xiaohack's Blog - Windows安全
type: channel
link: https://blog.xiaohack.org/tag/windows-156f24/
items: 【论文分享】被滥用的信任：Windows 代码签名滥用测量研究
items: 【应急响应】挖矿病毒应急响应处置手册
items: 360集团校招-安全专项
items: 360集团校招
items: 担心流氓软件扫盘？详解沙盒软件 Sandboxie Plus

【论文分享】被滥用的信任：Windows 代码签名滥用测量研究
type: item
date: 2026-01-21T16:30:20+08:00
description: 一、代码签名沦为恶意软件的“护身符”当你在运行某个软件时，看到如下所示的弹框，“已验证的发布者：XXX有限公司”，你是否会不假思索地点击“是”？然而，大量安全事件表明这样的信任已经被攻击者滥用，看似安全的软件来源可能来自于精心设计的伪装。近年来，软件供应链安全事件频发，为了保护软件真实性与完整性，代码签名机制应运而生。代码签名主要依赖公钥基础设施 PKI 技术，旨在确保软件来自真实来源且软件内容未被篡改。当终端用户安装或以管理员权限运行软件时，操作系统会验证代码签名的有效性，帮助用户判断此软件是否值得信任（如上图所示）。然而，攻击者有时会反过来利用代码签名 PKI 信任体系中的安全缺陷，通过某种手段为恶意软件配置代码签名，帮助恶意软件绕过操作系统和杀毒软件的检查，我们称之为“代码签名滥用”。为了应对代码签名滥用带来的安全威胁，奇安信技术研究院星图实验室与清华大学、中关村实验室联合研究团队在 NDSS 2026 会议上发表了论文《Understanding the Status and Strategies of the Code Signing Abuse Ecosystem》。这项工作由清华大学和奇安信联合培养的卓越工程师计划博士研究生赵汉卿主导完成，导师为段海新教授（清华大学）和应凌云博士（奇安信星图实验室）。其他作者分别为张一铭（清华大学）、张明明（中关村实验室）、刘保君（清华大学）、游子权（清华大学）、张书豪（奇安信星图实验室）。在这项工作中，我们利用从真实世界中收集的 3,216,113 个已签名的恶意 PE 文件，对 Windows 代码签名滥用行为进行了大规模测量。通过细粒度的代码签名滥用检测分类算法，我们检测到了 43,286 张滥用证书，构建了迄今为止最大的滥用标记数据集。分析发现当前代码签名滥用现象普遍存在，影响了 46 家 CA 厂商以及 114 个国家或地区的证书。我们发现了五种滥用者的攻击策略，并根据当前代码签名 PKI 存在的安全缺陷提出了若干缓解措施。二、代码签名研究的三大挑战与传统的 Web PKI 不同，代码签名 PKI 测量研究存在三大挑战：缺少大规模数据集：在 Web PKI 中，研究者可以通过 TLS 扫描主动收集数据或被动分析 TLS 流量。Censys 和 Rapid7 等公共数据集也能为测量工作提供支持。此外，证书透明度（CT）机制提供了 CA 颁发记录，方便研究者批量获取证书数据。然而，代码签名生态系统相对封闭，无法通过主动扫描或 CT 等手段获取大规模数据集，这是制约代码签名测量研究的最大障碍。缺少 Ground Truth：尽管近年来代码签名滥用事件频发，但是学术界尚未找到代码签名滥用检测分类相关的 Ground Truth，以往基于签发行为的分类方法被证实可能会被攻击者绕过。这阻碍了对代码签名证书进行标注和聚类分析。问题根源难以溯源：CA 端的操作和实现并不透明，即便定位到代码签名滥用行为，也难以由此溯源到造成滥用的根源所在，导致无法提出有针对性的缓解措施。我们的工作分别通过综合公共数据集与私有沙箱样本、设计基于撤销信息的滥用检测分类算法、按照不同滥用类型作细粒度分析等方法解决了以上三大挑战。三、代码签名滥用测量的创新方法设计为了解决以上挑战，我们提出了针对代码签名滥用测量的一系列创新方法设计，以实现大规模、细粒度、可溯源的滥用测量分析。数据收集方面，我们综合了公共数据集与私有沙箱样本。我们收集了公共恶意软件存储库 VirusShare 在 2020 年 10 月至 2024 年 10 月期间发布的所有样本，经过过滤保留了 176,968 个签名 PE 样本。此外，我们还从合作公司沙箱中补充收集了 3,828,744 个签名的 PE 文件。