物理攻击 攻击者通过各种技术手段绕开物理防护体系，进入受保护的场所获取或破坏信息系统中受保护信息的攻击方式
网站最头痛的就是被攻击，常见的服务器攻击方式主要有这几种：端口渗透、端口渗透、密码破解、DDOS攻击。其中，DDOS是目前最强大，也是最难防御的攻击方式之一。
近日，卡内基梅隆大学和safe.ai共同发表的一项研究表明，大模型的安全机制可以通过一段神秘代码被破解。
本文分享论文『Boosting Black-Box Adversarial Attacks with Meta Learning』，元学习提高黑盒对抗攻击。
在信息安全中渗透测试方向，OWASP Top10是渗透测试人员必须要深入了解和学习的，今天我们来深入了解和学习下OWASP发布的以往最重要的两个版本，研究下我们IT行业从业人员最容易引入的漏洞，后续文章将更新具体的漏洞原因，场景，防护手段，提升我们的应用抗风险能力。应用程序安全风险。 攻击者可以通过应用程序中许多的不同的路径方式去危害企业业务。每种路径方式都代表了一种风险，这些风险都值得关注。
最近几年安全界关于对抗学习的研究如火如荼，对抗样本的生成技术发展迅速。使用不同的对抗攻击方法可以生成对抗样本，不同攻击方法的攻击效果也有所不同。 另外关于对抗样本攻击的防御方法，已经有不少学者提出了一些解决方案，不过防御效果上还有提升空间。下图是关于对抗学习经典的应用场景，攻击者利用对抗样本攻击方法对关于熊猫的图片进行微小的修改从而使深度学习图像识别模型失效，误以为图片中的是长臂猿。这种攻击手段已经在本文之前已经进行过讨论。
DNS作为互联网的基础服务和入口，对站长的重要性不言而喻。然而在中国，或者说世界范围来讲，DNS正在面临越来越严重的安全威胁，针对DNS服务的攻击也越来越严重。DNS攻击具体表现就是攻击流量越来越大、攻击手段越来越新颖。 DNSPod为了保障用户的解析服务，这两年也做了很多相应的工作来应对这些攻击。 DDoS 虽然Anonymous没能黑掉13个根域名服务器，不过年初Spamhaus受到300G的攻击，攻击流量之大史无前例，对整个欧洲的互联网都造成了很大的影响。Spamhaus攻击是通过大量的递归DNS服务
网络安全技术中，攻击可以大致分为两类：主动攻击和被动攻击。这两种攻击方式根据其行为特征和目标的不同，有着各自的名称和描述。
论文标题：Towards Evaluating the Robustness of Neural Networks
所谓ARTS： 每周至少做一个LeetCode的算法题；阅读并点评至少一篇英文技术文章；学习至少一个技术技巧；分享一篇有观点和思考的技术文章。（也就是Algorithm、Review、Tip、Share 简称ARTS）这是第八期打卡。
8 月 19 日，在国内著名信息安全会议，第 19 届 XCon 安全焦点信息安全技术峰会上，腾讯朱雀实验室首度亮相公众视野。
有不少密码学里的方案被用来加密在有线或者无线的通信协议上的传输数据。然而这些技术已被证实容易受到攻击，且加密的数据可能会被窃取。本文探讨了各种能保护网络基础设施的加强加密技术的方法，包括使用基于 FOSS （自由开源软件）方案的方法。
随着机器学习模型能力越来越强、效率越来越高，它已经逐步应用到各种实际场景中。但是 AI 模型本身也会面临很多安全问题，最受关注的就是对抗样本，它能欺骗深度模型。这对于很多场景都是毁灭性的，包括身份认证、城市大脑和医疗健康等。
HTTPS（Hyper Text Transfer Protocol Secure）是一种网络协议，用于保护互联网上的通信安全和数据完整性。它使用TLS/SSL协议来对数据进行加密，这样即使攻击者截获了数据包也无法破解其中的内容。然而，有些情况下HTTPS并不是绝对安全的，本文将深入探讨这些情况。
某饭店可以容纳100人同时就餐，某日有个商家恶意竞争，雇佣了200人来这个饭店坐着不吃不喝，导致饭店满满当当无法正常营业。(DDOS攻击成功)
