展开

关键词

防护报告

仍然是目前互联的最大风险来源第一,包括现有的PC,移动端,APP,微信API接口小程序的流量越来越多,尤其移动端的访问超过了单独的PC点,手机移动用户多余PC电脑,人们的生活习惯也在改变 ,APP的流量占据整个互联的市场,简单易用的同时,也带来了新的方面的问题,APP的问题,也层出不穷。 据我们SINE公司对整个2019年的第一季度,第二季度的发现,漏洞排名第一的还是SQL注入漏洞,以及XSS跨漏洞,DDOS流量攻击等等的漏洞攻击,CSRF也挤进了漏洞的前五,可看出该漏洞的危害性也日益严重 ,许多的用户信息泄露,被攻击瘫痪打不开,给公司的运营带来了严重的影响,经济损失以及公司名誉损失都是双重的挑战,根据我们SINE对2019年一,二,季度的综合与漏洞攻击分析,来给大家呈现 2019年的报告。

99050

成为 HTTPS

HTTPS称:Hyper Text Transfer Protocol over Secure Socket Layer),是以为目标的HTTP通道,简单讲是HTTP的版。 即HTTP下加入SSL层,HTTPS基础是SSL,因此加密的详细内容就需要SSL。 它是一个URI scheme(抽象标识符体系),句法类同http:体系。用于的HTTP数据传输。 现在它被广泛用于万维敏感的通讯,例如交易支付方面。 简而言之,就是让你的有下图这个小绿标: ? 我们可以从 Let’s Encrypt 获得域名的免费的证书。 Certbot是Let’s Encrypt推出的获取证书的客户端,可以让我们免费快速地获取Let’s Encrypt证书。 选择直接通过 HTTPS 访问并删除 HTTP 的方式,或者保留 HTTP,如何你确定你中所有的链接都是按照HTTPS来配置的,那么你可以像我这样选择 2。 ?

55110
  • 广告
    关闭

    90+款云产品免费体验

    提供包括云服务器,云数据库在内的90+款云计算产品。打造一站式的云产品试用服务,助力开发者和企业零门槛上云。

  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    报告 2020最面篇

    2020年即将到来,2019年的工作已经接近尾声,我们SINE平台对上万客户防护情况做了面的分析与统计,整理出2020年的报告,针对发现的漏洞以及事件来更好的完善 主要监的是漏洞监风险,敏感信息泄露风险,密码风险,搜索引擎收录劫持风险监。 ,就是前端用户输入到后端,没有对其输入的内容进行查,导致可以插入恶意的sql注入代码到当中去,从而传入到数据库当中进行了查询,更新,增加等数据库的操作。 源代码远程执行漏洞:是指客户源代码在设计过程当中,没有对get,post,cookies的传输进行严的逻辑判断与查,导致可以溢出调用代码向外请求发包,获取数据进而到当中执行了恶意代码 敏感信息泄露以及内容查:对所有的客户进行监发现,很多之前被篡改挂马过,其中很多内容属于敏感信息,由于内容问题我们看下图:以上敏感信息都是近一年发生的,在2020年也会持续性的增长

    2.8K30

    之图片验证码

    在对进行整体的的时候,用户登陆以及用户留言,评论,设置支付密码,以及一些功能方面都会用到图片验证码,针对于验证码我们SINE对其进行了详细的,以及图片验证码防护方面 验证码分很多种,图片形式的验证码是目前用的最多的,还有一些短信的验证码,手机语言验证码,答题验证码,都是属于所用到的验证码,今天主要跟大家讲解的就是图片验证码。 ? 我们SINE在对验证码的同时,会出现很多方面的隐患,以及验证码的漏洞,比较常出现的就是的验证码重复利用漏洞,该验证码漏洞可以导致攻击者对其复制,重复使用一个验证码,进而对用户的账号密码进行暴力破 在对其他进行验证码时,也发现了一种验证码上的问题,验证验证码后,并没有将验证码删除,导致可以重复使用,应该对其验证码效验的时候进行返回MD5值,每个请求的返回都不相同,防止用户密码遭到暴力破 针对于验证码的防护以及漏洞修复方案 对验证码的时效时间进行限制,一般限制30秒或者50秒之间失效,对于同一IP在同一时间进行多次的验证码请求频率上做防护,限制1分钟请求的次数或者是10分钟内的请求次数

