checkmarx的安装使用笔记 1.checkmarx服务和部署 1.1)如果是专用的代码扫描服务器可以不用管下面的命令 相关服务全部启用,重启生效 sc config MSSQL$SQLEXPRESS start= auto sc config SQ....
注意以下配置!参考地址:https://docs.dependencytrack.org/getting-started/deploy-docker/ #前端防止跨域问题,最后不能有一个/ - ALPINE_CORS_ALLOW_ORIGIN=http://172.30.11.11:8080 #...
基础理论 污点传播模型: DevSecOps有三大法宝: 代码扫描SAST 插桩分析IAST 流量扫描DAST 复习下污点追踪的知识(我抄的): source 是指漏_洞污染链条的输入点,比如获取http请求的入参 si...
每次教别人的时候,我发现自己总是能莫名其妙学到新的东西,可能是天之道损有余而补不足吧,教别人的同时上天就会安排机缘教给你东西。 今天在带教实习生的时候为了证明网络安全人员学习编程...
注意:不登录oschina不能看到博文图片,请海涵 最近看到一些基于机器学习的语义防护设计,我觉得非常强横, 可惜的是此类产品还是需要人工微调特征以不断适应数据库的SQL语句演变 通过调查,...
一、WAF拦截思路 开源的waf比较优秀的是modsecurity,其规则库为coreruleset https://github.com/coreruleset/coreruleset 在上图中我们可以看到coreruleset对请求包(request)和响应包(resp...
参照上文的内容 https://my.oschina.net/9199771/blog/5582107 1)使用 java 原生代码 public static Boolean checksqli(String sql) { if (sql == null || sql.length() <= 5) { re......
书接上文《安全中间件的设计思路和简单实践》: https://my.oschina.net/9199771/blog/5417127 当时写完之后感觉意犹未尽,内心觉得很多实现方案其实可以进一步强化。 之后又遇到了中国X科院...
1)ESAPI的研究 https://community.microfocus.com/cyberres/fortify/w/fortify-product-announcements/39510/micro-focus-fortify-software-security-content-2020-update-2 中提到下文 翻译...
我认为网络安全的攻防对抗就是一个十字坐标上的对抗 1)攻击人员关注的就是 source -> sink 的数据流动过程中,是否存在攻击的机会,而攻击时bypass的重点就是sanitize是否足够严密 2)对应的...
首先研究表达式引擎的安全问题,主要通过对比st2的ognl表达式注入和el表达式注入,我们来看看目前java安全的一些情况。 1)ognl表达式 ognl表达式注入漏洞主要出在st2这个开发框架上,我们先...
参考地址: https://developer.aliyun.com/article/574406 https://mp.weixin.qq.com/s/Whta6akjaZamc3nOY1Tvxg#at https://github.com/4ra1n/FindShell https://blog.csdn.net/lff0305/arti...
原文链接:https://mp.weixin.qq.com/s/2wKB3jACAkIiIZ96tVb5fA 1)首先为了方便,我搞了一个springboot项目,package的名字为 com.example 2)编译代码到class文件 https://github.com/k4n...
Struts 2是一款不错的开发框架。虽然它历史漏洞有点多,不过仔细看看其中不少漏洞其实利用性不高,主要还是st045之前的几个漏洞有通用性 最近爆出的st062(CVE-2021-31805)其实是之前061(CVE...
1)搭建靶机使用常用的DVWA + phpstudy组合 2)到以下地址下载 mod_security https://www.apachelounge.com/download/ 3)打开压缩包后,先安装第一个目录 4)依照ReadMe.txt 如下图 将mod_s...
from sympy import * x = Symbol('x') y = Symbol('y') z = Symbol('z') print(solve([2 * x - z - 5, 2 * y - z - 19, x + y + z - 94],[x, y, z]))......
java代码审计规范: https://gitee.com/9199771/sec_coding/blob/master/sec_coding.md 漏洞扫描 主动扫描: goby https://gobies.org/ (或者盗版的Nessus、awvs、appscan) 被动扫描: xr...
最近安全中间件慢慢走热,而技术设计类似的rasp技术火热的同时却面临推广落地的问题: rasp的侵入式特性和拦截特性导致开发和运维普通不太愿意配合,当生产环境出现问题时往往第一时间先把责...
国内的大量自主知识产权的代码扫描工具都是套壳fortify,那么今天就教教大家这个操作是怎么实现的。 首先请看以前我的记录 https://my.oschina.net/9199771/blog/3096603 的第五章 本文以这个...
没有更多内容
加载失败,请刷新页面
文章删除后无法恢复,确定删除此文章吗?
动弹删除后,数据将无法恢复
评论删除后,数据将无法恢复