漏洞公告|Apache Hadoop FileUtil.unTar命令注入漏洞
2022年8月4日，Apache Hadoop官方披露修复了一个Shell命令注入漏洞CVE-2022-25168。由于Apache Hadoop的FileUtil.unTar API在传递Shell之前未对输入的文件名进行转义，攻击者可以利用该漏洞注入任意命令，从而对集群造成破坏。漏洞影响 ...
基础防护规则和规则组
接入 Web 应用防火墙 WAF（Web Application Firewall）后，您可以通过设置基础防护规则和防护规则组，帮助Web业务防御SQL注入、XSS跨站、代码执行、WebShell上传、命令注入等常见的Web应用攻击。本文介绍如何设置基础防护规则和规则组。...
快速入门
本文以向服务器注入查询当前路径的命令为例，介绍 PelicanDT 的使用方法。安装 PelicanDT SDK 将 PelicanDT SDK 添加到项目中有两种方式：下载 SDK 源码包，并添加到您的工作目录中。在 Maven 项目的 pom.xml 文件中添加以下代码，引入 ...
产品架构
产品架构图 AHAS Agent AHAS Agent安装在指定的目标机器上，用来执行服务端下发的故障注入命令以及采集演练相关的必要信息，例如CPU、内存占用等。主要有以下特点：快捷高效：支持在控制台一键安装AHAS Agent，如果是公网则需要用户手动...
内置的安全审计规则
CMDSHELL执行系统命令（SQLServer语法）高 存储过程滥用 执行危险的操作，存储过程XP_SENDMAIL（SQLServer语法）高 存储过程滥用 执行危险的操作，存储过程XP_RUNWEBTASK（SQLServer语法）高 存储过程滥用 执行危险的操作，存储过程XP_...
附件二：众测漏洞定级标准（先知安全情报）
厂商保护机制 如果同一个系统中短时间发现了大量的同类型高危漏洞（如SQL注入、命令执行等），审核人员判定该系统几乎没有做任何防护，会与厂商沟通该系统的该类型漏洞是否要继续收取；若厂商表示该类漏洞已知不再收取，则平台方正常审核前...
创建自定义组件
执行命令 组件镜像的执行命令，可以通过环境变量获取实际的值，配置格式如下：python main.py$PAI_USER_ARGS-{CHANNEL_NAME}$PAI_INPUT_{CHANNEL_NAME}-{CHANNEL_NAME}$PAI_OUTPUT_{CHANNEL_NAME}&sleep 150&echo"job finished"执行命令中...
安装Sidecar代理
执行以下命令，启用自动注入：kubectl label namespace {namespace} istio-injection=enabled-overwrite namespace 表示应用程序服务对应的命名空间，如果没有指定则会使用default命名空间。步骤二：重新启动Pod 在创建Pod时会注入Sidecar...
诊断工具asmctl常用命令
由于 服务网格 ASM的托管特性，asmctl当前仅支持部分Istioctl命令，当前不支持的命令及其原因如下：命令 当前不支持原因 dashboard系列命令中，除dashboard envoy以外的命令 服务网格 控制面由ASM托管，不支持通过命令行工具对控制面核心...
命令行工具
构建 本部分介绍工具构建的命令格式、公共资源包注入的构建提示。命令格式 kylin build#.args 项目常用构建 kylin build-dev#dev 构建及静态服务器 kylin build-server-no-prod-hot#dev 构建及静态服务器及启用热更新 kylin build-server#...
检测攻击类型说明和防护建议
SQL注入 SQL注入手段通过把SQL命令插入到页面请求或Web表单的查询字符串中，以达到欺骗服务器执行指定SQL语句的目的。它可以通过在Web表单中输入SQL语句，得到存在安全漏洞的网站上的数据。SQL注入是由拼接SQL语句引起的。请尽可能使用预...
使用NodeLocal DNSCache
kubectl label namespace default node-local-dns-injection=enabled 说明 上述命令仅会开启default命名空间的自动注入，如需对其他命名空间开启自动注入，则需要替换 default 为目标命名空间名称。在命名空间DNSConfig自动注入开启的情况...
什么是应用防护
SQL注入 SQL注入手段通过把SQL命令插入到页面请求或Web表单的查询字符串中，以达到欺骗服务器执行指定SQL语句的目的。它可以通过在Web表单中输入SQL语句，得到存在安全漏洞的网站上的数据。SQL注入是由拼接SQL语句引起的。请尽可能使用预...
