- 综合排序
- 最热优先
- 最新优先
- 来自专栏code人生
Golang漏洞管理
我们欢迎您的反馈[3]，以帮助我们改进！ 要报告Go项目中的漏洞，请参阅Go安全政策[4]。 架构 Go中的漏洞管理包括以下高级组件： •数据管道从各种来源收集漏洞信息，包括国家漏洞数据库（NVD）[5]、GitHub咨询数据库[6]，以及直接从Go包维护者[7]那里获得的信息。 govulncheck为您的项目提供了一种低噪音、可靠的方式来查找已知的漏洞。 资源 Go漏洞数据库 Go漏洞数据库[12]包含来自许多现有来源的信息，除此之外还有直接报告给Go安全团队的信息。 我们鼓励包维护者贡献[15]有关其自己项目中公共漏洞的信息，并向我们发送减少阻力的建议[16]。 Go漏洞检测 Go的漏洞检测旨在为Go用户提供一种低噪音、可靠的方式，以了解可能影响其项目的已知漏洞。 cnblogs: 恋水无意[31] References [1] 这里: https://go.dev/security/vuln/ [2] pkg.go.dev: https://pkg.go.dev/ [3]
92740编辑于 2023-10-16 - 来自专栏渗透测试专栏
渗透测试逻辑漏洞原理与验证(3)——会话管理问题
，那么攻击者可以通过各种方式使用户在登录时使用HTTP协议在用户使用HTTPS协议登录后，如果网页在加载像图片等静态资源时使用的是HTTP协议，用户的会话令牌还是可以通过此泄露在日志中泄露令牌协助网络管理人员的系统日志如果记录了最近的会话日志 ，且未对访问控制进行严格管理，那么在此种情况下，攻击者可能通过日志获得登录会话如果应用程序将会话置于URL中，那么这些会话会被记录在:用户浏览器的日志中Web服务器日志企业或ISP代理服务器日志反向代理服务器日志任何站外服务器的 会话固定认证前就发布令牌认证后获得的会话令牌可重新用于其他用户认证应用程序接受伪造令牌令牌不失效令牌有效期过长是否需要在一段时间后使令牌失效是否需要在关闭浏览器时使令牌失效令牌尝试次数过多可以考虑在令牌提交次数过多时候使令牌失效无效的令牌重置的手段注销后令牌是否还有效会话管理问题
81310编辑于 2024-12-12 - 来自专栏Linux运维
漏洞扫描与管理：使用 Nessus、OpenVAS 工具进行漏洞管理
漏洞扫描与管理：使用Nessus、OpenVAS工具进行漏洞管理一、前言：为什么漏洞管理是安全体系的核心在现代企业安全体系中，漏洞管理是最基础、最关键的环节之一。 二、漏洞管理的完整生命周期（可复用框架）一个成熟的漏洞管理体系通常包含以下六个阶段：阶段目标关键动作1.资产识别明确扫描对象建立资产清单、分类分级2.漏洞扫描发现潜在风险使用Nessus/OpenVAS 执行扫描3.漏洞分析判断风险优先级结合CVSS、业务重要性评估4.修复与加固处理漏洞补丁、配置加固、替换组件5.验证与复扫确认修复效果再次扫描验证漏洞是否关闭6.报告与持续改进沉淀经验输出报告、优化流程这套框架可直接用于企业安全制度 4.结合CVSS+业务重要性评估漏洞优先级CVSS评分资产重要性漏洞可利用性（是否有PoC/EXP）5.建立漏洞修复SLA风险等级修复时限Critical24–48小时High3–7天Medium7–30 ）只是漏洞管理体系的一部分。
54910编辑于 2026-01-07 - 来自专栏madMen
Go 的漏洞管理
原文：Vulnerability Management for Go[1] 译者：madneal[2] welcome to star my articles-translator[3], providing Any suggestion, please issue or contact me[4] LICENSE: MIT[5] 我们很高兴地宣布 Go 对漏洞管理的新支持，这是我们帮助 Go 开发人员了解可能影响他们的已知漏洞的第一步 Go 漏洞数据库 Go 漏洞数据库 (https://vuln.go.dev) 是有关公共 Go 模块中可导入包中已知漏洞的综合信息源。 通过 VS Code Go 扩展的漏洞检查功能也即将推出。 下一步 我们希望你会发现 Go 对漏洞管理的支持很有用，并帮助我们改进它！ Go 对漏洞管理的支持是一项正在积极开发的新功能。 Vulnerability Management for Go: https://go.dev/blog/vuln [2] madneal: https://github.com/madneal [3]
