软件供应链安全？来学习吧！
01、什么是软件供应链安全 软件供应链指的是需方和供方基于供应关系，开展并完成软件采购、开发、交付、获取、运维和废止等供应活动而形成网链结构，涉及到软件产品和服务的所有组成部分和相关方，包括软件开发人员、供应商、第三方组件提供商、运维人员等。 而软件供应链安全，就是指在软件开发、交付、部署和维护过程...
- 18阅读
- 45阅读
攻防演练中蓝队的主要工具
实战攻防演练一般具有时间短、任务紧的特点，前期各项准备工作是否充分是决定蓝队能否顺利完成攻击任务的关键因素。在蓝队攻击任务中，各类工具的运用会贯穿始终，高质量的工具往往能起到事半功倍的效果，极大提升蓝队的攻击效率。工欲善其事，必先利其器，那么我们就来盘点下蓝队主要使用的工具。 信息搜集工具 蓝队主要...
- 57阅读
网络安全“两高一弱”科普
网络安全是国家安全的一项基本内容，然而，随着网络技术的飞速发展，网络安全威胁也日益增多。下面请大家一起来学习了解一下其中的“两高一弱”问题及其应对措施。 “两高一弱”是什么？ “两高一弱”问题是网络安全领域的重要关注点，即高危漏洞、高危端口和弱口令。 高危漏洞 高危漏洞是指网络系统中存在的、可能被黑...
- 51阅读
2024年最容易上手的渗透工具
作者：李志宽 链接：https://www.zhihu.com/question/264285228/answer/2918149096信息搜集工具ARL 资产侦察灯塔 https://github.com/TophantTechnology/ARL AsamF 资产收集工具 https...
- 22阅读
安恒信息办公智盾精细化管控 助力民航安全运维
安全出行，安恒护航 “在系统入围阶段，经历了客户方技术总监的严格测试，几乎是一个功能一个功能对，在产品组和现场工程师的共同努力下，顺利通过严苛测试。在项目验收阶段，局领导及分管领导，单独针对桌管产品进行了一次产品培训及演示，局领导对桌管产品很了解，演示结束以后，也是非常满意，领导想要的功能，我们都可...
- 32阅读
OpenSSH Server远程代码执行漏洞（CVE-2024-6387）解析学习
声明：该章分享的安全工具和项目均来源于网络，仅供安全研究与学习之用，如用于其他用途，由使用者承担全部法律及连带责任，与工具作者和本人无关。CVE-2024-6387 漏洞深度解析与防御策略 漏洞概述 CVE-2024-6387 是一个影响 OpenSSH 服务器（sshd）的严重远程代码执行漏洞...
- 33阅读
VMware 虚拟机搭建 pfsense 防火墙
1、 pfsense官网 https://www.pfsense.org/download/ 下载ISO镜像文件。百度网盘链接：https://pan.baidu.com/s/1aYWBorqlHeRHNeSdVua0YQ 提取码：d6f8 2、 在VMware中上传ISO镜像，新...
- 79阅读
内网综合扫描工具 -- fscan 使用
1. 简介 fscan介绍 一款内网综合扫描工具，方便一键自动化、全方位漏扫扫描。支持主机存活探测、端口扫描、常见服务的爆破、ms17010、redis批量写公钥、计划任务反弹shell、读取win网卡信息、web指纹识别、web漏洞扫描、netbios探测、域控识别等功能。 在macOS下安装fs...
- 15阅读
OpenSSH 问世近20年首个远程执行漏洞：无需用户交互，可提权至 root
IT之家 7 月 2 日消息，OpenSSH 自 1995 年问世近 20 年来，首次出现了未经验证的远程执行（RCE）漏洞，攻击者可以提权至 root 最高权限，在不需要用户交互的情况下执行任意代码。OpenSSH 是一套基于 Secure Shell（SSH）协议的网络实用程序，广泛用于安全...
- 38阅读
OpenSSH 远程代码执行漏洞（CVE-2024-6387）
导语：OpenSSH是一个开源实现的SSH协议，用于加密网络通信。漏洞概述OpenSSH是一个开源实现的SSH协议，用于加密网络通信。OpenSSH提供了一个安全的通道来访问远程计算机或服务器，并包含了一组客户端和服务器工具，以提供包括远程登录、远程执行命令、文件传输等功能。CVE-20...
