- 博客(152)
- 资源 (1)
- 收藏
- 关注
RSS订阅原创 利用 requestrepo 工具验证 XML外部实体注入漏洞
在数字化浪潮席卷的当下，网络安全的重要性愈发凸显。应用程序在便捷生活与工作的同时，也可能暗藏安全风险。XXE（XML外部实体）漏洞作为其中的典型代表，攻击者一旦利用它，便能窃取敏感信息、掌控服务器，对系统安全构成严重威胁。因此，精准验证和修复XXE漏洞成为保障网络安全的关键任务。requestrepo工具凭借其独特优势，为XXE漏洞验证提供了得力支持，下面将深入探讨其在漏洞验证中的具体应用。requestrepo是一款专注于网络请求分析的在线工具，网址为requestrepo.com。
2025-03-07 14:12:28
1021
原创 sqlmap：从基础用法到漏洞利用实战
sqlmap 是一款开源的渗透测试工具，能自动检测和利用 SQL 注入漏洞，支持 MySQL、Oracle、PostgreSQL 等多种数据库管理系统。其设计旨在简化 SQL 注入检测流程，助力安全人员在复杂网络环境中快速定位与评估漏洞风险。
2025-03-06 09:04:18
1013
原创 大语言模型安全测试：WDTA 标准下的全面解读与实践展望
随着应用场景的不断拓展，大语言模型面临的安全挑战也日益严峻。恶意攻击者利用各种手段构造对抗样本，试图让模型输出错误信息、泄露敏感数据或违反道德伦理准则，这不仅影响了模型的正常使用，还可能带来严重的社会和经济后果。
2025-02-25 10:34:00
1337
原创 批量对网站做sql注入测试的方法
在我们构建和维护网站的过程中，SQL 注入漏洞犹如潜伏的暗礁，随时可能让我们的心血之作遭遇安全危机。它曾致使无数系统数据泄露、功能受损。作为保障网站安全的关键一环，精准检测 SQL 注入漏洞十分必要。本文将深入探讨使用 sqlmap 对网站进行全方位 SQL 注入漏洞检测的实战过程，涵盖从信息收集到命令运用等多方面细节，助力大家筑牢网站安全防线，共同在代码世界守护数据与系统安全。略在使用 sqlmap 检测 SQL 注入漏洞的过程中，我们完成了从提取页面报文到执行检测语句的一系列操作。
2025-02-21 14:09:38
802
原创 对DeepSeek的一些理解记录
展望未来，DeepSeek 在推动 AGI 实现和科学研究范式变革方面具有巨大潜力，但也面临着模型安全和市场竞争等挑战。相信在不断的技术创新和人才努力下，DeepSeek 能够克服困难，持续为人工智能领域的发展做出重要贡献，引领行业迈向新的高度，让人工智能更好地服务于人类社会的发展和进步。
2025-02-13 16:00:25
716
原创 GB/T 44721-2024 与 L3 自动驾驶：自动驾驶新时代的基石与指引
GB/T 44721-2024《智能网联汽车 自动驾驶系统通用技术要求》的发布，对于我国自动驾驶技术的发展具有里程碑式的意义。它与 L3 自动驾驶之间存在着紧密的联系，为 L3 自动驾驶的技术规范、安全保障和商业化推进提供了坚实的支撑，尤其是在 ADS 介入、最小风险策略和驾驶员接管等关键环节上，给出了明确的标准和指导。
2025-02-05 14:40:11
3537
原创 新一代 Web 安全技术应用指南（2024 版）：洞察与应对
《新一代 Web 安全技术应用指南（2024 版）》报告剖析了 Web 安全现状，指出其面临多种新型攻击威胁，常见风险类型多样且防护有效性参差不齐。报告阐述了新一代 Web 安全建设思想与技术特点，涵盖资产范围扩展、攻击向量防御强化等要点及云原生架构等六大技术特点。同时介绍了安全方案分类与部署建议，分析了私有化、SaaS 化、混合部署方案特点及企业选择因素。最后展望发展趋势，评选出 10 家代表性厂商，为企业应对 Web 安全挑战提供全面指引。
2024-12-30 11:49:07
896
原创 Cookies Not Marked as Secure漏洞修复
在分析和解决问题的过程中，我们发现每一个配置选项、每一个属性设置都可能对系统的安全性和稳定性产生深远的影响。例如，负载均衡中的会话保活和 cookie 机制看似是为了提升用户体验，但如果配置不当，就会引发严重的安全问题。这就要求我们在进行系统配置和安全维护时，必须深入了解每个组件的功能和相互关系，不能只关注功能实现而忽视安全风险。同样，WAF 防火墙中 Secure 属性的开启虽然看似是一个简单的操作，但却涉及到对整个系统功能的影响评估。
