- 综合排序
- 最热优先
- 最新优先
- 来自专栏FreeBuf
WiFi安全漏洞：WPA2安全协议遭破解的影响分析
背景介绍 10月16日研究员Mathy Vanhoef公布了对WPA2的秘钥重放重装攻击KRACK ，攻破了十几年没有安全问题的WPA2协议。 WPA2协议 WAP2（Wi-Fi Protected Access 第二版）是 Wi-Fi 联盟对采用 IEEE 802.11i 安全增强功能的产品的认证计划，协议分为3个部分： 认证接入 基于链路层的协议 WPA2安全加密协议在Wi-Fi网络中有何作用？本次破解的危害是什么？ 网络的接入认证不受影响，所以不存在WPA2的无线网络是否会被任意设备接入的问题 2. 现在WPA2安全协议遭破解，影响范围有多大？哪些系统受到影响？ 从论文分析协议漏洞存在的系统如下，因为作者使用的开源wpa_supplicant存在此问题，所以基于wpa_supplicant开发的其他系统也收到了影响，重点是android6.0.1+ ?
2.1K100发布于 2018-02-27 - 来自专栏Seebug漏洞平台
智能合约游戏之殇——Dice2win安全分析
2018年10月12日，Zhiniang Peng from Qihoo 360 Core Security发表了《Not a fair game, Dice2win 公平性分析》，里面提到了关于Dice2win 的3个安全问题。 Dice2win安全性分析 选择中止攻击 让我们来回顾一下dice2win的代码 function placeBet(uint betMask, uint modulo, uint commitLastBlock 上面这种方法的原理和以太坊的区块结构有关，具体可以看《Not a fair game, Dice2win 公平性分析》一文中的分析，但这种方法一定程度的确解决了开奖速度的问题，甚至还减少了上面提到的选择中止攻击的难度 分析攻击合约可以发现该合约中的多个安全问题： 1、Dice2win是一个不断更新的合约，存在多个版本。
99410发布于 2018-11-05 - 来自专栏LoRexxar's Blog
智能合约游戏之殇——Dice2win安全分析
的3个安全问题。 Dice2win安全性分析 选择中止攻击 让我们来回顾一下dice2win的代码 function placeBet(uint betMask, uint modulo, uint commitLastBlock MerikleProofi 的commit 上面这种方法的原理和以太坊的区块结构有关，具体可以看《Not a fair game, Dice2win 公平性分析》一文中的分析，但这种方法一定程度的确解决了开奖速度的问题 分析攻击合约可以发现该合约中的多个安全问题： 1、Dice2win是一个不断更新的合约，存在多个版本。 成功溢出 总结 在回溯分析完整个Dice2win合约之后，我们不难发现，由于智能合约和传统的服务端逻辑不同，导致许多我们惯用的安全思路遇到了更多问题，区块链的不可信原则直接导致了随机数生成方式的难度加深
79210编辑于 2023-02-21 - 来自专栏绿盟科技研究通讯
安全多方计算:(2)隐私信息检索方案汇总分析
3.2基于同态加密的PIR实现 基于同态加密的PIR实现过程如图5所示，此处采用paillier加法半同态加密算法[2]，paillier同态加密算法计算过程参见文献2，此处不赘述，但强调3个paillier 四、方案验证及总结分析 前文对3类PIR方案实现方法做了描述，此处对3类方法做一个全面的比对分析，方便读者对3类方案有一个更直观的理解 4.1本文所提PIR方案理论分析 表1所示的表格，分别从依赖技术 五、总结 本文介绍了安全多方计算中很实用的一类方案——隐私信息检索方案，此类方案可在保护用户隐私的前提下，实现多方数据安全查询。 另外，分别介绍了3种不同的实现方法原理，并对其进行理论对比分析，且对其中的两类方法做了代码实现。通过理论分析和实验对比，能够让读者对隐私信息检索有一个更直观的认识。 包括云安全实验室、安全大数据分析实验室和物联网安全实验室。团队成员由来自清华、北大、哈工大、中科院、北邮等多所重点院校的博士和硕士组成。
