- 综合排序
- 最热优先
- 最新优先
- 来自专栏玄魂工作室
看代码学安全（7 ）- parse_str函数缺陷
本文转载自 先知社区：https://xz.aliyun.com/t/2541 经红日安全审计小组授权。 ----------------------------------------------------------------------------------- 本文由红日安全成员： l1nk3r 前言 大家好，我们是红日安全-代码审计小组。最近我们小组正在做一个PHP代码审计的项目，供大家学习交流，我们给这个项目起了一个名字叫 PHP-Audit-Labs 。 下面是 第7篇代码审计文章： Day 7 - Bell 题目叫做钟，代码如下： ? 漏洞解析 ： 这一关其实是考察变量覆盖漏洞，⽽导致这⼀漏洞的发⽣则是不安全的使⽤ parse_str 函数。 Day7 的分析文章就到这里，我们最后留了一道CTF题目给大家练手，题目如下： index.php //index.php <?
1.2K10发布于 2018-12-10 - 来自专栏python3
#7 Python代码调试
一、代码调试概述 1.1 概述 一个程序员在编写项目的时候，敲代码其实并不会占用太多的时间，占用时间的其实是敲代码之前（整个项目的思路和框架）和敲代码之后（调试代码）。 2.2 print方法例子 1 ''' 2 从下列段落中提取出所有数字，并输出 3 本例结果应该是：49737 4 ''' 5 import re 6 7 8 test = ''' 4 ''' 5 import re 6 7 8 test = ''' JAKARTA, Indonesia—Flag carrier Garuda Indonesia said it is , '3', '7'] 49 这时就会发现原来是result变量有误，预期result效果为['49', '737'] 于是回过头去检查pattern，发现是pattern的锅，应将pattern改为： 聪明的你已经发现代码一进入就执行到了第4行，其实这也很好理解，前面3行都是注释嘛，对代码的执行并没有实际作用，ipdb遇到注释语句会自动跳过的 接下来输入一个n，让那个代码继续执行一行： ?
86350发布于 2020-01-16 - 来自专栏XBD
CentOS7密码安全设置
设置连续输错 5 次口令，账号锁定 5 分钟，先检查 PAM 模块版本，搜索 pam_tally2 是否存在
83510编辑于 2024-08-07 - 来自专栏咻一咻
CentOS Linux 7安全基线检查
操作时建议做好记录或备份 设置密码修改最小间隔时间 | 身份鉴别 描述 设置密码修改最小间隔时间，限制密码更改过于频繁 加固建议 在/etc/login.defs 中将 PASS_MIN_DAYS 参数设置为7- 14之间,建议为7： PASS_MIN_DAYS 7 需同时执行命令为root用户设置： chage --mindays 7 root 操作时建议做好记录或备份 密码复杂度检查 | 身份鉴别 描述 检查密码长度和密码是否使用多种字符类型 | 身份鉴别 描述 确保密码到期警告天数为28或更多 加固建议 在/etc/login.defs 中将 PASS_WARN_AGE 参数设置为7-14之间，建议为7： PASS_WARN_AGE 7 同时执行命令使root用户设置生效： chage --warndays 7 root 操作时建议做好记录或备份 设置SSH空闲超时退出时间 | 服务配置 描述 设置SSH空闲超时退出时间，可降低未授权用户访问其他用户 /sshd_config中取消MaxAuthTries注释符号#，设置最大密码尝试失败次数3-6，建议为4： MaxAuthTries 4 操作时建议做好记录或备份 确保rsyslog服务已启用 | 安全审计
3.1K20发布于 2020-05-29 - 来自专栏啄木鸟软件测试
安全测试工具（连载7）
它是网络管理员必用的软件之一，以及用以评估网络系统安全。本书介绍的nmap版本为V7.40。 nmap的三大功能。 l探测一组主机是否在线。 l扫描 主机端口，嗅探所提供的网络服务。 on 127.0.0.1 Discovered open port 8005/tcp on 127.0.0.1 Discovered open port 5521/tcp on 127.0.0.1 案例7：
1.2K40发布于 2019-12-12 - 来自专栏运维前线
