web安全
汤青松
汤青松 外号 daxia 安全工程师
展开
-
安卓开发开发规范手册V1.0
安卓开发开发规范手册V1.0之前发布过一份Web安全开发规范手册V1.0,看到收藏文章的读者挺多,发现整理这些文档还挺有意义。最近周末抽了些时间把之前收集关于安卓安全开发的资料也整理了一下,整理出一份安卓安全开发手册,大部分内容都是在一些博客看到各位师傅的分享。一、manifest文件安全1.1 禁止PermissionGroup的属性为空PermissionGroup可以对permi...原创 2019-09-03 21:33:01 · 353 阅读 · 0 评论 -
Web安全之XSS Platform搭建及使用实践
一、背景XSS Platform 是一个非常经典的XSS渗透测试管理系统,原作者在2011年所开发,由于后来长时间没有人维护,导致目前在PHP7环境下无法运行。笔者最近花了一点时间将源码移植到了PHP7环境中,同时增加安装功能;另外还修复之前的代码的一些不严谨语法的问题,并调整了一些表单的样式,同时将源代码放到GitHub当中,给有需要的同行研究,为了简化安装步骤,特意写一篇文章来帮助大家。...原创 2018-12-08 16:47:43 · 728 阅读 · 0 评论 -
使用docker快速搭建Permeate渗透测试系统实践
一、背景笔者最近在做一场Web安全培训,其中需要搭建一套安全测试环境;在挑选渗透测试系统的时候发现permeate渗透测试系统比较满足需求,便选择了此系统;为了简化这个步骤,笔者将系统直接封装到了docker当中,同时编写了一套启动文档,希望到时候给学员和读者参考。二、操作实践数据库搭建permeate搭建安装配置三、数据库搭建permeate渗透测试系统使用的数据库是MySQL...原创 2018-11-26 22:43:30 · 767 阅读 · 0 评论 -
Web安全开发规范手册V1.0
一、背景团队最近频繁遭受网络攻击,引起了部门技术负责人的重视,笔者在团队中相对来说更懂安全,因此花了点时间编辑了一份安全开发自检清单,觉得应该也有不少读者有需要,所以将其分享出来。二、自检清单检查类型说明检查项输入验证概述任何来自客户端的数据,如URL和参数、HTTP头部、 Javascript戓其他嵌入代码提交的信息,都属于不可信数据。在应用外部边界或内部每个组件...原创 2018-11-21 16:23:54 · 1057 阅读 · 1 评论 -
遭受刷验证码攻击后的企安建设规划感想
背景公司上市不到两周,便遭受到了黑客攻击,其中笔者团队的验证码比较容易识别,攻击者通过ORC识别刷了10几万的短信,除了造成一笔资金开销外,也给服务器带来了很大的压力;并且在阿里云的控制台当中每天都能看到很多攻击信息,却没有拦截,原因是没有购买WAF防火墙,售后也频繁催促购买其安全设施;所以技术负负责人也开始重视起安全问题来,笔者因为懂一些安全技术,所以老大希望笔者在这方面做一些规划指导,周末...原创 2018-11-13 12:01:45 · 238 阅读 · 0 评论 -
基于Docker搭建Jumpserver堡垒机操作实践
一、背景笔者最近想起此前公司使用过的堡垒机系统,觉得用的很方便,而现在的公司并没有搭建此类系统,想着以后说不定可以用上;而且最近也有点时间,因此来了搭建堡垒机系统的兴趣,在搭建过程中参考了比较多的文档,其中最详细的还是官方文档,地址如下所示:Jumpserver 文档二、操作概要1. 系统运行2. 配置入门3. 测试验证三、系统运行在官方文档中安装堡垒机有很多种方法,这让笔者...原创 2018-10-30 22:59:43 · 539 阅读 · 0 评论 -
通过代码审计找出网站中的XSS漏洞实战(三)
一、背景笔者此前录制了一套XSS的视频教程,在漏洞案例一节中讲解手工挖掘、工具挖掘、代码审计三部分内容,准备将内容用文章的形式再次写一此,前两篇已经写完,内容有一些关联性,其中手工XSS挖掘篇地址为快速找出网站中可能存在的XSS漏洞实践(一)https://segmentfault.com/a/1190000016095198本文主要记录通过代码审计的方式进行XSS漏洞挖掘,分为了找出关键位置...原创 2018-10-09 12:55:16 · 530 阅读 · 0 评论 -
通过Web安全工具Burp suite找出网站中的XSS漏洞实战(二)
一、背景笔者6月份在慕课网录制视频教程XSS跨站漏洞 加强Web安全,里面需要讲到很多实战案例,在漏洞挖掘案例中分为了手工挖掘、工具挖掘、代码审计三部分内容,手工挖掘篇参考地址为快速找出网站中可能存在的XSS漏洞实践(一)https://segmentfault.com/a/1190000016095198本文主要记录利用Web安全工具Burp suite进行XSS漏洞挖掘部分,分为了设置代理...原创 2018-10-08 10:09:15 · 2756 阅读 · 0 评论 -
快速找出网站中可能存在的XSS漏洞实践(一)
一、背景笔者最近在慕课录制了一套XSS跨站漏洞 加强Web安全视频教程,课程当中有讲到XSS的挖掘方式,所以在录制课程之前需要做大量实践案例,最近视频已经录制完成,准备将这些XSS漏洞的挖掘过程记录下来,方便自己也方便他人。 在本篇文章当中会一permeate生态测试系统为例,笔者此前写过一篇文章当中笔者已经讲解如何安装permeate渗透测试系统,因此这里不再重复讲解如何安装此渗透测...原创 2018-08-21 17:52:31 · 1040 阅读 · 0 评论 -
利用PHP扩展Taint找出网站的潜在安全漏洞实践
一、背景笔者从接触计算机后就对网络安全一直比较感兴趣,在做PHP开发后对WEB安全一直比较关注,2016时无意中发现Taint这个扩展,体验之后发现确实好用;不过当时在查询相关资料时候发现关注此扩展的人数并不多;最近因为换了台电脑,需要再次安装了此扩展,发现这个扩展用的人还是比较少,于是笔者将安装的过程与测试结果记录下来,方便后续使用同时也让更多开发者来了解taint taint扩展作...原创 2018-08-16 11:09:58 · 233 阅读 · 0 评论