image.png 0x00 Xcheck介绍 Xcheck是一个由腾讯公司CSIG质量部代码安全检查团队自研的静态应用安全测试(SAST，Static application security testing...)工具，致力于挖掘代码中隐藏的安全风险，提升代码安全质量。...Xcheck现已支持Golang、Java、Nodejs、PHP、Python 五种语言的安全检查，其他语言支持还在开发中。...对Kylin2.6.3的源码进行检查。...image.png image.png ---- 想了解Xcheck更多信息或者代码安全审计相关技术欢迎长按关注xcheck公众号~ image.png
image.png 0x00 PHP安全检查引擎 Xcheck的php引擎支持原生php的安全检查，也支持对国内主流框架编写的web应用进行安全检查，覆盖包括Thinkphp,Laravel,CodeIgniter...覆盖漏洞类别包括但不限于以下: 命令注入 SQL注入 XSS XXE URL跳转 路径穿越 反序列化 代码执行 变量覆盖 ... 0x01 简单聊一下RIPS image.png 说到PHP代码工具化安全审计...RIPS是国外一家专门做代码安全检查的科技公司，凭借PHP代码安全检查出名。...下面有对memetype进行安全校验。 getMimeType函数的代码如下。...后续我们Xcheck团队也会持续披露Xcheck发现的一些有价值的漏洞或者分享代码安全审计相关技术。
参考链接： C++ wcsncat() 静态代码安全检查工具是一种能够帮助程序员自动检测出源程序中是否存在安全缺陷的软件。它通过逐行分析程序的源代码，发现软件中潜在的安全漏洞。...最后通过对静态代码安全检查工具优缺点的比较，给出了一些提高安全检查效果的建议。 ...1 C/C++ 语言静态代码安全检查工具 静态代码安全检查工具的工作类似于软件测试中的静态测试。...2 C/C++ 语言静态代码安全检查原理分析 静态代码安全检查的工作过程是：首先读入不安全函数列表，然后先对欲扫描的源程序进行词法分析。...但是代码检查非常耗费时间，而且静态代码安全检查需要知识和经验的积累。对较复杂的问题，静态代码安全检查工具很可能检查不出来。所以，一方面强烈建议程序员时刻保持高质量程序设计的思想，进行主动防错设计。
在angularJs中为了避免安全漏洞，一些ng-src或者ng-include都会进行安全校验，因此常常会遇到一个iframe中的ng-src无法使用。...由于angular默认是开启SCE的，因此也就是说默认会决绝一些不安全的行为，比如你使用了某个第三方的脚本或者库、加载了一段html等等。...这样做确实是安全了，避免一些跨站XSS，但是有时候我们自己想要加载特定的文件，这时候怎么办呢？...此时可以通过$sce服务把一些地址变成安全的、授权的链接...简单地说，就像告诉门卫，这个陌生人其实是我的好朋友，很值得信赖，不必拦截它！...DOCTYPE html> html> <script src="http://apps.bdimg.com/libs/angular.js
引言 HTML是网站开发的基础语言，它的安全性直接关系到网站的安全性。为了保障网站的安全性，我们需要加固HTML代码。本文将介绍一些具体方法，帮助你加固HTML代码，提高网站的安全性。...摘要 本文将介绍以下几种方法来加固HTML代码以保障网站的安全性：移除不必要的注释、过滤输入内容、使用HTTPS协议、使用防火墙以及定期更新代码。...但是，注释也会暴露网站的结构和代码，容易被黑客利用。因此，我们需要移除不必要的注释，只保留必要的说明。在进行发布之前，务必检查并删除所有不必要的注释。 示例： 代码 黑客会不断地寻找新的漏洞和攻击方式，因此我们需要定期更新代码，修复已知的漏洞，提高网站的安全性。及时更新HTML代码和相关组件，可以有效地减少被攻击的风险。...尽管代码混淆不能实现完全的加密或防止逆向工程，但它可以增加攻击者对代码的理解和分析难度。 总结 加固HTML代码是保障网站安全性的重要措施。
保护数据安全：通过对代码进行安全性评估和测试，确保代码对用户输入的数据进行正确的处理和过滤，防止恶意代码注入、跨站脚本攻击等对数据的窃取或篡改。...避免代码漏洞：通过代码审查和静态分析，及时发现和修复代码中的漏洞和错误，提高代码的质量和安全性。避免因代码错误导致系统崩溃、数据丢失等安全问题的发生。...合规性要求：遵循法律法规和行业标准，确保敏感信息存储和处理的合规性，包括个人隐私保护法规、数据保护法规、安全认证和合规标准等。2.3. 安全检查代码安全检查包括以下几个方面：2.3.1....为了防止XSS攻击，需要对用户输入和输出进行过滤和转义，避免将用户输入作为HTML代码插入到网页中。2.3.3....防止代码泄露代码泄露是指将源代码或敏感信息泄露给攻击者，导致系统被攻击。为了防止代码泄露，需要采取一些安全措施，如限制代码的访问权限、加密代码、定期检查和修复漏洞等。2.3.5.
