文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

KuCoin用户信息泄露：一次百万美元赏金的背后故事

黑客小黑在对KuCoin进行探索时，发现了一个重要的问题：KuCoin似乎在使用Zendesk API进行反向代理。...在进一步的探索中，黑客小黑发现KuCoin的Zendesk API可以访问所有Zendesk的API请求，包括敏感的用户信息。 例如，他可以访问Zendesk的票据端点，列出和搜索支持票据。...更令人震惊的是，他还可以通过搜索.json端点搜索票据，这其中包括会话令牌。 更糟糕的是，黑客小黑发现他甚至可以通过GET请求获取所有用户的信息，包括他们的姓名、电子邮件、电话号码等。...我开始代理我的流量 Burp Suite。已注册库币账户。单击通过该网站。 过了一会儿，我开始挖掘 Burp Suite 中记录的 HTTP 请求。...您可以使用您的电子邮件地址和密码、您的电子邮件地址和 API 令牌或 OAuth 访问令牌的基本身份验证对 API 进行授权。

74020

原 EOS主网上线，背后公司Block.

投资者在EOS和ETH令牌中损失了数百万美元 根据Fortune的说法，黑客的手段非常简单：侵入Block.one的系统，向EOS的投资者发送消息。...据称Block.one使用的受到威胁的电子邮件平台，由云软件供应商Zendesk提供支持。 看起来，加密 货币项目就是骗子和黑客攻击的理由。...黑客提供了一个按钮，要求邮件接受者在ICO的最后48小时内“声明”EOS的“未售出代币”。 该按钮会将你带到一个网站，该网站的颜色，背景，字体和其他设计元素与EOS主页完全相同。...假冒网站eȯs.com作为一个国际域名，最终通过浏览器的punycode支持转到英文域名 xn--es-8bb.com 最终，钓鱼网站提示访问者输入他们的私钥（区块链技术中使用的加密密码）来解锁其数字加密货币...虽然Block.one在其网站上周日发布的 声明中宣称暂时关闭了其Zendesk系统，并敦促其支持者对诈骗事件保持高度警惕，但网络钓鱼攻击在其他 方面仍在继续。

83530
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    零星的 Lapsus$ 猎人与针对 Zendesk 用户的攻击有关

    攻击手段：通过拼写错误（如 znedesk.com）或关联前缀（如 vpn-zendesk.com）注册虚假域名，搭建仿冒 Zendesk 单点登录页面，诱导用户输入账号密码。...Salesforce 生态连环攻击8 月攻击：窃取 Salesloft 用于集成 Salesforce 的 OAuth 令牌，导致 760 家关联机构数据泄露。...近期攻击：子组织 Shiny Hunters 利用窃取的访问令牌，攻击数据管理工具 Gainsight 关联的 Salesforce 实例，300 家机构受害。2....未来威胁预警11 月 5 日，疑似该团伙成员在社交平台 X 发帖称，目前仍有 3-4 起重大攻击活动正在推进中。...攻击核心目标窃取敏感数据与账户凭证，包括 OAuth 令牌、用户身份信息、账单数据等。实现账户接管、远程设备控制，最终通过欺诈、数据勒索等方式谋取经济利益。

    15710

    钓鱼新变种：攻击者借Cloudflare Pages与Zendesk“合法外衣”伪造客服门户，企业凭证安全防线告急

    用户被要求“重新登录以确认身份”，并输入一次性验证码（MFA）。操作完成后，系统提示“验证成功，工单正在处理中”。...而这些钓鱼页面的共同点在于：它们并非托管在可疑域名或黑产服务器上，而是“光明正大”地运行在 Cloudflare Pages 和 Zendesk Help Center 这类主流、可信的云服务平台之上。...例如，攻击者搭建一个代理层，将用户请求实时转发至真实Zendesk页面，同时截获登录过程中的 Cookie、Session Token 和 MFA 响应。...事后调查发现，攻击者通过 Zendesk 的自定义主题功能注入恶意 JavaScript，实现数据外泄。这些案例虽发生于海外，但对国内企业具有极强的警示意义。...但现代钓鱼页面可通过 标签加载外部资源、调用浏览器 API（如 navigator.credentials.get() 尝试提取已保存密码）、甚至利用 Service Worker 实现持久化监听

