为什么使用日志？... 或者用打印(Print)?
日志的两个目的：
1.诊断日志： 记录与应用程序操作相关的日志。例如，用户遇到的报错信息，可通过搜索诊断日志获得上下文信息。
2.审计日志： 为商业分析而记录的日志。从审计日志中，可提取用户的交易信息，并结合其他用户资料构成用户报告或者用来优化商业目标。
打印(Print)?
大多数情
转载
2024-02-22 12:11:32
91阅读
一本介绍审计数据采集与分析的书，介绍了计算机数据审计的“七步流程法”，具体七步是：第一阶段：调查阶段；第二阶段：数据采集；第三阶段：数据清理、转换、验证；第四阶段：建立审计中间表；第五阶段：把握总体，选择重点；第六阶段：建模分析；第七阶段：疑点延伸、落实、取证。以上七个步骤从内容基本上涵盖了计算机数据审计的必要环节，但是有一些值得讨论的地方：1.调查阶段之前是不是应该确定审计目标？在每个审计项目开
转载
2024-01-20 19:42:37
53阅读
源码都粘贴出来，有点长，但是真正改动的就只有几行环境配置：我的另一片博客推荐用指令安装，然后下载相应的源码（我们需要源码里的demo）,源码版本与安装的版本最好一样。我安装的是2.2，下载的是2.1，之前无脑用1.7一直报错。#用源码安装后进入终端用以下指令查看paramiko的版本
>>> import paramiko
>>> paramiko.__vers
转载
2023-11-13 14:47:43
145阅读
介绍Python代码审计方法多种多样，但是总而言之是根据前人思路的迁移融合扩展而形成。目前Python代码审计思路，呈现分散和多样的趋势。Python微薄研发经验以及结合实际遇到的思路和技巧进行总结，以便于朋友们的学习和参考。反序列化审计实战反序列化漏洞在Python代码审计中属于常见高危漏洞之一，它的危害性根据执行环境略有不同，本地和远程分别为7.2和10的评分。通过评分也可得知漏洞危害是显而易
转载
2023-08-12 19:54:07
20阅读
1、https://blog.51cto.com/u_10401840/5927529Linux 中常见日志以及位置/var/log/cron 记录了系统定时任务相关的日志/var/log/auth.log 记录验证和授权方面的信息/var/log/secure 同上，只是系统不同/var/log/btmp 登录失败记录 使用lastb命令查看/var/log/wtmp 登录失成功记录 使用las
转载
2023-11-29 12:29:45
130阅读
公司面临上市，为了满足上市it审计要求，对系统密码进行定制。#!/bin/env python
import random,string
import os,sys,re,paramiko
from optparse import OptionParser
def pssh(host,cmd):
user = 'root'
s = paramiko.SSHCli
转载
2023-06-16 16:16:14
219阅读
很显然，在参数不停传递过程中，普通的正则表达式已经无能为力了。这个时候就可以体现Python库丰富的特点。Python官方库中就提供了强大的Python语法分析模块ast。我们可以利用根据ast优化后的PySonar模块，PySonar相对于ast模块而言有性能上的提升，另外是以Python的dict来表示的。（一）语法树的表示-文件一个文件中可以有函数，类，它是模块的组成单位。大体结构如下：{"
转载
2023-10-01 11:45:52
214阅读
0x00 前言大概去年的时候就想写这样一篇文章，最近看到老外写的一个ppt，于是就有了这篇文章，随便看看就好，价值不是很大。测试一个应用程序是否存在漏洞的思路总结起来无非 黑盒 和白盒 ，或者两者结合。黑盒的思路简单概括即是 通过异常输入判断程序是否存在漏洞，白盒即是 通过审阅程序代码来了解程序逻辑来判断漏洞。我这里想说的思路是结合两者的特性来完成整个过程的自动化。如果要你用一句话来概括一下白盒的
转载
2024-04-02 16:05:05
42阅读
通用类I. 代码实现1.1 加密算法1.1.1 【必须】避免使用不安全的对称加密算法1.2 程序日志1.2.1 【建议】对每个重要行为都记录日志1.2.2 【建议】禁止将未经验证的用户输入直接记录日志1.2.3 【建议】避免在日志中保存敏感信息1.3 系统口令1.3.1 【必须】禁止使用空口令、弱口令、已泄露口令1.3.2 【必须】口令强度要求1.3.3 【必须】口令存储安全1.3.4 【必须】禁
转载
2024-05-28 13:20:27
34阅读
项目执行过程中，常见的几种审计类型的作用...
