- 综合排序
- 最热优先
- 最新优先
- 来自专栏玄魂工作室
看代码学安全（10）程序未恰当exit导致的问题
本文转载自 先知社区：https://xz.aliyun.com/t/2668 经红日安全审计小组授权 本文由红日安全成员： 七月火 编写，如有不当，还望斧正。 前言 大家好，我们是红日安全-代码审计小组。最近我们小组正在做一个PHP代码审计的项目，供大家学习交流，我们给这个项目起了一个名字叫 PHP-Audit-Labs 。 下面是 第10篇 代码审计文章： Day 10 - Anticipation 题目叫做预期，代码如下： ? 而且程序的安装逻辑其实是有问题的，安装步骤由 $setup** 变量控制，而 **$setup 变量可以被用户完全控制(如上图 第10行 代码)，攻击者完全可以控制网站的安装步骤。 例如使用 die 、 exit 等函数都是可以的，具体修复代码如下： ?
60120发布于 2018-12-17 - 来自专栏架构驿站
【安全测试】安全之10种攻击途径解析
Web服务路由问题 Web服务安全协议使用WS-Routing服务，假如任何中转站被攻占，SOAP消息可以被截获。 8. 10.
60070编辑于 2022-03-25 - 来自专栏啄木鸟软件测试
安全测试工具（连载10）
demo4文件夹中的内容 在这里比较关注的是smail文件夹，里面的结构类似于Android工程文件src的目录结构，进入找到相应目录下的对应smail文件，即可通过修改smail文件，在里面加入恶意代码
58620发布于 2019-12-12 - 来自专栏博文视点Broadview
源代码安全审计
近年来全球影响较大的网络安全事件往往都伴随着供应链安全问题。在供应链安全方向，有与《源代码安全审计基础》一书内容密切相关的软件供应链安全领域。 前卫而时髦的DevSecOps体系，也需要在Dev开发阶段设置代码审计环节。 代码审计在网络安全领域占有重要地位。 所以，代码审计是防御者的优势，理当充分利用。 当然，从理论上，即使进行了代码审计，Bug和安全漏洞也难以在大型复杂软件系统中杜绝。 《源代码安全审计基础》一书旨在让代码审计技术得到更广泛的应用，让更多的技术人员掌握代码审计技术。 由信息产业信息安全测评中心编写的这本书，对教材相对匮乏的代码审计人才培养工作来说是难得的及时雨。 希望本书能为我国培养更多的代码审计工程师、测评师，更好地改善代码的安全性，夯实网络安全基础。 本文来自《源代码安全审计基础》一书序言，作序人潘柱廷。 快快扫码抢购吧！
1.7K30编辑于 2023-05-13 - 来自专栏开源部署
Python代码安全指南
面向开发人员梳理的代码安全指南，旨在梳理 API 层面的风险点并提供详实可行的安全编码方案。基于 DevSecOps 理念，我们希望用开发者更易懂的方式阐述安全编码方案，引导从源头规避漏洞。 Python代码安全指南 图片 通用类 1. 代码实现 代码书写完毕之后的，后续工作，如加密代码之类的！ 代码实现 编写代码是需要考虑和思考的问题！ Flask 安全 使用 Flask 框架编写代码是需要考虑和思考的问题！ Django 安全 使用 Django 框架编写代码是需要考虑和思考的问题！
1.7K20编辑于 2022-06-25 - 来自专栏腾讯安全
低代码+原生安全=？
2018年6月，一家彼时已成立16年的低代码平台——OutSystems宣布获得私募股权投资机构KKR和高盛的3.6亿美元投资，估值超过10亿美元，一举成为低代码开发领域的“新晋独角兽”。 Forrester 早期调研数据显示，低代码平台能把开发效率提升了 5-10 倍，且这一倍数仍在持续上涨中。 而云时代面临的传统安全算法滞后、安全边界防御体系失效、攻防节奏加快、数据资产管理机制亟待优化等安全挑战的变化，让相关行业对剔除了反复测试之后的低代码应用开发之安全性释放出了一些担忧。 然而，云环境下传统安全威胁与新生安全问题杂糅的局面，加之云攻击规模的持续扩大，业内人士对低代码这一“自带”安全属性的效用，仍有较大疑虑。 借助云原生安全开箱即用、弹性、自适应、全生命周期防护等的优势，低代码平台上的应用开发将具备“天然”原生安全属性。
1.1K30发布于 2021-02-03 - 来自专栏FreeBuf
PHP代码安全杂谈
虽然PHP是世界上最好的语言,但是也有一些因为弱类型语言的安全性问题出现。 WordPress历史上就出现过由于PHP本身的缺陷而造成的一些安全性问题，如CVE-2014-0166 中的cookie伪造就是利用了PHP Hash比较的缺陷。 这就会造成混乱的结果：例如，floor((0.1+0.7)*10) 通常会返回 7 而不是预期中的 8，因为该结果内部的表示其实是类似 7.9999999999999991118…。 虽然这样PHP方便了程序员，但是随之而来却会带来一些安全性的问题。 （入门代码审计、CTF必备） 浅谈PHP弱类型安全 NJCTF2017 线上赛 web 题解 CTF之PHP黑魔法总结 Some features of PHP in CTF PHP浮点数运算精度的问题
