文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

OpenAI推出企业级SharePoint连接器，挑战Microsoft 365 Copilot

访问通过针对Entra ID的OAuth认证授予，并且仅限于用户可访问的信息，就像任何其他使用Graph API与SharePoint Online和OneDrive for Business交互的应用一样...SharePoint连接器总体而言，新版本的ChatGPT连接器似乎使用应用程序权限（如Sites.Read.All和Files.Read.All）来访问SharePoint和OneDrive内容并将其同步到...使用Graph权限读取SharePoint的应用示例可在此处找到。...除了避免购买Microsoft 365 Copilot许可证外，我始终无法理解为什么Microsoft 365租户允许人们将企业信息上传到ChatGPT进行处理。...将SharePoint文件同步到ChatGPT，以便人们可以在ChatGPT中使用这些内容的想法似乎有点疯狂。

18010

星巴克新漏洞：可访问1亿客户记录

当sam在星巴克官网上试图购买时，他发现了API调用的可疑之处：在以“ / bff / proxy /”为前缀的API下发送了一些请求，但这些请求返回的数据似乎来自另一台主机。...“ app.starbucks.com”主机将无法访问通过特定端点访问的数据，但可以充当假设的第二个主机的代理或中间人，“internal.starbucks.com”。...这里要考虑的一些有趣的事情是…… 我们如何测试应用程序的路由？ 如果应用程序将请求路由到内部主机，则权限模型是什么样的？ 我们可以控制发送到内部主机的请求中的路径或参数吗？...这意味着内部API的根是6个返回路径，可以使用目录暴力破解工具或Burp Suite的入侵者和单词列表将其映射出来。 此时，sam对这个漏洞更加感兴趣了，他和Justin Gardner进行了探讨。...随后，sam开始进一步探索该服务，以使用Microsoft Graph功能进行确认。

1.3K20
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    ConsentFix攻击机制与OAuth授权滥用的防御对策研究

    一旦授权成功，即使用户更改密码或启用MFA，攻击者仍可通过已授权的应用持续访问邮箱、日历、文件等敏感资源。...（三）规避检测的关键设计ConsentFix之所以难以被发现，源于其多重规避特性：无密码交互：不触发密码爆破、撞库或凭证填充告警；合法IdP流量：所有OAuth请求均经由微软官方端点，无法通过IP或域名黑名单拦截...攻击者只需一次授权即可获取最大权限。第三，撤销机制滞后。 用户发现异常后，往往首先更改密码，却不知需手动撤销应用授权。而企业级批量撤销功能通常权限过高，仅限全局管理员使用，响应速度慢。...（二）策略管理层：建立授权生命周期管理定期授权审计：每季度导出全组织应用授权清单，清理未使用或来源不明的应用；实施最小权限原则：推动业务部门使用权限更细的现代API（如Microsoft Graph的delegated...permissions with scopes）；自动化撤销机制：当检测到可疑活动时，自动调用Microsoft Graph API撤销相关应用授权：# 使用Microsoft Graph API撤销用户授权

    19310

    开发中需要知道的相关知识点:什么是 OAuth?

    OAuth 通过 HTTPS 工作，并使用访问令牌而不是凭据对设备、API、服务器和应用程序进行授权。 OAuth 有两个版本：OAuth 1.0a和OAuth 2.0。...它们并没有隐藏在您必须进行逆向工程的应用程序层后面。它们通常列在 API 文档中：以下是此应用程序需要的范围。 OAuth 是一种互联网规模的解决方案，因为它针对每个应用程序。...您通常能够登录到仪表板以查看您已授予访问权限的应用程序并撤销同意。 OAuth 参与者 OAuth 流程中的参与者如下： 资源所有者：拥有资源服务器中的数据。...要获得刷新令牌，应用程序通常需要经过身份验证的机密客户端。 刷新令牌可以被撤销。在仪表板中撤销应用程序的访问权限时，您正在终止其刷新令牌。这使您能够强制客户端轮换机密。...您可以使用访问令牌来访问 API。一旦它过期，您将必须使用刷新令牌返回到令牌端点以获取新的访问令牌。 缺点是这会引起很多开发人员的摩擦。OAuth 对开发人员来说最大的痛点之一是您必须管理刷新令牌。

    2.6K40

    OAuth 详解 什么是 OAuth?

