全部文章

安全

在移动应用安全测试方面对比 Ostorlab 与 MobSF（Mobile Security Framework）：静态与动态分析、设备要求、漏洞利用证明、身份验证测试、集成、部署与成本，并附替代方案和常见问题解答。

安全

Ostorlab 与 Oversecured 移动应用安全测试对比：iOS 和 Android 覆盖范围、漏洞利用证明、身份验证测试、API、集成、部署方式和定价，附对照表、替代方案和常见问题。

产品

2026 年 Snyk Code、Checkmarx One 和 GitHub Advanced Security 的最佳 SAST 替代方案，以及 Ostorlab 在语言支持、开发者工作流、误报、漏洞利用证明、逻辑漏洞、部署方式和定价方面的对比。

产品

一个把缺陷工单变成拉取请求的小型智能体，如何演变为 Ostorlab 的工单智能体：一位由您指定任务、模型和运行规则的 AI 队友。

工程

误报不仅是扫描器质量问题，更是工程产能问题。了解如何衡量误报的成本，并评估漏洞利用验证测试的投资回报率（ROI）。

产品

Ostorlab 适合在每次发布时测试相互关联的移动、Web、API 和代码资产的团队。本文介绍它适用于哪些场景、应选择哪个方案，以及何时其他工具更合适。

安全

Ostorlab 与渗透测试公司对比：成本、测试频率、测试深度与修复，以及何时选择 AI 渗透测试、安全顾问或两者结合。

安全

仅测试 API 的扫描器会漏掉始于移动应用、Web 包或代码中密钥或路由的攻击链。本文介绍两条真实攻击链和一份 8 步测试清单。

安全

从漏洞利用证据、人工审查、样例报告、重新测试和定价等方面，对比 Ostorlab、XBOW、Aikido、Intruder、Escape 和 Penti 的 SOC 2 渗透测试服务。

安全

2026 年人工应用渗透测试费用为 $3,000–$50,000+；公开标价的 AI 渗透测试为 $499 至约 $8,000。本文说明影响价格的因素、报价通常不包含的内容以及如何比较报价。

安全

对比 Apktool、JADX、Ghidra、Frida、Objection 和 LLDB 等手动测试工具，以及 Ostorlab 面向 Android 和 iOS 的自动化移动应用加固与 RASP 评估。

产品

通过四个真实案例，介绍 Ostorlab 的 Deep Agentic Scan 如何在 Web、移动应用和源代码中发现复杂漏洞，并通过实际运行加以证明。

安全

静态分析能标记可能存在的缺陷，却无法证明它们。运行时验证证实了 Langflow 中一个需身份验证的 RCE，并纠正了一个 libxml2 释放后使用漏洞所声称的触发条件。

安全

了解 Ostorlab 的 Agentic Deep Scan 如何将一个中危的 OpenAPI 信息泄露与一个 SSRF 漏洞串联起来，绕过回环地址限制并提取数据库凭据。

安全

2026 年最佳 API 安全测试工具：从 DAST、BOLA/BFLA 测试、API 发现和 CI/CD 等方面对比 StackHawk、42Crunch、Escape 和 Ostorlab。

安全

一篇技术事故复盘：在一次经授权的 API 评估中，一个 AI 智能体越出了测试范围。本文介绍事故经过、根本原因，以及我们如何约束自主智能体。

安全

了解 B2B SaaS 初创企业如何绕过咨询公司长达 4 周的排期，在几天而非几周内生成可直接用于审计的 SOC 2 渗透测试报告和证明函（Letter of Attestation）。

产品

对比 Ostorlab、Invicti、Burp Suite DAST、HCL AppScan 和 Fortify 在本地部署应用安全测试方面的表现：部署模式、数据控制与私有目标访问。

安全

Ostorlab Neutron 在 CyberGym 上取得了 96.7% 的已验证漏洞利用解决率，为该基准测试 1,507 个漏洞复现任务中的 1,458 个生成了可运行的差分概念验证。

