1回答
如果有人在运行在linux机器上的程序(如Google Chrome或Mozilla Firefox )中发现类似缓冲区溢出的漏洞，那么在运行相同程序的Mac OS X或Windows上是否存在此漏洞。
浏览 0提问于2012-01-02得票数 3
回答已采纳
如果我创建一个包含5个依赖项的捕捉包。每次依赖项获得(安全性)更新时，我是否都必须创建一个新的包版本？
我的意思是，.deb包的优点是，例如，在Ubuntu/Debian中，我可以使用一个库，一旦这个库得到更新，就意味着我的软件的一部分也会更新。由于他们只提交安全更新，我可以(99%)确信库更新不会破坏API，这样我的软件就会崩溃。
浏览 0提问于2016-06-15得票数 9
回答已采纳
我想知道最初为32位可执行文件编写的病毒是否能成功感染64位可执行文件？
所有32位指令都是有效的64位指令，对吗？所以，只有ABI可能会破坏东西？
32位病毒应该如何调整(如果必要的话)以针对64位可执行文件？
我感兴趣的是Windows或Linux操作系统系列的答案，即编写用于感染PE或ELF二进制文件的病毒。
浏览 0提问于2017-04-15得票数 0
，我在spring上找到了这个提交，有人能确认这个提交是几天前发布的spring4shell漏洞的修复吗？
致以敬意，
参考资料：
浏览 3提问于2022-04-04得票数 0
回答已采纳
3回答
我有两个问题，关于如何在整个过程中为漏洞请求和获取CVE ID。
我应该先与供应商联系，然后等待他们是否承认漏洞并释放补丁，然后提交CVE ID，还是现在只提交CVE ID？
论CVE提交表格
它说：
注意:一旦将CVE ID分配给您的漏洞，它将不会在CVE列表中发布，直到您提交了指向该漏洞的公共信息的URL。在没有公共引用的情况下，CVE ID将在CVE列表中显示为“保留”。
我的问题是关于“指向公共信息的URL”。这些公共信息是否必须来自供应商，或者这些公共信息是否类似于指向利用数据库页面的URL？
浏览 0提问于2017-10-26得票数 4
回答已采纳
今天(4月14日)，自封的"ShadowBrokers“发布了大量的即时使用的0天攻击，部分原因是详细的使用说明。
现在我明白了，对于那些拥有面向互联网的Windows服务器或其他类似设备的公司来说，这真的很糟糕。
但更有趣的问题是：
今天的转储是否会影响那些没有在Windows机器上主动建立面向互联网服务的普通用户？
可能有用的参考资料：
母版文章。
Ars Technica文章
浏览 0提问于2017-04-14得票数 11
我在互联网上看到，有几家网站公司公开了默认的web服务器主页，如Tomcat、NGNIX、Apache web服务器。我一直认为公开默认的web服务器页面并不是最好的做法。但是现在大多数的网络服务器都避免了主页中的任何敏感信息。那么，目前，在互联网上公开默认的web服务器页面有什么问题吗？
浏览 0提问于2018-09-20得票数 0
当使用Acunetix和w3af等工具进行web漏洞评估时，是否值得在多种类型的web服务器(Apache等)上安装相同的web应用程序？
如果在扫描结果中发现不同web服务器之间的差异，那么会发现哪些类型的漏洞？另外，请记住，我只是在测试web应用程序；我没有测试Apache、PHP、MySQL等等。
浏览 0提问于2015-02-08得票数 5
我的一个站点将提交漏洞测试，不确定公司是否手动进行此测试。
我想知道我是否能找到任何软件，其中我指定了在我的网站中使用的所有变量名称，并自动尝试输入代码、脚本和其他东西在我的表单和页面中，以查看是否有任何漏洞打开。
我不信任在线服务，所以我真的更喜欢在本地机器上做些什么，这也让我可以先在本地环境上进行测试。
浏览 0提问于2017-07-07得票数 4
回答已采纳
我在SQL Server数据库中有一个Products表，它有一个包含唯一标识符的ID列和一个包含VARCHAR(100)的ProductName列。此表包含5000多个条目。
现在在我的razor cshtml页面上，我有一个显示这些pProduct名称的下拉列表。我的方法是将下拉值字段绑定到ID列，并将文本显示到ProductName。这意味着，在客户端，如果有人在浏览器中查看源代码(或使用任何http嗅探器等)，他们可以看到与这些产品名称关联的所有GUID。现在，当用户提交此信息时，我已经设置了一个服务器端验证，其中我确保所有提交的Guid都是1)有效的Guid(不是字符串或其他任何东西
浏览 3提问于2012-02-02得票数 2
回答已采纳
1回答