6.5K50编辑于 2022-03-11 - 来自专栏绿盟科技研究通讯
5G网络SBA架构HTTP2安全威胁分析
in 5G Service Based Architecture》，由于篇幅问题，本文首先对5G SBA架构及其安全特性进行了介绍，并对5G SBA架构中HTTP/2协议安全威胁进行了分析。 图1 5G SBA架构安全功能 为了实现5G网络SBA架构中网元间的通信（也称为“5G信令”），3GPP选择了HTTP/2协议作为应用层协议，并使用JSON作为该协议的数据格式。 三. 5G SBA中HTTP/2功能安全分析 3.1 流多路复用功能安全威胁 HTTP/2的流多路复用功能允许在单个TCP连接上同时保持多个打开的流，从而提高服务的性能。 3.6 综合分析 虽然5G网络比一般的web使用了更严格的安全措施，降低了HTTP/2攻击的可能性，但是由于5G网络由于其虚拟化的特性，一些HTTP/2的攻击还是有可能被攻击者通过虚拟化的漏洞实现。 5G SBA架构中HTTP/2协议的安全问题进行了讨论和分析。
2.7K30编辑于 2023-08-31 - 来自专栏网站漏洞修补
网站安全公司-数据安全风险分析
现代信息化系统越来越普遍，但对于数据安全方面却有很多问题，数据完整性风险不仅影响信息的有效性，还影响信息正确性的保证。一些政府条例特别注重确保数据的准确性。 如果没有安全预警、授权或审计跟踪就可以更改信息，则无法确保信息的完整性。 1.错误 计算机和存储故障可能损害数据和损害数据完整性。 2.数据删除和数据丢失 数据可能被计算机系统故障或误操作故意或无意毁坏。这些数据可包括财务、组织、个人和审计跟踪信息。防御确保关键数据是多余存储和放置在多个位置。检测维护和审核数据删除的日志。 如果已经出现了数据被篡改的问题，那么可以向网站安全公司求救来解决，国内像SINESAFE，绿盟，启明星辰，鹰盾安全，等等都是解决数据被篡改的安全公司。
2.3K30发布于 2020-08-04 - 来自专栏腾讯研究院的专栏
大数据安全分析
一、引言 单纯的防御措施无法阻止蓄意的攻击者，这已经是大家都认同的事实，应对挑战业界有了诸多方面的探索和实践，而其中最有趣的就非安全分析莫属了，围绕着安全分析展开，我们可以看到大数据、安全智能 、情景感知、威胁情报、数据挖掘、可视化等等，因为这些都是安全分析师手中的武器。 此类数据往往难以从机器中直接获取，但对安全分析会有巨大的帮助，往往要依赖安全体系建设而逐步完善； 2.网络数据：包括FPC（Full Packet Capture，一般是PCAP格式）、会话或Flow 2.量化风险：一旦潜在的威胁名单确定，就需要考虑优先级，一般实现的方式是通过计算威胁影响和概率的乘积，得到每个潜在威胁的风险。虽然这种方法可以提供和威胁相关的量化指标，但毕竟是主观的。 Bianco的关于情报驱动的企业安全监控的讲演（PPT、视频）。 见互联网分析沙龙：CSDN大数据
2.3K60发布于 2018-01-31 - 来自专栏绿盟科技研究通讯
Docker安全配置分析
（2）容器的镜像是否是安全的。关于容器镜像的安全性，比如像镜像的漏洞、恶意程序等问题，之前的文章《容器镜像的脆弱性分析》已经进行了比较全面的分析，这里就不再过多介绍了。 （3）容器运行时是否是安全的。 2. 容器环境脆弱性分析 本小节将从三个方面，简单介绍容器基础设施/运行环境的安全性。 对比这两个结果可以发现，1/2/3/6/7这五部分的结果是完全一样的，第四部分原来的2个PASS的内容变成了WARN，第五部分的内容进行了检测。 至于第五部分的内容，涉及到运行时，不同的容器可能结果会不同，因此这里不再详细分析。 由于篇幅的限制，这里就不再对结果进行详细分析了。 点击此链接，下载《2018绿盟科技容器安全技术报告》完整版。
2.4K20发布于 2019-12-11 - 来自专栏python基础文章