CentOS 7 安全加固、检测、审计
key # if specified --rwo , display only warnings [root@linuxprobe ~]# rkhunter --check --sk Lynis 安全审计工具
2.4K30发布于 2019-05-26 - 来自专栏博文视点Broadview
源代码安全审计
近年来全球影响较大的网络安全事件往往都伴随着供应链安全问题。在供应链安全方向，有与《源代码安全审计基础》一书内容密切相关的软件供应链安全领域。 前卫而时髦的DevSecOps体系，也需要在Dev开发阶段设置代码审计环节。 代码审计在网络安全领域占有重要地位。 所以，代码审计是防御者的优势，理当充分利用。 当然，从理论上，即使进行了代码审计，Bug和安全漏洞也难以在大型复杂软件系统中杜绝。 《源代码安全审计基础》一书旨在让代码审计技术得到更广泛的应用，让更多的技术人员掌握代码审计技术。 由信息产业信息安全测评中心编写的这本书，对教材相对匮乏的代码审计人才培养工作来说是难得的及时雨。 希望本书能为我国培养更多的代码审计工程师、测评师，更好地改善代码的安全性，夯实网络安全基础。 本文来自《源代码安全审计基础》一书序言，作序人潘柱廷。 快快扫码抢购吧！
1.7K30编辑于 2023-05-13 - 来自专栏开源部署
Python代码安全指南
面向开发人员梳理的代码安全指南，旨在梳理 API 层面的风险点并提供详实可行的安全编码方案。基于 DevSecOps 理念，我们希望用开发者更易懂的方式阐述安全编码方案，引导从源头规避漏洞。 Python代码安全指南 图片 通用类 1. 代码实现 代码书写完毕之后的，后续工作，如加密代码之类的！ 代码实现 编写代码是需要考虑和思考的问题！ Flask 安全 使用 Flask 框架编写代码是需要考虑和思考的问题！ Django 安全 使用 Django 框架编写代码是需要考虑和思考的问题！
1.7K20编辑于 2022-06-25 - 来自专栏腾讯安全
低代码+原生安全=？
而云时代面临的传统安全算法滞后、安全边界防御体系失效、攻防节奏加快、数据资产管理机制亟待优化等安全挑战的变化，让相关行业对剔除了反复测试之后的低代码应用开发之安全性释放出了一些担忧。 然而，云环境下传统安全威胁与新生安全问题杂糅的局面，加之云攻击规模的持续扩大，业内人士对低代码这一“自带”安全属性的效用，仍有较大疑虑。 借助云原生安全开箱即用、弹性、自适应、全生命周期防护等的优势，低代码平台上的应用开发将具备“天然”原生安全属性。 毫无疑问，在安全性得到有效解决之后，搭载了云原生安全能力的低代码势必在数字化大潮下解锁出一条迅速升温的发展新赛道。 数字生态下，安全问题尚未有消弭之势，云原生安全正在尝试用“天然”基因的力量，为低代码“锦上添花”，将这种新的开发方式带到更多的业务领域中。一场关于应用开发的安全革新正在悄然升温。
1.1K30发布于 2021-02-03 - 来自专栏FreeBuf
PHP代码安全杂谈
虽然PHP是世界上最好的语言,但是也有一些因为弱类型语言的安全性问题出现。 WordPress历史上就出现过由于PHP本身的缺陷而造成的一些安全性问题，如CVE-2014-0166 中的cookie伪造就是利用了PHP Hash比较的缺陷。 这就会造成混乱的结果：例如，floor((0.1+0.7)*10) 通常会返回 7 而不是预期中的 8，因为该结果内部的表示其实是类似 7.9999999999999991118…。 虽然这样PHP方便了程序员，但是随之而来却会带来一些安全性的问题。 （入门代码审计、CTF必备） 浅谈PHP弱类型安全 NJCTF2017 线上赛 web 题解 CTF之PHP黑魔法总结 Some features of PHP in CTF PHP浮点数运算精度的问题
2.3K60发布于 2018-02-07 - 来自专栏个人路线
绝对安全的代码
引言 不知道大家看过这个电影没，《我是谁：没有绝对安全的系统》， 影片中本杰明是一个这样的人：在三次元现实世界中，他是一个十足的屌丝&Loser，难以找到存在感，没有时尚感、没有朋友，也没有女朋友。 而影片中另一位主人公马克思是一个渴望“黑客世界”的潜在革命者，他注意到了本杰明在 网络方面的惊人才华，马克思、本杰明和神童斯蒂芬以及保罗私人组建了黑客组织CLAY，并且为了正义入侵国际安全系统。 他们凭借高超黑客技术的所为引起了德国秘密警察组织、欧洲刑警组织的重视，并且一个邪恶的黑客将他们视作威胁， 或许在代码的背后，你永远不知道对方的身份，或许你认为没有绝对安全的代码，或许的或许都是或许的猜测 ，其实不然，不信，你看，他来了，该项目目前已获star数49.6k 就足以说明写什么，所以程序员们加油吧，至于这个项目的魅力，真正的是什么，大家可以关注我， 回复“绝对安全的代码” 获取项目地址，然后看一看这个项目的魅力 绝对安全的代码
