展开

关键词

《2020中国白帽调查报告》出炉 | FreeBuf咨询 x

因此,FreeBuf咨询联合通过数百份问卷调查和详细的数据统计推出这份《2020中国白帽调查报告》(以下简称报告),将为大家揭开这群身怀绝技人群的神秘面纱。? 危害等级分布2020年半数以上都为高危,高达52%,中低危均占比24%。高危如此之多,不禁让人深思,如果被不法分利用,又该如何防范?? 安全建议的防范和规避是企业安全工作的一部分,然而,安全建设不可“管中窥豹”,应从全局视角来考量。因此,为企业提供了一些安全建议,以供参考。? 关于,高效的网络安全测试服务平台,国内安全众测模式的创新者和领导者。连接全球安全专家资源与自有团队,通过再现真实环境进行挖掘,为企业用户提供高效、透明的新一代安全服务解决方案。 截至2020年12月,注册白帽已达8万余名,发现数超过69万个。

31030

发布《2015上半年度金融行业互联网安全报告》

安全研究团队对2015年上半年全网1248个和133个安全事件进行仔细的整理和分析。 保险业团队统计2015年上半年保险行业的互联网数据,全国约有上百家保险公司存在严重安全问题,中国人保、太平洋保险、中国人寿、合众人寿等诸多知名保险公司赫然在列。 团队发现,目前银行业面临的信息泄露威胁较大,同时应用及系统中逻辑占比过高,安全问题已经开始出现于APP应用上。而银行业中高危级别的占比最高,占到了68.6%。 而证券行业的安全较2014年同比增长达到惊人的326.7%。仅在平台上就有近50家证券企业存在安全风险,华泰证券、长江证券、国金证券、国联证券等知名证券公司在列。?? *本文作者:团队,转载须注明来自FreeBuf黑客与极客(FreeBuf.COM)

31770
  • 广告
    关闭

    最壕十一月,敢写就有奖

  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    一次对电视分析

    起因周末正要使用前不久刚装上的电视看剧,突然想到电视也是需要网络的,于是就对电视开始了测试之路。上路首先看一下ip地址,192.168.101.22? 突然想到了今年6月的UPnP协议CVE-2020-12695,UPnP 2020-04-17之前版本中存在安全。 攻击者可借助SUBSCRIBE功能利用该将流量发送到任意位置,导致拒绝服务或数据泄露。 对当前网络进行扫描和测试:python3 CallStranger.py找到了三个Upnp设备:华为路由器、客厅、客厅极光TV? 看来电视定期也要更新系统啊,否则为什么定期弹窗让升级系统呢?在最新更新的UPnP协议规范中,可以看出开发者限制了订阅事件的源IP和目标IP都必须在内网中,这从一定程度上修复了该

    34940

    用中国移动手机分享热点,小心你的邮件泄露

    近日,技术团队在中国移动手机热点分享功能里,成功捕获奇葩一枚——利用该,任何连接你手机热点的人,都可以随意登录并操作你的移动邮箱和移动梦网。 但是这样的设定却存在受攻击的可能:即恶意软件通过运营商网络直接访问139邮箱并进行任意操作,团队为了验证此推测,特意写了一个APP,打开后可直接获取手机139邮箱的所有邮件,截图如下:当连上移动手机的热点时 ,可直接访问热点手机的139邮箱并进行任意操作,同样,我们也可以登录用户的移动梦网:据团队介绍:这个本身技术含量并不高明,也很容易修复,但因为该涉及海量用户,可以造成大量的个人信息泄露, 隐患巨大,目前,已积极联系中国移动,希望可以尽快修复该。 * 作者:,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)

    37650

    Web安全需要会写代码吗?

