- 综合排序
- 最热优先
- 最新优先
- 来自专栏网络安全攻防
XXE靶机攻防实践
靶机攻防 攻击主机 这里我们使用Kali linux和Windows 11作为本次攻击主机： 信息收集 由于靶机和攻击者主机Kali处于同一网段，所以我们进行一次网段扫描探测，最终确定靶机IP地址为192.168.204.138
22910编辑于 2024-03-12 - 来自专栏FreeBuf
ATM机渗透测试的攻防实践
还有部分敏感信息会被硬编码到代码之中 通过拦截流量，可以篡改操纵服务器和应用之间传递的敏感信息 检查应用和数据库之间是否存在明文通信协议 反逆向的保护措施 2.应用设计审查： 在这一点中，我们可以检查应用中的一些安全实践内容 将未经授权的文件重命名为一个安全软件的进程名，这可能导致应用程序启动时会执行那个未授权文件 通过注册表进行未授权威胁检测： 检查是否重要的注册表键可以被修改，或者未授权软件是否可以在windows启动目录执行 ATM的最佳安全实践 银行可以通过进行安全最佳实践来减少攻击者的攻击面，这部分也可以分为三类： 对物理攻击的防护 防止对银行卡的扫描窃读 检测和防止伪造的ATM接口对银行卡的截取 防止肩窥（偷瞄）攻击 实现DV捕捉ATM用户面部特征和记录时间戳 功能和未授权硬盘的保护 强化系统和打上最新的补丁 给ATM机上的应用、服务、进程加白名单 ATM机系统上需要用最小特权的用户运行 文件完整性检查 确保事务日志的安全 使用安全信道进行通信交易 在ATM应用上配置安全最佳实践
1.5K60发布于 2018-02-09 - 来自专栏黑白天安全团队
RASP的安全攻防研究实践
那么我们在攻击者的角度，面对rasp就束手无策了吗，本文就将介绍在攻击者的角度针对rasp的对抗技术研究以及实践 2.前言 前段时间研究了一下JRASP的代码，在研究过程中看到了2022年Kcon会议上徐元振 (pyn3rd)、黄雨喆(Glassy)两位安全研究员分享的议题《RASP攻防下的黑魔法》，借此机会总结了下相关的绕过方式和技巧，并通过实践的方式研究其攻击绕过原理。 改类的ClassLoader不可达 因为Rasp是通过JavaAgent加载进JVM中的，因此会用自己的ClassLoader，想法就是通过破坏ClassLoader和类的引用再调用GC来卸载掉，但是后续实践的时候发现条件太苛刻
2.9K20编辑于 2023-01-31 - 来自专栏绿盟科技研究通讯
《云原生安全： 攻防实践与体系构建》解读：动手实践篇
在《〈云原生安全： 攻防实践与体系构建〉解读：攻防对抗篇》中，我们为大家介绍了《云原生安全：攻防实践与体系构建》书中精彩的攻防对抗技术与案例。 事实上，无论是对于一线负责攻防的同学，还是对于相关安全研究的同学来说，实践是掌握这些技能、理解这些威胁及设计合理防御机制的关键。纸上得来终觉浅，绝知此事要躬行。 同时，由本书作者团队开发维护的开源云原生攻防靶场Metarget能够自动化搭建本书涉及到的绝大多数漏洞环境，项目地址为：https://github.com/Metarget/metarget。 希望大家通过本书的学习和实践，能够理解云原生安全，并将其应用到云原生落地中。一起努力，让云原生变得更安全！ 本文选自《云原生安全：攻防实践与体系构建》，经出版方授权发布。 本书面向实战攻防，分析了云原生体系每层的安全风险与威胁，并根据各类攻击场景，有针对性地设计了面向云原生架构的安全防护体系。
2.7K50发布于 2021-11-10 - 来自专栏云安全社区
Cloud RedTeam视角下元数据服务攻防实践
