Django任意代码执行漏洞分析

从Django的SECTET_KEY到代码执行

Django是一个可以用于快速搭建高性能,优雅的网站的平台,由Python写成。采用了MVC的软件设计模式,即模型M,视图V和控制器C。它最初是被开发来用于管理劳伦斯出版集团旗下的一些以新闻内容为主的网站的,即是CMS(内容管理系统)软件。并于2005年7月在BSD许可证下发布。

最近在进行网站代码审查的过程中,发现某些产品由于session使用不当,导致可能被攻击者利用,执行任意代码。这些产品在登录的JS代码中,泄露了SECRET_KEY,将该值作为密码加密的盐,这样就暴露了加密salt不太好吧,更重要的是对django的安全造成了极大的威胁。

阅读全文 “Django任意代码执行漏洞分析” »

互联网金融安全:裸跑问题尽早解决

互联网金融安全 裸跑问题尽早解决

近日,国内网络安全公司绿盟科技联手腾邦国际互联网金融产业园举办了2015互联网金融安全沙龙,互联网金融产业园副总经理刘鹏和绿盟科技深圳办首席代表黄国忠,主持活动并致辞。 互联网金融面临极大风险,大家都这么说,到底风险是啥样的?活动现场的实际案例演示及分析报告,让与会者看到了互联网金融安全几近裸跑的现实。

阅读全文 “互联网金融安全:裸跑问题尽早解决” »

运营商渗透测试与挑战

运营商渗透测试与挑战

最近几年,运营商行业安全服务中渗透测试中常见的漏洞包括弱口令、注入漏洞、跨站漏洞、Struts2命令执行漏洞、WebServer远程部署及上传漏洞等,但随着新技术、新业务出现和运营商集团层面的关注重点有所转移,渗透测试工作将会面临内容安全、计费安全、客户信息安全、业务逻辑及APP等方面的挑战,这就需要服务团队与时俱进,满足客户的服务要求。文章对这些方面进行了分析与总结,希望对安全服务人员的渗透测试工作有所帮助。

 

阅读全文 “运营商渗透测试与挑战” »

内存寻址原理

内存寻址原理

在做网络安全事件分析的时候,都会遇到内存寻址的知识,例如上次跟大家分享的《 空指针漏洞防护技术》,就涉及到非法访问内存地址的问题。如果这个坎儿迈不过去,你就会迷失在代码中,更无从分析了。今天绿盟科技的安全技术专家就讲讲这个内存寻址的原理,文章分为上下两篇《内存寻址原理》及《内存寻址方式》。

阅读全文 “内存寻址原理” »