Web安全 – 绿盟科技技术博客

Web安全之防止浏览器自动代填和回显已保存账号

浏览器的代填功能设计，是为了方便用户登录，但同时也存在安全隐患，方便了用户自己也方便了他人，相关账号信息轻易就可以被他人利用登录了，

为了个人账号安全，一是用户自身不要保存账号密码到浏览器，二是网站方要做页面处理，防止浏览器做这样的代填操作。

Go语言因为跨平台且易上手，越来越受到攻击者的青睐。2019年年初^[1]，一个由Go语言编写的新型恶意软件家族问世，称为GoBrut（又名StealthWorker），目的是检测目标站点的服务并对其进行爆破。GoBrut行为低调但野心勃勃，每次均攻击众多Web服务器。

近期绿盟科技应急响应团队检测到多家政府、教育、企事业单位网站被黑客植入恶意链接，访问链接后会跳转到指定色情网站。攻击者利用第三方的编辑器的未授权访问及上传漏洞，上传相关恶意HTML页面。结合SEO技术，提升恶意站点在搜索引擎的收录和权重。

本篇文章主要讲解一些在web安全领域渗透测试的基础知识点，以普及类信息为主，介绍渗透测试的流程和渗透工具的使用方法例如：sqlmap、metaspolit等，及一些实际应用场景。

2018年春运即将拉开帷幕。春运又称“年度全球最大规模的人口流动”，是一部“人民的斗争史”，起初只是与黄牛斗智斗勇，后来为了整治黄牛12306不断升级验证码，于是大家开始了与验证码斗智斗勇。那么这种验证码是否是必须的？且看小编对Web安全之验证码的解读。

超全Web漏洞详解及其对应的安全编码规则，包括：SQL注入、XSS、CSRF、文件上传、路径遍历、越权、XML以及业务安全等，实例告诉你各个漏洞对应的编码规则。给你的代码加把安全锁！

图文细数电商类Web安全七宗罪：内网渗透、逻辑缺陷、常规Web漏洞、撞库攻击、金额篡改、越权操作、社会工程。告诉你各项风险的渗透重点以及应对措施，教你避免安全风险的编码原则。传统网站也适用！