![](https://img-blog.csdnimg.cn/20201014180756930.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
security
文章平均质量分 87
captain_hwz
安全打杂专业户
展开
-
基于AI Agent探讨:安全领域下的AI应用范式
关于AI应用,通常都会聊准召。但在安全等模糊标准的场景下,事实上不存在准召的定义。因此,AI的目标应该是尽可能的“像人”。而想要评价有多“像人”,就先需要将人的工作数字化。而AI Agent是能够将数字化、自动化、智能化这几个转变过程相对顺畅衔接起来的一种框架原创 2024-02-14 09:52:45 · 1936 阅读 · 1 评论 -
AI安全综述
AI安全这个话题,通常会引伸出来图像识别领域的对抗样本攻击。下面这张把“熊猫”变“猴子”的攻击样例应该都不陌生,包括很多照片/视频过人脸的演示也很多。对抗样本的研究领域已经具备了一定的成熟性,有一系列的理论来论述对抗样本的存在必然性等特征。从另一角度,也可以看成是通过对抗样本来研究模型的运算机理。但AI应用更成熟的搜广推等领域,就很少看到相关研究。我认为其原因在于,缺乏足够的攻击场景支撑。原创 2023-12-25 10:11:22 · 1802 阅读 · 1 评论 -
安全运营场景下的语言模型应用
通过近期的研究和一些简单试验,会认为NLP模型是提升算法在安全领域下发挥潜力的方向。它使得机器看到的内容和人保持一致,而不在局限于人工编码带来的上限。同时,借助预训练得到的知识储备,快速完成目标任务的学习和适用。但试验过程中,也会遇到一些困难,比如:1)目前NLP模型的输入长度都相对受限制。而安全运营场景下,尤其是在接入SOAR之后,一起事件的关联信息是相当丰富的。而将事件文本化,本身就会降低信息传输的效率,很难将文本长度压缩到目标范围内。这个时候,要么事先剥除无用信息,要么把文本做分段输入。原创 2023-05-01 17:05:14 · 678 阅读 · 0 评论 -
关于“对抗样本攻击”的思考
什么是“对抗样本攻击”各类图片攻击介绍白盒、黑盒为什么会存在“对抗样本攻击”因为样本空间是非常巨大的,尤其随着维度的增加,指数级增长。这种情况下,实际所能够使用的训练样本,远低于样本空间。这就类似于说,我告诉你1是好人,10是坏人,请确定大于多少是好人。而机器学习只能利用各种概率分布,去划定一个边界,可能是5。但事实上,4是不是坏人,6是不是好人,却并没有人能够告诉机器学习。而攻击者恰恰可以利用这个知识盲区,对机器学习发起攻击。在风控领域中,是否存在“对抗样本攻击”事实上,一直存在,黑产去压阈值原创 2021-02-13 16:19:07 · 1683 阅读 · 1 评论 -
安全模型和业务安全体系
网络安全和业务安全网络安全中,攻击者往往通过技术手段,以非正常的技术(XSS、Injection、Penestrating等),影响业务正常运行,窃取敏感数据。比如:某黑客通过SSRF进入内网,并在内网横向扩张,最终脱库成功。业务安全中,黑灰产基于非正常的资源(IP、手机号、身份信息等),通过正常的产品流程,获取利益,影响业务正常运营。比如:黑灰产通过大量手机号注册新号,获取企业新户奖励,最终...原创 2020-02-19 16:57:31 · 9635 阅读 · 1 评论 -
检测Chrome headless的技巧
原文链接:https://antoinevastel.com/bot%20detection/2018/01/17/detect-chrome-headless-v2.html更新:我创建了一个库,可以通过浏览器指纹来检测脚本和爬虫。这个库仍然在开发过程中,不过你可以开始尝试使用了。代码已经在Github上了,目前,我在测试一个新的检测方法,欢迎来进行挑战,并给出反馈。之前我写了一个博...翻译 2019-09-19 16:50:42 · 2767 阅读 · 0 评论 -
安全领域中如何有效的使用机器学习
今天看到Gartner分析师Augusoto Barros的一个博文,感觉深有同感,借着讨论下我对于机器学习与安全结合的一些想法。下面是翻译的原文:想要了解乙方安全厂商是如何利用机器学习来进行威胁检测,有一个非常重要的观点必须了解。一般来说,机器学习是用来区分已知的行为,但是会存在可变的参数。什么意思呢?也就是说,大多数情况下,我们知道恶意行为是什么,但不知道它具体是一个什么样的形式。举个...原创 2019-03-01 19:16:30 · 1570 阅读 · 0 评论 -
无痕渗透“INSERT INTO”型SQL注入
原文链接:http://www.mathyvanhoef.com/2011/10/exploiting-insert-into-sql-injections.html在某个寂静的深夜,你徘徊在一个网站中,其中包含一个可提交form,需要你输入一个昵称。你输入了一个单引号作为你的昵称,网站返回了一条异常信息:“You have an error in your SQL syntax”。机智的你很快明翻译 2016-12-30 12:46:06 · 20943 阅读 · 1 评论 -
securityoverridehacking challenge 解题思路汇总——Decryption