    44740

    渗透具体方法

    这几天整理了下渗透试中基础部分的第三节,我们SINE渗透工程师对代码审计,手工渗透查代码的危险漏洞方法,找出问题重点,配合工具扫描来达到试漏洞的目的,本试重点仅限于客户授权才能操作 以下方法只是提供的具体参考意见。 1.5. 代码审计 1.5.1. 简介 代码审计是找到应用缺陷的过程。其通常有白盒、黑盒、灰盒等方式。 在市场上,有各种各种功能和选项的WAF。在一定程度上,WAF能为Web应用提供性,但是不能保证完。 1.6.1.2. 信息利用 中有相当多的信息,本身、各项策略、设置等都可能暴露出一些信息。 本身的交互通常不囿于单个域名,会和其他子域交互。 子域爆破 在内等不易用到以上技巧的环境,或者想监新域名上线时,可以通过批量尝试的方式,找到有效的域名,以上等内容基础面性比较覆盖方便的渗透试方法,如果对此有需求可以联系专业的公司来处理解决

    90130

    渗透试以及服务

    许多客户在,以及APP上线的同时,都会提前的对进行面的渗透试以及,提前出存在的漏洞,以免后期发展过程中出现重大的经济损失,前段时间有客户找到我们SINE公司做渗透试服务 下面开始我们的整个渗透试过程,首先客户授权我们进行试,我们才能放开手的去干,首先的是是否存在SQL注入漏洞,我们SINE是否有sql注入的时候都会配合查看mysql数据库的日志来查询我们提交的 代码里的getenv参数是获取前端用户的https头信息,通过数据比对,如果头信息大那么久返回0值然后再将IP赋值进去,通俗来讲就是没有任何的效验与拦截,直接将变量的IP带入到mysql据库。 接下来还得的各项功能以及APP功能是否存在逻辑漏洞,越权漏洞,水平垂直等等,我们SINE技术详细的对每一个功能都试很多遍,一次,两次,多次的反复进行,在用户重置密码功能这里发现有漏洞,正常功能代码设计是这样的流程 如果对代码不是太懂的话,也可以找专业公司来处理,国内SINESAFE,启明星辰,绿盟都是比较专业的。

    42710

    之逻辑漏洞 修复方案

    是整个运营中最重要的一部分,没有了,那用户的隐私如何保障,在中进行的任何交易,支付,用户的注册信息都就没有了保障,所以做好了,才能更好的去运营一个,我们SINE在对客户进行部署与的同时 里的用户密码暴利破解,是目前业务逻辑漏洞里出现比较多的一个漏洞,其实暴力破解简单来说就是利用用户的弱口令,比如123456,111111,22222,admin等比较常用的密码,来进行猜并尝试登陆进行用户密码登陆 在我们SINE对客户漏洞的同时,我们都会去从用户的登录,密码找回,用户注册,二级密码等等业务功能上去进行,通过我们十多年来的经验,我们来简单的介绍一下。 IP锁定机制就是一些会采用一些防护措施,当用户登录的时候,登录错误次数超过3次,或者10次,会将该用户账号锁定并锁定该登录账户的IP,IP锁定后,该攻击者将无法登录。 验证码破解与绕过,在整个当中很重要,一般验证码分为手机短信验证码,微信验证码,图片验证码,在设计过程中就使用了验证码机制,但是还是会绕过以及暴利破解,有些攻击软件会自动的识别验证码,