    它们并没有隐藏在您必须进行逆向工程的应用程序层后面。它们通常列在 API 文档中：以下是此应用程序需要的范围。 OAuth 是一种互联网规模的解决方案，因为它针对每个应用程序。...您通常能够登录到仪表板以查看您已授予访问权限的应用程序并撤销同意。 OAuth 参与者 OAuth 流程中的参与者如下： 资源所有者：拥有资源服务器中的数据。...它们不在桌面上运行或通过应用程序商店分发。人们无法对它们进行逆向工程并获得密钥。它们在最终用户无法访问的受保护区域中运行。 公共客户端是浏览器、移动应用程序和物联网设备。...要获得刷新令牌，应用程序通常需要经过身份验证的机密客户端。 刷新令牌可以被撤销。在仪表板中撤销应用程序的访问权限时，您正在终止其刷新令牌。这使您能够强制客户端轮换机密。...您可以使用访问令牌来访问 API。一旦它过期，您将必须使用刷新令牌返回到令牌端点以获取新的访问令牌。 缺点是这会引起很多开发人员的摩擦。OAuth 对开发人员来说最大的痛点之一是您必须管理刷新令牌。

    7.2K20

    我在Android应用中发现硬编码的Facebook和Google API密钥（以及为什么这是个坏主意）

    本文将带您了解： 发现过程 有效性验证 潜在影响️ 防护方案 第一步：反编译APK使用Apktool进行反编译：java -jar apktool.jar d target.apk -o output_folder...-f该命令将应用解包为可读的目录结构，可访问资源文件、清单和smali代码。...第三步：利用验证（仅限道德测试）✅ Facebook凭证验证通过Graph API测试凭证有效性：curl "https://graph.facebook.com/app?...✅ Google API密钥验证尝试使用该密钥调用地理编码API：curl "https://maps.googleapis.com/maps/api/geocode/json?...：通过HTTPS端点动态获取使用NDK混淆并存入Android Keystore对于Google API密钥：按应用包名和SHA-1指纹限制仅开放必要API权限 核心原则：只要存在于APK中的内容，就不算秘密

    31710

    IDOR漏洞

    问题的答案。 简而言之，我们会观察Linux操作系统中write，read和execute文件权限的授权阶段。如果用户想要编写文件，则必须授予用户“w”权限，若使用不当，则存在一些隐私侵权行为。...如何找到注射点 如前所述，您可以使用应用程序的所有功能找到许多IDOR漏洞测试请求。在IDOR漏洞测试中未提供API端点时，.html源代码或.js文件会很有用。...例如，如果你在应用程序中更改对象的信息，你将收到包含对象信息的电子邮件。因此，如果你尝试更改另一个用户的对象信息，则无法访问HTTP响应中的任何内容，但你可以使用电子邮件访问对象的信息。...首先，你应该在创建应用程序时控制所有正常，ajax和API请求。例如，只读用户可以在应用程序中写任何内容吗？或者非管理员用户可以访问并创建仅由admin用户创建的API令牌吗？...因此，对于所有IDOR漏洞的测试，你都应该像黑客一样思考。 你可以为所有端点提供应用程序的权限。