相同的原产地策略并不阻止源foo.bar创建一个将操作属性设置为另一个源baz.duh的表单，甚至允许仅通过加载页面就可以以编程方式提交此表单，而无需用户知道通过JavaScript发起的不可信事件。为了解决这个问题，程序员被迫使用CSRF令牌。
如果来自XMLHttpRequest和canvas对象的AJAX请求受制于相同的原产地策略，并且不允许访问响应，那么为什么表单提交/XHR请求不被允许呢？这种津贴背后的理由是什么？
我知道接受GET请求方法的端点也可以被图像利用，但是这个问题只涉及POST和类似的方法表单。如果SOP不允许跨源表单提交，CSRF令牌的需求不会消失吗？提交意见书的目的是
浏览 0提问于2015-05-30得票数 6
阅读此Ajax示例，
我找到了下面这行。我不确定要理解什么，你如何“检查每个平台规范的Sig值”？
“注意:为简洁起见，我们信任$_POST‘’fb_ sig _user‘而不检查完整签名。这是不安全的，因为任何人都可以很容易地伪造用户的操作。请始终确保使用随客户端库提供的Facebook对象，或检查每个平台规范的sig值。”
浏览 0提问于2010-05-18得票数 2
关于中的“”漏洞。是否有人知道此漏洞是否会影响JFrog Artifactory或前提版本？
已经寻找到支持，但还没有看到官方的回应，因此更公开地问这个问题。
浏览 4提问于2022-03-31得票数 2
1回答
我正在寻找一种方法来按操作系统、应用程序等对CVE产品名称进行分类。是否有任何数据集可用于处理此问题？https://www.cvedetails.com提供了这些产品类别，但我需要脱机可用的这些信息。有人能提供任何洞察力吗？
浏览 0提问于2018-08-17得票数 0
我正在尝试提出游戏请求，因为它使用的是
当我试图发送一个给定的对象时，什么都不会发生，在控制台中，我看到了500错误。
POST https://www.facebook.com/v2.3/dialog/apprequests 500 (Internal Server Error)
只有当我使用有效的object_id时，才会发生这种情况。如果我从另一个应用程序中输入了错误的ID或对象id，我就会收到错误的解释。如果对象id是有效的，我会收到500错误。
用于请求的参数
{
method: 'apprequests',
message: message,
浏览 5提问于2015-08-09得票数 0
回答已采纳
例如: Linux上安装的Chrome是否更容易遭到黑客攻击(窃取登录/密码、安装附加程序、在浏览器中更改某些内容.)而不是安装在Windows上的Chrome？
(我确实意识到Windows对入侵者来说是一个更有利的目标，并且被认为是一个不太安全的系统)
浏览 0提问于2015-11-25得票数 1
2回答
我正在寻找一个端口列表，这些端口按照您可以为该特定端口找到的漏洞数量排序(当然，考虑到安装在默认端口中的服务)。
例:假设今年我们在端口80 (30个apache，30个iis，20个nginx)中有800种秃鹫，而在这个列表中我们可以得到：
80 800 21 400 22 30
以此类推。
我不在乎不同类型的漏洞，但我只需要号码
浏览 0提问于2013-11-20得票数 -2
4回答
我在GitHub上的一个项目收到了漏洞警报，在这种情况下是中度严重的。
已在代码的旧版本的依赖项中检测到此漏洞。当前版本不再使用此依赖项。不过，旧提交可能会被签出并运行，并打开应用程序以利用该漏洞。
从软件工程的角度来看，是否应该返回并更改旧的提交，即将现在未使用的依赖项更新为包含修复漏洞的更新版本？还是最好还是保持提交历史的原样？
浏览 0提问于2019-01-23得票数 8
回答已采纳
2回答
我们总是在Django表单中使用csrf_token，它是动态生成的。如果捕获我与fiddler会话，并尝试在没有令牌的情况下提交表单，我会得到一个403错误。但我不明白的是，我可以使用fiddler提交相同令牌的任意多的数据，所以我不理解这个令牌所做的安全性。如果有人黑了你的表单，他们可以使用相同的令牌。
我是否遗漏了一些额外的步骤来确保令牌始终是唯一的？
浏览 1提问于2017-05-11得票数 10
假设在线编码平台允许用户输入代码并在网页表单中提交代码。它还通过将代码存储在数据库中来显示以前输入的代码。如何确保恶意代码不会同时在前端和后端执行？什么是安全需要考虑的问题。
我知道如何保护和实施-
会话劫持
XSS攻击
CSRF
SQL注入
输入用户密码
处于攻击中间的人
