随笔分类 - Security
基于验证码URL负载请求形成DDos
摘要:背景 随着技术的发展,人们对于系统安全性和用户体验的要求越来越高。传统的图形验证码虽然在一定程度上能够防止恶意攻击,但用户体验相对较差,且存在被破解的风险。因此,大多数网站系统逐渐采用行为验证码来代替图片验证码。行为验证码是指通过用户行为来验证用户身份的验证码,如滑动拼图、识别图片中的特定物品等。它
阅读全文
Nginx安全基线
摘要:背景 中间件安全是指保护中间件软件和服务的安全性,防止被恶意攻击或者滥用。中间件软件在操作系统和应用程序之间提供通信和集成功能,是信息系统中的重要组成部分。常见的中间件软件包括Apache、IIS、Tomcat、WebLogic、WebSphere、Jboss等。由于中间件在系统中的关键位置,其安全
阅读全文
AI辅助安全测试案例某电商-供应链平台平台安全漏洞
摘要:AI辅助安全测试案例某电商-供应链平台平台安全漏洞背景 无意发现国內某政企采购集团系统入口前端,我们今天初步评估Web安全如何。https://xxxxwww.cn/#/login我们使用AI工具大模型辅助指导渗透测试完整的反馈建议路径探索(Path Traversal)是一种常见的Web应用安全测
阅读全文
全栈信息系统安全指南
摘要:全栈安全保护软件应用的每一层,包括前端、后端、基础设施和网络。它通过采用强大的安全措施来应对漏洞,利用工具和实践来保持数据完整性,防止未经授权的访问,并确保合规性,特别是在应用程序扩展并与各种技术和平台集成时更为重要。理解每个应用层所需的安全措施对于开发人员来说至关重要,以确保全面的保护。本文探讨了
阅读全文
基于源代码泄露安全渗透测试
摘要:基于源代码泄露安全渗透测试 某小型互联网公司,自述公司“专注于互联网领域,在互联网行业经过14年的发展,现已拥有一支强大的专业团队。” 但今天我们进行初步web渗透过程,发现存在严重安全漏洞,详细如下一. 动态扫描网站入口通过企查查查询该公司基本工商信息,通过官网发现与获取到其建设的SaaS平台UR
阅读全文
ReconSage一个快速的在线子域名扫描工具
摘要:ReconSage一个快速的在线子域名扫描工具https://www.reconsage.com/tools/scan-subdomain如下示例:子域名扫描工具的主要作用是帮助用户发现和枚举目标域名下的所有子域名。这些工具通过不同的技术手段,如字典枚举、API调用、搜索引擎查询等,来识别和展示目标
阅读全文
基于等保3.0的MySQL数据库审计日志插件实践
摘要:基于等保3.0的MySQL数据库审计日志插件实践背景网络安全等级保护制度3.0等保3.0(即网络安全等级保护制度3.0版本)信息安全技术等级保护基本要求(GB/T 22239-2019),作为信息安全等级保护的最新标准,对数据审计日志的要求是出于多方面的考虑。对MySQL数据库审计日志的要求主要体现
阅读全文
信息系统安全运维整改参考
摘要:信息系统安全运维整改参考部署架构图部署架构图通过图形化的方式,直观地展示了系统各个组件之间的物理或逻辑关系、部署方式以及相互之间的依赖关系。这使得运维人员能够快速理解系统的整体架构,无需深入阅读大量文字描述。在系统规划阶段,部署架构图有助于运维人员明确系统的硬件和软件需求,以及各组件的部署位置。在系
阅读全文
FastJson引入存在DDos攻击安全漏洞案例分析
摘要:FastJson引入存在DDos攻击安全漏洞案例分析背景 某集团公司门户网站接口存在DDos攻击安全漏洞,其他服务端工程中依赖Fastjson进行序列化。Fastjson是阿里巴巴开发的一款高性能的Java JSON处理库。本身在处理JSON数据时可能存在安全性问题,如JSON注入攻击。DDoS攻击
阅读全文
Cloudflare网址扫描器
摘要:Cloudflare URL Scanner(Cloudflare 网址扫描器)是 Cloudflare 提供的一项服务,它可以帮助网站管理员和用户检测和预防恶意软件、钓鱼网站和其他网络安全威胁。这项服务通常集成在 Cloudflare 的安全产品中,使用场景包括但不限于:网站安全监测:自动扫描网站
