腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

madMen

专栏作者

79

文章

76276

阅读量

14

订阅数

为什么 2022 年是漏洞赏金奖破纪录的一年

https git 安全网络安全编程算法

每年，GitLab 的应用安全团队[6] 都会回顾 GitLab 漏洞赏金计划的亮点。

2023-02-14

3900

Go 的漏洞管理

安全 https 网络安全 go 数据库

我们很高兴地宣布 Go 对漏洞管理的新支持，这是我们帮助 Go 开发人员了解可能影响他们的已知漏洞的第一步。

2022-11-22

8160

第一款Goland的SCA插件开发之旅

https 网络安全数据分析 api ide

插件开发，是一件即快乐又痛苦的事情。快乐的是你可以根据自己的需求通过插件来进行实现，比如经常看到的 Chrome 的插件开发。插件对于应用的原生生态有着很大的益处，往往那些特别优秀的插件甚至会被官方收编或者在正式功能中加入插件的功能。痛苦的是你需要去看文档，看插件开发的各种文档，如果文档不详细的话，痛苦加倍。程序猿最讨厌的事就是看别人的文档以及自己写文档。当然，除了文档，作为小白你还会踩到各种各样的坑。

2022-06-07

1.3K0

SAST 测试中要测量的三个参数

sas 网络安全安全腾讯云测试服务

在我们之前的博客中，为什么你不能仅使用列表、测试套件和基准测试来比较 SAST 工具，我们探索了当今常用来评估和比较 SAST 测试工具的各种工具和指标。我们还研究了为什么这些工具可能会产生不一致的结果并且对于评估 SAST 测试工具可能根本不可靠的一些原因。

2022-04-15

3570

安全运营平台从0到1

安全网络安全安全漏洞腾讯云测试服务运维

本文首发于安全客平台，https://www.anquanke.com/post/id/266237

2022-03-11

1.2K0

网络安全 http 爬虫

事件的起因是这个样子的，今天本来打算登录 CSDN 看我的以前的一篇博客，结果登陆的时候是这个样子的：

2022-03-11

5800

聊聊答题应用题库的建立

文字识别 es https 网络安全 github

前段时间，答题 APP 如火如荼的发展，各大互联网公司都加入了撒币大战，包括像冲顶大会，百万英雄，芝士英雄等等。随之而来的也是各个答题应用辅助的兴起。

2022-03-11

3670

富文本场景下的 XSS

网络安全 html go node.js vue.js

富文本编辑器是一个常见的业务场景，一般来说，通过富文本编辑器编辑的内容最终也会 html 的形式来进行渲染，比如 VUE，一般就会使用 v-html 来承载富文本编辑的内容。因为文本内容需要通过 html 来进行渲染，那么显然普通的编码转义不适合这种场景了，因为这样最终的呈现的效果就不是我们想要的了。针对于这种场景，显然过滤是唯一的解决方案了，不过过滤其实可以在后端和前端都是可以做的，后端做的话，一般是在数据存储在数据库之前。前端做的话，则是在数据最终在页面渲染之前做过滤。

2021-09-24

2.1K0

未授权访问火眼红队工具

github git 开源安全网络安全

一个由国家支撑的顶尖的竞争者窃取了火眼的红队工具。因为我们认为竞争者已经拥有这些工具，并且我们不知道攻击者是否打算自己使用被盗的工具还是公开披露它们，所以火眼在此博客中发布了数百种对策，以使安全社区能够保护自己免受这些工具的攻击。我们已将防御策略整合到我们的火眼产品中，并与合作伙伴，政府机构共享了这些策略，以显着限制不良行为者利用红队工具的能力。

2020-12-15

4090

制作属于你自己 github 自我介绍

git github 开源 https 网络安全

之前 Github 的个人主页里面只可以放一些简单的信息，比如个人状态、博客链接、以及一些代码仓库。最近 Github 推出了一个新的功能，假如你创建一个与自己用户名相同的代码仓库，那么这个代码仓库的 README.md 文件的内容就会呈现在你的个人自我介绍中。

2020-07-31

1.1K0

黑客入门，从HTB开始

安全 bash bash 指令网络安全

Hack the box 是国外的一个靶机平台，里面的靶机包含多种系统类型，并且里面可以利用的漏洞类型多种多样，有很多靶机其实非常贴近实战情景。因此 HTB 是一个很好的学习渗透测试靶场。

2019-11-29

6090

代码分析引擎 CodeQL 初体验

数据库 sql javascript https 网络安全

QL是一种查询语言，支持对C++，C#，Java，JavaScript，Python，go等多种语言进行分析，可用于分析代码，查找代码中控制流等信息。

2019-11-28

1.1K0

通过 DOM Clobbering 发现 GMail AMP4Email 的 XSS 漏洞

html php https 网络安全

原文：https://research.securitum.com/xss-in-amp4email-dom-clobbering/

2019-11-28

1K0

Holiday -- hack the box

shell http npm 网络安全 bash

Holiday is an insane box officially. It's really difficult to get the user permission. The most difficult part should be how to pass the XSS filter. It may need a lot of time. And the root privesc is based on the exploitation of npm install which is relatively fresh.

