摘要: 阿里云WAF与日志服务打通,对外开发Web访问与攻击日志.提供近实时的网站具体的日志自动采集存储.并提供基于日志服务的查询分析.报表报警.下游计算对接与投递的能力. 背景 Web攻击形势 互联网界的安全一直都不断的面临着挑战,以DDoS/Web攻击为代表的网络威胁直接对网络安全产生严重的影响. 据近年来的调查报告显示,Web攻击的方式向两极化发展,慢速攻击.混合攻击尤其是CC攻击占比不断增大,这给检测防御造成更大的难度.在整个网络攻击中, 应用层攻击也在大幅度翻倍(参考Imperva 2…

背景 应用安全领域,各类攻击长久以来都危害着互联网上的应用,在web应用安全风险中,各类注入.跨站等攻击仍然占据着较前的位置.WAF(Web应用防火墙)正是为防御和阻断这类攻击而存在,也正是这些针对Web应用的安全威胁促使了WAF这个产品的不断发展和进化.同时,各种机器学习算法和模型也被不断提出和应用在WAF等安全产品中,以期望解决这些风险. 然而这些算法大多都以监督学习为主,通过标注的正负样本数据,构建针对特定攻击类型的分类模型.安全领域通常面临着「问题空间不闭合」.「正负样本空间严重不对称」…

2019年4月4日,阿里云安全应急响应中心监测到Confluence 官方发布安全更新指出,Widget Connector 存在服务端模板注入漏洞,攻击者能利用此漏洞实现目录穿越遍历甚至远程命令执行.4月10日远程命令执行PoC被公开,阿里云监测到此漏洞被大规模利用,4月12日凌晨攻击流量达到第二次高峰. 4月6日出现第一次大规模攻击,全天攻击次数超过5000次,阿里云WAF默认规则均成功防御.攻击特征为任意文件读取,攻击者通过构造特定请求读取本地敏感文件信息. 直到4月7日,第一波攻击结束,…

6月11日,阿里云安全团队发现WebLogic CVE-2019-2725补丁绕过的0day漏洞,并第一时间上报Oracle官方, 6月12日获得Oracle官方确认.由于Oracle尚未发布官方补丁,漏洞细节和真实PoC也未公开,为保障客户的安全性,阿里云Web应用防火墙(WAF)紧急更新规则,已实现对该漏洞的默认防御. 一.漏洞简介 WebLogic Server是美国甲骨文(Oracle)公司开发的一款适用于云环境和传统环境的应用服务中间件,被广泛应用于保险.证券.银行等金融领域. 此次发…

做个笔记吧,某SQL注入点的绕过,有阿里云waf的. 首先遇到是个搜索框的注入点: 演示下: 针对搜索框,我们的sql语句一般是怎么写的? 本地演示:select * from product where pname like '%华为%' 我们如何进行注入判断? select * from product where pname like '%华为%' and 1=1 and '%%'='%%' select * from product where pname like '%华为%' and…

前言 好久没有出来夸白了,今天教大家简单的使用阿里云分布式日志,来存储日志,没有阿里云账号的,可以免费注册一个 开通阿里云分布式日志(有一定的免费额度,个人测试学习完全没问题的,香) 阿里云日志地址:https://sls.console.aliyun.com/lognext/profile 先开通阿里云日志,这个比较简单授权就可以了 选择接入数据,我们这里选 .NET 选择项目名称,没有项目的可以去创建一个,项目名称后面会用到,如果你有购买阿里云ECS,项目区域最好选择跟ECS同一个区域(每个…

随着5G.物联网时代的到来以及云计算应用的逐渐增加,传统集中式的云计算技术已经无法满足终端侧“大连接,低时延,大带宽”的需求.结合边缘计算的概念,云计算将必然发展到下一个技术阶段,也就是将云计算的能力拓展至距离终端更近的边缘侧,并通过云边端的统一管控实现云计算服务的下沉,提供端到端的云服务.如此,边缘云计算的概念也随之产生了.为了积极引导边缘云计算技术和应用发展,以及边缘云计算相关标准化的制定,阿里云和中国电子技术标准化研究院联合发布<边缘云计算技术与标准化白皮书>,在业界首次从标准的角度明确…

说明:这个算不上是插件,因为没有安装包,需要手工修改代码. 还有一点就是后台发布文章时上传的附件还是会保存在你的服务器上,基于以下原因: 1.个人的需求是前台页面需要使用thumb函数生成多个缩略图大小,thumb函数是不支持远程图片的(保存在OSS上就变远程图片了),即使修改为支持远程图片,也需要将远程图片先保存到本地,这样速度会非常慢,是非常非常: 2.做备份的需要,这点你懂得,某天OSS上的附件没有了就悲剧了,所以使用这个OSS for phpcmsV9需要服务器有一定的空间. 下面是整合…

每日头条 重磅!容器集群监控利器 阿里云Promtheus 正式免费公测 Prometheus 作为容器生态下集群监控的首选方案,是一套开源的系统监控报警框架.2019 年7月3日,阿里云Promtheus云托管实例正式开始免费公测.针对容器集群监控场景,提供了完整的采集.存储.监控.告警.图表展现的数据监控服务. 最强干货 贝叶斯优化在XGBoost及随机森林中的使用 XGBoost和Random-Forest(RF,随机森林)都属于集成学习(Ensemble Learning),集成学习的目…

朋友发了我一个站点,来看看吧,是limit注入,不太常见.搞一搞吧. POST /Member/CompanyApply/lists HTTP/1.1 Host: * Content-Length: 57 Accept: application/json, text/javascript, */*; q=0.01 Origin: * X-Requested-With: XMLHttpRequest User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64)…