首先，我们需要关注代码中的漏洞。由于ThinkPHP是一个开源框架，其代码可以被任何人查看和修改，这也给黑客们提供了攻击的机会。因此，我们需要在编写和使用ThinkPHP代码时，时刻关注可能存在的漏洞，并通过安全检测来确保我们的代码安全。
概要： 在软件开发领域，代码仓库的安全性至关重要。本文深入探讨了Git的安全实践，包括访问控制、加密传输、审计与监控、漏洞管理和安全意识提升等方面，旨在帮助读者构建一个安全可靠的代码仓库环境。
代码安全审计是查找代码中安全漏洞的方法。在“安全左移”的发展趋势下，代码审计逐渐成为确保代码质量的一个关键环节。代码安全审计通常可以分为：自动化审计和人工审计。
Fottify全名叫Fortify Source Code Analysis Suite，它是目前在全球使用最为广泛的软件源代码安全扫描，分析和软件安全风险管理软件，该软件多次荣获全球著名的软件安全大奖，包括InforWord, Jolt，SC Magazine，目前众多世界级的软件开发企业都在使用该软件方案在他们的开发团队中加速查找软件安全漏洞的效率，监视和
随着计算机信息技术的飞速发展，软件应用程序已经成为我们日常生活和工作的必需品。然而，人为因素的影响使得每个应用程序的源代码都可能存在安全漏洞，这些漏洞一旦被恶意利用，就可能对用户数据、企业资产乃至国家安全造成不可估量的损失。OWASP 发布的Web应用安全十大漏洞中，其中几项都与源代码缺陷相关。
腾讯安全云鼎实验室专注于云领域前沿安全技术研究与创新、安全漏洞研究和处置、云架构和解决方案规划设计、云标准化和合规体系建设等工作，拥有国内先进的研究环境和技术储备。
明鉴数据库漏洞扫描系统（简称：DAS-DBScan）是安恒在深入分析研究数据库典型安全漏洞以及流行的攻击技术基础上，研发的一款数据库安全评估工具。该产品融合了权威数据库安全专家数年的安全经验与技术积累，是专门用于扫描数据库漏洞的产品，能够扫描几百种不当的数据库配置或者潜在漏洞，具有强大的发现弱口令的功能。
专注于云软件安全的8种方法 1、云软件安全审查 云软件安全至关重要。例如，医疗保健：医生和其他医疗保健专业人员是云软件的最大用户之一，但最近的研究表明，超过15％被认为是在安全漏洞的高风险下运行，一
「软件供应链是将“原材料”（代码）进行加工（修改、编译等）交付（分发或再分发）给用户的过程。」 「软件供应链安全指在软件设计与开发的各个阶段中来自本身的编码过程、工具、设备或供应链上游的代码、模块和服务的安全，以及软件交付渠道安全的总和。软件供应链因其复杂多样且攻击简单的特点，极易成为攻击者的攻击目标」
安装并配置SSL/TLS证书，确保网站支持HTTPS协议。这会在客户端与服务器之间建立加密连接，保护用户数据在传输过程中的私密性和完整性。
公司上市不到两周，便遭受到了黑客攻击，其中笔者团队的验证码比较容易识别，攻击者通过ORC识别刷了10几万的短信，除了造成一笔资金开销外，也给服务器带来了很大的压力；
公共云服务解决方案仍然还将继续保持其强劲的增长势头，因为他们可以快速的实现部署实施，有比私有云更低的成本，而且仅仅只需企业组织的IT工作人员提供最少的支持。然而，无论任何时候，只要是多个客户共享一个资源，包括诸如一项服务、硬件、或数据存储都总是存在风险的。而在本文中，我们将为广大读者朋友们介绍关于在多租户环境下保护您企业的数据和工作流程的可操作的技巧。 根据一家领先的安全产业集团云安全联盟所发表的一份白皮书介绍说，云服务供应商和他们的企业客户必须采取相应的措施，以确保攻入某一个客户环境中的攻击者不能危害到其
Oracle解决了其电子商务套件（EBS）业务管理解决方案中的两个安全漏洞，这些漏洞可能使攻击者能够进行广泛的恶意活动，包括篡改组织的财务记录。
SonarSource SonarQube是瑞士SonarSource公司的一套开源的代码质量管理系统。SonarQube 8.4.2.36762版本存在安全漏洞，攻击者可利用该漏洞通过api设置值URI发现明文SMTP、SVN和GitLab凭证。
