登录社区云，与社区用户共同成长
邀请您加入社区
p0f是一款百分之百的被动指纹识别工具。该工具通过分析目标主机发出的数据包，对主机上的操作系统进行鉴别，即使是在系统上装有性能良好的防火墙也没有问题。p0f主要识别的信息如下：操作系统类型；端口；是否运行于防火墙之后；是否运行于NAT模式；是否运行于负载均衡模式；远程系统已启动时间；p0f 参数-f file- 指定指纹数据库路径，不指定则使用默认数据库。(默认：/etc/p0f/p0f.fp)-
假货特别挑选了大小形状很相似的瑞昱RTS5772DL（这里没有贬低瑞昱公司的意思，只是揭秘假货），但是瑞昱主控是正方形四角尖尖的，三星凤凰主控则是如后图中所示有近圆角和削边，标签纸的覆盖位置、揭开标签之后主控表面激光打标也不一样，切记！假盘的颗粒可能是单面四颗粒无缓存布局，或者是双面颗粒布局，而正品的颗粒是紧挨着排列的，而且是三星自产自封装的颗粒，如果发现了不是三星的丝印，那基本上是假的没跑。需要
Checkmarx是以色列研发的一款代码审计工具，使用.NET开发，CheckMarx CsSAST仅仅支持windows安装，只有代码扫描引擎（code Engine）支持linux和windwos。
代码审计就是检查源代码汇总的安全缺陷，检查程序源代码是否存在安全隐患和代码不规范的地方。可以通过自动化检测或者人工审查的方式进行。
使用Appscan时，记录（推荐）录制后，在审查和验证页签下，点击“验证”遇到的一个阻碍：登录回放后未识别任何会话中模式。正常来说，就应该把第一次登陆的SESSION当作全局变量使用的，每个页面使用这个SESSION就行了，就可以保持会话了。“会话ID”页签下的SESSION那一行。
目录1、瀑布模型2、V模型3、W模型4、H模型5、X模型6、前置测试模型1、瀑布模型瀑布模型（Waterfall Model）是一个软件生命周期模型，开发过程是通过设计一系列阶段顺序展开的，从系统需求分析开始直到产品发布和维护，项目开发进程从一个阶段“流动”到下一个阶段，这也是瀑布模型名称的由来。1970年温斯顿·罗伊斯（Winston Royce）提出了著名的“瀑布模型”，直到80年代早期，它一
优化Java应用安全，防范路径遍历漏洞于输入验证环节，确保代码坚若磐石。本文揭示了因未严格校验用户输入而导致的路径遍历风险，攻击者可能借此突破防线，非法访问或操纵关键文件。通过分析典型问题代码与深入探讨，我们提出了三大修复策略：实施严格的输入验证与过滤、采用安全上下文进行文件操作、以及强化服务器配置。核心修复实例引入了OWASP ESAPI库，展示了如何安全地处理并验证路径，以构建防篡改的安全路径
数字藏品平台的AI模块安全，是一场“技术与人性的博弈”——既要对抗黑客的攻击，也要应对用户的误操作，还要符合监管的要求。但只要我们建立“系统的安全测试框架”，遵循“全生命周期的安全管理”，就能让AI模块成为平台的“安全引擎”，而不是“安全隐患”。如果你在实践中遇到问题，欢迎在评论区留言，我们一起探讨！
本文提出了一套完整的AI合成人脸识别防御测试方案。该方案采用五步法：1）通过STRIDE+KILL-CHAIN进行威胁建模，识别黑产工具、AIGC农场等攻击者及各类伪造手段；2）建立可追溯的样本工厂，规范生成器版本和参数；3）构建四维（攻击技术、载体形态、压缩传输、防御场景）覆盖率模型；4）设计具体测试用例；5）建立自动化闭环系统。方案包含625个测试点，压缩至120个主用例，并定义了RR≥98%
