标签[security] 第3页 - 堆栈内存溢出

[英]MobSF Android Activity APK

这是我第一次使用 MobSF 和 Android APK 评估。我在测试特定 APK 时发现了一些东西，我试图理解它背后的概念：在 MobSF 的 HARDCODED_SECRETS 下，发现了一对与 TWITTER SDK 相关的 KEY/SECRET： com.twitter.sdk.a ...

完整性级别 SID 是如何构建的？

[英]How is an integrity level SID constructed?

我觉得我错过了一些明显的东西，但我已经坚持了几个小时。我试图在当前进程的重复主令牌上调用SetTokenInformation ，但失败并0x5 (Access denied) 。我正在尝试创建一个没有特权的子进程。然后我想将令牌的完整性级别调整为低。最小示例中的执行流程：我们启用每一项 ...

在 javascript 标签上设置 nonce 值

[英]Set nonce value on javascript tag

尝试将随机数值设置为脚本 - 在 MVC.Net 应用程序（.net 4.8）上。但是 output 值为空 - 如果我在隐藏的输入字段上使用完全相同的方法来设置值，它就可以工作 output “nonce”不应该也有一个值集吗？ ...

为什么谷歌试图访问我的后端服务器？

[英]Why is google trying to access my backend server?

我有一个生产化的 Django 后端服务器，它在 GCP 上的 Kube.netes（部署/服务/入口）上运行。我的 django 配置了类似的东西一切都按预期工作。但是，我的后端服务器会记录此类间歇性错误（每天大约 7 个）我的主要问题是：为什么 - 这些主机都是什么？ . 我当然不想 ...

在 Android 设置中禁用“允许来自未知来源”选项是否会阻止自动下载/安装恶意软件？

[英]Does disabling the "Allow from Unknown Sources" Option in the Android settings prevent automatic malware download/installation?

所以前几天我在考虑应用程序分发，我在 Android 设置“允许未知来源”中遇到了这个设置。我已经阅读了几篇关于它的文章，但似乎都没有讨论这个功能到底有多安全。我想知道禁用此选项（假设为每个列出的应用程序）是否可以防止自动下载和安装来自网络钓鱼链接的恶意软件。 ...

OAuth 2.0授权码是否应该绑定到Resource Owner？

[英]Should the OAuth 2.0 authorization code be bound to the Resource Owner?

授权代码是否应该以某种方式与资源所有者相关联？我遇到过一个具体案例。测试用例：2 个用户（资源所有者：Bob 和 John）。 Bob 单击“使用 EXAMPLE 登录”并输入 EXAMPLE social.network 的凭据。来自服务器的响应包含等于 qwerty123 的代码。 ...

使用 Angular 进行端到端加密的安全硬件密钥（titan、yubikey、...）

[英]Security hardware keys(titan, yubikey,...) to End to End Encryption with Angular

我们正在使用安全硬件密钥在 Angular 客户端内为 E2EE 加密/解密。为此，我们使用CryptoJS.AES.encrypt(data, key).toString(); 加密和CryptoJS.AES.decrypt(data, key).toString(CryptoJS.enc.U ...

在 windows 上的系统文件夹中设置文件级别的 Everyone 组访问是否安全？

[英]I s it safe to set Everyone group access at file level in system folder on windows?

显然，向 Everyone 授予对 C:\ProgramData 中文件夹的完全权限是不安全的，并且可能导致权限提升。我的问题是文本文件的情况如何？它还很危险吗？显然，向 Everyone 授予对 C:\ProgramData 中文件夹的完全权限是不安全的，并且可能导致权限提升。我的问题是 ...

Chrome 或 Firefox 可以打开网络端口并使用 javascript 提供连接吗？

[英]Can Chrome or Firefox open a network port and serve connections using javascript?

对于大多数离线浏览器游戏，我正在研究从浏览器运行 WebRTC 信号服务器的可能性。我可以想象，从安全角度来看，打开一个端口并从浏览器（或服务人员）提供连接是一个很大的禁忌，但我找不到*这方面的任何信息。问：Chrome、Firefox（或者其他主流浏览器）能否打开网络端口并使用 javasc ...

将密码和用户名存储在服务器的 .env 文件中以验证管理员 API 端点是否“安全”？

[英]Is it "secure" to store a password and username in a .env file in a server to validate an admin API endpoint against?

语境我在 Actix-Web 中构建了一个 RESTful API 服务器，其中 Rust 托管在 Heroku 付费计划中。它有 n 个用于访问内容的公共可用端点，以及 3 个仅限管理员使用的端点（用于创建、编辑和删除公共内容）。我是唯一一个需要访问仅限管理员的端点的开发人员——而且很少访问 ...