    22810

    突发流量不怕崩：从技术到业务的全链路防御方案

    （1）多级缓存：“减少数据库访问”，提升响应速度缓存是应对突发流量的 “核心武器”，通过 “本地缓存 + 分布式缓存” 的多级设计，最大限度减少对数据库的依赖：一级缓存：本地缓存（进程内缓存）原理：将高频访问的热点数据...，MQ 自动重试（重试间隔按 1s、3s、5s 递增），避免消息丢失；死信队列：重试多次仍失败的消息（如 3 次）放入死信队列，后续人工处理，避免阻塞正常消息；适用场景：订单创建后的短信通知、支付成功后的日志记录...），请求需获取令牌才能处理，支持突发流量（桶内可积累令牌）；漏桶算法：请求像水流一样进入漏桶，漏桶按固定速率处理，超过桶容量则溢出，适合控制输出速率（如 API 调用限速）；实现方式：入口层：Nginx...- 1），预减成功则发送 MQ 消息异步创建订单，预减失败则返回 “已抢完”；异步处理：订单创建后的短信通知、日志记录通过 RocketMQ 异步处理，秒杀接口同步返回结果（响应时间＜300ms）；熔断降级...最后提醒：突发流量的应对没有 “一劳永逸” 的方案，需结合业务场景（如电商、直播、API 服务）和资源规模（小公司 / 大公司）选择合适的方案。你在项目中遇到过哪些突发流量问题？是怎么解决的？

    45410

    中国联通远程API加密DS系统：企业级安全架构与实现

    通过流量分析，识别API传输中的敏感数据字段（如PII、金融信息），并支持字段级的动态脱敏或访问控制。...智能行为分析与威胁检测：记录所有API访问的全量结构化日志（如时间戳、源IP、用户标识、端点、状态码、操作类型）。...服务发现与状态同步在分布式部署中，确保所有实例使用的加密证书和密钥材料一致。...严禁在日志中输出完整的、解密后的JWT声明，仅记录脱敏后的必要字段（如用户ID、令牌ID），并监控令牌验证失败率、未知kid请求比例等关键指标。...通过实时监控API调用图谱、用户与实体行为分析（UEBA），建立正常行为基线，智能识别如异常时间访问、高频数据爬取、令牌滥用等偏离基线（如超过30%）的异常模式，实现从事后审计到事中预警与阻断的转变。

    27200

    jenkins部署jeecg-boot3.1(前后端)自动化

    启动之后，访问一下,上述例子中我映射了7999端口，同时我的腾讯云防火墙也开放了7999这个端口，下面是访问图例: [f7e81187d873822dad274a4f6c252f5c.png] 根据提示粘贴密码...，在 Filter 中搜索 Gitee,Jersey2 API这两个插件,然后分别选中，然后点install without restart。...链接名 中输入 Gitee 或者你想要的名字 Gitee 域名 URL 中输入码云完整 URL地址： https://gitee.com （码云私有化客户输入部署的域名） 证书令牌 中如还未配置码云 APIV5...私人令牌，点击 Add - > Jenkins Domain 选择 全局凭据 Kind 选择 Gitee API 令牌 Scope 选择你需要的范围 Gitee API Token 输入你的码云私人令牌...，获取地址：https://gitee.com/profile/personal_access_tokens 这个令牌建议保存在云笔记之类的东西上，方便自己以后用 ID, Descripiton 中输入你想要的

