近日安全人员披露了早期版本的Apktool存在的两个漏洞细节，一个是XXE漏洞，可造成对用户电脑/系统任意文件的访问；另一个是路径穿越漏洞，可释放、覆盖用户电脑/系统文件、代码执行等危害。

2017年9月28日，公司扫描器发现某业务存在一例任意文件读取漏洞，团队跟进分析后发现这是Node.js和Express共同导致的一个通用漏洞。在我们准备告知官方时，发现Node.js官网于9月29号给出了漏洞公告，对应的CVE编号为CVE-2017-14849

近日，Xshell官方发布公告称其软件中存在后门。腾讯安全应急响应中心的实习生同学对该后门进行了详细的分析，确认这是一个具备恶意代码下载执行和数据回传等能力的高级木马。

WebSocket是HTML5开始提供的一种浏览器与服务器间进行全双工通讯的网络技术。WebSocket通信协议于2011年被IETF定为标准RFC 6455，WebSocket API也被W3C定为标准，主流的浏览器都已经支持WebSocket通信

随着手机功能越来越多，其在我们生活中扮演的角色也越来越重要，除了保存传统的通讯录、短信、照片等个人隐私，现在的手机还是一个支付工具，如果手机被盗用，手机锁屏密码就是保证大家数据和资金安全的第一道屏障。我们最近也研究和总结了一些手机解锁的新老姿势的安全性，在此分享给大家，欢迎大家上车一起交流。

此篇文章涉及Windows Kernel Pool风水、SetBitmapBits/GetBitmapBits来进行任意地址的读写等利用手段，有助于学习Windows内核的漏洞利用。

FFmpeg是一个著名的处理音视频的开源项目，使用者众多。2016年末paulcher发现FFmpeg 三个堆溢出漏洞分别为CVE-2016-10190、CVE-2016-10191以及CVE-2016-10192。本文详 细分析了CVE-2016-10190，是二进制安全入门学习堆溢出一个不错的案例。

Google，它们的安全能力是内嵌在基础设施里，由基础设施透明提供的。安全工程师参与设计、开发和实现检验基础设施所提供的安全能力。

本文其实是我们在2016年底为腾讯投后企业的相关同学进行主题为“如何防范黑客攻击”的安全培训（为投资企业提供全方位资源支持是腾讯投资的一个增值服务）的时候产生的副产物：部分初创企业安全团队规模较小（甚至没有专职的安全团队），但是却又实实在在地遭受到来自互联网的安全威胁，它们急需安全方面的指导，但是又苦于经验和资源的匮乏，所以当时我们答应下来将这部分工作后续以文章及服务的形式进行分享。

本文主要针对x86架构下Obfuscator-LLVM的控制流平坦化，但最重要的是去除控制流平坦化过程中的思路，同时当函数比较复杂时可能速度会有点慢。有时间会以此为基础尝试分析伪造控制流、指令替换和VM等软件保护手段，另外符号执行也可以应用于漏洞挖掘领域，例如借 助符号执行生成覆盖率更高的Fuzzing测试集以及求解达到漏洞点的路径等。