IT2021科技站

很多团队对"漏洞治理"的第一反应是查通告、找补丁、上服务器执行更新，直到某次应急通告才发现：台账里写着"仅内网可访问"的系统，还有一条历史遗留的端口映射挂在公网上。公网暴露面的漏洞处置之所以容易失控，不在于补丁本身难打，...

日志脱敏最常见的失效方式，不是规则写错了，而是规则只覆盖了开发者想到的那条路径。正常请求里密码字段被替换成星号，异常分支却把整个请求体打进日志；接口层做了掩码，下游服务又把原始对象序列化了一遍。要判断脱敏是否真的生效，需要把"哪些值不得进入日志&qu...

渗透测试的交付物不只是一份漏洞报告，还包括一个与测试前一致的运行环境。项目进入收尾阶段时，真正容易出问题的往往不是已经写进报告的漏洞，而是测试过程中留下的临时账号、上传的探针文件、为便利而放宽的访问策略，以及这些东西在授权结束后仍长期生效。本文面向执行测试的渗...

2026 年 10 月 27 日，Google 将桌面稳定版 Chrome 更新至 156.0.8078.73/.74（Windows、macOS）和 156.0.8078.73（Linux），并说明该版本包含 52 项安全修复、将在随后数天至数周内分批推送。...

长期以来，Kubernetes 社区一直依赖 container.apparmor.security.beta.kubernetes.io/<container-name> 这一 Pod 注解机制来配置 AppArmor 策略。这种注解不仅破坏了 ...

在突发高危远程代码执行（RCE）漏洞的应急响应中，安全公告往往会建议立即调小 post_max_size、upload_max_filesize 或 memory_limit，以阻断超大载荷注入或内存耗尽利用。然而，仓促修改全局 php.ini 或 PHP-F...

Google 开源压缩算法库 Brotli 近期披露的高危越界写入漏洞（CVE-2026-111497，社区代号 Node2Shell / HTTP2Shell）已引起安全界高度警惕。该漏洞存在于 Brotli 解码器（Decoder）的核心逻辑中，影响 1....

在企业内部网络安全运营中，资产的非预期暴露与弱口令配置是威胁横向移动的主要突破口。由 TideSec 开源维护的综合安全检测工具无影（TscanPlus），整合了主机存活探测、服务与 Web 指纹识别以及多协议弱口令核验功能。相比传统单一工具的多环节拼接，Ts...

在持续集成（CI）流水线和容器交付链路中，基础镜像通常预装了 curl 命令行工具，许多构建脚本、发布工具和内部运维 CLI 也会直接调用或链接 libcurl。根据官方安全公告，CVE-2026-92392 揭示了一个存在于 libcurl 中的高危释放后使...

在现代 Web 架构与 API 安全体系中，JSON Web Token（JWT）常作为无状态身份认证与会话管理的核心载体。依据 OWASP Web 安全测试指南（WSTG）的身份验证测试框架，针对 JWT 的安全性评估需要聚焦于其算法解析逻辑、签名有效性校验...