产品

从资产发现、验证与修复三个维度，比较 Ostorlab、Defender EASM、Cortex Xpanse、CyCognito 等 7 款外部攻击面管理平台。

产品

对比 Ostorlab、Burp Suite DAST、Invicti、InsightAppSec、AppScan、XBOW 和 OWASP ZAP，并说明何时 DAST 已经足够、何时需要智能体式渗透测试。

产品

比较 Ostorlab、NowSecure、Quokka、Zimperium、Appknox 和 Data Theorem 在 Android 与 iOS 应用安全审查方面的运营模式、风险评分和持续监控能力。

产品

从资产覆盖、自主漏洞利用、攻击链构建、证据、合规和部署方式等维度，对比 2026 年领先的 AI 渗透测试平台。

安全

对比传统渗透测试、PTaaS 与自主 AI 测试：智能体在覆盖范围和证据方面的优势、人类仍然领先的领域，以及如何将两者结合。

产品

多资产深度智能体扫描在一次关联的智能体式调查中，评估彼此相关的移动、Web、API、网络、源代码和文档资产。

安全

检测与执行是两种不同的安全属性。在五款由四种商业加固产品保护的生产环境银行应用中，检测相当精密，执行却十分脆弱。

安全

一份全面指南：介绍什么是渗透测试、2026 年初创企业做渗透测试的费用、5 步测试流程，以及如何为您的技术栈选择合适的供应商。

产品

Ostorlab 现已支持 MCP，让 AI 助手和智能体能够以权限受控的方式访问安全数据与工作流。

产品

为 Agentic Deep Scan 推出 Risk Reruns：可使用自定义的投入级别、AI 模型或参数重新运行特定的风险调查，无需重新上传资产，也无需从头开始。

安全

AI 能在几秒内生成一个令人信服的漏洞利用故事。而运行时实证、负对照和人工审查，才决定这个故事能否成为一个安全团队可以信任的发现。

安全

SOC 2 并未规定必须采用哪种测试方法，审计师评判的是证据而非工具。本文说明由 AI 执行的渗透测试究竟需要满足哪些条件，才能通过 SOC 2 Type II 审计。

产品

Agentic Scan Knowledge 为 Ostorlab 安全智能体提供持久的应用上下文，让每一次扫描都能在以往测试的基础上推进，而不必再次从零开始。

产品

Ostorlab Mobile Shielding Scan 通过真实的绕过手段测试 Android 和 iOS 应用的防护措施，包括 Root 检测、防篡改、证书锁定和代码混淆。

产品

Ostorlab 本地部署漏洞扫描器正式全面上市，旨在识别您本地基础设施中的安全缺陷，并为其提供上下文。

安全

从 SAST、Web 与 API 渗透测试、移动二进制测试、云安全态势、BYOK 和修复等方面对比 Ostorlab 与 Aikido，并附有并排对照表和 FAQ。

安全

Ostorlab 回应 Appknox 的“十大 MAST 工具”榜单：它错在哪里、KnoxIQ 对比 Agentic Deep Scan、全栈覆盖、部署与定价。

安全

从目标范围界定、移动与 API 覆盖、跨资产漏洞利用链、CI/CD 测试、证据以及修复工作流等方面对 XBOW 与 Ostorlab 进行比较。

安全

了解智能体式 AI 如何发现基于规则的扫描器遗漏的业务逻辑漏洞，并通过一条真实的漏洞利用链，看一个已修复的发现如何升级为整个租户的沦陷。

安全

从六个方面对比 Ostorlab 与 NowSecure：成本与规模、CI/CD 集成、业务逻辑覆盖、框架支持、定向扫描以及地域限制应用。

安全

2026 年最佳 SAST 与源代码扫描工具：Ostorlab、GitHub Code Security（CodeQL）、Semgrep、Snyk Code、Checkmarx One、SonarQube、Veracode、Black...

