在等级保护基本要求中,对口令这块有对应条款要求,以《信息安全技术 网络安全等级保护基本要求》安全计算环境身份鉴别第三级要求为例:安全计算环境身份鉴别a)应对登录的用户进行身份标识和鉴别,身份标识具有唯...
密码政策问答百问之十四“创新发展、服务大局”
问:密码工作的基本原则中“创新发展、服务大局”是指什么?答:创新发展是密码工作的发展之基、力量之源。党的密码工作从诞生的第一天起,正是凭借不断地自主创新,走出了一条从无到有、从小到大、从弱到强的中国特...
域控强密码策略插件(附下载地址)
域控默认的密码策略,无法对域用户密码的设置进行很好的限制,这样的密码复杂性规则,依然存在大量的弱口令,比如Passw0rd、P@ssword等。基于微软标准的Password Filters功能,提供...
Gitlab OAuth注册默认口令漏洞分析(CVE-2022-1162)
01漏洞简述3月30日,GitLab 官方修复了CE/EE版本产品中硬编码密码导致的接管用户账户的安全问题。由于使用 OmniAuth 注册的代码逻辑中存在硬编码密码,导致账号可被攻击者直接登录。该漏...
密码政策问答百问之十
问:密码有哪些主要功能?答:密码的主要功能有两个,一个是加密保护,另一个是安全认证。加密保护是指采用特定变换的方法,将原来可读的信息变成不能直接识别的符号序列。简单地说,加密保护就是将明文变成密文。例...
渗透测试 | 两个通用逻辑漏洞挖掘
前言:在偶尔进行渗透的过程中,对目标资产下存在的系统进行观察的时候,发现了两处逻辑漏洞,然后根据系统底部的版权信息利用搜索引擎一检索,两处通用漏洞就到手了,这里进行简单的一个记录。某设备管理系统越权导...
实战|记一次相当曲折的渗透
作者:羊羊,转载于先知社区。记一次曲折的渗透一.前言这是一次非常曲折的渗透测试,也让我学到了很多。二.逻辑漏洞收集子域名,看到一个项目管理的网站先随机测试了几个弱口令,没有验证码,也没有失败次数限制,...
一次CNVD-2020-10487漏洞利用
0x00漏洞简介 CNVD-2020-10487 tomcat-ajp文件读取漏洞0x01开始某次对一个目标进行测试,用routerscan扫描搜集的C段资产,发现某个IP开放了22,637...
密码政策问答百问之七《密码法》的法律地位
问:《密码法》有什么样的法律地位?答:密码是国家重要战略资源,是保障网络与信息安全的核心技术和基础支撑。密码工作是党和国家的一项特殊重要工作,直接关系国家政治安全、经济安全、国防安全和信息安全,在我国...
APP安全测试系列-身份鉴别
本APP安全测试系列分为5个篇章,这五个篇章的内容可以作为APP测试的样例,在遇到APP测试工作时,可以直接依次按照教程的步骤进行测试,最后编写APP测试报告即可。测试前准备身份鉴别数据传输与存储容错...
某某大学密码重置验证绕过
信息收集前期通过信息收集找到该学校暴露在公网上的一些学号信息关于信息收集的一些google语法site:.xxx.edu.cn filetype:xlsxlsxdoc…… 学号身份证号……site:....
无密码身份认证即将来临
在设计和实施身份管理方面,所有人对于自己选择的认证方式都有充足的理由。虽然大多数组织仍然依赖用户名和密码方案进行身份验证,但他们意识到了其中的不足并设计了无密码的方案。密码一直以来存在很多问题,依赖它...
89