shuimugan 最近的时间轴更新 shuimugan 最近的时间轴更新 ONLINE |
shuimuganV2EX 第 83209 号会员，加入于 2014-11-23 14:34:54 +08:00今日活跃度排名 1604 |
https://blog.shuimugan.com/
| 某宝上出自深圳的 8550u/8650u 迷你主机到底如何?我加了 32G 内存+1.5T 固态后的使用体验 分享创造 • shuimugan • 2018-11-12 22:36:41 PM • 最后回复来自 shuimugan | 26 |
| 现在好多小商户都支持微信和支付宝了,但是很多时候都不会在自己手机上看,大都是让你扫码支付完的时候把付款成功的界面给他看,有没有坏人开始做生成付款成功界面图或者 app 去骗吃骗喝了?
1 随想 • shuimugan • 2016-11-15 13:09:15 PM • 最后回复来自 soli
|
28 |
| 发个小广告,做了个黑客闯关游戏,欢迎来玩 推广 • shuimugan • 2016-06-26 22:04:55 PM • 最后回复来自 but0n | 39 |
| 为什么文学作品中的设定经常被拿来举例?例如武侠小说中的内功与外功,小说/电影中人物的情感,生活等历程 随想 • shuimugan • 2016-03-25 22:17:15 PM • 最后回复来自 green15 | 6 |
shuimugan 最近回复了
55 天前 回复了 lisicong 创建的主题 › Android › 旧的安卓手机/平板如何再次超流畅？ |
@luckylo 两三年前的顶配 现在真不一定是入门。比如小米 6
58 天前 回复了 JerryV2 创建的主题 › 程序员 › 联想最近发布的 Y9000X 大家感觉怎么样，有想购买的同学吗？ |
32g 内存的版本 11 月出来，很诱人，10999 元有 32g 内存，2t 固态，4k
内存是板载的，建议一步到位上 32g
内存是板载的，建议一步到位上 32g
58 天前 回复了 Frank9621 创建的主题 › 深圳 › 给我家猫咪找一位靠谱的新主人 |
猫咪很可爱,希望能找到个好主人
71 天前 回复了 MaiKuraki 创建的主题 › 硬件 › 程序员想买一台方向键不挤在一起的笔记本就这么难吗？ |
是的,很难.
我的需求是屏幕起码 72%ntsc 色域,可扩展到 32g 内存,方向键大小一致,选了一大圈到后面买了 xps15
我的需求是屏幕起码 72%ntsc 色域,可扩展到 32g 内存,方向键大小一致,选了一大圈到后面买了 xps15
81 天前 回复了 8811 创建的主题 › 全球工单系统 › 自从买了两台小米电视，研究大半天，脑子炸了（电视没炸） |
电视投屏试了不少方案，个人建议用 steam link 串流
97 天前 回复了 FreeEx 创建的主题 › 分享创造 › 写了一个 web 方式访问 rdp/ssh/vnc 的网站，老哥们怎么看？ |
当然是支持啦!期待又一个开源堡垒机
111 天前 回复了 areless 创建的主题 › 程序员 › 开源框架的安全性问题，大家是如何妥善处理的 |
你提到的"因为熟悉，你知道那里怎么运行的"和安全问题其实没有很大的关联,安全问题主要是和人员的安全能力以及安全意识有很大的关系.
我就用回 PHP 举例,"根据用户输入的 url 发起请求"这个需求,不用轮子,只用内置 curl 函数,你可能觉得几行代码写出来的,然后呢?
对于这个 url 的检测,问题可多了.
先从协议开始,如果没校验协议,dict 协议可以用来探测内网无密码 redis,而 gopher 则可以构造出 FastCGI 协议,攻击 PHP-FPM,使其执行任意代码.
当 url 的域名指向内网的时候,则可以探测内网无保护的 http 服务,比如探测 Elasticsearch.
当你尝试先校验一下域名是否指向内网的时候,DNS-rebinding 了解一下?
在你没有安全技能和安全意识的情况下,就算你对自己的代码很熟悉,你也完全不知道漏洞在哪里.而当你有安全技能和安全意识的时候,你在开发对应功能的代码时,你就会自然而然地做很多防御手法,以及 review 你依赖的轮子它的内部实现.
最后,OpenRASP 的实现方式可以了解一下,通过和 runtime 结合的形式,对于函数的入参做检测,可以在 runtime 层做防御
我就用回 PHP 举例,"根据用户输入的 url 发起请求"这个需求,不用轮子,只用内置 curl 函数,你可能觉得几行代码写出来的,然后呢?
对于这个 url 的检测,问题可多了.
先从协议开始,如果没校验协议,dict 协议可以用来探测内网无密码 redis,而 gopher 则可以构造出 FastCGI 协议,攻击 PHP-FPM,使其执行任意代码.
当 url 的域名指向内网的时候,则可以探测内网无保护的 http 服务,比如探测 Elasticsearch.
当你尝试先校验一下域名是否指向内网的时候,DNS-rebinding 了解一下?
在你没有安全技能和安全意识的情况下,就算你对自己的代码很熟悉,你也完全不知道漏洞在哪里.而当你有安全技能和安全意识的时候,你在开发对应功能的代码时,你就会自然而然地做很多防御手法,以及 review 你依赖的轮子它的内部实现.
最后,OpenRASP 的实现方式可以了解一下,通过和 runtime 结合的形式,对于函数的入参做检测,可以在 runtime 层做防御
111 天前 回复了 areless 创建的主题 › 程序员 › 开源框架的安全性问题，大家是如何妥善处理的 |
如果你懂安全，自己用框架的时候顺便审计下就行了。
如果你不懂安全，自己造一个轮子，挖你的漏洞是很简单的事情
如果你不懂安全，自己造一个轮子，挖你的漏洞是很简单的事情
119 天前 回复了 y35u 创建的主题 › 分享创造 › 一个专注安全技术文章的订阅站 |
楼主站点的流量挺大的啊，我的乌云漏洞库镜像最近看到来源最多的就是这个导航
Select Language