展开

关键词

Falco安全审计

作者:Michael Ducy 定期审计代码库是发布安全软件的一个重要过程。对于依赖于来自各种贡献者的代码的开源项目,审计可能特别重要。 我们很高兴地宣布Falco首次安全审计的发布,这是Falco作为CNCF沙箱项目参与完成的。非常感谢CNCF对审计工作的赞助,也非常感谢Cure53团队对审计工作的支持。 https://cure53.de/ 总的来说,安全审计发现了3个潜在的漏洞(1个关键的,2个高的)和2个杂项问题(低的)。您可以在完整发布的报告(pdf)中找到审计的细节和漏洞。 作为Falco团队持续致力于提高项目安全性的一部分,我们还发布了一个安全漏洞报告流程。我们再次感谢CNCF对Falco安全审计的赞助以及Cure53团队对我们的审计。 让CNCF项目通过这些安全审计,允许项目构建和发布更安全的软件,并为CNCF中的项目提供信心。我们期待定期重复这一过程,并邀请Falco社区的任何人参与未来的审计

70610

代码审计安全实践

第一次写文章,希望大牛们轻喷 一、代码审计安全 代码编写安全: 程序的两大根本:变量与函数 漏洞形成的条件:可以控制的变量“一切输入都是有害的 ” 变量到达有利用价值的函数(危险函数)“一切进入函数的变量是有害的 mysql_query、mysql_fetch_row 数据显示 XSS漏洞:print、print_r、echo、print、sprintf、die、Var_dump、var_export 二、代码审计和漏洞验证 Apache.Tomcat.Ngin等中间件 Mysql.Oracle等数据库 工具: Notepad++、Sublime等代码编辑器 Seay.RIPS等代码审计工具 Burp等漏洞验证工具 三、常见漏洞挖掘与防范: 根据功能点定向审计,例如在文件上传功能模块、文件管理功能模块、登录功能等模块进行漏洞挖掘验证。 通读全部代码 四、安全编程规范: 1.SQL注入防护 (1)采用预编译,在Java Web开发一般在采用预处理,在sql语句中放入?

32830
  • 广告
    关闭

    什么是世界上最好的编程语言?丨云托管征文活动

    代金券、腾讯视频VIP、QQ音乐VIP、QB、公仔等奖励等你来拿!

  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    python 安全编码&代码审计

    1 前言 现在一般的web开发框架安全已经做的挺好的了,比如大家常用的django,但是一些不规范的开发方式还是会导致一些常用的安全问题,下面就针对这些常用问题做一些总结。 代码审计准备部分见《php代码审计》,这篇文档主要讲述各种常用错误场景,基本上都是咱们自己的开发人员犯的错误,敏感信息已经去除。 4 命令注入 审计代码过程中发现了一些编写代码的不好的习惯,体现最严重的就是在命令注入方面,本来python自身的一些函数库就能完成的功能,偏偏要调用os.system来通过shell 命令执行来完成, 在python中xml.dom.minidom,xml.etree.ElementTree不受影响 9 不安全的封装 9.1 eval 封装不彻底 仅仅是将__builtings__置为空,如下方式即可绕过

    82110

    gRPC安全审计结果(pdf)

    - https://grpc.io/about/ 本报告记录了针对gRPC软件的安全评估的结果。该项目由Cure53在2019年秋季实施,具体包括渗透测试和源代码审计。 Cure53还听取了谷歌关于上述审计的主要重点领域的简报。 为了最好地处理三个主要领域,准备了三个工作包(Work Package,WP)。 在代码库中发现的三个问题中,有一个被归类为安全漏洞,风险级别设置为“中等”。其余的缺陷被认为只是一般的弱点,没有多少开发潜力。 关于所测试的gRPC软件的安全性的广泛和更详细的建议接踵而至。 下载 这里下载gRPC安全审计结果(pdf): https://github.com/grpc/grpc/blob/master/doc/grpc_security_audit.pdf

    47620

    MongoDB安全实战之审计

    本文主要讲诉MongoDB的审计能力。在数据库安全的生命周期中,包括:保护、检测、响应及补救。检测的核心就是审计(Audit)。 1、前言 在数据库安全的生命周期中,包括:保护、检测、响应及补救。检测的核心就是审计(Audit)。有些情况下,审计不仅仅用于检测不好的行为,也作为对整个数据库的行为进行监控而存在。 审计能够告诉我们谁访问了什么、在什么地方、什么时间、采用了何种方式。 有效的审计不仅仅意味着安全,也有助于数据库整体的完善。 MongoDB企业版包括审计mongod服务和mongos路由器能力。 3、配置审计过滤器 MongoDB Enterprise版本支持各种操作的审计。当开启MongoDB审计时,默认情况下,记录所有审计操作,在审计事件的动作,详细信息和结果。 3.1 3.1 审计内容领域主要包括以下: 字段 类型 记录描述 atype string 记录审计事件的行动,详细信息和结果。