2024-12-20 11:03:19
808
原创 制造业信息化系统：构建高效生产与管理的数字化基石
在现代制造业的复杂运营环境中，一系列先进的信息化系统正发挥着不可或缺的作用，其中企业资源计划系统（ERP）、制造执行系统（MES）、产品数据管理系统（PDM）、供应链管理系统（SCM）以及客户关系管理系统（CRM）尤为关键。这些系统相互交织、协同运作，共同塑造了制造业数字化转型的核心架构，推动企业迈向高效、智能与可持续发展的新征程。
2024-12-09 16:20:31
1013
原创 等保测评的一些知识
本文写了等保测评的一些知识。包括等保的发展历程，等保2.0的变化话，等保的一些基础知识。最后分析了一份20204年某应用的一份等保测评报告的结构。希望对正在做等保的朋友们有一些帮助。
2024-11-25 16:27:22
1290
原创 Kali里的所有工具简述
当谈到网络安全工具时，Kali Linux 是一个备受推崇的黑客工具箱。Kali Linux 是一个基于 Debian 的 Linux 发行版，专为数字取证和渗透测试而设计。在Kali Linux这个强大的黑客工具箱中，汇集了来自各个领域的丰富工具，涵盖了网络侦察、漏洞利用、密码破解、无线网络安全等多个方面。这些工具可以帮助安全专家、渗透测试人员以及黑客们执行各种任务，从信息收集到系统入侵，无所不能。其中，信息收集工具包括了Nmap、Recon-ng、theHarvester、Maltego等，用于快速获取
2024-11-21 16:24:40
2077
1
原创 深度解析 ICP 备案、公安备案、等保备案编号与统一社会信用代码
本文深度解析了 ICP 备案、公安备案、等保备号及统一社会信用代码。ICP 备案保障网站合法，公安备案守护网络安全，等保备案提升系统防护，统一代码明确组织身份。它们相互协同，构建管理体系，信息关联且合规要求递进。展望未来，技术、法规与信用体系将不断发展，企业应重视合规，共筑良好环境。
2024-11-12 09:05:57
3093
原创 解析 “Cookies Not Marked as HttpOnly” 漏洞
在对某网站进行安全扫描时，发现了 “Cookies Not Marked as HttpOnly” 漏洞。这个漏洞意味着网站设置的某些 Cookies 没有启用 HttpOnly 属性。HttpOnly 是一个特殊的 Cookies 属性。当一个 Cookie 被设置为 HttpOnly 时，浏览器会限制客户端脚本（如 JavaScript）对该 Cookie 的访问。这一属性对于保护用户的敏感信息至关重要，特别是在涉及用户会话管理的 Cookies 中。
2024-11-07 16:20:01
1025
原创 SSL/TLS 密码套件漏洞分析以及修复方法
本文深入分析 SSL/TLS 密码套件中常见的漏洞种类和修复方法。 通过对 SSL/TLS 密码套件漏洞的分析以及应用系统架构的阐述，我们明确了修复的方向和方法。根据架构的实际情况，修复的方法可以是修改 WAF、NGINX 配置、服务器端的 tomcat 设置以及针对 Windows 服务器的特定配置修复。修复后要及时验证是否已经修复成功。
2024-10-28 09:23:20
5481
原创 深入了解通用漏洞评分系统（CVSS）
2015 年，CVSS 3.0 版本发布。它新增了用户交互（UI）和必要权限（PR）两个指标，为攻击复杂度（AC）指标引入了新的取值，还新增了 Scope (S) 指标来处理漏洞影响其他系统的情形。这一版本在漏洞评估的准确性和全面性上有了很大的提升。2019 年，CVSS 3.1 版本推出。它没有引入新的指标，主要是对标准给出了更清晰的解释，增加了易用性，使得安全专业人员更容易理解和应用 CVSS 标准。2023 年 10 月，CVSS 4.0 版本正式发布。它重新定义了评分术语体系，强调 CVSS
2024-09-23 16:16:48
3949
原创 CORS漏洞及其防御措施：保护Web应用免受攻击
