IT2021科技站

当 JavaScript 或 TypeScript 项目准备合并代码、发布版本或部署到生产环境时，依赖漏洞扫描应该先回答一个具体问题：当前项目的锁文件里，哪些依赖存在已知漏洞，以及应该从哪里开始修复。OWASP CVE Lite CLI 的定位就是在本地扫描项目锁文件，识别已知漏洞，并给出依赖路径和修复方向。它不需要账号，也不要求把项...

很多内网隧道选型失败，并不是工具本身不可用，而是忽略了出口网络的真实限制：目标侧究竟允许哪些协议，WAF 或防火墙检查的是应用层内容还是连接行为，链路中是否存在代理、NAT、流量审计和速率限制。Chisel、SSF 与 ICMP 隧道分别代表了性能优先、隐蔽性优先和协议可达性优先的思路，适合在获得明确授权的渗透测试或内部安全验证中使用...

Kibana 9.4.4 在安全公告 ESA‑2026‑83 中披露，Agent Builder 在调用其他 Kibana 功能前未能正确校验调用者是否拥有相应权限，导致潜在的特权提升与敏感信息泄露。该缺口正是 AI 辅助工具首次引入权限检查不完整的典型案例，随后在 ESA‑2026‑124 与 ESA‑2026‑156 中又出现了私...

在混合使用 Linux 与 Windows 的服务器环境中，统一防火墙策略是保障安全基线的关键。下面以常见服务端口 8080（Web 应用）、3306（MySQL）、9200（Elasticsearch）和 6379（Redis）为例，比较 firewalld（基于 zone）和 Windows Defender 防火墙（基于入站/出...

在企业信息安全管理中，安全意识培训往往投入大量资源，却因为缺乏可靠的评估手段而难以向管理层展示真实价值。仅靠参训人数或课时统计，往往忽略了培训后员工行为的实际变化，导致“投入—产出”之间出现认知鸿沟。 评估关键指标 钓鱼邮件点击率：通过定期投放模拟钓鱼邮件，监测点击率的下降幅度。点击率下降 10% 以上通常表明防御意识提升显著。 可疑...

2026 年，云原生安全事件几乎成了每家企业都要面对的常态。Red Hat 的最新报告显示，97% 的组织在过去一年至少经历了一次云原生安全事件，而其中最常见的原因——配置错误——占比高达 78%。与此同时，Serverless 和容器化架构的并行采用让安全边界变得更加模糊：团队既要管理容器集群的运行时风险，又要应对函数即服务（Faa...

评审一份接口设计文档时，最容易通过的往往是那些看起来最普通的接口：GET /orders/{id}、PATCH /profiles/{id}、DELETE /files/{id}。文档里写了"需要登录后访问"，评审就过了。但"登录后访问"和"只能访问自己的对象"是两回事，把 ...

2026年8月补丁星期二正式发布，微软针对其产品线发布了421个CVE漏洞的安全补丁更新，其中包括62个高危漏洞和3个零日漏洞。其中一个Windows内核漏洞已被勒索团伙Lazarus组织利用，攻击者可借此获得SYSTEM管理员权限。 根据安全周刊等媒体报道，这一漏洞是一个使用后释放问题，存在于Windows的Ancillary Fu...

许多安全团队做过 Web 应用渗透测试，却从未系统测过自己的云环境。这两者看似接近，实际覆盖的攻击面差异巨大：Web 测试通常停留在应用层，而云环境的脆弱点往往藏在 IAM 权限提升、元数据服务利用、存储桶暴露和跨服务横向移动这些地方。进入 2026 年，随着 SOC 2、ISO 27001 等合规框架对渗透测试证据的要求越来越明确，...

2026 年 8 月的 Windows 补丁批次里，CVE-2026-62878 是最需要当天就排查完的一条。它是 Windows DNS 中的栈缓冲区溢出（CWE-121），未经身份验证的攻击者可以通过网络直接执行代码，CVSS 3.1 评分 9.8，向量为 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H，也...