    50120

    中具体渗透试方法

    越来越多的以及app手机端客户注重渗透试服务,上线前必须要对平台进行面的预渗透试找出漏洞以及BUG,很多客户找我们SINE,做渗透试服务的时候对具体的流程可能不太了解,下面我们把具体的渗透试方法流程大体写的面一点给大家呈现 查时候可以参考的配置实践。 1.内使用工具渗透的一些原则 使用适合自己的工具,工具没必要收集太多,够用就行; 能根据实际情况编写适用的工具; 不能确保的工具均要在虚拟机中运行(很 多捆绑病毒木马); 做查的话,尽量使用 远程操作 渗透注意事项 禁止使用psexec.exe 打包时避开用户工作时间 控制卷包大小<100M 选择用户常用压缩软件 错峰下载数据 控制传输流量 清除所有操作日志 登录主机前先看看管理员是否在 渗透试服务需要很多的实战经验来保障稳定运行防止被攻击被篡改等危险行为避免给客户带来更多的损失 ,把风险降到最低,如果对此有渗透需求可以联系专业的公司来进行面的渗透服务,国内做的比较面推荐Sinesafe,绿盟,启明星辰等等。

    63720

    HTTPS-让得到更好的保障

    许多大厂已经开始发放免费SSL证书,但是由于许多长的不重视,至今仍有大量并未实现HTTPS。 但是在今年的年初,Google Chrome团队将未使用HTTPS协议的标注的“不”标签变得醒目,使得很多长选择了使用SSL证书,来提高的可信度。 简介 HTTPS不是一项技术,而是一种对于HTTPS证书的部署方式。有的会采用首页HTTPS、HTTP+HTTPS密码传输的方式来在一定程度上保障。 但是相较于非HTTPSHTTPS会更加,也省去了HTTP和HTTPS互跳转所带来的延迟。 实现 实现HTTPS,需要先从HTTPS开始。 总结 HTTPS是一个大趋势,将来可能在所有软件之中使用HTTP协议传输的内容都会被标注为不,只有保障了访客与的传输处在的协议之下,才能确保隐私和数据的

    11710

    提示该内容被禁止访问

    前端时间我们SINE对其进行面的漏洞的时候发现,Kindeditor存在严重的上传漏洞,很多公司,以及事业单位的都被上传违规内容,包括一些赌博的内容,从我们的平台发现,2019 年3月份,4月份,5月份,利用Kindeditor漏洞进行攻击的情况,日益严重,有些还被阿里云拦截,并提示该内容被禁止访问,关于该漏洞的详情,我们来看下。 代码里,该代码并没有对用户上传的文件式,以及大小进行,导致用户可以伪造恶意文件进行上传,尤其html文件可以直接上传到的目录下,直接让搜索引擎抓取并收录。 ,或者对代码里的上传式进行限制,去掉html,htm的上传权限,只允许上传图片式以及word文本。 如果对代码不是太熟悉的话,可以找专业的公司来处理,国内也就Sinesafe公司和绿盟、启明星辰、深信服等公司比较专业。

    63610

    APP试 从服务器端到端做面的

    ,损失惨重,通过朋友介绍找到我们SINE做APP的防护,我们对客户APP进行渗透试,漏洞,等方位的也叫web,很多APP都嵌入来使用一些接口调用,方便快捷的同时,也要对进行加固,包括的漏洞进行,代码人工审计,木马后门的与清除,防篡改部署,日志分析 ,定期的对进行工作,自己对加固不是太懂的话也可以找专业的公司来处理,国内SINESAFE,绿盟,启明星辰,都是比较不错的,需要启用https协议访问,通过SSL证书来加密 AES加密,混合多层次的加密与解密,防止通过数据抓包来篡改数据进行POST到API接口,达到篡改数据的目的,有些APP存在一些逻辑功能,都是通过APP数据抓包来实现的,有些APP开发者并没有对一些权限做严判断与限制 国内比较专业的渗透试公司,像SINE,启明星辰,绿盟,深信服,都是比较专业的,APP要从多个方面去入手,服务器,APP代码,传输加密,接口等等方面去深入的加固,来增强公司团队的应急快速响应的能力

    36920

    移动端APP渗透方案

    许多客户在,以及APP上线的同时,都会提前的对进行面的渗透试以及,提前出存在的漏洞,以免后期发展过程中出现重大的经济损失,前段时间有客户找到我们SINE公司做渗透试服务 下面开始我们的整个渗透试过程,首先客户授权我们进行试,我们才能放开手的去干,首先的是是否存在SQL注入漏洞,我们SINE是否有sql注入的时候都会配合查看mysql数据库的日志来查询我们提交的 ,在验证的过程中guanlicheck.php并没有对传入过来的参数进行效验,导致SQL注入漏洞的产生,具体代码如下 代码里的getenv参数是获取前端用户的https头信息,通过数据比对,如果头信息大那么久返回 接下来还得的各项功能以及APP功能是否存在逻辑漏洞,越权漏洞,水平垂直等等,我们SINE技术详细的对每一个功能都试很多遍,一次,两次,多次的反复进行,在用户重置密码功能这里发现有漏洞,正常功能代码设计是这样的流程 如果对代码不是太懂的话,也可以找专业公司来处理,国内SINESAFE,启明星辰,绿盟都是比较专业的。

