摘要：随机生成算法太弱。假设小明同学在这个时间点登录了应用，那么中，除去了时间戳外就只有是破解的变量了。只需猜次即可获取小明的账户权限。登录验证凭具来源乐吧随机算法在安全中的重要性 在展开文章之前，先给大家看一段代码: 坑 is here ...
摘要：人工排查肯定比较麻烦，建议开发者使用阿里聚安全提供的安全扫描服务，在上线前进行自动化的安全扫描，尽早发现并规避这样的风险。 作者：伊樵、呆狐@阿里聚安全 1 Content Provider组件简介 Content Provider组件是Android应用的重要组件之一，管理对...
摘要：记录自余弦在上的演讲程序员与黑客防御就是提高攻击的成本架构思想一黑客思维应该贯穿整个公司的业务架构研发运维理想状态技术团队每个人都有黑客思维思想二优美的架构一定是健壮的想象下生态系统有漏洞被黑很正常快速自愈是关键思想三优美的架构一定 ...
摘要：探测端口开放原理就是向目标发送请求，看是否有回应。端口判定为不通。扫描批量目标扫描批量目标使用的并发队列功能，去执行的执行单个任务，在扫描前做了一些额外的工作把浏览器屏蔽的端口过滤掉了，收到的状态就是。 0×00 前言 前两天 freebuf上的...
摘要：安装打开配置文件，进行配置写入到这里，就是我个人从上次被黑当中总结的一些基本的服务器安全，而至于群里大神说的跳板机的方案，容我再消化消化再尝试部署起来。总结服务一些基本的安全配置得跟上。服务器一旦被入侵，不急。 首先，VPS 服务器被黑怎...
摘要：中国银行某站存在命令执行漏洞爱奇艺主站某处漏洞可导致任意文件读取某平台配置不当导致数据泄露在上，总能发现很多类似的漏洞提交，而这些，都归功于白帽子作出的贡献。经确认并评出漏洞等级后级为最高，我们会送出相应的奖品表示特别的感谢。 showIm...
摘要：在本文的第一部分，我们了解了网络浏览器所存储的与用户相关的信息与数据。如何对用户产生影响计算机存储的大部分数据看起来都没什么危害，当然，由网络浏览器通过自动完成功能在有意无意间存储的信用卡号与账单信息除外。 【编者按】本文最早发布于 S...
摘要：是否修改成功可以通过查看随后我们需要确定目标函数的地址，这个有两种方法。如果目标程序本身没有被的话，那些都是存在的，因此可以使用和等方法来获取目标函数地址。 0x00 序 随着移动安全越来越火，各种调试工具也都层出不穷，但因为环境和需求的不...
摘要：阿里聚安全的应用漏洞扫描服务，可以检测出应用的文件目录遍历风险。阿里聚安全对开发者建议对重要的压缩包文件进行数字签名校验，校验通过才进行解压。 1、ZIP文件目录遍历简介 因为ZIP压缩包文件中允许存在../的字符串，攻击者可以利用多个../...
摘要：三刷榜僵尸分析应用是主包解密后植入到系统目录的应用，该应用是一款转用于恶意刷榜的病毒，利用用户设备账户信息作为刷榜僵尸，完成对控制端指定应用的恶意刷榜。 作者：逆巴、如凌@阿里聚安全 背景： 随着移动端应用市场数量爆炸式增长，App推广和曝...
摘要：梆梆安全梆梆的整体流程和其他的差不多，可以选择安全评估和应用加固是否同时进行。其中对速度影响最大的是梆梆安全。通过这次的评测，可以发现测试的应用采用通付盾的加固后，兼容性出现了大幅度下降只有。 前言：由于安卓APP是基于Java的，所以极容...
摘要：公司最近一份题为选择成为年首席信息安全官还是选择灭亡的报告强调，首席信息安全官的角色正在向专于变更管理与过程监督的业务经理转变。新的信息安全职业道路对于造就新一代的安全领导者是必需的。 随着计算机网络技术的高速发展，一个企业的安全状况...
摘要：是一个有趣的实例，他们使用的是自动化技术，同时结合了自动化工作流程进行人工检查，从而保证零误报率，且业务逻辑测试达到的类覆盖率。 而今，大多数应用都依赖于像入侵防护系统（Instrusion Prevention System）和 Web 应用防火墙（Web Application...
