51CTO首页
内容精选
博客
学堂
精培
企业培训
CTO训练营
智能汽车
开源基础软件社区
WOT全球技术创新大会
公众号矩阵
移动端
免费课程课程排行直播课软考学堂
精品班厂商认证IT技术2023年软考PMP项目管理
在线学习企业服务
CTO训练营技术经理研习营LeaTech峰会
文章资源问答开源课堂专栏直播
51CTO
开源基础软件社区
51CTO技术栈
51CTO官微
51CTO学堂
51CTO博客
CTO训练营
开源基础软件社区订阅号
51CTO学堂APP
51CTO学堂企业版APP
开源基础软件社区视频号
账号设置 退出

应用安全

5014内容  
主要涵盖应用安全相关的新闻资讯、防御技术、平台工具、解决方案、应用领域以及应用案例等。
文章
共 5014 条
基于ngx_lua模块的WAF开发实践
WAF主要分为硬件WAF和软件防火墙，硬件WAF如绿盟的NSFOCUS Web Application Firewall，软件防火墙比较有名的是ModSecurity，再就是代码级别的ngx_lua_waf。

2015-03-10 18:13:08

WAFWAF开发
Web应用开发人员最易犯的九个安全错误
Web应用程序开发是一个很宽泛的话题。本文仅讨论Web应用开发者应当避免的安全错误。这些错误涉及到任何开发者都不应当忽视的基本安全原则。

2015-03-10 10:35:41

Web应用开发Web安全
如何确定渗透测试是否行之有效? 译文
本文介绍了在如今高级持续性威胁(APT)攻击泛滥成灾的大环境下，渗透测试是不是一项值得为之的工作。

2015-03-03 09:13:22

渗透测试
ThinkPHP框架安全实现分析
ThinkPHP框架是国内比较流行的PHP框架之一，虽然跟国外的那些个框架没法比，但优点在于，恩，中文手册很全面。最近研究SQL注入，之前用TP框架的时候因为底层提供了安全功能，在开发过程中没怎么考虑安全问题。

2015-03-02 14:00:54

WEB安全ThinkPHPSQL注入
IP.Board CMS恶意重定向分析
IP.Board CMS是一款著名的CMS系统，它允许用户很容易地创建和管理在线社区。而最近Sucuri的研究员最近发现了一个针对IP.Board的重定向。经过分析，研究员们发现这种攻击已经持续了2年之久了。

2015-02-26 13:37:07

IP.Board恶意重定向
如何更好地实施Web应用程序渗透测试?
企业越依赖网络通信和基于云的数据系统，就越容易遭受外部攻击者的攻击和破坏。在考虑Web应用程序的数据安全问题时，确立渗透测试方法变得日益重要……

2015-02-26 09:19:00

渗透测试Web应用程序
暗网搜索引擎Memex：美帝最新制造的犯罪追踪神器
早在一年前，美国国防部先进研究项目局(DARPA)曾透漏过一个秘密项目——一款新型搜索引擎，通过深度挖掘暗网(Dark Web)，获取Google搜索和其他商业搜索引擎未能涉及到的所有隐秘信息。现在，它已经悄然问世。

2015-02-13 16:54:00

暗网网络犯罪暗网搜索引擎
漏洞分析：一个Markdown解析器的持久型XSS漏洞
Markdow解析器的安全现状如何?有没有对用户输入的数据做过滤?事实上，很多markdown解析器都没有过滤用户输入的数据，那么如果markdown被用于添加用户评论等功能的时候，就有可能存在安全风险。

2015-02-10 14:32:37

XSS漏洞XSS
多步CSRF漏洞场景及其利用
平时大家讨论的CSRF利用多是发送一次请求。比如CSRF刷粉丝，CSRF发微博。本文主要讨论一个稍微复杂点的利用场景。

2015-02-10 13:24:27

CSRF漏洞CSRF
RansomWeb:一种新兴的web安全威胁
目前越来越多的人成为勒索软件的受害者，恶意软件会加密你的计算机直到你愿意交保护费，最新的趋势发现，网站已经成为犯罪分子的攻击目标，犯罪软件会加密你的数据库直到你付钱。

2015-02-04 14:18:06

web安全RansomWeb
对抗机器人：打造前后端结合的WAF
由于Web 程序的特殊性，前端脚本的参与能大幅弥补后端的不足，从而达到传统难以实现的效果。攻防本为一体，既然能用于攻击，类似的思路同样也可用于防御。如果将前端技术结合到传统的WAF中，又能有如何的改进?

