老鹰a的博客_网络,安全技术,安全管理

移动APP安全测试

1 移动APP安全风险分析1.1 安全威胁分析安全威胁从三个不同环节进行划分，主要分为客户端威胁、数据传输端威胁和服务端的威胁。1.2 面临的主要风险1.3 Android

移动安全

app

安全

原创 2018-08-06 16:22:07 10000+阅读 9点赞 11收藏

网络安全法

×××网络安全法（2016年11月7日第十二届×××常务委员会第二十四次会议通过）目录第一章总则第二章网络安全支持与促进第三章网络运行安全第一节一般规定 &

网络

安全法

转载 2018-07-27 16:16:04 831 阅读 1评论

等级保护二、三、四级内容及对比

四级等保要求三级等保要求二级等保要求8.1技术要求8.1.1物理安全8.1.1.1物理位置的选择a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。b) 机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁b)

等级保护

等保二级

等保三级

等保四级

原创 2018-07-27 14:49:05 10000+阅读 6点赞 9收藏 2评论

ISO27001信息安全体系内容

一、IS027001:2013版和2005版区别ISO27001:2005版ISO27001:2013版备注A5安全方针A5安全方针A6信息安全组织A6信息安全组织A8人力资源安全A7人力资源安全A7资产管理A8资产管理A11访问控制A9访问控制A10密码学新增A9物理和环境安全A11物理和环境安全A10通信与操作管理A12操作安全由旧版拆分A13通信安全由旧版拆分A12信息系统获取、开发和维护A

ISO27001

信息安全

管理体系

原创 2018-07-27 14:36:40 9040 阅读 1点赞 3收藏

ISO27001信息安全体系内容

一、IS027001:2013版和2005版区别ISO27001:2005版ISO27001:2013版备注A5安全方针A5安全方针A6信息安全组织A6信息安全组织A8人力资源安全A7人力资源安全A7资产管理A8资产管理A11访问控制A9访问控制A10密码学新增A9物理和环境安全A11物理和环境安全A10通信与操作管理A12操作安全由旧版拆分A13通信安全由旧版拆分A12信息系统获取、开发和维护A

ISO27001

信息安全

管理体系

原创 2018-07-27 14:36:36 9621 阅读 2收藏

Burp Suite Intruder的4种类型

Burp的Intruder是一个十分有用的工具，能够很方便的组织各种数据进行猜解，它有4种类型，光听名字很容易困惑，接下来我们结合实例一块分析一下一Sniper（狙击手模式）狙击手模式使用一组payload集合，它一次只使用一个payload位置，假设你标记了两个位置“A”和“B”，payload值为“1”和“2”，那么它×××会形成以下组合（除原始数据外）：二Batteringram（攻城锤模式）

burpsuite

intruder

转载 2018-07-27 14:06:01 2251 阅读

跨站请求伪造CSRF防护方法

CSRF(Cross-siterequestforgery跨站请求伪造，也被称成为“oneclickattack”或者sessionriding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。1CSRF原理介绍一、CSRF×××原理CSRF×××原理比较简单，如图1所示。其中WebA为存在CSRF漏洞的网站，WebB为×××者构建的恶意网站，UserC为WebA网站的合法用户。图1CSRF×××

跨站

请求

伪造

CSRF

防护方

转载 2018-07-27 13:55:48 2755 阅读

HIVE sql使用总结

一、常用数据库命令1、查询有哪些数据库 show databases 2、查询有哪些数据表：show tables3、显示所有函数： show functions4、使用use databasename;可以切换到某个数据库下示例（切换到test数据库）：use test5、查看当前数据库：select current_database()6、查询数据表有哪些字段及字段详情：descri

hive sql

大数据

select join like

数据分析

原创 2018-07-08 20:56:05 10000+阅读

Pandas常用函数速查手册中文版

对于数据科学家，无论是数据分析还是数据挖掘来说，Pandas是一个非常重要的Python包。它不仅提供了很多方法，使得数据处理非常简单，同时在数据处理速度上也做了很多优化，使得和Python内置方法相比时有了很大的优势。如果你想学习Pandas，建议先看两个网站。（1）官网：Python Data Analysis Library（2）十分钟入门Pandas：10 Minutes to panda

python

pandas

转载 2018-01-12 16:01:24 9042 阅读

pandas 之 concat

准备：In [1]: import pandas as pdIn [2]: df1 = pd.DataFrame({'A': ['A0', 'A1', 'A2', 'A3'], ...: &nb

pandas

python

contat

dataframe

转载 2018-01-12 15:56:05 10000+阅读

Pandas库DataFrame的排序

df1为dataframe结构的测试数据：df1数据是从test.xlsx文档中读取的，使用示例代码如下：tushare ts pandas pd df = pd.read_excel() df1 = df.head()

python

pandas

dataframe

原创 2018-01-10 23:15:01 10000+阅读

Android安全输入设计与思考

随着移动支付的快速普及，如何保障用户信息安全这个问题变得越来越重要。本文对市面上的Android安全键盘进行了总结，详细分析了为什么采用安全键盘，怎么样实现安全键盘等问题。以及各个产品线使用的安全键盘有何优劣点。以方便开发者对自我开发安全项目键盘进行总结与学习。为什么使用安全键盘？在支付、金融、个人信息敏感的系统中，用户的重要个人信息，如支付密码、×××号等需要优先考虑进行

