如何应对开源组件⻛险？软件成分安全分析（SCA）能力的建设与演进--技术头条 -- 微博大V帮你宣传技术博文开发者头条码农头条

如何应对开源组件⻛险？软件成分安全分析（SCA）能力的建设与演进 (tech.meituan.com)

【简介】

随着 DevSecOps 概念的推广，以及云原生安全概念的快速普及，研发安全和操作环境安全现在已经变成了近几年非常热的词汇。目前，在系统研发的过程中，开源组件引入的比例越来越高，所以在开源软件治理层面安全部门需要投入更多的精力。但由于早期技术债的问题，很多企业内部在整个研发流程中对使用了哪些开源组件、这些开源组件可能存在哪些严重的安全隐患等相关的问题，几乎是没有任何能力去进行收敛，多年前的 SCA（Software Composition Analysis 软件成分分析）技术又重出江湖，变成该领域⻛险治理的一个“神器”。本文主要探讨如何利用 SCA 技术实现对开源组件⻛险治理相关能力的建设与落地，希望给大家以启发或者帮助。

点击查看原文 >>

由 @技术头条 2022-08-31 23:14 / 0个评论

赞过的人： @IT技术博客大学习

NextJS/React 加载远程组件 (innei.in)

写过文档的大佬们都知道 MDX 这个东西，对原本的 Markdown 进行了扩展，可以在 Markdown 中直接使用框架组件（React，Vue 等等）。
现在也有很多静态生成的博客使用 MDX 去编写博文，在博文中内嵌了 React 组件，在一些需要交互式的场景中，在传统的 Markdown 只能展示内容，而使用了组件就可以把死的文字变活。
MDX 的原理是在项目构建时，解析 Markdown 抽象语法树，把引入的组件进行了编译，然后嵌入到了文章内部。
而使用 MDX，就必须要引入编译时。而对于 CMS 类型的博客网站，因为内容都是动态生成的，就无法使用 MDX。
那么有没有办法去想一个歪路子去实现呢。

by @技术头条 2024-03-13 13:21 查看详情

通过漫游交换进行隐蔽访问的新型后门 GTPDOOR 分析 (paper.seebug.org)

GTPDOOR 是一种基于 Linux 的恶意软件，旨在部署在邻近 GRX（GPRS 交换网络）的电信网络系统中，具有通过GTP-C（GPRS 隧道协议- 控制平面）信令消息传递 C2 流量的功能。这使得 C2 流量能够与正常流量混合，并重新利用可能对 GRX 网络开放且暴露的已允许端口。

by @技术头条 2024-03-12 22:49 查看详情

HTTPS通信过程分析 (l1n.wang)

为什么需要HTTPS？HTTP缺点： 1. 明文传输； 2.C/S两端不存在验证机制，无法确认对方身份，可能存在中间人攻击。

by @技术头条 2024-01-17 23:09 查看详情

Nginx日志分析-MIME types (ixyzero.com)

Nginx日志的分析，尤其是加白，在不是特别清楚功能和作用的情况下，还是应该细粒度的操作，比如先按照Content-Type加白，就比按照domain维度的加白粒度会更细一点，比按照uri来加白要更方便和准确一点。简单记录一下，方便后面有需要的时候参考。

by @技术头条 2024-01-14 18:57 查看详情

利用gorm自身提供的方法实现存在更新不存在则创建的能力 (wiki.eryajf.net)

MySQL 有一个语句是 UPSERT 的操作，它结合了 update 和 insert 两种操作的功能。当执行 upsert 操作时，如果指定的记录已经存在，则执行更新操作；如果指定的记录不存在，则执行插入操作。这种操作可以用来确保数据的一致性，并且可以减少对数据库的访问次数。

by @技术头条 2024-01-13 23:49 查看详情

QUIC协议解析与DDoS攻击分析 (blog.nsfocus.net)

QUIC（Quick UDP Internet Connections）协议是一种基于UDP的新型可靠传输协议，目前主要用于HTTP/3.0。近年来，现网中逐步发现了一些基于QUIC协议的DDoS攻击痕迹，并且友商也已经开始了关于QUIC协议的DDoS攻防相关研究。因此，ADS团队针对该协议进行了一系列的分析和实验，为相关的DDoS攻击防御技术研究打下基础。

by @技术头条 2024-01-13 23:43 查看详情

apt 软件源格式解析 (www.addesp.com)

每次安装完 Ubuntu 的第一件事情就是给 apt 换源，而换源过程基本就是复制粘贴，今天突然发现自己复制粘贴这么久也不知道粘贴了什么，于是了解了一下并分享出来。总之就是一篇看了也没什么用的文章，了解一下而已。

by @技术头条 2023-12-11 22:55 查看详情

开源软件 FFmpeg 生成模型使用图片数据集 (soulteary.com)

本篇文章聊聊，成就了无数视频软件公司、无数在线视频网站、无数 CDN 云服务厂商的开源软件 [ffmpeg]。分享下如何使用它将各种视频或电影文件，转换成上万张图片数据集、壁纸集合，来让下一篇文章中的模型程序“有米下锅”，这个方法特别适合宫崎骏、新海诚这类“壁纸合集”类电影。

by @技术头条 2023-11-29 23:44 查看详情

TinyInst 的插桩实现原理分析 (paper.seebug.org)

TinyInst 是一个基于调试器原理的轻量级动态检测库，由 Google Project Zero 团队开源，支持 Windows、macOS、Linux 和 Android 平台。同 DynamoRIO、PIN 工具类似，解决二进制程序动态检测的需求，不过相比于前两者 TinyInst 更加轻量级，更加便于用户理解，更加便于程序员进行二次开发。

本文将通过分析 TinyInst 在 Windows 平台上的插桩源码，来理解 TinyInst 的基本运行原理；为后续调试 TinyInst 的衍生工具(如 Jackalope fuzzing 工具)或二次开发打下基础。

by @技术头条 2023-11-06 22:59 查看详情

一个分布式锁「失效」的案例分析 (mazhuang.org)

在日常的开发过程中，如果涉及到并发和事务，一定要多留几个心眼，考虑周全，确认以下要点是否都正确实现：1、是否做了必要的并发控制？2、事务的传播行为是否符合预期？3、AOP 的执行顺序是否符合预期？4、对并发的场景是否做了充分的测试？5、对于比较关键的操作，是否打印了必要的日志？

by @技术头条 2023-11-06 22:45 查看详情