    56640

    渗透认证登录分析

    我们SINE在此为用户认证登录制定一个面的方法和要点Json web token (JWT), 是为了在络应用环境间传递声明而执行的一种基于JSON的开放标准((RFC 7519).该token 被设计为紧凑且的,特别适用于分布式点的单点登录(SSO)场景。 简介 SAML (Security Assertion Markup Language) 译为断言标记语言,是一种xXML式的语言,使用XML式交互,来完成SSO的功能。 问题 源于ssl模式下的认证可选性,可以删除签名方式标签绕过认证,如果SAML中缺少了expiration,并且断言ID不是唯一的,那么就可能被重放攻击影响,越来越多的问题日益出现,如果想要对或平台进行面的以及渗透试 ,可以咨询下专业的公司来进行加固渗透试,国内做的比较好的推荐Sinesafe,绿盟,启明星辰,深信服等等都是比较大的公司。

    28240

    渗透登录认证分析

    我们SINE在此为用户认证登录制定一个面的方法和要点Json web token (JWT), 是为了在络应用环境间传递声明而执行的一种基于JSON的开放标准((RFC 7519).该token 被设计为紧凑且的,特别适用于分布式点的单点登录(SSO)场景。 简介 SAML (Security Assertion Markup Language) 译为断言标记语言,是一种xXML式的语言,使用XML式交互,来完成SSO的功能。 源于ssl模式下的认证可选性,可以删除签名方式标签绕过认证,如果SAML中缺少了expiration,并且断言ID不是唯一的,那么就可能被重放攻击影响,越来越多的问题日益出现,如果想要对或平台进行面的以及渗透试 ,可以咨询下专业的公司来进行加固渗透试,国内做的比较好的推荐Sinesafe,绿盟,启明星辰,深信服等等都是比较大的公司。

    56410

    什么是系统的渗透

    简单来说渗透试通过模拟攻击者的手段以及方法进行渗透攻击试,系统是否存在漏洞,如果有代码漏洞就会对其上传脚本文件,以此来获取系统的控制权。做渗透的前提是需要在攻击者的角度去进行。 因此系统主要是对、服务器,域名,IP等相关信息进行分析。主要内容包括存在的代码漏洞、服务器的配置问题以及软件的漏洞。 在这个工程中会进行大量的渗透攻击,以此来发现存在的问题,然后对其进行漏洞修复,加固来避免恶意攻击。 渗透试分为白盒试和黑盒试。 白盒试的意思是在知道系统后台管理信息,源代码等权限的情况下进项系统的渗透试。用时短,可以在短时间进行漏洞修复和加固,大大的提高了效率。 而黑盒试是渗透人员不知道任何系统信息仅有地址的 情况下,模拟攻击者运用渗透试工具对系统进行面的渗透试,以此来找到漏洞进行损失风险的评估,形成评估报告。

    44420

    对帝国CMS代码的后台功能性

    最近我们SINE在对帝国CMS系统进行代码审计的时候,发现该系统存在漏洞,受影响的版本是EmpireCMS V7.5,从帝国官方下载到本地,我们人工对其代码进行详细的漏洞代码分析 该漏洞的产生,最根源的问题是没有对get,post提交方式进行严效验与过滤,导致可以插入恶意代码到后端服务器中去处理,导致漏洞的发生。 我们SINE技术在对该代码进行与渗透试的手,会先大体看下代码,熟悉整个的架构,数据库配置文件,以及入口调用到的文件,通常调用到的规则是如何写的,多个方面去大体的了解该代码,目前渗透试中 关于帝国CMS漏洞的修复办法,对所有的get,post请求做过滤,也可以直接在eaddslashes2的参数里增加恶意代码的拦截机制,先后放行,该漏洞的利用条件是需要有后台管理员权限,利用的不是太多 如果您对漏洞修复不是太懂的话,也可以找专业的公司来处理,国内SINE,启明星辰,绿盟,都是比较不错的,漏洞经常出现,也请的运营者多多关注EmpireCMS的官方,一有补丁就立即修复掉