    4.1K30

    基于恶意OAuth应用的MFA绕过攻击：微软身份体系中的新型钓鱼威胁研究

    本文聚焦于2025年披露的一类高隐蔽性钓鱼攻击：攻击者诱导用户授权伪装成合法工具的恶意OAuth应用，利用其申请的高权限API作用域（如Mail.Read、Files.ReadWrite.All），在无需密码或一次性验证码的情况下访问邮箱...关键词：OAuth 2.0；MFA绕过；Microsoft Entra ID；钓鱼攻击；身份安全；API权限；条件访问；第三方应用治理1 引言随着云办公的普及，Microsoft 365已成为全球企业数字基础设施的核心组成部分...（Access Token）与刷新令牌（Refresh Token）；应用使用令牌调用Microsoft Graph API。...管理员需手动启用“用户无法注册应用”或“仅限批准应用”策略，但多数企业未配置。4.2 权限审查机制缺失用户授权后，无自动通知或定期审查机制。许多员工甚至不知自己授权过哪些应用。...5.3 用户意识与流程层开展OAuth授权专项培训：教育员工识别“同意页面”中的权限风险；建立授权审批流程：对涉及高权限的应用，要求IT部门二次审批；定期清理授权：每季度提醒用户访问 https://mysignins.microsoft.com

    27310

    Spring Boot 与 OAuth2

    然后，它使用访问令牌向Facebook询问一些个人信息（仅限于你允许的内容），包括你的登录ID和你的姓名。...在这个阶段，facebook充当了一个资源服务器，对你发送的令牌进行解码，并检查它给了应用程序访问用户详细信息的权限。...客户端是可重用的，因此你还可以使用它与你的授权服务器(在本例中是Facebook)提供的OAuth2资源进行交互(在本例中为Graph API)。...保护用户信息端点 要使用我们的新授权服务器进行单点登录，就像我们使用Facebook和Github一样，它需要有一个受其创建的访问令牌保护的 /user端点。...为未经身份验证的用户添加错误页 在本节中，我们将修改前面构建的注销应用程序，切换到Github身份验证，并向无法进行身份验证的用户提供一些反馈。

    12.2K120

    快速提升Entra ID安全性的实用指南

    访客默认操作：将访客用户访问限制从"访客用户具有与成员相同的访问权限（最包容）"更改为"访客用户访问仅限于其自身目录对象的属性和成员资格（最严格）"用户应用程序同意和权限默认值最初在Azure AD/Entra...用户应用程序同意和权限建议：将用户对应用程序的同意设置为"允许用户对来自已验证发布者的应用程序进行同意，针对选定权限"，或者更好的选项是"让Microsoft管理您的同意设置（推荐）"保护Entra ID...还有一个应用程序权限（Graph:RoleManagement.ReadWrite.Directory）也提供管理权限。Entra ID租户中最多有500个角色可分配组（创建最大值）。...AppRoleAssignment.ReadWrite.All允许应用程序代表登录用户管理对任何API的应用程序权限授予和任何应用程序的应用程序分配。...这也允许应用程序充当其他实体并使用它们被授予的权限。当至少有一个应用程序是Tier 0时，此应用程序权限是Tier 0。然后此权限提供应用程序向该应用程序添加凭据并模拟它的能力。

    21010

    从零搭建openEuler集群：Placement资源调度服务部署全流程实战

    [api]部分的auth_strategy = keystone配置表明服务使用Keystone进行身份认证，这是OpenStack标准的安全实践。...http://euler01:8778 公共端点面向外部用户和应用程序，通常通过公共网络可访问。...，通常具有更高的权限级别，仅限于管理员访问。...重启HTTP服务会使新的配置生效，并启动Placement API应用程序。 2、服务运行状态验证 服务启动后，需要进行全面的状态检查，确保所有组件都正常运行。...curl命令向Placement API根端点发送HTTP请求，成功的响应表明服务不仅正在运行，而且能够正确处理API请求。响应中包含了API的版本信息和支持的媒体类型，这些都是服务正常工作的标志。

    21210

    设备代码钓鱼攻击对Microsoft 365 OAuth授权机制的威胁分析与防御策略

    一旦授权完成，攻击者即可通过device_code兑换令牌，获得与用户同等的API访问权限。...）；调用设备授权端点，获取device_code和user_code；通过钓鱼邮件、Teams消息或短信向目标用户发送诱导信息，例如：“您的账户需进行安全验证，请立即访问 https://microsoft.com...Graph API，读取邮件、日历、联系人，甚至创建新应用或修改权限。...随后，攻击者可使用该令牌调用Graph API：# Example: Read user's mailboxheaders = {'Authorization': f'Bearer {token_json...研究表明，仅靠用户意识无法抵御此类高度仿真的钓鱼手段，必须通过Azure AD的精细化权限管理与条件访问策略重构OAuth授权的信任边界。

