摘要：参考文献白帽子讲安全亚马逊购买地址链接前言浏览器作为客户端，也是我们用户上网的直接入口，所以浏览器的安全就是用户安全的第一道屏障。同源策略同源策略是浏览器最核心最基本的安全功能。不同源的客户端脚本在没明确授权的情况下，不能读写对方的资...
摘要：上篇中篇回顾通过收费情况样本测试后的扫描时间漏洞项对比以及扫描能力这几个方面对阿里聚安全漏洞扫描腾讯金刚审计系统百度移动云测试中心以及进行了对比分析。我推测百度对于此类漏洞的检测规则是判断是否有这个函数。 上篇、中篇回顾：通过收费情况...
摘要：广东省的仿冒应用感染设备量最大，占全国的。该案例中的主要分发渠道是应用市场，网盘与伪基站短信。电信行业分析大运营商中，中国移动手机营业厅的仿冒量最大，占。中国互联网仿冒态势分析报告版本下载，请点击这里更多互联网安全报告，请访问阿里聚安...
摘要：二十多年来，跨站脚本简称漏洞一直是主流网站的心头之痛。大多数主流网站，包括谷歌，，以及，都曾受过漏洞的影响。而且，诸如运行时应用自我保护等网关安全技术也有助于检测并防御对漏洞的攻击。 二十多年来，跨站脚本（简称 XSS）漏洞一直是主流网站...
摘要：如果一定要用的话，那么就需要注意一下下面这些安全相关的问题。全局变量和内置函数在执行的代码中，默认可以访问执行时的局部变量和全局变量，同样也会修改全局变量。所以我们的检查代码可以这样写我所知道的使用函数时需要注意的安全问题就是这些了。...
摘要：随机生成算法太弱。假设小明同学在这个时间点登录了应用，那么中，除去了时间戳外就只有是破解的变量了。只需猜次即可获取小明的账户权限。登录验证凭具来源乐吧随机算法在安全中的重要性 在展开文章之前，先给大家看一段代码: 坑 is here ...
摘要：人工排查肯定比较麻烦，建议开发者使用阿里聚安全提供的安全扫描服务，在上线前进行自动化的安全扫描，尽早发现并规避这样的风险。 作者：伊樵、呆狐@阿里聚安全 1 Content Provider组件简介 Content Provider组件是Android应用的重要组件之一，管理对...
摘要：记录自余弦在上的演讲程序员与黑客防御就是提高攻击的成本架构思想一黑客思维应该贯穿整个公司的业务架构研发运维理想状态技术团队每个人都有黑客思维思想二优美的架构一定是健壮的想象下生态系统有漏洞被黑很正常快速自愈是关键思想三优美的架构一定 ...
摘要：探测端口开放原理就是向目标发送请求，看是否有回应。端口判定为不通。扫描批量目标扫描批量目标使用的并发队列功能，去执行的执行单个任务，在扫描前做了一些额外的工作把浏览器屏蔽的端口过滤掉了，收到的状态就是。 0×00 前言 前两天 freebuf上的...
摘要：安装打开配置文件，进行配置写入到这里，就是我个人从上次被黑当中总结的一些基本的服务器安全，而至于群里大神说的跳板机的方案，容我再消化消化再尝试部署起来。总结服务一些基本的安全配置得跟上。服务器一旦被入侵，不急。 首先，VPS 服务器被黑怎...
摘要：中国银行某站存在命令执行漏洞爱奇艺主站某处漏洞可导致任意文件读取某平台配置不当导致数据泄露在上，总能发现很多类似的漏洞提交，而这些，都归功于白帽子作出的贡献。经确认并评出漏洞等级后级为最高，我们会送出相应的奖品表示特别的感谢。 showIm...
摘要：在本文的第一部分，我们了解了网络浏览器所存储的与用户相关的信息与数据。如何对用户产生影响计算机存储的大部分数据看起来都没什么危害，当然，由网络浏览器通过自动完成功能在有意无意间存储的信用卡号与账单信息除外。 【编者按】本文最早发布于 S...
摘要：是否修改成功可以通过查看随后我们需要确定目标函数的地址，这个有两种方法。如果目标程序本身没有被的话，那些都是存在的，因此可以使用和等方法来获取目标函数地址。 0x00 序 随着移动安全越来越火，各种调试工具也都层出不穷，但因为环境和需求的不...