2015-01-22 09:56:45

WAF应用层防火墙Web安全
详解Web服务器安全攻击及防护机制
Web服务器攻击常利用Web服务器软件和配置中的漏洞，针对这些漏洞最佳做法是遵循一些方法搭建并运行Web服务器，本文详解了Web服务器保护的一些方法。

2015-01-20 09:35:52

Web服务器安全Web安全
超级Cookie可致隐私模式失效 仍可追踪用户信息
英国伦敦的一名软件开发者已发现了一串代码，能在浏览器的隐私模式中执行普通会话，这将导致隐私模式的失效。

2015-01-15 09:59:53

浏览器安全Cookie安全漏洞
利用内容安全策略探测网站登陆状态
内容安全策略(Content Security Policy，简称CSP)是一种以可信白名单作机制，来限制网站中是否可以包含某来源内容。默认配置下不允许执行内联代码。

2015-01-13 09:08:54

内容安全策略CSP
HTTPS可被设置成超级跟踪器 且无法根除
有人认为如果浏览器在用户每次访问HTTPS网站的时候都必须做一次重定向，是一件很麻烦的事情。所以HSTS的作者创造了一种机制，让浏览器记住用户已访问网站的HSTS策略。安全研究人员山姆·格林哈尔希(Sam Greenhalgh)发现，这种具有安全特性的HTTPS网络协议，可以在一些浏览器中变得具有跟踪特性，并且无法根除。

2015-01-09 09:41:16

HTTPSHTTPS安全COOKIE
我是如何发现一枚Cisco XSS漏洞的
我在Cisco的IOS SoftwareChecker中找到一枚XSS（跨站脚本）漏洞，漏洞本身并不复杂，在此与大家分享漏洞发现的整个过程。

2015-01-04 15:36:52

XSS漏洞XSS
企业应该如何防范HTTPS伪造证书?
最近未经授权的HTTPS证书成为热门新闻话题，其中有些证书还是来自已熟知/理应可信的供应商的根存储。那么，企业应该如何防范这些伪造证书?

2014-12-31 10:04:44

HTTPS证书伪造证书数字证书
常见HTTPS攻击方法解析
针对于HTTPS的攻击，多存在于中间人攻击的环境中，主要是针对于HTTPS所使用的压缩算法和CBC加密模式，进行side-channel-attack。这几类攻击的前置条件都比较苛刻，且都需要受害主机提交很多次请求来收集破译关键数据的足够信息。

2014-12-31 09:10:57

HTTPShttps攻击方法CRIME
如何为WordPress做安全防护?
wordpress是国人搭建个人博客的首选，其地位等同于论坛搭建首选discuz。wordpress以丰富的插件(插件漏洞)闻名，因此攻击者一般会对wordpress来个指纹识别(除去找暴力破解/社工后台登陆口的快捷方法)。

2014-12-17 10:05:58

wordpressWordPress防护
如何使用ssdeep检测webshell
最新版本的ModSecurity增加了ssdeep检测webshell的接口，于是猛地回忆起搞客户端安全(游戏安全)的时候买过一本书《恶意软件分析诀窍与工具箱-对抗“流氓”软件的技术与利器》，这本书就提到了使用ssdeep来查找恶意软件(webshell是恶意软件的一种，安全领域是互通的嘛)，本文介绍如何使用它来检测webshell。

2014-12-16 10:28:49

webshell检测ssdeep
WAF防御能力评测及工具
本篇文章介绍如何从常规攻击的防御能力来评测一款WAF。一共覆盖了十六种攻击类型，每种类型均从利用场景(攻击操作的目的)，注入点(漏洞产生的地方，比如说大多数WAF都会较全面地覆盖来自GET请求的攻击，有选择地覆盖来自POST请求的攻击而忽略来自请求头的攻击)和绕过方式来评测，最后附上评测代码。

2014-12-16 10:23:59

WAFwaf测试工具WAF防御
如何打造一款可靠的WAF
本篇文章从WAF产品研发的角度来YY如何实现一款可靠的WAF，灵感来自ModSecurity等，感谢开源。

2014-12-16 10:11:22

WAFWeb应用防火墙
如何全面掌控session?且看WebSocket跨站劫持
WebSockets是一个能够给单TCP连接提供全双工信道的HTML5特性。它的持续性连接功能，使得构建B/S模式的实时应用成为可能。Websockets常常用在那些带有聊天功能的WEB应用上。

2014-12-15 13:21:43

WebSockets跨站劫持漏洞
手把手教你阻止Web应用存储敏感数据
应用安全专家Michael Cobb探讨了缓存控制头域(cache-control header)代码如何帮助防止Web应用存储敏感数据。

