文章庫ARTICLE COLUMN
摘要：隨機(jī)生成算法太弱。假設(shè)小明同學(xué)在這個(gè)時(shí)間點(diǎn)登錄了應(yīng)用，那么中，除去了時(shí)間戳外就只有是破解的變量了。只需猜次即可獲取小明的賬戶權(quán)限。登錄驗(yàn)證憑具來源樂吧隨機(jī)算法在安全中的重要性 在展開文章之前，先給大家看一段代碼: 坑 is here ...
摘要：人工排查肯定比較麻煩，建議開發(fā)者使用阿里聚安全提供的安全掃描服務(wù)，在上線前進(jìn)行自動(dòng)化的安全掃描，盡早發(fā)現(xiàn)并規(guī)避這樣的風(fēng)險(xiǎn)。 作者：伊樵、呆狐@阿里聚安全 1 Content Provider組件簡介 Content Provider組件是Android應(yīng)用的重要組件之一，管理對...
摘要：記錄自余弦在上的演講程序員與黑客防御就是提高攻擊的成本架構(gòu)思想一黑客思維應(yīng)該貫穿整個(gè)公司的業(yè)務(wù)架構(gòu)研發(fā)運(yùn)維理想狀態(tài)技術(shù)團(tuán)隊(duì)每個(gè)人都有黑客思維思想二優(yōu)美的架構(gòu)一定是健壯的想象下生態(tài)系統(tǒng)有漏洞被黑很正?？焖僮杂顷P(guān)鍵思想三優(yōu)美的架構(gòu)一定 ...
摘要：探測端口開放原理就是向目標(biāo)發(fā)送請求，看是否有回應(yīng)。端口判定為不通。掃描批量目標(biāo)掃描批量目標(biāo)使用的并發(fā)隊(duì)列功能，去執(zhí)行的執(zhí)行單個(gè)任務(wù)，在掃描前做了一些額外的工作把瀏覽器屏蔽的端口過濾掉了，收到的狀態(tài)就是。 0×00 前言 前兩天 freebuf上的...
摘要：安裝打開配置文件，進(jìn)行配置寫入到這里，就是我個(gè)人從上次被黑當(dāng)中總結(jié)的一些基本的服務(wù)器安全，而至于群里大神說的跳板機(jī)的方案，容我再消化消化再嘗試部署起來?？偨Y(jié)服務(wù)一些基本的安全配置得跟上。服務(wù)器一旦被入侵，不急。 首先，VPS 服務(wù)器被黑怎...
摘要：中國銀行某站存在命令執(zhí)行漏洞愛奇藝主站某處漏洞可導(dǎo)致任意文件讀取某平臺配置不當(dāng)導(dǎo)致數(shù)據(jù)泄露在上，總能發(fā)現(xiàn)很多類似的漏洞提交，而這些，都?xì)w功于白帽子作出的貢獻(xiàn)。經(jīng)確認(rèn)并評出漏洞等級后級為最高，我們會(huì)送出相應(yīng)的獎(jiǎng)品表示特別的感謝。 showIm...
摘要：在本文的第一部分，我們了解了網(wǎng)絡(luò)瀏覽器所存儲的與用戶相關(guān)的信息與數(shù)據(jù)。如何對用戶產(chǎn)生影響計(jì)算機(jī)存儲的大部分?jǐn)?shù)據(jù)看起來都沒什么危害，當(dāng)然，由網(wǎng)絡(luò)瀏覽器通過自動(dòng)完成功能在有意無意間存儲的信用卡號與賬單信息除外。 【編者按】本文最早發(fā)布于 S...
摘要：是否修改成功可以通過查看隨后我們需要確定目標(biāo)函數(shù)的地址，這個(gè)有兩種方法。如果目標(biāo)程序本身沒有被的話，那些都是存在的，因此可以使用和等方法來獲取目標(biāo)函數(shù)地址。 0x00 序 隨著移動(dòng)安全越來越火，各種調(diào)試工具也都層出不窮，但因?yàn)榄h(huán)境和需求的不...
摘要：阿里聚安全的應(yīng)用漏洞掃描服務(wù)，可以檢測出應(yīng)用的文件目錄遍歷風(fēng)險(xiǎn)。阿里聚安全對開發(fā)者建議對重要的壓縮包文件進(jìn)行數(shù)字簽名校驗(yàn)，校驗(yàn)通過才進(jìn)行解壓。 1、ZIP文件目錄遍歷簡介 因?yàn)閆IP壓縮包文件中允許存在../的字符串，攻擊者可以利用多個(gè)../...