继Javascript的挑战(securityoverridehackingchallenge 解题思路汇总——JavaScript)之后,今天来进行解密的训练。加密算法在安全领域中有着重大的意义,它是很多安全设计的前提保障,因此许多加密算法都以官方的形式被公布出来,并被广泛使用。不过针对加密算法的攻击属于研究性质的工作,不论加密算法或者破解加密算法的方法已经提出,基本不会有太大变动。实际攻击中,原创 2015-08-12 17:45:47 · 956 阅读 · 0 评论 -
securityoverridehacking challenge 解题思路汇总——JavaScript
通过了Advanced部分( securityoverridehacking challenge 解题思路汇总——Advanced),下面就进入JavaScript了。总的来说,这个部分比较简单,因为JavaScript是高度可控的东西。也就是说,安全角度而言,JavaScript是不可信的。4 Javascript4.1 Login Bypass这题比较容易原创 2015-08-04 21:05:59 · 720 阅读 · 0 评论 -
securityoverridehacking challenge 解题思路汇总——Forensics
上一部分我们完成了加解密方面的任务(securityoverridehackingchallenge解题思路汇总——Decryption)。下一个部分应当是权限提升的,不过在这个过程中遇到了一些问题。发帖问了之后也说这部分有bug,因此一直没能成功,所以就暂时跳过了。那么今天的主题就是取证(Forensics)了。所谓取证,就是通过监听、中间人、第三方信息(whois)甚至是网页等本身,来收集原创 2015-09-05 11:15:37 · 1173 阅读 · 0 评论 -
securityoverridehacking challenge 解题思路汇总——Steganography
上一部分我们模拟了如何通过wireshark获取有用信息(securityoverridehackingchallenge 解题思路汇总——Forensics)。今天的题目是steganography,所谓steganography,基本上就是要你在文件中寻找隐藏的信息。所谓隐藏的信息,又和数字水印不同,通常情况下是通过各种文件格式,压缩方法,或者不可见位置来使得目标信息不能直观的被找到,属于CT原创 2015-09-26 02:32:49 · 617 阅读 · 0 评论 -
securityoverridehacking challenge 解题思路汇总——Advanced
继续上一篇securityoverridehacking challenge 解题思路汇总的工作,这次把Advanced给弄完了。这当中主要涉及到了关于php的一些攻击方法,可以以此为基础做一个深入的了解。3 Advanced3.1 PHP Sucks利用PHP中==的跨类型比较而产生的漏洞。最终目的是要$input=="0000". 这个好办,php中,任何数字型字原创 2015-08-03 23:12:56 · 861 阅读 · 0 评论 -
securityoverridehacking challenge 解题思路汇总——Programming
上一部分在steganography遇到了困难,直接跳过。于是就进入最拿手的programming部分了。这部分我是用python完成的,并且通过直接写入剪切板来提高提交速度。除了captcha的解析,其他基本都没什么难度。在这里我也不过多解释了,直接上代码,也没啥注释。6 Programming6.1 Basic String Manipulationimport sys,gtk原创 2015-10-02 11:58:09 · 640 阅读 · 0 评论 -
securityoverridehacking challenge 解题思路汇总——Realistic
进行了之前的各项练习之后,今天终于做到实战演练(Realistic)部分了。和前面相比,这部分最大的难度就在于,你并不知道攻击点在哪,攻击类型是什么。因此,必须从一个完整的网页中去一点点的寻找。当然,整个过程还是有一定的套路,以及常见可供入手的点。而在这部分训练中,都很好的模拟了出来。相信这对于实战的过程能够有很大的帮助。1 Realistic1.1 Realistic这题琢磨了原创 2015-10-26 10:48:01 · 932 阅读 · 1 评论 -
pwnable.kr解题write up —— Toddler's Bottle(一)
网站地址:pwnable.kr提供许多优质的ctf训练题,题目设计的都非常巧妙,适合思考。原创 2016-01-18 15:43:02 · 6728 阅读 · 0 评论 -
pwnable.kr解题write up —— Toddler's Bottle(二)
网站地址:pwnable.kr 提供许多优质的ctf训练题,题目设计的都非常巧妙,适合思考。原创 2016-01-21 15:12:12 · 4548 阅读 · 0 评论 -
securityoverride hacking challenge 解题思路汇总
最近在刷CTF题目,无意中找到了securityoverride这个网站,觉得还不错,题目比较循序渐进。也不是往常的以获取flag为目的的形式,而是单纯的通过实例来模拟真实场景。于是在这里把每一题的答案以及解题思路记录下来,方便自己整理。如果有人也想刷题,建议还是避免直接看答案,而是通过题目本身去进行搜索,这个过程也可以了解到很多新的概念,学习知识。另外,securityoverride本身支原创 2015-07-12 22:07:52 · 1028 阅读 · 0 评论