    1.3K20

    SpringBoot整合JWT

    JWT 的工作原理 JWT 工作原理如下： 客户端通过身份验证成功后，服务器将生成一个 JWT。 服务器将 JWT 发送给客户端，并存储在客户端（通常是在 Cookie 或本地存储中）。...JWT 的应用场景 JWT 是一种灵活而强大的工具，可用于多种应用场景，包括： 用户认证：通过将用户信息存储在 JWT 中，实现用户身份验证和提供访问权限。...API 授权：通过在每个请求中添加 JWT，可以轻松地实现对 API 的授权访问，从而提高安全性。 引入JWT # 1.引入依赖 实例的时间增加90秒，作为令牌的过期时间。 使用 JWT.create() 方法创建一个 JWT 实例，用于生成令牌。...创建一个 JWTVerifier 实例，使用相同的密钥进行构建，并对令牌进行验证。 getToken() 方法用于获取令牌中的 Payload 数据。接收要解析的令牌字符串作为参数。

    1.1K10

    边缘认证和与令牌无关的身份传播

    更复杂的是，可以通过多种方法在系统之间传输这些令牌或令牌中包含的数据。...在某些情况下会不断打开令牌，从中抽取身份数据元素，作为API调用使用的简单基元或字符串，或通过请求上下文首部或URL参数在系统间传递。整个过程中并不会检查令牌或令牌中包含的数据的完整性。...我们通过将认证和协议终结转移到边缘网络，然后创建一个新的完整性保护的且令牌无关的对象，使该对象在整个服务器生态系统中传播。...用户&设备信息 UserInfo 元素包含识别发起请求的用户所需的所有信息，DeviceInfo 元素包含用户访问Netflix的设备所需的所有信息： message UserInfo { Source...客户端可以通过一个工厂创建一个Introspector，然后就访问基本的访问器方法： public interface PassportIntrospector { Long getCustomerId

    2.4K10

    攻击者借 Cloudflare 与 Zendesk 托管仿冒门户

    这意味着用户输入的不仅是账号密码，还包括浏览器 Cookie、会话令牌等短期凭证。即便启用了多因素认证（MFA），攻击者也能在会话有效期内直接接管账户，实现“绕过 MFA”的效果。...受害者往往不是通过陌生邮件，而是在 Slack、Microsoft Teams、Zendesk 内置消息系统 甚至企业微信中收到“内部通知”。...IT 部门应明确列出官方使用的支持门户地址，并通过浏览器扩展或终端代理强制拦截未授权子域名访问。第二，对敏感操作启用零信任或浏览器隔离。...例如，当员工访问“支持登录页”时，可通过远程浏览器隔离（RBI）技术在云端渲染页面，本地设备不接触原始代码，从根本上阻断凭证窃取。第三，收敛工单入口，引入可验证深度链接。...通过零信任架构、行为分析、深度链接验证等技术组合，企业完全可以在保障协作效率的同时，堵住这些“看起来很安全”的漏洞。

    21410

    玩转OpenClaw｜云上OpenClaw(Clawdbot)快速接入Slack指南

    创建并配置Slack App创建Slack App访问Slack App 管理页面并登录，点击页面中的Create New App，选择From scratch（从零创建）。...进入腾讯云控制台，选中对应的已部署OpenClaw的轻量应用服务器Lighthouse实例，点击服务器卡片进入“管理实例”页面。...在面板中可以支持腾讯混元、腾讯云DeepSeek、月之暗面Kimi、MiniMax、智谱GLM等常用模型的API Key配置，也支持配置其他自定义模型。...如果前面步骤中已在腾讯云控制台中完成了OpenClaw的模型配置，可以跳过此步骤。如果尚未进行模型配置，可以在此步通过命令行配置模型API Key。...获取配对码并完成配对（若未出现配对码且机器人已正常回复，跳过此步骤即可）网关启动后，打开Slack客户端（或网页版），在您配置的Slack工作区中，在任意频道@bot发送一条测试消息（任意内容均可）。

