年度盘点： 2017移动应用十大高危漏洞 如何做好2018年的防御
从1月的一大波银行木马袭击，到3.15晚会公民信息泄露事件披露;从5月的“勒索病毒Wanncry”变种在移动端侵袭，到11月的手机变成挖矿机;2017年移动互联网安全事件一波未平一波又起，攻击手段不断进化，引发了一系列新的安全威胁和挑战。
面对不断升级的安全威胁，更多移动应用开发企业意识到保护移动应用安全不能仅仅依赖 ...
芯片安全漏洞是“无敌”？做好这三件事让你免受攻击
1月4日，国外安全机构公布了两个CPU，Meltdown(熔断)和Spectre(幽灵)，由于该漏洞影响的范围非常广泛，引起课广大用户的关注。现在很多芯片厂商都推出了自己的解决方法，但是我们自己也可以使用一些非法保障自己安全。
利用Meltdown(熔断)漏洞，入侵用户计算机系统访问内核重要信息，并获取系统的底层的信息;当用户计算 ...
有关于减少安全漏洞的数据安全措施
行业领先的智能应用网络解决方案提供商Radware公司最近进行的一项调查表明，近一半(45%)的受访者表示在2017年遭遇数据泄露，68%的受访者表示并不能够确保组织的信息安全。尽管不断出现违规行为，以及数据隐私保护措施(如“通用数据保护条例”)即将实施，很多企业却仍然在采用过时和无效的安全政策和流程，这将使其数据安全 ...
用户帐户安全，授权和密码管理的12个最佳实践
账户管理，授权和密码管理往往是很棘手的。对很多开发者来说，账户管理功能是一个暗角，不会引起足够的重视。对于产品经理和用户来说，产品的最终体验往往超出预期。
幸运的是，谷歌云平台(GCP)提供了一些工具，能够使你在产品创造、安全处理和用户账号(本文中指任何在你中注册的人——消费者或者内部用户)认证方面做出更好 ...
怎样做好防御攻击！不管它们是否暴力
众所周知，某些信息安全事件其实并不高明，如icould艳照门通过暴力攻击不断尝试登录用户的账号名和密码，最终获取好莱坞明星的iCloud账号。什么是暴力破解攻击?怎样检测暴力破解攻击以及怎样防护呢?
一、什么是暴力破解攻击?
暴力破解攻击是指攻击者通过地组合所有可能性(例如登录时用到的账户名、密码)，尝试所有的可能性 ...
AMD 芯片被曝大量安全漏洞，Linux 之父怒评！
沸沸扬扬的英特尔事件后，近来，计算机芯片制造商 AMD 又被曝存在 13 大安全漏洞，危及 AMD Ryzen 桌面处理器、Ryzen Pro 企业处理器、Ryzen 移动处理器以及 EPYC 数据中心处理器。
3 月 14 日凌晨消息，本周二，以色列安全公司 CTS 在其发布的一份白皮书中指出，AMD 在售的芯片存在 13 个安全漏洞。
当事人之一 CTS 成立于 ...
常见的Web密码学攻击方式汇总
写在前面
所有脚本的导图都是自己写的、画的，如果有不好的地方多多包涵，错误的地方也请指出，谢谢。
分组密码的模式
分组密码每次只能处理加密固定长度的分组，但是我们加密的明文可能会超过分组密码处理的长度。
这时便需要对所有分组进行迭代，而迭代的方式被称为分组密码的模式。常见的为针对ECB、CBC模式攻击(L-ctf ...
可信前端之路-代码保护
一、 前言
在信息安全领域，可信系统(Trusted system)是一个让人心动的目标，它指的是一个通过实施特定的安全策略而达到一定可信程度的系统。
在计算机中，可信平台模块(Trusted Platform Module，TPM)已经投入使用，它符合可信赖计算组织(Trusted Computing Group，TCG)制定的TPM规范，是为了实现可信系统目标的而打造的 ...
如何应用份认证模块和.htaccess文件保证Web安全
要限制对一个网页的访问，可使用Apache和第三方提供的身份认证模块和方法来验证用户的凭据(如用户名和密码)。一些模块支持通过各种数据库(包括NIS和LDAP)进行身份认证。
用户认证指令通常放置在.htaccess文件中。下面是使用Apache默认身份认证模块(mod_auth)的一个基本.htaccess文件。当这个文件放置在/var/www中时，会导致 ...
新人帖
黑客修改WordPress核心文件，劫持网站流量
最令站长头疼的事莫过于自己的网站被黑。如果没有合适的安全措施，即便站长再怎么用心，也会失去网站的控制权。黑客入侵网站之后，可以在上面搭载钓鱼页面，传播恶意软件，盗取敏感信息等。在这篇文章中，我们将会看到一个网站被用来传播有关Windows序列号的广告内容。
垃圾内容和黑名单
近期，我们分析了一个被重定向到第 ...
