作者|颜国平，腾讯云－天御系统研发负责人。一直负责腾讯自有验证码、业务安全、防刷、账号安全等研发工作。内部支持的产品（游戏、电商、腾讯投资的O2O企业）非常广泛。在业务安全领域项目经验丰富，并且具备深度学习、大数据架构搭建等实战经验。一、背景介绍最近1~2年电商行业飞速发展，各种创业公司犹如雨后春笋大量涌现，商家通过各种活动形式的补贴来获取用户、培养用户的消费习惯。但任何一件事情都具有两面性，高额
BackBox是基于Ubuntu的Linux发行版，它是一款用于网络渗透测试及安全评估的操作系统。新版本包括Linux 3.13内核，EFI 模式，匿名模式，LVM +磁盘加密程序，隐私的补充和armhf Debian软件包。新版本主要更新：预装Linux 3.13 新版Ubuntu 14.04 包含LVM和全盘加密选项 RAM wipe
这几天Linux用户们可能不能愉快地玩耍了，红帽(Redhat)安全团队昨天爆出一个危险的Bash Shell漏洞。其带来的威胁可能比早前披露的“心脏出血”漏洞更大更强！据路透社报道，网络专家周三警告称，他们在广泛使用的Linux软件Bash中新发现了一个安全漏洞。该漏洞对电脑用户构成的威胁可能比今年4月发现的“心脏流血”(Heartbleed)漏洞更大。Bash是一款软件，被用于控制众多Linu
OSSIM 即开源安全信息管理系统(OPEN SOURCE SECURITY INFORMATION MANAGEMENT)是目前一个非常流行和完整的开源安全架构体系。OSSIM通过将开源产品进行集成,从而提供一种能够实现安全监控功能的基础平台。 它的目的是提供一种集中式、有组织的,能够更好地进行监测和显示的框架式系统。 OSSIM明确定位为一个集成解决方案,其目标并不是要开发一个新
一.CSRF是什么？ CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。 二.CSRF可以做什么？ 你这可以这么理解CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取
1、原理 Struts2的核心是使用的webwork框架，处理 action时通过调用底层的getter/setter方法来处理http的参数，它将每个http参数声明为一个OGNL（这里是OGL的介绍）语句。当我们提交一个http参数： ?user.address.city=Bishkek&user['favoriteDrink']=kum
PHP是一种开源服务器端脚本语言，应用很广泛。Apache web服务器提供了这种便利：通过HTTP或HTTPS协议， 访问文件和内容。配置不当的服务器端脚本语言会带来各种各样的问题。所以，使用PHP时要小心。以下是25个 PHP安全方面的最佳实践，可供系统管理员们安全地配置PHP。 为PHP安全提示而提供的示例环境 •文件根目录（DocumentRoot）：/var/www/h
漏洞介绍：可扩展标记语言 (Extensible Markup Language, XML) ，用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。 XML是标准通用标记语言 (SGML) 的子集，非常适合 Web 传输。XML 提供统一的方法来描述和交换独立于应用程序或供应商的结构化数据。80sec发现目前一些普遍使用xm
1.无论什么站，无论什么语言，我要渗透，第一件事就是扫目录，最好一下扫出个上传点，直接上传shell，诸位不要笑，有时候你花很久搞一个站，最后发现有个现成的上传点，而且很容易猜到，不过这种情况发生在asp居多。 2.asp(aspx)+MSSQL先考虑注入，一般的注入都有DBowner权限可以直接写shell;如果写不了，或者web与数据库分离，那就猜数据，从后台下手了，后台可以上传
关键词：入侵的关键字 最新入侵关键词 GOOGLE黑客 百度黑客 默认数据库: Databases/myszw.mdb Databases/myszw1.mdb 上传 upload_Photo.asp?PhotoUrlID=3 upload_Photo.asp?PhotoUrlID=1 ----