2019-11-28

6530

干货满满的 Go Modules 和 goproxy.cn

网络安全 go 编程算法

大家好，我是一只普通的煎鱼，周四晚上很有幸邀请到 goproxy.cn 的作者 @盛傲飞（@aofei）到 Go 夜读给我们进行第 61 期《Go Modules、Go Module Proxy 和 goproxy.cn》的技术分享。

2019-11-28

1.1K0

Kibana 任意代码执行漏洞

canvas javascript linux apache 网络安全

这几天，有人公开了 Kibana 任意代码执行漏洞（CVE-2019-7609）的 POC。这个漏洞的主要原理是因为 Kibana 中的 Timelion 中具有原型链污染漏洞，因此可以导致指定变量的原型链污染，通过传递 NODE 环境变量参数，利用 Kibana 的 Canvas 会创建新进程的特性可以达到远程执行命令的效果。

2019-11-28

1.1K0

基于MITRE ATT&CK的Red Teaming行动实践

安全网络安全 access

如果要评选最近一年内国内信息安全圈最火的一个安全新名词，那一定是“MITRE ATT&CK”了。这个词在其被引入国内的那一刻起，就似乎备受青睐，常见于各种文章、PPT、演讲之中，大有赶超前几年的安全热词“威胁情报”之势。一时间造成了一种如果在2019年没听说过“MITRE ATT&CK”的安全从业人员不算是真正的业内人士的错觉。可是，物极必反，但凡被吹捧的越高往往跌的越惨，笔者私下里也在多个场合听到一些对“MITRE ATT&CK”被过度吹捧的反感言论，其实看待任何新鲜的事物和概念都需要冷静分析、客观思考、取其精华、去其糟粕，最后为我所用才是正道。

2019-11-28

8990

Chrome 在野零日漏洞

javascript 网络安全安全

卡巴斯基安全防护是卡巴斯基产品的一部分，过去已成功检测到许多零日攻击。最近，为 Google的 Chrome 浏览器发现了一个未知的新漏洞。我们会立即将此情况报告给 Google Chrome 安全团队。在审核了我们提供的 PoC 之后，Google 确认存在零日漏洞并将其分配为 CVE-2019-13720。Google 已针对 Windows，Mac 和 Linux 发布了 Chrome 版本78.0.3904.87，我们建议所有 Chrome 用户尽快将其更新为最新版本！你可以点击此处阅读 Google 公告。

2019-11-28

7450

MyBatis 和 SQL 注入的恩恩怨怨

sql 网络安全 javascript mybatis jdbc

MyBatis 是一种持久层框架，介于 JDBC 和 Hibernate 之间。通过 MyBatis 减少了手写 SQL 语句的痛苦，使用者可以灵活使用 SQL 语句，支持高级映射。但是 MyBatis 的推出不是只是为了安全问题，有很多开发认为使用了 MyBatis 就不会存在 SQL 注入了，真的是这样吗？使用了 MyBatis 就不会有 SQL 注入了吗？答案很明显是 NO。MyBatis 它只是一种持久层框架，它并不会为你解决安全问题。当然，如果你能够遵循规范，按照框架推荐的方法开发，自然也就避免 SQL 注入问题了。本文就将 MyBatis 和 SQL 注入这些恩恩怨怨掰扯掰扯。（注本文所说的 MyBatis 默认指的是 Mybatis3）

2019-11-28

1.1K0

网站 dns http 网络安全安全

DDOS(Distributed Denial of Service)，即分布式拒绝服务，是一种针对于网络服务的攻击行为。对于 DDOS 我们可以这样通俗地理解，假如有一家商店在售卖商品，突然涌过来一大帮人说要买东西，这里面有的人是真正的顾客，有的人只是过来捣乱的，但是售货员可能就会崩溃了（不知道该卖给谁），就会导致一种拒绝服务攻击了。而分布式拒绝服务攻击，则是因为黑客控制了很多台肉鸡来发动攻击。这种攻击近些年来越来越流行，对于攻击者来说，成本小，但是相对收益大，对于受害者来说，造成的伤害却是巨大的。因为对于服务提供者来说，一旦服务不可用，就会造成不可挽回的损失，可能会导致用户量的流失。根据腾讯云发布的《2018年泛互联网行业DDoS攻击态势报告》，2018年 DDOS 攻击已经进入 TB 时代，2018 年的攻击峰值为 1.23Tbps（同比增长121%），而业界的攻击峰值更是达到惊人的 1.94Tbps。

2019-11-27

1.1K0

点击加载更多

社区活动

腾讯技术创作狂欢月

“码”上创作 21 天，分 10000 元奖品池！

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态