    2.1K60

    数据安全审计OTP配置

    数据安全审计OTP设置 一、操作步骤 1、在开启OTP验证之前提前通知各管理员登录系统扫描 OTP 码,避免其无法登录该系统 举例:useradmin开启OTP(OTP扫描二维码过程参考堡垒机开启 otp文档 https://cloud.tencent.com/developer/article/1985825) 2、以 sysadmin 账号登录数据安全审计管理页面,在左侧导航栏中,选择【系统设置

    11040

    Java代码审计 -- 敏感信息泄露

    通过查看TurboMail的安装路径,可以发现TurboMail是Java EE工程,通过审计web.xml,可以发现url-pattern“mailmain”对应servlet-name“mailmaini servlet-name>mailmaini</servlet-name> <url-pattern>/mailmain</url-pattern> </servlet-mapping> 审计 type.equals("pm")) { /* 636 */ PMAdmin.show(false, request, response); /* 637 */ } 对PMAdmin的show方法进行审计 参考网站:公司项目被安全公司扫描出“报错页面敏感信息泄露”,问题如下? /etc/passwd 目录穿越漏洞产生的本质是路径可控,一旦涉及文件的读取问题便会涉及java.io.File类,因此在审计这类漏洞时可以优先查找java.io.File引用,并根据经验来判断Paths

    26900

    CentOS 7 安全加固、检测、审计

    key # if specified --rwo , display only warnings [root@linuxprobe ~]# rkhunter --check --sk Lynis 安全审计工具

    1.4K30

    Java Web安全之代码审计

    信息安全的75%发生在Web应用而非网络层。本文内容主要以Java Web安全-代码审计为中心展开。 一、JavaWeb 安全基础 1. 何为代码审计? 通俗的说Java代码审计就是通过审计Java代码来发现Java应用程序自身中存在的安全问题,由于Java本身是编译型语言,所以即便只有class文件的情况下我们依然可以对Java代码进行审计。 业务层安全常见问题 业务层的安全问题集中在业务逻辑和越权问题上,我们在代码审计的过程中尽可能的去理解系统的业务流程以便于发现隐藏在业务中的安全问题。 1.1 业务层中常见的安全问题Checklist 1.用户登陆、用户注册、找回密码等功能中密码信息未采用加密算法。 7.后端采用了ORM框架查询数据时因处理不当导致可以接收任何参数导致的越权查询、敏感信息查询等安全问题。

    85630

    甲方安全中心建设:代码审计系统

    * 本文作者:陌度,本文属FreeBuf原创奖励计划,未经许可禁止转载 纵观甲方的安全体系建设,最开始和最重要的那一部分就是代码安全。 很多甲方公司公司无法将SDL彻底落地除了DevOps的频繁交付,还有就是安全工程师无法在短时间内对大量项目的源代码进行人工审计。 还有一个重新审计的功能,这个功能不支持压缩类型的重新审计,毕竟你还不如直接上传审计。(对于代码高亮那一部分是借鉴了cobra的代码=-=) ? ? 禅道系统的设置:新建一个产品叫安全审计,在项目添加对应的git的项目,添加负责人= =讲真,这一部分要根据自身的业务做一个调整 ? ? ? 说一下禅道和我这个系统的链接配置,person_info这个表是保存禅道项目的负责人和项目ID,发送过程的时候获取这些信息加入到SQL中,最后执行这段SQL写入禅道的数据库。 ? ?

    55920

    等保测评2.0:SQLServer安全审计

    一、说明 本篇文章主要说一说SQLServer数据库安全审计控制点的相关内容和理解。 二、测评项 a)应启用安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计; b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息; c)应对审计记录进行保护 三、测评项a a)应启用安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计; SQLServer默认开启着错误日志,在服务器-管理-SQL Server日志中: ? 四、测评项b b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息; 这里是指至少应该包括最关键的数据,也就是日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息 测评项a a)应启用安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计; 数据库审计系统的功能一般足够强大和专业,对于测评项a而言,虽然数据库审计系统在可以自创规则,但是大部分情况下

    86920

    Jenkins安全配置访问控制审计

    Jenkins支持多种安全模型,并且能够与多种用户存储库集成。 Jenkins的安全配置: 系统设置→Configure Global Security 访问的页面为http://my.jenkins.server/configureSecurity/ 勾选启用安全的复选框就可以在 Jenkins中设置基本的安全。 Jenkins访问控制分为:安全域(即认证)与授权策略。 安全域决定Jenkins在认证的过程中从哪里寻找用户,默认包括的选项有:Jenkins专有用户数据库,LDAP,Servlet容器代理。 审计——跟踪用户的行为 除了配置用户的帐号和访问权限,跟踪用户的操作也是有用的。

    46110

    智能合约安全审计之路-重入攻击

    描述:漏洞合约中某个函数中,使用call()方法发送eth,若eth的接收者为一个合约地址,则会触发该合约的fallback()函数。若该合约是攻击者的恶意合约...