网络安全——网络层安全协议（2）
(2)广域网：路由器到路由器模式，网关到网关模式。 (3）远程访问：拨号客户机，专网对Internet的访问。 （1）安全体系结构。包含一般的概念、安全需求和定义IPSec的技术机制。 （2）ESP协议。加密IP数据包的默认值、头部格式以及与加密封装相关的其他条款。 （3）AH协议。 SA（安全关联)）表示了策略实施的具体细节，包括源/目的地址、应用协议、SPI（安全策略索引）等；SAD为进入和外出包处理维持一个活动的SA列表；SPD决定了整个VPN的安全需求。 ---- 2. （2）在IPSec驱动程序数据库中查找相匹配的出站SA，并将SA中的SPI插人IPSec包头。 （3）对数据包签名(完整性检查)；如果要求机密，则另外加密数据包。 （2）通过目的地址和SPI，在IPSec驱动程序数据库中查找相匹配的人站SA。 （3）检查签名，对数据包进行解密(如果是加密包的话)。
1.2K20编辑于 2023-10-15 - 来自专栏蓝天
strerror线程安全分析
strerror线程安全分析.pdf strerror是否线程安全了？ 答案是NO，但它有个线程安全的版本：strerror_r。 errnum); int strerror_r(int errnum, char *buf, size_t buflen); /* GNU-specific */ 那么，在多线程中使用strerror是否安全了 答案是不一定，一定情况下也是非常安全的。 不安全会造成内存违规访问吗？也就是会发生SIGSEGV吗？答案是NO，仍是内存安全的，但是可能会返回错乱的字符串。 那么，在多线程程序中，什么情况下使用strerror是绝对安全的了？如果参数errnum是一个已知的errno，则使用strerror是绝对安全的，也就是会返回期待的字符串，而不会出现乱码。 saved_errno); if (buf == NULL) return _("Unknown error"); return __strerror_r (errnum, buf, 1024); } 附2：
1.8K30发布于 2018-08-10 - 来自专栏nft市场
智能合约安全——delegatecall (2)
目标合约漏洞分析这次的攻击目标依然是获得 HackMe 合约中的 owner 权限，我们可以看到两个合约中除了 HackMe 合约中的构造函数可以修改合约的 owner 其他地方并没有修改 owner Attack.attack() 函数先将自己的地址转换为 uint256 类型（这一步是为了兼容目标合约中的数据类型）第一次调用 HackMe.doSomething() 函数；2.
52320编辑于 2022-08-03 - 来自专栏python基础文章
网络安全协议（2）
CC标准是现阶段最完整的信息技术安全性评估准则。 CC标准将信息技术安全要求分为“功能”和“保证”两大部分。 1.CC安全测评体系分析 CC是一个庞大的体系，仅文档就有1111页。 国内的很多操作系统测评是建立在CC标准上的，所以非常有必要对CC标准的使用方法以及用CC标准进行安全测评的方法、流程和步骤进行分析和总结。 2.CC体系一共包括3大部分 分别是：信息技术安全性评价通用准则，信息技术安全评价通用方法，通用准则识别协议。 该部分是CC的总体结构简介，定义了信息技术安全性评估的一般概念和原理，并提出了评估的一般模型。整个评估的过程都要遵循这个一般模型。 第2部分：安全功能组件。 EAL.7：形式化地验证设计和测试级，证明TOE的所有安全功能经得起全面的形式化分析 安全级别和组件之间的关系可以用一张表概括，如表1-2所示。
1.1K50编辑于 2023-10-15 - 来自专栏智能大数据分析
【大数据安全】数据管理安全&安全分析&隐私保护
