文章庫ARTICLE COLUMN
摘要：隨機生成算法太弱。假設(shè)小明同學在這個時間點登錄了應(yīng)用，那么中，除去了時間戳外就只有是破解的變量了。只需猜次即可獲取小明的賬戶權(quán)限。登錄驗證憑具來源樂吧隨機算法在安全中的重要性 在展開文章之前，先給大家看一段代碼: 坑 is here ...
摘要：人工排查肯定比較麻煩，建議開發(fā)者使用阿里聚安全提供的安全掃描服務(wù)，在上線前進行自動化的安全掃描，盡早發(fā)現(xiàn)并規(guī)避這樣的風險。 作者：伊樵、呆狐@阿里聚安全 1 Content Provider組件簡介 Content Provider組件是Android應(yīng)用的重要組件之一，管理對...
摘要：記錄自余弦在上的演講程序員與黑客防御就是提高攻擊的成本架構(gòu)思想一黑客思維應(yīng)該貫穿整個公司的業(yè)務(wù)架構(gòu)研發(fā)運維理想狀態(tài)技術(shù)團隊每個人都有黑客思維思想二優(yōu)美的架構(gòu)一定是健壯的想象下生態(tài)系統(tǒng)有漏洞被黑很正?？焖僮杂顷P(guān)鍵思想三優(yōu)美的架構(gòu)一定 ...
摘要：探測端口開放原理就是向目標發(fā)送請求，看是否有回應(yīng)。端口判定為不通。掃描批量目標掃描批量目標使用的并發(fā)隊列功能，去執(zhí)行的執(zhí)行單個任務(wù)，在掃描前做了一些額外的工作把瀏覽器屏蔽的端口過濾掉了，收到的狀態(tài)就是。 0×00 前言 前兩天 freebuf上的...
摘要：安裝打開配置文件，進行配置寫入到這里，就是我個人從上次被黑當中總結(jié)的一些基本的服務(wù)器安全，而至于群里大神說的跳板機的方案，容我再消化消化再嘗試部署起來?？偨Y(jié)服務(wù)一些基本的安全配置得跟上。服務(wù)器一旦被入侵，不急。 首先，VPS 服務(wù)器被黑怎...
摘要：中國銀行某站存在命令執(zhí)行漏洞愛奇藝主站某處漏洞可導致任意文件讀取某平臺配置不當導致數(shù)據(jù)泄露在上，總能發(fā)現(xiàn)很多類似的漏洞提交，而這些，都歸功于白帽子作出的貢獻。經(jīng)確認并評出漏洞等級后級為最高，我們會送出相應(yīng)的獎品表示特別的感謝。 showIm...
摘要：在本文的第一部分，我們了解了網(wǎng)絡(luò)瀏覽器所存儲的與用戶相關(guān)的信息與數(shù)據(jù)。如何對用戶產(chǎn)生影響計算機存儲的大部分數(shù)據(jù)看起來都沒什么危害，當然，由網(wǎng)絡(luò)瀏覽器通過自動完成功能在有意無意間存儲的信用卡號與賬單信息除外。 【編者按】本文最早發(fā)布于 S...
摘要：是否修改成功可以通過查看隨后我們需要確定目標函數(shù)的地址，這個有兩種方法。如果目標程序本身沒有被的話，那些都是存在的，因此可以使用和等方法來獲取目標函數(shù)地址。 0x00 序 隨著移動安全越來越火，各種調(diào)試工具也都層出不窮，但因為環(huán)境和需求的不...
摘要：阿里聚安全的應(yīng)用漏洞掃描服務(wù)，可以檢測出應(yīng)用的文件目錄遍歷風險。阿里聚安全對開發(fā)者建議對重要的壓縮包文件進行數(shù)字簽名校驗，校驗通過才進行解壓。 1、ZIP文件目錄遍歷簡介 因為ZIP壓縮包文件中允許存在../的字符串，攻擊者可以利用多個../...
摘要：三刷榜僵尸分析應(yīng)用是主包解密后植入到系統(tǒng)目錄的應(yīng)用，該應(yīng)用是一款轉(zhuǎn)用于惡意刷榜的病毒，利用用戶設(shè)備賬戶信息作為刷榜僵尸，完成對控制端指定應(yīng)用的惡意刷榜。 作者：逆巴、如凌@阿里聚安全 背景： 隨著移動端應(yīng)用市場數(shù)量爆炸式增長，App推廣和曝...
摘要：梆梆安全梆梆的整體流程和其他的差不多，可以選擇安全評估和應(yīng)用加固是否同時進行。其中對速度影響最大的是梆梆安全。通過這次的評測，可以發(fā)現(xiàn)測試的應(yīng)用采用通付盾的加固后，兼容性出現(xiàn)了大幅度下降只有。 前言：由于安卓APP是基于Java的，所以極容...
摘要：公司最近一份題為選擇成為年首席信息安全官還是選擇滅亡的報告強調(diào)，首席信息安全官的角色正在向?qū)Ｓ谧兏芾砼c過程監(jiān)督的業(yè)務(wù)經(jīng)理轉(zhuǎn)變。新的信息安全職業(yè)道路對于造就新一代的安全領(lǐng)導者是必需的。 隨著計算機網(wǎng)絡(luò)技術(shù)的高速發(fā)展，一個企業(yè)的安全狀況...
摘要：是一個有趣的實例，他們使用的是自動化技術(shù)，同時結(jié)合了自動化工作流程進行人工檢查，從而保證零誤報率，且業(yè)務(wù)邏輯測試達到的類覆蓋率。 而今，大多數(shù)應(yīng)用都依賴于像入侵防護系統(tǒng)（Instrusion Prevention System）和 Web 應(yīng)用防火墻（Web Application...
