- 综合排序
- 最热优先
- 最新优先
- 来自专栏啄木鸟软件测试
安全测试工具（连载6）
2.3 Pangolin Pangolin（穿山甲）一款帮助渗透测试人员进行SQL注入测试的安全工具。它能够通过一系列非常简单的操作，达到最大化的攻击测试效果。 Pangolin是目前国内使用率最高的SQL注入测试的安全软件，可以说是网站安全测试人员的必备工具之一。 1. 产品介绍 其特点如下。 l全面的数据库支持。
91820发布于 2019-12-12 - 来自专栏奝-大周
代码审计day6
当应用程序将不安全的用户提供的数据（表单、cookie、HTTP头等）传递给系统shell时，命令注入攻击是可能的。在这种攻击中，攻击者提供的操作系统命令通常以易受攻击的应用程序的特权执行。 命令执行和代码执行的区别 代码执行：执行的效果完全受限于语言本身 命令执行：执行的效果不受限于语言语法本身，不受命令本身限制 命令执行类型： 1.代码层过滤不严 2.系统漏洞 3.第三方组件存在代码执行漏洞
54710发布于 2020-08-19 - 来自专栏高渡号外
Python代码找bug（6）
Python代码找bug（6） 上期的代码设计需求： 一球从100米高度自由落下，每次落地后反跳回原高度的一半；再落下，求它在第10次落地时，共经过多少米？第10次反弹多高？ 代码如下： ? （2）正确理解和运用缩进语法 对了，昨天我们还提到一个有趣的问题就是关于python的代码基因，似乎偏好使用list列表等序列类型数据结构的问题。 这里我们把另外一种比较传统（其他语言）爱用的解决方案的代码列出来，供大家欣赏，品味两者风格的差异，看看基因的影响力是不是很强大？ ? 代码如下： ? 兄弟，明察秋毫的你，看看bug在哪呢？ 找出来，发到留言里，明天对答案。 提醒：惯例所有代码都是基于Pythpn3 的哦。
85830发布于 2020-09-22 - 来自专栏博文视点Broadview
源代码安全审计
近年来全球影响较大的网络安全事件往往都伴随着供应链安全问题。在供应链安全方向，有与《源代码安全审计基础》一书内容密切相关的软件供应链安全领域。 前卫而时髦的DevSecOps体系，也需要在Dev开发阶段设置代码审计环节。 代码审计在网络安全领域占有重要地位。 所以，代码审计是防御者的优势，理当充分利用。 当然，从理论上，即使进行了代码审计，Bug和安全漏洞也难以在大型复杂软件系统中杜绝。 《源代码安全审计基础》一书旨在让代码审计技术得到更广泛的应用，让更多的技术人员掌握代码审计技术。 由信息产业信息安全测评中心编写的这本书，对教材相对匮乏的代码审计人才培养工作来说是难得的及时雨。 希望本书能为我国培养更多的代码审计工程师、测评师，更好地改善代码的安全性，夯实网络安全基础。 本文来自《源代码安全审计基础》一书序言，作序人潘柱廷。 快快扫码抢购吧！
1.7K30编辑于 2023-05-13 - 来自专栏开源部署
Python代码安全指南
面向开发人员梳理的代码安全指南，旨在梳理 API 层面的风险点并提供详实可行的安全编码方案。基于 DevSecOps 理念，我们希望用开发者更易懂的方式阐述安全编码方案，引导从源头规避漏洞。 Python代码安全指南 图片 通用类 1. 代码实现 代码书写完毕之后的，后续工作，如加密代码之类的！ 代码实现 编写代码是需要考虑和思考的问题！ Flask 安全 使用 Flask 框架编写代码是需要考虑和思考的问题！ Django 安全 使用 Django 框架编写代码是需要考虑和思考的问题！
1.7K20编辑于 2022-06-25 - 来自专栏腾讯安全
低代码+原生安全=？
2018年6月，一家彼时已成立16年的低代码平台——OutSystems宣布获得私募股权投资机构KKR和高盛的3.6亿美元投资，估值超过10亿美元，一举成为低代码开发领域的“新晋独角兽”。 同年，西门子以 6 亿欧元收购低代码应用开发领域厂商Mendix。在资本激发之下，“Low-Code（低代码）”这一由Forrester于2014年首次提出的概念加速落地起势。 而云时代面临的传统安全算法滞后、安全边界防御体系失效、攻防节奏加快、数据资产管理机制亟待优化等安全挑战的变化，让相关行业对剔除了反复测试之后的低代码应用开发之安全性释放出了一些担忧。 然而，云环境下传统安全威胁与新生安全问题杂糅的局面，加之云攻击规模的持续扩大，业内人士对低代码这一“自带”安全属性的效用，仍有较大疑虑。 借助云原生安全开箱即用、弹性、自适应、全生命周期防护等的优势，低代码平台上的应用开发将具备“天然”原生安全属性。
1.1K30发布于 2021-02-03 - 来自专栏FreeBuf
PHP代码安全杂谈