    Web程序,是万千有Bug的Web程序中的一种。 黑测试Web程序的存在,是建立在Web程序运行的基础之上的。 白测试寻找Web程序的手段,一种是设计异常输入的测试用例,进行黑测试, 给出异常程序输入、判断异常输出。除黑测试之外。 还可以通过Web程序的代码审计,白方式对源码进行静态分析检查,针对设计逻辑、代码书写规范等角度,分析源代码可能出现的问题。 从自动化检测的角度,可以针对一个Web请求的URL对应每个Parameters参数,注入JavaScript或SQL句。这是自动化的Web扫描器可以做的。 从白设计、代码审计的角度,能读懂Web代码、实现Web代码、更便于发现和理解Web程序的

    8720

    预警 | Apache Struts2 曝任意代码执行 (S2-045,CVE-2017-5638)

    FreeBuf上次曝Struts 2的已经是半年多以前的事情了。这次的又是个RCE远程代码执行。 简单来说,基于Jakarta Multipart解析器进行文件上传时,利用可进行远程代码执行。该由安恒信息Nike Zheng上报。 lab和网藤均已支持该的检测:· lab检测地址:https:www.vulbox.comlab· 网藤地址:www.riskivy.com【点击阅读原文检测】lab是一款流行在线安全检测系统 ,输入URL或主机名即可测试是否存在编号CVE-2017-5638简介Struts使用的Jakarta解析文件上传请求包不当,当远程攻击者构造恶意的Content-Type,可能导致远程命令执行。

    50680

    容器逃逸成真:从CTF解题到CVE-2019-5736挖掘分析

    runc程序的容器逃逸。 2.2.3 分析进程没有加入所在沙的net命名空间有什么影响呢?这意味着,它能够直接看到宿主的网络接口。 后来,他们的思路转向proc伪文件系统,成功发现了。下一节,我们将对成因进行分析。 可以看到这个的成因比上面的CTF题目简单许多(虽然要完全理解还需要补充很多背景知识)。3利用相对于CTF题目来说,这个的利用代码也比较简单。 另外,从上面介绍的CVE-2019-5736利用代码我们能够感受到,针对逻辑的利用可以是简单甚至优雅的,但最初把各种机制放在一起检查到底有没有、有什么却并不容易。

    1.3K20

    预警 | FFmpeg曝任意文件读取

    最近有白帽在HackerOne平台上报了ffmpeg,该利用ffmpeg的HLS播放列表处理方式,可导致本地文件曝光。 描述6月24日,HackerOne平台名为neex的白帽针对俄罗斯最大社交网站VK.com上报了该,并因此获得1000美元奖金。 6月25日,另一位白帽Corben Douglas (@sxcurity)表示他在看过neex的报告后进一步研究了ffmpeg,他针对发现的写了完整的重现过程,利用包含外部文件援引的HLS播放列表 影响范围技术人员测试发现,FFmpeg 3.2.2、3.2.5和2.6.8版本均存在该,其它版本未经系统性测试,请按检测脚本进行自行排查。 技术人员表示,该可导致读取本地任意文件,危害较大。经研究人员验证,Google,Yahoo,Youtube等门户、视听网站以及支持流转码服务的业务已被曝出存在该

    73550

    web安全检测技术

    误报率较高----网络环境、扫描器性能、策略缺陷等不可控因素影响, 造成大量误报。白局限性, 如:常见代码审计工具。? 策略是难以覆盖到大量场景。准确性低----对于有安全处理的实现代码, 由于纯粹的白无法运行代码, 靠策略去确定一个是不准确的, 同样做了大量冗余的工作, 也降低效率。 结果, 让测试人员及开发人员快速精准验证? 从内测部分结果显示, 灰安全测试的综合效果已经远超传统黑及白代码审计工具, 特别在反射型XSS, 存储型XSS, 以及SQL注入等类型的检测表现更为优秀。 同样对国内及国外的开源项目的检测中, 测试应用部署后, 几分钟内就能快速发现大量高危0day。灰安全检测将解决开发语言在代码层面上常见安全