文章首发于：火线 Zone-云安全社区zone.huoxian.cn/ 作者：高瑞强 高瑞强，腾讯安全云鼎实验室，目前从事云上攻防安全相关的研究工作。 今天分享的主题是《Cloud RedTeam 视角下元数据服务攻防实践》。 纵观云上的攻击事件，以及近期的一些热点事件，大家不难发现，元数据服务攻击事件频繁的发生。 如果在传统的攻防中，如果一个应用存在SSRF漏洞，虽然漏洞比较严重，但是也并不会产生如此严重的影响。这个就是传统漏洞与云上结合所带来的更深远的影响。 大家可以看到上面图片，这个是云鼎实验室推出的云安全攻防矩阵，在攻防矩阵的阶段中，可能会出现到刚才给大家介绍的实例元数据服务的利用情况，相当于一个技术攻击，纵观整个矩阵，可以发现云服务器的元数据服务，也是攻击者所常用的攻击切入点 云原生安全攻防全景图，这个攻防全景图从五个大部分来描述了一下云原生的安全攻防的一个场景。主要是从容器基础设施、云原生应用安全、云原生安全工具、云厂商产品安全风险、容器编排平台的攻防技术来描述的。
2K30编辑于 2022-03-14 漏洞攻防研究者的技术思考与实践
研究如何攻击系统并非出于"行善"的动机，而是因为解决安全难题本身充满乐趣。这与选择成为公设辩护人或庇护所工作者的动机不同——后者由利他主义驱动，而安全研究更接近解谜游戏。
10400编辑于 2025-08-08- 来自专栏腾讯安全应急响应中心
流量分析在安全攻防上的探索实践
从毕业进部门，一直从事DDoS网络攻防对抗工作，先后负责安全系统的后台开发和策略运营，近段时间也在基于流量层面对传统安全能力增强进行尝试。 流量分析已被应用于多个领域，如带宽资源的合理性管控、网络链路排障以及本文所要探索的安全攻防领域。 常见的机制有Pcap（如网工必备应用tcpdump，但用作高性能收包现在已较少了）、Pfring（印象中是最早提出并实践了零拷贝Zero-Copy理念）、DPDK（Intel的解决方案，这几年使用非常流行 【场景】 将流量分析应用于安全攻防领域，除了在网络层异常检测和拦截上的天然契合，对于主机安全、应用安全都能起到不错的能力补充增强。 若扫描器不能解析JS则不能主动发现） （根据流量识别出的风险页面对外开放） [4、 云时代安全能力 ] 如果流量足够多、类型足够丰富，那基于流量层面进行威胁情报建设、pdns积累、0day发现等都有实践意义
1.2K97发布于 2020-04-26 - 来自专栏绿盟科技研究通讯
《云原生安全： 攻防实践与体系构建》解读：业务安全篇
《云原生安全： 攻防实践与体系构建》解读：业务安全篇 随着云原生技术的发展，业务系统从原有的单体架构逐步转换为微服务架构。微服务架构使应用的开发和业务的扩展变得更加便利，同时也带来了许多新的安全问题。 各位读者将在《云原生安全：攻防实践与体系构建》书籍中找到答案。 《云原生安全：攻防实践与体系构建》书籍中融合了笔者以及其他作者在业务安全上的研究经验，盼望此书籍可为广大读者在微服务业务安全上的研究提供帮助。 本文旨在对《云原生安全：攻防实践与体系构建》书籍中的业务安全部分进行精华解读。若需要详细了解云原生业务安全或希望对云原生安全有更加宏观的了解，请参照具体书中章节，若有任何问题可随时联系作者。 本文选自《云原生安全：攻防实践与体系构建》，经出版方授权发布。 END
1.1K30发布于 2021-11-10 Java RASP攻防实践与腾讯云应用层防护价值
量化RASP应用效果与关键业务指标 专家资质验证：演讲人张亚龙（钱塘征信安全攻防研究员）披露，其获腾讯安全众测平台总榜Top 6、EDUSRC安全众测总榜Top 1、阿里云先知众测梅花A，累计挖掘国内外大型通用系统 （数据来源：演讲人张亚龙（钱塘征信安全攻防研究员）技术分享《深入Java RASP攻防：原理剖析与绕过》及腾讯云安全公开材料）
1700编辑于 2026-04-04- 来自专栏人工智能应用
大模型提示词漏洞攻防测试：技术分析与实践指南