2.3K60发布于 2018-02-07 - 来自专栏个人路线
绝对安全的代码
引言 不知道大家看过这个电影没，《我是谁：没有绝对安全的系统》， 影片中本杰明是一个这样的人：在三次元现实世界中，他是一个十足的屌丝&Loser，难以找到存在感，没有时尚感、没有朋友，也没有女朋友。 而影片中另一位主人公马克思是一个渴望“黑客世界”的潜在革命者，他注意到了本杰明在 网络方面的惊人才华，马克思、本杰明和神童斯蒂芬以及保罗私人组建了黑客组织CLAY，并且为了正义入侵国际安全系统。 他们凭借高超黑客技术的所为引起了德国秘密警察组织、欧洲刑警组织的重视，并且一个邪恶的黑客将他们视作威胁， 或许在代码的背后，你永远不知道对方的身份，或许你认为没有绝对安全的代码，或许的或许都是或许的猜测 ，其实不然，不信，你看，他来了，该项目目前已获star数49.6k 就足以说明写什么，所以程序员们加油吧，至于这个项目的魅力，真正的是什么，大家可以关注我， 回复“绝对安全的代码” 获取项目地址，然后看一看这个项目的魅力 绝对安全的代码
43030编辑于 2021-12-29 - 来自专栏渗透云笔记
代码审计安全实践
第一次写文章,希望大牛们轻喷 一、代码审计安全 代码编写安全: 程序的两大根本:变量与函数 漏洞形成的条件:可以控制的变量“一切输入都是有害的 ” 变量到达有利用价值的函数（危险函数）“一切进入函数的变量是有害的 变量安全: 秉承一个原则 “一切输入都是有害的” 预定义变量[常规外部提交的变量]: 除了$_GET，$_POST，$_Cookie的提交之外，还来源于$_SERVER，$_ENV， $_SESSION : “什么样的函数导致什么样的漏洞” 文件包含包含漏洞：require、include、require_once、include_once 代码执行执行任意代码漏洞：eval()、assert()、preg_replace 通读全部代码 四、安全编程规范: 1.SQL注入防护 (1)采用预编译,在Java Web开发一般在采用预处理,在sql语句中放入? 这段代码正常执行的情况下是会输出当前用户名的，而我们在php.ini里面吧PHP安全模式打开一下，再重启下WebServer从新加载PHP配置文件，再执行这段代码的时候，我们会看到下面这个提示: Waring
2.1K30发布于 2019-11-11 - 来自专栏FreeBuf
网络安全这10年
10年前，智能手机还没有广泛普及，Windows 7才刚刚发布，而网络安全更是一个小众的圈子，远非如今媒体记者笔下的常客。 从一个孤岛到一个自行其道的小世界。 网络安全这10年，风雨有过，辉煌有过，曾谷底呆过，也曾见高楼起。一群白帽子，从独行者，侠客，到归于企业麾下或是走出创业的一条路，他们为网络世界的安全而战。 一批网络安全企业，从0到1，见证网络安全走向合规和产业化，而穿插其中的，是这10年来一个个或许你还依稀记得的安全事件…… 2020年，网络安全再启程之际，笔者却想和你，再走一遍这10年。 而尘嚣过去，这场因为App开发者使用了第三方途径下载的Xcode开发环境（非Apple正规途径），而导致下载了被植入了恶意代码的iOS应用开发工具Xcode所引发的病毒事件，也让开发者在产品开发设计中对安全的重视程度提升 可以说，这一年，网络安全领域面临的威胁多种多样。 10年归0，2020年网络安全再启程！回顾20世纪的第2个十年，会发现，网络安全的一个个变革，似乎早就在10年间一个个看似普通的日子里埋下了伏笔。
1K20发布于 2020-02-20 - 来自专栏有价值炮灰
代码安全审计之道
代码审计是每个安全研究员都应该掌握的技能。但是网上对于代码审计的介绍文章却比较匮乏。 影响代码审计速度的原因有很多，比如: 代码语言: 对于 C/C++ 这种内存不安全的语言需要更多关注底层细节；而 Java、Python 等内存安全的语言则更多关注上层逻辑实现； 代码风格: 代码风格整洁 安全边界 该审计策略的目标是从代码实现去还原开发者或者安全架构师预设的安全边界，从而对还原后安全边界进行进一步审计，构建实际攻击的威胁模型。 key val 起点 所有安全相关的校验和检查代码 终点 安全漏洞 方法 随机应变 目标 通过已知的安全相关代码去推测还原目标的设计的安全边界 难度 ★★★★ 速度 ★★★ 理解 ★★★★★ 一个具体的方法是通过收集整理代码中的安全校验相关代码片段进行记录 这些原始的安全验证是我们对应用安全边界建模的重要信息来源，该策略的优点是可以让我们专注于安全相关的代码区域，并且构建更为完整的设计架构。