    25610

    Office开发者计划-永久白嫖Office365

    权限配置 注册的应用程序API权限类型有两种，其主要区别如下表所示： 权限类型 委托的权限(用户登录) 应用程序权限(非用户登录) 官方释义 应用程序必须以登录用户身份访问API 应用程序在用户未登录的情况下作为后台服务或守护程序运行...所需配置 账户名称+账户密码+应用程序(客户端)ID 账户名称+客户端机密+应用程序(客户端)ID 功能影响 程序中所有API均可调用 部分API权限受限无法调用(官方限制) API权限配置 可由PC...版程序自动配置添加API权限 必须手动配置API权限 ​ 可以选择相应的API进行配置 ​ 此处以Microsoft Graph为参考，选择“委托的权限”，根据列出的API权限需求表进行选择...，可用于生成和测试对 Microsoft Graph API 的请求 ​ API需要的权限设定可在预览卡中查阅，授权后则可再次尝试调用响应 ​ Postman 是一个可用于向 Microsoft...将下载的包解压缩到目录中，然后转到命令行界面中的 graph-tutorial 目录 输入composer install 安装项目依赖项 // 如果有指定php版本要求可临时使用下述指令忽略版本要求

    11.4K32

    MyTube数据库导出漏洞：未授权访问致敏感信息泄露(CVE-2026-24139)

    尽管目前尚未报告野外利用，但对机密性、完整性和可用性的影响是高的。使用 MyTube 进行视频下载和播放的欧洲组织可能面临重大数据暴露风险。缓解措施包括立即升级到 1.7.79 版本。...该漏洞的产生是因为应用程序未在其数据库导出端点上正确执行授权检查，从而允许访客或低权限用户访问和下载整个应用程序数据库。此数据库可能包含敏感用户数据、配置详细信息，以及可能缓存的视频内容或元数据。...该缺陷存在于自托管应用程序中，意味着在本地或私有云环境中运行 MyTube 的组织面临风险，尤其是如果导出端点暴露或可被不受信用户访问。...在补丁可用之前，通过实施防火墙规则或网络分段来限制对 MyTube 应用程序（尤其是导出端点）的网络访问，以仅限受信用户访问。采用应用程序级访问控制和身份验证机制，防止访客或低权限用户访问敏感功能。...对用户权限和日志进行全面审计，以检测任何未经授权的访问尝试。此外，考虑部署带有自定义规则的 Web 应用防火墙（WAF），以检测和阻止针对导出端点的可疑请求。

    9310

    CVE-2025-61757高级检测与利用验证脚本

    核心功能特性预认证漏洞检测：无需任何身份验证即可测试目标系统多端点模糊测试：同时测试多个REST API端点（/identity/rest/v1/users, /identity/rest/v1/admin..., /identity/rest/v1/roles）命令注入验证：使用分号分隔的命令注入负载测试RCE可能性权限提升链测试：验证从用户创建到管理员角色分配的完整攻击链多线程扫描：使用并行线程加速扫描过程详细日志记录...：提供完整的扫描过程和结果日志自动清理提醒：在成功利用后提醒手动清理测试用户 安装与依赖系统要求Python 3.x网络访问权限到目标Oracle OIM系统依赖安装# 安装必要的Python库pip...") # 假设的攻击链：创建用户，然后向/roles发送POST请求进行权限提升 role_payload = {'roleName': 'SystemAdministrators...（CPU）限制对身份管理器REST API的访问对应用程序进行分段或防火墙保护如果不需要，禁用REST WebServices监控日志中的异常API行为6HFtX5dABrKlqXeO5PUv/ydjQZDJ7Ct83xG1NG8fcAMrhU5MAd8e2t0IfbZqn6jM

