声明：切勿用于非法入侵，仅供检测与学习！传送门 ——> 中华人民共和国网络安全法 漏洞描述 2021年9月21日，VMware发布安全公告，公开披露了vCenter Server中的19个安全漏洞，这些漏洞的CVSSv3评分范围为4.3-9.8。 其中，最为严重的漏洞为vCenter Server 中的任意文件上传漏洞(CVE-2021-22005)，该漏洞存在于vCenter Server的分析服务中，其CVSSv3评分为 9.8。能够网络访问vCenter Server 上的 443 端口的攻击者可以通过…
blueCMS是一款小众的CMS，网上也有人发布其相关漏洞。接下来对已公布的漏洞进行源码分析 环境准备 BlueCMS v1.6 phpstudy 2018 php5.5.35 phpstorm sql注入1 首先查看配置文件，发现网站有统一的过滤方法，在文件common.inc.php中，对$_post、$_get、$_cookies和$_request统一进行gpc处理。代码如下： if(!get_magic_quotes_gpc()) { $_POST = deep_addslashes($_POST); …
《关键信息基础设施安全保护条例》全文公布，9月1日起施行 中华人民共和国国务院令 第745号 《关键信息基础设施安全保护条例》已经2021年4月27日国务院第133次常务会议通过，现予公布，自2021年9月1日起施行。 总理 李克强 2021年7月30日 关键信息基础设施安全保护条例 第一章 总则 第一条 为了保障关键信息基础设施安全，维护网络安全，根据《中华人民共和国网络安全法》，制定本条例。 第二条 本条例所称关键信息基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重…
php中的代码调试不同于其他语言，一直以来配置调试环境是件棘手的问题，下面我就把我详细的调试配置过程进行记录一下 环境配置 实验配置环境如下 win 10 x64 phpstudy 2018 (php5.5.38) phpstorm 2021.2 Firefox + Xdebug-ext 以下都基于php服务器在本地的情况！ xdebug配置 1. 配置xdebug 找到phpstudy自带的xdebug路径 2. 配置 php.ini 打开php.ini后移动到文件最末尾，添加如下内容 ;xdebug库…
《党委（党组）网络安全工作责任制实施办法》解读 一、前言 2021年8月4日，《人民日报》头版发布《中国共产党党内法规体系》一文。同时，《中国共产党党内法规汇编》公开发行，收录了《党委（党组）网络安全工作责任制实施办法》（以下简称《实施办法》），正式揭开了《实施办法》的神秘面纱。 党内法规具有强烈政治属性、鲜明价值导向、科学治理逻辑、统一规范功能，高度凝结党的理论创新和实践经验，是党的中央组织，中央纪律检查委员会以及党中央工作机关和省、自治区、直辖市党委制定的体现党的统一意志、规范党的领导和党的建设活动、依靠党的纪…
2021年3月9日，国家市场监督管理总局（国家标准化管理委员会）发布《中华人民共和国国家标准公告（2021年第3号）》，批准《信息技术服务 服务安全要求》（以下称《服务安全要求》）国家标准发布实施，标准号为：GB/T 39770-2021，实施日期为2021年10月1日。 《服务安全要求》是我国信息技术服务标准（ITSS）体系框架（4.0+）支撑标准中“服务管控”领域的重要组成部分，该标准提出了信息技术服务安全模型，规定了服务安全总则、服务生存周期安全要求，以及服务能力要素安全要求。标准适用于信息技术服务提供方、服…
国信办秘字〔2021〕14号 关于印发《常见类型移动互联网应用程序必要个人信息范围规定》的通知 各省、自治区、直辖市及新疆生产建设兵团网信办、通信管理局、公安厅（局）、市场监管局（厅、委）： 为贯彻落实《中华人民共和国网络安全法》关于“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则”“网络运营者不得收集与其提供的服务无关的个人信息”等规定，国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局联合制定了《常见类型移动互联网应用程序必要个人信息范围规定》，明确移动互联网应用程序（App）运营…
HW蓝军攻略之攻击日志分析技巧 随着网络安全态势逐渐严峻，网络威胁开始关系到关键基础设施和国计民生，网络安全问题上升为国家安全层面的挑战。为了落实“实战化、常态化、体系化”的关键基础设施保护体系要求，2016年起，越来越多的行业和安全厂商加入到演习行动中，定期操演，暴露隐患，培养能打硬仗的专业后备力量。 作为演习中重要的角色之一——蓝队，其主要职责是负责演习中的防守。依托参演单位现有网络安全防御体系，完成实战中的网络安全事件监测、预警、分析、验证、溯源和处置。其中，对威胁的有效识别和及时响应，是蓝队工作中最重要的一…
前言 日志是数据，数据却不一定是日志。日志主要用于记录发生过的事件，写入和查询是常用操作，不推荐对其进行修改操作，日志过量或者过期的时候，需要清理。 日志是应用不可分割的一部分，没有日志的应用是残缺的。依赖日志，我们可以追溯故障、找出BUG、统计数据和分析用户行为。适当的日志可以提供帮助，日志太少和太多都会造成不良影响。 本文讨论了Web应用的HTTP日志、应用日志和用户日志。 HTTP日志 正规部署的Web应用，都会使用类似Nginx, Apache这样的Web服务器来做反向代理以及负载均衡。这样一来，就由这一层…