虽然PHP是世界上最好的语言,但是也有一些因为弱类型语言的安全性问题出现。 WordPress历史上就出现过由于PHP本身的缺陷而造成的一些安全性问题，如CVE-2014-0166 中的cookie伪造就是利用了PHP Hash比较的缺陷。 案例代码 考察点 PHP类型转换缺陷 write-up 分析下代码:首先对GET方式提交的参数id的值进行检验。id通过is_numeric函数来判断是否为数字，如果为数字的话，GG。 虽然这样PHP方便了程序员，但是随之而来却会带来一些安全性的问题。 （入门代码审计、CTF必备） 浅谈PHP弱类型安全 NJCTF2017 线上赛 web 题解 CTF之PHP黑魔法总结 Some features of PHP in CTF PHP浮点数运算精度的问题
2.3K60发布于 2018-02-07 - 来自专栏个人路线
绝对安全的代码
引言 不知道大家看过这个电影没，《我是谁：没有绝对安全的系统》， 影片中本杰明是一个这样的人：在三次元现实世界中，他是一个十足的屌丝&Loser，难以找到存在感，没有时尚感、没有朋友，也没有女朋友。 而影片中另一位主人公马克思是一个渴望“黑客世界”的潜在革命者，他注意到了本杰明在 网络方面的惊人才华，马克思、本杰明和神童斯蒂芬以及保罗私人组建了黑客组织CLAY，并且为了正义入侵国际安全系统。 他们凭借高超黑客技术的所为引起了德国秘密警察组织、欧洲刑警组织的重视，并且一个邪恶的黑客将他们视作威胁， 或许在代码的背后，你永远不知道对方的身份，或许你认为没有绝对安全的代码，或许的或许都是或许的猜测 ，其实不然，不信，你看，他来了，该项目目前已获star数49.6k 就足以说明写什么，所以程序员们加油吧，至于这个项目的魅力，真正的是什么，大家可以关注我， 回复“绝对安全的代码” 获取项目地址，然后看一看这个项目的魅力 绝对安全的代码
43030编辑于 2021-12-29 - 来自专栏渗透云笔记
代码审计安全实践
第一次写文章,希望大牛们轻喷 一、代码审计安全 代码编写安全: 程序的两大根本:变量与函数 漏洞形成的条件:可以控制的变量“一切输入都是有害的 ” 变量到达有利用价值的函数（危险函数）“一切进入函数的变量是有害的 变量安全: 秉承一个原则 “一切输入都是有害的” 预定义变量[常规外部提交的变量]: 除了$_GET，$_POST，$_Cookie的提交之外，还来源于$_SERVER，$_ENV， $_SESSION : “什么样的函数导致什么样的漏洞” 文件包含包含漏洞：require、include、require_once、include_once 代码执行执行任意代码漏洞：eval()、assert()、preg_replace 通读全部代码 四、安全编程规范: 1.SQL注入防护 (1)采用预编译,在Java Web开发一般在采用预处理,在sql语句中放入? 这段代码正常执行的情况下是会输出当前用户名的，而我们在php.ini里面吧PHP安全模式打开一下，再重启下WebServer从新加载PHP配置文件，再执行这段代码的时候，我们会看到下面这个提示: Waring
2.1K30发布于 2019-11-11 - 来自专栏有价值炮灰
代码安全审计之道
代码审计是每个安全研究员都应该掌握的技能。但是网上对于代码审计的介绍文章却比较匮乏。 影响代码审计速度的原因有很多，比如: 代码语言: 对于 C/C++ 这种内存不安全的语言需要更多关注底层细节；而 Java、Python 等内存安全的语言则更多关注上层逻辑实现； 代码风格: 代码风格整洁 安全边界 该审计策略的目标是从代码实现去还原开发者或者安全架构师预设的安全边界，从而对还原后安全边界进行进一步审计，构建实际攻击的威胁模型。 key val 起点 所有安全相关的校验和检查代码 终点 安全漏洞 方法 随机应变 目标 通过已知的安全相关代码去推测还原目标的设计的安全边界 难度 ★★★★ 速度 ★★★ 理解 ★★★★★ 一个具体的方法是通过收集整理代码中的安全校验相关代码片段进行记录 这些原始的安全验证是我们对应用安全边界建模的重要信息来源，该策略的优点是可以让我们专注于安全相关的代码区域，并且构建更为完整的设计架构。
2K30编辑于 2023-02-12 - 来自专栏我的网安魔法之旅
Java安全之CommonsCollections6链
8u71后官方修改了AnnotationInvocationHandler类中的readObject()函数导致了在高版本下 cc1 链不可利用的问题，所以这篇文章就来介绍新的链子弥补这个缺陷，cc6链比较通用 ; import java.io.*; import java.util.HashMap; import java.util.Map; public class CommonsCollections6_ ByteArrayInputStream(barr.toByteArray())); Object o = (Object)ois.readObject(); } } 在cc6中 java.lang.reflect.Field; import java.util.HashMap; import java.util.Map; public class CommonsCollections_6 参考链接： https://juejin.cn/post/7130505267074203656 Java篇之ysoserial中的一些操作 Java篇Commons Collections 6
