胡言乱语 计算机科学领域的任何问题都可以通过增加一个间接的中间层来解决。 Isolation Level from High To Low Virtual Machine → Kata Container → gVisor → Container → JVM (Java Virtual Machine) Hardware Simulation → Hypervisor (KVM) → Kernel In Userspace → Namespcae + Cgroups + Chroot → Apps Sandbox Overview 沙盒(Sandbox)技术是一种通过创建隔离的执行环境来运行程序或代码的方式，用于实现资源隔离以创造安全的运行时环境，使得可以在信任域内的机器执行不受信的用户代码或程序。沙箱能够限制程序的行为，有效防止程序运行过程中对主机系统造成的潜在损害。 机器级虚拟

最近在学习云原生最佳安全实践，其中提到了 k8s 中的认证与授权模块，为了加深理解以及有对 k8s 源码阅读的计划，便诞生了这个[✨探索系列]。我们将从需求出发看看为什么这个系统需要设计成这个样子，这个模块以及在源码层面是何如实现的，这样的实现有什么亮点以及工程考量，不仅如此，在这个过程中我们还会着重关注其中与安全相关的细节，关注系统的全貌，重现思考安全系统的构建。 🌠 我是谁？我能做什么？—— 认证与授权 认证和授权是

👾 网络拓扑 TargetIP: 10.10.11.208 PrivateIP: 10.10.14.31 🏞️ 渗透环境搭建 Kali Linux In VM 🧐 开始渗透！ 本期工具以及信息站点使用：nmap, chatGPT, Wappalyzer, hacktricks, docker Documentation, gtfobins 🔎 前期信息收集 我们当前的信息只有一个目标机器的IP地址，我们考虑使用Nmap对目标机器进行一个端口扫描以及服务探测以进行前期的信息收集过程。 1 nmap -p- --open -sS -n -Pn -oN nmap/busqueda 10.10.11.208 -p-: 这个选项指示Nmap扫描所有的端口号，而不仅仅是默认的一些常见端口。 --open: 这个选项告诉Nmap只显示开放的端口，即响应连接请求的端口。 -sS: 这个

背景知识 在第 29 届的 DEFCON 会议上，来自 Lacework 的 Rex Guo 与 LinkedIn 的 Junyuan Zeng 分享了以他们关于利用内核从用户态拷贝数据到内核态的过程中，由于某些 Runtime Security 产品选择了不合适的 Probes 插入位置，存在 TOCTOU 问题，进而能够欺骗探针，绕过 Runtime Security 产品的 Policy Enforcement，进而达成攻击者进行恶意活动的目的。 另外，分享者还介绍了 Semantic confusion，一种利用内核与跟踪程序对数据语义解释的歧义实现的攻击方式，这与在 Usenix Security'22 会议上获得最佳论文奖的 Identity Confusion in WebView-based Mobile App-in-app Ecosystems

关于笔者 目前，笔者还是一名在校大学生，就读于信息安全专业，对云原生安全、分布式系统、观测领域有较大的兴趣。因而小站上的很多文章都是萌新学习踩坑的经验分享，更多的是“玩”的心态向优秀、有趣的项目，学习其设计思路、编码风格、文档编写、开源社区/团队协作方面的知识，并辅以自己小小的见解。作为一名还未有充分经验的用户，文章中难免有所纰漏，还望能够与大家交流学习，共勉。 在 K8s 集群上部署 Cilium 与 Hubble 近段时间一直在思考

说在前面 🐹 WIP Go 运行时行为 🐹 WIP GC 触发时机 GC 触发的入口为 runtime.gcStart() 垃圾收集被触发后会通过 runtime.gcTrigger.test() 方法检测当前是否需要触发垃圾收集，该方法会根据三种方式触发不同的检查， gcTriggerHeap：堆内存分配达到控制器计算的触发堆大小 gcTriggerTime：如果一段时间内没有触发，就会触发新一轮的循环，该触发条件由 runtime.forcegcperiod 变量控制，默认时间为 2 分钟 gcTriggerperiod：如果当前没有开启垃圾收集，则触发新的循环 所