做甲方安全建設(shè),SDL是一個(gè)離不開(kāi)的話(huà)題,其中就包含代碼審計(jì)工作,我從最開(kāi)始使用編輯器自帶的查找,到使用fortify工具,再到后來(lái)又覺(jué)得fortify的掃描太慢影響審計(jì)效率...
發(fā)簡(jiǎn)信
IP屬地：上海
-
代碼審計(jì)系統(tǒng) Swallow 開(kāi)發(fā)回顧
-
開(kāi)源代碼審計(jì)系統(tǒng) Swallow 內(nèi)測(cè)發(fā)布
一 背景 這個(gè)月的主要目標(biāo)是檢驗(yàn)蜻蜓的編排系統(tǒng)和優(yōu)化,我基于蜻蜓開(kāi)發(fā)dolphin的ASM系統(tǒng),這兩周主要開(kāi)發(fā)代碼審計(jì)系統(tǒng) swallow. Swallow是一款開(kāi)源的代碼審...
-
蜻蜓:GitLab結(jié)合fortify實(shí)現(xiàn)自動(dòng)化掃描實(shí)踐一、背景 在甲方做安全的同學(xué)可能會(huì)有一項(xiàng)代碼審計(jì)的工作，通常需要從gitlab把代碼拉取下來(lái)，然后使用代碼審計(jì)工具進(jìn)行掃描，然后對(duì)結(jié)果進(jìn)行人工確認(rèn)； 在這個(gè)流程中需要做的事情...
-
蜻蜓低代碼安全工具平臺(tái)開(kāi)發(fā)之路
一、背景 蜻蜓內(nèi)測(cè)版在五一前夕上線(xiàn)了，很快就積累的很多工具，用戶(hù)數(shù)也逐漸增多，但我也逐漸發(fā)現(xiàn)這種堆積式的平臺(tái)沒(méi)太多技術(shù)含量；我在想是否可以做一些有挑戰(zhàn)的事情，正好這幾年低代碼...
-
CIS 2021網(wǎng)絡(luò)安全創(chuàng)新大會(huì)《代碼安全體系建設(shè)》實(shí)錄一、背景 湯青松 ，北京趣加科技有限公司 安全工程師，實(shí)體書(shū)《PHP WEB安全開(kāi)發(fā)實(shí)戰(zhàn)》作者，擅長(zhǎng)企業(yè)安全建設(shè)，SDL安全建設(shè)。PHPCon 2020 第八屆 PHP 開(kāi)...
-
QingScan 快速集成自定義工具
QingScan是一個(gè)漏洞掃描聚合平臺(tái),添加目標(biāo)后30款工具自動(dòng)調(diào)用；不少人也想自己添加工具進(jìn)來(lái)，其實(shí)添加非常簡(jiǎn)單，我們已經(jīng)幫你考慮好了，你不用寫(xiě)代碼只需要在界面操作就可以完...
-
Clion Debug模式使用實(shí)踐
一、背景 最近為了考研，在學(xué)習(xí)C語(yǔ)言與數(shù)據(jù)結(jié)構(gòu)，最開(kāi)始使用Visual Studio 2019作為編輯器，但是總感覺(jué)不習(xí)慣； 之前一直使用jetbrains公司的編輯器，正好...
-
使用Docker進(jìn)行Redis主從復(fù)制實(shí)踐一、背景 最近在做零信任安全網(wǎng)關(guān)，需要使用Redis作為認(rèn)證緩存服務(wù)器，因?yàn)榫W(wǎng)關(guān)服務(wù)器分布在多個(gè)集群，每次都跨機(jī)房認(rèn)證不太實(shí)現(xiàn)；所以需要使用Redis主從同步，將過(guò)程記錄下來(lái)...
-
使用Portainer部署Docker容器實(shí)踐一、背景 最近在使用rancher2.5.5部署Redis主從復(fù)制的時(shí)候，發(fā)現(xiàn)rancher會(huì)產(chǎn)生很多iptables的規(guī)則，這些規(guī)則導(dǎo)致我們?cè)诓渴鹆藃ancher的機(jī)器上無(wú)...
-
K8s微服務(wù)自動(dòng)化部署容器(Rancher流水線(xiàn))
一、背景 最近公司上線(xiàn)辦公網(wǎng)零信任安全網(wǎng)關(guān)系統(tǒng)，由我負(fù)責(zé)部署上線(xiàn)，在部署的時(shí)候同時(shí)也在想如何保障穩(wěn)定性，以及后續(xù)部署的簡(jiǎn)便性； 想起了k8s微服務(wù)的成熟方案，不僅可以自動(dòng)重啟...
-
Rad爬蟲(chóng)結(jié)合W13Scan掃描器挖掘漏洞
一、背景 這幾天一直在研究W13Scan漏洞掃描器，因?yàn)閷?duì)Python不是太熟悉，所以進(jìn)度有點(diǎn)慢，一直沒(méi)看懂怎么將代理請(qǐng)求的數(shù)據(jù)轉(zhuǎn)發(fā)到掃描隊(duì)列中去，決定先熟悉熟悉這個(gè)功能再說(shuō)...
-
golang 單元測(cè)試框架實(shí)踐一、簡(jiǎn)介 日常開(kāi)發(fā)中, 測(cè)試是不能缺少的，每次手動(dòng)測(cè)試非常費(fèi)時(shí)費(fèi)力，通過(guò)單元測(cè)試可以達(dá)到一次實(shí)現(xiàn)多次利用； 單元測(cè)試主要是通過(guò)模擬業(yè)務(wù)中的參數(shù)，調(diào)用我們的函數(shù)，然后獲取執(zhí)行結(jié)...
-
中文分詞工具(LAC) 試用筆記
一、背景 筆者2年前寫(xiě)過(guò)一篇《PHP使用elasticsearch搜索安裝及分詞方法》的文章，記錄了使用ES的分詞的實(shí)現(xiàn)步驟，最近又需要用到分詞，在網(wǎng)上發(fā)現(xiàn)一個(gè)百度的中文分詞...
-
消息隊(duì)列Rabbitmq的交換器類(lèi)型
一、交換器類(lèi)型 在rabbitmq中，生產(chǎn)者的消息都是通過(guò)交換器來(lái)接收，然后再?gòu)慕粨Q器分發(fā)到不同的隊(duì)列中去，在分發(fā)的過(guò)程中交換器類(lèi)型會(huì)影響分發(fā)的邏輯。 rabitmq中的交換...
-
docker中使用源碼方式搭建SRS流媒體服務(wù)
一、背景 搭建流媒體服務(wù)的方式一般會(huì)采用nginx+rtmp和srs服務(wù)兩種，前者是nginx加上插件所用，而后者是專(zhuān)門(mén)為了為了流媒體而生，在這一節(jié)中我們將從頭搭建srs流媒...