+```
+
+loadImage
+的 URL 接受一个filename
+参数并返回指定文件的内容。图像文件本身存储在磁盘上的位置/var/www/images/
+中。为了返回图像，应用程序将请求的文件名追加到这个基目录，并使用文件系统 API 读取文件的内容。在上述情况中，应用程序将读取以下文件路径：
+```
+/var/www/images/218.png
+```
+
+该应用程序未对目录遍历攻击实施任何防御，因此攻击者可以请求以下 URL 并从服务器的文件系统中检索任意文件：
+```
+https://insecure-website.com/loadImage?filename=../../../etc/passwd
+```
+
+这将导致应用程序读取以下文件路径：
+```
+/var/www/images/../../../etc/passwd
+```
+
+序列../
+在文件路径中有效，表示在目录结构中向上提升一级。连续三个../
+序列将会从/var/www/images/
+一直上升到文件系统根目录，因此实际读取的文件是：
+```
+/etc/passwd
+```
+
+在基于 Unix 的操作系统上，这是一个标准文件，其中包含 在服务器上注册的用户详细信息。
+
+在 Windows 上，../
+和..\
+两者都是有效的目录遍历序列，用于检索标准操作系统文件的等效攻击是：
+```
+https://insecure-website.com/loadImage?filename=..\..\..\windows\win.ini
+```
+### 实验 1 ：文件路径遍历，简单案例
+
+打开图片路径
+filename直接以文件名作为用户输入，使用相对路径，修改filename即可
+
+## 1.3 利用文件路径遍历漏洞时的常见阻碍
+### 实验2 ：文件路径遍历，使用绝对路径旁路阻止遍历序列
+
+许多将用户输入放置到文件路径中的应用程序实现了某种针对路径遍历攻击的防御，从而规避这些攻击。
+
+如果应用程序从用户提供的文件名中 剥离或阻止目录遍历序列，则可以使用各种技术绕过防御。
+
+您可以使用文件系统根目录中的绝对路径（例如filename=/etc/passwd
+）来直接引用文件，而无需使用任何遍历序列。
+
+同理，但是是利用绝对路径
+
+### 实验3：文件路径遍历，非递归剥离遍历序列
+
+有时，你可以使用嵌套的遍历序列，例如....//
+或....\/
+，当内部序列被剥离时，这些序列将恢复为简单的遍历序列。（双写绕过）
+
+```
+....//....//....//etc/passwd
+```
+## 实验4：文件路径遍历，遍历序列剥离多余的URL解码
+
+在某些情况下，例如在 URL 路径或 multipart/form-data
+ 请求的filename
+参数中，Web 服务器可能会在将输入传递到应用程序之前，剥离任何目录遍历序列。
+
+你有时可以通过 URL 编码，甚至双 URL 编码，基于../
+字符，分别生成%2e%2e%2f
+或%252e%252e%252f
+，从而绕过这种防护。还有各种非标准编码 也可以解决该问题，例如..%c0%af
+或..%ef%bc%8f
+。
+
+对于
+BurpSuite专业版 (opens new window)
+的用户，Burp Intruder 提供了一个预定义的有效负载列表（**Fuzzing - path traversal**
+），其中包含各种 编码后的路径遍历序列。
+
+前面步骤就不重复说了，直接将包发送到intruder
+BurpSuite 内置了一些常用字典，选择其中的 “Fuzzing - path traversal” ，这是用于路径遍历漏洞的模糊测试字典。
+找到 “Payload encoding” 配置项，将其中的 √ 取消勾选（默认是启用的）。 因为目录遍历的 攻击载荷 存在特殊字符，要防止其被编码。
+成功
+拿去decode解码一下，发现进行了二次编码
+将hosts改成passwd即可通过实验。
+## 实验5：文件路径遍历，路径开始验证
+
+如果应用程序要求用户提供的文件名，必须以预期的基文件夹（例如/var/www/images
+）开头，则可以包含所需的基文件夹，然后再加上合适的遍历序列。例如：
+```
+filename=/var/www/images/../../../etc/passwd
+```
+
+
+
+### 实验6：文件路径遍历-空字符绕过
+
+如果应用程序要求用户提供的文件名，必须以预期的文件扩展名（例如.png
+）结尾，则可以使用空字符，在所需扩展名之前 有效地终止文件路径。例如：
+```
+filename=../../../etc/passwd%00.png
+```
+
+添加多个扩展名，响应 无此文件
+
+
+在两个扩展名之间添加空字符，例如%00
