招聘资深安全工程师、安全专家或高级安全专家，岗位隶属于组织架构【阿里巴巴安全事业部-研究院-前沿安全技术研究】，
工作地点 杭州，极具行业竞争力的待遇，符合以下要求欢迎发送简历到4700012(aite}qq.com，也欢迎推荐，需要在2015年4月前能入职。
安全专家（漏洞挖掘方向）
1、曾经独立挖掘/分析出多个大型网站应用的漏洞、服务器应用程序漏洞或操作系统应用程序漏洞，对漏洞挖掘技术有清晰的认知。
2、熟悉最新各种知名漏洞的原理，并拥有大量深入跟踪挖掘的经验和思路。
3、熟练使用包括但不限于java、PHP、python、C#、C++等常用编程语言两门以上，熟练mssql、mysql、oracle等常用数据库，能够自己写程序解决问题。
4、有良好的工作心态，愿意协同同事完成工作。
5、有创新精神，有追求完美的品质，愿意主动改进工作流程，有学习心态，能够不断强化自己。[……]
有朋友聊天，我才想起来这篇预警。
这个漏洞非常凶残，使用J2EE框架的，基本都被X了。只要是个J2EE的网站，这个漏洞必须打补丁，否则等死。[……]
2012年，我在《攻击JAVA WEB》，文中提多关于“classLoader导致特定环境下的DOS漏洞”，当时并没有更加深入的说明，这几天struts官方修补了这个漏洞，本文是对这个漏洞的深入研究。[……]
我突然想起来，当初给XCON2012的时候，因“忘记了”所以没有提到的一个问题，是个JBOSS远程代码执行的漏洞。国内貌似没有看到翻译和使用指南。时间过了这么久，居然真的就忘记了。[……]
可能是由于沟通问题，导致struts2官方对我提交的S2-012漏洞名称理解错误，漏洞描述为struts2的某个示例应用出现漏洞，但是struts2是按照框架出现漏洞修补的。而这个s2-012的发布竟然引发了一连串血案。[……]
《使用hadoop做分布式暴力破解》
内容简介：
花大量时间讲了一下阿里的hadoop有多牛逼，最后我在上面执行了一条sql。
阿里安全团队正在校招，请自行寻找投递方式，只要过了阿里的面试，你也有机会也在上面执行一条SQL。[……]
我服了struts2的官方，升级新的版本，从源码上做文件对比，代码没有做任何变化。
看来我让大家等补丁，是坑了大家。
疑似struts2的开发人员粗心，没把新版本更新，只是发布了版本号。
发个临时补丁给大家顶一下吧。[……]
Apache官方的struts2产品，最近出了一个远程代码执行漏洞，编号“S2-013”，目前是0DAY，官方没有修补方案出现。
[……]
1月份，SEC Cousult发布了一篇关于struts2漏洞的文章，写到4个struts2的最新漏洞。一个漏洞可以做远程代码执行，一个漏洞引出了新的远程代码执行，一个漏洞曾经我在blog上发布过（没有投CVE），以及一个之前也曾看到过，但是认为是鸡肋的漏洞。本文是对这几个漏洞的分析。[……]