1.3K30编辑于 2022-11-22 - 来自专栏漏洞复现
H3C IMC智能管理中心命令执行漏洞
2FVjHHu8Mzg5DOvNevzs7hejq6rdj4T4AEDVrPMQS0HaIH%2BN7wC8zMZWsCJkXkY8GDcnOjhiwhQEL0l68qrO%2BEb%2F60MLarNPqOIBhF3RWB25h3q3vyESuWGkcTjJLlYOxHVJh3VhCou7OICpx3NcTTdwaRLlw7sMIUbF %2BLylDFB3dcYIgZtZoaSMAV3pyNoOzHy%2B1UtHe1nL97jJUCjUEbIOUPn70hyab29iHYAf3%2B9h0aurkyJVR28jIQlF4nT0nZqpixP 2FVjHHu8Mzg5DOvNevzs7hejq6rdj4T4AEDVrPMQS0HaIH%2BN7wC8zMZWsCJkXkY8GDcnOjhiwhQEL0l68qrO%2BEb%2F60MLarNPqOIBhF3RWB25h3q3vyESuWGkcTjJLlYOxHVJh3VhCou7OICpx3NcTTdwaRLlw7sMIUbF %2BLylDFB3dcYIgZtZoaSMAV3pyNoOzHy%2B1UtHe1nL97jJUCjUEbIOUPn70hyab29iHYAf3%2B9h0aurkyJVR28jIQlF4nT0nZqpixP 2FVjHHu8Mzg5DOvNevzs7hejq6rdj4T4AEDVrPMQS0HaIH%2BN7wC8zMZWsCJkXkY8GDcnOjhiwhQEL0l68qrO%2BEb%2F60MLarNPqOIBhF3RWB25h3q3vyESuWGkcTjJLlYOxHVJh3VhCou7OICpx3NcTTdwaRLlw7sMIUbF
1.4K10编辑于 2024-03-12 - 来自专栏LuckySec网络安全
漏洞管理平台-洞察贰
0x01 洞察简介 洞察由宜信安全部开发，集成应用系统资产管理、漏洞全生命周期管理、安全知识库管理三位一体的管理平台。 洞察2.0版本，可以让用户方便快捷地进行风险管理，更加直观和实时地了解和处置自己的安全隐患。提升漏洞修复效率，同时进行安全风险管理功能联动。 技术维度： 易于集成到现有系统：前后端分离，文档完备，接口简单清晰，Restful API 同时支持Python2/3环境 部署简单，支持docker compose一键构建 技术架构 后端：Python Aa2020 后台地址：http://localhost:8000/#/admin (3) 版本更新 sudo docker-compose pull && sudo docker-compose up
2.6K70编辑于 2022-11-02 - 来自专栏FreeBuf
漏洞预警 | Harbor任意管理员注册漏洞
一、前言 Harbor是一个用于存储和分发Docker镜像的企业级Registry服务器，通过添加一些企业必需的功能特性，例如安全、标识和管理等，扩展了开源Docker Distribution。 另外，Harbor也提供了高级的安全特性，诸如用户管理，访问控制和活动审计等。 二、漏洞简介 近日Harbor曝出一个垂直越权漏洞，因注册模块对参数校验不严格，可导致任意管理员注册。 三、漏洞危害 经斗象安全应急响应团队分析，攻击者可以通过注册管理员账号来接管Harbor镜像仓库，从而写入恶意镜像，最终可以感染使用此仓库的客户端。 四、影响范围 产品 Harbor 版本 1.7.0-1.8.2 版本 Harbor 五、漏洞复现 经斗象安全应急响应团队分析，漏洞确实存在，可以越权注册管理员账号。 ?