    81440

    软件安全性测试(连载25)

    4 安全测试流程做安全测试的时候,首先请把白测试和黑测试遗忘掉,因为大部分安全测试是基于白测试和白测试与黑测试之间的灰测试。Web安全测试与其他测试一样,应该贯穿于软件开发始终。 分析可能存在何种安全性问题根据讨论,电商务产品可能存在以下安全。•XSS注入。•CSRF注入。•点击劫持。•HTML5安全。•安全响应头。•SQL注入。•XML代码注入。•JSON注入。 •命令行。•XXE。•文件包含。•逻辑。•加密与认证。•DDOS攻击。•URL跳转和钓鱼。•拖库。•暴力破解。•提权。•ARP欺骗。 对于每种安全,采取如表4-14所示进行防御措施。表4-14 对于每种安全采取的措施安全采取措施XSS注入•采用OWASP ESAPI Encode对输出数据进行编码。 •不使用系统执行命令XXE•禁止使用外部实体对XML进行解析操作文件包含•做好关键文件权限管理•不使用动态包含•对包含文件使用白名单过滤逻辑•做好水平越权验证•做好垂直越权验证•根据业务做好具体设计加密与认证

    25520

    Smart Greybox Fuzzing:功能更强效率更高

    前言近期,有一群研究人员设计出了一种智能灰模糊测试模型,他们声称这种Fuzzer模型在搜寻代码库(解析复杂文件)方面跟现有Fuzzer相比,新模型的挖掘效率会更高。? 简介模糊测试是一种寻找软件的技术,这种技术需要向待测目标发送恶意构造的输入数据,如果程序发生崩溃或没有执行预期行为,这就表明这里有可能存在安全。 在基于代码覆盖的灰模糊测试技术中,测试人员需要向fuzzer提供一个种文件,并通过随机翻转、删除、拷贝或添加比特位的形式生成新的文件,然后让待测目标(代码库)去解析这些文件以发现潜在的安全。 AFLsmart发现了33个,是AFL和AFLfast挖到数量的一倍,而Peach一个都没找到。? 实验结果表明,这款新型模糊测试工具总共发现了42个安全,其中的17个已经标记了CVE编号。挖掘到的类型包括断言失败、堆栈缓冲区溢出、空指针引用和除零错误等等。

    36130

    以安全产品经理的视角设计应用的登陆功能SDK(BRD篇)

    (1)市场调研1.1、问题需求分析分析手段:登陆系统的安全性评估,涉及到本业务的主要是国内传统安全厂商(绿盟、天融信等)的渗透测试服务、互联网方式的众测平台(、wooyun、sobug、威客众测 那么,现有的业务流程是:传统厂商或者众测平台给出报告,虽然有一些更改建议,但是都是修修补补,治标不治本,其实原因很简单,白帽大多不是程序员,不能站在开发的角度思考问题,但是做为互联网企业的程序员又不能从安全的角度上考虑编程 这段时间真是有外人发现这个,并且有利于的攻击方法。对互联网企业造成数据泄露的损失。这是无法评估的。?这个市场有多大,(采样:wooyun和,这两家最大 呵呵):?? 根据wooyun和的公开数据统计,目前有大约880家互联网企业在册,如果再2年内这个市场覆盖率到达13的话、每家大致的费用在2-3万(因为一个安全程序员目前北京的月薪都要2-3万)。 (5)市场营销由于本项目需要和众测平台紧密合作,所以,主要的营销费用主要体现在和wooyun、、sobug、威客众测等平台合作推广的费用,当然前期可以免费试用。(6)产品功能构思?