与此有关的一个问题是，所做的更改会影响到测试内容之外的其他功能，例如在代码的多个模块复用了这个功能。...变更跟踪/版本控制 跟踪代码或配置文件的更改对于许多安全问题至关重要：功能可靠性，跟踪修改记录，确保黑客没有进行任何篡改等等。...跟踪配置文件的更改，并使用源代码管理（Git，SVN）可确保在何时何地更改了哪些内容。 管理权限 当在较大的团队中工作时，拥有管理员级别权限的人数可能会增加。...Web安全扫描程序 将每个功能和每个用户操作组合起来，安全风险的可能性呈指数增长。...甚至安全团队都不可能手动验证和测试所有内容，但是好的自动Web安全扫描程序不仅可以测试漏洞，而且可以发现一些开发人员可能不会考虑的问题。 SQL注入 当然，SQL注入是最常见的安全问题。
1.为svn服务设置高复杂度口令 描述 svn在/conf/svnserve.conf配置文件中，配置密码存储路径，根据password-db的配置可以找到密码...
若使用了安全矩阵，确保anonymous用户不能具有read之外的权限 Jenkins会默认安装一些插件，但是可能还不够，我们需要另外安装一些； 我们需要 确保下面的插件都已经安装，后面需要用到： Ant...Trigger Plugin、 GitHub Branch Source GitHub plugin 、Gitlab Authentication plugin 、Gitlab Hook Plugin、 HTML
未授权访问 描述 ZooKeeper在未设置访问控制情况下，攻击者可通过执行envi命令获得系统大量的敏感信息，任务用户或者客户端不需要认证就可以连上zk的服务端，并且可以对znode进行增删等操作，非常不安全的
加固建议 redis.conf安全设置： # 打开保护模式protected-mode yes 7.开启redis密码认证,并设置高复杂度密码 描述 redis在redis.conf配置文件中，设置配置项...检查提示 存在弱密码(配置文件|密码):/usr/local/redis/redis.conf|zh****uo 加固建议 打开redis.conf，找到requirepass所在的地方，修改为指定的密码
检查提示 主目录:/usr/local/alibaba/es/es/elasticsearch | /usr/local/alibaba/es/es/elasticsearch | /usr/local
为客户端配置TLS/SSL Enterprise Only Encryption Kerberos 验证 LDAP 代理验证 静态加密 审计 客户端字段级加密 Security Checklist 安全检查列表...MongoDB还为如何保护MongoDB部署提供了一个建议的操作列表即安全检查列表 Last updated: 2019-12-05 最后更新于：2019-12-05 This documents provides...MongoDB支持使用JavaScript代码对服务器端执行特定的操作，包括：mapReduce和$where。如果你不使用这些操作，在命令行使用--noscripting选项来禁用服务器端脚本。...定期检查MongoDB产品通用漏洞披露并且更新你的产品。...定期对你的设备打补丁并且检查操作指南 检查策略及流程变更，尤其是网络规则的更改，以防无意中将MongoDB暴露在互联网。 检查MongoDB数据库用户并定期进行轮换。
传统意义上，linter 更注重的是检查代码中编码问题、bug、代码风格之类的问题，它们可能不会发现代码中的安全问题。...例如，Coverity 是一个很流行的工具，它可以帮助寻找 C/C++ 代码中的问题。然而，也有一些工具专门用来检查源码中的安全问题。例如，Bandit 可以检查 Python 代码中的安全缺陷。...而 gosec 则用来搜寻 Go 源码中的安全缺陷。gosec 通过扫描 Go 的 AST（ 抽象语法树(abstract syntax tree)）来检查源码中的安全问题。...关于误判 在开始检查代码之前，我想先分享几条基本原则。默认情况下，静态检查工具会基于一系列的规则对测试代码进行分析，并报告出它们发现的所有问题。这是否意味着工具报出来的每一个问题都需要修复？非也。...这里，gosec 报出了一个可能需要你检查目录的权限是否安全的问题。
