标签[security] 最活跃问题

[英]is there a reason to not put my admin directory in robots.txt?

这可能已经被问到并得到了回答，因为我不确定用什么来表达这个问题是最好的。我想确保搜索蜘蛛不会索引我网站的管理端。不幸的是，如果我将路径放入我的 robots.txt 文件中，我将移交 cookie jar。谢天谢地，它已被锁定。我已经有不少“访客”开始抓取 robots.txt。显然，非法 ...

阻止 API 访问除前端之外的任何其他资源

[英]Block API access for any other resource except Frontend

我有一条路线api/v1/track ，我想通过给定的轨道 ID 发送一些数据 (JSON)，但我只想发送对我的前端请求或我的移动应用程序的响应，而不是任何其他来自任何地方的请求！我正在使用 Node JS 和 Express，我实现了一些 JWT 配置以使用令牌对用户进行身份验证，但我不知道如何 ...

.NET Core (.NET 5) 自定义身份验证中的 HandleChallengeAsync

[英].NET Core (.NET 5) HandleChallengeAsync in custom authentication

我正在尝试在 .NET 5 web 应用程序中编写自定义身份验证处理程序。我无法解决的问题是如何处理HandleChallengeAsync中的重定向。我看到AuthenticationProperties参数中有一个RedirectUri属性，但我不知道如何以及在何处设置它，一旦设置了值，我 ...

FLAG_WINDOW_IS_OBSCURED 不适用于较新的 android

[英]FLAG_WINDOW_IS_OBSCURED not working on newer android

我一直在 android 应用程序中实施窃听防御，但我发现标志FLAG_WINDOW_IS_OBSCURED在 android 7.0 上设置，但在 android 10.0 上没有设置，而 window 被另一个应用程序遮挡。你知道为什么会这样吗？我在模拟器和物理设备上对其进行了测试。覆盖 ...

损坏 CAPL 中 CAN 消息的 CRC 字段

[英]Corrupting CRC field of a CAN message in CAPL

我想添加一些异常来破坏 CAN 消息的 CRC 字段。理论上，CRC 是使用来自数据字段/ctrl 字段/ARB 字段的信息计算的。如何在 CAN 报文中添加 CRC 错误？ ...

验证 AD 用户可以在 SuSE 上使用 SSSD 登录

[英]Validate AD user can login using SSSD on SuSE

我需要验证给定用户是否可以登录机器。我不知道他们的密码，但脚本可以使用sudo提升到 root 权限。所有用户都是使用 SSSD 的 AD 帐户。我发现的所有内容都只是验证用户是否有效，例如使用id -u 。如果用户以前从未登录过并且只显示他们的sudo权限，则执行sudo -lu不起作用。 ...

Azure 阻止从 User-Agent Mozilla/5.0 到 App Service 的 POST 请求

[英]Azure blocks POST requests from User-Agent Mozilla/5.0 to App Service

我有一个Azure 应用服务，它具有基于 Azure Active Directory 的强制身份验证。它服务于 API 服务器和调用该服务器的 Web 应用程序。所有 GET 都能完美运行，但是 POST 都被403 Forbidden拒绝。 Cookies 正确设置为通过身份验证检查。奇 ...

SSL Java java.io.IOException：密钥库格式无效

[英]SSL Java java.io.IOException: Invalid keystore format

我正在使用 SSLServerSocket 和 java.ssl package 中的 SSLServerSocket 和其他类在 java 中测试 SSL。当我运行以下代码时，出现异常 java.88686853.8456 我的代码：文件 key.txt：12683123458123046123 ...

算法 HmacPBESHA256 不可用

[英]Algorithm HmacPBESHA256 not available

因此，我编写了一些代码来获取 PEM，通过 bouncycastle 将其添加到 PKCS 密钥库，然后使用 java 加密将 PKCS 密钥库值导入 JKS 密钥库。我发誓昨天我执行了这些步骤后成功通过了单元测试，但今天早上我开始点击这个现在，总有可能在我的内心发生了一些变化，但我无法弄清楚那 ...

如何阻止下载 maven 依赖项

[英]How to block a maven dependency from getting downloaded

我想阻止一个库，以便开发人员无法下载任何旧版本的库或完全下载某些库。 Maven 有一个enforcer 插件，但我们不能强制每个人都在企业级使用它。我正在寻找一种解决方案，即使在 POM 中提到它也可以阻止它。如果存在被阻止的库，则希望构建失败。我正在 maven 级别或使用一些扫描工具探 ...

