基于此，OWASP发布了开源软件风险清单TOP 10，旨在解决帮助企业用户更好地解决开源软件组件安全问题，帮助安全从业者更成熟地治理和安全使用OSS。风险清单TOP 10由Endor Labs首创，该公司专注于OSS安全、CI/CD管道和漏洞管理、软件供应链安全等。
随着越来越多的公司意识到将安全性集成到其DevOps流水线的重要性，对DevSecOps产品的需求一直在强劲增长。但是，投入DevSecOps市场寻求选择的IT和DevOps专业人员很快意识到，DevSecOps工具和框架的数量众多且令人困惑。选择过多，往往使他们陷入决策疲劳和分析瘫痪的境地，因为他们试图了解选择哪种安全解决方案以及如何将其集成到他们的软件开发流水线中。
2024年RSA大会上，来自泰雷兹（THALES）的软件安全技术总监VISWANATH S CHIRRAVURI分享了关于供应链安全和AI安全的议题。泰雷兹是一家业务遍及全球的国际企业，所服务的五大业务市场对各国社会至关重要，包括航空、航天、地面交通、防务与安全以及数字身份与安全。网络攻击更迭变化，已经从攻击计算机的硬件、网络、软件，转变成成攻击供应商所提供的任何内容，包括数据、服务、代码、组件、配置、二进制、进程、人等。自2022年底大模型技术发展迅速，如何理解AI与安全的关系成为了另一个重要的课题，本文将从供应链和AI安全两个方面分别进行解读。
每个后台开发人员都可以问一下自己下面的几个问题 1，我的服务当前QPS是多少？最大是多少？以当前用户增长速度多久之后需要扩容？ 2，我的服务每个接口耗时多少毫秒？时间耗在什么地方了？是否有优化的余地，如果没有，为什么？ 3，我的服务瓶颈在哪儿？CPU，网络，磁盘IO，内存？ 4，我的服务安全吗？ 输入参数会不会被篡改？会不会被重放攻击？DNS会不会被劫持？ 5，我的服务高可用吗？会不会雪崩？是不是柔性可用？ 6，我的服务有容灾功能吗？地震了，战争了，市政工程把光缆挖断了（不要笑，微信就遇到过）？ 我觉得只有对自己的服务了如指掌，晚上才能踏实地睡觉，不必担心半夜爬起来oncall。
cURL 作者 Daniel Stenberg 在 1 月 21 日收到了一家美国《财富》500 强企业发来的电子邮件，要求 Stenberg 回答关于 cURL 是否受到 Log4Shell 漏洞影响以及如何处理等问题。随后，他将邮件内容截图发到了推特上，并写道：
前几天，与安全圈的一位专家前辈聊天，谈到企业内部的安全工作开展情况，产生了很多共鸣之处。尤有两点想拿出来分享一下。 是捍卫安全基线，还是做业务的守护者 这是两种不一样的做事思路，前者你满眼都是“安全”，你所有的一切都围绕着安全这个中心，它成为你评价事情的标准、开展工作的出发点：这个业务不安全、这个选型不安全、这个做法不安全......然后慢慢的，开始抱怨为什么大家都那么不重视安全。 而后者，你满眼都是业务，只不过你从安全角度去关心——业务会不会被攻击、会不会被伤害、会不会被欺负、穿的暖不暖、吃的够不够
还记得当初使用WordPress博客系统的时候，基本上写文章都喜欢用webp格式的图片
Hello，今天想跟大家分享一下我近期做的项目中使用的文件上传与文件下载，其实在以前我们想要做文件上传可能要自己去搭建一个专门的服务器，然后将我们的文件上传到这个服务器上，下载就从我们这个服务器上去进行下载就行了。
由于该系统是魔改版，一般会在基础上魔改一些自己的功能点，我们这里翻翻看，有一个大看板的功能点比较吸引我，尝试访问。
# docker 挂载文件不同步问题记录 ```bash 作者: 张首富 时间: 2020-05-09 晚 w x: y18163201 ``` ## 起因 今天上午开发给我反应一个问题,所在宿主机
文章之前由 Ada Logics 安全研究与安全工程 David Korczynski 和安全工程与安全自动化 Adam Korczynski 在 Ada Logics 博客[1]上发表