    64730

    等保测评2.0:Oracle安全审计

    说明 本篇文章主要说一说Oracle数据库安全审计控制点中b、c、d测评项的相关内容和理解,以及一些其它零碎的与等保相关的内容。 2. 测评项 b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息; c)应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等; d)应对审计进程进行保护,防止未经授权的中断 测评项b b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息审计记录应该包含足够的信息,对于数据库的审计而言而言,包含具体的SQL语句是必须的。 从Oracle安全审计(上)中可以得知,对于SYS用户,需要参数audit_sys_operations设置为true才会记录sys用户的具体操作的语句,否则只记录开启数据库、关闭数据库、建立连接等信息 审计记录的留存时间 在等保测评2.0:MySQL安全审计的5.2节中,对于网络安全法中对日志留存时间的要求如何测评,进行过一些个人的猜想。

    80810

    Linkerd项目完成安全审计(pdf)

    它通过提供运行时调试、可观察性、可靠性和安全性 - 所有这些都不需要对代码进行任何更改,从而使运行服务更容易、更安全。” 该项目由Cure53于2019年6月进行,包括渗透测试和源代码审计,其中具体调查了Linkerd、Linkerd代理和gRPC API绑定。 遵循成熟的标准,Cure53采用了一种特殊的、双管其下的方法,一方面依赖于源代码审计,另一方面执行渗透测试。 Linkerd团队可以添加关于“正在进行的”感兴趣的领域的信息,从而更好地熟悉和清楚范围细节和其他事项。所有这些行动都有助于Cure53按时高标准地完成所有目标的能力。 然后,报告以通常的结论结束,Cure53在该结论中对测试进行了这样的描述,并重申了结果,得出了2019年审计业务结论的最终、更广泛的结论,该结论与Linkerd和随后的Linkerd代理项目的总体安全态势相关

    21710

    开源SPIFFESPIRE的安全审计报告

    几年前,CNCF 开始为项目执行和开源第三方安全审计,以提高我们生态系统的整体安全性。 这些审计有助于识别安全问题,从一般的弱点到关键的漏洞,并为项目维护者提供了解决已识别的漏洞并添加文档以帮助用户的路线图。 该审计于 2021 年初完成,并于 2021 年年中开放源代码。 审计集中在三个方面:SPIRE 项目和软件综合体的安全态势、SPIRE 代码库的源代码审计,以及针对 SPIRE 部署的渗透测试。 审计发现,SPIRE 是一个考虑到安全性而创建的安全项目。Cure53 团队在项目中没有发现任何严重的(或关键的)安全缺陷。 “总的来说,我们对审计的过程和结果都非常满意。”

    19940

    审计丨从RCE到LDAP信息泄漏

    背景 几个月前,我自愿对一家法国公司进行了安全审计。该公司有一个企业站,你可以在其中找到新闻,联系页面或下载文档。这是一个非常典型的网站,当加载某些内容,将会发送AJAX请求,该请求由2个参数组成。 这种目录可以存储包括个人信息、web链结、jpeg图像等各种信息。为了访问存储在目录中的信息,就需要使用运行在TCP/IP 之上的访问协议—LDAP。 该安全漏洞涉及近40,000用户的信息。 我可以访问的信息包括: 名和姓, 个人电邮地址, 出生日期, 电话号码, 明文密码(随机数), 有关RFID标签(MiFare)的信息, 用于启动Windows会话的个人目录 员工的RFID标签允许你访问公司大楼 最后,我向该公司发送了安全审计报告,他们积极并快速的进行了修复。 *参考来源:medium

    37820

    数据安全实践之数据安全日志审计平台

    数据安全日志审计主要任务是通过对敏感数据接口日志的访问情况进行分析,发现数据泄露等安全事件,或识别潜在数据安全风险,并留存证据。 (1)告警事件信息与检索 基本包含的要素,可自行发挥:时间,账号,userIP,规则名称,访问系统,url,访问类型,匹配多少条日志,详情 检索信息:时间段,账号,IP,规则名称,访问系统,url,访问类型检索 安全日志分析平台提供了数据操作和导出时的审计工作。 header和body的内容,并且能很方便的溯源用户及IP信息,对发现安全漏洞和利用者能够起到辅助作用: SQL注入 XSS 命令执行 特定场景越权 登录爆破和撞库 总结 数据只有流传和应用才能产生价值 在数据安全日志审计中,解决获取什么日志也是首先要解决的问题。

    90810

    相关产品

    • 数据安全审计

      数据安全审计

      腾讯云数据安全审计(Data Security Audit,DSAudit)是一款基于人工智能的数据库安全审计系统,可挖掘数据库运行过程中各类潜在风险和隐患,为数据库安全运行保驾护航。

    相关资讯

    热门标签

    扫码关注腾讯云开发者

    领取腾讯云代金券