+，形成41.jpg%00.jpg，图片正常显示。 说明第二个扩展名被忽略了，应用程序只识别了前面的
+65.jpg`。
+
+
+同理，直接访问，../../../../etc/passwd显示无此文件
+添加 空字符和扩展名，例如%00.jpg
+。
+
+## 1.4 如何防范目录遍历攻击
+
+防范文件路径遍历漏洞的最有效方法是，避免将用户提供的输入完全传递给文件系统 API。可以重写许多应用程序的操作函数，以更安全的方式提供相同的行为。
+
+如果认为 将用户提供的输入 传递到文件系统 API 是不可避免的，则应该同时使用两层防御来防范攻击：
+- 应用程序应该在 处理用户输入之前 对其进行验证。理想情况下，验证应该与白名单进行比较。如果所需的功能无法实现这一点，则应该验证输入 是否仅包含允许的内容，例如纯字母 / 数字 / 字符。
+
+- 在验证提供的输入之后，应用程序应该将输入追加到基目录，并使用平台文件系统 API 规范化路径。它应验证规范化的路径 是否以预期的基目录开头。
+
+下面是一些简单的 Java 代码示例，用于 根据用户的输入 验证文件的规范路径：
+```
+File file = new File(BASE_DIRECTORY, userInput);if (file.getCanonicalPath().startsWith(BASE_DIRECTORY)) { // process file}
+```
+
+
+
diff --git a/doc/创新终端主动防护-多种通用0day漏洞检测方案.md b/doc/创新终端主动防护-多种通用0day漏洞检测方案.md
new file mode 100644
index 00000000..81332d31
--- /dev/null
+++ b/doc/创新终端主动防护-多种通用0day漏洞检测方案.md
@@ -0,0 +1,238 @@
+# 创新终端主动防护-多种通用0day漏洞检测方案
+原创 xiaoliangliu xiaoliangliu 2025-02-01 03:08
+
+2019 可能会是过去十年里最差的一年，但却是未来十年里最好的一年。没想到日子这么快已经2025
+，祝福大家新年快乐，我写了一篇关于0day漏洞检测的技术文章进行开源分享，供互相交流学习。
+
+## 摘要
+
+在真实世界中，APT组织使用0day/Nday进行一系列攻击的比例居高不下，在企业安全的角度，我们必须开发一套0day检测系统去检测0day漏洞，抵御未知的威胁。根据google的在野漏洞报告，我们研究出了针对windows内核提权漏洞，windows服务提权漏洞，chrome v8远程执行漏洞等的一套组合式0day漏洞检测系统，帮助我们检测0day，抵御风险。在多年的对抗中我们检测到了CVE-2023-21768 windows 内核0day漏洞，和其他若干的Nday漏洞，比如CLFS内核漏洞，V8 RCE漏洞等。
+
+
+
+ 在这次演讲中我们首先会分享多个方向的漏洞利用手法，其次会分享构造一套0day检测系统的方法论，其中会说明我们的0day漏洞检测方法和运营方法。最后我们会分享检测到的0day/nday漏洞样本，还会介绍一个我们捕获到的APT组织，并且介绍该组织是如何利用漏洞实现完整攻击。同时还会分享在甲方构造一套企业级的0day漏洞检测系统的经验，以及为什么我们能检测到0day的原因，期望能给业界一些灵感和思路。
+## 1. 0day漏洞攻击趋势
+
+ APT攻击愈演愈烈,近几年发生了一系列的勒索，漏洞攻击事件。2019到2023年间 0day漏洞攻击趋势一直呈现上涨趋势，APT组织利用0day漏洞攻击的比例越来越高，企业非常有必要去防御0day攻击。如下是总结google在野0day表格得到的0day攻击统计图，在后续我们会讲解主要的0day攻击和防御方式。
+
+
+## 2. 漏洞利用方式总结
+### 2.1.Windows内核提权漏洞利用方式
+
+近3-5年内公开了一系列Windows内核提权漏洞的任意读写函数，主要来自于在野漏洞的公布和研究员的分享，比如NtUpdateWnfStateData/NtQueryWnfStateData,SubmitIoRing。 借助这些函数我们可以把当前token地址提高到system token地址或者更改token的privilge count，同时一种叫更改previousmode的技术被APT组织越来越多的使用，该项技术被用来绕过内核对应用层参数的检查，进而借助NtReadVirtualMemory/NtWriteVirtualMemory等类似的函数实现任意读写。当然还有Pipe Attribute的面世也引领了内核提权漏洞的进步，我们把一系列有代表性的任意读写函数和CVEs做了总结。这些函数的共同特点是都可以利用漏洞实现任意读写达到提高权限的目的。值得一提的是我们捕获到的0day样本CVE-2023-21768 并没有使用任何的读写原语。
+win11 |