道理千万条，安全第一条。系统的安全性直接关联到企业的数据完整性、客户信任以及品牌声誉，是企业可持续发展的基石。安全漏洞可能导致敏感信息泄露、财产损失和法律责任，对企业造成长远的负面影响。因此，确保业务系统的安全是防范风险、维护企业稳定运营的必要条件。
大家都还记得，前一段时间发生的BEC智能合约的安全漏洞问题。近日，智能合约安全问题再次上演，火币Pro发布公告，暂停EDU冲提币业务，随后EDU智能合约被爆出存在严重漏洞！ 在智能合约漏洞频出的背景下，我们利用形式化验证工具对上百个智能合约进行深入分析，又发现一个存在严重安全漏洞的智能合约——RMC代币合约！ 这一漏洞造成的影响是，直接把曾经市值300多万美元的RMC和一度飙到0.08美元的UET（UselessEthereumToken），变得一文不值！ RMC漏洞发现细节 下图是RemiCoin (R
以太坊智能合约是极为灵活的。它能够存储超过非常大量的虚拟货币（超过十亿美元），并且根据先前部署的智能合约运行不可修改的代码。 虽然这创造了一个充满活力和创造性的生态系统，但其中包含的无信任、相互关联的智能合约，也吸引了攻击者利用智能合约中的漏洞和以太坊中的未知错误来赚取利润。 智能合约代码通常无法修改来修复安全漏洞，因此从智能合约中被盗窃的资产是无法收回的，且被盗资产极难追踪。 由于智能合约问题而被盗取或丢失的价值总额很容易超过 10 亿美元。
此部分学习Java代码审计基础所涉及的知识点，不仅学习了Java代码基础，还为后续拓展学习Java代码审计打下了基础。
GnuTLS库中的一个源代码错误可能证明是对Linux用户隐私的一个严重威胁，因此开发者紧急修复这个安全漏洞。GnuTLS库是大量的不同Linux发布版软件用于处理安全互联网连接的一个开源软件构件。 GnuTLS开发者Nikos Mavrogiannopolous本周一在一个邮件列表消息中宣布，他已经对源代码使用了补丁，修复了这个漏洞。这个漏洞能够让攻击者在验证证书的时候欺骗GnuTLS的系统，把安全的连接暴漏给窃听者。 通过创建一个具体类型的假冒证书，攻击者能够欺骗GnuTLS接受它为真正的证
为什么很多网站系统都存在这个安全漏洞，这里面我所指的一些网站都是一些小公司的，或者是一些个人的网站系统，比如说像阿里、腾讯、百度这些大公司，他们因为有自己的开发团队和相关的这个安全人员，他们的漏洞相对就非常非常的少。那么一个网站的话，一旦存在这个安全漏洞，它就有可能会造成巨大的这个经济损失。一般出现这个安全漏洞的网站的话，它会导致这个数据被恶意的去修改，或者是一些敏感的数据被盗取，从而造成经济的损失。
近日，由 Mozilla 开源支持计划 (MOSS) 资助、网络安全公司 Radically Open Security (ROS) 开展的一次独立安全审计结果显示，iTerm 2 中存在一个严重的远程代码执行 (RCE) 漏洞，且至少已存在 7 年。
软件供应链安全，它覆盖整个软件生命周期过程(可分为开发、交付、使用三大环节)，单从软件产品的复杂性来说，除了保障软件项目自身的安全之外，还需包括每个项目的依赖关系与可传递依赖关系，以及这些关系链所组成的软件生态系统的安全。
软件产品在完成研发后不仅要对业务功能进行功能测试来评判其是否符合需求方的实际需求，同时也需要对产品进行安全测试来检测产品整体的安全性，在SDL流程中产品要想达到发版标准不仅需要满足产品经理和项目经理既定的预期功能业务目标，也要达到安全质量标准
随着IT技术和业务的发展，以及各式各样安全漏洞的涌现，运维与安全这两个专业日渐交融，人们对运维安全的重视程度越来越高，出现了一个新的交叉领域叫“运维安全”。黑客、白帽子忙于挖掘运维安全漏洞，企业忙于构建运维安全体系，一时间无数漏洞纷至沓来，座座堡垒拔地而起。作者立足自身多年运维安全实践，也来探讨一二。本文按照提出问题到回应答案的思路，先抛出作者对运维安全的理解，并解释了重视运维安全的原因。接着根据在运维安全一线发现的工作陋习以及企业面临的常见问题，整理出通用运维安全问题分类。之后对症下药，提出一个好的运维安全形态：不仅在于工程师们的安全意识，更在于一套相对完整的运维安全体系，从流程到技术，点线面多位一体共同缔造。
漏洞扫描器可以快速帮助我们发现漏洞，如SQL注入漏洞、CSRF、缓冲区溢出等。下面就介绍几种常用的漏洞扫描工具。