    2.6K40

    用户中心微服务设计指南：从功能到非功能的全维度落地

    用户中心微服务设计指南：从功能到非功能的全维度落地在微服务架构中，用户中心是 “地基级” 服务 —— 所有业务模块（订单、支付、内容）都依赖其提供的用户认证、权限校验、信息查询能力。...（2）第三方登录集成（如微信登录）基于 OAuth2.0 授权码模式，流程如下：用户点击微信登录 → 跳转微信授权页 → 用户授权后获取授权码 → 用授权码换微信OpenID → 查用户中心是否绑定OpenID...，无需在每个 SQL 中手动写条件。...（如 “密码错误”“权限不足”，失败时必填）（2）日志记录流程（异步无感知）通过 “AOP 切面” 自动记录日志，不侵入业务代码：1....，用 JWT 令牌的iss（签发者）字段校验来源，或在前端存储 CSRF 令牌；接口防刷：API 网关层对高频接口（如登录、验证码发送）限流，同一 IP / 用户 ID 每分钟最多请求 10 次（Redis

    68510

    高性能Java解析器实现过程详解

    代替在解析数据上构建对象树，更高性能的方式是建立指向原始数据缓存的索引缓存。索引指向已解析数据的元素起始点和终点。代替通过对象树访问数据，数据处理代码直接在含有原始数据的缓存中访问已解析数据。...为了保证可以通过解析中创建的索引随机访问原始数据，所有原始数据必需放到内存中。 接着，分析器将数据分解为多个令牌。开始索引，结束索引和令牌类型都会保存于分析器中一个内部令牌缓存。...若不使用可选的令牌类型数组，你仍能通过查看令牌数据来区分令牌类型。这是性能和内存消耗的权衡。 解析器 解析器是在性质上与分析器类似，只不过它采用令牌作为输入和输出的元素索引。...务必记住，一个语义对象或元素（如XML元素）可能包括多个解析器元素。为了方便访问，您可以创建一个元素导航器对象，可以在语义对象级别访问解析器元素。...例如，一个XML元素导航器组件可以通过在起始标记和到起始标记来访问元素缓存。 使用元素导航组件是你的自由。如果要实现一个解析器在单个项目中的使用，你可以要跳过它。

    2.8K60

    系统网络太慢，Watt Toolkit原名steam实现加速，炽焰，极狐，github工具实现加速器访问网络

    现在的加速器基本都能满足很多功能，该功能能够使 Steam 社区、 Github 、谷歌验证码等国内难以访问的网页正常访问。...主要功能加速访问该功能能够使 Steam 社区、 Github 、谷歌验证码等国内难以访问的网页正常访问。...脚本配置通过加速服务拦截网络请求将一些 JS 脚本注入在网页中，提供类似网页插件的功能。...自动挂卡集成 ArchiSteamFarm 在应用内提供 挂机掉落 Steam 集换式卡牌 等功能。...可配置多个镜像站作为备份具备测速机制，当访问失败或超时之后，自动切换到备用站点，使得目标服务高可用3、 github加速github 直连加速 (通过修改sni实现，感谢 fastGithub 提供的思路

    3.4K20

    Gitee+PicList，永久免费的解决方案

    . -------- 在CSDN等平台写技术博客时，图片失效是最烦人的问题——本地图片换设备就断联，第三方免费图床说关就关。...今天分享一个 永久免费、国内访问快的解决方案：用Gitee（码云）做图床存储，搭配PicList工具实现一键上传，从此再也不用担心图片挂掉。 一、先搞懂：为什么选Gitee+PicList？...在开始操作前，先明确这个组合的核心优势，避免你走弯路： Gitee优势：国内大厂服务稳定，免费账户提供1GB仓库空间（足够存上万张博客图片），国内访问速度远超GitHub，支持公开访问链接 PicList...，官方下载地址：https://piclist.cn/ 三、核心步骤：Gitee端配置（创建仓库+获取令牌） Gitee是图片的“存储仓库”，我们需要先创建专属仓库，并生成令牌让PicList有权限上传图片...问题1：上传失败，提示“token错误” 解决：重新生成Gitee令牌，确保复制完整，无多余空格，配置时粘贴正确 问题2：图片上传成功，但CSDN中不显示解决：检查Gitee仓库是否为“公开”，私有仓库无法外部访问

