家见谅，不懂之处欢

本文就来为大家分享一下如何仅用CSS3，实现单标签的动态晴阴雨雪。技术关键点就是“单标签”和“纯CSS”。最终效果如下：HTML代码：!--晴--

divclass=weathersunny/div

!--阴--

divclass=weathercloudy/div

!--雨--

divclass=weatherrainy/div

!--雪--

divclass=weathersno

本篇文章给大家介绍一下JavaScript中箭头函数和常规函数的5个区别。有一定的参考价值，有需要的朋友可以参考一下，希望对大家有所帮助。在 JavaScript 中，你可以通过多种方式去定义函数。第一种常用的方法是使用关键字function：//函数声明

functiongreet(who){

return`Hello,${who}!`;

}

//函数表达式

constgreet=fu

不管你是一个多么有经验的开发人员，你都想让你的生活尽可能的简单。正确的工具可以帮助您完成此任务。你的能力取决于你使用的工具，所以花点时间挑选适合你需要的工具是明智的。在本文中，我将讨论每个web开发人员都可以使用的一些工具，以便使你的工作更轻松、更高效。1.Transition Generator有一个CSS属性有很多可能性，这让你很难记住所有的CSS属性，那就是 transition 属性。当你

引起DOM树结构变化，页面布局变化的行为叫回流，且回流一定伴随重绘。只是样式的变化，不会引起DOM树变化，页面布局变化的行为叫重绘，且重绘不一定会便随回流。本文及来为大家介绍一下回流与重绘。回流与重绘，会影响页面性能，每次这两个都会被同时提及，关系就好像KFC边上一定会有MC一样亲密的让人摸不到头脑。要理解回流与重绘，首先要明白浏览器请求回来之后发生了什么浏览器的渲染过程在页面加载时，浏览器渲染过

深拷贝是指源对象与拷贝对象互相独立，其中任何一个对象的改动都不会对另外一个对象造成影响。本文就来为大家介绍一下高性能实现深拷贝的方法。传统深拷贝的问题JS 中有个重要的类型叫做引用类型。这种类型在使用的过程中，因为传递的值是引用，所以很容易发生一些副作用，比如：leta={age:1}

letb=a

b.age=2上述代码的写法会造成 a 和 b 的属性都被修改了。大家在日常开发中肯定不想出现

CSS伪类是用来添加一些选择器的特殊效果。本文就来为大家介绍一下使用css伪类:valid和:invalid实现表单校验的方法，希望对大家有一定的帮助。知识要点1、:valid用于匹配输入值为合法的元素2、:invalid用于匹配输入值为非法的元素3、required属性规定必需在提交之前填写输入字段4、pattern属性规定用于验证输入字段的正则表达式:valid/:invalid选择器用于在表

css中的box-align与box-pack属性可以用来设置框内元素的位置，本文就来为大家介绍一下css中box-align与box-pack的使用方法，希望对大家有一定的帮助。注意： 需要对齐的元素的父元素dispaly的值必须为boxbox-align值为center时，子元素为垂直居中box-pack 属性规定当框大于子元素的尺寸，在何处放置子元素。该属性规定水平框中的水平位置，以及垂直框

本篇文章给大家介绍7个 好用的关于CSS background-image的技巧和窍门。有一定的参考价值，有需要的朋友可以参考一下，希望对大家有所帮助。background-image可能是我们所有人（前端开发人员）在我们的职业生涯中至少使用过几次的CSS属性之一。大多数人认为背景图像没有什么不寻常的，但经过研究，答案并非如此。所以本文收集了7个我认为最有用的技巧，并创建了一些代码示例，你可以在其

有时候，你会需要构建一个JavaScript倒计时时钟。你可能会有一个活动、一个销售、一个促销或一个游戏。你可以用原生的JavaScript构建一个时钟，而不是去找一个插件。尽管有很多很棒的时钟插件，但是使用原生JavaScript可以带来以下好处：你的代码将是轻量级的，因为它将具有零依赖性。你的网站将表现得更好。你不需要加载外部脚本和样式表。你将拥有更多的控制权。你将会建立一个完全按照你的意愿来

HTML5 中提供的文件API在前端中有着丰富的应用，上传、下载、读取内容等在日常的交互中很常见。而且在各个浏览器的兼容也比较好，包括移动端，除了 IE 只支持 IE10 以上的版本。想要更好地掌握好操作文件的功能，先要熟悉每个API。FileList 对象和 file 对象HTML 中的input[type=file]标签有个 multiple 属性，允许用户选择多个文件，FileList对象则