摘要：阿里聚安全的应用漏洞扫描服务，可以检测出应用的文件目录遍历风险。阿里聚安全对开发者建议对重要的压缩包文件进行数字签名校验，校验通过才进行解压。 1、ZIP文件目录遍历简介 因为ZIP压缩包文件中允许存在../的字符串，攻击者可以利用多个../...
摘要：三刷榜僵尸分析应用是主包解密后植入到系统目录的应用，该应用是一款转用于恶意刷榜的病毒，利用用户设备账户信息作为刷榜僵尸，完成对控制端指定应用的恶意刷榜。 作者：逆巴、如凌@阿里聚安全 背景： 随着移动端应用市场数量爆炸式增长，App推广和曝...
摘要：梆梆安全梆梆的整体流程和其他的差不多，可以选择安全评估和应用加固是否同时进行。其中对速度影响最大的是梆梆安全。通过这次的评测，可以发现测试的应用采用通付盾的加固后，兼容性出现了大幅度下降只有。 前言：由于安卓APP是基于Java的，所以极容...
摘要：公司最近一份题为选择成为年首席信息安全官还是选择灭亡的报告强调，首席信息安全官的角色正在向专于变更管理与过程监督的业务经理转变。新的信息安全职业道路对于造就新一代的安全领导者是必需的。 随着计算机网络技术的高速发展，一个企业的安全状况...
摘要：是一个有趣的实例，他们使用的是自动化技术，同时结合了自动化工作流程进行人工检查，从而保证零误报率，且业务逻辑测试达到的类覆盖率。 而今，大多数应用都依赖于像入侵防护系统（Instrusion Prevention System）和 Web 应用防火墙（Web Application...
摘要：在十年未变安全，谁之责上中，我们介绍了安全领域的现状和新的解决方案，那么究竟是什么它在应用安全多变的今天又能带给我们什么样效果我们将通过何种方式才能打赢这场与黑客之间的攻坚战呢应用安全行业快速发展的数十年间，出现了许多巨变。 在 十年...
摘要：在服务器做出响应时，为了提高安全性，在响应头中可以使用的各种响应头字段。用于防止等跨站脚本攻击。用于防止跨站脚本攻击或数据注入攻击但是，如果设定不当，则网站中的部分脚本代码有可能失效。用于指定所有子域名同样使用该策略。 在 Web 服务器...
摘要：许多公司都投资于或之类的静态分析安全测试，解决方案。用静态分析方法确保编程安全一书详细描述了静态分析技术的基本原理。博士将静态分析无法找出的诸多安全问题归为瑕疵，而非程序错误。 静态分析安全测试（SAST）是指不运行被测程序本身，仅通过分...
摘要：曾提出一份报告，针对机构应该如何优先管理积极风险的问题，提出了考虑将作为企业应用程序安全的主流选择的建议。的设计目的是实时消除恶意应用程序行为，并发出警报来提醒组织优先处理关键事务。 Aberdeen 曾提出一份报告，针对机构应该如何优先管理...
摘要：本文分析了生成用于加密的随机数的相关问题。没有提供一种简单的机制来生成密码学上强壮的随机数，但是通过引入几个函数来解决了这个问题。呢缺省情况下，不提供强壮的随机数发生器。如果你想要使用可靠的随机数据源，如你在本文所见，建议尽快使用和 ...
摘要：条件语句这是最容易进行防御性编程的地方之一，也是最容易满足的地方。语法和命名的一致性一致性是一个灰色地带它更多的是关于编码标准之类的，但它和防御性编程也有联系。假设是具有防御性编程习惯的程序员最大的敌人。 菲纳格动态逆定律： 会出错的...
ChatGPT和Sora等AI大模型应用，将AI大模型和算力需求的热度不断带上新的台阶。哪里可以获得...
一、活动亮点：全球31个节点覆盖 + 线路升级，跨境业务福音！爆款云主机0.5折起：香港、海外多节点...
大模型的训练用4090是不合适的，但推理（inference/serving）用4090不能说合适，...
89542767
社区管理员
白马啸西风