摘要：三刷榜僵尸分析應(yīng)用是主包解密后植入到系統(tǒng)目錄的應(yīng)用，該應(yīng)用是一款轉(zhuǎn)用于惡意刷榜的病毒，利用用戶設(shè)備賬戶信息作為刷榜僵尸，完成對控制端指定應(yīng)用的惡意刷榜。 作者：逆巴、如凌@阿里聚安全 背景： 隨著移動(dòng)端應(yīng)用市場數(shù)量爆炸式增長，App推廣和曝...
摘要：梆梆安全梆梆的整體流程和其他的差不多，可以選擇安全評估和應(yīng)用加固是否同時(shí)進(jìn)行。其中對速度影響最大的是梆梆安全。通過這次的評測，可以發(fā)現(xiàn)測試的應(yīng)用采用通付盾的加固后，兼容性出現(xiàn)了大幅度下降只有。 前言：由于安卓APP是基于Java的，所以極容...
摘要：公司最近一份題為選擇成為年首席信息安全官還是選擇滅亡的報(bào)告強(qiáng)調(diào)，首席信息安全官的角色正在向?qū)Ｓ谧兏芾砼c過程監(jiān)督的業(yè)務(wù)經(jīng)理轉(zhuǎn)變。新的信息安全職業(yè)道路對于造就新一代的安全領(lǐng)導(dǎo)者是必需的。 隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的高速發(fā)展，一個(gè)企業(yè)的安全狀況...
摘要：是一個(gè)有趣的實(shí)例，他們使用的是自動(dòng)化技術(shù)，同時(shí)結(jié)合了自動(dòng)化工作流程進(jìn)行人工檢查，從而保證零誤報(bào)率，且業(yè)務(wù)邏輯測試達(dá)到的類覆蓋率。 而今，大多數(shù)應(yīng)用都依賴于像入侵防護(hù)系統(tǒng)（Instrusion Prevention System）和 Web 應(yīng)用防火墻（Web Application...
摘要：在十年未變安全，誰之責(zé)上中，我們介紹了安全領(lǐng)域的現(xiàn)狀和新的解決方案，那么究竟是什么它在應(yīng)用安全多變的今天又能帶給我們什么樣效果我們將通過何種方式才能打贏這場與黑客之間的攻堅(jiān)戰(zhàn)呢應(yīng)用安全行業(yè)快速發(fā)展的數(shù)十年間，出現(xiàn)了許多巨變。 在 十年...
摘要：在服務(wù)器做出響應(yīng)時(shí)，為了提高安全性，在響應(yīng)頭中可以使用的各種響應(yīng)頭字段。用于防止等跨站腳本攻擊。用于防止跨站腳本攻擊或數(shù)據(jù)注入攻擊但是，如果設(shè)定不當(dāng)，則網(wǎng)站中的部分腳本代碼有可能失效。用于指定所有子域名同樣使用該策略。 在 Web 服務(wù)器...
摘要：許多公司都投資于或之類的靜態(tài)分析安全測試，解決方案。用靜態(tài)分析方法確保編程安全一書詳細(xì)描述了靜態(tài)分析技術(shù)的基本原理。博士將靜態(tài)分析無法找出的諸多安全問題歸為瑕疵，而非程序錯(cuò)誤。 靜態(tài)分析安全測試（SAST）是指不運(yùn)行被測程序本身，僅通過分...
摘要：曾提出一份報(bào)告，針對機(jī)構(gòu)應(yīng)該如何優(yōu)先管理積極風(fēng)險(xiǎn)的問題，提出了考慮將作為企業(yè)應(yīng)用程序安全的主流選擇的建議。的設(shè)計(jì)目的是實(shí)時(shí)消除惡意應(yīng)用程序行為，并發(fā)出警報(bào)來提醒組織優(yōu)先處理關(guān)鍵事務(wù)。 Aberdeen 曾提出一份報(bào)告，針對機(jī)構(gòu)應(yīng)該如何優(yōu)先管理...
