长期以来，安全问题一直被当作软件开发流程中的最后一步。开发者贡献可以实现软件特性的代码，但只在开发生命周期的测试和部署阶段考虑安全问题。随着盗版、恶意软件及网络犯罪事件飙升，开发流程需要做出改变。 开发过程中的“安全左移”是指将安全问题作为每个开发迭代和冲刺的重要组成部分。诸多组织正在系统地将安全实
容器凭借其经济高效的优势改变了应用程序的交付方式，随着容器的普遍使用，管理应用程序基础设施的 IT 劳动力和资源也显著减少。然而，在保护容器和容器化生态系统时，软件团队遇到了许多障碍。尤其是习惯于更传统的网络安全流程和策略的企业团队。从理论上来说，容器看起来似乎能够提供更好的安全性，因为容器将应用程
学习&转载文章：多方安全计算(3)：MPC万能钥匙-混淆电路 前言 我们在讲解不经意传输（Oblivious Transfer，OT）的文章（安全多方计算(1):不经意传输协议）中提到，利用n选1的不经意传输可以解决百万富翁问题（两位富翁Alice和Bob在不泄露自己真实财富的情况下比对出谁更有钱）
学习&转载文章：多方安全计算(4)：MPC万能积木-秘密共享 前言 在之前的文章（多方安全计算(3)MPC万能钥匙：混淆电路中，我们对MPC中一类通用方案混淆电路（GC）与密文比较策略做了介绍。混淆电路通过将任务抽象为电路以及对基础电路提供加密方案达到了万能钥匙的效果。在姚期智先生提出GC方案不久后
学习&转载文章：多方安全计算(6)：MPC中场梳理 前言 诚为读者所知，数据出域的限制约束与数据流通的普遍需求共同催生了数据安全计算的需求，近一两年业界又统将能够做到多方数据可用不可见的技术归入隐私计算范畴。粗略来说，隐私计算可分为以联邦学习为代表的机器学习类升级方案、以可信硬件为基础的可信执行环境
转载：腾讯安全杨光夫：从实战、智能化安全运营出发，实现安全免疫力建设进阶 腾讯安全积累了AI能力、威胁情报能力、攻防对抗三大原子能力。 攻防体系架建设 以攻促防的攻防体系建设进阶，核心要解决的痛点是发现和感知安全威胁的存在及可能性、解决资产暴露面问题、满足企业自主创新要求。 在流量检测与响应上，腾讯
前言： 今天发现前段时间自己搭建的一个系统的MongoDB数据找不到了，觉得很奇妙，然后登上MongoDB数据库发现多了一个名为READ__ME_TO_RECOVER_YOUR_DATA的数据库，里面还有一个README的集合里面包含了下面描述的勒索信息。没错我的MongoDB数据库被攻击了，不过还
最近在折腾rust与数据库集成，选了Tidb Cloud Serverless Tier 作为数据源。Tidb 无疑是近五年来最优秀的国产开源分布式数据库，Tidb Cloud Serverless Tier作为pingcap旗下的云产品方便又经济，这次使用还有一些小惊喜。
开源为我们的开发带来了极大便利，但这些便利也伴随着一些安全隐患。每当项目引入一个库、框架、服务时，随之而来的安全风险也不可忽视。 所以，当开源吞噬世界的时候，代码安全就更得重视了。今天 HelloGitHub 就给大家带来了 10 款关于安全主题的开源项目，涵盖了编码安全、Web 安全、工具三个方面
摘要：多线程访问了共享的数据,会产生线程安全问题。 本文分享自华为云社区《多线程安全问题原理和解决办法Synchronized和ReentrantLock使用与区别》，作者：共饮一杯无。 线程安全问题概述 卖票问题分析 单窗口卖票 一个窗口(单线程)卖100张票没有问题单线程程序是不会出现线程安全问
摘要：华为开发者大会2023（Cloud）期间，华为云面向全球行业领袖、技术专家、社区大咖，举办“99%安全事件5分钟内闭环——华为云安全运营创新与实践”专题论坛。 在华为开发者大会2023（Cloud）期间，华为云面向全球行业领袖、技术专家、社区大咖，举办“99%安全事件5分钟内闭环——华为云安全
这篇文章讨论了认证和授权的概念，并探讨了设计权限认证框架的原则。它还比较了Cookie和Session的区别，并探讨了处理分布式部署时的Session保存问题。此外，文章还介绍了CSRF攻击及其防范方法，以及OAuth2.0、JWT令牌和SSO的概念。最后，文章提出了设计开放授权平台时需要考虑的因素。
在Web安全领域，不足的日志记录和监控是一个重要的安全隐患，它可能导致攻击者能够更隐蔽地进行攻击，同时增加了攻击被检测和响应的难度。以下是对Web攻击中不足的日志记录和监控漏洞的详细介绍。 一、日志记录不足的问题 日志缺失或不完整 关键操作未记录：如用户登录、敏感数据访问、系统管理员操作等关键操作未
在最近几年，这是最常见的，最具影响力的攻击。这个领域最常见的漏洞是不对敏感数据进行加密。在数据加密过程中，常见的问题是不安全的密钥生成和管理以及使用弱密码算法，弱协议和弱密码。特别是使用弱的哈希算法来保护密码。在服务端，检测数据传输过程中的数据弱点很容易，但检测存储数据的弱点却非常困难。 敏感数据泄
在Web应用程序中，安全性是一个至关重要的方面。Spring Security是Spring框架的一个子项目，用于提供安全访问控制的功能。通过集成Spring Security，我们可以轻松实现用户认证、授权、加密、会话管理等安全功能。本篇文章将指导大家从零开始，在Spring Boot项目中集成S
在Web安全中，失效的访问控制（也称为权限控制失效或越权访问）是指用户在不具备相应权限的情况下访问了受限制的资源或执行了不允许的操作。这通常是由于Web应用系统未能建立合理的权限控制机制，或者权限控制机制失效所导致的。 危害 数据泄漏：攻击者可能通过越权访问获取敏感数据，如用户个人信息、财务数据、家
大多数身份和访问管理系统的设计和实现，普遍存在身份认证失效的问题。会话管理是身份验证和访问控制的基础，并且存在于所有有状态的应用程序中。攻击者可以使用指南手册来检测失效的身份认证，但通常会关注密码转储，字典攻击，或者在类似于钓鱼或社会工程攻击之后，发现失效的身份认证。 确认用户的身份，身份验证和会话
上一篇介绍了SQL注入漏洞，今天我们来介绍另一个注入漏洞，即XSS跨站脚本攻击。XSS 全称(Cross Site Scripting) 跨站脚本攻击， 是Web应用中常见的漏洞。指攻击者在网页中嵌入客户端脚本(一般是JavaScript)，当用户浏览此网页时，脚本就会在用户的浏览器上执行，从而达到
注入漏洞通常是指在可输入参数的地方，通过构造恶意代码，进而威胁应用安全和数据库安全。常见的注入漏洞包括：SQL注入和XSS跨站脚本攻击。 这篇文章我们主要讲SQL注入，SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加
在移动设备测试和远程协助的过程中，能够远程查看和协助iPhone设备是一项非常实用的功能。为了解决这一需求，我开发了一款名为**iOS远程大师**的产品，允许用户通过H5后台界面查看和协助越狱或非越狱的iPhone设备。本文将详细介绍iOS远程大师的开发过程和技术实现。