本文将深入探讨大模型提示词漏洞的攻防测试，包括漏洞的类型、攻击技术、防御策略、测试方法以及最佳实践。 提示词漏洞攻防测试方。 4.1 攻防测试框架 建立一个系统化的框架来评估和测试大模型的提示词安全性： 4.1.1 测试目标定义 明确测试的目标和范围。 识别需要保护的关键功能和信。 攻防测试工具与框。 6.1 开源测试工。 6.1.1 GARAK GARAK是一个专门用于LLM漏洞评估的开源工具，支持多种攻击向量测试。 最佳实践与未来趋势 7.1 提示词安全最佳实。 7.1.1 防御深度策略 实施多层防御，不依赖单一安全措施。 **系统级防。*：提示词设计、输入验证、沙箱执。 **模型级防。 *：实施安全控制，遵循安全编码实践 测试阶段：执行全面的安全测试 部署阶段：安全配置，最小权限原。
1.5K00编辑于 2025-08-01 - 来自专栏云鼎实验室的专栏
浅谈云上攻防系列——云IAM原理&风险以及最佳实践
云IAM风险案例 纵观近年来的云安全大事件，其中不乏有很多由于漏洞、错误配置以及错误使用云IAM导致的严重云安全事件，下文我们将回顾几个真实的云IAM安全事件，从IAM漏洞、IAM凭据泄露与错误实践等几个方面来了解云 云IAM最佳实践 通过对云上身份与访问管理安全的研究，我们在这里总结出12条针对云IAM的最佳实践，以帮助正确的配置以及使用IAM。
3.6K41编辑于 2022-08-29 大模型提示词漏洞攻防测试：技术分析与实践指南
本文将深入探讨大模型提示词漏洞的攻防，包括漏洞的类型、攻击技术、防御策略、测试方法以及最佳实践。我们需要理解这些新型威胁，并开发有效的防御机制，以确保AI系统的安全可靠运行。1. 提示词漏洞攻防测试4.1 攻防测试框架我们首先需要建立一个系统化的框架，来评估和测试大模型的提示词安全性：4.1.1 测试目标定义然后应该明确测试的目标和范围。识别需要保护的关键功能和信息。 通过实施本文讨论的最佳实践，组织可以显著提高其AI系统的安全性和可靠性。随着攻击技术的不断演变，提示词安全将继续是一个动态的领域。持续的研究、测试和知识共享对于保持领先于新兴威胁至关重要。
1.2K00编辑于 2025-07-27- 来自专栏公共互联网反网络钓鱼（APCN）
金融行业可信 AI 安全体系构建与攻防实践研究
AI 在提升效率的同时，也被攻击者用于扩大攻击规模、降低技术门槛、提升隐蔽性，形成攻防不对称格局。 本文以 IBM 在金融 AI 安全领域的实践框架为核心，结合工程实现、合规要求、攻防对抗，构建覆盖风险分析、技术防御、治理体系、未来演进的完整研究脉络，确保论点闭环、技术严谨、落地可行。 2.3 攻防对抗下的金融安全新范式AI 使攻防进入高速循环：攻击侧追求规模化与低成本，防御侧追求实时性与精准度。 IBM 实践表明，云韧性是金融 AI 安全的底座，AI 系统依赖云提供弹性算力与分布式数据，云平台脆弱性直接传导至 AI 模型与业务应用。 持续研究攻防对抗、技术实现、治理体系，对推动行业高质量发展具有重要理论与实践价值。编辑：芦笛（公共互联网反网络钓鱼工作组）
15410编辑于 2026-03-31 - 来自专栏RASP社区
攻防演练 | 攻防在即，RASP为上
信息安全的关键因素是人，有人的地方就有江湖，江湖中避免不了攻防博弈，而博弈是攻防双方采用越来越新的技术进行较量的过程。对于国家、企事业单位甚至个人而言，守护安全防线，确保数据不遗失是最终目的。 而且，攻防演练活动自兴起以来，越来越常态化。但是，每年的这个时刻，都是攻防双方激烈博弈、尤为紧张的时刻。 ，可谓是神经紧绷、夜晚失眠、饭菜不香，真希望攻防演练的活动抓紧结束，避免自身丢分，被吊打的很惨。 图片众所周知，在攻防中为了牢固防线安全运营团队会部署安全防护工具、制定安全解决方案对防线进行实施保护。 而且，RASP技术集合BAS技术可以在攻防演练活动中实现自动化检测，对安全威胁进行验证，确保安全链路完整。正因此，RASP技术可以更好的在攻防演练中发挥作用，确保防线安全，避免防守方丢分。
97930编辑于 2023-04-19 - 来自专栏全栈程序员必看