移动安全

android安全

转载 2017-12-21 21:16:53 3838 阅读

Android静态安全检测 -> WebView明文存储密码

WebView明文存储密码 -WebSettings.setSavePassword方法一、API1. 继承关系【1】java.lang.Object【2】android.webkit.WebSettings2. 主要方法【1】setJavaScriptEnabled(boolean flag)：是否支持js【2】setPluginsEnabled(boolean flag)：是否支持插件【3】s

android安全

webview

转载 2017-12-21 20:46:02 4619 阅读

Android静态安全检测 -> Broadcast Receiver组件暴露

Broadcast Receiver组件暴露 - exported属性一、android:exported该属性用来标示，当前Broadcast Receiver是否可以从当前应用外部获取Receiver message1. true表示可以2. false【1】表示不可以，当前Broadcast Receiver只能收到同一个应用或者拥有同一user ID的Appl

android安全

转载 2017-12-21 18:10:43 6297 阅读

Android静态安全检测 -> Content Provider组件暴露

Content Provider组件暴露 - exported属性一、android:exported该属性指示了content provider是否可以被其他应用程序使用1. true代表该content provider可以被其他应用程序使用，其他所有的应用程序都可以通过该content provider提供的URI访问由该content provider提供的数据，在访问

android安全

转载 2017-12-21 18:09:19 2444 阅读

Android静态安全检测 -> Service组件暴露

Service组件暴露 - exported属性一、android:exported该属性用来标示，其他应用的组件是否可以唤醒Service或者和这个Service进行交互1. true表示可以2. false【1】表示不可以，只有同一个应用的组件或者有着同样user ID的应用可以启动这个Service或者绑定这个Service【2】关于user ID的参考链接ht

android安全

转载 2017-12-21 18:08:01 3788 阅读

Android静态安全检测 -> Activity组件暴露

Activity组件暴露 - exported属性一、android:exported该属性用来标示，当前Activity是否可以被另一个Application的组件启动1. true表示允许被启动2. false【1】表示不允许被启动，这个Activity只会被当前Application或者拥有同样user ID的Application的组件调用【2】关于user

android安全

转载 2017-12-21 18:06:51 6644 阅读

drozer安装和使用——android渗透测试

一、drozer安装包把Drozer工具包drozer-installer-2.3.4.zip解压后看到的目录如下图，其中setup.exe文件是安装在PC机上面的，agent.apk是安装在手机模拟器或者移动手机里面的。二、PC机上面安装在pc机器上面直接点击setup.exe进行傻瓜式安装就行了，程序默认安装在 “C:\drozer”下，安装好后如下图所示：三、安装agent.ap

drozer

android

渗透测试

原创 2017-12-21 17:00:57 10000+阅读 1点赞 1收藏

Android 渗透测试学习手册（二）准备实验环境

在上一章中，我们了解了 Android 安全性及其体系结构的基础知识。在本章中，我们将了解如何建立 Android 渗透测试实验环境，其中包括下载和配置 Android SDK 和 Eclipse。我们将深入了解 ADB，并了解如何创建和配置 Android 虚拟设备（ AVD）。2.1 建立开发环境为了构建 Android 应用程序或创建 Android 虚拟设备，我们

安全技术

转载 2017-12-20 21:47:36 1066 阅读

Android渗透测试学习手册（一）Android 安全入门

Android 是当今最流行的智能手机操作系统之一。随着人气的增加，它存在很多安全风险，这些风险不可避免地被引入到应用程序中，使得用户本身受到威胁。我们将在本书中以方法论和循序渐进的方式来讨论 Android 应用程序安全性和渗透测试的各个方面。本章的目标是为 Android 安全打下基础，以便在以后的章节中使用。1.1 Android 简介自从 Android 被谷歌收购（ 2005 年）

安全技术

转载 2017-12-20 21:44:31 1660 阅读

Android 渗透测试学习手册（三）Android 应用的逆向和审计

在本章中，我们将查看 Android 应用程序或 .apk 文件，并了解其不同的组件。我们还将使用工具（如 Apktool，dex2jar 和 jd-gui）来逆向应用程序。我们将进一步学习如何通过逆向和分析源代码来寻找 Android 应用程序中的各种漏洞。我们还将使用一些静态分析工具和脚本来查找漏洞并利用它们。3.1 Android 应用程序拆解Android 应用程序是在开发应用程