2014-12-11 16:32:38

应用安全Web应用缓存控制头域
安全专家并非都靠谱 实践才是硬道理
安全代码实践，即用一种无漏洞、防止黑客盗取数据的方式来编写应用程序。这并非全新的理念，早在10年前，就有应用安全专家提出了安全信息代码的话题。

2014-12-09 10:30:42

应用安全软件安全测试
实施URL过滤的最佳十法
URL过滤能够增强网络安全，并强化公司资源的使用策略，对于多数工作场合是一项必需的措施。其实施并不难，但如果企业遵循最佳方法就可以使其实施过程更容易和高效。

2014-11-27 09:09:27

URL过滤Web安全内容过滤
为什么要部署Web应用防火墙?
大型的Web应用易受多种攻击，如SQL注入和跨站脚本攻击漏洞，由此可以造成宕机时间、效率降低、数据失窃、违规罚款、品牌受损、服务中断、客户不满等。为保护Web应用程序，建议企业利用Web应用防火墙。

2014-11-24 09:16:14

Web应用安全Web应用防火墙
web扫描爬虫优化
公司要弄自动化的扫描工具，目前市面上的工具都无法针对业务进行检测，所以只能自己开发。辣么，就有个问题，爬虫需要自己去写。

2014-11-14 17:23:29

web扫描爬虫
SSLStrip终极版——location瞒天过海
之前介绍了HTTPS 前端劫持的方案，虽然很有趣，然而现实却并不理想。其唯一、也是最大的缺陷，就是无法阻止脚本跳转。若是没有这个缺陷，那就非常完美了——当然也就没有必要写这篇文章了。说到底，还是因为无法重写location这个对象——它是脚本跳转的唯一渠道。

2014-11-11 17:16:54

SSLStrip
QCMS V2.0命令执行与暴绝对路径漏洞
QCMS是一款小型的网站管理系统。拥有多种结构类型，包括：ASP+ACCESS、ASP+SQL、PHP+MYSQL。

2014-11-10 11:49:01

QCMSQCMS漏洞安全漏洞
Google Drive是如何被用于钓鱼攻击的
黑客们的目标正在逐渐瞄准那些云存储服务，比如谷歌云端存储(Google Drive)。几天前，趋势科技的安全研究人员就发现了一个盗取用户敏感账户信息的钓鱼攻击活动。在这次的钓鱼事件中，攻击者精心制作了一个看似正常的Google Drive登录页面，用于盗取受害者的邮箱凭证。

2014-11-04 11:19:51

钓鱼攻击Google Driv
SSLStrip的未来——HTTPS前端劫持
在过去，流量劫持基本通过后端来实现，SSLStrip就是个典型的例子。类似其他中间人工具，纯后端的实现只能操控最原始的流量数据，这严重阻碍了向更高层次的发展，面临众多难以解决的问题。

2014-11-03 10:20:49

HTTPS前端劫持流量劫持SSLStrip
BYOD办公存隐患 企业应做到管理与安全并重 原创
BYOD的普及让企业员工实现高效办公，在为企业节省了IT成本之外，也让工作和生活变得密不可分。也正因为如此，越来越多的安全问题集中爆发，也让企业IT管理者们开始意识到BYOD带来的危机。

2014-10-27 10:06:57

BYOD无线安全企业安全
恶意软件隐藏新技巧——密写
“密写”技术在很多侦探小说和谍战电影中经常会出现。间谍用密写药水把情报写在白纸上，收到情报的上级再通过显影技术把情报还原出来。

2014-10-08 09:33:09

密写恶意软件
如何安装配置Apache中的mod_security和mod_evasive 译文
就Apache网站服务器而言，即便不是所有专家，至少也是绝大多数专家一致认为，mod_security和mod_evasive是两个非常重要的模块，可以保护Apache网站服务器远离常见的威胁。

2014-09-29 09:01:33

Apachemod_securitmod_evasive
JS投毒的另一种尝试
半个月前看了‍‍‍EtherDream写的那篇wifi流量劫持和JS投毒，随手就在公司实验室里折腾了一下，头一次接触这个领域，感觉挺新鲜的。

2014-09-17 14:37:06

JS投毒
恶意广告如何利用网络散播CryptoWall勒索软件
Blue Coat公司近日发现了一个恶意广告攻击，它利用ads.yahoo.com等大型合法广告网络进行CryptoWall勒索活动。在恶意广告攻击中，网络犯罪分子在广告网络中为他们的广告服务器获得合法地位，然后向知名度高的网站传播恶意广告。 这些广告看似合法，却向毫无戒心的用户提供恶意软件或其他有害软件。

2014-09-15 22:04:15

网络安全
美国国安局（NSA）秘密制造的隐私搜索引擎
据The Intercept获得的机密文件所述，美国国家安全局正在秘密向23个政府机构提供数据，其来源为一个“类谷歌”搜索引擎，它的数据库拥有超过8500亿条数据记录，包括电话号码，电子邮箱，手机地域，网络聊天信息。