两个数据集通过合并去重后共得到 3,962,788 个签名样本，通过反病毒引擎分析最终筛选出了 3,216,113 个恶意签名样本。此外，我们还从多个维度对样本特征进行了扩充，比如爬取 CRL 撤销信息、收集样本恶意行为分析报告等，以实现更精准的检测与分析。为了实现细粒度的分析，我们提出了一种代码签名滥用检测分类算法。受益于近年来 CA 撤销透明度的改善，我们得以通过已撤销证书被披露的撤销原因（Revocation Reason）来推知证书滥用背后的原因。我们依据样本对应的 SignTool 输出结果、CRL 撤销信息以及 OpenCorporates 查询结果设计了新的检测分类方法，将滥用分为签名复制、私钥窃取、身份盗用、空壳公司、自签证书等五种滥用类型。不同的滥用类型采取了不同的滥用手段，其产生的安全威胁与影响范围也有所不同。对于私钥窃取、身份盗用以及空壳公司这三类相对高级的滥用类型而言，由于攻击者掌握受信任证书的私钥，他们可以任意为…

【应急响应】挖矿病毒应急响应处置手册
type: item
date: 2026-01-19T23:55:51+08:00
description: 0x00 概述通常来说，当我们的服务器或PC资源(CPU)使用率接近或超过100%，并持续高居不下导致服务器或PC操作延缓，我们就可以判定被挖矿。常见挖矿其它特征如下：服务器或PC访问过不受信任的地址，这些地址包括：主机、IP、域名。这是由于大部分挖矿都需要从一个不受信任的地址下载初始化程序，而不受信任的来源主要是：第三方情报结构，企业内部历史数据沉淀。 服务器或PC新增异常或恶意文件、进程或服务，并且大部分异常文件保存在服务器或PC的TMP目录中。 服务器或PC的定时任务发生变更。0x01 了解基本情况1.1 如何发现挖矿木马显著的行为特征就是极大的占用CPU及GPU和硬盘资源主要包括：高CPU和GPU、硬盘使用率、响应速度慢、崩溃或频繁重新启动、系统过热、异常网络活动（例如，连接挖矿相关的网站或IP地址）。其次是在网络流量中，挖矿木马通信过程采用专门的通信协议，因此存在一定的网络通信特征，因为要连接矿池，网络特征较多的都是TCP。1.1.1 异常外联安全设备告警 流量监控设备 工作人员人工发现 ...事件发生时的状况或安全设备告警等，能帮助应急处置人员快速分析确定事件类型，方便前期准备。1.1.2 主机异常CPU、GPU占用过高 主机温度异常 其他异常可获取CPU占用过高进程信息1.2 事件的时间节点出现事件时间 发现事件时间 处置事件时间了解事件发生时间节点：出现事件时间、发现事件时间、处置事件时间，确定这三个时间节点后，可通过时间相关性推算挖矿病毒产生大致时间，有助于后续挖矿病毒发现及清理。1.3 临时处置情况了解挖矿病毒临时处置的情况，方便后期的排查1.4 网络拓扑情况获取网络构架，网络构架一般来讲是要拓补图，详细的拓扑图可以协助还原攻击流程时，准确定位网络连接方向。0x02 判断是否属于挖矿根据了解到的基本信息来判断和确认是否挖矿事件2.1 属于挖矿2.1.1 根据告警和流量信息初步判断挖矿类型在不影响主业务运行的情况下，拔掉受害主机网线，并且切断网络连接可使挖矿现场尽量保持完整，有助于接下来的溯源工作顺利开展。可以先根据告警和流量信息初步判断挖矿类型，在互联网收集相关情报，若有相关分析文章可提高事件处置效率。2.1.2 windows2.1.2.1 信息收集CPU占用打开 cmd 窗口，输入 resmon 命令，通过资源监视器，找出CPU占用过高的程序，找到PID和进程名。网络连接1、使用netstat -ano 命令查看目前的网络连接，定位可疑的 ESTABLISHED2、根据 netstat 命令定位出的 PID 编号，再通过 tasklist 命令进行进程定位 tasklist | findstr "PID"netstat -ano tasklist | findstr "PID"端口查看Windows服务所对应的端口：%systemroot%/system32/drivers/etc/services可疑用户【计算机管理】->【本地用户和组】->【用户】选项，可查看隐藏账户，名称以$结尾的为隐藏账户。打开 cmd 窗口，输入 lusrmgr.msc 命令，查看是否有新增或可疑的账号。也可通过D盾查看系统中是否存在影子账户。计划任务a、打开控制面板->任务计划，查看计划任务属性，排查异常任务计划。