产品

Ostorlab Threat Center 现在将 EUVD 情报与 NVD 数据整合在一起，在安全团队为欧盟《网络韧性法案》做准备之际，为其提供更广泛的漏洞可见性。

安全

一份实用指南，介绍如何设计 AI 辅助的安全测试工作流，借助结构化输出、验证关口和受控执行，将限定范围内的证据转化为可供审查的检测结果。

工程

了解 AI 驱动的扫描与 AI 渗透测试的区别，以及 Ostorlab Deep Agentic Scan 如何顺着证据追查，验证真实的攻击路径。

工程

了解源代码安全测试的工作原理、为什么传统 SAST 会产生误报，以及智能体式分析如何将扫描器信号转化为可操作的检测结果。

安全

一份针对最新版 GoPhish 的技术评估，考察该平台如何处理信任问题：身份、不可信内容、对象所有权、凭据生命周期与出站请求。借助 Ostorlab Agentic Deep Scan 开展的源代码分析确定了 8 项报告级发现、对应的...

安全

Ostorlab 与 Quokka Q-mast 移动 DAST 对比：身份验证流程、TLS 证书锁定绕过、PCAP 证据、地区限制应用、API 扫描以及 Agentic Deep Scan。

产品

Source Code Scanning 帮助您在安全漏洞进入生产环境之前，直接在源代码中发现它们。连接您的代码仓库，按需运行扫描，并在 Ostorlab 中查看可据以采取行动的检测结果。

产品

Deep Agentic Scan 最新版本带来了更快的移动测试、更强的逆向工程能力和漏洞检测能力、基于历史扫描处理的增量覆盖、更完善的漏洞串联，以及面向移动和 Web 评估的托管 Cyber Models。

产品

Ostorlab 推出 Mobile Shielding Scan，这是一款由 AI 驱动的自动化测试解决方案，专为加固检测与验证而设计。它让安全团队能够以简化、持续的方式验证关键的 iOS 和 Android 运行时防护，识别安全加...

工程

智能体运行框架（agentic harness）改变了大语言模型在移动应用安全测试中所能完成的工作。单靠模型本身，它可以列举出可能的风险，例如不安全的存储、暴露的密钥、高风险权限、存在漏洞的 SDK、后端问题和隐私泄露，但应用本身可能...

产品

Ostorlab 推出了 Cyber Models，这是面向 Agentic Deep Scan 的托管式预付费 AI 基础设施层级。它让安全团队能够通过经批准的提供商渠道，便捷地使用 GPT-5.5 Cyber 和 Opus 4.8...

安全

如今走进任何一场大型网络安全会议，您都会听到关于自主 AI 驱动平台的种种承诺。但纯 AI 测试无法规模化。一个有韧性的应用安全计划需要一套注重成本的分层技术栈：结合快速的传统扫描器、私有的语义审查，以及有选择地编排前沿模型。

安全

本指南全面介绍构建企业移动应用安全审查策略所需的架构、风险方法论和部署框架，帮助您在不增加运营摩擦的前提下保护企业数据资产。

产品

Ostorlab 推出了 App Vetting，这是一套移动应用风险评估解决方案，帮助团队在批准 Android 和 iOS 应用之前对其进行评估。它将静态分析、动态测试和安全沙箱执行与持续监控、加权风险评分和智能体式工作流相结合，...

工程

我们构建了一款由 AI 驱动的拉取请求审查器，却因幻觉和误报侵蚀了开发者信任而将其关停，随后以更强的模型、更广的上下文和更保守的智能体架构重新打造。本文分享了我们在自动化代码审查方面的经验，阐述为何信任比覆盖率更重要，以及 AI 审查...

产品

Ostorlab 推出了一款强大且高度精准的 AI 编排引擎，可通过两种不同的界面工作流使用：Single Vulnerability Assessment（SVA）和 Dig Deeper。两项功能共享完全相同的底层 AI 逻辑、能...

安全

对 CVE-2026-42208 的技术剖析：这是 LiteLLM Proxy API 中一个 CVSS 9.3 的严重未授权 SQL 注入漏洞。用于复杂多表连接的原始 SQL 查询未对 Bearer 令牌进行正确的参数化，从而允许基...