阅读全文
AIGC信息安全-在应用系统中安全防范过程实践应用
摘要:AIGC信息安全-信息系统中安全防范过程应用一、强密码的规则长度要求:密码至少应为8-12个字符,最好超过14个字符。字符复杂性:密码应包含大写字母、小写字母、数字和特殊字符(如!@#$%^&*)。避免常见词汇:避免使用常见单词、用户名、生日等易于猜测的信息。定期更改:建议定期更改密码(如每90天)
阅读全文
XX信息系统弱口令下渗透过程与解决方案
摘要:XX信息系统弱口令下渗透过程与解决方案背景 笔者在负责信息系统安全过程中,简单实施WEB系统渗透测试过程。常见场景问题:1. 弱口令 在网络安全中,弱口令(weak password)指的是那些容易被他人猜测到或被破解工具轻易破解的密码。这些密码通常缺乏足够的复杂性和安全性,无法有效保护用户的账户和
阅读全文
文件上传漏洞防范-文件类型检测
摘要:文件上传漏洞防范-文件类型检测 当时需要开发一个功能,管理员可以上传一个包含不良词语的文本文件。系统利用这些词语实时检查用户提交的内容。上传的文件需要遵循特定的格式。 为了防止用户上传文本文件以外的文件,我们可以在前端进行操作。<input type="file" accept="text/plai
阅读全文
Spring Boot 安全性最佳实践
摘要:Spring Boot 安全性最佳实践 1.实施 HTTPSHTTPS 在传输过程中对数据进行加密,防止未经授权的各方截获和破译敏感信息。这对于处理用户凭证、金融交易或任何其他机密数据的应用程序尤为重要。因此,安全通信是不容置疑的。您必须使用 HTTPS 来保护传输中的数据。在应用程序属性中,确保启
阅读全文
慢速 HTTP 拒绝服务: 分析利用和缓解
摘要:慢速 HTTP 拒绝服务: 分析、利用和缓解 慢速 HTTP 攻击Slow HTTP DoS Attack基于这样一个事实,即 HTTP 协议在设计上要求服务器在处理请求之前完全接收请求。如果 HTTP 请求未完成,或者传输速率很低,服务器就会一直占用资源等待其他数据。如果服务器占用过多资源,可能会
阅读全文
API成批分配漏洞介绍
摘要:API成批分配漏洞介绍API 特定:可利用性 2 利用通常需要了解业务逻辑、对象关系和 API 结构。 在 API 中利用批量分配更容易,因为按照设计,它们公开了应用程序的底层实现以及属性名称。安全弱点: 现代框架鼓励开发人员使用自动将客户端输入绑定到代码变量和内部对象的函数。 攻击者可以使用这种方
阅读全文
如何设计安全的 Web API
摘要:如何设计安全的 Web API ? 当我们向用户开放 Web API 访问时,我们需要确保每个 API 调用都经过身份验证。 这意味着用户必须是他们声称的人。 在这篇文章中,我们探讨了两种常见的方法: 1. 基于令牌的身份验证 2. HMAC(基于哈希的消息认证码)认证 下图说明了它们的工作原理。
阅读全文
容器的安全:DevOps工程师的5大最佳实践
摘要:容器化导致许多企业和组织以不同方式开发和部署应用程序。Gartner最近的一份报告指出,到2022年,超过75%的全球组织将在生产中运行容器化应用,而2020年这一比例还不到30%。然而,虽然容器有许多好处,但如果没有适当的安全保障,它们肯定仍然是网络攻击的一个来源。以前,网络安全意味着保护一个单一
阅读全文
零信任介绍
摘要:什么是零信任? 答: 零信任是一种条件访问控制模型,需要持续进行信任验证,然后才允许对应用和数据进行最低权限访问。零信任背后的策略可以归结为抛弃传统的安全方法(即认为网络边界范围内的所有资源都是值得信任的),改为采用“永不信任,始终验证” 的方法。与传统的安全方法相比,零信任存在动态决策点,用于验证
阅读全文
基于StackHawk的API接口安全扫描介绍
摘要:基于StackHawk的API接口安全扫描介绍 开源 Web 应用安全项目(OWASP)在 2019 年发布了 API 十大安全风险 《OWASP API 安全 Top10》:失效的对象级别授权、失效的用户身份验证、过 度的数据暴露、资源缺乏和速率限制、失效的功能级授权、批量分配、安全配置 错误、注
阅读全文