一、前言在K8S中可以通过service对外暴露服务，由service代表一组pod对外提供服务，同时也提供了通过Ingress-controller组件对外提供服务的方式，Ingress-controller类似于一个反向代理，前端向用户侧提供服务，后端将服务请求转发到每一个service上。而Ingress则在Ingress-controller的基础之上提供了一个用户配置规则的入口。K8S通
一、说明 K8S涉及非常多的组件，在完成安装部署后需要对配置进行安全性检查，这是确保K8S基础架构安全的重要组成部分，我们可以参考互联网安全中心CIS（https://www.cisecurity.org/benchmark/kubernetes/）提供的安全基线进行逐项检查。由于检查项众多，可以使用kube-bench工具进行检查，Kube-b
一、K8S集群基本概念 k8s是一组服务器集群，是一个分布式的容器编排系统，对运行在集群上的容器进行管理，K8S集群包括控制平面（Control Plane）以及1个或者多个工作节点（worker node），而控制平面包括mast
说明：由于最近计划开展K8S及容器的安全评估，但是对于K8S的组件、规划及部署不是很清楚，对于K8S的安全评估存在更多的知识盲区，因此我从网络中找了相关的视频进行了学习，并同步进行了实验学习。本篇是一个K8S的简单部署学习笔记，在网上能够找到更加详细、类似的文章，在学习实验的过程中也遇到一些问题，在这个过程中通过各种方法进行了解决，增加了对相应知识点的理解。笔者计划先跟着老师将实验完成，先实操一遍
在学习RMI的时候，首先启动了服务端，然后再启动客户端，在启用客户端的时候报错，如下：Exception in thread "main" java.rmi.UnmarshalException: error unmarshalling return; nested exception is: java.lang.ClassNotFoundException: com.RMIServerDemo0
一、Sonarqube简述Sonarqube是一个静态代码扫描工具，通过在代码开发早期阶段的检测扫描，发现代码中存在的问题，提升代码的安全性、可靠性及可维护性，Sonarqube可以和现有的开发工具进行集成，目前支持30多种不同的编程语言，相关资料可以在官方网站可查看：https://docs.sonarsource.com/sonarqube/latest/。Sonarqube由扫描器Scann
一、SpringBoot ActuatorSpringBoot Actuator是SpringBoot项目中的一个监控机制，用于提供了一系列对SpringBoot项目的状态监控，有助于监控项目上线后的运行状态、组件状态等。这些监控项称之为端点（endpoint），可以通过API接口进行访问，但是配置不当可能出现敏感信息泄露，导致一系列严重的后果。二、环境搭建1、SpringBoot：2.3.2.R
一、前言 SQLI是PTE考试中的重要组成部分，在本人的其他博客中已经有一些知识分享，在本篇博客中再记录一些关键的知识点与技巧。二、重要的知识点 1、SQLI的通用步骤首先是寻找注入点，通常注入点会比较明显，然后是查找显示位、查找列数、联合查询获取数据，常见的题型包括普通的查询注入、弱口令、找回密码造成的二次注入、发布文章
一、背景在我们的网络中存在不同的安全区域，各个安全区域进行了逻辑隔离，不能直接互通，但是又存在数据传输的需求，因此我们建设了文件摆渡系统，可以实现将文件从一个区域单向的摆渡至另外一个区域。在这个过程中我们也发现存在的问题，比如用户可以将敏感信息从高安全级别的区域传输至低安全级别的区域，这样势必会造成敏感数据泄露的风险。二、openDLP简介GitHub地址：https://github.com/h
一、网络安全（一）网络区域划分 办公网络通常用于承载公司员工日常办公的服务以更好的支撑业务开展，如OA系统、知识管理、项目管理、邮件系统等，其由办公相关的服务器、接入网络、终端构成。在办公网络架构设计上首先要遵循“纵深防御”的理念，通过“纵深防御”可以使网络拥有更高的安全韧性。为了使“纵深防御”有效，必须站在恶意人员的视角，在访问路径上应用多层或者多级安全性
一、说明SQLMAP是一个用于测试SQL注入问题的强大工具，工具有很多可用的选项，使用sqlmap -hh可以看到具体的说明，其可用的选项进行了分类，包括Target、Request、Optimization、Injection、Detection、Techniques、Fingerprint、Enumeration、Brute force、User-deficed function inject
一、简介 在前一篇博客中安装了zeek流量分析工具，并且使用zeek工作捕获了流量以日志的方式进行了展示，在本篇博客中我们将安装Graylog，将zeek流量分析结果以图形的方式展示，并结合Elasticsearch提供的搜索引擎完成日志的存储及检索。 Graylog的官方网站见https:
一、zeek简要介绍 Zeek官方网站为https://zeek.org/，官网将其定义为一款开源的网络安全流量分析工具，其前身为Bro，在其官方网站可以找到详细的文档说明，zeek可以以单节点部署，也可以以集群的方式部署。Zeek的架构如下：其中有两个关键的组件，Event Engine以及Policy Script Interpreter：E
说明：本文所有操作仅为作者的学习记录，严禁用于非法测试！ 一、背景在安全运营之暴露资产探测一文中作者分享了一种快速探测暴露资产的思路，可以快速的找到IP地址暴露在互联网上的端口服务。但是如果这些端口中暴露了一些高危的API服务，那就还要做进一步的检测，因此在本文中作者将继续说明对暴露在互联网的高危API接口进行探测的方法，从而在安全运营中更好更细的管理好自身的资产，减少风险暴露。二、需求
一、说明 在fastJson反序列化学习笔记 一文中提到 TemplatesImpl利用链 需要将原始PAYLOAD编译为java字节码，也就是class文件，然后再进行BASE64编码，从而得到最终的PAYLOAD文件，本篇回顾一下如何实现这个过程。二、原始PAYLAOD文件 文件命名为She
Copyright © 2005-2024 51CTO.COM 版权所有 京ICP证060544号