本篇文章给大家介绍一下JavaScript常用数组操作方法（包含ES6方法）。有一定的参考价值，有需要的朋友可以参考一下，希望对大家有所帮助。一、concat()concat() 方法用于连接两个或多个数组。该方法不会改变现有的数组，仅会返回被连接数组的一个副本。vararr1=[1,2,3];

vararr2=[4,5];

vararr3=arr1.concat(arr2);

consol

关于JavaScript如何将值传递给函数，在互联网上有很多误解和争论。大致认为，参数为原始数据类时使用按值传递，参数为数组、对象和函数等数据类型使用引用传递。按值传递 和 引用传递参数 主要区别简单可以说：按值传递：在函数里面改变传递的值不会影响到外面引用传递：在函数里面改变传递的值会影响到外面但答案是 JavaScript 对所有数据类型都使用按值传递。它对数组和对象使用按值传递，但这是在的共

html5的canvas是很强大的，下面本篇文章使用html5 canvas 实现一个简单的叮当猫头部。有一定的参考价值，有需要的朋友可以参考一下，希望对大家有所帮助。效果如下：代码如下：divclass=doraemon

canvasid=facewidth=600height=1500您的浏览器不支持canvas/canvas

/div

script

varface=document.

函数节流和函数防抖，两者都是优化高频率执行js代码的一种手段。本篇文章带大家的了解一下JavaScript中的函数防抖与函数节流。有一定的参考价值，有需要的朋友可以参考一下，希望对大家有所帮助。防抖（debounce）名词解释：在事件被触发n秒后再执行回调函数，如果在这n秒内又被触发，则重新计时。使用场景：以百度输入框例，比如你要查询XXx，想实现输完了XXx之后，再进行搜索请求，这样可以有效减少

JavaScript是现在前端非常受欢迎的脚本语言，在js中对象有2种类型，基础类型和对象类型，基础类型的属性是不可以再包含属性的，而对象类型的属性还可以包含自己的属性。作为程序员，声明变量、初始化变量(或不初始化变量)以及稍后为它们分配新值是我们每天都要做的事情。//声明一些变量并初始化它们

vara=5

letb='xy'

constc=true

//分配新值

a=6

b=b+

随着前端开发越来越关注效率：通过选择器的使用和简化代码来快速加载渲染。像Less、SCSS这样的预处理器在工作的时候，需要绕的路较长，而直接使用css速度会更快。这里涵盖了20个css技巧来帮助你减少重复规则和复写，在布局中标准化样式流程，不仅可以帮助你高效地创建自己的框架，而且可以解决许多常见的问题。1、使用CSS重置（reset）css重置库如normalize.css已经被使用很多年了，它们

什么是Generator生成器？生成器是在函数内部运行的一些代码返回值后，它会自行暂停，并且——调用程序可以要求取消暂停并返回另一个值这种“返回”不是传统的从函数return。所以它被赋予了一个特殊的名称——yield。生成器语法因语言而异。 Javascript 的生成器语法类似于 PHP，但是区别也很大，如果你希望它们的作用相同，那么最终你会感到非常困惑。在 javascript 中，如果想要

本篇文章和大家谈谈JavaScript中for…in和for…of的差异。有一定的参考价值，有需要的朋友可以参考一下，希望对大家有所帮助。for…in和for…of的差异1、遍历数组通常用for循环ES5的话也可以使用forEach，ES5具有遍历数组功能的还有map、filter、some、every、reduce、reduceRight等，只不过他们的返回结果不一样。但是使用foreach遍历

你也许已经掌握了id、class、后台选择器这些基本的css选择器。但这远远不是css的全部。下面向大家系统的解析css中30个最常用的选择器，包括我们最头痛的浏览器兼容性问题。掌握了它们，才能真正领略css的巨大灵活性。1.**{

margin:0;

padding:0;

}星状选择符会在页面上的每一个元素上起作用。web设计者经常用它将页面中所有元素的margin和padding设置为0

本篇文章分享5个好用的CSS函数。有一定的参考价值，有需要的朋友可以参考一下，希望对大家有所帮助。简介CSS 包含了许多函数，而且它能够完成许多早期需要用 JavaScript才能完成的事情。每年都有新的特性被添加进来，这让我们的开发更加轻松，也减少了对JavaScript的依赖。CSS 函数是它所具有的最强大的特性之一，在本文中，我将介绍一些我认为有用的函数。【相关推荐：css在线手册】attr

最近，有读者发来一个问题，内容大概是这样：呆总，这个页面里我画圈的模块现在只有 2 个选项，如果有 15 个选项的话，那我要怎么设计呢？这类问题其实不难回答，但业务不明确，以至于无法给出符合问题本身的答案。这位读者这么问，应该是想要我直接给出形式上的设计建议。但是，我不知道这个模块的作用，页面缺少上下文的联系，也就不知道它要解决用户什么问题，更不知道选项变多至 15 个的原因。只能大致猜测是选择其