43030编辑于 2021-12-29 - 来自专栏渗透云笔记
代码审计安全实践
第一次写文章,希望大牛们轻喷 一、代码审计安全 代码编写安全: 程序的两大根本:变量与函数 漏洞形成的条件:可以控制的变量“一切输入都是有害的 ” 变量到达有利用价值的函数（危险函数）“一切进入函数的变量是有害的 变量安全: 秉承一个原则 “一切输入都是有害的” 预定义变量[常规外部提交的变量]: 除了$_GET，$_POST，$_Cookie的提交之外，还来源于$_SERVER，$_ENV， $_SESSION : “什么样的函数导致什么样的漏洞” 文件包含包含漏洞：require、include、require_once、include_once 代码执行执行任意代码漏洞：eval()、assert()、preg_replace 通读全部代码 四、安全编程规范: 1.SQL注入防护 (1)采用预编译,在Java Web开发一般在采用预处理,在sql语句中放入? 这段代码正常执行的情况下是会输出当前用户名的，而我们在php.ini里面吧PHP安全模式打开一下，再重启下WebServer从新加载PHP配置文件，再执行这段代码的时候，我们会看到下面这个提示: Waring
2.1K30发布于 2019-11-11 - 来自专栏有价值炮灰
代码安全审计之道
代码审计是每个安全研究员都应该掌握的技能。但是网上对于代码审计的介绍文章却比较匮乏。 影响代码审计速度的原因有很多，比如: 代码语言: 对于 C/C++ 这种内存不安全的语言需要更多关注底层细节；而 Java、Python 等内存安全的语言则更多关注上层逻辑实现； 代码风格: 代码风格整洁 安全边界 该审计策略的目标是从代码实现去还原开发者或者安全架构师预设的安全边界，从而对还原后安全边界进行进一步审计，构建实际攻击的威胁模型。 key val 起点 所有安全相关的校验和检查代码 终点 安全漏洞 方法 随机应变 目标 通过已知的安全相关代码去推测还原目标的设计的安全边界 难度 ★★★★ 速度 ★★★ 理解 ★★★★★ 一个具体的方法是通过收集整理代码中的安全校验相关代码片段进行记录 这些原始的安全验证是我们对应用安全边界建模的重要信息来源，该策略的优点是可以让我们专注于安全相关的代码区域，并且构建更为完整的设计架构。
2K30编辑于 2023-02-12 - 来自专栏高渡号外
Python代码找bug（7）
Python代码找bug（7） 上期的代码设计需求 猴子吃桃问题：猴子第一天摘下若干个桃子，当即吃了一半，还不过瘾，又多吃了一个；第二天早上又将剩下的桃子吃掉一半，又多吃了一个。 代码如下： ? 请大家仔细阅读代码，找出其中的bug！ 正确答案：共有3个bug。（对答案时间，看看答对了几个？） 就是for循环的代码块的第2行，x1 = x2，谁读懂了这句话？语法的角度，它是一条赋值语句，将x2的值赋值给x1，上面一行代码不是刚刚计算了x1了吗？ （3）巩固赋值语句的用法，防止代码的随意性。 对以上代码阅读还有困难的同学，请翻阅和学习高渡号外前面发送的《Python入门》，或者高渡网站的《Python轻松入门》视频课程。 代码如下： ? 当然，上面的代码是有bug的。那么，bug在哪呢？ 找出来，发到留言里，明天对答案。 提醒，要特别注意格式语法的细节问题。
92920发布于 2020-09-22 - 来自专栏奝-大周
代码审计day7
XSS漏洞 跨站脚本攻击( Cross Site Scripting )是指攻击者利用网站程序对用户输入过滤不足,输入可以显示在页面上对其他用户造成影响的HTML代码,从而盗取用户资料、利用用户身份进行某种动作或者对访问者进行病毒侵害的一种攻击方式
36020发布于 2020-08-19 - 来自专栏日常学python
烂代码&7点建议
5、安全意识 安全问题没发生前都是小事，一旦发生将是不可估量的大事情，几年前CSDN这么大一个网站竟然还闹出将密码用明文存储的笑话，可见程序员的安全意思有多低，密码至少要做HASH存储并加盐处理。 去年时候大疆的程序员将服务器的key上传到github也是典型的安全意思缺乏。什么东西该同步到代码库什么东西不该放要区分清楚。 常见的web安全也要清楚，像SQL注入，CSRF、XSS攻击的基本原理以及如何预防等等。 6、设计与架构 如果设计架构错了，代码写的再好也白搭，好比建房子设计错了，房子在漂亮也华而不实，可能隐藏重大安全隐患。 7、学习交流分享 分享你的所得，和比你厉害的人多交流，多看书学习。