我们知道，散列函数解决了消息的完整性防止篡改，消息认证码解决的是消息发送者是否被伪装的问题，但是消息的防抵赖性如何保证呢？因为发送接收双方都共享一个密钥，因为对于第三方来说，无法防止信息发送者的否认！那怎么办呢？引出本节主题：数字签名。
定期审计代码库是发布安全软件的一个重要过程。对于依赖于来自各种贡献者的代码的开源项目，审计可能特别重要。我们很高兴地宣布Falco首次安全审计的发布，这是Falco作为CNCF沙箱项目参与完成的。非常感谢CNCF对审计工作的赞助，也非常感谢Cure53团队对审计工作的支持。
2017年9月19日，腾讯云安全中心监测到 Apache Tomcat 修复了2个严重级别的漏洞， 分别为： 信息泄露漏洞（CVE-2017-12616）、远程代码执行漏洞（CVE-2017-12615），在某些场景下，攻击者将分别能通过这两个漏洞，获取用户服务器上 JSP 文件的源代码，或是通过精心构造的攻击请求，向用户服务器上传恶意 JSP 文件，通过上传的 JSP 文件 ，可在用户服务器上执行任意代码。 为避免您的服务器受影响，腾讯云安全提醒您注意及时开展安全自查以避免被恶意攻击者利用。 漏洞
2024 年 3 月 29 日，Openwall OSS-security 邮件列表上的一条信息对于信息安全、开源和Linux社区来说标志着一个重要的发现：在 XZ 中发现了一个恶意后门。XZ 是集成在许多流行的 Linux 发行版中的压缩实用工具。
随着供应链攻击威胁与日俱增，全球巨头纷纷出台各种措施，以降低供应链攻击带来的威胁。2022年5月，谷歌就成立了一个新的“开源维护团队”，专注于加强关键开源项目的安全性。 8月29日，谷歌再次出台新的举措，推出了开源软件漏洞奖励计划 (OSS VRP)，是首批特定于开源的漏洞计划之一。奖励金额从100 美元到 31337 美元（约合人民币21万+）不等，以保护生态系统免受供应链攻击。 众所周知，谷歌是Angular、Bazel、Golang、Protocol Buffers 和 Fuchsia 等项目的主要
我的图床方案是 Github + jsDelivr CDN，这套不花一毛钱的方案，一用就用了好几年了。
原文地址：https://mp.weixin.qq.com/s/RrD8e3mpl9oRgEaf1JKKdQ?client=tim&ptlang=2052&ADUIN=1835083655&ADSES
在渗透测试中，经常能够遇到这样一种XSS漏洞，它通常存在于比较隐私的个人信息配置等等功能中，有一个非常鲜明的特点就是“只有自己可见，别人不可见”，XSS漏洞只能攻击自己自然是毫无价值的，因此此类Self-XSS几乎不会被SRC所接受。本文通过对一个在线游戏平台的测试经历，提供一种攻击思路，把原本无害的Self-XSS漏洞与其它漏洞结合起来打组合拳，从而实现无害漏洞从无害到高危的利用。
例1 关于从长方形的巧克力中切出正方形的小巧克力，可以看下面的示意图： 上图是一块5x6的巧克力分别切出1x1、2x2和3x3的示意图。切成1x1一共可以切出30块，切成2x2可以
8 月 24 日，Qemu更新安全补丁修复了一个虚拟机逃逸漏洞（CVE-2020-14364），此漏洞为QEMU USB模拟器中的数组越界读写造成，漏洞位于 ./hw/usb/core.c 中，当程序处理来自客户机的USB数据包时，如果在 do_token_in 与 do_token_out中'USBDevice->setup_len'超过了USBDevice->data_buf[4096]，则存在此问题。越界后读取某一个堆之后 0xffffffff 的内容，从而强行终止虚拟化进程，进而实现虚拟机逃逸。
研究人员惊恐地发现，在包括Red Hat和Debian在内的多个广泛使用的Linux版本中，一款压缩工具被悄悄植入了恶意代码！
遇见DDoS攻击的时，目前的防护技术中避免不了的会出现流量清洗过滤等词，客户都会很疑惑流量清洗，是怎么清洗的，会不会把正常的访问请求一起过滤清洗掉呢？这是站在客户角度最关心的一个问题，这种想法很正常，因为谁都不想损失客户嘛。那接下来分享下DDoS防御中流量清洗的技术方法吧。