在Web安全领域，注入类漏洞一直是威胁系统安全的“重灾区”。其中，命令注入（Command Injection）和代码注入（Code Injection）因其能直接危害系统权限、破坏数据完整性，成为安全测试人员重点关注的对象。命令注入允许攻击者通过可控输入执行系统终端命令，直接接管服务器；代码注入则能让攻击者注入恶意代码并执行，灵活性更高，危害范围更广。本文将从代码审计角度出发，解析两种漏洞的产生
本方案提出了一套针对大语言模型(LLM)的安全测试框架，包含五大核心测试类别：提示词注入、训练数据安全、输出安全、RAG与外部工具安全、伦理与隐私安全。方案采用"攻击者在环"思路，通过模拟恶意攻击全面评估LLM在机密性、完整性和可用性方面的风险。测试覆盖从输入到输出的全流程，包括直接/间接提示词注入、数据提取、有害内容生成等关键场景。执行流程采用六步法：信息收集、用例设计、环境
指针、数组和内存分配，都是需要我们时刻关注的问题。为了防止程序在以上的地方出现BUG，我们需要养成良好的编程习惯。嵌入式中，程序一般是存储在FLASH中，但是运行的时候是在内存（RAM）里运行的。内存泄漏是指你向系统申请分配内存进行使用（newmalloc），然后系统在堆内存中给这个对象申请一块内存空间，但当我们使用完了却没有归系统（delete），导致这个不使用的对象一直占据内存单元，造成系统将
关于编程语言的选择，是很多想转行软件测试的新人们都会有的痛点。因为Python在软件测试领域的应用非常广泛，许多大型互联网企业的测试脚本研发，也都已Python为主，其次Python语言对新手更友好，入门相对简单一些，学习周期短，上手非常快，5-10天的学习就能自己上手一个简单的小项目。可以说这些知识点，是我们后期在企业中做自动化测试都会用到的知识点，尤其是新手，前期学习的时候，千万不要觉得这些知
红队大模型多轮对话则是让红队所使用的大模型与目标大模型进行多轮次的对话交互，在对话过程中，红队大模型会不断尝试使用各种可能的对抗性输入，以探测目标大模型的防御漏洞和潜在风险[3]。通过分析红队大模型与目标大模型的多轮对话过程，能够深入了解攻击的路径、手段和特点，从而有针对性地设计防御机制，如增强大模型对对抗性输入的识别能力、优化模型的鲁棒性等，提高大模型的整体安全水平。在多轮对话中，红队大模型会根
本文介绍了BurpSuite 插件开发中的持久化接口使用。
一款高效率，单片同步降压DC-DC转换器，采用恒定频率，平均电流模式控制架构，能够提供高达3.1A的连续负载，具有出色的线路和负载调节能力。该器件在7V至32V的输入电压范围内工作，并提供3.6V至25V的可调输出电压。该器件具有短路保护和热保护电路，以增加系统可靠性。内部软启动可避免启动期间的输入浪涌电流。应用领域：车载充电器、可充电便携式设备、网络系统、分布式电力系统主要特征：宽VIN范围（7
Bandit允许用户通过创建配置文件来自定义扫描策略。配置文件可以是JSON、YAML等格式，通常命名为。
内存免杀代表了攻防技术的集大成者，它将加密算法、内核原理、操作系统行为、线程模型、模块结构、执行逻辑伪装融为一体，形成真正意义上的多维立体隐匿技术。这是对现代EDR架构的深度挑战，也是对安全工程师知识体系的极限拷问。未来，随着硬件安全模块、行为追踪引擎和 AI 模型加速部署，内存免杀将成为持久控制、无文件攻击与多态演化的必备核心技术之一。“能被看见的攻击，才值得被防御；真正的免杀，从未暴露。愿每一
1.背景介绍在当今的软件开发环节，自动化测试已经成为了软件开发的不可或缺的一部分。在这个过程中，安全性测试和漏洞检测也是非常重要的一环。本文将从以下几个方面进行探讨：背景介绍核心概念与联系核心算法原理和具体操作步骤以及数学模型公式详细讲解具体最佳实践：代码实例和详细解释说明实际应用场景工具和资源推荐总结：未来发展趋势与挑战附录：常见问题与解答1. 背景介绍自动化测...