    29960

    Java安全编码实践总结

    修复验证?Ssrf利用验证:?正确写法(限制请求协议,设置白名单域名,避免内网地址探测):?修复验证?拒绝服务正则表达式拒绝服务,这种需要通过白审计发现,黑测试比较难发现。 利用验证,随着字符长度增加,响应时间会越来越长,cpu满负荷运转?正确写法(运行超过2秒就中止匹配):?修复验证:?不安全的加密模式需要通过白审计发现,直接黑测试比较难。 错误写法:使用伪随机,相同种生成相同随机数序列利用验证:需要通过java生成前后2000毫秒内的随机数,然后使用python调用这些随机数尝试暴破? 正确写法:使用Securerandom修复验证(Securerandom不能指定seed,避免伪随机):?条件竞争Servlet的单例模式容易导致条件竞争,也是推荐白方式审计修复验证:?修复后返回数据包速度明显变慢,不能再重复签到领积分?日志伪造防范http响应拆分防范日志伪造黑测试无法发现,需要通过白审计发现

    43520

    如何快速上榜公益SRC

    一般都挖什么?怎么去找站点? 怎么快速进行挖掘? 怎么快速题交? 如何自动批量检测?以src平台举例0x01、什么时候上分最为妥当?如何选择上分最好时机? 不过头铁的同学也可以试试 只要了解透彻了审核规则,上分的日我想大家一样能判断得出来什么时候上分比较妥当红框框起来就是三月榜上分的日?为什么红框框起来就是上分的日?我举个栗? 这个是的审核机制 审核一般在1-3个工作日,那么自动确认并且得到积分的时间需要1-11天,在第十一天就会确定此。 其实已经给我提供了这样的信息,在提交最下面 ? 不停替换关键字更新搜索结果 ? 任意注册或许没有那么多人挖,可以尝试去挖掘 可以去提交的时候,有一个可以选择类型的,可以尝试去看看,你认为那些比较冷门没人挖而=而且普遍存在的下手?

    53071

    DevSecOps建设之白

    0x7 管理模块管理模块主要实现了审计及多条件查询两个方面的功能,以满足代码审计同学日常的代码审计工作。1、列表展示? 提供的条件查询方式,包括作业编号,项目编号,等级,检测模式(sca,白,灰,黑),状态(未确认,已确认,未修复,已修复),类型。 在详情信息展示下方即为当前的处理进度情况。相关的审计人员在对进行二次评估之后,可以对的状态信息进行修改,以推进处理的进度。?0x8 白规则? 目前apollo白引擎方面已支持200个java应用检测规则,涵盖98%java类型。三、DevSecOps自动化1、将静态代码检测嵌入devops。 下面我们使用apollo白引擎对benchmark java靶场中的一个sql注入进行检测,看看效果如何。

    31820

    Chrome和Edge远程代码执行0Day曝光

    Rajvardhan Agarwal推特截图Agarwal发布的,是基于Chromium内核的浏览器中V8 JavaScript引擎的远程代码执行,同时还发布了该的PoC(概念验证)。 该是一个已经公开披露的安全,但在当前的浏览器版本中还没有修补。Agarwal表示,在最新版本的V8 JavaScript引擎中该已经被修复,但目前还不清楚谷歌何时会更新Chrome浏览器。 好消息是,Chrome浏览器沙可以拦截该。但如果该与另一个进行链锁,就有可能躲过Chrome沙的检测。Chrome浏览器的沙是一道安全防线,可以防止远程代码执行在主机上启动程序。 为了测试该,研究者关闭了浏览器Edge 89.0.774.76版本和Chrome 89.0.4389.114版本的沙。 在沙被禁用的情况下,该可以在研究者的Windows 10设备上远程启动计算器。?