我的问题是找出还需要做什么，阻止用户提供的代码在我的后端执行。我能读到的任何有趣的话题。
对代码文本进行加密/编码并以加密格式存储它们会有帮助吗？还是建议将代码文本存储在服务器上的非可执行文件中，为每个用户动态创建它们？
浏览 2提问于2019-11-23得票数 3
回答已采纳
1回答
我计划使用Kali linux从gcloud实例运行漏洞扫描到我们位于不同提供商上的服务器，我应该如何通知Google团队不要被禁止？
浏览 1提问于2017-05-25得票数 0
我想知道git提交元数据是否能够揭示潜在的风险信号或漏洞。
Hinnefeld已经对此进行了调查，这里，但是这似乎是一种检测其他开发人员已经发现的漏洞的方法。
有人能想象单靠元数据如何才能检测到以前从未发现过的漏洞吗？
浏览 0提问于2020-08-10得票数 0
4回答
通过查看一个最新发布的IE应用综述，我注意到了我所认为的组装。我对开发开发一无所知，但我对组装有一点了解。看到组装代码，这是否意味着在特定的OSs上利用特定的体系结构？
这是否意味着每个操作系统( XP，Vista，7，8 )都需要在程序集中开发一次IE漏洞，根据32/64位加倍，然后根据字节顺序再次加倍？
浏览 0提问于2014-04-28得票数 11
回答已采纳
使用Grails 2.4.4而不是最新版本会不会不安全？(2.4.4是我目前可以用Brew下载的最新版本)。GGTS for eclipse (目前)不支持Grails 3，所以我想知道是否需要购买Intellij来开发安全的应用程序。
我不明白为什么它会不那么安全，但我想我应该要求确认一下。
浏览 0提问于2015-05-02得票数 0
详细的错误日志如下
查找位置id查询错误:操作无法完成。Places服务器返回了我们无法理解的响应。如果您认为此错误代表错误，请使用我们的社区和支持页面()上的说明提交报告。错误:操作无法完成。Places服务器返回了我们无法理解的响应。如果您认为此错误代表错误，请使用我们的社区和支持页面()上的说明提交报告。
浏览 0提问于2017-08-24得票数 0
回答已采纳
1回答
我有一个使用boost线程的程序。该程序具有启动和停止功能。当程序启动时，我创建了一个执行某些处理的boost线程。当程序停止时，我在这个线程上调用join并删除线程的指针。我的程序第一次正确地启动和停止；但是，当我第二次尝试启动我的程序时，我在boost内部的断言失败(当更新处理线程时)，并且在我的屏幕上输出以下内容
/root/src/boost.cmake/libs/thread/src/pthread/once.cpp:46: unsigned long &boost::detail::get_once_per_thread_epoch(): Assertion`!pthrea
浏览 0提问于2012-05-08得票数 3
每次提交都应该有一个gitlab CI/CD任务运行。任务是检测进入管道的所有提交的XSS漏洞。假设在提交中发现XSS威胁意味着管道应该失败并有原因。 这样做可行吗？ 在gitlab CI/CD中，javascript或python中有没有通用的安全库来检测XSS威胁(由OWASP指南声明)？ 如有任何帮助或建议，我们将不胜感激！
浏览 34提问于2021-06-16得票数 0
启用W^X时，是否有可能从全局偏移表的单个覆盖中可靠地执行任意代码？所谓“可靠”，是指假设我只控制指令指针所指向的位置，并可能在其他地方控制一些不可执行的数据。
为什么我要问:使用House of Force堆利用在这里降级，可以覆盖任意内存，这使得获取的对象成为劫持指令指针的诱人目标。但是，为了使堆溢出的实现工作(即获取一个shell)，作者必须注入shell代码以指向GOT。如果启用W^X，则此技术将失败。有没有一种方法(可能利用ROP/JOP)？克服了这个限制？我之所以很难这样做，是因为在这个漏洞中，您只控制指令指针，而不是堆栈指针，所以我很难找到一种使ROP工作的方法，而且JOP似乎需
浏览 0提问于2017-09-30得票数 0
回答已采纳
CSRF同步令牌在一定程度上是有意义的。有人能用孩子气的方式向我解释一下吗？
当用户登录时，会给他们一个会话ID和一个CSRF。会话ID存储在会话cookie中，CSRF令牌仅存储在页面上，最好是隐藏字段中。当用户提交需要特殊权限的请求时，CSRF令牌将与其一起发送。服务器验证它是用户，并提交操作。
好吧，这就是我遇到问题的地方。如果用户的会话id与任何其他身份被窃取，比如来自中间人的攻击，这不需要XSS。恶意用户不是会被赋予与会话相同的CSRF令牌吗？
为了预防，请忽略标题答案*