前言小方鹅CUBIE是企鹅电竞官方的IP形象，设计方案是围绕“游戏机方盒子”的概念来展开创意，特别是小方鹅头上的游戏机摇杆的提取以及方块组合的表情符号，都体现其游戏属性；符合目前企鹅电竞以游戏直播为核心，多元化发展的产品定位；IP形象的诞生，提升了用户对企鹅电竞的的品牌认知和传播力，协助产品打造一个更具有情感化的游戏直播内容平台。前期设计分析，制定设计流程企鹅电竞作为游戏直播为主，多元化发展的直播

本文通过赛博朋克海报案例给大家深度讲解“商业合成海报从构思到成品”的制作流程以及合成中“人造戏剧光影”的后期使用方法更多文章知识，请查阅ots网络安全门户 ！！！

点线面的临界问题康定斯基在书中曾讲到，线的强化加粗，与点不断增大面临同样的问题，即与面之间的临界。这句话的意思就是，当点、线通过强化自身的面积、宽度后，和面的界限开始模糊，从而具备了面本身的性质。比如ios11中让人印象深刻的大标题，便是由通过增加每个点的面积（增加每个字的字号），以及笔画的线宽（增加每个字的字重）来趋向于面，以来营造出饱满、冲击的视觉张力。辨识性面二维的属性让它可以向四周无限得扩

康定斯基在书中以温度去定义线的情感，他将水平线定义为无限冷能的表现形式，将垂直线定义为无限暖能的表现形式。看似晦涩难懂，但联系到现实生活就相对容易理解一点。现实生活中的水平线通常存在于地平线中，因此给人的感觉是稳定、平和，类似非启动时的「冷」态；而垂直线常见于那些从基线建造、生长的事物，比如高楼大厦、参天巨木，它们都通过能量来实现垂直方向的高低变化，因此给人的感觉是上升、下落、变化等感觉，类似启动

编者按：这篇文章出自资深设计总监 Diana Malewicz 之手，她经常会分享一些实操性极强的文章，这篇文章是她基于以往招聘设计师的经验，梳理出来的设计师简历和作品集的10个死穴，想必这也是很多设计师特别想知道的事情。作为一个设计机构的联合创始人和设计部门的负责人，我招聘过很多设计师。在这个过程中，我看过数百位充满抱负的 UI 设计师的作品集，这使得我更轻易地注意到一些作品集当中常见的问题。在

前言用户界面的本质是资源的互换。用户为产品提供时间和注意力，产品为用户提供单位时间内最大价值的内容。当视觉设计师介入其中后，他们的关系可以用这样一幅图表示。表现层作为用户体验五要素的最具象层面，解决的是产品视觉效果的呈现问题。视觉设计师需要借以合理的版式和视觉手段来保障用户在单位时间内获取最多的内容资源，即实现信息的高效获取。信息的高效获取来自合理的视觉引导（信息阅读的优先级安排）。我们一直在说的

在我们的设计元素中由 色彩 color、文字 font、图标icon、图形 shape、空间 space 这五个部分组成，而图标的影响是整个产品的形象与气质，起着画龙点睛的作用。在图标的设计中，它既需要具备严谨的设计态度，同时还要兼顾设计效率前者是提升产品的视觉表现，后者是节约企业开发成本，无论是我之前一篇文章讲到按钮，又或者是每个B端产品中的导航，都涉及到了图标。今天我就和大家来聊聊如何严谨高效

瓦西里·康定斯基（Василий Кандинский，格里历1866年12月4日－1944年12月13日），画家和美术理论家。康定斯基与彼埃·蒙德里安和马列维奇一起，被认为是抽象艺术的先驱。康定斯基在我们的印象中，是一个抽象派的艺术家，看似和平面设计关联性不大。当我们在不断地研究和学习设计过程，很容易就会注意到。他对整个平面设计的推动，以及在不断的通过绘画来创造新的表现形式的过程中，对平面的空间

B端浪潮下设计师的「尴尬」供应链资源整合是企业发展态势。企业对内部多岗位协作、企业与企业间的协作效率有更多诉求。企业级服务系统的智能在线处理、数据准确、信息安全等特征，成为企业实际作业的得力助手。（以下简称B端）系统提供商也便对业务型产品、设计、开发、运营等人才有更多需求。在C端浪潮中，设计师通过创造用户流畅和惊喜的体验，发挥了显而易见的价值。然后B端系统的业务复杂特性，普遍认知产品经理、开发会体