安全

对 DirtyFrag 的技术剖析：这是一对 Linux 内核本地权限提升漏洞（CVE-2026-43284 和 CVE-2026-43500，CVSS 7.8 高危），可让任何无特权的本地用户在大多数主流 Linux 发行版上获得 ...

安全

对 CVE-2026-44109 的技术剖析，这是 OpenClaw（< 2026.4.15）中一个 CVSS 9.2 严重级别的身份验证绕过漏洞。飞书/Lark 插件中的两处失效即放行（fail-open）逻辑反转——一处位于 we...

安全

深入分析 Chatwoot 上传端点（≤ v4.12.1）中的一个严重服务器端请求伪造（SSRF）漏洞。/api/v1/accounts/:id/upload 端点接受一个 external_url 参数，而该参数仅通过协议检查进行校...

安全

DORA 合规检查清单帮助银行和金融科技机构在 ICT 风险、事件响应、韧性测试、第三方治理和监督等核心领域评估运营韧性，同时跟踪实施进度并支持审计准备。

安全

对伪装成手电筒应用的 BeatBanker/BTMOB Android 银行恶意软件 TV_V_23.apk 的静态分析：四阶段攻击链、反分析技术、归因及 IOC。

安全

HarmonyOS Next 安全测试与 Android 有何不同：ArkTS、DSoftBus、测试工具、SafetyDetect、ArkGuard、常见缺陷及 OWASP MASVS 对应关系。

安全

Intent 重定向如何让攻击者触及未导出的 Android 组件、通过 setResult() 泄露数据并滥用 PendingIntent，以及防范它的六种方法。

产品

面向 HarmonyOS 应用和 Huawei AppGallery 版本的漏洞扫描器：Ostorlab 新增自动化、可重复的安全扫描，帮助团队持续评估通过华为渠道分发的移动应用，并更快地修复问题。

安全

移动游戏安全测试通过保护客户端、网络和后端各层，防止作弊、外挂和收入损失。本指南介绍最新威胁、测试方法与最佳实践，帮助移动安全团队和移动游戏开发者保障游戏的安全、公平与合规。

安全

面向快速交付 iOS 和 Android 应用团队的移动应用安全测试：MAST、SAST 与 DAST 对比、测试清单、CI/CD 模式以及基于严重程度的发布门禁。

安全

如何对患者门户、医疗应用、API 和 SaMD 进行安全测试：ePHI 风险、HIPAA 与 GDPR 义务、SDLC 中的测试、持续监控以及事件响应。

安全

保护移动银行应用不能只靠保护客户端。本指南探讨设备、网络和后端系统各层面的风险，并说明为什么持续的移动安全测试对于保护金融数据和交易至关重要。

安全

对 CVE-2026-26720 的技术剖析：这是 Twenty CRM（≤ v1.15.0）中一个 CVSS 9.8 严重级别、需认证的远程代码执行漏洞。任何工作区成员都可以创建并执行无沙箱的无服务器函数，这些函数可完全访问 pro...

安全

通过按版本维护的 SDK 清单与差异、审批与禁用规则、补丁 SLA 以及可供审计的证据包，管理移动应用中的 DORA 第三方风险。

安全

移动应用加固通过防止逆向工程、篡改、调试以及对敏感数据的未授权访问，保护运行在不可信设备上的应用。即使设备已被入侵，它也能帮助安全团队保护关键应用逻辑、敏感信息和交易。

安全

深入剖析在一次源代码审查中于 Roundcube Webmail（< 1.6.14、1.5.14、1.7 RC4）中发现的两个严重漏洞。OVE-2026-8 由于缺少 CRLF 过滤，允许已认证的攻击者通过 _filter 参数注入任...

产品

Ostorlab 现已与 Harness CI 集成，可在 CI 流水线中运行自动化移动应用安全扫描。借助 Harness Secrets 和一个简单的 Run 步骤，团队可以安装 Ostorlab CLI，并针对流水线生成的同一批构...