前一篇介绍了 SSL/TLS 的身份认证机制。这个机制是为了防止攻击者通过【篡改】网络传输数据，来假冒身份，以达到“中间人攻击/MITM”的目的。 而今天要聊的“密钥协商机制”是：（在身份认证的前提下）如何规避【偷窥】的风险。 通俗地说，即使有攻击者在偷窥你与服务器的网络传输，客户端（client）依然可以利用“密钥协商机制”与服务器端（server）协商出一个用来加密应用层数据的密钥（也称“会话密钥”）。
在现阶段的移动互联网环境中，除了僵尸网络能够在网络中造成不同形式的攻击外，伪造地址与反射点在网络中发起的攻击也是不容忽视的。如在DDoS攻击中，出现的这两种现象的给DDOS处理和防护带来了诸多困难。这篇主要分享伪造地址和反射点造成的DDOS怎么处理？
机器之心专栏 机器之心编辑部 本文提出一种利用生成模型作为图片先验的梯度攻击方法GGL，由来自美国田纳西大学，美国橡树岭国家实验室，和谷歌共同完成，论文已被 CVPR 2022 接收。 联邦学习 （federated learning） 是一种在中心服务器 （server）的协调下利用分散在各用户 （client）的本地数据集协同训练模型的一种分布式训练模式。为保证参与方隐私，训练过程中，训练数据不会离开本地，取而代之的是模型相关的信息（例如模型架构，参数梯度）会被共享至服务器端，从而降低了数据泄露的风险。
主要对目前市面上常见的23种设计模式进行逐一分析和总结，希望有兴趣的小伙伴们可以看一下，会持续更新的。希望各位可以监督我，我们一起学习进步，加油，各位。
随着计算机技术的不断发展，为我们工作生活提供了更多的便利性，但同时也让网络中存在各种安全威胁，最近收到很多Windows用户的求助，称计算机Windows系统被.faust后缀的勒索病毒攻击。Faust勒索病毒是一种新型加密勒索病毒，其加密速度非常快，可以快速对攻击计算机，实施加密程序，主要针对Windows计算机用户，该病毒的加密特征与phobos勒索家族极为相似，加密算法做了全新升级导致很多Windows计算机内的所有文件能够在很短时间内被加密，传播速度非常快。该勒索病毒对众多的Windows用户带来很大威胁，下面就为大家详细介绍一下该病毒家族的特点。
作者：徐嘉伟--腾讯高级前端工程师 @IMWeb前端社区 各端安全之争 受开发职能划分的影响，很多人也会下意识地把web安全划分为前端安全和后端安全。更有甚者，甚至会延伸出探讨前端安全与后端安全哪个重要之类的争论。或许作为前端的你，曾经也会听到类似前端安全无意义论的声音，理由大概有：①前端代码开源暴露于浏览器，不安全；②前端影响面局限于单用户浏览器，不重要；林林总总。 但争论并没有意义，重要的是静下来思考。 重新思考 本人近期对自身业务进行了一遍web安全梳理，对web安全有了一定的思考。因自身岗位视野
渗入企业内网，成功获得起始攻击点，这就是一个很有意思的话题，因为有各种有趣的攻击方式。
*本文原创作者：Sunnieli，本文属FreeBuf原创奖励计划，未经许可禁止转载 在Black Hat 2016大会上，两名比利时的安全研究人员展示了他们今年的研究成果。他们发现了一个WEB攻击方式可以绕过HTTPS加密得到明文信息，他们把这种攻击方式叫做HEIST攻击。HEIST的全称是Encrypted Information can be Stolen through TCP-Windows。 HEIST攻击的利用条件十分简单，只需要几行简单的javascript代码即可，并且无需借助中间人攻击。
我们也可以结合其他的端口扫描工具，比如专门的3389、1433等等的端口扫描工具；
在前段时间的渗透中，我发现通过端口来进行渗透有时会提升我们的效率，所以才有了这篇文章的诞生；
