1回答
我使用的是一个方法，它调用另一个REST API从DB检索ID。当我对类运行veracode扫描时，我在下面的代码行得到了安全缺陷“服务器端请求伪造”。任何帮助都是非常感谢的。下面是该方法的完整代码。
浏览 69提问于2020-10-21得票数 0
我正在为我的一个项目运行CheckMarx扫描，它为方法的一个输入字符串参数提供了一个SSRF漏洞。我的方法如下所示，并为参数param1抛出SSRF漏洞。DataManipulationException(); // Call 3rd party here (method in line 87 below)在该方法中，我使用HttpClient GetMethod调用第三方来自CheckMarx的
浏览 8提问于2017-06-20得票数 3
1回答
我目前正在研究SSRF。我注意到，可能存在SSRF的注入向量总是与URL相关的参数(使用url导入图像，其他)。我遇到了几个端点，其中请求体包含url，它用于从used服务器导入图像。&imageUrl=https://companyX.com/image/3123123
我能够将imageURL更改为自己的url，并从自己的web服务器上传自己的图像。这通常被认为是一个漏洞吗？或者这仅仅是SSR
浏览 0提问于2020-09-06得票数 0
回答已采纳
1回答
我正在测试SSRF漏洞，所以我的问题是:是否可以从SSRF漏洞检查外部IP (来自网络上的另一台计算机)？
浏览 0提问于2017-04-29得票数 1
回答已采纳
我刚收到一份笔试报告，这些白痴在注入标题下包含了像SSRF和XXE这样的漏洞！这是胡说八道，他们有一些，但不是全部，注射攻击的特点。在典型的注入攻击(如SQL注入)中，不可信数据通过字符串连接与可信查询相结合，然后将结果传递给一个解析它的函数--一个危险的接收器。对于SSRF、XXE和其他一些问题，不受信任的数据直接传递到危险的接收器。没有字符串连接，所以很明显它们完全不同。针对典型注入缺陷的补救建
浏览 0提问于2022-10-12得票数 -1
1回答
我正在编写一个移动应用程序，它使用的是我们公司防火墙后面的只读REST服务。REST服务提供的实际数据并不是私有的，但我担心的是黑客使用它来躲过防火墙。我发现了很多关于如何使用JWT来保证REST安全的想法。这些方法是否通常用于保护数据或保护正在运行的REST服务的网络？
我想知道我所公开的服务所使用的身份验证类型是否会影响其周围服务的安全性。
浏览 0提问于2020-07-06得票数 -2
回答已采纳
该程序侦听端口80，获取url查询参数，调用URL并发回响应。 我想用Python做同样的事情。我可以设置Apache2，将其与Python集成为CGI，然后编写Python程序。顺便说一句，我正在尝试模仿代码中的SSRF漏洞。
浏览 16提问于2020-10-04得票数 0
回答已采纳
在我当前的应用程序中，在Spring中，我们有如下所示的网关模块代码。URI uri = new URI(restURLProtocol, null, URLDomain, URLPort, "/api" + request.getRequestURI(), request.getQueryString(), null);
网关模块将使用工作良好的AsyncRestTemplate在同一服务器上调用另一个应用程序。但是，像chekmarx这样的工具表明
浏览 6提问于2016-12-15得票数 3
我的网站有一个阿凡达上传表格，你可以直接上传图像从PC或使网站抓取它从另一个主机。如果MIME类型出错，响应将包含以下内容：{"status":"wrong_mime","mime":"text\/html;}应用程序在Amazon上运行，我从对AWS的SSRF攻击上看到，如果一个易受攻击的网站返回信息，那么您可以获取有价值的信息。我的问题是，如果我的应用程序返回我的网站试
浏览 0提问于2022-03-15得票数 1
回答已采纳
我正在尝试在Nessus中查找REST API以查找漏洞信息(可利用漏洞)
已使用 {filetoken}/download上述两个api正在运行，但找不到漏洞信息(可利用漏洞)。我已尝试开机自检，但错误显示为“”：“未找到请求的文件”
浏览 2提问于2019-08-20得票数 0
1回答
我有一个用C++编写的桌面API。在这个API中，我调用REST来注册我的服务(使用典型的电子邮件用户验证)。REST使用ID和机密进行保护；请求(包括ID )以典型的方式使用秘密进行HMAC‘编辑。
在桌面应用程序中存储ID和秘密显然是一个等待被利用的漏洞。在这种情况下，还有哪些其他选择或最佳实践？
浏览 0提问于2013-01-26得票数 0
回答已采纳
我正在帮助我的一个学院测试他的网站是否完全是SQLi的。这看起来很有希望，但我正在努力确保，而且我碰巧知道他正在使用pg_escape_string来净化他的POST输入。这可能是一个愚蠢的问题，但我想知道，是否有办法为SQLMap指定转义方法？
此外，只要我在这里，我想征求意见，哪一种是最好的逃避方法(PostgreSQL组合)是足够的，还是应该使用其他的？
浏览 0提问于2016-09-15得票数 0
Apache Flink 1.10.2的REST API中存在CVE-2020-17518漏洞。现在我想关闭REST API服务，我应该如何设置配置文件？
浏览 2提问于2021-01-14得票数 0
1回答
我遇到越来越多的客户需要他们的API (通常是REST)端点来测试漏洞，并希望接触到是否有人有一些建议超出了我所做的。我非常熟悉OWASP的REST安全备忘单，并且自己构建了许多API，因此我知道如何查找HTTP方法、CSRF、敏感数据公开、输入验证、SSL信任等等，但我是否遗漏了什么？每个人都在做什么技术来超越和超越寻找API漏洞/利用？有什么推荐的工具比好的<
浏览 0提问于2014-02-05得票数 5
在HTPPS上使用Django的传统网站与使用Django rest框架的同一个网站相比，使用JS或其他平台使用API。在REST服务器上启用HTTPS是否使其API安全？
浏览 8提问于2021-12-18得票数 -1
回答已采纳
1回答
我正在接受一个API，它对https://example.org/进行后端调用，并附加您提供的任何输入(例如，如果您提供test，它将调用https://example.org/test)。我试图在这个场景中实现SSRF，所以我的目标是改变域。在此场景中是否还有其他特殊的URL字符或技术可用于将域更改为另一个站点或消除拖尾斜杠？
更新: API本身是OData，内部使用C#。
浏览 0提问于2021-08-02得票数 3
回答已采纳
2回答
我正在尝试将Firebase集成到Unity WebGL应用程序中，与iOS和安卓不同的是，它没有官方的Firebase插件。有没有我可以调用的端点，将用户名和密码传递给firebase，它将返回一个auth令牌？
浏览 10提问于2017-12-19得票数 1
回答已采纳
我有一个运行在azure虚拟机上的java应用程序，是否有API可以获取此虚拟机的详细信息？具体来说，我需要获取虚拟机名称
浏览 11提问于2019-09-23得票数 0
云服务器
ICP备案
云直播
对象存储
即时通信 IM
腾讯云开发者