#主要是扫ExternalInterface.call #!/usr/bin/php -q <?php /*--------------------------------xy7@80sec.com---------------------------- #Flash文件跨站检测脚本 2010/6/3 #检测过程如下: 提取ExternalInterface.call调用的参数，
个人的一个小总结！所讲的某些路径不一定正确，这个看你的经验和猜的功夫了！ 如何搜索编辑器漏洞？ site:editor inurl:asp?id inurl:ewebeditornet 比如常见的编辑器漏洞有: ewebeditor ewebeditornet fckeditor editor
“ EASY NEWS新闻管理系统 v1.01 正式版”是在企业网站中非常常见的一套整站模版，在该网站系统的留言本组件中就存在着数据过滤不严漏洞，如果网站是默认路径和默认文件名安装的话，入侵者可以利用该漏洞直接上传ASP木马程序控制整个网站服务器。 Step1 搜索入侵目标 使用了“EA
一句话木马入侵原理 <%execute request(“#”)%>是典型的一句话木马服务端代码，将这个代码写入asp文件，就成了一句话木马服务端文件。 仔细观察一下<%execute request(“#”)%>这句代码，括号里的“#”是我们一句话的密码，我们可以把它改
虽然是老话题了，但是还是有很多大网站在此栽了跟头，在这里不是让大家去搞破坏，干坏事，而是提醒大家提高防范意识，保护信息安全…… FCKeditor介绍 FCKeditor是一款功能强大的开源在线文本编辑器(DHTML editor)，它使你在web上可以使用类似微软Word 的桌面文本编辑器的许多强大功能。它是轻量级且不必在客户端进行任何方式的安装。
CSRF（Cross-site request forgery跨站请求伪造，也被称成为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利
对于使用MSSQL数据库的网站来说，如果没有对SQL注入式攻击进行防御那么将受到致命的打击。关于对付SQL注入攻击的方法已经有许多讨论，但是为什么还是有大量的网站不断地遭受其魔掌呢?安全研究人员认为，现在正是重新梳理最佳方法来对付大规模的SQL注入攻击的时候，从而减轻与注入攻击相关的风险。笔者在此介绍的这些方法未必是革命性的创举，但是又有多少企业真正按照要求全面地实施这些方法呢? 下面，我们将一
随着web2.0时代的到来，Web应用也逐渐被人广泛的接受和使用。当然，每个新技术的到来对应着其安全问题也接踵而来。面对Web安全问题，不同于IDS与IPS的新技术，Web应用防火墙也逐渐映入人们的眼中。 Web应用防火墙(Web application firewall，WAF)主要用来保护Web应用免遭跨站脚本和SQL注入等常见攻击。WAF位于Web客户端和Web服务器之间，分析应用程序层的
所有版本补丁，相关链接：http://www.webspherechina.net/club/viewthread.php?tid=2926&extra=page%3D1%26amp%3Bfilter%3Dtype%26amp%3Btypeid%3D125
有哪些用户在什么时间访问IIS服务器?哪些用户的访问是合法的?是否存在一些失败的访问?等等。对于不少IIS服务管理人员来说，这可能是一比糊涂帐。“绝对的权利，导致绝对的腐败”。这句名言不仅在官场上有效，在IIS安全方面也是言之有理。随着信息化应用的普及，互连网上的安全隐患越来越多。加强对IIS服务器的访问审计、提高其安全等级，已经迫在眉睫。在这篇文章中，就以Windows2
&n