39800发布于 2018-08-08 - 来自专栏网站技术分享
Centos7 安全加固密码规则
Centos7 安全加固密码规则 vi /etc/login.defs PASS_MAX_DAYS 60 # 密码到期时间 #设置密码过期的天数。 用户必须在几天内更改密码。 PASS_WARN_AGE 7 # 密码过期提示时间 #在到期前设置警告的天数。 此设置仅在创建用户时才会产生影响，而不会影响到现有用户。 设定普通用户锁定后，多少时间后解锁，单位是秒； even_deny_root 也限制root用户； root_unlock_time 设定root用户锁定后，多少时间后解锁，单位是秒； Centos7 ssh和vsftp限制IP登录白名单和黑名单（白名单优先级大于黑名单） vi /etc/hosts.deny （黑名单） 最后面加上两行代码的意思是，限制sshd和vsftpd服务所有IP登陆 # hosts.deny sshd:ALL vsftpd:ALL vi /etc/hosts.allow （白名单） 最后面加上的代码意思是，该IP可以访问sshd和vsftpd服务 # hosts.allow This
1.2K20发布于 2021-10-13 - 来自专栏嘉为动态
微软安全公告—2016年7月
微软于北京时间2016年7月12日发布了11个新的安全公告，其中6个为严重等级，5个为重要等级。 ---- 2016年7月新的安全漏洞 以下是所有安全公告的内容，供您参考。 Windows Server 2008（用于 32 位系统）Service Pack 2、Windows Server 2008（用于基于 x64 的系统）Service Pack 2、Windows 7、 周以内重启要求可能要求重启公告IDMS16-087 ▽最高严重级严重受影响软件及其软件版本Microsoft Windows（Windows Vista、Windows Server 2008、Windows 7、 如果用户打开经特殊设计的 Microsoft Office 文件，那么这些漏洞中最严重的漏洞可能允许远程执行代码。成功利用这些漏洞的攻击者可以在当前用户的上下文中运行任意代码。
1.1K50发布于 2018-12-21 - 来自专栏啄木鸟软件测试
软件安全性测试（连载7）
2.3点击挟持 在介绍点击挟持（clickjacking）之前来先看一下以下两段HTML代码。 index.html <! 15 index.html中的图片 index.html代码中“.iframe {”中的“width: 1840px;”和“height: 900px;”是精心设计的CSS参数，使提交按钮正好在两个上升的气球上面 由此可见点击挟持首次出现在2008年，是由互联网安全专家罗伯特·汉森和耶利米·格劳斯曼首创的。就是通过iframe结合CSS技术，使用户在执行某个操作的时候替黑客执行了某个动作。
71910发布于 2019-12-23 - 来自专栏javascript技术
前端安全即JS代码安全，简单前端源码安全探讨！
前端源码安全今天思考下前端源码安全的东西，不讲前端安全的大课题，只是针对于源码部分。在我看来，源码安全有两点，一是防止抄袭，二是防止被攻击。 说了这么多，前端js代码混淆加密怎么做，推荐产品吧，国外有jscrmber，国内有jshaman！关于安全所有的用户输入都是不能相信的，如果后端的检查校验还做得不好，那就可能被攻破。 前端代码的逻辑如果还被了解清楚，那就是雪上加霜。后端的问题我们前端管不着，前端的代码安全，就是用混淆加密解决，让别人看不懂。 _0x17e70b){var _0x56bb8b=function(_0x4ccb21){while(--_0x4ccb21){_0x560c7b['\x70\x75\x73\x68'](_0x560c7b 总结1、前端安全需要重视，将来会越来越被重视，因为它真重要。2、不要进行多文件压缩，不要把html、css、js压到一起，很不明智的做法。3、前端安全，就是js代码安全，对js做混淆加密是正道！
52950编辑于 2023-10-11
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号