docker服务 systemctl daemon-reload systemctl restart docker 12.确认docker相关的文件具有合适的权限 描述 确保可能包含敏感参数的文件和目录的安全对确保...Docker守护程序的正确和安全运行至关重要 加固建议 执行以下命令为docker相关文件配置权限： chown root:root /usr/lib/systemd/system/docker.service...如果端口开放公网访问且未设置认证，会导致代码泄露、获取服务器root权限的等漏洞。
编辑/my.cnf文件，[mysqld] 段落中配置新的端口参数，并重启MySQL服务： port=3506 7.禁用symbolic-links选项 描述 禁用符号链接以防止各种安全风险
加固建议 redis.conf安全设置： # 打开保护模式protected-mode yes 操作时建议做好记录或备份 限制redis 配置文件访问权限 | 文件权限 描述 因为redis密码明文存储在配置文件中
控制台弱密码检查 | 身份鉴别 描述 tomcat-manger是Tomcat提供的web应用热部署功能，该功能具有较高权限，会直接控制Tomcat应用，应尽量避免使用此功能。.../error.jsp，在webapps目录下创建error.jsp，定义自定义错误信息 操作时建议做好记录或备份 开启日志记录 | 安全审计...描述 Tomcat需要保存输出日志，以便于排除错误和发生安全事件时，进行分析和定位 加固建议 1、修改Tomcat根目录下的conf/server.xml文件。...若目标服务器同时存在文件上传功能，攻击者可进一步实现远程代码执行。漏洞影响非常严重，请及时采取防护措施修复。...加固建议 可使用以下方式修复加固 升级到以下安全版本进行防护 版本号 下载地址 Apache Tomcat 7.0.100 http://tomcat.apache.org/download-70.cgi
PASS_MIN_DAYS 参数设置为7-14之间,建议为7： PASS_MIN_DAYS 7 需同时执行命令为root用户设置： chage --mindays 7 root 操作时建议做好记录或备份 密码复杂度检查...| 身份鉴别 描述 检查密码长度和密码是否使用多种字符类型 加固建议 1、安装PAM的cracklib模块，执行命令： apt-get update&&apt-get install libpam-cracklib...success=1 default=ignore] pam_unix.so开头的这一行增加配置minlen（密码最小长度）设置为9-32位，建议为9，即在行末尾加上参数minlen=9 操作时建议做好记录或备份 检查密码重用是否受限制...success=1 default=ignore] pam_unix.so开头的这一行增加配置remember设置为5-24之间，建议为5，即在行末尾加上参数remember=5 操作时建议做好记录或备份 检查系统空密码账户...| 身份鉴别 描述 检查系统空密码账户 加固建议 为用户设置一个非空密码，或者执行passwd -l 锁定用户 操作时建议做好记录或备份 确保SSH MaxAuthTries
加固建议 删除系统环境变量中MySQL密码(MYSQL_PWD)配置 2.匿名登录检查 描述 检查MySQL服务是否允许匿名登录 加固建议 登录MySQL数据库，执行以下命令删除匿名账户： delete
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
腾讯会议
云直播
对象存储
