搜索中心

基于OWASP中国最新发布的《静态源代码安全扫描工具测评基准》v2.0，网安基地供应链安全检测中心联合武汉金银湖实验室于2023年7月-2023年9月期间召集各大厂商开展了静态源代码安全扫描工具测评活动，现将测评结果进行发布。

在做代码审计时，通常需要将源码运行起来，用于验证漏洞是否真实存在，通过debug可以更加直观的观察程序的运行细节，可以比较快的确认有效漏洞，debug也是开发人员在代码调试测试阶段经常用到的方法。

日常开发过程中，开发人员经常需要从一大段复杂的字符串中快速匹配特殊规律的字符串，通常，这些功能的实现需要依赖叫做“正则表达式”的方法，当在它在处理一些复杂的、嵌套的或者具有多个重复的模式字符串时就会造成程序卡死，即造成ReDoS。

XZ-Utils是一款开源的无损压缩命令行工具，是用C语言编写的跨平台工具，可以用于类Unix系统和Windows系统。这款工具目前是大多数Linux发行版本的默认工具之一。

0x01  前言 很多场景下需要大范围的扫描漏洞和快速排查互联网暴露面的漏洞，需要使用这种自动化的

代码安全审计是软件开发过程中的重要环节，它通过细致的代码审查来识别和修复潜在的安全漏洞。本文将概述安全审计的基本流程、关键技术点和最佳实践，分享审计过程中的心得体会，旨在帮助开发者提高代码质量，降低安全风险。

《Cybersecurity Incident & Vulnerability Response P

2010年，震网病毒被发现，引起世界哗然，在后续的10年间，陆陆续续又有更多关于该病毒的背景和细节曝光。今年，《以色列时报》和《荷兰日报》又披露了关于此事件的更多信息，基于这些信息，我们重新梳理了震网病毒的来龙去脉。

序列化是开发语言中将某个对象转换为一串字节流的过程。但反序列化的过程却可能存在严重的安全漏洞，本文介绍PHP开发中的反序列化漏洞。

在最近的一次安全漏洞事件处理中，需要验证某上市公司网站的一个安全漏洞。但由于漏洞信息的不完整，需要人工基于报告内容进行二次漏洞定位、复现。在这个过程中，我们发现存在的一个典型的关于软件外包的供应链安全问题。

在软件开发生命周期（Software Development Life Cycle，简称SDLC）中，设计评审（Design Review）是一个关键的阶段，旨在确保软件设计满足项目需求和目标，并且能够高效、可靠地实现预期功能。

Node.js 是一个基于 Chrome V8 引擎的 JavaScript 运行环境，它使得 JavaScript 可以脱离浏览器在服务器端运行。

BlueSpy利用蓝牙设备的配对漏洞，允许攻击者在无需用户交互的情况下，劫持已配对的蓝牙扬声器或耳机，进而监听或记录音频数据，本文详细说明BlueSpy技术复现的步骤，包括所需工具、代码和操作流程。

在软件开发的过程中，为了提升开发效率、软件质量和稳定性，并降低开发成本，使用开源组件是开发人员的不二选择

在软件安全的语境中，漏洞是指软件中的具体缺陷或疏忽，能够被攻击者利用并执行一些恶意行为，例如泄露或修改敏感信息、干扰或销毁系统、接管计算机系统或程序权限等等。

本文分析了由DEVCORE团队研究发现的PHP CGI在Windows平台的远程代码执行漏洞（CVE-202

2个月前，网络安全和情报公司Tarlogic在西班牙安全大会RootedCon 2024上提出了一项利用蓝牙

无论是做漏洞研究还是做安全测试，最终都需要以文本的方式将安全漏洞的信息呈现给需要理解漏洞的人，这个人可能是漏洞相关产品所在机构的审核人员，也可能是漏洞所属产品的研发人员，或者是产品经理之类的决策或管理人员。

早在2007年，就有人发现，在超出车钥匙信号距离范围外，可以拿钥匙抵着下巴开车门或锁车门。当然，前提是具有无钥匙进入汽车功能的汽车钥匙，钥匙距离汽车是超出一定范围，而不是超出视距甚至更远。

产品

斗象VIP漏洞情报生产运营平台

斗象科技

65

0

斗象科技的VIP漏洞情报生产运营平台，提供全天候多源情报监测，快速识别资产风险，动态评估漏洞危害，支持自动关联脆弱资产，提供精准修复方案。平台具备漏洞预警、优先级评估、风险定位、PoC/EXP验证等技术优势，助力企业提升漏洞修复效率，强化全链路防护。

产品

凌洞智能安全服务平台

四叶草安全

98

0

四叶草安全旗下的凌洞智能安全服务平台，提供一站式网站加速、安全防护、搜索引擎优化服务。平台具备安全应急响应中心、Web应用动态防护、安全意识风险管理、风险感知检测、在线信息安全教育、移动应用检测和安全加密通信等功能，全方位保障企业网络安全，提升安全技能，实现安全风险的监测、防护、规范、闭环管理。

产品

灵洞 - 网络资产攻击面管理平台

华云安

143

0

实现完善的攻击面管理(ASM)，针对高价值风险进，行精准处置。提供云上、云下全视角的数字资产盘点、暴露面检测、攻击面验证和实时的响应处置，将精力聚焦在真正的安全风险上。

产品

零洞攻击面风险管理平台

蔷薇灵动

128

0

基于微隔离技术的精细化点到点流量分析与访问控制能力，“零洞”攻击面风险管理平台，能够实现包括资产自动发现、漏洞精准扫描、全面向攻击面发现、风险量化评估、内外攻击面风险自适应缩减等强大的漏洞治理能力。基于业务最小权限与风险量化度量的智能策略编排，“零洞”让全网漏洞治理变得前所未有的简单，只需一次点击，漏洞即刻消失。

厂商

四叶草安全

134

0

西安四叶草信息技术有限公司（简称：四叶草安全）是一家实战创新型网络安全企业，由马坤创办于2012年。