2.1K30发布于 2019-09-24 - 来自专栏科技云报道
漏洞管理受重视，企业如何做好漏洞评估？
近日，《网络产品安全漏洞管理规定》的出台引起了业界的热议，《规定》对网络产品安全漏洞发现、报告、修补和发布等行为进行规范，以防范网络安全风险。 漏洞管理有了制度约束 近日，为了规范网络产品安全漏洞发现、报告、修补和发布等行为，防范网络安全风险，工业和信息化部、国家互联网信息办公室、公安部联合印发《网络产品安全漏洞管理规定》，对在我国的网络产品（ 网络产品安全漏洞管理有了制度的规范，不管是网络产品的提供者和网络运营者，或是从事网络产品安全漏洞活动的组织或者个人，对于其他企业来说，针对漏洞的管理，做好漏洞评估，也是防范安全风险的重要手段。 3.收集目标信息 在规则建立和范围确定后，确定渗透测试类型——白盒、灰盒或黑盒测试。 重视漏洞管理，做好漏洞评估，将为企业网络安全建设带来事半功倍的效果。
2.3K20编辑于 2022-04-16 - 来自专栏世荣的博客
搭建漏洞环境-实战-3
#这里我用的是天翼网盘(百度盘实在太难用了) https://cloud.189.cn/t/ay6fauFV3u6v 访问密码:j6wl image.png 安装时会提示找不到MSVCR110.dll文件
42330编辑于 2022-03-18 - 来自专栏陈哥聊测试
DevSecOps 中的漏洞管理（上）
IT安全领导者应该在他们的组织中采用有效的漏洞管理实践来实施适当的DevSecOps。漏洞管理漏洞管理是一种帮助组织识别、评估、确定优先级并修复系统中漏洞的做法。 最终，漏洞管理的目标是通过使用修补、加固和配置管理等技术来降低漏洞带来的风险。这有助于确保安全性，同时限制恶意用户可能利用的风险。IT安全的主要职责是防范漏洞。 漏洞管理和DevSecOps组合为了在DevSecOps项目中有一个良好的开端，在应用程序开发的早期——最好是在开始编写代码之前——就集成安全目标。 访问管理是需要与DevSecOps集成的下一个重要原则。我们需要确保应用程序编写相关的安全性和性能指标。需要执行角色工程，定义与每个角色相关的角色和访问权限——需要定义标准的天生权利角色。 安全扫描和漏洞管理甚至在产品/项目投入生产后仍在继续。我们需要确保通过适当的配置管理将自动补丁应用到产品的最新版本。确保产品运行的是软件及其代码的最新稳定版本。
61120编辑于 2023-09-05 - 来自专栏陈哥聊测试
DevSecOps 中的漏洞管理（下）
建立漏洞管理程序以支持DevSecOps在讨论DevSecOps及DevOps模型中包含安全性的重要性时，建立有效的漏洞管理实践是非常重要的。这可以通过将漏洞管理设置为程序来实现。 如果没有以正确的方式进行配置，作为代码的基础设施可能会为漏洞开辟多种途径。因此，正确实施DevSecOps可以首先缓解漏洞，而正确的漏洞管理可以补救开放的漏洞。 通过漏洞管理实践实现高效应用程序安全的步骤，直到操作成熟：1.漏洞管理评估评估对于了解IT组织的环境非常重要。这将使我们能够优先考虑避免风险的漏洞类型——分析漏洞风险并关注紧急情况。 我们可以定义、识别和监控已知或新出现的漏洞的端点。2. 身份和访问管理需要高效的IAM（Identity and Access Management，身份识别与访问管理）来主动防止漏洞的打开。 IAM的优势如下：确保数据机密性数据安全阻止恶意软件攻击将组织门户仅限于所需的各方3.SAST 和 DAST扫描SAST:静态应用程序安全测试分析程序源代码，以识别安全漏洞。
49420编辑于 2023-09-11 - 来自专栏我的安全视界观
从敏捷视角看漏洞管理