    10110

    从0开始构建一个Oauth2Server服务 授权范围 Scope

    范围应被视为应用程序向使用该应用程序的用户请求许可。 定义范围 作用域是一种让应用程序请求对用户数据进行有限访问的机制。 为您的服务定义范围时的挑战是不要因定义太多范围而忘乎所以。...让我们使用一个服务示例，该服务提供使用许可内容的高级功能，在本例中，该服务提供一个 API 来聚合给定区域的人口统计数据。用户在使用服务时收取费用，费用根据查询区域的大小而定。...登录到使用 API 的完全不同部分的应用程序的用户希望确保此应用程序无法使用人口统计 API，因为这会导致该用户产生费用。在这种情况下，服务应该定义一个特殊的范围，比如“人口统计”。...人口统计 API 应仅响应来自包含此范围的令牌的 API 请求。 在此示例中，人口统计 API 可以使用令牌自省端点来查找对此令牌有效的范围列表。...如果响应在范围列表中不包含“人口统计”，端点将拒绝使用 HTTP 403 响应的请求。 用户界面 用户在授权应用程序时看到的界面需要清楚地显示应用程序正在请求的范围列表。

    1.1K30

    「应用安全」OAuth和OpenID Connect的全面比较

    因此，OAuth上下文中的授权可以说是用户向客户端应用程序授予权限的过程。 下图描绘了到目前为止所解释的概念。 此图说明了授权页面（用户授予客户端应用程序权限的页面）中的哪些部分用于身份验证和授权。...如果Web API的预期用户仅限于封闭组，则授权服务器的管理员可以在每次请求他/她时注册客户端应用程序。事实上，有一家公司的管理员为每个注册请求手动键入SQL语句。...但是，如果要向公众开放Web API，此类操作将无法运行，您将意识到必须为客户端应用程序提供合适的管理控制台。...如果您成功确保了开发授权服务器和Web API的预算，但忘记了为客户端应用程序确保管理控制台的预算，则会导致“已实现Web API但无法向公众开放”。...并且在令牌端点的实现中，授权服务器使用（a）客户端应用程序呈现的代码验证器和（b）客户端应用程序在授权端点处指定的代码质询方法来计算代码质询的值。

    3.6K60

    猫头鹰的深夜翻译：对于RestAPI简单的基于身份的权限控制

    权限的错误分配会阻止用户访问所需的系统，甚至是允许非授权用户访问限制区域或是执行危险操作。 在这篇文章中，我会介绍如何对应用开启权限控制。...跟踪每一个角色的有效操作将会变得很艰难，几乎肯定会导致依赖于不准确或过时的文档，或者更糟糕的是 - 分散在您的应用程序中的未知，非托管权限。...例如，可以将@secure实现为基于角色的检查，但也可以使用访问控制列表（ACL）。比如，检查当前用户是否列在订单的ACL列表中。...根据其他条件，访问可以仅限于应用程序端点的子集。例如，虽然version端点对所有人开放，但secret端点仅对经过身份验证的用户开放。...否则，在到达任何内部应用程序代码之前拒绝进一步访问。

    1.3K40

    GPT3 探索指南（三）

    用户界面 整合 Answers 端点 生成相关且准确的答案 使用带有 Answers 端点的文件 技术要求 本章需要您访问 OpenAI API。...您可以通过访问 openapi.com 来请求访问权限。...因此，在 Express 服务器运行时，应用程序可在网上访问，并通过浏览器窗格中的 URL 访问。此外，当您进行更改时，您需要点击Stop按钮然后点击Run按钮来停止和重新启动 Express。...当使用 Answers 端点时使用预先上传的文件时，与使用 HTTP 请求提供文档时一样，你不仅仅限于只有 200 个文档。...您可以通过访问openai.com来请求访问权限。 上线 OpenAI 将活动的应用程序定义为向超过五个人提供 API 输出的任何应用程序。这包括您公司或组织中的人员。

    91100
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券