42720编辑于 2023-05-16 - 来自专栏啄木鸟软件测试
软件安全性测试（连载6）
黑客可以通过Python的requests类编写接口代码进行攻击。 requiredid="id_password">
<input type= "submit" value= "提交" requiredid="id_password"> </form> 对这个代码建立对应的接口测试代码 ，否则返货403代码。 /login_form/的HTML代码为。 Token绕过检查，代码如下。84920发布于 2019-12-23 - 来自专栏嘉为动态
微软安全公告—2016年6月
微软于北京时间2016年6月14日发布了16个新的安全公告，其中5个为严重等级，11个为重要等级。 ---- 2016年6月新的安全漏洞 以下是所有安全公告的内容，供您参考。 如果用户打开经特殊设计的 Microsoft Office 文件，那么这些漏洞中最严重的漏洞可能允许远程执行代码。成功利用这些漏洞的攻击者可以在当前用户的上下文中运行任意代码。 如果有权访问目标网络上的域控制器 (DC) 的攻击者运行经特殊设计的应用程序与作为副本域控制器的 DC 建立安全通道，漏洞可能允许远程代码执行。 如果用户打开经特殊设计的 .pdf 文件，较严重的漏洞可能允许远程代码执行。成功利用此漏洞的攻击者可以在当前用户的上下文中执行任意代码。但攻击者无法强迫用户打开经特殊设计的 .pdf 文件。
1K30发布于 2018-12-21 - 来自专栏iSharkFly
Confluence 6 安全相关问题提交链接
找到和报告安全漏洞 Atlassian 有关安全漏洞的报告细节，请参考如何报告一个安全问题（How to Report a Security Issue）链接。 发布 Confluence 安全公共 Atlassian 有关发布安全漏洞的细节，请参考安全建议发布策略（Security Advisory Publishing Policy）链接。 严重程度 Atlassian 有关安全问题的严重程度排列，请参考针对安全问题的严重程度（Severity Levels for Security Issues）链接。 我们的安全缺陷修复策略 我们有关安全缺陷问题修复的补丁发布信息，请参考安全缺陷修复策略（Security Bugfix Policy）链接。 https://www.cwiki.us/display/CONF6ZH/Confluence+Security+Overview+and+Advisories
50830发布于 2019-01-30 - 来自专栏绿盟科技研究通讯
多方安全计算（6）MPC中场梳理
此类方案参数设定往往需要根据实际任务数值范围与计算深度进行调整 · 伪随机数模块：主要包含伪随机数生成器PRG，用于生成某范围内的伪随机数，其不可预测性是众多密码学算法的信任之源；实现的方式较多，读者不妨参考[6] 4.3 信息扰动模块 在部分实际场景中，需直接暴露或提供信息，而不是基于信息进行安全计算；此时通常要确保信息具有一定的统计可用性和个体安全性，传统加密方案或上述功能性加密方案都不可用，此模块常借助于差分隐私技术完成 International Journal of Information Security, 2010, 9(6): 371-385. [5]: https://github.com/microsoft /SEAL [6]:https://zh.m.wikipedia.org/zh-hans/%E4%BC%AA%E9%9A%8F%E6%9C%BA%E6%95%B0%E7%94%9F%E6%88%90%E5% 往期回顾： 安全多方计算之前世今生 安全多方计算(1):不经意传输协议 安全多方计算:(2)隐私信息检索方案汇总分析 多方安全计算(3)MPC万能钥匙：混淆电路 多方安全计算（4）MPC万能积木 秘密共享
2.4K11编辑于 2023-02-22 - 来自专栏iSharkFly
配置 Confluence 6 安全的最佳实践
请参考你公司的安全管理策略和相关人员来找到你公司应该采用何种安全策略。这里有很多事情需要我们考虑，例如考虑如何安装我们的操作系统，应用服务器，数据库服务器，网络，防火墙，路由等。 没有任何安全设置都能够保证 100% 的安全的。这些安全策略被用来降低安全攻击对你系统产生的影响而让你系统能够更好的持续运行。 保持 Confluence 中只有少数用户具有管理员权限。 有时候这个通过添加恶意代码来实现的，比如通过修改你文件系统中的文件。对你操作系统上的文件，可以考虑运行常规的校验来确定没有恶意代码被添加到你文静系统中。 再次说明的是，上面的所有安全配置可能不是所有你需要设置的安全信息和功能，安全设置与你系统安全的需求还是有很大关系的。同时，请注意没有人能够在安全上能够进行完全的保证。 https://www.cwiki.us/display/CONF6ZH/Best+Practices+for+Configuring+Confluence+Security