浏览 0提问于2016-10-18得票数 0
回答已采纳
出于好奇，我没有IoT设备，但将进行安全测试；我构建了Nodemcu esp8266服务器。它显示了一个HTML页面(例如，在移动电话上)，它允许控制相机模块和A/C继电器并与之交互。例如，我可以显示相机拍摄的图像，我甚至认为它内置了一些图像识别，我可以打开或关闭一个电流继电器(110/220 v A/C电源)。
在我开始五分钟之前，我想，我最好开始思考，一个人能发现和发现哪些类型的漏洞？哪一个邪恶的功绩我可以找到，或者更确切地说，应该能够找到一个适当的五倍的锻炼？(如果我找不到有用的东西，我对物联网中的五极线的方法可能是错误的)
我认为这可能是一个完全没有意义的练习，因为esp8266 ww
浏览 9提问于2021-04-07得票数 0
回答已采纳
为了减轻CVE-2022-22965中的漏洞，我需要更新JFrog的哪个版本？
我使用的是7.18.12版本，但我不确定这是否足够新。
浏览 3提问于2022-11-01得票数 1
我正在分析CVE-2022-0839。
在检查承诺时，我不明白为什么提交在测试类上。我的意思是，测试类如何修复易受攻击的组件？修正不应该在有罪的课堂上进行吗？
浏览 0提问于2022-07-21得票数 0
2回答
我以前从来没有接触过XSS，但我刚刚收到一位访问者的评论，说我的网站有XSS漏洞。
他很友好地为我提供了一个字符串，该字符串激活了一个显示用户cookie的提示框。我有很多代码在这个网站和网络应用程序，我如何找到并修复它？我该从哪里开始呢？
浏览 0提问于2013-06-18得票数 0
3回答
阻止程序执行其他程序
、、、
背景:我想为我们学校写一个编程竞赛网站，我知道我需要防止提交的程序滥用文件IO。然而，我想要找出的是如何防止某人编写可以执行其他程序的程序。例如，有人可能提交一个Java程序，该程序使用Runtime或ProcessBuilder类在我们的服务器上做一些恶意的事情，破坏站点，或者扰乱另一个竞争对手。
在unix/linux和(仅供将来参考) windows服务器上，有哪些方法可以防御此问题？
浏览 0提问于2011-02-22得票数 3
回答已采纳
我一直在设计一个小型的电子商务平台来销售珠宝。最初，我想让它与web3兼容(接受元掩码支付)，并且考虑到我是一个开发人员，我想采用DIY方法，而不是像Shopify这样的平台。
现在我离完成这个网站越来越近了，我思考着自己--我应该转而使用Shopify吗？我的思考源于我所预料到的未知的弱点。
我的网站使用Stripesnd paypal支付。除了订单信息和发货地址外，我不保存任何其他数据。
是否存在Shopify没有考虑到的潜在漏洞？
这似乎很简单，可以在一个网站上付款，但我有一种感觉，我没有考虑一些主要的含义，不使用一个平台，如Shopify。
一方面，我真的很想使用我自己的网站，因为我花
浏览 3提问于2022-10-02得票数 0
1回答
我想知道是否有可能为核心移动应用程序开发一种插件。例如，如果我想在邮件应用程序(iOS/Android/WP8 8)中添加一些功能，而不需要重新编写一个具有额外功能的邮件应用程序。
为了说明:让我说，我想添加功能到文本消息应用程序。当有人收到短信的时候，我会想在外部数据库中查找这个号码(使用3G或Wifi)，并获得此人的facebook ID，并且有可能回复他的facebook帐户而不是他的手机。
这是否可以在iOS、安卓和WP8上实现，而无需编写自己的短信应用程序，而只需插入核心应用程序？
浏览 1提问于2014-04-02得票数 0
回答已采纳
1回答
根据我从收集到的资料，
审核命令将项目中配置的依赖项的描述提交到默认注册表，并要求提供已知漏洞的报告。
因此，有一个NPM注册中心，我假设我将从其中获得npm install包，以及包含安全审计警告的包。如果是的话，如何登记这些警告？
浏览 1提问于2020-03-09得票数 0
回答已采纳
1回答
寻找一个公式和参数来填充它，当系统中的漏洞的来源和原因未知时，该公式和参数将有助于系统内关系的隔离。下面是一个未知向量(S)的攻击示例，但对攻击的发生有一种认识：确认我已经完全删除了一个WordPress黑客？
浏览 0提问于2011-06-10得票数 5
回答已采纳
我向Facebook提交了申请，要求审查，但最初被拒绝。现在，我已经解决了问题，并准备重新提交审查.然而，在“状态和审查”部分，在“项目在审查”下，“上传iOS应用程序”按钮不工作！当我点击它时，什么都不会发生。