以下这份列表为 OWASP（开放式 Web 应用程序安全项目）于 2024 年首次发布，旨在系统性地分类和排名基于大语言模型的应用程序所面临的关键安全风险（10项）。完整大模型安全课题研究博文请见：【LLM SafeTy】大模型安全风险及检测技术研究课题（持续维护更新）前言：为什么检测大模型安全？大语言模型与普通 AI 模型的核心区别在于 —— 信任边界：用户不再直接与一个可预测的、基于规则的程序
kali软件安装失败，解决办法
容器逃逸测试是评估容器安全隔离性的关键过程。本文提供了系统化的测试方法论和实战工具集，包括容器逃逸攻击向量分类（特权容器、内核漏洞、挂载逃逸等）、测试环境搭建指南（漏洞环境部署与安全配置基线）、自动化测试工具集（CDK、amicontained等）以及手动测试技术手册（特权容器逃逸、/proc挂载逃逸等具体利用方法）。同时介绍了防御检测方法（Falco规则、eBPF检测）和安全加固方案（Pod安全
安全自动化建设应采用分层防御策略，涵盖资产发现、漏洞扫描、合规检查等关键环节。通过Ansible、Nmap等工具实现自动化扫描，结合AI技术提升检测效率。建议分阶段实施：初期建立基础扫描能力，中期部署攻击模拟，后期引入AI预测防御。典型案例显示，该方案能显著缩短漏洞修复周期，提升检测率。实施需注意合规要求，保留审计日志并控制性能影响。
随着5G、工业互联网、人工智能等新兴领域技术的兴起，从而快速推动了各国从人人互联迈向万物互联的时代。奇安信董事长齐向东曾说过：“如果说5G带来了物联网和人工智能的风口，那么网络安全行业就是风口的平方——风口的风口。因此，有不少年轻人纷纷想加入网络安全行业，抢占先机。但由于网络安全行业的岗位很多，例如：信息安全工程师、渗透测试工程师、应急响应、逆向安全、溯源取证、安全架构师、恶意软件分析师等等，导致
坚持到了这儿，恭喜你，表示你有做AI大模型工程师的潜力。其实我想说的上面的内容只是冰山一角，刚开始大家不需要多么精通了解这些内容。主要是不断练习，让自己跳出「舒适区」，进入「学习区」，但是又不进入「恐慌区」，不断给自己「喂招」。记住，学习是一个持续的过程。大模型技术日新月异，每天都有新的研究成果和技术突破。要保持对知识的渴望，不断学习最新的技术和算法。同时，实践是检验学习成果的最佳方式。通过实际项
0x01 免杀分类渗透测试中常需要免杀马，这块的内容交叉且形式多样。常见的免杀方式，源码混淆、DLL文件替换、文件修改、加壳、花指令免杀、签名等。免杀的内容比较偏向破解、反编译范畴的安全研究，也是武器库中的必不可少的部分。本文章是系列教程，各种免杀方式都会涉及，本次分享的是源码免杀。0x02 源码免杀这里以Python做免杀为例，其他语言如C#、GO、Ruby等免杀思路相同。免杀的大致步骤可以分为
首先，我们要在服务器创建一个用于靶场机器下载的webshell，首先要创建服务器，这里我们使用Python的一个模块是simple HTTP server来创建一个简单的http，回到这里，我们首先切换到桌面，CD之后我们来使用passage-m之后，把我们是HTTP simple启动该服务器http server回车那么这时候咱们就开始了一个服务器，并且它的根目录是在桌面的，所以说我们直接访问该
HiL 测试系统整体架构主要包含三层内容，第一层次为 HiL 测试系统软硬件 架构，主要包括 HiL 测试系统的硬件设备、实验管理软件、被测控制器等；第二层次为 HiL 测 试系统开发，在第一层次软硬件架构的基础上进行被测对象仿真模型开发、实时I/O接口匹配、 硬线信号匹配及实验定义等；第三层次为 HiL 测试，主要指在第一、二层次的基础上进行 HiL 测试，主要包括测试序列开发、激励生成加载、模
**专业提示**：结合**Logger++** 插件记录所有流量，用**Search**功能快速定位`/api`相关请求，高效分析模型交互行为。| **Decoder** | 数据编码/解码（Base64/URL/Hex等） | 处理AI API中的编码数据（如图像转Base64） |- 选择`image`参数值 → 点击`Add §`（如 `{"image":"§base64_data§"}`）
这份列表提供了一个强大的起点。* **重点:** 扫描AI项目依赖的第三方库（Python: `pip`, `conda`）、框架（TensorFlow, PyTorch, scikit-learn）、容器镜像，识别已知漏洞、许可证风险、恶意包。* **重点:** 集中收集、关联分析AI系统各层（应用、API、模型服务、基础设施、操作系统）的日志，检测异常活动和攻击痕迹。1. **威胁建模:**
基础款闭眼选IP66：抗暴雨冲刷（实测100mm/h暴雨无压力），材质必看阻燃抗UV！爆款：萤石C8（289元，支持米家联动）、小米CW700S（声光报警，-30℃抗冻）神机：格行视精灵双摄智能监控（AI智能识别）、海康威视800万像素枪机（逆光强细节）双摄+AI方案：毫米波雷达+视觉校验，误报＜3次/月（格行视精灵智能监控人形追踪）顶配：格行视精灵监控太阳能款（-25℃宽温，AOV系统）、乔安4