在当今互联网时代，Web 应用程序的架构日益复杂。一个后端服务可能对应一个前端，也可能与多个前端进行交互。跨站资源共享（CORS）机制在这种复杂的架构中起着关键作用，但如果配置不当，就会引发严重的安全漏洞，对用户数据和系统安全构成巨大威胁。CORS（Cross-Origin Resource Sharing）是一个Web浏览器的安全特性，允许或阻止一个网页从不同的域加载资源。通过设置特定的HTTP头，服务器可以控制哪些域能够访问其资源，从而避免潜在的安全风险。
2024-09-14 09:05:41
2597
原创 一次反射型XSS漏洞发现的过程
通过此次对反射型 XSS 漏洞的发现过程，即使有专业的安全扫描工具辅助，漏洞的确认也并非一蹴而就，需要进行多轮的尝试和验证。在本次漏洞发现中，我们首先借助安全扫描工具确定了疑似漏洞区域，然后通过手动修改报文进行测试。在尝试多种 payload 后，最终通过编码绕过的方式成功触发了漏洞，验证了反射型 XSS 漏洞的存在。这一过程提醒我们，开发人员在构建网站和应用程序时，必须高度重视用户输入的验证和输出的编码，以防止恶意脚本的注入。
2024-09-09 09:37:17
1110
原创 使用Proxifer和Burpsuite软件搭配对小程序做渗透测试
本文介绍如何使用Proxifier和Burp Suite这两款强大的工具，对小程序进行渗透测试。
2024-09-02 15:22:19
2609
原创 Apache Struts2开发模式漏洞解析与修复
开发模式（devMode）是Apache Struts2框架中的一个特性，旨在帮助开发者更轻松地调试和开发应用程序。一旦开启这个模式，Struts2会提供更加详细的调试信息，以便快速定位和解决问题。现代Web框架在开发过程中提供了很多便利的调试工具，但使用时必须严格区分开发环境和生产环境。一丁点疏忽都会带来灾难性的安全后果，希望本文能帮助你们识别并修复 Struts2 开发模式的安全漏洞，确保生产环境的安全。
2024-08-30 09:21:44
1714
原创 深入解析 ASP.NET 的 ViewState 反序列化漏洞
在本文中，我们深入探讨了 ASP.NET 中的 ViewState 反序列化漏洞，包括其原理、如何验证漏洞的存在、以及如何修复漏洞。通过全面理解该漏洞的工作机制，我们可以更加有效地保护应用程序免受攻击。ViewState 反序列化漏洞原理ViewState 通过 Base64 编码，将页面和控件的状态信息传递给客户端和服务器。如果 ViewState 未加密或未正确签名，攻击者可以篡改 ViewState 数据并执行恶意代码。验证漏洞存在。
2024-08-28 09:00:00
4388
4
原创 fastjson(autoType)反序列化漏洞
针对fastjson反序列化有关的安全问题。如果系统并非内部局域网使用，使用fastjson2并且不启用默认关闭的AutoType机制是最有效的安全做法。
2024-08-13 10:57:45
1813
原创 网站路径遍历漏洞修复
在当今的网络安全环境中，路径遍历漏洞（Path Traversal Vulnerability）成为日益关注的问题。此漏洞允许攻击者通过操控输入路径，访问未经授权的服务器文件，从而泄露敏感信息或执行恶意文件。本文将借助一次渗透测试修复的过程有效防止和修复此类漏洞，提升应用程序的整体安全性。
2024-07-04 14:06:51
2678
原创 OpenSSH远程代码执行漏洞 （CVE-2024-6387）
OpenSSH是一套基于安全外壳（SSH）协议的安全网络实用程序，它提供强大的加密功能以确保隐私和安全的文件传输，使其成为远程服务器管理和安全数据通信的必备工具。OpenSSH 自 1995 年问世近 20 年来，首次出现了未经验证的远程执行（RCE）漏洞，攻击者可以提权至 root 最高权限，在不需要用户交互的情况下执行任意代码。该漏洞是由于OpenSSH服务器 (sshd) 中的信号处理程序竞争问题，未经身份验证的攻击者可以利用此漏洞在Linux系统上以root身份执行任意代码。
2024-07-02 11:12:00
9427
1
原创 对象存储OSS 客户端签名直传的安全风险和解决方法
