0X01 前言 甲方扫描器其中一个很重要的功能重点,就是无害化,目的是尽量降低业务影响到可接受程度. 做过甲方扫描器,基本上对于反馈都有所熟悉. "我们的服务有大量报错,请问和你们有关么" "我们的接口昨晚请求量飙升,这是扫描器造成的么" 扫描,应该尽量无感知. 无害化,是扫描器不同于SAST/IAST的一个难点(当然IAST有部署上的性能问题,偶尔的OOM.过高的资源占用也是大问题),是生存下去的必须考虑的一个点.扫描要有产出.要有效率,而业务侧更注重安全.有无业…

0X01 前言 大多数安全产品的大致框架 提高性能的目的是消费跟得上生产,不至于堆积,留有余力应对突增的流量,可以从以下几个方面考虑 流量:减少无效流量 规则:减少规则冗余请求 生产者:减少无效扫描任务 引擎:灵活扩缩容的分布式引擎节点 0X02 减少无效流量 2.1 URL 2.1.1 去重--去除重复流量 第三篇2.1.2 .2.1.3 说到去重.流量清洗服务,这里简单说一下去重: 同一个逻辑只有一条流量对于扫描器来说是有意义的,长得不同的流量扫描多了是浪费性能. 场景:有如第三篇 2.1.…

0X01 前言 转载请标明来源:https://www.cnblogs.com/huim/ 当项目功能逐渐成熟,同时需要实现的是运营流程和指标体系建设.需要工程化的功能逐渐少了,剩下的主要工作转变成持续运营以及功能迭代优化. 个人认为,项目应该以运营为目的推动工程化.至少,安全和开发的需求五五开,分隔开,避免项目建设都投在了工程化上而忽略了产出.以及真正的确切需求. 有过一段时间,专注于各方面功能开发,但没有着重在运营上,等季度末结算的时候,功能都已完成,但是漏洞产出却要赶.有的功能虽然做了,但…

0X01 前言 转载请标明来源:https://www.cnblogs.com/huim/ 本身需要对外有良好的服务能力,对内流程透明,有日志.问题排查简便. 这里的服务能力指的是系统层面的服务,将扫描器封装成提供给业务的业务服务能力不在该篇讲述范围内 0X02 简单的扫描 高端的漏洞往往用最朴实的扫描方法 最简单的扫描需求,只需要从数据库中读取数据,定期跑一遍所有规则就好了. 一个脚本更新资产,一个脚本定时读取数据.结合规则进行扫描.并把结果打到数据库里,一个脚本定时读取结果发邮件,这样就已经…

0X01 前言 怎么衡量一个扫描器的好坏,扫描覆盖率高.扫描快.扫描过程安全 而最直接的效果就是扫描覆盖率高(扫的全) 怎么扫描全面,1 流量全面 2 规则漏报低 流量方面上篇已经讲过,这篇主要讲扫描规则. 扫描规则漏报率低,从整体考虑,一方面是规则全,广度上有保证:一方面是检测手段有深度,可以跨能力联动检测,有能力解决主要和旁枝末节处的漏报场景 0X02 规则来源 扫描器的规则主要有两种类型 针对接口的web漏洞,通常是通用型漏洞,OWASP TOP 10,sql注入.xss.ssrf.xxe…

这两天看了很多web漏洞扫描器编写的文章,比如W12scan以及其前身W8scan,还有猪猪侠的自动化攻击背景下的过去.现在与未来,以及网上很多优秀的扫描器和博客,除了之前写了一部分的静湖ABC段扫描器,接下来有空的大部分时间都会用于编写这个扫描器,相当于是对自己的一个阶段性挑战吧,也算是为了完善自己的技术栈. 因为想把扫描器做成web应用,像W12scan,bugscan,AWVS那样的,部署好了之后登陆,添加需要扫描的url,自动化进行漏洞扫描,首先需要将扫描器的web界面完成,也就是前后端…

目录 [第一篇]ASP.NET MVC快速入门之数据库操作(MVC5+EF6) [第二篇]ASP.NET MVC快速入门之数据注解(MVC5+EF6) [第三篇]ASP.NET MVC快速入门之安全策略(MVC5+EF6) [第四篇]ASP.NET MVC快速入门之完整示例(MVC5+EF6) [番外篇]ASP.NET MVC快速入门之免费jQuery控件库(MVC5+EF6) 请关注三石的博客:http://cnblogs.com/sanshi 表单身份验证(Forms Authenticat…

qqzoneQQ空间漏洞扫描器的设计attilax总结 1.1. 获取对方qq(第三方,以及其他机制)1 1.2. QQ空间的html流程1 1.3. 判断是否有权限1 1.4. 2015年度Web服务器安全漏洞 TOP51 1.5. 2014年互联网十大安全漏洞及思考_安全_比特网.htm1 1.6. OWASP十大安全漏洞分别是: 2 1.1. 获取对方qq(第三方,以及其他机制) 1.2. QQ空间的html流程 http://user.qzone.qq.com/314087978 htt…

原文:第三篇--第二部分--第二文 计划搭建SQL Server镜像 本文紧跟上一章:SQL Server镜像简介 本文出处:http://blog.csdn.net/dba_huangzj/article/details/27203053 俗话说:工欲善其事必先利其器.计划好如何部署和使用镜像,可以减少很多不必要的风险.本文将按照三步骤的形式展示,但是要注意这不是唯一的标准,具体情况具体分析. 第一步:了解环境 在搭建SQL Server镜像时,必须先了解你所要部署的环境,才能决定镜像的配置项…

公众号:SAP Technical 本文作者:matinal 原文出处:http://www.cnblogs.com/SAPmatinal/ 原文链接:[HANA系列][第三篇]SAP HANA XS的JavaScript安全事项   前言部分 大家可以关注我的公众号,公众号里的排版更好,阅读更舒适. 正文部分 我们都知道web程序都有潜在的安全隐患问题,那么SAP HANA XS的JavaScript也是一样,使用服务器端JavaScript编写应用程序代码,也有潜在的外部攻击(和风险). 下…