核心威胁：DDoS攻击利用僵尸网络发起海量流量（如带宽洪泛、协议漏洞、应用层请求），旨在耗尽目标资源（网络、服务器、应用），导致服务瘫痪。攻击类型持续进化，反射放大、低慢速应用层攻击威胁尤甚。防护核心策略：基础设施加固：部署冗余架构（多节点+负载均衡）、预留超额带宽，采用BGP Anycast分散流量。专业防护层：云清洗中心：引流清洗恶意流量（AI识别+行为分析），仅回注合法流量。CDN/WAF：
同时，提出了企业需要明确的网络安全防护、数据脱敏、防泄漏、行为审计等技术要求，并且要求建立数据安全组织架构、人员培训、应急预案等制度。对于企业而言，主动应对标准的挑战意味着更早的进入价值创造环节，通过数据安全评估，企业既能规避监管风险、守护用户信任，更能以数据合规激活创新潜力，在跨境业务、产业链协作中构建差异化竞争优势，不仅是数据安全的技术规范，更是提升数字经济全球竞争力的重要举措，为数字经济参与
更改路径则可以遍历/home/remi下的文件，其中keys中包含很多密钥，root/id_rsa，(即使下载下来也没办直接使用key登录），不过我们可以生成一个key pair，并在.ssh路径下面上传一个authorized_keys文件来实现ssh登录。先打开burpsuite在登录页面注册一个用户tim1,发现会有如下请求和响应,看起来如果confirmed=false,就会一直无法登录成
按照网上教程也配置了文件，为什么还是一直提示失败。
数据库安全配置，自己实战运维。
上方提示：说明没有初始化，键入：http://虚拟机IP/pikachu/install.php。将DBPW的值修改为我们之前在phpstudy里看看到的数据库的密码：root，保存修改。我使用们在上一篇文章安装的win7虚拟机中搭建pikachu靶场。解压后，进入inc，打开config.inc.php。三、安装Notepad++，便于编辑.php文件。问题分析：我们进入WAMP 站点根目录。在
ps：1、作者 Windows exe 运行,其它系统可自行打包或以 Python ppl x 执行.2、运行程序需要在项目根目录下运行…参数提取器,默认是取第1个值(支持提取response与headers接口的返参)Jsonpath语法请参考：https://goessner.net/articles/JsonPath1.字符在里面：[“msgId”]`实际为：assert "msgId" i
本文介绍了Web安全中的并发漏洞原理与防御。并发漏洞的本质是系统未能正确处理同时发生的多个操作，导致业务规则被绕过，而非并发本身的问题。文章通过生活化案例（如超市限购、投票刷票）解释了漏洞触发流程，并列举了问卷重复提交、绕过数量限制等典型场景。检测方法包括黑盒模拟并发请求和白盒代码审计。防御方案提出加锁机制、请求频率限制、事后校验和日志监控四种措施。核心观点是并发漏洞源于系统对并发操作的处理缺陷，
反病毒开源库
之前整理过一次工业机器人的相关标准，包含测试认证的，技术指导的，行业要求的。并添加了在线链接，主要是道客巴巴（复制的时候，不能复制链接，分享下在线文档），方便需要时及时阅读。这里也分享需要的人，如果有歧义之处，可以共同讨论下。
久等了，上篇文章的彩蛋部分来了，数据通信中，安全是至关重要的一环，常见的加密算法有AES对称加密算法，RSA非对称加密算法，本文将详细介绍如何在Java中实现RSA非对称加密算法对数据进行加密解密
摘要： 支付漏洞是Web安全中危害严重的逻辑漏洞，攻击者通过篡改订单生成阶段的参数（如金额、商品ID、折扣等），利用服务器校验缺陷实现低价或免费支付。常见场景包括隐藏商品购买、付费功能绕过、订单类型篡改等。检测方式包括黑盒测试（参数篡改）和白盒审计（校验逻辑排查）。防御核心在于服务器端严格掌控关键参数，如金额重算、参数签名、权限校验等。开发需遵循“不信任客户端”原则，确保支付流程安全可靠。
随着深度学习技术的发展和研究的深入，未来大模型的攻防将在动态抗衡中不断升级，同时，大模型需要应对的新型安全威胁也将不断涌现和升级。ChatGPT 可能已经具备了某种意识，新的优先级的事情是要阻止超级人工智能干坏事。未来可能面临以下新型安全问题。一是自适应对抗攻击。随着大模型变得更加复杂，攻击者可能会开发出能够自适应模型防御机制的高级对抗性攻击，这些攻击可能在大模型更新或变更时迅速演化。二是深度伪造
安全性测试
——安全性测试
联系我们（工作时间：8:30-22:00）
400-660-0108 kefu@csdn.net
讯飞AI开发者社区
2048 AI社区
松山湖开发者村综合服务平台
天启AI社区
DAMO开发者矩阵
西安城市开发者社区
AI 工具集合社区