如何迁移Istio社区版本至ASM
kubectl apply-f peer-authentication.yaml 步骤三：验证Sidecar注入是否成功 执行以下命令，创建测试命名空间及服务。export KUBECONFIG=<Your ACK Cluster's Kube Config File>kubectl create ns foo kubectl label ns foo istio.io/rev=1-14-...
扫描漏洞
后台数据库备份功能命令执行漏洞 ECShop ECShop代码注入漏洞 ECShop密码找回漏洞 ECShop注入漏洞 ECShop后门 ECShop任意用户登录漏洞 ECShop后台SQL注入 ECShop SQL注入漏洞 ECShop后台安装目录变量覆盖漏洞 ECShop SQL注入漏洞导致代码...
为什么为Pod注入Sidecar后，Pod处于init crash的状态
问题现象 为Pod注入Sidecar之后，执行以下命令，查看Pod状态，发现Pod处于 init crash 的状态。kubectl get pod 预期输出：NAME READY STATUS RESTARTS AGE details-v1-u*0/2 Init:Error 1 12h productpage-n*0/2 Init:CrashLoopBackOff 3 ...
安全告警概述
安全告警风险等级的分类 云安全中心对安全告警风险等级的分类如下：风险等级 描述 紧急 该告警所描述的行为，与常见的攻击者行为相似，对您的资产有破坏性或者持久性的影响，例如“反弹Shell命令”等。该风险等级表示您的资产很有可能正在...
升级Sidecar代理
手动注入Sidecar 如果您没有使用自动注入Sidecar的方式，请执行以下命令手动升级Sidecar。按照之前手工注入的方式，重新生成一个新的部署YAML文件，并重新执行 kubectl apply 命令。kubectl apply-f<(istioctl kube-inject-f<未注入过...
SQL防火墙
Utility Commands攻击 在SQL注入攻击中经常会用到一些常用命令，像典型的DDL（Data Definition Language）语句。例如：创建用户定义的函数来访问其他表的数据。SQL/Protect插件能够阻断这些在应用程序中通常不使用的SQL命令的运行。SQL ...
常见故障排查流程
开启了注入配置规则示例如下：说明 每开启一个注入规则，会生成一个 configMap，Sidecar 注入时会匹配规则里的条件。如果仅开启了注入规则，需要检查规则里的匹配条件是否和需要注入的 Pod 的内容匹配。检查 operator 里运行指定的环境变量...
通过命令行离线部署和升级插件
执行升级命令后，会提示您输入使用的 Sidecar 注入规则（获取关联插件）和新版本的 Sidecar 镜像序号，确认无误选择后回车即可。步骤三：在服务网格控制台确认插件包正确升级 确认插件包正确升级。通过命令行升级完成后，您需要登录服务...
漏洞管理
代码漏洞扫描 Dataphin通过安全团队提供的白盒扫描工具进行产品的安全审核，安全审核包括128个大项，932个小项，已全面覆盖包括CSRF注入、config配置文件泄露、SQL注入、SSRF漏洞、URL跳转漏洞、任意文件读取、命令执行、越权漏洞、反序列...
安全审计
DDL：低风险 全表更新：高风险 大请求：中风险 SQL注入 通过在Web表单、域名或页面请求中插入SQL命令，以欺骗服务器执行非法SQL，从而危害数据库安全。说明 DAS会持续不断地监控和识别数据库中是否存在SQL注入的情况，并且发现访问来源。高...
安全审计
DDL：低风险 全表更新：高风险 大请求：中风险 SQL注入 通过在Web表单、域名或页面请求中插入SQL命令，以欺骗服务器执行非法SQL，从而危害数据库安全。说明 DAS会持续不断地监控和识别数据库中是否存在SQL注入的情况，并且发现访问来源。高...
单批发布应用
启动命令设置 设置启动命令 Java Tomcat设置 设置Java Tomcat参数 说明 只有 应用部署方式 为 WAR包部署 时才能设置Tomcat。环境变量设置 设置环境变量 服务注册发现 基于K8s ServiceName配置应用服务访问 使用SAE内置Nacos Hosts绑定设置 ...
灰度发布应用
启动命令设置 设置启动命令 环境变量设置 设置环境变量 应用监控 启停应用监控 服务注册发现 基于K8s ServiceName配置应用服务访问 使用SAE内置Nacos Hosts绑定设置 设置Hosts绑定 应用健康检查设置 设置健康检查 应用生命周期管理设置 ...
数据缓存亲和性调度优化
重要 如果应用Pod在 spec.affinity 或 spec.nodeSelector 中自定义了与分层拓扑信息相关的亲和性信息，此时以应用Pod自身配置为准，Fluid不会注入相关的亲和性调度配置信息。调度策略配置 默认配置 Fluid默认提供了节点、可用区和地域三个...