摘要：在十年未變安全，誰之責上中，我們介紹了安全領(lǐng)域的現(xiàn)狀和新的解決方案，那么究竟是什么它在應(yīng)用安全多變的今天又能帶給我們什么樣效果我們將通過何種方式才能打贏這場與黑客之間的攻堅戰(zhàn)呢應(yīng)用安全行業(yè)快速發(fā)展的數(shù)十年間，出現(xiàn)了許多巨變。 在 十年...
摘要：在服務(wù)器做出響應(yīng)時，為了提高安全性，在響應(yīng)頭中可以使用的各種響應(yīng)頭字段。用于防止等跨站腳本攻擊。用于防止跨站腳本攻擊或數(shù)據(jù)注入攻擊但是，如果設(shè)定不當，則網(wǎng)站中的部分腳本代碼有可能失效。用于指定所有子域名同樣使用該策略。 在 Web 服務(wù)器...
摘要：許多公司都投資于或之類的靜態(tài)分析安全測試，解決方案。用靜態(tài)分析方法確保編程安全一書詳細描述了靜態(tài)分析技術(shù)的基本原理。博士將靜態(tài)分析無法找出的諸多安全問題歸為瑕疵，而非程序錯誤。 靜態(tài)分析安全測試（SAST）是指不運行被測程序本身，僅通過分...
摘要：曾提出一份報告，針對機構(gòu)應(yīng)該如何優(yōu)先管理積極風險的問題，提出了考慮將作為企業(yè)應(yīng)用程序安全的主流選擇的建議。的設(shè)計目的是實時消除惡意應(yīng)用程序行為，并發(fā)出警報來提醒組織優(yōu)先處理關(guān)鍵事務(wù)。 Aberdeen 曾提出一份報告，針對機構(gòu)應(yīng)該如何優(yōu)先管理...
摘要：本文分析了生成用于加密的隨機數(shù)的相關(guān)問題。沒有提供一種簡單的機制來生成密碼學上強壯的隨機數(shù)，但是通過引入幾個函數(shù)來解決了這個問題。呢缺省情況下，不提供強壯的隨機數(shù)發(fā)生器。如果你想要使用可靠的隨機數(shù)據(jù)源，如你在本文所見，建議盡快使用和 ...
摘要：條件語句這是最容易進行防御性編程的地方之一，也是最容易滿足的地方。語法和命名的一致性一致性是一個灰色地帶它更多的是關(guān)于編碼標準之類的，但它和防御性編程也有聯(lián)系。假設(shè)是具有防御性編程習慣的程序員最大的敵人。 菲納格動態(tài)逆定律： 會出錯的...
摘要：高效的應(yīng)用安全以三個強大的應(yīng)用安全引擎，分別是模式識別會話保護和簽名庫。同時，探針采用的模式識別應(yīng)用安全引擎能有效防護前文提到的攻擊，以及許多其他攻擊。 自從 Web 應(yīng)用能給訪問者提供豐富的內(nèi)容之后，黑客們就把目光轉(zhuǎn)向任何他們能夠破壞，...
摘要：根據(jù)年的報告看一下都有哪些常見攻擊。來自安全測試之有這么個網(wǎng)頁，查詢的結(jié)果和查詢的關(guān)鍵字都會顯示到網(wǎng)頁上。安全是個大領(lǐng)域，暫時先到這里，以后有時間再總結(jié)寫別的。安全測試之拒絕服務(wù)攻擊知乎討論淺談攻擊方式 搞web離不開security這個話題，...
摘要：注入攻擊將注入攻擊和跨站腳本攻擊列入網(wǎng)絡(luò)應(yīng)用程序十大常見安全風險。這種類別的攻擊包括跨站腳本攻擊注入攻擊頭部注入攻擊日志注入攻擊和全路徑暴露。注入攻擊目前最常見的注入攻擊形式是臭名昭著的注入攻擊。 注入攻擊 OWASP將注入攻擊和跨站腳本攻...
摘要：文件完整性監(jiān)測持續(xù)監(jiān)控您的云服務(wù)器，保護重要的系統(tǒng)二進制文件和配置文件不會受到未經(jīng)授權(quán)的或惡意的變更。首先會記錄下云服務(wù)器系統(tǒng)的清潔狀態(tài)，作為基準。您可以通過一個在線管理控制臺，監(jiān)控所有的云服務(wù)器。 DEVSECOPS 所面臨的挑戰(zhàn) 敏捷開發(fā)和 ...
摘要：瀏覽器的同源策略并不能夠避免來自于惡意站點的提交。為了保證輸入數(shù)據(jù)的完整性，服務(wù)器端務(wù)必要進行數(shù)據(jù)校驗。輸入驗證即是保證實際輸入與應(yīng)用預(yù)期的輸入的一致性。因此驗證輸入時保證系統(tǒng)安全性與防衛(wèi)危險的第一道防線。 Github Repo：https://gith...
摘要：安卓滲透框架架構(gòu)淺析架構(gòu)組成和自定義模塊標簽空格分隔簡介是開發(fā)的一款針對系統(tǒng)的安全測試框架。感興趣的可以閱讀的相關(guān)源碼地址是一個安裝在測試安卓機上輕量級，并且只申請一個權(quán)限，是為了用來和進行連接的。 安卓滲透框架－Drozer架構(gòu)淺析--架構(gòu)...
ChatGPT和Sora等AI大模型應(yīng)用，將AI大模型和算力需求的熱度不斷帶上新的臺階。哪里可以獲得...
大模型的訓練用4090是不合適的，但推理（inference/serving）用4090不能說合適，...
圖示為GPU性能排行榜，我們可以看到所有GPU的原始相關(guān)性能圖表。同時根據(jù)訓練、推理能力由高到低做了...
89542767
社區(qū)管理員
白馬嘯西風