大数据平台中安全策略管理的特性具体要求如下： （1）大数据平台应具备对安全规则进行集中管理的功能，并且支持对安全规则的远程配置和修订； （2）对密钥和口令相关的帐户支持集中化管理，包括帐户的创建、删除 （5）对需要还原使用的敏感数据采用可逆加密算法加密，禁止使用不安全的加密算法加密敏感数据。 2、密钥的安全 密钥的安全管理对于整个大数据平台的安全性至关重要。 大数据平台密文数据搜索安全的特性描述如下： （1）采用业界标准的安全密码算法加密目标敏感数据，如AES-CBC 加密算法； （2）采用业界标准的安全密码算法生成关键词的安全索引，如HMAC-SHA256 二、安全分析 （一）大数据安全分析架构 1、数据采集 数据采集包括日志采集和原始流量采集，日志采集器负责日志采集，流探针负责原始流采集。 （2）HTTP Tunnel 检测是通过对一个时间窗内同组源/目的IP之间的HTTP报文协议字段进行分析和比较，从而发现HTTP Tunnel异常通信。
5K10编辑于 2025-01-22 - 来自专栏渗透测试专栏
渗透测试web安全综述(2)——Web安全概述
Web安全事件分析 新浪微博遭受攻击事件 2011年6月28日晚新浪微博遭受攻击，新浪微博突然出现大范围“中毒”，大量用户自动发送带链接的微博与私信，并自动关注一位名为helosamy的用户。 首先，黑客通过对新浪微博的分析测试，发现新浪名人堂部分由于代码过滤不严导致 XSS漏洞的存在，并可以通过构造脚本的方式植入恶意代码。 通过分析发现，在新浪名人堂部分中，当提交http://weibo.com/pub /star/g/xyyyd">? type=update，而由于应用程序没有对参数g做充足的过滤且将参数值直接显示在页面中，相当于 weibo.com 在页面中嵌入了一个来自于 2kt.cn的JS脚本。 撞库也是黑客与大数据方式进行结合的一种产物，黑客们将泄漏的用户数据整合分析，然后集中归档后形成的一种攻击方式。
83320编辑于 2024-09-27 - 来自专栏python基础文章
网络安全——数据链路层安全协议（2）
前言 本章将会讲解局域网中的数据链路层安全协议 一.局域网数据链路层安全协议 在IEEE802局域网标准中，涉及局域网安全的协议标准主要有802.10和802.1q。 ---- （2）IEEE802.10的应用模式 IEEE802.10协议最初的目的是制定一个互操作的局域网安全标准但没有得到业界的响应和支持。 ---- 2.IEEE 802.1q 早期VLAN在网络之间很难实施，每个VLAN都被手动配置在每个交换机上。对VLAN的管理，在一个延伸的网络中是非常复杂的任务。 图2表示了不同Cisco交换机之间的IEEE802.1g干线。 IEEE802.1p/g同属一个协议集，使用同一赖格式，它们是在传统的以太网帧格式中插入了一个标记（Tag)字段，占两个字节，如图2-5所示。
78620编辑于 2023-10-15 - 来自专栏python基础文章
网络安全——数据链路层安全协议（2）
前言 本章将会讲解局域网中的数据链路层安全协议 一.局域网数据链路层安全协议 在IEEE802局域网标准中，涉及局域网安全的协议标准主要有802.10和802.1q。 ---- （2）IEEE802.10的应用模式 IEEE802.10协议最初的目的是制定一个互操作的局域网安全标准但没有得到业界的响应和支持。 ---- 2.IEEE 802.1q 早期VLAN在网络之间很难实施，每个VLAN都被手动配置在每个交换机上。对VLAN的管理，在一个延伸的网络中是非常复杂的任务。 图2表示了不同Cisco交换机之间的IEEE802.1g干线。 IEEE802.1p/g同属一个协议集，使用同一赖格式，它们是在传统的以太网帧格式中插入了一个标记（Tag)字段，占两个字节，如图2-5所示。
57030编辑于 2023-10-15 - 来自专栏极安御信安全研究院
游戏安全丨喊话CALL分析-分析参数