b、打开 cmd 窗口，然后输入 at，检查计算机与网络上的其它计算机之间的会话或计划任务，如有，则确认是否为正常连接。进程信息a、Win+R，输入 msinfo32 命令，依次点击 "软件环境 -- 正在运行任务" 可以查看到进程的详细信息。b、通过安全分析工具进行排查。启动项a、开始->所有程序->启动，默认情况下此目录在是一个空目录，确认是否有非业务程序在该目录下。b、Win+R，输入 msconfig，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。c、Win+R，输入 regedit，打开注册表，查看开机启动项是否正常，检查是否有启动异常的项目。HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonced、利用安全软件查看启动项、开机时间管理。服务服务也是挖矿病毒常见的守护方式之一，将注册表中服务启动方式写为挖矿病毒主程序，从而达到守护进程目的。Win+R，输入 services.msc，注意服务状态和启动类型，检查是否有异常服务…

360集团校招-安全专项
type: item
date: 2026-01-19T16:04:31+08:00
description: 助理安全研究员（漏洞挖掘与利用）（北京）薪资：17-19k，15薪，具体可进一步沟通投递方式：campus@360.cn职位职位链接：https://360campus.zhiye.com/campus/detail?jobAdId=69b88265-4f41-4e90-b2e3-02ae630c7631工作职责1、深入研究软件、设备、系统、网络协议等某领域或多领域的安全漏洞，利用逆向工程、模糊测试、静态/动态代码分析等技术，主动发现并验证新的安全漏洞；2、探索应用大语言模型（LLM）技术于Web与二进制领域的复杂漏洞挖掘，结合专业知识，设计构建相关自动化工具/流程；3、研究前沿攻防技术，跟踪国内外安全动态与漏洞披露信息，复现漏洞，研究攻击手法和防御技术，持续提升公司的安全研究能力；4、参与相关项目或课题，推动漏洞研究能力的价值转化。任职资格1、计算机科学、信息安全或相关领域本科及以上学历；2、对Web和二进制安全漏洞有一定的认知，具备一定的逆向分析能力和研究能力，熟练使用常见工具，如：IDA、WinDbg、GDB等；3、熟练掌握C/C++/Python等至少一种语言，熟悉X86或ARM汇编指令，有扎实的编程基础；4、对漏洞挖掘与利用感兴趣，有热情和自我驱动力，有一定的抗压能力和较强的团队协作精神。以上职位满足以下至少一项条件者优先录用：1、参加过天府杯、Pwn2Own等赛事，并成功攻破目标，作为CTF主力选手取得过优秀的成绩。2、在有影响力的业界会议（学术/工业）上发表论文；3、有独立挖掘漏洞的经验，获得过主流厂商的CVE编号；4、通过使用/定制/自研工具发现有效漏洞；安全研究员（Windows方向）（北京）薪资：17-19k，15薪，具体可进一步沟通投递方式：campus@360.cn职位直达链接：https://360campus.zhiye.com/campus/detail?jobAdId=d7b48154-dd38-45ee-9492-0b4baec1004a工作职责1持续跟踪并深入分析最新的Windows平台漏洞，研究其根本原理、高级利用技术及有效的缓解措施。2研究和复现野外流行的攻击手法、APT攻击中使用的先进技术，特别是针对杀毒软件、EDR等安全产品的绕过技术（如白利用、无文件攻击、内存驻留、EDR盲点等）。3基于研究成果，设计和开发创新的威胁检测模型和主动防御方案，并将其工程化，落地到实际的安全产品中，提升产品的核心检测与防护能力。任职资格1计算机科学、信息安全、网络工程或相关专业本科及以上学历。2精通C/C++编程，熟悉Python等脚本语言，具备扎实的Windows平台开发能力（如Win32 API, Native API）。3熟练掌握x86/x64汇编语言，能够熟练使用IDA Pro, WinDbg, x64dbg等工具进行静态分析和动态调试。4深入理解Windows操作系统内核机制，包括内存管理、进程/线程调度、对象管理、文件系统、驱动模型等。5对主流的漏洞利用技术（如ROP, JOP, 堆利用等）及相应的防御和绕过技术（如ASLR, DEP, CFG bypass）有深入的理解。6 对安全研究抱有浓厚兴趣和热情，具备强烈的自我驱动力、好奇心和优秀的学习能力，能够独立解决复杂技术问题。 