文/garyjwxu 腾讯CDG事业群——前端开发高级工程师 0各端安全之争 受开发职能划分的影响，很多人也会下意识地把web安全划分为前端安全和后端安全。更有甚者，甚至会延伸出探讨前端安全与后端安全哪个重要之类的争论。或许作为前端的你，曾经也会听到类似前端安全无意义论的声音，理由大概有：①前端代码开源暴露于浏览器，不安全；②前端影响面局限于单用户浏览器，不重要；林林总总。 但争论并没有意义，重要的是静下来思考。 1重新思考 本人近期对自身业务进行了一遍web安全梳理，对web安全有了一定的思考。因自身
涉及身份验证的系统都需要存储用户的认证信息，常用的用户认证方式主要为用户名和密码的方式，为了安全起见，用户输入的密码需要保存为密文形式，可采用已公开的不可逆的hash加密算法，比如SHA256, SHA512, SHA3等，对于同一密码，同一加密算法会产生相同的hash值，这样，当用户进行身份验证时，也可对用户输入的明文密码应用相同的hash加密算法，得出一个hash值，然后使用该hash值和之前存储好的密文值进行对照，如果两个值相同，则密码认证成功，否则密码认证失败。
这种属性简单的类很好实现，只需要定义一个抽象类，把不同的属性抽离出来，相同的属性实现，子类来继承实现不同的属性
RunC是一个基于OCI标准的轻量级容器运行时工具，用来创建和运行容器，该工具被广泛应用于虚拟化环境中，然而不断披露的逃逸漏洞给runC带来了严重的安全风险，如早期的CVE-2019-5736、CVE-2021-30465。就在今年的1月31日，网络安全供应商Synk又披露了runC 命令行工具和BuildKit 组件中的4个安全漏洞，攻击者可以利用这些漏洞逃离容器的边界并发起后续攻击。这些漏洞编号分别为 CVE-2024-21626、CVE-2024-23651、CVE-2024-23652 和 CVE-2024-23653，这些漏洞被 Snyk统称为Leaky Vessels[1][2]。
DdoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。单一的DoS攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项指标不高的性能，它的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了-目标对恶意攻击包的"消化能力"加强了不少。这时候分布式的拒绝服务攻击手段（DDoS）就应运而生了。DDoS就是利用更多的傀儡机（肉鸡）来发起进攻，以比从前更大的规模来进攻受害者
1. 机器学习（Machine Learning）:使用统计学和计算机 algorithms 从数据中学习和预测，而无需显式编程。
说来惭愧，6 年的 web 编程生涯，一直没有真正系统的学习 web 安全知识（认证和授权除外），这个月看了一本《Web 安全设计之道》，书中的内容多是从微软官方文档翻译而来，这本书的含金量不高，不过也不能说没有收获，本文简单记录一下我学习 Web 安全方面的笔记。
首先从一个比方来深入理解什么是DDOS。 一群恶霸试图让对面那家有着竞争关系的商铺无法正常营业，他们会采取什么手段呢?(只为举例，切勿模仿)恶霸们扮作普通客户一直拥挤在对手的商铺，赖着不走，真正的购物
好多企业网站遭遇黑客攻击，像黑客入侵在互联网只要有数据网络，就能使用数据网络远程操作目标的笔记本电脑、网络服务器、企业网站，从而任意地读取或篡改目标的重要数据，又又或者使用目标系统软件上的功能模块，比如对手机的麦克风开展监听，开启对方摄像头开展监控，使用已经被入侵的设备计算能力开展挖矿从而得到虚拟货币，使用目标设备的网络带宽能力发动CC并发攻击方式其他人等等。又或者是破解了一个数据库服务器的密码，进去查看敏感数据信息、远程操作门禁/红绿灯。以上这种都属于经典的黑客入侵场景。
16.在密码学中，__________ 是一种通过使用相同密钥进行加密和解密的过程。