    46210

    涂鸦基于OAuth2在开发者平台上的探索与实践

    每一个令牌授权一个特定的网站（例如，视频编辑网站)在特定的时段（例如，接下来的2小时内）内访问特定的资源（例如仅仅是某一相册中的视频）。...开发人员可以在涂鸦 AI+IoT 开发平台申请云 API，根据涂鸦 API 接口规范调用涂鸦 API，获取开发人员的用户和设备数据，并通过权限控制设备。...说明：例如，开发人员可以在平台上将其涂鸦智能 App 用户账号扫码授权（或者创建 OEM 应用程序和产品），通过帐户获取用户数据或设备数据。...授权码模式（显式授权）开发期待中 在 云开发平台 应用云 API 密钥后，开发人员可以基于涂鸦 API 接口规范调用涂鸦开放接口，以获取授权下的资源数据。...在涂鸦云开发平台中，为了使用开发平台提供的API(应用程序接口)，你需要先创建一个项目。云开发项目是IoT平台资源（设备、API权限、数据资产等）的集合，不同云开发项目之间的资源相互隔离。

    1.2K10

    100个OpenStack基础知识点，分类整理，一篇了解

    RESTful API：通过RESTful API进行数据的存取和管理 。 Horizon（仪表板服务）：提供基于Web的可视化管理界面，用户和管理员可通过图形化界面管理云资源 。...常见故障点：实例无法访问可能涉及安全组、浮动IP配置；Nova实例启动失败需检查Hypervisor状态；镜像上传问题需关注存储后端权限等 。...虚拟机创建流程：大致包括认证、验证参数、调度、在目标计算节点上通过Hypervisor创建实例等步骤 。...卷挂载流程：用户先通过Cinder创建卷，然后将其挂载到指定的运行中的实例上，实例内即可识别和使用该块设备 。...基于角色的访问控制（RBAC）：Keystone通过给用户（User）在项目（Project）上分配角色（Role）来控制其对资源的访问权限 。

    65710

    Playwright与JIRA集成：实现缺陷自动创建与追踪

    通过集成，我们可以在自动化测试失败时自动在JIRA中创建缺陷，并实时更新状态，从而减少人工干预，加速问题解决周期。想象一下：测试运行后，缺陷报告自动生成，分配给相关人员——这简直是测试工程师的梦想！...步骤1：设置JIRA API访问为了从Playwright脚本中与JIRA交互，我们需要通过JIRA REST API进行身份验证。首先，登录你的JIRA实例，生成API令牌。...在真实场景中，你可能会有更复杂的测试套件。运行测试：npx playwright test，你会看到失败报告。现在，关键部分来了：当测试失败时，自动在JIRA中创建缺陷。...为了更好的跟踪，我们可以在缺陷中添加评论或更新状态。例如，当测试通过后，自动关闭缺陷。这需要JIRA API的更多调用。...性能考虑：如果测试套件很大，避免每次失败都创建缺陷，可以汇总报告后批量创建。自定义工作流：根据团队流程调整缺陷状态和字段。JIRA API非常灵活，但需要事先探索你的实例配置。

    13110

    Spring Security OAuth 2开发者指南

    请注意以下事项： 当创建访问令牌时，必须存储身份验证，以便接受访问令牌的资源可以稍后引用。 访问令牌用于加载用于授权其创建的认证。...默认情况下，它通过随机值创建令牌，并处理除了委托给a的令牌的持久性之外的所有内容TokenStore。默认存储是内存中的实现，但还有一些可用的实现。...确保@EnableTransactionManagement在创建令牌时，防止在同一行中竞争的客户端应用程序之间发生冲突。...通过访问令牌来保护这些请求，您需要将其路径与主要面向用户的过滤器链中的路径不匹配，因此请确保包含仅在WebSecurityConfigurer上述中选择非API资源的请求匹配器。...提供了一个JDBC实现，但如果您希望实现自己的服务来将持久性数据库中的访问令牌和关联的身份验证实例存储起来，那么您可以使用。

    2.7K20
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券