本文探讨了OSS客户端签名直传的安全风险及解决方法。我们对比了OSS与文件系统，分析了客户端直传的风险，并提出了多种解决方案，如服务端生成STS临时访问凭证和签名URL。通过A企业案例展示了实际应用效果，并提供了多种OSS安全最佳实践。希望本文能帮助读者更好地理解和应对OSS的安全挑战，保护数据安全。
2024-06-07 09:05:03
3246
2
原创 从OWASP API Security TOP 10谈API安全
API安全是个持续的过程，要求开发者、操作和安全团队协作确保API面临的风险得到恰当管理。遵循OWASP API Security Top 10是创建一个更安全API生态系统的基础。在构建API时，要确保考虑到这些主要的安全问题，并在API的整个生命周期中持续关注安全保障。参考：OWASP API Security TOP 10中文项目 2023OWASP API Security TOP 10中文项目 — OWASP-CHINA。
2024-04-17 14:50:17
3079
原创 关于CIDR的理解
随着互联网的急剧膨胀和IP地址资源的紧张，传统的IP地址划分方法（如类A、类B、类C的方式）已不能满足灵活、高效的网络设计需求。这就是无类别域间路由（CIDR）的概念出现并普及的原因。CIDR是一种IP网络地址划分方法，它允许更灵活地创建大小不一的网络，有效延缓了IPv4地址的耗尽问题，同时为IPv6的部署提供了助力。随着网络技术的发展，充分理解和运用CIDR至关重要。无论是为了更有效地规划企业网络，还是为了掌握互联网的整体框架，对CIDR的理解都可以帮助我们更好地应对日益增长的网络需求。
2024-04-17 08:31:47
1988
原创 欧盟GDPR 和车联网个人数据保护指南
第94条 95/46/EC指令的废止1．在[本条例生效后的两年]后95/46/EC指令将被废止。2．当参照废止指令时，应当通过参照本条例来进行解释。对于参照工作小组在95/46/EC指令第29条所规定的处理个人数据中个人保护，这应当以参照本条例所规定的欧盟数据保护委员会来进行解释。第95条 与2002/58/EC的关系在欧盟的公共通讯网络中提供公众可获取的电子通讯服务的情形中，对于2002/58/EC指令已经施加特殊责任的事项，本条例不应再对同一事项再向自然人或法人施加额外责任。
2024-01-08 14:30:41
2255
原创 车内总线通信技术简述
本文主要分享一些汽车总线通信技术（CAN、CANFD、LIN、Flex Ray、MOST、LVDS、TTP/C、Ethernet），希望对大家能有所帮助。
2023-11-27 21:39:38
2650
原创 对大文件压缩包分割和恢复的方法_python
某次需要将大的压缩包分割传输，并恢复。找到了一段有用的python程序。这个软件包可以压缩和分割大文件。它从一个根目录开始，遍历子目录，并扫描其中的每个文件。如果某个文件的大小超过了阈值大小，那么它们会被压缩和分割成多个归档文件，每个归档文件的最大大小为分区大小。压缩/分割适用于任何文件扩展名。对于目录使用目录变成使用则恢复到原始文件。参考github链接over.
2023-09-18 14:01:09
2987
原创 利用metasploit生成反弹shell程序，实现远程控制
Metasploit生成反弹shell实现远程控制的方法具有高度定制化、多平台支持、强大的漏洞利用能力、无需事先安装恶意软件以及高度灵活和可扩展等优点。这使得用户能够根据具体需求和目标系统的特点，实现精确、有效和隐蔽的远程控制。
2023-08-20 00:00:00
4202
原创 linux 中字符设备（/dev）
dev是设备(device)的英文缩写。/dev这个目录对所有的用户都十分重要。因为 在这个目录中包含了所有Linux系统中使用的外部设备。但是这里并不是放的外部设备的驱动程序，这一点和windows,dos操作系统不一样。它实际上是一个访问这些外部设备的端口。我们可以非常方便地去访问这些外部设备，和访问一个文件，一个目录没有任何区别。
2023-05-17 19:13:50
4311
Coverity 8.7.1 命令与 Ant 任务说明.rar
2020-01-21
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人