<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[tcsecXD的博客]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/tcsecXD</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; tcsecXD]]></copyright><item><title><![CDATA[投毒预警-keyv库]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/163504730</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/163504730</guid><author>tcsecXD</author><pubDate>Wed, 05 Aug 2026 14:21:04 +0800</pubDate><description><![CDATA[2026年8月4日（UTC），攻击者入侵了keyv库的维护者GitHub账户。]]></description><category></category></item><item><title><![CDATA[投毒预警 官方 npm 账号失陷导致 32 个包遭投毒 通过 easy-day-js 下载远程有效载荷]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/162072977</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/162072977</guid><author>tcsecXD</author><pubDate>Wed, 17 Jun 2026 16:40:13 +0800</pubDate><description><![CDATA[一名攻击者接管了一名 Mastra 维护者的账号，并利用该账号对项目进行了大规模篡改。在短短 27 分钟内，他们重新发布了整个 @mastra 目录下的所有包。他们并没有动 Mastra 自身的代码，而是在每个包中都修改了一行代码，添加了一个指向名为 easy-day-js 的伪造组件的隐藏链接——该组件是针对广泛使用的工具 dayjs 的仿冒品。Mastra 是一个开源工具包，软件开发者利用它来构建 AI 应用和智能体（agents）。]]></description><category></category></item><item><title><![CDATA[组件投毒预警：atool npm 维护者账户被接管，317个包遭凭证蠕虫攻击]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/161249418</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/161249418</guid><author>tcsecXD</author><pubDate>Wed, 20 May 2026 11:17:44 +0800</pubDate><description><![CDATA[近日，npm 生态爆发一起高危供应链投毒事件。公开情报显示，npm 账户于2026 年 5 月 19 日被攻击者劫持，随后在短短22 分钟内，以自动化方式集中发布了317 个软件包中的 637 个恶意版本，呈现出明显的批量化、蠕虫化攻击特征。此次受影响的软件包覆盖面极广，既包括前端开发中的高频基础依赖，也包括大量企业常用的数据可视化与图分析组件。（每月下载量约420 万（每月下载量约380 万（每月下载量约220 万timeago.js（每月下载量约115 万以及数百个@antv/作用域下的软件包。]]></description><category></category></item><item><title><![CDATA[核心 npm 库 `node-ipc` 遭遇供应链投毒，针对开发者实施大规模凭据窃取]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/161187349</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/161187349</guid><author>tcsecXD</author><pubDate>Mon, 18 May 2026 11:15:03 +0800</pubDate><description><![CDATA[2026年5月14日 22:25，周下载量逾82万次的 Node.js 进程间通信库node-ipc突发严重供应链攻击。攻击者利用共同维护者账户atiertant) 在数分钟内连续发布了9.1.6、9.2.3 和 12.0.1三个恶意版本。由于该维护者此前从未有过发布记录，初步研判为账户失陷（Account Takeover）。受感染版本均植入了一个高度混淆、大小约 80KB 的恶意载荷。该载荷一旦被应用加载，将立即在后台静默搜集并外传超过90 类AWS、Azure、GCP、阿里云凭证；]]></description><category></category></item><item><title><![CDATA[axios-1.14.1-supply-chain-attack-CN]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/159689554</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/159689554</guid><author>tcsecXD</author><pubDate>Tue, 31 Mar 2026 15:33:09 +0800</pubDate><description><![CDATA[2026 年 3 月 31 日，发生了一起针对 JavaScript 生态核心组件的高级供应链攻击事件。攻击者通过劫持 Axios 首席维护者的 npm 账户，以合法身份向官方 npm 注册表推送了两个被植入恶意代码的版本：axios@1.14.1与 axios@0.30.4。Axios 是目前 npm 下载量最高的 HTTP 客户端库之一，每周下载次数超过，被广泛应用于 React、Vue、Angular 等前端框架，以及 Express、NestJS、Koa 等 Node.js 后端项目。]]></description><category></category></item><item><title><![CDATA[重磅发布丨安全玻璃盒RASP护网版本，以攻防驱动安全]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/140104900</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/140104900</guid><author>tcsecXD</author><pubDate>Mon, 01 Jul 2024 16:47:37 +0800</pubDate><description><![CDATA[安全玻璃盒全新打造的护道RASP-攻防对抗版，能够在攻防对抗的事前、事中、事后三个阶段分别为蓝队（防守方）进行多种安全能力辅助。]]></description><category></category></item><item><title><![CDATA[MySQL注入绕过]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/129753795</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/129753795</guid><author>tcsecXD</author><pubDate>Fri, 24 Mar 2023 16:40:26 +0800</pubDate><description><![CDATA[本文主要结合本人绕过最近某rasp和一些waf的经验，分享绕过waf的思路，MySQL测试版本（8.0.31）。]]></description><category></category></item><item><title><![CDATA[Tcsec安全研究院|fastjson漏洞分析]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/129028362</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/129028362</guid><author>tcsecXD</author><pubDate>Tue, 14 Feb 2023 16:12:56 +0800</pubDate><description><![CDATA[fastjson 是一个 Java 库，可用于将 Java 对象转换为其 JSON 表示形式。]]></description><category></category></item><item><title><![CDATA[Tcsec安全研究院|postgreSQL与Mysql利用的一些差异]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/127898544</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/127898544</guid><author>tcsecXD</author><pubDate>Thu, 17 Nov 2022 10:15:31 +0800</pubDate><description><![CDATA[postgreSQL与Mysql利用的一些差异]]></description><category></category></item><item><title><![CDATA[安全玻璃盒|《数字金融软件供应链安全解决方案》]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/126837272</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/126837272</guid><author>tcsecXD</author><pubDate>Tue, 13 Sep 2022 17:13:22 +0800</pubDate><description><![CDATA[《数字金融软件供应链安全解决方案》基于DevSecOps理念和配套安全产品，以准入安全、安全开发一体化、全流程自动化、合规化、准出安全为主要建设模块，实现软件供应链全链路的多维、全面安全保障。
通过对业务和场景进行梳理，对供应商和引入的开源或非开源项目进行筛选，并将在建或运营的项目纳入系统的监控范围，建设动态的、可持续性的安全体系(技术、管理、运维)，保障金融企业数字应用的机密性、完整性、可用性，确保业务在安全的环境下稳定运行。]]></description><category></category></item><item><title><![CDATA[安全特辑|《安全软件工厂白皮书》知识分享]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/125555629</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/125555629</guid><author>tcsecXD</author><pubDate>Fri, 01 Jul 2022 11:35:46 +0800</pubDate><description><![CDATA[安全软件工厂]]></description><category></category></item><item><title><![CDATA[IAST技术知识-Java环境Agent部署知识干货分享]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/125218483</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/125218483</guid><author>tcsecXD</author><pubDate>Fri, 10 Jun 2022 15:56:13 +0800</pubDate><description><![CDATA[本期【千方百计】主题：Java环境Agent部署知识分享。欢迎在评论区发言、讨论、分享有关IAST的热知识哦！也欢迎广大“路人甲”小伙伴对【甲乙磁场】活动提出问题和建议！我们肥肠希望与【甲乙磁场】的关注者之间触发安全磁力哦！贴贴~...]]></description><category></category></item><item><title><![CDATA[安全玻璃盒|获国际权威认可，成为IDC Innovators 中国DevSecOps技术创新者]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/125065257</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/125065257</guid><author>tcsecXD</author><pubDate>Tue, 31 May 2022 14:37:56 +0800</pubDate><description><![CDATA[引言
日前，全球领先的IT咨询机构IDC（International Data Corporation）发布《IDC Innovators: 中国DevSecOps技术，2022》（Doc # CHC47745422）。IDC基于对DevSecOps生态链中各厂商的分析，从公司规模、产品技术，到行业和客户，生态系统建设以及未来发展战略等方面对该领域的新兴公司进行了考察，最终，【安全玻璃盒】孝道科技以自主研发国内首个“All in one三合一”交互式应用安全检测和开源成分安全分析与免疫防御一体化平台，实现D]]></description><category></category></item><item><title><![CDATA[Log4j2危情分析|开源软件安全、软件供应链安全与DevSecOps实践已刻不容缓]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/122221085</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/122221085</guid><author>tcsecXD</author><pubDate>Wed, 29 Dec 2021 17:46:03 +0800</pubDate><description><![CDATA[Log4j2危情分析之浅谈开源软件安全、软件供应链安全与DevSecOps实践]]></description><category></category></item><item><title><![CDATA[安全玻璃盒 IAST | 从RSA 2020看应用安全和DevSecOps]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/104533275</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/104533275</guid><author>tcsecXD</author><pubDate>Thu, 27 Feb 2020 11:49:56 +0800</pubDate><description><![CDATA[本文作者：安全玻璃盒 创始人 范丙华