2K30编辑于 2023-02-12 - 来自专栏程序人生丶
Docker学习路线10：容器安全
安全模式和实践 在开发、部署和操作容器时实施最佳实践和特定的安全模式对于维护安全环境至关重要。 最小特权:容器应以最小特权运行，只授予应用程序所需的最小权限。 版本控制:镜像应该进行版本控制，并存储在安全的容器注册表中。 安全访问控制 应对容器管理和容器数据应用访问控制，以保护敏感信息并维护整体安全姿态。 安全基础镜像:使用最小和安全的基础镜像进行容器创建，减少攻击面和潜在漏洞。 定期更新:将基础镜像和容器保持最新的安全补丁和更新。 通过理解和应用容器安全的这些关键方面，您将能够确保容器化的应用程序和基础架构免受潜在威胁的保护。 镜像安全性 镜像安全性是在您的环境中部署Docker容器的一个关键方面。 运行时安全 运行时安全专注于确保 Docker 容器在生产环境中运行时的安全。这是容器安全的关键方面，因为威胁可能在容器部署后到达或被发现。
46020编辑于 2023-07-24 - 来自专栏网络安全攻防
OWASP低代码Top 10
，产业界提出了一个明确而紧迫的需求，即建立依赖此类平台开发的应用程序相关的安全和隐私风险意识 OWASP Top 10 Low-Code/No-Code Security Risks(简称OWASP低代码十大安全风险 )项目的主要目标是为希望采用和开发低代码(可视化少量代码开发)、无代码(可视化无需编程开发)应用程序的组织提供帮助和指导，该指南提供了关于此类应用最突出的十类安全风险、所涉及的挑战以及如何克服这些风险与挑战的信息 风险清单 身份冒充 风险评级 风险要点 无代码/低代码开发的应用程序可能内嵌任何应用程序用户隐式冒充的用户身份，这为权限提升创建了一 条攻击路径，允许攻击者隐藏在另一个用户的身份背后来绕过传统的安全控制 ，连接提供了各种安全配置，包括通信协议、身份验证流程和使用的凭据类型，但在许多情况下业务用户违反最佳实践和企业数据安全政策建立连接，这通常会导致安全风险 攻击场景 创客创建了一个使用FTP连接的应用程序并且没有勾选 "代码"的一部分进行存储或者存储在平台提供的托管 数据库中，而这些数据必须按照法规和安全要求进行适当的存储 风险描述 无代码/低代码应用程序可以将数据作为其"代码"的一部分进行存储或者存储在平台提供的托管数据库中
1.5K20编辑于 2022-12-22 - 来自专栏奝-大周
代码审计day10
变量覆盖 变量覆盖是指变量未被初始化，我们可以自定义参数值替换程序原有的变量值 extract()变量覆盖 int extract ( $array , extract_rules,prefix ) $array 关联的数组，受第二个和第三个参数的影响 extract_rules 对待非法/ 数字和冲突的键名的方法将根据取出标记 prefix 仅在第二个参数特殊时需要，添加前缀 危险函数 EXTR_OVERWRITE-默认。如果有冲突，则覆盖已有的变量。 EXTR_SKIP- 如果有冲突，不覆盖已有的变量。
62530发布于 2020-08-19 - 来自专栏javascript技术
前端安全即JS代码安全，简单前端源码安全探讨！
前端源码安全今天思考下前端源码安全的东西，不讲前端安全的大课题，只是针对于源码部分。在我看来，源码安全有两点，一是防止抄袭，二是防止被攻击。 混淆加密是防止其他人查看代码逻辑，生成的代码比原代码体积大一些，但现在的网速、机器性能、浏览器性能，完全不需要考虑这点性能损失。 说了这么多，前端js代码混淆加密怎么做，推荐产品吧，国外有jscrmber，国内有jshaman！关于安全所有的用户输入都是不能相信的，如果后端的检查校验还做得不好，那就可能被攻破。 前端代码的逻辑如果还被了解清楚，那就是雪上加霜。后端的问题我们前端管不着，前端的代码安全，就是用混淆加密解决，让别人看不懂。 总结1、前端安全需要重视，将来会越来越被重视，因为它真重要。2、不要进行多文件压缩，不要把html、css、js压到一起，很不明智的做法。3、前端安全，就是js代码安全，对js做混淆加密是正道！
52950编辑于 2023-10-11 - 来自专栏啄木鸟软件测试
软件安全性测试（连载10）