安全

对 CVE-2026-27971 的技术解析：这是 Qwik（< 1.19.1）中一个 CVSS 9.2 的严重、未经身份验证的远程代码执行漏洞。server$ RPC 流程中的不安全反序列化允许从 application/qwik-...

产品

为什么扫描器会止步于登录页面，以及 Ostorlab 如何在短信、电子邮件和 TOTP 2FA 之后自动执行测试，并提供手动回退模式与受保护的凭据。

产品

Ostorlab 现已与 Bitrise 集成，可在 CI 工作流中运行自动化移动应用安全扫描。借助一个 Bitrise Secret 和一个简单的 Script 步骤，团队可以安装 Ostorlab CLI，并针对流水线生成的同一批...

安全

一份面向 BFSI 团队、以移动为先的 DORA 合规指南。了解如何界定范围、简化发布流程，并避开那些制造不必要合规工作的陷阱。

产品

Ostorlab 推出了 Agentic Deep Scan，这是一款新一代漏洞扫描器，可验证 iOS、Android（即将支持 harmonyOS）和 Web 应用中的真实风险。借助自带密钥（BYOK）支持，团队可以在完全掌控自身数...

安全

CVE-2025-68461（CVSS 7.2）通过命名空间前缀让 SVG animate 标签绕过 Roundcube 的净化器。包含 PoC、补丁分析、Nuclei 检测与缓解措施。

安全

对 GHSA-cr3w-cw5w-h3fj 的分析，这是 Saltcorn（≤ 1.5.0-beta.19）中一个 CVSS 9.7 严重级别的 XSS 到 RCE 漏洞。两个相互串联的缺陷——路由参数中的反射型 XSS 与备份生成过...

安全

一份面向 BFSI 团队、以移动优先视角解读 DORA 法规与 DORA 合规的指南。了解如何界定范围、简化发布流程，并避开那些制造不必要合规工作的陷阱。

安全

对 CVE-2026-26019 的技术剖析。这是 LangChain Community JavaScript 包（< 1.1.14）中一个 CVSS 4.1 中危的服务器端请求伪造漏洞。RecursiveUrlLoader 类使用...

安全

一份以移动为先、面向银行、金融服务和保险（BFSI）团队的 DORA 法规与 DORA 合规指南。了解如何界定范围、简化发布流程，并避开那些制造不必要合规工作的陷阱。

安全

我们团队用于移动应用渗透测试的 10 款工具，从 Frida、Ghidra、Jadx 到 mitmproxy 和 Nuclei，逐一介绍其最佳用途、优势与局限。

安全

对 CVE-2025-64712 的技术拆解。这是 Unstructured Python 库（< 0.18.18）中一个 CVSS 9.8 严重级别的路径遍历远程代码执行漏洞。在 Outlook MSG 处理过程中，未经净化的附件文...

安全

对 CVE-2026-1357 的技术剖析——这是 WPvivid Backup & Migration 插件（≤ 0.9.123）中一个 CVSS 9.8 严重级别的未授权远程代码执行漏洞。两个环环相扣的缺陷——一个密码学 fail...

安全

对 PentestGPT、PentAGI、HexStrike AI、Strix、CAI、Nebula、NeuroSploit、Deadend CLI 和 RedAmon 进行横评：逐一介绍各款 AI 渗透测试智能体的关键特性、GitH...

产品

2025 年是网络安全领域的 AI 从实验性原型走向生产级引擎的转折之年。在这篇年度回顾中，我们将介绍 Ostorlab 全新的 AI Pentest Engine 和 AI Monkey Tester 如何已经在真实环境中发现严重漏...

安全

从 2026 年起，经过认证的 Android 设备可以阻止来自未经验证开发者的应用。本文介绍旁加载会发生哪些变化、哪些人会受到影响，以及 Google 如何回应。

安全

一次 AI 辅助的分析在 glibc 的 _nss_dns_getnetbyaddr_r 函数中发现了一个存在 30 年之久的未初始化缓冲区漏洞。本案例研究详细说明了零输入这一边界情况如何绕过循环逻辑，导致该库将原始栈内存发送到外部 ...