我必须上传一个新的构建来解决这些问题，但它似乎不起作用。我失踪了吗？我想避免不得不删除应用程序和完全重新开始。
一个警告--我在提交文件之间重新命名了这个应用程序。这有什么意外的后果吗？
浏览 0提问于2015-03-20得票数 0
回答已采纳
2回答
我的服务器平时只开放80端口，其它都是关着的。连我自己都远程不了。但是昨天晚上，开通3389远程进去 发现在，被装了两个黑客软件（盗取密码之类的），似乎还在上面建了 一个 “$” 为名的管理员账号。我就是很奇怪，为什么权限控制的这么严，别人还能装软件上去。提交了工单，客服也说不出个所以然来。好恐怖哦。
浏览 328提问于2017-03-16
是否可以在mercurial中更改提交。出于安全原因，我们希望在文件的所有先前提交中删除先前提交的安全连接信息。这是可能的吗?或者我们只需要删除并重新上传存储库？
更新:听起来histedit是这样做的，但是当我这样做的时候
hg histedit revisionnumberstring
我得到了
comparing with revisionnumberstring
abort: repository revisionnumberstring not found!
如何使用hg histedit删除初始提交时的凭据，可以在根目录的index.xml文件中找到？
浏览 13提问于2016-08-12得票数 0
1回答
如上所述，在VS2017中，我的asp.net mvc应用程序仅在刷新和“重新提交”(用于内置搜索)时提交一个空值。所有其他浏览器都能正常工作。谷歌搜索没有产生任何有用的结果。我不知道从何说起。
此外，由于这可能与此相关-我同时不得不在visual studio设置中禁用chrome javascript调试，因为VS将在启用JS调试的情况下冻结。
此问题适用于60.0.3112.101版本(官方版本)(64位)
浏览 15提问于2017-08-15得票数 1
回答已采纳
可能重复: 为什么Ubuntu比Windows或Mac更安全？
我是个新用户。我用XP在更旧的电脑上安装了这个。请有人比较一下Ubuntu和windows操作系统之间的安全问题。换句话说，我在网上使用Ubuntu>更安全吗？
浏览 0提问于2012-08-19得票数 0
虫热
Launchpad通过给你一个被称为bug热的计算量来帮助你评估一个bug的可能意义。您可以在bug列表中看到bug热，也可以在单个bug页面上看到作为火焰图标旁边的数字。
以下是Launchpad计算bug热分数的方法：
私人加150点
安全问题增加250分
既然应该鼓励用户提交和分享bug的信息，为什么保持bug的私密性会得到额外的bug热评分呢？如果它与安全问题有关，这可能是可以的。但是事实上，当apport返回“您的bug是现有bug的副本”时，这个bug是私有的，我无法提交任何有用的信息。
这条规则还有什么其他原因吗？
浏览 0提问于2014-12-13得票数 2
在git 2.29及更高版本中，git拉会出现这个问题。
但是，当您在提交后尝试通过vscode进行同步更改时，设置git config --global pull.ff only仍然无法解决这个问题，以便您的本地分支领先于远程分支。我一直得到错误的fatal: Not possible to fast-forward, aborting.
浏览 1提问于2021-11-10得票数 1
回答已采纳
1回答
我在不正确的子站点(security.se)上问过这个问题，但是我认为这个问题更适合这个网站。所以，我在搜索一个工具，其中包括多个漏洞扫描器，这样我们就可以上传一个项目(甚至提交我们的网站)，并且这个工具扫描我们的站点(或项目)是否存在漏洞。但区别在于，它使用多个不同的扫描仪(如VirusTotal)进行扫描。
我自己做了一个想法的草图，来展示我的意思：http://allscanners.itask.software/
当我们需要这样的东西时，我们该怎么办？
浏览 0提问于2019-01-15得票数 0
1回答
我使用以下方法修复了应用程序的内存泄漏
X-代码->使用性能工具运行->泄漏
我提交了我的应用程序，后来我分析了附加到设备上的代码，比如设备的Build &Analysis，当我按下Product然后按下时，出现了许多潜在漏洞。
这两者之间有什么区别，我是根据仪器故障修复漏洞的吗？
是否像分析器指出的某些泄漏实际上可能导致性能工具没有显示/捕捉到的泄漏？
浏览 4提问于2011-07-05得票数 1
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