原创
2021-07-09 09:39:24
359阅读
一、审计报告概念： 审计报告，即为所得税汇算。是指通过税务师事务所对企业账务处理及纳税情况进行审查，纠正和调整纳税申报金额的一项业务。审计完成后，税务师事务所将对审计结果出具审计报告。 二、做审计报告的好处： 1.可弥补亏损，减少税款支出 企业所得税法规定，企业发生亏损时，可在连续五个年度内弥补亏损、企业要弥补亏损，通常税务局会要求企业提供审计报告。 2.正确申报企业所得税
转载
2023-10-31 21:06:10
0阅读
环境准备：phpstudy来搭建web服务、sublime作为代码编辑器（notepad++和phpstorm等都可以）、fortity和rips：静态扫描工具、beyond compare文本比较工具、seay代码审计工具。挖掘思路：敏感函数回溯参数。高效，通过搜索敏感函数的关键字，快速挖掘想要的漏洞。但是难以发现逻辑漏洞。通读全文代码。观察目录结构，根据文件名去看代码。例如upload、adm
转载
2023-07-05 14:25:43
71阅读
目录数据结构定义分类线性结构非线性结构常用数据结构数组(Array)栈( Stack)队列(Queue)链表( Linked List)树( Tree)树的特点：树的分类：图(Graph)堆(Heap)散列表(Hash) 数据结构数据结构是计算机存储、组织数据的方式。数据结构是指相互之间存在一种或多种特定关系的数据元素的集合。通常情况下，精心选择的数据结构可以带来更高的运行或者存储效率。数据结构
转载
2024-10-24 11:35:33
19阅读
曾今向前辈请教过，如何学习代码审计；曾今向大牛问起过，如何学好代码审计……得到的答案总是出乎的一致：多读，多审，多写；php，python，java；变量，函数，框架；赋值，传递，覆盖；……只要用心，就能学好。其实很多看起来很专的技术，只要把心静下来，用心去学习--总结--沉淀，就一定不会差。1、前言作为【一起玩蛇】系列的文章，突发奇想到python代码审计。纵观目前主流的代码审计，关于审计PHP
转载
2023-09-04 10:40:32
5阅读
python的paramiko源码修改了一下，写了个操作命令的日志审计，但是记录的日志中也将backspace删除键记录成^H这个了，于是改了一下代码，用字符串的特性。字符串具有列表的特性>>> a="hello world">>> a[:-1]'hello worl'转义符转义字符\(在行尾时) 续行符\\ 反斜杠符号\' 单引号\" 双引号\a 响铃\b 退
转载
2024-05-11 11:11:19
52阅读
# Python审计基础指南
在现代软件开发中，审计（Audit）是确保代码质量、数据安全与合规性的重要步骤。对于初学者来说，理解怎样在Python程序中进行审计并不复杂。本文将通过几个简单的步骤带领你完成Python审计的实现。
## 流程概述
首先，我们需要明确审计的整个流程，下面的表格详细列出了实现Python审计的步骤：
| 步骤 | 描述 |
|------|------|
|
# 审计Python：确保代码的可靠性
在软件开发中，代码的质量和可靠性至关重要。Python作为一种流行的编程语言，被广泛应用于数据分析、人工智能、网络开发等多个领域。为了保证Python代码的正确性和安全性，审计Python成为开发者和公司必不可少的步骤。
## 什么是Python审计？
审计Python主要是指分析和检查Python代码的过程，旨在发现潜在的漏洞、错误及不符合最佳实践的
审计？审计到底都在干嘛？为什么那么累？接下来的日子里，我来讲一讲，审计究竟在干什么。投标——中标——签合同——做审计计划——做底稿一般入职以后，我们的生活节奏就是预审——年审——Q1——中期——复习CPA——Q3——预审……循环往复，以上循环，不是每个审计都会经历的。比如有些人没有做过Q(季度的商定程序)。所有幸福的审计都一样,不幸的审计各有个的不幸。我入职的时候还听说过有人idle能复习考试，我
转载
2023-10-25 21:49:34
129阅读
你是否觉得有时候人类的思考模式很像正则匹配？本文包括以下几个部分：1、为什么我觉得可以用这个工具(个人认为)2、我为什么写这个工具3、工具的实现思路4、工具的升级思路5、源代码的 github 地址6、使用测试7、最后说两句为什么我觉得可以用这个工具(个人认为)通过审计源代码，也就是查看源代码，来发现其中存在的隐患，代码审计需要对被审计的语言有充分的了解，不仅是能读懂源代码，还要了解语言本身的缺陷
转载
2023-10-07 16:43:40
257阅读
在企业IT基础设施“云化”和“业务应用云原生化”的背景下，企业的业务应用大量使用分布在多个云平台上的异构数据源PaaS服务，技术环境和应用场景复杂，数据安全管控也因此变得难度大、效率低。而目前大多数企业为满足等保监管合规配置，采用堡垒机和传统数据库审计硬件盒子的方式作为应对方案。一方面，类似的传统数据安全产品技术架构难以适应云化的基础设施，以及基于云原生架构的业务应用；另一方面，安全审计是事前预防
转载
2023-09-24 15:37:01
110阅读