安全

案例研究：Ostorlab 的 AI 渗透测试引擎发现一个可经由深度链接访问的 Android WebView JavaScript 桥接接口，并将其串联为对原生 UI 的操控。

产品

对比面向 Android 和 iOS 的 Ostorlab、NowSecure、Appknox、Data Theorem、Quokka、Zimperium 和 MobSF，附功能矩阵和向厂商提出的价值验证问题。

安全

介绍 Android 的 FLAG_SECURE 如何阻止截屏、录屏和最近应用预览，并提供代码示例、使用场景、局限性以及投屏时的行为。

安全

Ostorlab 的 AI 渗透测试引擎系统性地发现了一个 GraphQL WebSocket 端点中严重的函数级授权失效（BFLA）漏洞，该漏洞允许在未经身份验证的情况下访问一项实时翻译服务。本案例研究详细介绍了该 AI 从发现到概...

安全

在 Ostorlab 的 AI 引擎发现跨版本密码重置弱点并在无需邮箱访问的情况下实现账户接管时，有条理的分析胜过了盲目的模糊测试。

安全

如何在一个现代 SPA 中发现一条二阶的客户端数据外泄链，并通过 JavaScript 分析与漏洞利用链验证，将一个简单的开放重定向转变为一个多阶段的数据窃取漏洞。

安全

Ostorlab 以推理驱动的 AI 引擎突破基于规则方法的局限，揭示此前未知且难以检测的漏洞——包括 WebView Safe Browsing 绕过、通过查询投影实现的 SQL 注入、WebCrypto 密钥窃取以及 JWT 验证...

安全

首个开源基准测试套件，包含 93 个贴近真实的存在漏洞的移动应用，它们再现的是真实的 CVE 和漏洞赏金发现，而非理论化的教科书示例。

安全

对 500 多款头部移动银行应用的大规模安全分析显示：漏洞普遍存在、代码库已有十余年历史，后端集中化模式令人担忧。

安全

本文展示了 Ostorlab 的 AI 渗透测试引擎分析某 Android 应用以查找 Intent 重定向漏洞的过程。跟随该引擎从静态分析、初步发现到严格的动态验证的全过程，领略它不仅能够识别潜在威胁，还能够细致地排除误报的能力。

安全

本文深入、实操地分析并在真实环境中利用了一个在 HackerOne 移动应用中发现的、拥有过高 Pub/Sub 权限的硬编码 GCP 服务账户。文章详细说明了 Ostorlab 的 AI 驱动渗透测试引擎如何自动完成从身份验证、权限枚...

安全

本技术分析揭示了精巧的攻击链——结合路径遍历、符号链接操纵和 Android SDK 的怪异行为——如何能够突破 Signal Android 的防御以窃取敏感的内部文件，即便其传奇般的加密依然完好无损。尽管 Signal 在数天内修...

安全

本文对 Report Portal 中一个带外 XXE 漏洞 CVE-2021-29620 的利用进行了深入的实操分析与概念验证。文章详细说明了 Ostorlab 的 AI 驱动渗透测试引擎如何被用来自动化完成整个流程。

产品

Ostorlab 的 AI Monkey Tester 借助自然语言提示词和生成式 AI，自动生成理解上下文的智能测试场景，革新了移动应用安全测试，与传统的基于规则的测试方法相比，应用覆盖率最高可提升 10 倍。

安全

本文对 Zulip 中的存储型 XSS 漏洞 CVE-2025-52559 的利用进行了深入、实操的分析与概念验证（PoC），详细介绍了如何使用 Ostorlab 由 AI 驱动的渗透测试引擎来实现整个流程的自动化。

产品

Ostorlab 的隐私扫描（Privacy Scan）能够自动检测您应用隐私政策的声明与其实际行为之间的不一致。这种对政策文本、权限、代码和 UI 元素的全面分析，帮助移动开发者避免合规违规，并通过准确的隐私实践建立用户信任。

产品

Ostorlab Security Scanner 的 GitHub 集成将自动化安全直接嵌入 CI/CD 流水线，优化移动应用开发工作流。它提供一个 GitHub Action，可在每次代码推送时扫描移动应用；它还直接在拉取请求中添...

