文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

我在Android应用中发现硬编码的Facebook和Google API密钥（以及为什么这是个坏主意）

我在Android应用中发现硬编码的Facebook和Google API密钥（以及为什么这是个坏主意）☕ 逆向分析APK很有趣...直到你发现生产环境密钥就这么赤裸裸地躺在代码里。...这些凭证包括Facebook App ID、Facebook Client Token、Google API Key等敏感标识符。...✅ Google API密钥验证尝试使用该密钥调用地理编码API：curl "https://maps.googleapis.com/maps/api/geocode/json?...：通过HTTPS端点动态获取使用NDK混淆并存入Android Keystore对于Google API密钥：按应用包名和SHA-1指纹限制仅开放必要API权限 核心原则：只要存在于APK中的内容，就不算秘密...通过负责任地披露，您正在帮助提升应用安全性。如果您是开发者——请立即轮换密钥并检查构建流程。 披露声明：已通过正规渠道通知受影响企业，本文所有数据均已脱敏处理。

26110
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    Google正式推出第三代翻译API，让企业在地化专有名词翻译

    Google释出最新的第三代翻译API正式版本，这个版本强调在地化，让企业可以根据需求，依特定的地区用词或是品牌等专用名词进行翻译转换，而新提供的批次操作，则让用户以单一操作将档案翻译成多语言，有效简化翻译流程...由于使用者的需求，Google改善第三代翻译API的灵活性，用户可以选择使用自定义的模型以及预训练模型。...但Google提到，AutoML Translation只能满足部分客制化的需求，而翻译API则能提供更精细的控制，现在这两者更好地整合在一起。...另外，在第三代翻译API中，使用者可以自定义特定名词或是术语的翻译，像是内容中的品牌名称，或是国际企业的网页在地化翻译，用户只需要为来源语言和目标语言，创建企业特定的名称以及专有名词对照表，并将这个档案储存至翻译的专案中...目前第三代翻译API提供企业每月前50万个字免费翻译，而Google也提供了第二代API转换到第三代的指南，帮助使用者进行转换。

    87310

    Fortify软件安全内容 2023 更新 1

    Fortify Software Security Research （SSR） 很高兴地宣布立即推出 Fortify Secure Coding Rulepacks（英语，版本 2023.1.0）、Fortify...Go是由Google设计的静态类型开源语言，其目的是使构建简单、可靠和高效的软件变得容易。Go 在语法上类似于 C，但具有内存安全机制、垃圾回收和结构类型。...这些现在可以通过属性进行自定义，并且跨语言更加一致，并且默认正则表达式已受到限制以最大程度地减少误报。...凭据 – 在建议时不再在 google-services.json 中找到凭据管理：硬编码的 API 凭据 – 减少了 Facebook 修订密钥上的误报跨站点脚本 – 删除了在 VB6 Windows...API 服务器授权Kubernetes 配置错误：缺少 API 服务器授权Kubernetes 不良实践：缺少 Kubelet 授权Kubernetes 配置错误：缺少 Kubelet 授权Kubernetes

    10.6K30

    Fortify软件安全内容 2023 更新 2

    在这种情况下，“机密”是指密码、API 令牌、加密密钥和应保密的类似工件。...配置错误：DocDB 弹性缺少客户管理的加密密钥AWS CloudFormation 配置错误：DynamoDB 备份已禁用AWS CloudFormation 配置错误：EC2 缺少客户管理的加密密钥...AWS CloudFormation 配置错误：ECR 缺少客户管理的加密密钥AWS CloudFormation 配置错误：EFS 缺少客户管理的加密密钥AWS CloudFormation 配置错误...：ElastiCache 缺少客户管理的加密密钥AWS CloudFormation 配置错误：FinSpace 缺少客户管理的加密密钥AWS CloudFormation 配置错误：FSx 缺少客户管理的加密密钥...CloudFormation 配置错误：密钥管理器缺少客户管理的加密密钥AWS CloudFormation 配置错误：无服务器拒绝服务AWS CloudFormation 配置错误：时间流缺少客户管理的加密密钥