    26950

    GeekPwn 2017上海站:主持人黄健翔发短信变身“马路杀手”

    著名主持人黄健翔主持人黄健翔用选手手机发出“攻击短信”,场外驾驶汽车的评委就遭遇了汽车失控与急停,这是安恒信息安恒海特实验室在GeekPwn2017上带来的“利用汽车智能远程接管驾驶的新型攻击手段 许多汽车车主为了实现汽车原本非自带的功能,会选择接入一些外接设备,其中比较常见的外接设备是OBD。 车主通过安装OBD,可以实时获得汽车内部的车辆诊断信息,部分OBD还可实现导航、抬头显示(HUD)等功能。 海特实验室在测试过程中发现,市面上绝大多数的OBD均存在严重的安全隐患,攻击者可通过OBD向汽车内部网络发送攻击指令。? 为演示,海特实验室安全研究员制作了一个小硬件,场外的演示人员将小硬件贴在车身上。

    47160

    2015上半年度金融行业互联网安全报告

    原创| (https:www.vulbox.com)摘自| http:www.freebuf.com 作为世界第二大经济体的中国经济,一举一动总是会成为全球瞩目的焦点。 安全研究团队对2015年上半年全网1248个和133个安全事件进行仔细的整理和分析。 保险业团队统计2015年上半年保险行业的互联网数据,全国约有上百家保险公司存在严重安全问题,中国人保、太平洋保险、中国人寿、合众人寿等诸多知名保险公司赫然在列。 团队发现,目前银行业面临的信息泄露威胁较大,同时应用及系统中逻辑占比过高,安全问题已经开始出现于App应用上。而银行业中高危级别的占比最高,占到了68.6%。 而证券行业的安全较2014年同比增长达到惊人的326.7%。仅在平台上就有近50家证券企业存在安全风险,华泰证券、长江证券、国金证券、国联证券等知名证券公司在列。??

    43770

    告诉你:商家为什么都乐于提供免(diao)费(yu)WiFi?

    揭秘平台近期收到白帽提交的报告(vulbox-2015-06984),网格商用WiFi营销服务系统存在,可用非正常方式登入系统管理后台,而此时我们终于恍然大悟——原来,这就是商家都乐于提供免费 再来看看汉庭酒店WiFi后台:用户在连了商家WiFi后,会收到商家的发出的推送——万恶的弹窗广告:网格官网显示其合作品牌如下(部分):状态已将细节通知官方。 君有话说据不完全统计,我国手机网民已超过8亿,餐厅、车站、机场等公共场所的无线WiFi热点迅速普及。WiFi网络安全也作为今年3.15晚会的重要议题,向社会全民揭秘网络安全黑。 *作者,转载须注明来自FreeBuf黑客与极客(FreeBuf.COM)

    41290

    渗透测试之网站APP人工安全服务

    智能化明确安全风险是不是存有,最立即方法便是试一试攻击payload是不是能打成功,这听着有些像黑,那不是又绕回起点去做黑了? 过去黑核心理念上就立在承包方黑匣观点去抓取数据流量、上传Payload分辨是不是存有,他较大 的难题取决于不理解业务流程,因此都没有目的性地对全都接口一网乱扫,浪费时间的另外工作效率都不高。 数据流量是个因,post请求响应和浏览先后顺序组成了了解业务流程的基本,依据不同的不同形状,连动核心层各环节的网络安全产品,弃其局限性,聚其优点。 能够将依据数据流量标志出来的安全风险给到检验脚本制作,检验脚本制作则依据正常业务流程响应主要内容来分辨出是不是有,都没有的情况下要区别出是没扫出来或是没进入到业务逻辑。 而为了更好地给技术更佳的感受,而不是每天跟在臀部后边催她们修,须要提高察觉精确性来降低为了更好地修而修的状况,另外也应当用好WAF、RASP等网络层的防护软件来为业务流程方留有更充分的迭代更新修补时长

    12000

    相关产品

    • 漏洞扫描服务

      漏洞扫描服务

      漏洞扫描服务是用于网站漏洞监测的安全服务,为企业提供7×24小时准确、全面的漏洞监测服务,并为企业提供专业的修复建议, 从而避免漏洞被黑客利用,影响企业资产安全…

    相关资讯

    热门标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      扫码关注云+社区

      领取腾讯云代金券