分批发布应用
启动命令设置 设置启动命令 Java Tomcat设置 设置Java Tomcat参数 说明 只有 应用部署方式 为 WAR包部署 时才能设置Tomcat。环境变量设置 设置环境变量 服务注册发现 基于K8s ServiceName配置应用服务访问 使用SAE内置Nacos Hosts绑定设置 ...
快速入门概述
为快速了解如何使用BizWorks进行云原生应用建设，您可以通过示例项目和参考帮助文档进行实验，了解业务建模、应用开发和部署、能力上架、轻应用组装等主要过程。关于示例项目的内容，请参见 示例项目简介 和 示例项目的使用限制说明 等。...
使用云命令行
步骤一：启动云命令行 选择一种方式启动云命令行：在控制台中运行 单击 控制台首页 头部导航的命令行按钮，启动云命令行。独立运行 在浏览器中输入 https://shell.aliyun.com 打开云命令行操作界面。您可以根据实际需要打开多个云命令行...
轻应用概述
轻应用支持敏捷的应用低代码开发模式，能够基于已被中心应用构建完成的底层能力进行上层业务能力组装，并进一步开发上层前端应用，实现对新业务诉求的迅速响应，并组装出上层页面或系统。轻应用的主要使用过程 创建轻应用。具体操作，请...
入门
启动Cloud Shell 选择一种方式启动云命令行：在控制台中运行 单击 控制台首页 头部导航的命令行按钮，启动云命令行。独立运行 在浏览器中输入 https://shell.aliyun.com 打开云命令行操作界面。您可以根据实际需要打开多个命令行窗口，但最...
使用阿里云CLI管理OSS中的数据
在阿里云命令行（Alibaba Cloud Shell）中，已经集成了以命令行方式管理OSS数据的工具ossutil的功能。您可以通过使用阿里云CLI统一的命令格式，快速管理您在OSS中的数据。背景信息 您可以通过使用本教程来管理您OSS中的如下数据：管理存储...
使用限制
在使用云命令行前，您需要了解如下限制。限制项 限制说明 虚拟机数量 无论打开多少会话窗口，云命令行在同一时刻只会创建一台虚拟机。所有会话窗口都会自动连接到此虚拟机上。会话窗口 最多可以打开5个会话窗口。无操作销毁 无交互式操作30...
FAQ
云命令行为工具型产品，辅助您管理在阿里云上的资源或服务。目前免费使用，不收取任何费用。但若您需要永久性存储而挂载存储空间时，会按您实际的使用量收取您存储费用。云命令行是否安全？云命令行在安全方面做了很多处理，您可以放心使用...
什么是云原生应用组装平台BizWorks
云原生应用组装平台BizWorks是基于组装式理念和阿里巴巴中台实践构建的一体化云原生应用开发和组装平台，提供了业务建模、微服务开发、轻应用组装、能力开放等平台功能，致力于帮助企业快速设计、构建、组装和运营可复用的业务能力组件和...
ack-pod-identity-webhook
ack-pod-identity-webhook组件可以帮您更便捷的使用容器服务提供的RRSA（RAM Roles for Service Accounts）特性，它可以为您的应用Pod自动注入应用依赖的挂载OIDC Token和环境变量配置，免去繁琐的手动配置工作。本文介绍ack-pod-identity-...
什么是云命令行？
云命令行（Cloud Shell）是网页版命令行工具。您可以在任意浏览器上运行云命令行管理阿里云资源。在云命令行启动时会自动为您分配一台Linux虚拟机供您免费使用。在该虚拟机上预装 python、java、nodejs 环境和 aliyun CLI、curl、ssh、...
使用阿里云CLI管理阿里云资源
云命令行（Cloud Shell）中预装了阿里云CLI，阿里云CLI是基于阿里云开放 API 建立的管理工具。您可以通过阿里云CLI管理阿里云资源。阿里云云产品的API分为RPC和RESTful两种类型，大部分产品提供RPC API，例如云服务器ECS，云数据库RDS和...
使用Terraform管理阿里云资源
云命令行（Cloud Shell）中预装了Terraform。Terraform是一种开源工具，用于安全高效地预配和管理云基础结构。您可以通过Terraform管理阿里云资源。启动Cloud Shell 选择一种方式启动云命令行：在控制台中运行 单击 控制台首页 头部导航的...
- 产品推荐
- 这些文档可能帮助您