    25200

    代码测试工具Fortify 最新版本Fortify25.4发布，新增多个人工智能方向的风险类别

    对于软件开发组织来说，Fortify可以很方便地集成到开发环境中，在编码阶段实现“测试左移”，对于第三方软件评测机构来说，Fortify也是在代码测试领域开展测试的常规采购工具之一。...在Fortify发布的最新版本Fortify25.4中，已经可以支持33+ 种语言的 1511 个漏洞类别，涵盖超过 100 万个单独的 API。...类型提示使用 Python 3.7+ 构建 API。...6、JavaScript 和 TypeScriptGoogle Vertex AI 是一个 AI 开发平台，用于构建和使用生成式 AI 模型，包括 Google 的 Gemini、Imagen、Chirp...缺少客户管理的加密密钥AWS Terraform 配置错误：SecretsManager 缺少客户管理的加密密钥AWS Terraform 配置错误：Secrets Manager 缺少客户管理的加密密钥

    29010

    【2024更新】如何使用google index api来自动提交url

    bing和baidu都好说，直接去开通api即可，但是google就比较麻烦，需要下载验证文件。...所幸，经过一番摸索，终于找到了正确的使用google index api的办法，特此记录。2....创建api访问google api console，选择刚刚创建的项目（你也可以选择其他已经有的项目）点击启用web search indexing api启用成功之后，会自动跳转到下面的界面，点击创建凭据设置凭据类型...，按照图中的选择，然后点击下一步设置服务账号名称，随便写，然后点击继续角色这里选择owner，选择完之后点击继续这里服务账号填写右边红框圈起来的账号，然后点击完成点击左侧“凭据”，然后点击服务账号里刚刚添加的账号然后点击密钥点击添加密钥...参考文章：【2024更新】如何使用google index api来自动提交url

    1.6K10

    完整教程：沉浸式翻译插件安装、使用与OpenAI API Key配置指南

    需要注意的是，在某些特殊页面（如浏览器设置页）或移动端应用内嵌的网页视图中，悬浮球可能不会显示。...不同的引擎在翻译质量、速度、支持的语言种类以及是否需要配置 API 密钥（可能涉及额外费用）等方面各有优势。...(图片描述): “沉浸式翻译”设置面板截图，清晰地展示了标有“翻译服务”的下拉菜单，菜单中列出了多个可供选择的翻译引擎，包括 Google、DeepL、百度、腾讯等。...进阶技巧：配置 OpenAI API Key，解锁更强大的翻译能力对于有更高翻译质量要求或特定需求的用户，“沉浸式翻译”允许你配置自定义的 API 密钥。...OpenAI API 密钥 (OpenAI API Key) 配置指南：要让“沉浸式翻译”插件能够调用 GPT 模型进行翻译，你需要拥有一个 OpenAI 的 API 密钥，这相当于一个授权凭证。

    6.2K00

    跟着大公司学数据安全架构之AWS和Google

    同时不仅限于数据库连接串，也支持各种密码API密钥，密码的管理。 ?...三、 加密 HSM/KMS是个基础设施提供密钥服务，真正的数据则在传输中、静态、使用中都进行了加密，Google和amazon都花了很多篇幅来说明加密。...Amazon提供了Macie，Google提供了DLP API，基本上这两个工具是数据防泄漏的核心工具，特别值得一提的是Google的DLP API，其中的部分功能走在了行业的前列。...2、DLP API Google的DLP API功能比较丰富： 分类识别：采用了上下文分析、模式匹配、校验和、单词和短语列表这四种。同样也支持自调整和关键字搜索、正则表达。...和Amazon相比，缺少算法的支持，但支持了多个国家的检测器模板，包括中国（但只有护照号码）。 ? 编辑和解除身份：字面翻译是这个意思，但本质上是将数据流通过API进行脱敏动作。