摘要：在十年未变安全，谁之责上中，我们介绍了安全领域的现状和新的解决方案，那么究竟是什么它在应用安全多变的今天又能带给我们什么样效果我们将通过何种方式才能打赢这场与黑客之间的攻坚战呢应用安全行业快速发展的数十年间，出现了许多巨变。 在 十年...
摘要：在服务器做出响应时，为了提高安全性，在响应头中可以使用的各种响应头字段。用于防止等跨站脚本攻击。用于防止跨站脚本攻击或数据注入攻击但是，如果设定不当，则网站中的部分脚本代码有可能失效。用于指定所有子域名同样使用该策略。 在 Web 服务器...
摘要：许多公司都投资于或之类的静态分析安全测试，解决方案。用静态分析方法确保编程安全一书详细描述了静态分析技术的基本原理。博士将静态分析无法找出的诸多安全问题归为瑕疵，而非程序错误。 静态分析安全测试（SAST）是指不运行被测程序本身，仅通过分...
摘要：曾提出一份报告，针对机构应该如何优先管理积极风险的问题，提出了考虑将作为企业应用程序安全的主流选择的建议。的设计目的是实时消除恶意应用程序行为，并发出警报来提醒组织优先处理关键事务。 Aberdeen 曾提出一份报告，针对机构应该如何优先管理...
摘要：本文分析了生成用于加密的随机数的相关问题。没有提供一种简单的机制来生成密码学上强壮的随机数，但是通过引入几个函数来解决了这个问题。呢缺省情况下，不提供强壮的随机数发生器。如果你想要使用可靠的随机数据源，如你在本文所见，建议尽快使用和 ...
摘要：条件语句这是最容易进行防御性编程的地方之一，也是最容易满足的地方。语法和命名的一致性一致性是一个灰色地带它更多的是关于编码标准之类的，但它和防御性编程也有联系。假设是具有防御性编程习惯的程序员最大的敌人。 菲纳格动态逆定律： 会出错的...
摘要：高效的应用安全以三个强大的应用安全引擎，分别是模式识别会话保护和签名库。同时，探针采用的模式识别应用安全引擎能有效防护前文提到的攻击，以及许多其他攻击。 自从 Web 应用能给访问者提供丰富的内容之后，黑客们就把目光转向任何他们能够破坏，...
摘要：根据年的报告看一下都有哪些常见攻击。来自安全测试之有这么个网页，查询的结果和查询的关键字都会显示到网页上。安全是个大领域，暂时先到这里，以后有时间再总结写别的。安全测试之拒绝服务攻击知乎讨论浅谈攻击方式 搞web离不开security这个话题，...
摘要：注入攻击将注入攻击和跨站脚本攻击列入网络应用程序十大常见安全风险。这种类别的攻击包括跨站脚本攻击注入攻击头部注入攻击日志注入攻击和全路径暴露。注入攻击目前最常见的注入攻击形式是臭名昭著的注入攻击。 注入攻击 OWASP将注入攻击和跨站脚本攻...
摘要：文件完整性监测持续监控您的云服务器，保护重要的系统二进制文件和配置文件不会受到未经授权的或恶意的变更。首先会记录下云服务器系统的清洁状态，作为基准。您可以通过一个在线管理控制台，监控所有的云服务器。 DEVSECOPS 所面临的挑战 敏捷开发和 ...
摘要：浏览器的同源策略并不能够避免来自于恶意站点的提交。为了保证输入数据的完整性，服务器端务必要进行数据校验。输入验证即是保证实际输入与应用预期的输入的一致性。因此验证输入时保证系统安全性与防卫危险的第一道防线。 Github Repo：https://gith...
摘要：安卓渗透框架架构浅析架构组成和自定义模块标签空格分隔简介是开发的一款针对系统的安全测试框架。感兴趣的可以阅读的相关源码地址是一个安装在测试安卓机上轻量级，并且只申请一个权限，是为了用来和进行连接的。 安卓渗透框架－Drozer架构浅析--架构...
ChatGPT和Sora等AI大模型应用，将AI大模型和算力需求的热度不断带上新的台阶。哪里可以获得...
大模型的训练用4090是不合适的，但推理（inference/serving）用4090不能说合适，...
图示为GPU性能排行榜，我们可以看到所有GPU的原始相关性能图表。同时根据训练、推理能力由高到低做了...
89542767
社区管理员
白马啸西风