摘要： CWE Top 25 是通过分析美国国家漏洞数据库(NVD)中的公共漏洞数据来计算的，以获取前两个日历年 CWE 弱点的根本原因映射。 本文分享自华为云社区《2023年最具威胁的25种安全漏洞(CWE TOP 25)》，作者： Uncle_Tom 。 CWE Top 25 是通过分析美国国家
容器镜像安全：安全漏洞扫描神器Trivy，Trivy是一款由aquasecurity团队开发的容器镜像安全漏洞扫描工具，Trivy简介，Trivy漏洞扫描原理，CVE全称是Common Vulnerabilities and Exposures，即通用漏洞披露，Trivy漏洞扫描原理简单来说就是：*...
本文是从开源项目 RuoYi 的提交记录文字描述中根据关键字漏洞|安全|阻止筛选而来。旨在为大家介绍日常项目开发中需要注意的一些安全问题以及如何解决。 项目安全是每个开发人员都需要重点关注的问题。如果项目漏洞太多,很容易遭受黑客攻击与用户信息泄露的风险。本文将结合3个典型案例，解释常见的安全漏洞及修
1、为什么要开启ACL 通过之前的文章我们已经知道怎么安装RocketMq了。如果你还不会安装RocketMq可以查看我的这篇文章：快速入门一篇搞定RocketMq-实现微服务实战落地 进行软件安装，附文章地址：https://www.cnblogs.com/sowler/p/18173752 。虽
通用漏洞评分系统（CVSS）是当前应用最频繁的评分系统以评估安全漏洞的严重性。但是，由于该系统在评估漏洞和优先级排序方面存在不足而遭受批评。因此，有部分专业人士呼吁使用漏洞利用预测评分系统（EPSS）或将 CVSS 与 EPSS 结合来推动漏洞指标变得更加可执行和高效。与 CVSS 一样，EPSS
vRealize Operations Manager 安全补丁修复 背景：记录一次安全同事在检测中发现 vRealize Operations Manager 存在安全漏洞，需要整改修复，于是到VMware官网找到对应版本vRealize Operations Manager的最新安全补丁下载并修
本文介绍了两种攻击者无需直接接触服务端即可攻击和影响用户行为的安全漏洞 —— Web缓存污染与请求走私。Web缓存污染旨在通过攻击者向缓存服务器投递恶意缓存内容，使得用户返回响应结果而触发安全风险。HTTP请求走私旨在基于前置服务器（CDN、反向代理等）与后置服务器对用户请求体的长度判断标准不一致的特性，构造能够被同一TCP连接中其它用户夹带部分恶意内容的攻击请求，从而篡改了受害者的请求与响应行为
# web攻防--xxe实体注入 ## 漏洞简介 XML 外部实体注入（也称为 XXE）是一种 Web 安全漏洞，允许攻击者干扰应用程序对 XML 数据的处理。它通常允许攻击者查看应用程序服务器文件系统上的文件，并与应用程序本身可以访问的任何后端或外部系统进行交互。 在某些情况下，攻击者可以利用 X
drozer简介 drozer 是 Android 的安全测试框架。 drozer 允许您通过扮演应用的角色并与 Android 运行时、其他应用的 IPC 端点和底层操作系统进行交互来搜索应用和设备中的安全漏洞。 drozer 提供了一些工具来帮助您使用、分享和理解公共 Android 漏洞。 d
反序列化 什么是反序列化？ 格式转换 序列化：对象转换为字符串或者数组等格式 反序列化：将数组或字符串转换成对象 为什么会出现安全漏洞？ 魔术方法 如何利用漏洞? 通过构造pop链，找到代码的逻辑漏洞，进行getshell，rce等操作 反序列化利用分为三类 魔术方法的调用逻辑 语言原生类的调用逻辑
免责申明 以下内容仅供学习使用，非法使用造成的问题由使用人承担 攻击思路 漏洞探测（信息收集） <- fsacn,namp | 漏洞利用 <- 工具（msf等） | 获取服务器权限 MSF 使用 Metasploit就是一个安全漏洞检测工具。它的全称叫做The Metasploit Framewor
https://nacos.io/zh-cn/blog/announcement-token-secret-key.html 近期Nacos社区收到关于Nacos鉴权功能通过token.secret.key默认值进行撞击，绕过身份验证安全漏洞的问题。社区在2.2.0.1和1.4.5版本已移除了自带的
在过去的几天里，Apache Commons Text 库中一个名为 Text4Shell 的新漏洞引起很大的轰动，该漏洞存在于 Apache Commons Text 1.5到1.9版本中。此警报于10月18日发布，此前检测到大量试图利用 CVE-2022-42889 安全漏洞的攻击尝试，该漏洞通
## 关键词 - DevSecOps — 在不影响敏捷性的前提下，将安全充分融入到SDLC的所有环节中 - SDLC—软件交付生命周期 - SCA—软件组成分析-用于识别和检测软件中使用的开源/第三方组件的已知安全漏洞 - SAST—静态分析安全测试 - DAS—动态分析安全测试 - IAST—交互
在黑客安全圈子中，基于内存攻击技术的攻击手段在随着时代的变化而不断发展着，内存攻击是指通过利用软件的安全漏洞，构造恶意的输入，从而使正常程序造成拒绝服务或者是远程获得控制权，内存攻击技术中最先登上历史舞台的就是缓冲区溢出漏洞，时至今日能够被广泛利用的并具有较大破坏性的高危漏洞（CVE）几乎都属于缓冲区溢出。首先读者应该明白缓冲区溢出（Buffer Overflow），它分为栈溢出与堆溢出，此类漏洞
# Web通用漏洞--SSRF ## 漏洞简介 SSRF(Server-Side Request Forgery:服务器端请求伪造) 一种由攻击者构造形成由服务端发起请求的一个安全漏洞; 一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。正是因为它是由服务端发起的，所以它能够请求到与它相连而
摘要：着重介绍Kubeedge在安全防护方面的实践，并介绍OpenSSF在开源软件安全方面的计划与目标。 本文分享自华为云社区《KubeEdge在边缘计算领域的安全防护及洞察》，作者：华为云云原生团队。 随着开源软件安全漏洞持续引起世界各地政府和企业的关注，越来越多的组织、开发人员、研究人员和安全专
故障，是每个技术人都不愿遇到，但却总会遇到的事件。程序Bug、安全漏洞、黑客攻击、服务器宕机、网络中断等诸多因素都有可能引发系统故障，使我们的业务面临瘫痪的窘境。这样的例子，国内外都在不断的发生，比如： 2020年，由于严重的全澳性IT故障，Coles的收银机全部不能联网，down机瘫痪。收银员扫不
问题描述 引用报告：（OpenSSL3.x曝出严重漏洞 ： https://www.ctocio.com/ccnews/37529.html ） 最近OpenSSL 3.x 爆出了严重安全漏洞，分别是 CVE-2022-3602 和 CVE-2022-3786. CVE-2022-3602 缓冲区溢
文章转载自DongTai官网，只限个人学习使用。 简介 洞态 IAST 是一个完全开源的 IAST 项目，它使用应用程序运行时数据流进行分析从而识别可被利用的安全漏洞，再按风险优先级的提供已验证漏洞列表功能，协助开发人员实时的代码修复。 主要功能：全面精准的应用漏洞测试、开源组件漏洞和风险分析、应用