加分项（满足以下一项或多项者优先）：7有独立发现并分析过漏洞（有CVE编号者优先）的经验。8有Windows内核驱动开发或内核安全攻防经验者优先。9有反病毒、反外挂、EDR、HIPS等安全产品核心研发经验者优先。10在知名安全会议或在安全社区、个人博客上发表过高质量技术文章者优先。11在CTF竞赛中取得过优异成绩者优先。.lakex-default-theme{--lakex-editor-background:#fff;--lakex-editor-background-primary:#fff;--lakex-editor-background-primary-hover:#EFF0F0;--lakex-editor-background-primary-hover-light:#E7E9E8;--lakex-editor-background-secondary:#FAFAFA;--lakex-editor-background-tertiary:#F4F5F5;--lakex-editor-background-foreground:#fff;--lakex-editor-border-light:rgba(0, 0, 0, 0.04);--lakex-editor-code-background:#0000000f;--lakex-editor-column-background-highlight:#D9…

【应急响应】挖矿病毒应急响应处置手册
type: item
date: 2026-01-18T14:00:18+08:00
description: 0x00 概述通常来说，当我们的服务器或PC资源(CPU)使用率接近或超过100%，并持续高居不下导致服务器或PC操作延缓，我们就可以判定被挖矿。常见挖矿其它特征如下：服务器或PC访问过不受信任的地址，这些地址包括：主机、IP、域名。这是由于大部分挖矿都需要从一个不受信任的地址下载初始化程序，而不受信任的来源主要是：第三方情报结构，企业内部历史数据沉淀。 服务器或PC新增异常或恶意文件、进程或服务，并且大部分异常文件保存在服务器或PC的TMP目录中。 服务器或PC的定时任务发生变更。0x01 了解基本情况1.1 如何发现挖矿木马显著的行为特征就是极大的占用CPU及GPU和硬盘资源主要包括：高CPU和GPU、硬盘使用率、响应速度慢、崩溃或频繁重新启动、系统过热、异常网络活动（例如，连接挖矿相关的网站或IP地址）。其次是在网络流量中，挖矿木马通信过程采用专门的通信协议，因此存在一定的网络通信特征，因为要连接矿池，网络特征较多的都是TCP。1.1.1 异常外联安全设备告警 流量监控设备 工作人员人工发现 ...事件发生时的状况或安全设备告警等，能帮助应急处置人员快速分析确定事件类型，方便前期准备。1.1.2 主机异常CPU、GPU占用过高 主机温度异常 其他异常可获取CPU占用过高进程信息1.2 事件的时间节点出现事件时间 发现事件时间 处置事件时间了解事件发生时间节点：出现事件时间、发现事件时间、处置事件时间，确定这三个时间节点后，可通过时间相关性推算挖矿病毒产生大致时间，有助于后续挖矿病毒发现及清理。1.3 临时处置情况了解挖矿病毒临时处置的情况，方便后期的排查1.4 网络拓扑情况获取网络构架，网络构架一般来讲是要拓补图，详细的拓扑图可以协助还原攻击流程时，准确定位网络连接方向。0x02 判断是否属于挖矿根据了解到的基本信息来判断和确认是否挖矿事件2.1 属于挖矿2.1.1 根据告警和流量信息初步判断挖矿类型在不影响主业务运行的情况下，拔掉受害主机网线，并且切断网络连接可使挖矿现场尽量保持完整，有助于接下来的溯源工作顺利开展。可以先根据告警和流量信息初步判断挖矿类型，在互联网收集相关情报，若有相关分析文章可提高事件处置效率。2.1.2 windows2.1.2.1 信息收集CPU占用打开 cmd 窗口，输入 resmon 命令，通过资源监视器，找出CPU占用过高的程序，找到PID和进程名。网络连接1、使用netstat -ano 命令查看目前的网络连接，定位可疑的 ESTABLISHED2、根据 netstat 命令定位出的 PID 编号，再通过 tasklist 命令进行进程定位 tasklist | findstr "PID"netstat -ano tasklist | findstr "PID"端口查看Windows服务所对应的端口：%systemroot%/system32/drivers/etc/services可疑用户【计算机管理】->【本地用户和组】->【用户】选项，可查看隐藏账户，名称以$结尾的为隐藏账户。