产品

本文宣布 Ostorlab 与 Vanta 的全新集成，介绍其工作原理和配置流程，并重点说明它为安全团队和合规团队带来的主要好处。

安全

本研究提出一种开创性的双重方法，将基于签名的匹配（DalvikFLIRT）与 LLM 驱动的代码转换相结合，以绕过复杂的 Android 应用代码混淆，从而对以往难以分析的代码进行自动化安全分析。

产品

本文梳理了我们实现 Ostorlab Copilot 的历程、过程中遇到的挑战，以及我们一路走来总结的经验。

产品

本文宣布推出 Ostorlab 漏洞工单系统 V2，并介绍它如何通过自动创建工单、生命周期管理、策略执行以及与现有工具集成等功能，实现安全漏洞管理与修复全流程的自动化和精简化。

产品

本文探讨 AI 自动化攻击面管理、它对网络安全的影响，以及它如何实现资产发现和漏洞检测的自动化。

安全

对 CyberPanel 中一个免认证 Root RCE 漏洞的技术分析，包括已确认的利用路径、所调查的组件以及研究方法得出的发现。

安全

本文深入介绍最常见的 GraphQL 漏洞，分析其产生原因以及相应的缓解方法。

安全

本文评估了系统在影响 CUPS 打印服务的多个 CVE 面前的大规模暴露情况，这些漏洞可以串联起来，实现无需身份验证的远程代码执行（RCE）。我们概述了包括 CVE-2024-47176 在内的这些漏洞如何协同作用，并逐步讲解漏洞利用...

工程

Threat Center 为组织提供关键的安全动态，帮助其及时掌握安全威胁，并提供可操作的情报和详细的资产信息，助力用户主动保护自身系统。

安全

深入剖析影响 WordPress LiteSpeed Cache 插件的 CVE-2024-47374 漏洞、其影响，以及对我们检测方法的技术拆解。

安全

已被积极在野利用的 Oracle ADF 反序列化缺陷 CVE-2022-21445 如何让未经身份验证的攻击者实现远程代码执行，以及如何用 OXO 进行检测。

安全

本文揭示了 VigorConnect 中的一个任意文件读取漏洞，攻击者可借此访问敏感文件。该问题源于文件处理方法中不当的输入验证。

工程

OXO Titan UI 将 OXO 的能力封装在一个易于使用的界面中，让高级安全扫描技术变得人人可用。本文介绍 OXO Titan 从构想到落地的历程，重点介绍其主要功能，并给出一个实用的用户工作流示例。

安全

通过更改 host 和代理请求头、HTTP 方法、参数和 URL 路径，或借助 Wayback Machine 查找旧文件，来绕过 403 Forbidden 响应。

产品

隆重推出 Ostorlab 移动漏洞扫描器中的 AI 驱动 Monkey Tester，它显著提升了测试覆盖率和速度，带来更全面、更高效的测试体验。

安全

CVE-2024-5315：一个已遭积极利用的 Dolibarr SQL 注入漏洞，其公开的修复版本信息有误。

安全

E.V.A Information Security 发现了 CocoaPods 中的严重漏洞，相关漏洞随即得到修复；开发人员现在必须移除无主的包、核实依赖项，并扫描其应用以确保安全。

工程

OXO 1.0 版本速度提升 10 倍，支持 ARM64 架构，并带来多项改进的能力，例如扫描多个资产，以及更简洁、更强大的 CLI。

工程

本文介绍 Apple 生态中的隐私清单（Privacy Manifest）文件，强调其对透明度与合规的重要性（尤其是即将于 2024 年生效的强制要求），概述实施步骤，并阐明其在提升用户信任和遵守法规方面的作用。