    2.3K10

    agno v2.3.3 发布：引入上下文压缩与内存优化，增强文件搜索和异步支持

    /models/google/gemini/file_search_advanced.py • RAG 文件搜索流水线示例：cookbook/models/google/gemini/file_search_rag_pipeline.py...AWS Bedrock API Key 支持 • 新增对 AWS Bedrock API 密钥的支持。 3. AWS Claude 兼容性增强 • 增加对思考模型与缓存功能的支持。 4....异步知识检索 • 修复因缺少异步版本的 get_user_message，导致异步知识检索失败的问题。 2....• 修复工具调用缺少助手消息的问题。 四、本次版本主要变更总结（What's Changed） • 修正文档链接失效问题。 • 修复异步知识检索逻辑。 • 改进团队类的 JSON 输出逻辑。...• 优化 AWS Claude 兼容性及 API 密钥支持。 • 增加 Gemini 文件搜索支持。 • 修复测试用例中异步知识访问的稳定性问题。

    14110

    看我如何发现Google云平台漏洞并获得$7500赏金

    API管理接口Google Cloud Endpoints来完成，但值得一提的是，Google Service Management服务的一个有意思的API接口。...步骤如下： 在以上最后一张图中，可以看到各种通过API来实现的功能方法，其中就包含了一些红框标注的隐藏方法。...谷歌云端控制台（Google Cloud Console）使用多个公开和私有的Google API，和自己的客户端程序，以及API密钥AIzaSyCI-zsRP85UVOi0DjtiCwWBwQ1djDy741g...”（时间戳哈希）的值，论坛中其它多种生成SAPISIDHASH的方式，与本漏洞无关； “X-Origin”：也称 “Origin”, 是这里SAPISIDHASH部分和客户端对访问网站进行受信验证不可缺少的头信息...如果用户设置了具备Google API 密钥或Google认证令牌的API，来对合法客户进行认证，那么，攻击者可以绕过这种身份验证机制。

    2.6K80

    APP Https双向认证抓包

    在一次测试中偶然遇到一个https双向认证的手机app（fiddler抓包提示需要提供客户端证书），平时一梭子能搞定地抓包姿势没有效果了，本着所有客户端发出的数据都是操控的想法，决定搞一搞，无非是采用什么方式的问题...关键代码在函数m8196a中，具体代码如下：（因为没有写过相关双向认证和keystore的相关代码，只能通过java api 文档查查函数说明，补充了注释） String str = "X509"...Pkcs12格式，暴露了我对证书相关格式的盲区，google告诉我用keytool可以进行证书格式的转换，如下： ? Emmmm？...没有任何关于密钥的代码。感觉事情并不寻常，可能掉到了什么诡异的坑里。 1. 代码不完整，可能密钥没脱出来 2....还是失败，推测可能是证书信任或者服务端证书缺少的问题 ，将另一个bks库中的ca证书和server证书导出，导入到windows证书库中，成功抓包： ?

    4.3K11

    Google Workspace全域委派功能的关键安全问题剖析

    ： 启用了全域委派权限后，恶意内部人员可以冒充Google Workspace域中的用户并使用访问令牌来验证API请求。...需要委派的 GCP 服务帐户才能创建与 Google 服务交互、访问 Google API、处理用户数据或代表用户执行操作的应用程序。 什么是服务账户？...其中包括服务帐户的客户端ID和客户端密钥，以及访问用户数据所需的范围。...其中，服务帐号密钥日志将显示在GCP日志中，而Google密钥生成和API调用执行日志将显示在Google Workspace日志中。...在下图中，显示了一个Cortex Web接口的XQL查询，该查询可以在GCP审计日志中搜索服务账号的密钥创建行为： 等价的Prisma Cloud RQL语句： 下图显示的是查询服务账号授权日志的XQL

    1.7K10
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券