打开 cmd 窗口，输入 lusrmgr.msc 命令，查看是否有新增或可疑的账号。也可通过D盾查看系统中是否存在影子账户。计划任务a、打开控制面板->任务计划，查看计划任务属性，排查异常任务计划。b、打开 cmd 窗口，然后输入 at，检查计算机与网络上的其它计算机之间的会话或计划任务，如有，则确认是否为正常连接。进程信息a、Win+R，输入 msinfo32 命令，依次点击 "软件环境 -- 正在运行任务" 可以查看到进程的详细信息。b、通过安全分析工具进行排查。启动项a、开始->所有程序->启动，默认情况下此目录在是一个空目录，确认是否有非业务程序在该目录下。b、Win+R，输入 msconfig，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。c、Win+R，输入 regedit，打开注册表，查看开机启动项是否正常，检查是否有启动异常的项目。HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonced、利用安全软件查看启动项、开机时间管理。服务服务也是挖矿病毒常见的守护方式之一，将注册表中服务启动方式写为挖矿病毒主程序，从而达到守护进程目的。Win+R，输入 services.msc，注意服务状态和启动类型，检查是否有异常服务…

360集团校招
type: item
date: 2026-01-15T01:36:03+08:00
description: 返回文档 助理安全研究员（漏洞挖掘与利用）（北京） 薪资：17-19k，15薪，具体可进一步沟通 投递方式：campus@360.cn 工作职责 1、深入研究软件、设备、系统、网络协议等某领域或多领域的安全漏洞，利用逆向工程、模糊测试、静态/动态代码分析等技术，主动发现并验证新的安全漏洞； 2、探索应用大语言模型（LLM）技术于Web与二进制领域的复杂漏洞挖掘，结合专业知识，设计构建相关自动化工具/流程； 3、研究前沿攻防技术，跟踪国内外安全动态与漏洞披露信息，复现漏洞，研究攻击手法和防御技术，持续提升公司的安全研究能力； 4、参与相关项目或课题，推动漏洞研究能力的价值转化。 任职资格 1、计算机科学、信息安全或相关领域本科及以上学历； 2、对Web和二进制安全漏洞有一定的认知，具备一定的逆向分析能力和研究能力，熟练使用常见工具，如：IDA、WinDbg、GDB等； 3、熟练掌握C/C++/Python等至少一种语言，熟悉X86或ARM汇编指令，有扎实的编程基础； 4、对漏洞挖掘与利用感兴趣，有热情和自我驱动力，有一定的抗压能力和较强的团队协作精神。 以上职位满足以下至少一项条件者优先录用： 1、参加过天府杯、Pwn2Own等赛事，并成功攻破目标，作为CTF主力选手取得过优秀的成绩。 2、在有影响力的业界会议（学术/工业）上发表论文； 3、有独立挖掘漏洞的经验，获得过主流厂商的CVE编号； 4、通过使用/定制/自研工具发现有效漏洞； 安全研究员（Windows方向）（北京） 薪资：17-19k，15薪，具体可进一步沟通 投递方式：campus@360.cn 工作职责 1持续跟踪并深入分析最新的Windows平台漏洞，研究其根本原理、高级利用技术及有效的缓解措施。 2研究和复现野外流行的攻击手法、APT攻击中使用的先进技术，特别是针对杀毒软件、EDR等安全产品的绕过技术（如白利用、无文件攻击、内存驻留、EDR盲点等）。 3基于研究成果，设计和开发创新的威胁检测模型和主动防御方案，并将其工程化，落地到实际的安全产品中，提升产品的核心检测与防护能力。 任职资格 1计算机科学、信息安全、网络工程或相关专业本科及以上学历。 2精通C/C++编程，熟悉Python等脚本语言，具备扎实的Windows平台开发能力（如Win32 API, Native API）。 3熟练掌握x86/x64汇编语言，能够熟练使用IDA Pro, WinDbg, x64dbg等工具进行静态分析和动态调试。 4深入理解Windows操作系统内核机制，包括内存管理、进程/线程调度、对象管理、文件系统、驱动模型等。 5对主流的漏洞利用技术（如ROP, JOP, 堆利用等）及相应的防御和绕过技术（如ASLR, DEP, CFG bypass）有深入的理解。 6对安全研究抱有浓厚兴趣和热情，具备强烈的自我驱动力、好奇心和优秀的学习能力，能够独立解决复杂技术问题。 加分项（满足以下一项或多项者优先）： 7有独立发现并分析过漏洞（有CVE编号者优先）的经验。 8有Windows内核驱动开发或内核安全攻防经验者优先。 9有反病毒、反外挂、EDR、HIPS等安全产品核心研发经验者优先。 10在知名安全会议或在安全社区、个人博客上发表过高质量技术文章者优先。 11在CTF竞赛中取得过优异成绩者优先。 ​