暗网搜索引擎Memex：美帝最新制造的犯罪追踪神器
早在一年前，美国国防部先进研究项目局(DARPA)曾透漏过一个秘密项目——一款新型搜索引擎，通过深度挖掘暗网(Dark Web)，获取Google搜索和其他商业搜索引擎未能涉及到的所有隐秘信息。现在，它已经悄然问世。
科普：什么是暗网
暗网并非十分庞大，甚至没有想象中那样特别的神秘。事实上，所谓“暗网”都是公共可见的网站， ...
黑客修改WordPress核心文件，劫持网站流量
最令站长头疼的事莫过于自己的网站被黑。如果没有合适的安全措施，即便站长再怎么用心，也会失去网站的控制权。黑客入侵网站之后，可以在上面搭载钓鱼页面，传播恶意软件，盗取敏感信息等。在这篇文章中，我们将会看到一个网站被用来传播有关Windows序列号的广告内容。
垃圾内容和黑名单
近期，我们分析了一个被重定向到第 ...
超轻量级反爬虫方案
前言
爬虫和反爬虫日益成为每家公司的标配系统。爬虫在情报获取、虚假流量、动态定价、恶意攻击、薅羊毛等方面都能起到很关键的作用，所以每家公司都或多或少的需要开发一些爬虫程序，业界在这方面的成熟的方案也非常多;有矛就有盾，每家公司也相应的需要反爬虫系统来达到数据保护、系统稳定性保障、竞争优势保持的目的。
...
新人帖
SSL采购季：企业如何选择最佳的SSL
如果你的企业有意采购SSL，那么本文可以给一个很好的方向。在本文中，我们将先简要介绍SSL定义及其工作原理，并探讨目前各种可用的SSL证书类型以及企业如何选择最佳的SSL。
SSL定义
SSL及传输层安全协议(TLS)是在服务器和互联网客户端之间创建加密链接的安全协议，通常是在Web服务器和Web浏览器之间。它们还用在电子邮件服 ...
Web安全之Cookie劫持
1.Cookie是什么?
2.窃取的原理是什么?
3.系统如何防Cookie劫持呢?
看完这三个回答，你就明白哪位传奇大侠是如何成功的!!!
Cookie:
HTTP天然是无状态的协议，为了维持和跟踪用户的状态，引入了Cookie和Session。Cookie包含了浏览器客户端的用户凭证，相对较小。Session则维护在服务器，用于维护相对较大的用户信息。
用通俗 ...
新人帖
网络安全之PHP安全编程建议
简介
要提供互联网服务，当你在开发代码的时候必须时刻保持安全意识。可能大部分 PHP 脚本都对安全问题都不在意，这很大程度上是因为有大量的 无经验程序员 在使用这门语言。但是，没有理由让你因为对你的代码的不确定性而导致不一致的安全策略。当你在服务器上放任何涉及到钱的东西时，就有可能会有人尝试破解它。创建一 ...
谁看了你的Instagram账户?又是谁盗取了你的密码?
移动应用程序目前已经成为最有效的攻击向量之一，这些网络罪犯最喜欢的一种方法便是流行应用程序的滥用。自己审视下是否在安装一款需求连接到社交应用账户凭证，电子邮件账户，云存储服务的应用时有静下来细细考虑?
近日，一款名为“InstaCare – Who cares with me”(谁看了你的Instagram账户)的恶意应用通过Google Play ...
新人帖
中、小企业如何自建免费的云WAF
WEB攻击是十几年来黑客攻击的主流技术，国内的大厂们早已把WAF作为安全基础设施的标配，市面上也有很多安全厂商提供了WAF产品或云WAF服务。
对于没有自己安全团队，却又饱受sql注入、xss、cc等WEB攻击的中、小企业，对WAF的需求也是非常迫切的。
目前获取WAF的途径有以下几种：
[*]购买安全厂商的WAF产品
[*]使用 ...
无须字母构建XSS向量
之前我在玩一个XSS游戏的时候突然有了些想法，本着分享的原则，于是便有了这篇文章。在此，我将分享一个此前没有接触过的一个XSS攻击向量。
相同水平的前提下，在攻击向量中不使用任何字母，且必须调用alert(1)。
闲话少说，看这里：
""[(!1+"")[3]+(!0+"")[2]+(''+{})[2]][(''+{})[5]+(''+{})[1]+((""[(!1+"")[3]+(!0+"") ...
Rails动态模板路径的风险
前言
从安全开发的角度来看，Ruby on Rails是一套很友善的框架。它从框架层避免了很多过去网站长出现的安全问题。例如使用ORM避免大部分的SQL injection问题，有内建的authenticity_token让开发者不必特别烦恼CSRF，从机制面规定了开发者使用Strong Parameter来避免Mass Assignment，预设转化危险字符避免XSS等。
就我们 ...
关注公众号