建立人人参与安全的文化、持续优化安全工具检测规则、所有漏洞聚合关联资产进行管理，推动“高可用”漏洞的闭环，实现快速交付更安全的软件。 02 — 漏洞敏捷管理实践 2.1 问题汇总 面对诸多安全工具构成的安全检测链，即使是单个系统也会产生不少漏洞，有的甚至在静态代码扫描环节就能爆出数万甚至几十万个漏洞，对于漏洞的处置难度极大、闭环基本上不太可能做到 2.3 敏捷开发中漏洞管理建议 敏捷开发中的漏洞管理与常规的漏洞管理有什么不同呢？其实是在于发现漏洞的环节更多、扫描工具更加自动化，导致产生的漏洞在相同时间更多，带来的难度和挑战更大。 就漏洞的管理方案而言，会更加全面和具有整体性，大致可从以下三个方面入手： 关注漏洞预防工作源头解决漏洞：应用系统方面，进行安全编码、第三方开源组件检测；操作系统与服务方面，进行安全配置规范、对主机进行安全加固 建制度、策略、系统，加强漏洞修复能力：公司管理制度制定，规范漏洞管理、明确职责分工、制定奖惩机制；漏洞分级抓大放小，高危必修+资产属性，筛选高危中的危险漏洞，实现精细化管理；线上漏洞跟进处置，安全资产平台漏洞导入
1.4K30编辑于 2022-12-20 - 来自专栏FreeBuf
企业安全实践之漏洞管理
在对漏洞的扫描中，我也不断提升自己的认知，特别是跟安全厂商的学习交流以及自己在freebuf、安全客这些社区中徜徉各种安全知识，慢慢对漏洞的管理有了更多的认识。 总结：在做漏洞处理的时候，就像玩贪吃蛇，你需要对漏洞各个击破，才能有效地把漏洞管理起来，形成一条漏洞修复链。 当我在威胁情报中心获知某一产品的版本漏洞时，我会在公司内部的管理员群组中同步信息，并将漏洞详情发给使用该产品的负责人，让他从应用安全的角度协助处理。 总结：我喜欢这样的团队配合，在公司的漏洞管理工作中，遵循PDCA的原则，对漏洞有一个闭环的过程。漏洞管理本是一个漫长的过程，需要把各方资源调动起来，有效地防御才是能给人一种打怪成功的感觉。 漏洞管理只是我在公司做的一部分网络安全的工作，面对复杂的网络安全管理体系，我希望可以借助漏洞管理的经验，在整个网络安全架构下，横向和纵向扩展开来，有计划地并行开展着，确保企业安全有序进行。
1.5K20发布于 2021-09-16 - 来自专栏安恒信息
企业安全管理：整合漏洞管理到开发过程
软件开发人员也是人，这就是说，高级的应用程序代码也可能包含错误和漏洞。因此，每个软件开发过程都应该对新应用程序代码进行漏洞扫描。 但并不是所有开发人员都采取相同的方式来发现漏洞，并且很少有开发人员能够捕捉所有代码漏洞。 编码错误的影响非常严重。在2013年，通用电气公司监控软件中的一个漏洞导致电源被切断，估计影响了5千万用户。 而HTC美国公司在修改其Android上的软件后，面临着美国联邦贸易委员会的民事诉讼，另外，Windows手机也带来了很多安全漏洞。 而实现这一目标的关键之意就是在应用程序开发过程整合漏洞管理。 要知道，在应用程序发布后发现漏洞的成本是开发期间的30倍。
1.1K90发布于 2018-04-09 - 来自专栏技术杂记
RabbitMQ管理3
list_user_permissions 可以查看指定用户在不同vhost中的权限
25410编辑于 2022-04-23 - 来自专栏潇湘信安
好用的开源漏洞管理平台
工具介绍 安全面临两个具有挑战性的目标：开发获取新信息的智能方法以及有效管理和加强补救工作。通过使用 Faraday，您可以优先考虑漏洞发现，而我们则协助您完成剩余的任务。 Faraday 精心打造，优化漏洞管理流程。它擅长规范、跟踪和识别来自 90 多种不同安全工具的资产和漏洞数据。 https://raw.githubusercontent.com/infobyte/faraday/master/docker-compose.yaml docker-compose up PyPi pip3 faraday_venv $ source faraday_venv/bin/activate $ git clone git@github.com:infobyte/faraday.git $ pip3 pip3 install faraday-cli Faraday Agents Dispatcher是一款工具，使Faraday能够从平台远程运行扫描仪或工具并获取结果。
3.3K10编辑于 2024-01-10 - 来自专栏零零实验室
论漏洞管理平台的自我修养