360集团校招
type: item
date: 2026-01-14T16:28:53+08:00
description: 返回文档 助理安全研究员（漏洞挖掘与利用）（北京） 薪资：17-19k，15薪，具体可进一步沟通 投递方式：campus@360.cn 工作职责 1、深入研究软件、设备、系统、网络协议等某领域或多领域的安全漏洞，利用逆向工程、模糊测试、静态/动态代码分析等技术，主动发现并验证新的安全漏洞； 2、探索应用大语言模型（LLM）技术于Web与二进制领域的复杂漏洞挖掘，结合专业知识，设计构建相关自动化工具/流程； 3、研究前沿攻防技术，跟踪国内外安全动态与漏洞披露信息，复现漏洞，研究攻击手法和防御技术，持续提升公司的安全研究能力； 4、参与相关项目或课题，推动漏洞研究能力的价值转化。 任职资格 1、计算机科学、信息安全或相关领域本科及以上学历； 2、对Web和二进制安全漏洞有一定的认知，具备一定的逆向分析能力和研究能力，熟练使用常见工具，如：IDA、WinDbg、GDB等； 3、熟练掌握C/C++/Python等至少一种语言，熟悉X86或ARM汇编指令，有扎实的编程基础； 4、对漏洞挖掘与利用感兴趣，有热情和自我驱动力，有一定的抗压能力和较强的团队协作精神。 以上职位满足以下至少一项条件者优先录用： 1、参加过天府杯、Pwn2Own等赛事，并成功攻破目标，作为CTF主力选手取得过优秀的成绩。 2、在有影响力的业界会议（学术/工业）上发表论文； 3、有独立挖掘漏洞的经验，获得过主流厂商的CVE编号； 4、通过使用/定制/自研工具发现有效漏洞； 安全研究员（Windows方向）（北京） 薪资：17-19k，15薪，具体可进一步沟通 投递方式：campus@360.cn 工作职责 1持续跟踪并深入分析最新的Windows平台漏洞，研究其根本原理、高级利用技术及有效的缓解措施。 2研究和复现野外流行的攻击手法、APT攻击中使用的先进技术，特别是针对杀毒软件、EDR等安全产品的绕过技术（如白利用、无文件攻击、内存驻留、EDR盲点等）。 3基于研究成果，设计和开发创新的威胁检测模型和主动防御方案，并将其工程化，落地到实际的安全产品中，提升产品的核心检测与防护能力。 任职资格 1计算机科学、信息安全、网络工程或相关专业本科及以上学历。 2精通C/C++编程，熟悉Python等脚本语言，具备扎实的Windows平台开发能力（如Win32 API, Native API）。 3熟练掌握x86/x64汇编语言，能够熟练使用IDA Pro, WinDbg, x64dbg等工具进行静态分析和动态调试。 4深入理解Windows操作系统内核机制，包括内存管理、进程/线程调度、对象管理、文件系统、驱动模型等。 5对主流的漏洞利用技术（如ROP, JOP, 堆利用等）及相应的防御和绕过技术（如ASLR, DEP, CFG bypass）有深入的理解。 6对安全研究抱有浓厚兴趣和热情，具备强烈的自我驱动力、好奇心和优秀的学习能力，能够独立解决复杂技术问题。 加分项（满足以下一项或多项者优先）： 7有独立发现并分析过漏洞（有CVE编号者优先）的经验。 8有Windows内核驱动开发或内核安全攻防经验者优先。 9有反病毒、反外挂、EDR、HIPS等安全产品核心研发经验者优先。 10在知名安全会议或在安全社区、个人博客上发表过高质量技术文章者优先。 11在CTF竞赛中取得过优异成绩者优先。 ​

担心流氓软件扫盘？详解沙盒软件 Sandboxie Plus
type: item
date: 2026-01-07T19:02:32+08:00