经过昨天的测试，发现使用离线缓存的网站会被攻击。但是，不使用离线缓存的网站就真的不会受到这样的攻击么？ 据我理解，按照标准当浏览器请求manifest文件时，若没有请求到，或者文件发生改变，应当不使用缓存，进行缓存更新的，然而实验的结果并不总是这样。 （很郁闷相同的操作为啥有时候结果不一样，不过大部分还是造成了离线缓存攻击的效果。） 首先，拿百度主页做实验，用修改HOST文件的方式将百度主页离线缓存为其他内容（这里就可以加入恶意代码），再改回正常，表示回到正常的网络环境，主要要关闭浏览器，不然刷新百度其实还
意大利电信公司TIM的漏洞研究部门Red Team Research (RTR) 发现了2个影响爱立信 OSS-RC 的新漏洞。TIM RTR已向爱立信报告了这些漏洞。
我是在收到 CDN 流量耗尽的短信通知，我才发觉不对劲，因为我买的 CDN 流量是足够我网站撑好几个月的，结果没几天就没了。
通过了解 OSS 安全的基本要素，组织可以增强其有效管理风险和确保供应链安全的能力。
一个网站是否优秀，是否吸引用户。不仅仅在于内容的质量，网站打开速度快慢也是一个衡量网站是否优秀的重要指标。
如今，随着社会的快速发展，技术手段也是越来越强大高明。从最原始的恶劣生存环境到现在的自动化，一切都是质的飞跃。现下，智慧城市，智能机器人，智能家居等智能时代，同时交通条件中也出现了无人驾驶汽车，智能停车，智能泊车等。在这个发展的过程中谁都没想到黑客会把手伸向智慧停车系统。
这时突然发现第6关1处“now you’re here”全是小写，2处的“Let’s go”首字母进行了大写。看到这里我就想起了大小写过滤
◆ ◆ ◆ 序 经常有人问我，下一个5年，对互联网、移动互联网的安全来说，最大的威胁和挑战是什么。 我的答案很简单，就是IOT（Internet of Things，IOT，一般译为物联网）技术带来的第四次工业革命。 现在大家都在谈IOT，这的确是一个让人激动又让人期待的伟大趋势。到了IOT时代，我们所有能看到的、能想象到的各种各样的硬件，无论是汽车、家居，还是我们身上的可穿戴设备，甚至很多工业生产制造领域的设备都将实现智能化以及与网络的实时连接。并且在我看来，比3D打印技术更让人激动的是它会带来第四次工业
在迅速变化和发展的物联网市场，新的产品需求不断涌现，因此对于智能硬件设备的更新需求就变得空前高涨，设备不再像传统设备一样一经出售就不再变更。为了快速响应市场需求，一个技术变得极为重要，即OTA空中下载技术。
在这篇博文中，我们将深入介绍我们为设置 Istio 的连续模糊测试所做的工作。这项工作是与 Istio 维护人员和 Google 开源安全团队合作完成的。
Penpot 是第一个面向跨领域团队的开源设计和原型平台。它不依赖于操作系统，基于 Web，并使用开放标准 (SVG)。
本文将以深入浅出的方式对渗透该类犯罪站点时的一些注意事项作出讲解，希望能够对注焦于此的安全人员有所帮助。
最近我听到了很多关于如何签署开源软件发布的问题。一旦你解决了那些不可能解决的工具/加密问题，你很快就会意识到你仅仅触及了复杂性的表面。这些问题并不都是 OSS 特有的，但是社区驱动的项目确实面临一些超越技术和哲学领域的独特挑战。
导读：跨域资源共享(cors)可以放宽浏览器的同源策略，可以通过浏览器让不同的网站和不同的服务器之间通信。
此时我们直接运行是打不开的，提示移到废纸篓或者取消，这是因为上面提示过了The Apple Silicon (arm) version of mark-text is not signed
近日，腾讯安全云鼎实验室发现了通用软件包仓库管理服务 Nexus Repository Manager 3 存在访问控制缺失及远程代码执行漏洞（漏洞编号：CVE-2019-7238），并第一时间向 Sonatype 公司汇报，协助其修复漏洞。