Hi，我是彩云。对于UI设计师来说，大家都知道平时应该要多体验产品，收集设计灵感，提升设计能力。但现实情况是，体验了一堆产品，收集了一堆截图，却不懂得怎么去吸收，自己做设计的时候依然没有灵感。面对优秀作品，到底要从哪些角度学习和吸收呢？今天就以我最近在玩的一款游戏来抛砖引玉，分享我是如何去思考其中的设计细节的。没玩过这个游戏的，可以先看看我的一段录屏，然后我会从UI、动效2个方面来分析其中的设计细

B端产品信息具有：信息量大、关联关系复杂，最终达到目的是用户高效率的理解信息并完成任务：这是什么？-信息与角色对应我要做什么？-状态+操作会达成怎样的结果？(信息引导)佐藤可士信息整理术佐藤可士的信息整理术，通过问诊客户，将思绪信息化，将原本看不见摸不着的事物可视化具像化，提升沟通精确度，并通过提出假说，来确认对方的想法。通过还原更多的沟通细节来体现在实际处理项目过程中，如何整理自己的思绪与客户（

不知道大家有没有遇到过这样一种情况，我们在做字的时候，发现做好的两个字死活搭不到一块，明明字分开看都没有问题，可是放在一起就感觉不太对。如果我们做的字出现了这种不搭的情况，肯定是因为字与字之间存在着不同。今天的这节课，我们给大家讲解一下，如何让你做的字体看起来更和谐。想要解决这种不搭的问题，我们可以从两方面下手。第一个就是减少字与字之间的不同之处，第二个则是增加文字之间的相同之处，去掩盖字的不同。

列表页是构成后台使用界面的重要组成之一，聚合了众多信息并提供操作入口。区别于小而美的C端产品列表，后台系统的用户希望列表的内容又多又全面（表格），但在操作时又能支持快速定位（搜索，包含筛选）、准确处理（操作）。这需求貌似有些矛盾，但在很多场景下，例如客服在接待客户时窗口时间极其短暂，既要全面获取相关信息，又要快速应对解决客户问题。因此这需求不仅合理而且是刚需。列表页由「搜索」、「表格」和「操作项」

本文将结合贝壳平台B端产品特点，针对当前使用频率高的列表编辑模式进行归纳和抽象，重组典型可复用的交互行为与功能流程，促进提升平台产品体验一致性。本文转自「贝壳KEDC」简介列表是移动端产品中常见的信息展现形式，尤其在B端产品设计中占比很高，B端数据信息量庞大，使用列表这种格式化的表达形式，是最清晰、高效的方式之一。贝壳B端产品主要为企业级服务产品，即SaaS，常用列表来展示数据、管理数据、作为详情

我猜在你踏入设计这个圈子的时候，一定有被推荐过 Robin Williams 的《写给大家看的设计书》。复杂的设计原理在书中被凝炼为亲密性、对齐、重复和对比四个基本原则。但其实我今天要说到的内容和这本书的关系不大…我只是想引出「对比」这个概念，在设计中有多么基础且重要。Google Design 对于文本框可用性研究的主要发现，其中有一条是： 文本框的底部线条与背景的颜色对比度最小应为3：1。因为

人工智能P图喊了一年又一年。这回，狼真来了大家好，我是美丫姐，这段时间，网络上疯传着一份，所谓「流出版」的PS2021安装包。好奇心作祟，我也弄来把玩了一阵，体验完新功能后，觉得既令人大呼过瘾，更令人深思究竟新版Ps加了哪些划时代的功能，就让美丫姐带大家尝尝鲜：两键换天所谓好景年年在，好云不常有，对于摄影爱好者来说，蹲不到好云，就得自己P一个或许是考虑到摄影用户基数庞大Adobe干脆就将天空识别、

先声明本文的内容量很大，是对光影知识的一次系统梳理和总结，相信读完会有所收获，当然有些内容还不够深入，还要继续深究和学习构图、色彩和光影属于设计中非常重要的3块体系，但构图和色彩大多是偏感性的主观理解，而光影则是理性的客观判断。因为这是自然界中真实存在的物理现象，因此大部分时候画面的「添加光影」都是在还原真实，所以本文的很多知识都偏理论和科普，但理性认知无疑是打牢光影基础的第一步。如果说「构图」和

当想要设计更灵动活泼的版面，营造轻松、动感、刺激等氛围时，“倾斜构图”是更适合运用的构图表现形式，本期就来分析倾斜构图的使用方法。更多文章知识，请查阅ots网络安全门户 ！！！

Banner包含什么元素？在电商设计中，最重要的就是店铺的banner设计，banner中所包含的元素也多种多样，每一种都有不同的功能。大致可以分为：文字，照片，背景，装饰元素和标志。其中能够给人最直观感受的就是照片，所以这节课我们从照片开始入手。给大家讲一讲照片在banner设计中的应用。△ 举例图片来自品牌「FEW精品咖啡」「有耳」电商banner，也可以分为两种，一种是有照片的设计，一种是没