摘要：SSRF (Server-Side Request Forgery，服务器端请求伪造)是指由攻击者构造请求，然后利用服务器的漏洞以服务端的身份向内网发送请求对内网发起攻击。 本文分享自华为云社区《GaussDB(DWS)安全测试之SSRF漏洞》，作者： ACBD。 1. 什么是SSRF漏洞 S
通过分析经典模糊测试工具AFL的实现原理，找到了若干个制约其效率的瓶颈所在。
通过实操演练，深入浅出、快速吃透反序列化漏洞的根本原理。
近日，华为云正式发布CodeArts Inspector漏洞管理服务。
相信大部分读者跟我一样，每天都在写各种API为Web应用提供数据支持，那么您是否有想过您的API是否足够安全呢？ Web应用的安全是网络安全中不可忽视的关键方面。我们必须确保其Web应用与后台通信的安全，以防止数据泄露，因为这可能导致重大的财务损失和声誉受损。 而在Web应用的安全问题中，最常见的漏
问题描述 在安全级别要求高的公司中，任何系统都会进行安全扫描。比如Azure 云上的Redis服务，也在扫描的范围中，最后发现Redis 4.0存在以下漏洞： CVE-2019-10192：https://nvd.nist.gov/vuln/detail/CVE-2019-10192 CVE-201
上一篇介绍了SQL注入漏洞，今天我们来介绍另一个注入漏洞，即XSS跨站脚本攻击。XSS 全称(Cross Site Scripting) 跨站脚本攻击， 是Web应用中常见的漏洞。指攻击者在网页中嵌入客户端脚本(一般是JavaScript)，当用户浏览此网页时，脚本就会在用户的浏览器上执行，从而达到
对于堆溢出，有很多漏洞可以和它打配合，可以说是堆里面很常见的漏洞，常见的有off_by_null,House系列（后续学习到了会继续更新这个系列），unlink，等等。 今天来看一个，堆溢出修改指针，导致libc泄露以及通过指针来修改got表的题目。 题目连接我放下面了，对堆有兴趣的可以去看看✔
Web攻击中的安全配置错误漏洞是一个重要的安全问题，它涉及到对应用程序、框架、应用程序服务器、Web服务器、数据库服务器等组件的安全配置不当。这类漏洞往往由于配置过程中的疏忽或错误，使得攻击者能够未经授权地访问系统数据或执行系统功能。 安全配置错误类漏洞是指在对Web应用及相关组件进行安全配置时，由
Table of Contents 黑客词典：什么是旁道攻击？ Meltdown Redux：Intel缺陷使黑客窃取了数百万台PC的秘密 三重熔毁：有多少研究人员同时发现了20年的芯片缺陷 KAISER：从用户空间隐藏内核 迟到的Meltdown/Spectre分析 黑客词典：什么是旁道攻击？ h
本文基于笔者对doop静态程序分析框架源代码和规则学习，并结合对目前漏洞公开技术细节的学习，修改增强doop app only模式下的分析规则后，实现通过doop工具识别commons text rce漏洞（CVE-2022-42889）。内容包含三部分，第一部分简单介绍doop分析框架，第二部分简单介绍commons text漏洞的原理和代码调用栈，第三部分重点介绍如何改造doop app on
# web攻防--xxe实体注入 ## 漏洞简介 XML 外部实体注入（也称为 XXE）是一种 Web 安全漏洞，允许攻击者干扰应用程序对 XML 数据的处理。它通常允许攻击者查看应用程序服务器文件系统上的文件，并与应用程序本身可以访问的任何后端或外部系统进行交互。 在某些情况下，攻击者可以利用 X
# web攻防--PHP反序列化 ## 漏洞简介 序列化：把对象转换为字节序列的过程，即把对象转换为可以存储或传输的数据的过程。例如将内存中的对象转换为二进制数据流或文件，在网络传输过程中，可以是字节或是XML等格式。 反序列化：把字节序列恢复为对象的过程，即把可以存储或传输的数据转换为对象的过程。
# __wakeup()魔术方法绕过（CVE-2016-7124） ## 漏洞简介 在php反序列化数据过程中，如果类中存在__wakeup方法，调用 unserilize() 方法前则先调用__wakeup方法，当序列化字符串中表示对象属性个数的值大于 真实的属性个数时会跳过__wakeup的执行
JNDI注入 什么是JNDI JNDI全称为 Java Naming and Directory Interface（Java命名和目录接口），是一组应用程序接口，为开发人员查找和访问各种资源提供了统一的通用接口，可以用来定义用户、网络、机器、对象和服务等各种资源。 JNDI支持的服务主要有：DNS
摘要：本文介绍了SpEL表达式以及常见的SpEL注入攻击，详细地介绍了部分漏洞攻击实例以及常用的漏洞检测与防御手段。 本文分享自华为云社区《SpEL表达式注入漏洞分析、检查与防御》，作者：华为云软件分析Lab。 在安全角度来看外部来源的数据，均应视为不可信数据，对外部数据，其包含的所有信息都须经过校
在 Web 安全中，服务端一直扮演着十分重要的角色。然而前端的问题也不容小觑，它也会导致信息泄露等诸如此类的问题。在这篇文章中，我们将向读者介绍如何防范Web前端中的各种漏洞。
在最近几年，这是最常见的，最具影响力的攻击。这个领域最常见的漏洞是不对敏感数据进行加密。在数据加密过程中，常见的问题是不安全的密钥生成和管理以及使用弱密码算法，弱协议和弱密码。特别是使用弱的哈希算法来保护密码。在服务端，检测数据传输过程中的数据弱点很容易，但检测存储数据的弱点却非常困难。 敏感数据泄
在本文中，我们的目标是在扫描大规模源代码漏洞时实现可扩展性和准确性,我们提出了一个新颖的想法，可以在保留程序细节的同时有效地将函数的源代码转换为图像,我们还对一个超过2500万行代码的案例进行了研究，结果表明VulCNN可以检测到大规模漏洞。通过扫描报告，我们终于发现了 73 个 NVD 中未报告的...
#背景介绍：G端项目经常收到相关漏洞但有时升级最新版本（8.8p）还是会有相关漏洞（CVE-2020-15778)，只能禁用相关命令或修改版本号 #漏洞名称OpenSSH 命令注入漏洞(CVE-2020-15778) #详细描述OpenSSH（OpenBSD Secure Shell）是OpenBS