摘要：本文分析了生成用于加密的隨機(jī)數(shù)的相關(guān)問題。沒有提供一種簡單的機(jī)制來生成密碼學(xué)上強(qiáng)壯的隨機(jī)數(shù)，但是通過引入幾個(gè)函數(shù)來解決了這個(gè)問題。呢缺省情況下，不提供強(qiáng)壯的隨機(jī)數(shù)發(fā)生器。如果你想要使用可靠的隨機(jī)數(shù)據(jù)源，如你在本文所見，建議盡快使用和 ...
摘要：條件語句這是最容易進(jìn)行防御性編程的地方之一，也是最容易滿足的地方。語法和命名的一致性一致性是一個(gè)灰色地帶它更多的是關(guān)于編碼標(biāo)準(zhǔn)之類的，但它和防御性編程也有聯(lián)系。假設(shè)是具有防御性編程習(xí)慣的程序員最大的敵人。 菲納格動(dòng)態(tài)逆定律： 會(huì)出錯(cuò)的...
摘要：高效的應(yīng)用安全以三個(gè)強(qiáng)大的應(yīng)用安全引擎，分別是模式識別會(huì)話保護(hù)和簽名庫。同時(shí)，探針采用的模式識別應(yīng)用安全引擎能有效防護(hù)前文提到的攻擊，以及許多其他攻擊。 自從 Web 應(yīng)用能給訪問者提供豐富的內(nèi)容之后，黑客們就把目光轉(zhuǎn)向任何他們能夠破壞，...
摘要：根據(jù)年的報(bào)告看一下都有哪些常見攻擊。來自安全測試之有這么個(gè)網(wǎng)頁，查詢的結(jié)果和查詢的關(guān)鍵字都會(huì)顯示到網(wǎng)頁上。安全是個(gè)大領(lǐng)域，暫時(shí)先到這里，以后有時(shí)間再總結(jié)寫別的。安全測試之拒絕服務(wù)攻擊知乎討論淺談攻擊方式 搞web離不開security這個(gè)話題，...
摘要：注入攻擊將注入攻擊和跨站腳本攻擊列入網(wǎng)絡(luò)應(yīng)用程序十大常見安全風(fēng)險(xiǎn)。這種類別的攻擊包括跨站腳本攻擊注入攻擊頭部注入攻擊日志注入攻擊和全路徑暴露。注入攻擊目前最常見的注入攻擊形式是臭名昭著的注入攻擊。 注入攻擊 OWASP將注入攻擊和跨站腳本攻...
摘要：文件完整性監(jiān)測持續(xù)監(jiān)控您的云服務(wù)器，保護(hù)重要的系統(tǒng)二進(jìn)制文件和配置文件不會(huì)受到未經(jīng)授權(quán)的或惡意的變更。首先會(huì)記錄下云服務(wù)器系統(tǒng)的清潔狀態(tài)，作為基準(zhǔn)。您可以通過一個(gè)在線管理控制臺，監(jiān)控所有的云服務(wù)器。 DEVSECOPS 所面臨的挑戰(zhàn) 敏捷開發(fā)和 ...
摘要：瀏覽器的同源策略并不能夠避免來自于惡意站點(diǎn)的提交。為了保證輸入數(shù)據(jù)的完整性，服務(wù)器端務(wù)必要進(jìn)行數(shù)據(jù)校驗(yàn)。輸入驗(yàn)證即是保證實(shí)際輸入與應(yīng)用預(yù)期的輸入的一致性。因此驗(yàn)證輸入時(shí)保證系統(tǒng)安全性與防衛(wèi)危險(xiǎn)的第一道防線。 Github Repo：https://gith...
摘要：安卓滲透框架架構(gòu)淺析架構(gòu)組成和自定義模塊標(biāo)簽空格分隔簡介是開發(fā)的一款針對系統(tǒng)的安全測試框架。感興趣的可以閱讀的相關(guān)源碼地址是一個(gè)安裝在測試安卓機(jī)上輕量級，并且只申請一個(gè)權(quán)限，是為了用來和進(jìn)行連接的。 安卓滲透框架－Drozer架構(gòu)淺析--架構(gòu)...
ChatGPT和Sora等AI大模型應(yīng)用，將AI大模型和算力需求的熱度不斷帶上新的臺階。哪里可以獲得...
大模型的訓(xùn)練用4090是不合適的，但推理（inference/serving）用4090不能說合適，...
圖示為GPU性能排行榜，我們可以看到所有GPU的原始相關(guān)性能圖表。同時(shí)根據(jù)訓(xùn)練、推理能力由高到低做了...
89542767
社區(qū)管理員
白馬嘯西風(fēng)