安全技术

转载 2017-12-20 20:54:17 1188 阅读

Android反编译(一) 之反编译JAVA源码

Android反编译(一)之反编译JAVA源码 [目录]1、工具2、反编译步骤3、实例4、装X技巧 1、工具1).dex反编译JAR工具 dex2jar http://code.google.com/p/dex2jar/downloads/list 2).JAVA反编译工具JD-GUI http://jd.be

移动

APP

反编译

转载 2017-12-20 15:46:44 4965 阅读

Android反编译(二) 之反编译XML资源文件

Android反编译(二)之反编译XML资源文件[目录]1、工具2、反编译步骤3、重新编译APK4、实例5、装X技巧6、学习总结 1、工具1).反编译工具 apktool http://code.google.com/p/android-apktool/downloads/list 命令： apktool d [目标.ap

app

反编译

移动

转载 2017-12-20 15:43:59 3894 阅读

Android中的组件安全漏洞介绍和检测

第一部分 activity组件安全首先我们介绍下我们常见的Android的activity组件：Activity是Android四大组件之一，它用于展示界面。Activity是一个应用程序组件，提供一个屏幕，用户可以用来交互为了完成某项任务。Activity中所有操作都与用户密切相关，是一个负责与用户交互的组件，可以通过setContentView(View)来显示指定控件。在一个android应

移动

app

四大组件

转载 2017-12-20 15:08:03 10000+阅读

利用drozer进行android渗透

Drozer是一款综合的安全评估和攻击的android框架，据产品介绍里说，Drozer可以全面评估app的安全性，并帮助团队把app的安全风险保持在可控范围内。在 mwrinfosecurity 公司的这个网页上，提供了社区版本的下载（没错，还有收费的高级版）使用方法所需工具：一台手机或安卓模拟器（本人使用模拟器），drozer。首先是环境的安装：必须确保JDK、adb都安装好，

移动

APP

安全

转载 2017-12-20 11:55:43 1332 阅读

【安全测试】Drozer安装及使用

一、Dorzer安装需要用到如下两个工具：如以前安装过mercury，这两个工具应该已经有了。 Java Runtime Environment (JRE) or Java Development Kit (JDK) &nb

Drozer

app

移动安全

转载 2017-12-20 11:54:10 2503 阅读

目录遍历

1 目录遍历攻击原理介绍目录遍历攻击又称目录穿越、恶意浏览、文件泄露等，攻击者利用系统漏洞访问合法应用之外的数据或文件目录，导致数据泄露或被篡改。比如我们之前一直使用的Web服务器平台NMPServer，它的网站主目录为C:\NMPServer\NPMserv\www，理论上讲网站的所有内容都应该位于这个主目录里，

目录遍历

转载 2017-12-08 15:42:32 6892 阅读

局域网ARP攻击和防护

1 ARP攻击原理介绍1) ARP协议的缺陷ARP协议是建立在信任局域网内所有节点的基础上的，他的效率很高。但是不安全。它是无状态的协议。他不会检查自己是否发过请求包，也不知道自己是否发过请求包。他也不管是否合法的应答，

局域网

ARP

原创 2017-12-08 15:32:28 1184 阅读 1点赞 1收藏

针对SSL的中间人攻击演示和防范

转自：http://netsecurity.51cto.com/art/201211/365437.htm 1 中间人攻击概述中间人攻击（Man-in-the-Middle Attack, MITM）是一种由来已久的网络入侵手段，并且在今天仍然有着广泛的发展空间，如SMB会话劫持、DNS欺骗等攻击都是典型的MITM攻击。简而言之，所谓的MITM攻击就是通过拦截正常的网络通信数据，并进行数据篡改和嗅

转载 2017-12-07 17:27:40 2985 阅读

python中@staticmethod和@classmethod的作用与区别

一般来说，要使用某个类的方法，需要先实例化一个对象再调用方法。而使用@staticmethod或@classmethod，就可以不需要实例化，直接类名.方法名()来调用。这有利于组织代码，把某些应该属于某个类的函数给放到那个类里去，同时有利于命名空间的整洁。既然@staticmethod和@classmethod都可以直接类名.方法名()来调用，那他们有什么区别呢从它们的使用上来看,@static

python

@classmethod

@staticmethod

转载 2017-12-05 11:09:59 3785 阅读

官方博客	全部文章	热门标签	班级博客
了解我们	在线客服	网站地图	意见反馈

开源基础软件社区	51CTO学堂
51CTO	汽车开发者社区

51CTO博客

老鹰a