著名安全专家James Forshaw发现了TrueCrypt中的两个重要漏洞，这两个漏洞存在于TrueCrypt安装在Windows系统上的驱动程序中。此外，如果攻击者能够控制一个受限的用户账户，那么他可以利用这个安全漏洞在系统中进行权限提升。 TrueCrypt中发现两个严重漏洞 对于那些打算使用TrueCrypt软件来加密他们硬盘的Windows用户来说，这是一个很糟糕的坏消息，因为谷歌Zero项目团队的安全研究员James Forshaw在TrueCrypt中发现了两个严重漏洞。 尽管TrueC
在技术和工程领域中，"Safety"（功能安全性）和 "Security"（信息安全保障）是两个关键概念，它们虽然听起来相似，但代表着不同的关注点。尤其是中文翻译，这两个英文单词都被翻译为「安全」一词，所以会让一些人造成一些困惑。
最近发现大家都在讨论一个人的安全部这个话题，两年前在某A轮互联网公司（80人左右的研发团队）做过一段一个人的安全部的经验就简单分享自己的经验。之前也在FreeBuf看到过很多关于这方面的规划设计的方案，私下觉得这样的规划是建立一些标准的信息安全体系之上的比较全面，真正的落地起来往往需要大量的人力物力和财力，很多一个人的安全部往往没有这么多预算只希望以最小的代价做好安全工作。
用户使用了公有云后，存在安全责任的边界。就像客户使用了云桌面，中病毒、删除驱动造成无法登陆等问题出现， 都会联系到云服务商进行处理。安全责任边界的清晰，将使云等保测评中，双方对维护、投资、整改、测评的边界有明确的界定。
渗透测试人员应能理解安全弱点，将之分类并按照风险等级（高危、中危、低危、信息泄露）
灰盒web安全检测 在传统的应用测试方法中, 灰盒测试是介于白盒测试与黑盒测试之间。灰盒web安全检测依然遵循灰盒测试概念, 但只关注代码实现的安全部分。web应用代码层面的安全问题或安全漏洞绝大部分
定期审计代码库是发布安全软件的一个重要过程。对于依赖于来自各种贡献者的代码的开源项目，审计可能特别重要。我们很高兴地宣布Falco首次安全审计的发布，这是Falco作为CNCF沙箱项目参与完成的。非常感谢CNCF对审计工作的赞助，也非常感谢Cure53团队对审计工作的支持。
渗透测试是指安全工程师通过模拟恶意攻击者的技术做法，对目标网站/系统/主机的安全防护系统进行深入测试，从而发现安全隐患的评估方法。安全工程师在进行渗透测试时，会使用各种安全审计工具来检测目标系统是否包含已知的各种漏洞。渗透测试完成后，安全工程师会以报告的形式列出系统中存在的安全问题，并对这些安全问题进行评估，最终为用户提供解决这些安全问题的技术解决方案。渗透测试有助于提高用户系统的安全性，已成为系统安全评估的重要组成部分，已普遍使用于各行各业。
代码审计（Code audit）是一种以发现程序错误，安全漏洞和违反程序规范为目标的源代码分析。软件代码审计是对编程项目中源代码的全面分析，旨在发现错误，安全漏洞或违反编程约定。它是防御性编程范例的一个组成部分，它试图在软件发布之前减少错误。C和C ++源代码是最常见的审计代码，因为许多高级语言（如Python）具有较少的潜在易受攻击的功能（例如，不检查边界的函数）。
漏洞详情：Hadoop是一款由Apache基金会推出的分布式系统框架，它通过著名的 MapReduce 算法进行分布式处理，Yarn是Hadoop集群的资源管理系统。此次事件主要因Hadoop YARN 资源管理系统配置不当，导致可以未经授权进行访问，从而被攻击者恶意利用。攻击者无需认证即可通过REST API部署任务来执行任意指令，最终完全控制服务器。
前阵子有篇文章叫《史上最坑爹外包！花费2亿耗时2年，网站至今未交付》的热文在IT圈刷了屏，讲的是世界顶级咨询公司埃森哲为美国汽车租赁公司赫兹开发新网站和移动应用程序的外包项目烂尾了，后者无奈之下诉诸公堂，从而让这个惊天大瓜暴露在世人面前，我们注意到，该项目代码存在影响面极广的严重安全漏洞，也让其难以投入使用。
Lynis 是Unix/Linux等操作系统的一款安全审计工具，它可以发现基于Linux系统中的恶意软件和安全漏洞。Lynis是免费开源的服务器审计工具，一旦审计完成，我们可以审查结果、警告和建议，然后我们可以根据它实现我们的安全策略。它将显示一个报告，该报告可以被分成几个部分。