文章主要内容是有参CALL如何分析参数，在写汇编时如何把参数写进去以及如何调用。以喊话CALL为例，喊话CALL是用代码来调用，打印任意的话。 1.打开x86dbg，文件-附加-打开游戏2.bp send（设置send函数的断点）回车，断点，再运行3.在游戏中，点击“当前”，输入123456，再运行x86dbg4.点击调用堆栈，找到断点，复制整个表格 5.新建分析文本，粘贴整个表格，只留下主线程，在第三层74开始分析6.运行，然后断点禁用或删除7.Ctrl+G返回到这里，确定8.返回到是Nop，它的上一层就是调用的call，可以看到有三个参数rdx、 +G返回到这里，确定10.2测试rdx，在当前多喊几次话，发现寄存器没有值，所以认为rdx是写死的值-010.3再切换主队，发现rdx有变化，所以判定rdx是说话的方式10.4当前模式是0，组队模式是2， rax13.4 Rcx=那个call的返回值13.4.1进一层，Rax就是call的返回值+48，然后取值13.4.2再进去一层，发现一个基址放在rax里13.4.3 Rcx=[0x基址+0x48]到此数据分析的四个参数已经都找到了
90120编辑于 2022-06-23 - 来自专栏java相关
线程安全问题分析
当多个线程并发访问同一个内存地址并且内存地址保存的值是可变的时候可能会发生线程安全问题，因此需要内存数据共享机制来保证线程安全问题。 } } 创建100个task，每个task对map中的元素累加100此，程序执行结果为： {count=9846} 而预期的正确结果为： {count=10000} 至于出现这种问题的原因，下面会具体分析 判断是否有线程安全性的一个原则是： 是否有多线程访问可变的共享变量 2.多线程的优势 发挥多处理器的强大能力，提高效率和程序吞吐量 3.并发带来的风险 使用并发程序带来的主要风险有以下三种： 3.1.安全性问题 为了所有线程都可以看到共享变量的最新值，所有线程应该使用同一个锁 原则： ==除非需要跟高的可见性，否则应该将所有的域都声明为私有的，除非需要某个域是可变的，否则应该讲所有的域生命为final的== 2. DeadLock { private static final Object[] LOCK_ARRAY; static { LOCK_ARRAY = new Object[2]
86320发布于 2018-07-24 - 来自专栏FreeBuf
安全研究 | Jenkins漏洞分析
该漏洞通过将AST转换注释（如@Grab）应用于源代码元素，可以在脚本编译阶段避免脚本安全沙箱保护。 CloudBeesJenkinsCI1.650之前版本和LTS1.642.2之前版本的remoting模块中存在安全漏洞。远程攻击者可通过打开JRMP监听程序利用该漏洞执行任意代码。 9、CVE-2019-1003005 Jenkins远程代码执行 9.1、漏洞描述 Jenkins脚本安全插件1.50及更早版本的src/main/java/org/jenkinsci/plugins/ %22%2C+%22jobFilteringType%22%3A+%22ALL%22%2C+%22jobNameRegex%22%3A+%22%22%2C+%22jobFilter%22%3A+%22% CloudBees Jenkins Git Plugin 3.7.0及之前版本中的GitStatus.java文件存在安全漏洞。攻击者可利用该漏洞获取节点和用户列表。
7.9K10发布于 2020-07-29 - 来自专栏Bypass
Web日志安全分析技巧
通过对WEB日志进行的安全分析，不仅可以帮助我们定位攻击者，还可以帮助我们还原攻击路径，找到网站存在的安全漏洞并进行修复。 本文通过介绍Web日志安全分析时的思路和常用的一些技巧。 0x02 日志分析技巧 在对WEB日志进行安全分析时，一般可以按照两种思路展开，逐步深入，还原整个攻击过程。 Apache日志分析技巧： 1、列出当天访问次数最多的IP命令： cut -d- -f 1 log_file|uniq -c | sort -rn | head -20 2、查看当天有多少个IP访问： "$2"."$3". "$2".
1.6K40发布于 2019-07-08
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号