本人PHP开发者，项目组大多是PHP，少量java项目。因公司目前服务器和项目的管理比较混乱，与领导商量后，决定尝试 gitlab+jenkins自动化部署（之前用的svn FTP手动部署代码），解放生产力。其实仅gitlab自己就可以实现代码的自动化部署，gitlab有自己的CI，甚至只用gitlab的webhook（新版本叫 Integrations ）+ 服务器端shell脚本就可
文章目录方案调研方案一（放弃）方案二（成功）脚本流程增量检测GitLab 配置项目地址 去年 log4j 漏洞爆发时候就已经很痛苦了，当时把所有的线上服务排查了一遍。没想到这都已经过去3个月了，上周又遇到了一个服务仍在使用低版本，被外部攻击，有点受伤。 这件事后，老板让我全量扫一遍我们的代码库，看还有哪些服务还在用老版本的 log4j，统一推一波修复，防止后续在发生此类事件。方案调研方案一（放
开源代码仓库网站对于开发应用软件的科技公司和开发者社区来说是至关重要的。对于需要 Git 版本控制系统的项目来说，GitHub 无疑是其中最佳的免费源代码托管网站。本文列出了可以用作 Git 代码仓库的 GitHub 之外的几个最佳网站。1、GitLab 这个 Git 仓库管理工具在使用和感觉方面与 GitHub 很相似。该软件提供了一些实用的功能，比如代码审查、时间跟踪、问题单跟踪、
目录程序质量管理(一)——关于Review程序质量管理(二)——关于静态代码扫描程序质量管理(三)——关于分支管理程序质量管理(四)——关于配置表管理程序质量管理(一)——关于ReviewReview是日常开发中一个非常重要的步骤，尤其对于项目临发布阶段，或者团队成员水平参差不齐的情况下。代码审查(review)的平台：1 gitlabgitlab也是支持代码评审流程的(支持有限度的代码审核)因此
Gitlab是一款涵盖整个DevOps生命周期的集成解决方案。此外，KlockWork是一款能够优化DevSecOps生命周期的静态代码分析器，例如CI/CD Pipelines。当你同时使用GitLab和KlockWork这两款工具的时候，它们可以为开发团队提供强大的GitLab SAST解决方案。在这里，我们将解释Klocwork和GitLab集成的优秀之处。GitLab是什么GitLab是一
一、问题背景某天巡视项目代码时，发现提交信息是错乱无规则的。想着查一下到底是哪个小可爱这么的可爱。二、排查过程以下来自ChatGPT的回复，请原谅我有点懒?在 GitLab 中，commit 记录只包含了提交者的用户名和邮箱地址，而不包含其他额外的验证信息。因此，无法直接从 commit 记录中确定是否是使用真实注册并通过验证的 GitLab 账号进行的操作。如果你想要确认某个 commit 记录
===================前置安装配置==========================1、Gitlab 配置并启用SAST功能2、配置gitlab-runner单独安装gitlab-runner，需要设置为share模式，便于配合多project使用docker run -d --name gitlab-runner --restart always \ -v /srv/g
原创
2022-07-25 11:57:21
2747阅读
目录前言正文一、准备工作二、操作步骤三、模块关系图谱四、工具前言随着研发团队的日益壮大，代码质量管理变得越来越有必要。本文只是介绍一种代码静态检测系统搭建的建议和思路，大家也可以理解成是一种设计方案。正文一、准备工作1. 拥有（新建）一个gitlab的代码仓库。2. 项目具备管理员权限，普通开发者角色（developer）没有配置权限。【如果你没有如下图所示的“设置”选项，就不用瞎折腾了。我就因为
第一关暴力破解漏洞漏洞详情：暴力破解漏洞即我们平时所说的口令爆破（或跑字典），是采用大量的密 码进行批量猜解密码的一种恶意登录方式我们这里使用 burp 进行爆破首先抓取登录请求包*将数据包发送到 intruder 模块中载入相关密码字典点击 start attack 找到返回数据度不同的数据包发现密码是admin由于我们在验证过程中发现输入#等特殊字符会报错所以我们对源码进行一下审计代码审计&l
原创
2021-05-24 10:35:48
743阅读
比如说gitlab如何配置token、如何自动化把代码拉取到本地、如何调用fortify实现批量扫描等诸多繁琐问题。本篇文章以甲方安全代码安全建设为主线，分享如何让代码审计工具自动化扫描gitlab仓库里的代码。并且提供了一个便捷的实验环境供大家测试。
原创
2023-05-18 17:56:59
0阅读
纯人工审核耗时太大，一般采用工具+人工的形式本次要用的工具和资源：链接：https://pan.baidu.com/s/1aYniv90iu5GbSnvj8Pt_sA?pwd=g6x6 提取码：g6x6 --来自百度网盘超级会员V5的分享常见的工具：fortify, checkbugs博主用的是fortify, pojie教程在zip文件里面代码审计的通用思路1、通读全文代码，从功能函数代码开始阅
原创
2023-08-02 19:52:13
125阅读
点赞
http://www.freebuf.com/vuls/87138.html
转载
精选
2015-12-04 15:22:44
603阅读
通过源代码，知道代码如何执行，根据代码执行中可能产生的问题来寻找漏洞渗透测试->找漏洞bug->技术、衔接问题代码执行漏洞PHP中可以执行代码的函数，常用于编写一句话木马，可能导致代码执行漏洞漏洞形成原因：客户端提交的参数，未经任何过滤，传入可以执行代码的函数，造成代码执行漏洞。常见代码执行函数：eval()、assert()、preg_replace()、create_functio
转载
2021-09-26 23:08:00
482阅读
2评论
ame': 'adminzzz','password': 'zzzaddsadsadsaasd','
原创
2022-10-27 02:12:15
447阅读
代码审计介绍代码审计简介代码审计是一项对软件源代码进行系统性、深入性的安全检查和评估的过程。其主要目的是通过分析和评估来发现潜在的安全漏东、性能问题和其他缺陷，从而帮助开发人员及时修复这些问题，提高软件系统的安全性和稳定性。代码审计在软件开发中的重要性不言而喻。随着信息技术的飞速发展，软件应用程序已经渗投到日常生活的方方面面。然而，人为因素和复杂的开发环境导致每个应用程序的源代码都可能隐藏着安全漏
## 一、背景 前段时间在做代码审计，发现很多项目都存在安全隐患，大多数是来自于参数未过滤所造成的；为了解决这个问题，我将[Web安全开发规范手册V1.0](https://segmentfault.com/a/1190000017090860)
转载
2021-06-03 16:43:00
195阅读
2评论
简单来说，代码评审就是由不是写代码的人来对代码进行仔细、系统的检查代码评审有助于发现程序中的bug，规范代码，但更重要的是，这是程序员之间相互交流、学习的良好途径比如说在Google，必须有人为你的代码进行评审并签字，你才能将其推送到总仓库里代码评审（包括自己写代码）时的一些原则：DRY（Don’t Repeat Yourself）不要出现重复的或十分相似的代码 因此，Ctrl + C， Ctrl
一、背景在甲方做安全的同学可能会有一项代码审计的工作，通常需要从gitlab把代码拉取下来，然后使用代码审计工具进行扫描，然后对结果进行人工确认；在这个流程中需要做的事情比较繁琐。
原创
2023-05-18 17:57:33
0阅读