    59620

    漏洞详情与修复方案

    ,基本的一些脚本文件都已经过滤掉了,只能上传一些图片式的文件,使用白名单机制对上传进行了严限制。 是因为后台的index.php被Metinfo官方加入到白名单里,可以直接绕过sqlinsert函数的过滤,直接上传webshell到中,在实际的漏洞试过程中,并不需要登录后台,直接post该地址即可 ,如果不知道数据包是如何写的,可以自己本地搭建一个Metinfo的环境,然后登录后台,截取数据包,再修改数据库的地址,进行漏洞试。 漏洞修复办法与详情 目前官方并没有对此漏洞进行修补,建议程序员对php的版本进行升级到5.3以上,或者切换服务器到linux系统,对上传目录uoload进行无PHP脚本运行权限,或者对目录进行加固防止 如果您对代码不是太熟悉的话,可以付费找专业的公司来处理,国内也就SINE,绿盟,启明星辰比较专业一些,关于Metinfo漏洞的修复以及加固办法,就写到这里,希望广大的运营者正视起

    23510

    漏洞修复与的代码审计的整体解决方案

    在很多系统构建的一开始,最注重的就是程序代码的,我们SINE对甲方公司部署过很多的系统,之前有一些设计公司对于每个项目都会由专人去负责开发与设计,并与甲方公司进行沟通 报告生成图表,使用的是echarts进行图渲染然后从数据库中查询数据,调用并生成图表,包括的周报,月报,年报,图表中还会显示漏洞的趋势,高危漏洞的个数。 ,扫描功能分单独的文件代码扫描,一个是整个扫描。 最后对于代码审计系统,我要必要跟大家说一下,有了这套系统会对更加直观的分析,并对出来的漏洞也可以直接修复,对稳定运行提供了强有劲的支持。 后期开发会针对于客户的进行定期的代码审计,对进行漏洞,发现有新的漏洞直接邮件提醒客户。 ?

    27510

    漏洞之用户密码找回漏洞的分析与利用

    我们SINE在对,以及APP端进行的时候发现很多公司以及业务平台,APP存在着一些逻辑上的漏洞,有些简简单单的短信验证码可能就会给整个带来很大的经济损失,很简单的功能 我们来看下之前对客户进行的的时候我们发现到的短信炸弹漏洞,由于客户反映注册会员的时候会收到好几条重复的验证码短信,甚至多次点击提交也会导致收到好多条验证码信息,随即我们SINE对其进行详细的的角度来分析,以及部署层面上看,在短信平台上可以做到防止短信无数发送,现在阿里云的短信平台,可以做到防止多次发送短信到用户手机,一个手机号一天只能接收5次短信的限制,再一个就是从程序代码里进行加固 在整体的中我们要提前告知客户,我们在进行操作什么,漏洞扫描,漏洞利用,数据库写入删除等比较重要的操作,都要事先跟客户告知,提前对的数据进行整体的备份,包括数据库的备份,源代码的备份 在渗透试当中我们要先进行评估,整体的会不会给用户带来影响以及损失,尽可能的不要产生影响客户访问,以及业务正常运转。下一篇文章跟大家分享用户密码找回漏洞的利用与分析。

    31210

    相关产品

    • 证书监控 SSLPod

      证书监控 SSLPod

      证书监控(SSLPod)是一款集多个 HTTPS 网站安全检测、证书有效期管理以及异常告警等功能于一体的系统。它提供了可视化评级图表和可交互的跨品牌证书管理仪表盘,支持 HTTPS 安全评级,证书品牌、证书有效期、SSL 漏洞、PCI DSS & ATS 合规监控和集中管理。

    相关资讯

    热门标签

    扫码关注云+社区

    领取腾讯云代金券