- 31阅读
来自GitHub的系列渗透测试工具
渗透测试 Kali - GNU / Linux发行版，专为数字取证和渗透测试而设计。(Kali Linux | Penetration Testing and Ethical Hacking Linux Distribution) ArchStrike - 为安全专业人士和爱好者提供Arch GNU...
- 14阅读
一款优秀的信息搜集图形化工具Maltego
获取信息的方法分为两种：即 被动扫描 和 主动扫描 。 被动扫描主要是指在目标无法察觉的情况下进行的信息搜集。Maltego就是一款优秀的信息搜集工具。 需要注意的是该工具需要连接到互联网才能使用。 1. 被动扫描的范围 那么信息搜集要从哪几个方面来着手呢？以目标www.test.com为例，我们可...
- 27阅读
攻防演练在即，研判分析除了微步在线还能用什么
0.如题 微步在线昨天发布公告，威胁分析与情报共享社区正式开始收费，开始商业化行为。作为打工人，在攻防演练即将开始的时候，用惯了微步的产品，可能难以接受这样的行为，但是没办法，活还是要干的，那除了微步在线的威胁分析与情报共享社区之外，还有没有其他的平替可以替代呢，在这里我将可替代的分为两类，一类是国...
- 31阅读
教育部：对高校实验室安全分级分类管理
信息名称： 教育部关于印发《高等学校实验室安全分级分类管理办法（试行）》的通知信息索引： 360A16-04-2024-0001-1 生成日期： 2024-04-08 发文机构： 中华人民共和国教育部发文字号： 教科信〔2024〕4号 信息类别： 教育综合管理内容概述： 教...
- 20阅读
什么是 API 安全？
什么是 API 安全？ 应用程序编程接口 (API) 是一个软件与另一个软件互动的方式。如果一个程序或应用程序有 API，外部客户端可以向它请求服务。 API 安全是保护 API 免受攻击的过程。正如应用程序、网络和服务器可能会受到攻击一样，API 也可能成为许多不同威胁的受害者。 API 安全是 ...
- 10阅读
配置服务器和数据库防火墙规则
防火墙用于阻止未经授权的用户访问受保护的资源。 每个 Azure SQL 数据库都映射到由 Microsoft 托管的公共 IP 地址。 每个 Azure 区域都有一个或多个公共 IP 地址，你可以通过这些地址访问数据库网关，它将转到你的数据库。 防火墙的工作原理 如下图所示，来自 Internet...
- 640阅读
xz-utils 后门 CVE-2024-3094 检查及修复方案
这几天，网络安全圈几乎被xz（XZ-Utils）的后门（CVE-2024-3094）刷了屏，但游侠安全网搜了下，针对xz后门漏洞，大多数是讲故事，要么是深入的分析，但是好像简单的“检查、解决”不多，那我就做一次雷锋吧！ # XZ-Utils 介绍 XZ-Utils 是一个在类 Unix 操作系统上广...
- 34阅读
APIDetector - API漏洞扫描器
APIDetector是一个强大而高效的工具，旨在测试各种子域中暴露的Swagger端点，具有独特的智能功能来检测误报。它对于从事API测试和漏洞扫描的安全专业人员和开发人员特别有用。 APIDetector特征灵活的输入：接受一个单一的域名或一个列表的子域从一个文件。 多协议：通过HTTP和H...
- 285阅读
红队最常用的三大工具
有人说，历史就像任人打扮的小姑娘，每次表演都唱同样的歌。网络安全也不能免俗，红队工具似乎总是能逃避检测，给蓝队制造麻烦。造成这种局面原因有很多，但有一点是决定性的，那就是：红队只需要做对一次，而蓝队每次都需要做对。 蓝队通常很难检测到红队的工具，这迫使蓝队需要与威胁狩猎团队坐下来共同研究如何查找和检...
- 271阅读
100个最好的免费红队工具- 2024
2024年最佳Red Team工具 1.Reconnaissance 主动情报收集EyeWitness 的设计目的是截取网站的屏幕截图，提供一些服务器头信息，并在可能的情况下识别默认凭据。 AWSBucketDump 是一个快速枚举AWS S3存储桶以查找战利品的工具。 AQUATONE 是一...