如果要选择一款企业级静态源代码安全扫描工具，那么Gartner 2021应用程序安全测试 (AST) 魔力象限，就可以给我们在产品选型提供很重要的参考。
以太坊智能合约的含义就是一组代码（函数）和数据（合约的状态），它们位于以太坊区块链的一个特定地址上。智能合约一般使用solidity语言编写。
👆点击“博文视点Broadview”，获取更多书讯 看待事物，当下的总是比过去的或未来的更容易看清，表象总是比内在要分明，简单的结果总是比构成的机理和过程更容易理解。 在网络安全领域，最早展现在我们面前的是网络安全体系建设问题。 这些当下的、相对静态的、结果表象的领域，其基本方法、技术和产品完全称得上丰富多彩，围绕它们的产业也很发达。 网络安全围绕这个最初的落脚点，向更具挑战的方向发展，有宏观的方向，有对抗的方向。 而在系统生命周期这个时间坐标轴上，有了两个挑战性的方向：安全右移、安全左移。安全右移就
「人物志」为区块链大本营（ID：blockchain_camp）着力打造的人物栏目，以「趣味而不失专业，可读而不失深度」为宗旨，每期邀请区块链领域的顶级专家和开发者就行业、投融资、开发、案例、项目实践等展开探讨。 作为以太坊生态的核心，智能合约这几年发展迅速。最早的智能合约，可以追溯到1995年，由密码学家尼克萨博首次提出。智能合约在多方参与、复杂交易的场景中有明显优势。 然而，近期随着智能合约安全问题的频繁出现，智能合约的劣势也愈发明显，包括智能合约如何对实体资产进行控制，从而保证其有效地执行合约；以及如
代码审计（Code audit）属于高级渗透测试服务，但代码覆盖率能达到100%，是一种以发现程序错误，安全漏洞和违反程序规范为目标的源代码分析，能够找到普通安全测试所无法发现的安全漏洞。代码审计的操作需要运作在企业安全运营的场景当中，安全工程师需要了解整个应用的业务逻辑，才能挖掘到更多更有价值的漏洞。
2020年，CVE Details的数据显示，平均每天发现50个新的漏洞。因此，采取防护措施保护Web应用程序对企业安全的至关重要。本文将探索七种最佳实践给予Web应用程序最安全的保护。
ITIL 是一套 ITSM 最佳实践体系，能够提高 IT 部门用户满意度和运行效率。它提供了针对 IT 活动的实践，可以被组织应用于战略、价值交付和能力维持。它允许组织建立一个基线，用于计划、实施和测量，证明合规性和衡量改进。虽然 ITIL 建立了 ITSM 的“游戏规则”，但它只告诉你最好做什么事，具体落地层面的流程实践需要根据不同的组织进行定制化和优化。
XSS（Cross-Site Scripting）攻击是前端安全中的一个重要问题，它发生在攻击者能够注入恶意脚本到网页中，这些脚本在用户浏览器中执行时可以获取用户的敏感信息，例如会话令牌、个人信息等。防御XSS攻击通常涉及以下几个策略：
随着互联网的发展，网站黑客攻击日益增多，网站安全成为一项重要的任务。预防网站被黑是非常重要的，但即使采取了各种安全措施，也不能完全排除被黑的风险。本文将介绍如何预防网站被黑的措施，以及在网站被黑后的应对措施。
- 这一泄露的代码属于iOS 9版本，但许多部分在更新版本中仍然存在或未有重大变化。
SAST（静态应用安全测试）是指不运行被测程序本身，仅通过分析或者检查源程序的语法、结构、过程、接口等来检查程序是否存在安全漏洞。在腾讯，Xcheck 就是我们自研的一个 SAST 工具。
随着云原生应用在现代软件开发中的广泛应用，数据的安全性和保护变得至关重要。云原生应用的设计和架构带来了许多独特的挑战，但也提供了新的机会来改进数据的安全性。本文将探讨云原生应用安全性的问题，提供解决方案和最佳实践，并分析如何解锁云上数据的保护之道。
对于容器安全性，你会发现许多开源工具可以帮助防止像特斯拉那样遭受Kubernetes集群破坏的另一场崩溃。但容器安全性仍然很棘手，因此您需要知道要添加到您的库中的实用程序。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