漏洞挖掘和漏洞管理就像一个无底洞，是一个永远不能填平的坑。 漏洞管理这个概念业界提出来也是有很久了，但是一直没有特别好的实践案例。 3、工作结果数据杂 在企业安全管理的过程中，安全漏洞管理是复杂繁琐、让人头痛的事情，漏洞录入、跟进、处理、验证、修复完成整个循坏下来。 在具体的漏洞管理工作中，我们面临的问题远远不止上述这些。那么一个好的漏洞管理平台需要具备哪些自我修养，才能解决上述问题呢？ 并可以通过漏洞管理系统统一下发各类漏洞检测任务至第三方服务商，形成更加高效的协作方式，提高效率、方便管理； 第四：可将资产和漏洞数据对内部的统一安全管理平台开放，提供为统一安全管理平台输入资产和漏洞相关数据的能力 3、及时响应： 第一：及时的1day漏洞响应能力，可快速通过资产台账各类指纹条件进行过滤，定位受影响资产，及时决策； 第二：通过SAAS化的漏洞响应中心快速通报和同步新漏洞的POC，协助客户快速验证漏洞是否存在于企业内部资产中
1.2K10发布于 2021-07-20 - 来自专栏云云众生s
重新思考漏洞管理中的风险
他于2009年加入Red Hat，并一直在安全领域工作，专注于Linux、操作安全和漏洞管理等方面已经有多年经验。 以前行之有效的方法在这个水平上已经不再适用，因此我们需要审视导致我们最终又回到了风险的漏洞管理实践的根本，。 误解漏洞管理的最终目标和与之相关的成本意味着我们将继续投资于一个回报递减的领域，同时可能忽视那些回报率更高的领域。 是时候审视和讨论关于补丁管理的传统信仰，以便我们可以聚焦于一个真正基于风险缓解的未来，不仅仅局限于软件。 我们需要一种平衡的方法，专注于数据保护，采用“设计时安全，默认时安全”等安全原则，自动化和更好的测试、配置管理和监测变更，以及人员教育。
45210编辑于 2024-03-28 Claroty 增强漏洞和风险管理功能
Claroty的新风险框架可帮助CISO优化CPS网络风险状况评估Claroty最新的漏洞和风险管理增强功能建立在业界领先的CPS可视化和发现功能的基础上，可进一步使CISO及其团队通过以下方式有效且高效地了解和量化其 Claroty根据利用可能性、资产重要性和影响，对漏洞进行优先级划分Claroty最新增强的漏洞和风险管理解决方案进一步使CISO及其团队能够通过以下方式有效且高效地优先考虑影响其CPS环境的漏洞：根据利用可能性 ，自动确定漏洞的优先级目前，Claroty的漏洞和风险管理产品是业界第一个根据已知被利用的漏洞(KEV)目录、漏洞利用预测评分系统(EPSS)中最新状况和预测的可利用性指标，来丰富所有漏洞并将其分配到优先级组 Claroty增强漏洞和风险管理功能· 新的风险框架· 新的漏洞优先级划分方法综上所述，Claroty针对CPS漏洞和风险管理的最新增强功能包括：1. 提供业界最精细、最灵活的CPS风险评分框架。 随着CISO及其团队在管理CPS网络风险方面不断面临新的挑战，Claroty决心帮助客户减轻痛点，Claroty推出最新的漏洞和风险管理增强功能即可证明了这一点。
24510编辑于 2025-06-12- 来自专栏云计算运维
Linux内核内存管理与漏洞利用
前言 网上已经有很多关于Linux内核内存管理的分析和介绍了，但是不影响我再写一篇：一方面是作为其他文章的补充，另一方面则是自己学习的记录、总结和沉淀。 理解这个问题至关重要，经过翻阅多种资料和文章，可以大概这么回答： 1.Slab是一种缓存策略 2.Slab是一片缓冲区 3.Slab是一个或者多个连续的page 在内核代码中，我们能看到SLAB、SLOB 【文章福利】【Linux内核内存管理专题训练营】火热开营！！ 最新Linux内核技术详解 独家Linux内核内存管理干货分享 入营地址：inux内核内存管理专题训练营 两天持续技术输出： -------------------- 第一天： 1.物理内存映射及空间划分 缺页中断处理/反向映射 7.回收页面/匿名页面生命周期 8.KSM实现/Dirty COW内存漏洞 kmem_cache kmem_cache是Slab的主要管理结构，申请和释放对象都需要经过该结构操作
2.9K00发布于 2021-08-30
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号