基于 Web 的应用正受到越来越多的青睐，从企业应用到形形色色的公共站点，可以说 Web 无处不在。黑客也逐渐将注意力从以往对网络服务器的攻击逐步转移到了对 Web 应用的攻击上，“跨站脚本”、“SQL 注入”新的网络安全问题不断涌现，如何保障 Web 应用的安全已成为当今业界关注的问题。Rational AppScan 是 IBM 公司推出的全面
在国内一些网站上经常看到文章说某某WEB应用安全评估工具排名，但是很可惜，绝大多数都是国外人搞的，界面是英文，操作也不方便，那游侠就在这里综合下，列举下国内WEB安全评估人员常用的一些工具。当然，毫无疑问的，几乎都是商业软件，并且为了描述更准确，游侠尽量摘取其官方网站的说明： 同时说明下：本排序不代表游侠（www.youxia.org）眼中的厂商或工具实力排名。 ----------
Netstat用于显示与IP、TCP、UDP和ICMP协议相关的统计数据，一般用于检验本机各端口的网络连接情况。 如果你的计算机有时候接收到的数据报导致出错数据或故障，你不必感到奇怪，TCP/IP可以容许这些类型的错误，并能够自动重发数据报。但如果累计的出错情况数目占到所接收的IP数据报相当大的百分比，或者它的数目正迅速增加，那么你就应该使用Ne
arp欺骗加嗅探，玩黑的朋友一定不会陌生，大家玩得最多的就是在同网段中嗅探ftp的密码，所以一般都喜欢渗透的主站开个ftp，但更多的时候是主站开3389的机率要比ftp大吧，如果能直接嗅探3389岂不是更爽。 Cain是大家都熟悉的一款软件，具有arp欺骗加嗅探和密码破解的功能，具体用法就不多讲了，相信大家都会用这个。本来cain就自带了嗅探终端（3389）密码的功能，但没有听用过，以前我也没有
多年来，如果公司想使得数据具备一个额外的安全度，他们可以选择性的使用加密技术。然而非强制性进行加密的日子已经一去不返了。现在，各行业的公司都受制于那些强制加密和其他安全标准的规章制度的限制，如果公司未能充分保护好他们的数据，将受到严厉的处罚。即使一个公司不受到这样规章制度的限制，许多法律还要求公司对那些未加密客户数据遭到破坏的安全攻击事件进行披露。 因此，这已经不再是公司是否应该使用加密技术的
生产环境中 WebSphere 应用服务器的搭建与演示环境有很多不同，由于生产环境的多样性、应用场景的性能调优、错误诊断等严格要求，生产环境中 WebSphere 应用服务器的安装涉及到安装前系统各项检查、安装中各种参数调整，以及安装后常见的管理任务。WebSphere 应用服务器有着大量的资源可以参考，但对于很多仅仅搭建过演示或简单测试环境的用户来说，面对浩如烟海的文档很难下手。本文试图总结在搭
操作系统，是IT人的任督二脉（之一）。打通这跟筋，便可功力精进，横扫天下。为什么这么说？为什么操作系统如此重要？原因如下： 1）只要你搞软件，就离不开OS。即便你是玩Cisco的，也还要面对IOS吧。 2）大规模架构设计和系统集成，需要对底层OS的能力和容量非常熟悉，才能驾轻就熟。 3）诊断纠错需要熟悉操作系统。 4）性能优化需要熟悉操作系统。 5）搞计算机和网络安全更需要懂操作系统。 5）软件开
通过使用搜索引擎、扫描器、发送简单的HTTP请求或者专门精心制作的请求，都有可能导致应用程序泄漏诸如错误信息、版本信息以及所使用的技术等信息。 一、测试robots.txt文件 现在，我们首先介绍如何测试robots.txt文件。Web蜘蛛/机器人/爬虫可以用来检索网页，并沿着超链接进一步探索更多、更深的Web内容。当然，网站可以在根目录放上一个robots.txt文件，这样就可以规定哪些Web蜘
1.acunetix web vulnerability Scanner 6 简称WVS 6 2.另外以下一种方式走的通,就不用往下走了 3.个人爱好用Portready,是因为他快速准确,当然你也可以用别的. 4.WVS 6扫描很耗时间,扫一个网站大约需要3-5个小时,扫整个网段大约需要8个小时左右 方法: 1.X-SCAN扫描目标服务器(一般是没有漏洞,收集信息用吧),看看IIS写
Copyright © 2005-2025 51CTO.COM 版权所有 京ICP证060544号