上海经济7月份开始陆续恢复，一些在上海做APP项目的客户开始了一系列的营销推广和发展，在众多渠道推广下，用户下载安装APP的同时，一些安全上的漏洞频发，并被高级黑客给盯上，具体的数据泄露攻击的症状为：用户刚注册好的手机号、姓名、身份证号等信息就被泄露，不一会就会收到境外香港的电话推广和网络诈骗，并且有些用户的数据被恶意篡改，导致APP运营平台损失较大，比如一些用户借贷额度被篡改成20w的额度，APP项目方发现问题后立即找了APP安全应急响应服务团队Sinesafe进行了全面的安全应急响应服务，要求尽快找出漏洞问题的原因以及攻击进行溯源。
就在前段时间，NewsBlur的创始人SamuelClay在将MongoDB集群迁移到Docker容器过程中，一名黑客获得了NewsBlur数据库的访问权限，删除掉了250GB的原始数据，并要求他支付0.03 BTC的赎金。
最近电视、新闻、网站经常有讲到比特币，但普通人经常被比特币的各种信息搞得一头雾水，到底什么是比特币，它是谁开发的，它跟Q币有什么区别，它是不是一个庞氏骗局，它是不是一个击鼓传花的游戏，它会不会很容易就收到控制，等等。在这里，我试图从各个层面进行探讨，用一些通俗易懂的表达，来还原一个真实的比特币。
XSS，指的是跨站脚本攻击，是 Cross-site scripting 的缩写。
开源安全基金会（OpenSSF）宣布了 Siren，这是一项“聚合和传播针对开源项目特有威胁情报的合作努力”。该倡议是在 XZ Utils 入侵之后提出的，在该入侵中，开源项目显然需要更好的方式来传播和接收相关的威胁情报。与企业威胁情报平台（Threat Intelligence Platforms，TIPs）一样，Siren 将提供一个共享战术、技术和程序（Tactics, Techniques and Procedures，TTPs）以及入侵指标（Indicators of Compromise，IoCs）的地方。
xz-utils 是一款流行的压缩工具，在 Linux 系统中广泛使用，这表明了它在软件生态系统中的关键作用。2024 年 3 月 29 日发现的 xz-utils 后门使系统面临潜在的后门访问和远程代码执行风险。它特别针对使用 glibc、systemd 和已修补 OpenSSH 的系统上的 xz-utils 5.6.0 和 5.6.1 版本。…
IDS（intrusion detection system）入侵检测系统，旁路检测设备，工作在网络层，并行接在内网所需防护设备的链路上，通过抓取流量分析数据包，匹配规则库检测到恶意数据进行报警处理。
ASLR，应为全称为Address Space Layout Randomization，即地址空间布局随机化。它是一种概率性安全防御机制，由PaX团队于2001年正式提出，并在2005年开始引入到Linux内核之中。ASLR能够在每次运行可执行文件的时候通过基地址随机映射的方式来为其随机分配地址空间。ASLR存在的目的，就是为了防止那些需要了解内存地址来利用内存崩溃漏洞的攻击行为。
在这个黄金五年，CNCF组织依托kubernetes等开源项目推进现代云原生的发展，构建现代软件开发技术栈。
URL 在许多方面都是我们数字生活的中心，是我们与关键服务、新闻、娱乐等的链接。因此，浏览器、应用程序和服务器如何接收 URL 请求、解析它们和获取请求的资源的任何安全漏洞都可能给用户带来重大问题并损害对 Internet 的信任。
0x00:漏洞原理 todo 当tomcat使用了cluster功能共享session时,若同步端点可被访问,即可发生恶意序列化数据进行RCE. 0x01:严重级别 高级 0x02:影响范围 受影响的Apache软件基础版本： Apache Tomcat 10.0.0-M1至10.0.0-M4 Apache Tomcat 9.0.0.M1至9.0.34 Apache Tomcat 8.5.0至8.5.54 Apache Tomcat 7.0.0至7.0.1
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