具体可参照以下代码。 sec]> select TABLE_NAME fromINFORMATION_SCHEMA.TABLES where TABLE_SCHEMA =(select DATABASE()) LIMIT 0,10 查询表中所有字段 MariaDB [sec]> select COLUMN_NAME from INFORMATION_SCHEMA.COLUMNSwhere TABLE_NAME='user' LIMIT 0,10 Insert_priv | | Update_priv | | Delete_priv | | Create_priv | | Drop_priv | | Reload_priv | +-------------+ 10
1.1K20发布于 2019-12-26 - 来自专栏CSDNToQQCode
关闭win10安全模式引导
5、重新启动计算机 重启后就没有安全模式的引导过程了。 但是不建议关闭安全模式： 安全模式是Windows操作系统中的一个特殊功能。 在安全模式下，系统只会运行最基本的组件，因此在安全模式下进行电脑杀毒操作比较好。 实际应用方面，如果电脑启动有问题，可以使用安全模式来解决，在电脑开机画面按F8键，之后在启动模式菜单中选择安全模式，然后执行系统还原。 如果用户安装新软件或更改某些设置时系统将无法正常启动，也可以在安全模式下解决。如果是由安装新软件引起的，需要在安全模式卸载软件。如果更改设置出现问题，可以在进入安全模式后更改相关设置。 此时可以尝试通过安全模式解决，因为在安全模式下，这种含有病毒的程序不会启动，所以我们可以使用安全软件删除病毒和木马，或者卸载一些之前无法正常卸载的软件。
4.3K10编辑于 2022-11-30 - 来自专栏企鹅号快讯
2018年10大安全预测
同时，最终用户也需要应对不断增加的风险和更严苛的合规性要求，很多人通过与董事会商量聘请首席安全官或者首席信息安全官来加强企业的安全性。 其他企业则从持续的安全监控和管理，转向利用管理安全服务提供商（MSSP）的工具和专业知识。 下面就让我们来看看2018年有哪10大安全趋势是我们需要关注的。 最终客户将更多地求助于管理安全服务提供商 企业组织意识到，一个成功的安全运营中心所需的努力程度和内部专业技能要求超出了他们的范围，这将使得那些管理安全服务提供商（MSSP）得到更多的关注，Resolve 安全成为董事会的一个重要关注点 CSO和CISO将变得更加普遍 越来越多的企业把首席安全官（CSO）或者首席信息安全官（CISO）加入到他们的高管团队中，表明他们是认真对待安全问题的，Alfresco公司战略解决方案负责人 自动化和机器学习将用于释放安全人员的时间 Resolve Systems公司首席产品官Larry Lein表示，随着自动攻击数量的增加将让安全运营中心无法单靠手动流程来应对，这使得企业会越来越适应安全自动化
90050发布于 2018-01-05 - 来自专栏后端技术探索
确保nginx安全的10个技巧
下面是一个常见安全陷阱和解决方案的列表，它可以辅助来确保你的Nginx部署是安全的。 1. 在配置文件中小心使用"if" 它是重写模块的一部分，不应该在任何地方使用。 我觉得确保你不轻易执行任意代码的混合方法很有必要。 2.1 如果没找到文件时使用try_files和only(在所有的动态执行情况下都应该注意) 将它转递给运行PHP的FCGI进程。 client_body_timeout 10; client_header_timeout 10; keepalive_timeout 5 5; send_timeout 10; 8. 试着避免使用HTTP认证 HTTP认证默认使用crypt，它的哈希并不安全。如果你要用的话就用MD5（这也不是个好选择但负载方面比crypt好） 。 10. 保持与最新的Nginx安全更新 转自：http://www.levigross.com/post/4488812448/10-tips-for-securing-nginx 个人觉得在防止DDOS攻击这方面
81820发布于 2018-08-09 - 来自专栏嘉为动态
微软安全公告—2016年10月
微软于北京时间2016年10月11日发布了10个新的安全公告，其中6个为严重等级，4个为重要等级。 InternetExplorer、Office、MicrosoftOffice Services 和Microsoft .NET Framework、AdobeFlash Player、Microsoft Edge等组件的安全漏洞 我们推荐您安装所有更新，对于暂时只采用部分更新的用户，我们推荐您首先部署等级为“严重”的安全公告。安全公告每月更新一次，旨在解决严重的漏洞问题。 ---- 2016年10月新的安全漏洞 以下是所有安全公告的内容，供您参考。 ，请以网站上的安全公告内容为准。
96030发布于 2018-12-21
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号