Don’t want to wast time to repeat the branch merge actions, like [A][B][C], so I create the bash script to run it automatically.
Script for auto sync/merge the code from branch [A] to [B] with just one …
Don’t want to wast time to repeat the branch merge actions, like [A][B][C], so I create the bash script to run it automatically.
Script for auto sync/merge the code from branch [A] to [B] with just one …
很多Android App现在出于安全考虑都会加上SSL Pinning,有时在Charles Debug过程中会不是太方便,当然可以加一个设置一键关掉这个功能。
最近刚好看了一些关于Frida的资料,发现这个东西用来做代码注入很方便,而且平台通吃,Android/iOS/Linux/Mac。
找到下面这个JavaScript脚本,可以在不侵入原Apk的情况下,去掉SSL Pinning, 通过Charles启用SSL Proxy,在手机设置好Charle代理,直接明文抓到所有请求。
Java.perform(function() {
var array_list = Java.use("java.util.ArrayList");
var ApiClient = Java.use('com.android.org.conscrypt.TrustManagerImpl');
ApiClient.checkTrustedRecursive.implementation = function(a1, a2, a3, a4, a5, a6) {
// console.log('Bypassing SSL Pinning');
var k = array_list.$new();
return k;
}
},
… 编辑wp-contentplugins/wordfence/lib/wordfenceClass.php, 添加下面的这段配置
wfConfig::set('isPaid', 1);
wfConfig::set('keyType', wfAPI::KEY_TYPE_PAID_CURRENT);
!!wfConfig::set('isPaid', 1);
!!wfConfig::set('keyType', wfAPI::KEY_TYPE_PAID_CURRENT);
改好之后为
// Sync the WAF data with the database.
$updateCountries = false;
if (!WFWAF_SUBDIRECTORY_INSTALL && $waf = wfWAF::getInstance()) {
$homeurl = wfUtils::wpHomeURL();
$siteurl = wfUtils::wpSiteURL();
// Add by Jianqing, 2019/04/02
… 自从去年Google强制升级target API到26之后,Google就开始计划着下一波的升级,而这次是要升级到9, 也就是target API level 28,而且日期也已经定了 “November 1, 2019″。
以前每次API升级都是小打小闹,并不会有那种大规模的改动,而这次改动就有点大了。当然这次强制target API升级对国内开发者的影响会小一些,因为毕竟不用发布到Google Play,而国内应用市场这么多,各个要求也都参差不齐,所以短期还是安全的。
这次改动其实动的最大的就是非官方API的调用,也包含”Java Reflection”,基本上可以说国内要用到的那些动态APP升级方案都基本被伤了,网上搜了一下,也找到一些厅淫技巧,可以绕过去官方的这个限制,正所谓道高一尺,魔高一丈,但总的来说这样做是不推荐的,因为不知道系统又做个升级,就把这些方案给干掉。官文给了黑名单列表和灰名单列表,黑名单是一定要修复的,灰名单只是一个过渡阶段,后面看Google的心情什么时候在系统层面强制执行,那就必须都修复。2019年的Google IO大会在即,就看这次Google有什么表示。
把官方相关的文档都看过了,下面这些是我认为比较重要的地方
其实这次已经不是第一次服务器被黑了,之前也有过一次。最后也查到了被感染的病毒,也查到了病毒来源网站,把那个网站整个IP段都给Ban掉了, 总算清静了一些。
而这次被黑的是VPS上运行的Wordpress和Dokuwiki. 一直以来都运行良好,并未出现什么大问题。…
好久没有检查Fail2Ban邮件,翻了GMail, 才发现其实早在2018年11月份, Fail2Ban就没有正常工作了。
用下面两个命令可以查看当前的一些状态
systemctl status fail2ban.service
journalctl -xe
… It’s almost at the end of Year 2017, now it’s time to enable https for my website, after some search, I choose to use letsencrypt, it’s free and community support widely. So it’s easy for me to find the tutorials…
我与Linux的十年
感慨十年
回顾每一天我们都在匆匆往前行走, 看不到尽头. 蓦然回首, 来时的路已经消失在深深的暮霭之中, 看不到脚印, 看不到来时的路, 当然也看不到那虚无缥缈的未来. 终于有一天, 我发现, 我迷路了.
我曾经写过一句话, “不管你路过多少个十字路口, 最终你都将回到原点”. 在时光的道路上, 汨汨的流淌着你的一分一秒, 让你欢欣, 让你激动, 让你欲哭无泪. 不管光阴如何易逝, 空间如何斗转, 回顾走过的路, 都会让我们感慨颇多.
十年的时间, 真的就是弹指一挥间. 我也曾想过说, 有一天, 我能坐下来, 靠着暖暖的午后阳光, 慢慢的回忆过往, 提起笔, 一发而不可收拾. 这个理想, 但更像是一种可遇而不可求的人生状态, 一直都无法邂逅. 每每感慨过后都是无疾而终. 后来, …
有人的地方, 就有江湖.
在互联网上, 有网络的地方, 就有肉鸡.
一台裸奔的无人看管的Linux服务器还真的是蛮危险的, 更何况只是用来科学上网用的.
过去一年在DigitalOcean上都运行的好好的服务器, 最近一个月连续多次被DO管方关闭访问权限, 就算是我恢复到去年备份的snapshot, 也是同样的情况, 连续起了几台VPS, 情况都差不多, 而我最终也没找到具体是什么原因.
关闭的原因是, VPS在向外发起DDos攻击, 产生了巨大的带宽消耗. 虽然我没有想过去攻击其它人, 但是学习一下如何保护自己还是很有必要的.
后来没有办法, 只能申请了数据备份功能, 在安全模式下挂载了VPS硬盘, 然后再起了一台VPS, 用scp命令把需要的数据直接同步到了新服务器上, 当然, 备份速度还是很快的, 毕竟是在同一个新加坡机房.
最后创建了一个全新的VPS, 并对服务器进行了加固, 应该没这么容易被黑了.
安装Fail2Ban
安装好之后如果有同一IP多次登录失败, 配置的邮箱就会收到详细信息, 并且这个IP会被禁止登录.
禁止root ssh login
/etc/ssh/sshd_config
…
PermitRootLogin no