XXE攻防
参考 [红日安全]Web安全Day8 – XXE实战攻防 浅谈XXE攻击 XXE漏洞利用技巧：从XML到远程代码执行 未知攻焉知防——XXE漏洞攻防 XXE从入门到放弃 浅谈XXE漏洞攻击与防御
1.5K20编辑于 2022-08-31 - 来自专栏Khan安全团队
Redis攻防
简单来说 redis 就是一个数据库，不过与传统数据库不同的是 redis 的数据是存在内存中的，所以读写速度非常快，因此 redis 被广泛应用于缓存方向，redis默认端口是6379，由于redis被广泛使用，自然而然安全区域也备受挑战。
1.3K20发布于 2021-01-11 - 来自专栏FreeBuf
无线攻防：wifi攻防从破解到钓鱼
RTL-SDR、USRP、HackRF、及BladeRF等外设的价格下降，软件环境社区的完善，使现在对无线网络的研究已经不再像以前只能利用2.4GHz的无线网卡进行狭义的“无线”攻防。
9.4K42发布于 2021-08-24 - 来自专栏红蓝对抗
攻防|记一次攻防案例总结
朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把“亿人安全“设为星标”，否则可能就看不到了啦在某头部直辖市的攻防演练中，各家安全厂商投入了大量人力物力...而我方基本未做准备，只有小米加步枪， 且看如何不用0day如何连下数城前言几个月前打了一场某头部直辖市的攻防演练，演练当时通知的很急促，没做什么准备直接小米加步枪上阵了...在此过程中，很多个没用到0day的打点案例都很有意思，下面就简单分享一下案例一 RCE的话，历史上主要有“默认X-API-Key”和“Dashboard未授权访问”两个洞可以用过往挖某SRC的时候，就遇到过默认X-API-Key导致可直接创建执行lua代码的恶意路由的问题恰巧这次攻防演练中 难怪用不了使用该JWT，通过webpack提取到的api，访问后端API，拿下大量敏感信息，达千万量级，防止burp卡死，仅列出部分后言不断提升识别攻击面、利用攻击面的广度与深度，是一名hacker的核心素养攻防之中 ，拥有充足的经验，而又不陷入经验主义的迂腐，面对万难，而又不放弃思考，是出奇制胜的关键所在原文经过过文作者授权转载原文作者：奇安信攻防社区（J0o1ey）原文地址：https://forum.butian.net
1.2K20编辑于 2023-12-25 - 来自专栏悟空聊架构 | 公众号
【云安全最佳实践】学习 Web攻防的一点心得
一、何为 Web 攻防前端 Web 系统经常遭受网络攻击，为了预防这些网络攻击，我们需要了解一些常见的攻击手段。 图片二、Web 攻防常见漏洞1、XSS✨XSS 全称是 Cross Site Scripting(即跨站脚本攻击)，是一种代码注入攻击。为了和 CSS 区分，故叫它XSS。
84000编辑于 2022-11-15 - 来自专栏红蓝对抗
攻防|记一次市级攻防演练
时间 时间在22年护网结束之后，8月中旬左右，当时公司接了一个市级的攻防演练，作为实习生的我，有幸和师傅一起参加，也是我第一次以红队身份参加，当然，更多的还是蹭师傅的光 拿了第一有个感谢信（O(∩_∩ 端口开放： 成果五：某公司MongoDB未授权漏洞（空口令） 这个比较容易，fofa搜了下发现27017端口，遂尝试 成果六：某公司OA注入+任意文件上传 首先是某OA的注入获取shell 攻防开始前已经被上传马了 结尾 我也是第一次参加，虽然每边分到90多个url，但是一半多都是门户网站，一开始说内网可以打，过了一天又不让打了，当时因为cs的版本上线还有点问题纠结好久，然后星期五开始写报告就结束了这次攻防演练
1K61编辑于 2023-02-28
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号