2014-09-09 14:58:51

搜索引擎
选择Web应用扫描方案应重视的10个特性
Web应用扫描器的扫描方式和扫描特性在很大程度上决定着其功能是否强大。企业在选择Web应用扫描方案时应考虑10个重要的特性。

2014-09-05 09:31:09

Web应用扫描器Web应用安全
Blue Coat披露“一日游”网站带来的安全风险
2014年9月1日——业务保障技术领导厂商Blue Coat系统公司今天宣布，71%的网站主机名称(Hostnames)仅仅出现24个小时。

2014-09-01 15:07:18

Blue Coat网站安全
深度分析：二维码真的安全吗？
二维码自普及以来，无论是从它的便捷性，还是其安全问题，一直都是公众关注的焦点问题。“码”时代来势迅猛，不可阻挡，似乎一夜之间，二维码即遍布各电商平台、商场、网站、杂志、甚至车票上，二维码迅速成为移动互联网时代的新宠儿。

2014-08-27 08:59:28

二维码二维码安全二维码漏洞
百度手机卫士开放三大能力 合作伙伴直接受益 原创
8月26日，百度手机卫士宣布将打造业界首个开放的移动安全平台，面向行业输出“支付安全保护、骚扰拦截、病毒查杀及漏洞检测”三大核心移动安全能力，以推动移动产业生态的健康安全发展。届时银行、支付类垂直领域、应用商店、运营商、开发者，以及开源社区等都将可以使用到百度领先的移动安全技术并因此获益。

2014-08-26 12:57:10

手机安全
架构师需把HTML5安全排首位之新功能带来新攻击
有了HTML5就增多了许多不同的攻击载体，在某些情况下，是由于新的特性而导致攻击范围的扩大，亦或者因为新的实施方案使得已经为人熟知的风险缓释技术变得毫无用处。

2014-08-26 10:54:20

HTML5移动安全HTML5攻击
架构师需把HTML5安全排首位之HTML5安全问题集锦
HTML5作为一种约定俗成的标准，推出了具有商业价值的基于PC浏览器的应用程序新服务，这同时也是移动应用程序领域内最具影响力的举动。

2014-08-26 10:43:52

HTML5HTML5安全移动开发
选择Web应用扫描方案应注意架构问题
使用当今精确的自动化扫描技术，不管应用数量有多大，企业都可以测试所有Web应用(包括开发中和正在使用的)。那么，企业在选择Web应用扫描方案时关注需哪些特性和功能?

2014-08-26 10:29:31

自动化扫描Web应用Web安全
移动办公时代企业需加强端点安全防御 原创
数年来，端点安全可谓是信息安全领域老生常谈的一个话题。端点主要包括PC、笔记本电脑、平板电脑、智能手机等手持设备和其它的特定设备。现在，许多公司认识到端点的安全问题的严重性绝不亚于网络和服务器。

2014-08-26 09:30:33

端点安全赛门铁克
走进科学：如何正确的隐藏自己的行踪
“匿名”指的是用一个未知或未被承认的身份标识符来让你的真实身份不同于你的唯一标识符，意思是说，我们的真实信息是被隐藏的。当我们说互联网的“匿名”，我们的意思是说 没有人知道我们的地点或者个人信息。

2014-08-21 08:59:44

隐藏行踪渗透匿名
比特币交易平台被盗事件全解析
就在2014年8月15日晚，国内著名的山寨币交易所比特儿遭到攻击，被盗5000万个NXT(未来币)。本事件一波三折，目前还在发酵中，但一场完全透明却匿名的网络犯罪却呈现在我们面前，这是历史上的首次。

2014-08-19 09:34:01

比特币被盗
XSS的原理分析与解剖
xss是一门又热门又不太受重视的Web攻击手法，为什么会这样呢，原因有下：耗时间、有一定几率不成功、没有相应的软件来完成自动化攻击、是一种被动的攻击手法等。

2014-08-13 18:47:46

XSS跨站脚本攻击Web攻击
揭秘渗透测试利器：Webshell批量管理工具QuasiBot
QuasiBot是一款php编写的webshell管理工具，可以对webshell进行远程批量管理。这个工具超越于普通的webshell管理是因为其还拥有安全扫描、漏洞利用测试等功能，可以帮助渗透测试人员进行高效的测试工作。

2014-08-13 10:39:19

webshell管理工QuasiBot渗透测试
上一页 1 ··· 7980818283 ··· 101
点赞

51CTO技术栈公众号

业务
速览
在线客服