95240发布于 2019-01-30 - 来自专栏API安全
6月API安全漏洞报告
为了让大家的API更加安全，致力于守护数字世界每一次网络调用，小阑给大家整理了6月份的一些API安全漏洞报告，希望大家查漏补缺及时修复自己API可能出现的漏洞。 攻击者可以通过利用未授权的访问权限，在服务器上执行恶意代码。这可能导致服务器被入侵，攻击者可以控制服务器并执行任意操作，包括篡改网站内容、植入后门等。 • 安全审计：定期对Joomla系统和其相关组件进行安全审计，检查是否存在其他安全漏洞，并及时修复。 如果您正在使用受影响的版本，建议尽快升级到更新的版本来修复这个漏洞，以保护您的系统安全。小阑建议• 这些漏洞再次强调了API安全性的重要性，也显示出公司必须高度关注保护其API。 因此，保护API已经成为任何组织安全策略中的至关重要的一部分，需要采取安全措施和最佳实践来确保数据和系统的安全。只有这样，才能保证企业在数字化时代获得最高水平的安全保障。
1.2K10编辑于 2023-06-30 - 来自专栏猫头虎博客专区
《21天精通IPv4 to IPv6》第6天：IPv6的安全配置——如何处理IPv6安全问题？
《21天精通IPv4 to IPv6》第6天：IPv6的安全配置——如何处理IPv6安全问题？ 摘要 在《21天精通IPv4 to IPv6》系列的第六天，我，猫头虎博主，将探讨IPv6的安全配置。 本文将详细讨论IPv6面临的安全挑战、安全配置策略以及实际案例和最佳实践，以确保读者能够在处理IPv6安全问题时更加得心应手。 本文内容包含关键词，如IPv6安全、网络安全配置、IPv6最佳实践，旨在帮助读者无论是新手还是专家都能轻松理解IPv6安全问题的处理方法。 引言 随着IPv6的普及，对其安全性的关注日益增加。 正文 IPv6安全挑战 IPv6引入了一些新的安全挑战，主要包括： 扩展头部和路由选择： IPv6的扩展头部可能被用于规避安全措施。 自动配置： IPv6的自动配置特性可能被恶意利用。 代码案例：配置基础IPv6防火墙规则（Linux） # 阻止所有未经请求的入站流量 ip6tables -A INPUT -m state --state ESTABLISHED,RELATED -j
86210编辑于 2024-04-09 - 来自专栏微信公号【Java技术江湖】
Java基础6：代码块与代码加载顺序
本文主要介绍了三种代码块的特性和使用方法。 具体代码在我的GitHub中可以找到 https://github.com/h2pl/MyTech 文章首发于我的个人博客： https://h2pl.github.io/2018/04/24/javase6 代码块：用{}包围的代码 java中的代码块按其位置划分为四种： 局部代码块 位置：局部位置（方法内部） 作用：限定变量的生命周期，尽早释放，节约内存 调用：调用其所在的方法时执行 public class } } 静态代码块 位置：类成员位置，用static修饰的代码块 作用：对类进行一些初始化 只加载一次，当new多个对象时，只有第一次会调用静态代码块，因为，静态代码块 C(); C c2 = new C(); //结果,静态代码块只会调用一次，类的所有对象共享该代码块 //一般用于类的全局信息初始化 //静态代码块调用 //代码块调用
61100发布于 2019-04-06 - 来自专栏javascript技术
前端安全即JS代码安全，简单前端源码安全探讨！
说了这么多，前端js代码混淆加密怎么做，推荐产品吧，国外有jscrmber，国内有jshaman！关于安全所有的用户输入都是不能相信的，如果后端的检查校验还做得不好，那就可能被攻破。 前端代码的逻辑如果还被了解清楚，那就是雪上加霜。后端的问题我们前端管不着，前端的代码安全，就是用混淆加密解决，让别人看不懂。 混淆加密前：function hello(){ alert('hello');}用JShaman混淆加密后：var _0x08e6=['hello'];(function(_0x560c7b, 0x08e6,0x77));var _0x608e=function(_0x4d0ca4,_0x58e301){_0x4d0ca4=_0x4d0ca4-0x0;var _0x50ffc7=_0x08e6[ 总结1、前端安全需要重视，将来会越来越被重视，因为它真重要。2、不要进行多文件压缩，不要把html、css、js压到一起，很不明智的做法。3、前端安全，就是js代码安全，对js做混淆加密是正道！
52950编辑于 2023-10-11
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号