description: 事因看到了之前佬友发帖推荐一个专门用来安装国产应用的沙盒软件 Sandboxie-plus ，本人有隐私洁癖又懒得搞两台机器，于是稍微深入研究了一下这个沙盒软件，用了一段时间感觉还不错，来跟佬友分享一下使用方式。为了方便查阅，我会把速通教程和注意事项放在前面，关于 Sandboxie 证书区别 / 沙箱区别 / 具体功能的详解会放在后面。声明：全文链接不包含 AFF。未经许可不允许转载。为什么要用沙盒？因为有些软件会偷偷扫盘 / 监听剪贴板。或者下载了不明来历的程序，担心其偷偷篡改系统设置和重要文件。而众所周知 Windows 的系统机制默认并不会阻止这些行为。有时虽然没到扫盘 / 监听那么严重，但退出应用后还有进程残留的软件其实也不在少数。总之如果你对软件掌控欲比较强 / 不信任某些软件 / 单纯有隐私洁癖，都可以考虑使用看看。另外这篇文章也会介绍 Sandboxie 里不同安全和隐私级别的沙箱，也许总有一款适合你。为什么不选其他方案？VM 虚拟机要开一个系统，开起来太吃资源，如果拿来日常跑一个或几个小软件未免太奢侈本地多用户 + 手动权限控制，太硬核太麻烦不适合本懒人Sandboxie Plus 特点非常轻量，启动极快，占用 CPU 和内存很小图形化界面算友好，有很细节的设置选项（反面来说也非常复杂，小白研究起来很不友好，这也是为什么浅写这篇教程的原因）沙盒内数据可以持久化，可以跑日常软件诸如微信 QQ 度盘等等，不会丢失记录会装载底层驱动和服务，因此会触发某些严格的游戏反作弊机制，详见速通配置注意事项及解决方法Github 自编译门槛非常高。非常建议直接付费买证书，详见各证书可使用的沙箱一览和购买渠道与注意事项速通教程（以微信为例）以下均以付费版蓝箱为例安装官网下载最新版本 Sandboxie-Plus.exe。注意不是 Sandboxie-Classic，详见 Sandboxie Plus和Classic的区别。除非你有特定需求，否则安装的时候不建议勾选提取全部文件以备便携化使用，选了的话会被频繁请求管理员权限。用途选个人，商业要买超贵凭证。另外要注意这个选项选定后，后续不能再更改。其他默认即可。付费认证菜单栏选项-全局设置-左侧栏捐赠支持-Sandboxie支持，将获得的密钥填入输入框内，点击应用和 OK。认证成功后，输入框底色会变成浅绿色，即可解锁高级功能。设置沙盒左上角沙箱-创建沙箱，输入沙箱名字，选择蓝色的具有数据保护的沙箱。考虑到后续希望单独控制每个软件的访问范围，建议一个软件给一个单独的沙箱。对着新建的沙箱双击或右键-沙箱选项，打开沙箱的设置。然后在左侧栏最底部找到配置文本，将里面默认的配置清空，并复制以下配置到配置文本里。注意修改 ForceFolder 和 OpenFilePath 中的路径！！Enabled=y BlockNetworkFiles=y BorderColor=#7f0055,ttl,3,192 Template=AutoRecoverIgnore Template=LingerPrograms Template=BlockPorts Template=qWave Template=FileCopy Template=SkipHook Template=OpenBluetooth Template=BlockAccessWMI Template=HideInstalledPrograms ConfigLevel=10 UseFileDeleteV2=y UseRegDeleteV2=y AutoRecover=y CopyLimitKb=-1 NeverRemove=y ForceProcess=Weixin.exe ForceFolder=E:\Program Files\Tencent\Weixin HideNonSystemProcesses=y UsePrivacyMode=y BoxNameTitle=- LingerExemptWnds=n LingerLeniency=n OpenFilePath=E:\Users\电脑用户名\xwechat_files OpenFilePath=C:\Users\电脑用户名\AppData\Roaming\Tencent OpenFilePath=E:\Program Files\Tencent OpenFilePath=C:\ProgramData\Tencent OpenFilePath=E:\Users\电脑用户名\Documents\WeChat Files HideFirmwareInfo=y RandomRegUID=y HideDiskSerialNumber=y HideNetworkAdapterMAC=y Custom…