随着互联网的普及和技术的进步，网络安全问题日益凸显。DDoS攻击作为其中一种常见且具破坏性的攻击方式，受到了广泛关注。小德将带领大家一起来了解当前流行的三种DDoS攻击方式。
你的新手机不错，借我刷一下脸？ 人脸识别技术在智能手机上已经是标配，今天的我们刷脸解锁、刷脸支付就像吃饭喝水一样自然，以至于疫情期间戴口罩无法解锁手机时，我们会感到很不习惯。 在享受便利的同时，却鲜有用户去关心安全问题。虽然手机厂商往往会在发布手机的时候宣称「破解人脸识别的几率低至百万分之一」，但双胞胎解锁对方手机的事情仍然偶尔会上新闻。 最近一段时间，来自清华的 RealAI（瑞莱智慧）向我们展示了一项更为简单的攻击技术…… 在一副眼镜的攻击下，19 款使用 2D 人脸识别的国产安卓手机无一幸免，全部被快速破解。 具体来说，RealAI 团队选取了 20 款手机做了攻击测试，覆盖不同价位的低端机与旗舰机。
1、保证数据的完整性。在共识机制下，只有全网大部分节点都认为这个记录正确时，记录的真实性才能得到全网的认可，才允许被写入区块中，保证了数据的完整性。
来自Eurecom的研究人员近期分享了六种新型攻击方式，统称为“BLUFFS”，这些攻击方式能够破坏蓝牙会话的保密性，使设备容易受到冒充和中间人攻击(MitM)。攻击发现者Daniele Antonioli解释道，“BLUFFS”利用了蓝牙标准中两个以前未知的漏洞，这些漏洞与会话密钥的派生方式以及交换数据的解密过程有关。
DDoS攻击是由DoS攻击发展而来的，根据攻击原理和方式的区别，可以把DDoS攻击分为两个阶段，即从传统的基于网络层的DDoS攻击和现阶段较为常见的基于应用层的DDoS攻击，这两类攻击方式各有特点，都对网络的安全造成了极大的危害。对于应用层DDoS攻击来说，基于Web服务器的攻击是最常见的。
美国加州大学伯克利分校和劳伦斯伯克利国家实验室（LBNL）的几位安全研究人员开发了鱼叉式网络钓鱼黑箱粉碎机，通过分析鱼叉式网络钓鱼攻击的根本特点设计了一组新的信誉特征。该组特征对应于鱼叉式网络钓鱼攻击的两个关键阶段，随后引入新的异常检测技术（DAS），以非参数的方式运行，不需要任何标记的训练数据，利用信誉特征来检测攻击。研究人员与LBNL的安全团队进行合作，评估了近4年的电子邮件数据（约3.7亿个电子邮件）以及相关的HTTP日志，验证其具有检测凭证鱼叉式网络钓鱼攻击的功能。强势围观后来谈谈这一鱼叉式网络钓鱼
XSS攻击的全称是跨站脚本攻击(Cross Site Scripting)，为不跟层叠样式表 (Cascading Style Sheets,CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS
网络控制消息协议（ICMP）是TCP/IP协议级当中核心之一，用于在网络中发送控制消息，提供可能发生在通信环境中的各种问题反馈。
抱歉用这种标题吸引你点进来了，不过你不妨看完，看看能否让你有所收获。（有收获，请评论区留个言，没收获，下周末我直播吃**，哈哈，这你也信）
网络攻击的溯源和取证是指通过分析和调查，确定网络攻击的来源和确切证据，以便采取相应的行动，例如对攻击者提起诉讼或采取技术措施防范类似攻击。这个过程一般包括以下步骤：
0×00 前言 鉴于曾经做过某厂招聘-安全技术笔试题目，故留此一记，以作怀念。 此外，网上也有公布的相关的答案，但是其中有些题目稍有错误或者解释不全，当然我也有可能解释有误，希望大家多多在评论区中指出，所以趁机写上一记。 0×01 开始 2016年4月2日晚上7:00到9:00，某厂2016实习招聘-安全技术的笔试题确实考到很多基础知识。该笔试题有两部分。第一部分是30道不定项选择题、10道简答题和5道判断题，题量是45，限时80分钟。第二部分是2道分析题，限时40分钟。有下面统一给出答案和为每一题做出解释
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