网络安全行业风向标——RSAC2020峰会，于美国时间2月24日在洛杉矶如期举行。根据“创新沙盒”十家企业的公开资料信息分析，应用安全和数据安全成为本届RSA的关注热点。
从Gartner定义技术领域划分：应用安全（Application Security）占据半数企业，涉及代码安全、安全测试、应用安全检测与防护、漏洞管理、DevSecOps等内容。
应用安...]]></description><category></category></item><item><title><![CDATA[安全玻璃盒 | 被动型 IAST交互式应用安全测试是实现DevSecOps自动化安全测试阶段的最佳方案]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/104533115</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/104533115</guid><author>tcsecXD</author><pubDate>Thu, 27 Feb 2020 11:43:58 +0800</pubDate><description><![CDATA[把Sec塞进DevOps不只是技术与工具变更那么简单，更重要的是思维方式和内部流程的转变，推进DevSecOps的关键原则是：别给人添麻烦。

《Gartner 2017研究报告：DevSecOps应当做好的十件事》和《Gartner 2019研究报告：DevSecOps应当做好的十二件事》两篇研究报告中都对成功实施DevSecOps进行了研究。两篇报告一致认为实施DevSecOps的关键挑战和第...]]></description><category></category></item><item><title><![CDATA[安全玻璃盒 IAST | 如何构建应用安全全生命周期解决方案——【DevSecOps】]]></title><link>https://blog.youkuaiyun.com/tcsecXD/article/details/104520734</link><guid>https://blog.youkuaiyun.com/tcsecXD/article/details/104520734</guid><author>tcsecXD</author><pubDate>Wed, 26 Feb 2020 17:27:37 +0800</pubDate><description><![CDATA[为何需要建立DevSecOps？

1.1应用软件安全风险的影响
面对当前万物智能互联、数字经济高速发展的大环境下，应用软件安全对于推动我国数字经济发展、维护社会稳定及国家安全都将起着至关重要的地位和作用。据Gartner报告显示：超过 80% 的网络攻击都发生在应用层，所披露的漏洞70%以上与应用安全有关，特别是SQL注入、XSS、CSRF、目录遍历等漏洞，所以应用安全将是安全保障的重中之重。...]]></description><category></category></item></channel></rss>