使用 OWIN / Katana 在 Azure 上进行数据保护操作不成功

[英]The data protection operation was unsuccessful on Azure using OWIN / Katana

我正在尝试在运行于 Azure 的基于 OWIN/Katana 的 ASP.NET MVC 网站上实施密码重置。它在本地运行时工作正常但在生产中失败。我创建了一个 UserToken Provider 但是当我尝试如下生成令牌时我得到以下异常。 System.Security.Cryptog ...

[Symfony 5]注销后的确认信息

[英][Symfony 5]Confirmation message after logout

On Symfony 5、使用内置登录系统，注销后好像无法添加确认信息。我严格按照官方网站上描述的步骤进行操作。不幸的是，SecurityController 中的注销方法没有用。我直接在登录页面上重定向。在这里你会有我的 security.yaml 文件：和 Controller：感 ...

OPC-UA证书问题

[英]OPC-UA certificate issues

我正在使用 Qt qtopcuaviewer 示例来测试与 PLC 的连接。通常它工作正常，我可以检索变量。使用这个特定的 PLC，我得到以下 output： PLC 的开发人员说不需要证书——我仍然不确定是否了解拒绝连接的根本原因。我能做些什么来调试这个问题吗？或者它太清楚了，我有限的知 ...

HTTP Content-Security-Policy header 对于 Struts 中的 script-src 无法正常工作

[英]HTTP Content-Security-Policy header not working correctly for script-src in Struts

我在将我的 struts struts2-core-2.5.30 项目版本更新到 struts2-core-6.1.1 时遇到问题，所以我开始收到一条错误消息，表明违反了安全策略，做了一些研究，我发现一个 header应该加上在这个错误里面我有这个描述但是我已经尝试过这些标题对于它们中的每一个 ...

如何验证Java 8中的数字签名是否来自CA？

[英]How to verify digital signature is from CA in Java 8?

最近几天我一直在努力学习 x509 证书（由 CA 颁发），我认为我对它们的工作原理有深入的了解。我的理解是数字证书具有关联的签名，并且该签名应该只能使用颁发/签名它的 CA 的公钥解密。我不明白的是如何在 Java 中实际实现该验证逻辑。我从哪里检索公钥以解密签名并验证摘要？在某个地方是否 ...

我应该如何存储用户的信息

[英]How should i store the information of a user

我正在开发我的第一个严肃项目，kotlin 中的健身应用程序，使用房间数据库存储所有用户相关信息，我想知道使用 Room 存储帐户信息（用户 email，用户散列密码等）是否安全API 而不是将其保存在应用程序内部存储中的加密文件中到目前为止，我已经实现了实体、存储库并将其集成到机载流程和登录流程中 ...

是否可以创建用户而用户密码不会以明文形式出现？

[英]Is it possible to create a user without the user's password ever appearing in clear text?

我很好奇是否有一种方法可以创建受密码保护的用户，而不允许密码在表达式中逐字出现或在此过程中的任何时候在命令行中取消屏蔽。在官方 MySQL 文档中，提到在命令行上提交未屏蔽的密码，例如登录帐户时，被认为是不安全的：使用 mysqladmin 设置密码应该被认为是不安全的。在某些系统上，您的密 ...

IDX10503：签名验证失败。令牌没有孩子。键尝试：'System.Text.StringBuilder'

[英]IDX10503: Signature validation failed. Token does not have a kid. Keys tried: 'System.Text.StringBuilder'

我有以下 JWT 令牌，这是使用生成的，获得令牌后，我正在使用以下代码进行验证，但是我遇到了以下错误， ...

在 Azure AD 中重新创建恶意登录

[英]Recreating Malicious login in Azure AD

我们暴露了一个用户的凭据，一个威胁者利用它们成功地使用用户的凭据登录到 Azure CLI。我们已经使用条件访问和我们的 MFA 解决了访问问题（不可否认这是一个漏洞）。不过，我正在尝试重新创建攻击方法，但我似乎无法做到正确。以下是恶意登录的活动详细信息：看起来他们使用了此处详述的ROPC ...

IIS中的Default Web站点可以进行什么样的攻击？

[英]What kind of attack can be done to Default Web Site in IIS?

人们说在 IIS 管理器中删除Default Web Site是一个好习惯。我认为这是因为无论 http 标头中的host是什么，它都在监听任何请求。我正在寻找更正式的答案，看看具有Default Web Site的网络服务器可能是哪种攻击的受害者。 ...