AWS 资源策略中的条件不允许 lambda 访问 Secrets Manager Secret

[英]Condition in AWS resource policy not allowing lambda to access Secrets Manager Secret

我对 Secrets Manager 密钥有以下资源策略{ "Version" : "2012-10-17", "Statement" : [ { "Sid" : "rp1", "Effect" : "Allow", "Principal" : { "A ...

使用特定的 AWS 角色模式限制对 AWS 资源的访问

[英]Restricting access to an AWS resource using a specific pattern of AWS roles

我希望我的 AWS 账户中具有特定模式的所有角色都能够访问 Secrets Manager 密钥。我知道我可以为此使用Condition块和通配符匹配。但是， Principal字段在资源策略中是必需的。以下策略是否会将访问限制为仅匹配模式的角色？{ "Statement": [ ...

如何用清漆返回空响应？

[英]How to return empty response with Varnish?

当请求到达Varnish服务器时，如果请求的服务器名称未知，我想返回一个空响应或简单地关闭连接。例如，从 nginx（Varnish 的后端）我是这样做的：因此，当用户/机器人访问地址为 IP 或未知主机的 nginx 服务器时，它会得到： The connection was reset 。 ...

最佳实践 to SSL Pinning in Flutter，每次都取证书？或将其存储在资产中？

[英]Best practice to SSL Pinning in Flutter, fetch the certificate every time? or storing it in assets?

我深入阅读了 SSL Pinning 以及如何在 Flutter 中实现它，我有两个问题：将（.pem）证书文件存储在资产中是否安全？如果没有，存放在哪里？在应用程序加载时访问服务器并从那里获取证书而不是将其存储在应用程序中是否安全且更好？我目前正在将证书文件存储在资产中，并使用Globa ...

macOS 信任 Python whl 文件，但不信任 tar 文件

[英]macOS trusts Python whl files, but not tar files

我将我的 python c 扩展名作为 tar 文件和 whl 文件提供。在 macOS 上，我很惊讶为我的扩展安装 wheel 没有问题。当在 tarball 中将 PYTHONPATH 设置为我的 python 扩展名时，我会立即遇到关于未经验证的开发人员的对话框。有人可以解释为什么 ma ...

CyberArk 和 WinSCP 问题（命令行设置）

[英]Issue with CyberArk and WinSCP (command line setting)

我用 SSH 成功测试了 CyberArk，我使用了这个命令行（一切正常）：你可以看到真正的命令：其中jist是域登录名， root是根据 IP 10.192.24.10定义的目标位置的帐户但是我对 CyberArk 的 WinSCP 配置有疑问。您知道在 WinSCP 和 CyberArk ...

尽管在 php 中使用 trim() 和 striplashes() 进行输入过滤器，但仍执行 XSS 攻击

[英]Perform XSS attack despite input filter with trim() and striplashes() in php

对于一个大学项目，我必须构建一个包含 XSS 防御机制的环境。一种这样的机制是输入过滤器。这是写在 php 中的，删除/剥离导致执行 xss 攻击的字符。代码如下所示：static function inputFilter($data) { $data = trim($data); ...

Spring 引导 3 + Spring 安全 6 => 403 禁止使用“requestMatchers”

[英]Spring Boot 3 + Spring Security 6 => 403 Forbidden with "requestMatchers"

几天来，我一直在尝试解决 Spring Security 6 的问题。我几乎阅读了 Spring Security 6 的所有 spring 文档，并且看了几个教程，但看不出错误在哪里。我在放大镜下看了看代码： WebSecurityConfigurer.class：package com.t ...

如何为移动应用创建无尽的 session

[英]How to create endless session for mobile app

现在的情况我们有一个非常常见的系统架构，具有 Spring Boot 后端和 Angular 前端。对于移动应用程序，我们使用 Ionic，它基本上使用与前端相同的代码库，但添加了生物识别等附加功能。用户登录基于 OAuth，一旦用户启动 session，就会创建访问和刷新令牌。访问令牌的生命 ...

Openliberty 登录问题“用户未被授予对任何所需角色的访问权限”

[英]Openliberty login issue "The user is not granted access to any of the required roles"

或者也许有人可以告诉我哪里出了问题。我正在开发一个小应用程序..按照本教程进行操作： https://openliberty.io/guides/security-intro.html 我得到的问题是：这是在我在生成的登录名中输入正确的用户名和密码之后。这是主要问题..imo问题出在某个地方 ...