工程

本文介绍一种利用 JavaScript Proxy 对象检测 PostMessage 跨站脚本（XSS）漏洞的新方法，用以增强传统的动态模糊测试技术。

安全

Ostorlab 已知被利用漏洞目录中新增的漏洞

产品

本文介绍 Ostorlab Attack Surface Discovery，这一解决方案可发现并持续监控移动应用，减轻安全团队的手动工作负担。文章概述了将应用添加到资产清单、配置监控规则的步骤，并重点介绍该平台在简化移动应用安全管理方面的能力。

安全

本文考察北美移动银行应用的安全状况，揭示了普遍存在的漏洞以及加强网络安全措施的迫切需求。文章着重介绍了该领域技术的快速发展，以及供应链漏洞、采用可能不安全的编程实践等挑战。

工程

关于 Swift 动态插桩的文章。本文讲解对基于 Swift 的应用进行动态分析的步骤，涵盖名称修饰（name mangling）、Swift ABI 以及在 Swift 中提取函数参数。

安全

Ostorlab 已知被利用漏洞目录中新增的漏洞

安全

Ostorlab 已知被利用漏洞目录新增漏洞

安全

本文深入探讨了依赖混淆漏洞，介绍了一种新型的检测与利用技术，并提供了可落地的步骤来缓解与该漏洞相关的风险。

安全

在本文中，我们将介绍一系列实用工具和实证洞察，用于识别来自 CISA KEV、Google Tsunami，以及创新的 Ostorlab Asteroid 项目等权威平台的严重、高危且正被活跃利用的漏洞。

产品

2023 年已经结束，是时候回顾过去，并以乐观的心态迎接 2024 年了。

安全

全新 OWASP Mobile Top 10 发布：改进、更新内容以及幕后故事。

产品

Ostorlab 在瑞士网络防御安全挑战赛中夺得第一名，彰显了其推进应用安全自动化的决心。

安全

恶意应用如何劫持自定义 URL Scheme 来接管 OAuth 账户，包括针对 Google、Facebook、Cognito 和 Okta 的漏洞利用，以及 Android 和 iOS 上的修复方法。

安全

近期的深入研究揭示了 Flutter 和 Swift 中广泛使用的 zip 软件包存在严重漏洞，给成千上万的开发者和应用带来了严重的安全风险。本文深入剖析这些漏洞的技术细节，介绍其发现过程、影响以及缓解策略。

安全

Ostorlab 开源了两个 Flutter 应用，它们被刻意设计为不安全，用于测试和教学。其中一个是 iOS 原生应用，另一个是 Java/C++/Flutter 应用，展示了多种常见的移动应用漏洞。这两个应用采用 Apache-2...

安全

本文是一篇技术深度剖析，展示了一款安装量超 100M 的图像应用如何可能暴露用户的图片，并存在从 SQL 注入、Intent 重定向到任意文件下载等一系列可被远程利用的漏洞。

产品

新版本带来了全新的 AI 引擎以提供更好的修复建议，为 Flutter 检测新增了强大的功能，还有更多其他改进。

安全

本文定义了移动端生物识别身份验证的安全实现方式，并以 3 种主流现代移动开发语言给出详细实现：Android 的 Kotlin、iOS 的 Swift，以及 Flutter 跨平台应用的 Dart。

安全

本文介绍用于逆向工程 Flutter 应用的静态与动态分析技术，涵盖运行时修补、自定义 ABI 拦截以及流量拦截。

工程

本文介绍了提升 Python 这门解释型语言性能的多种方法。

产品

全面介绍 Ostorlab 平台的各项新功能及其检测能力的改进。

安全

本文分析了 GodFather Android 恶意软件。该恶意软件不断以各种形式出现，主要针对银行和加密货币应用，以窃取用户的资金和敏感信息。

产品

Ostorlab 已成功完成 SOC2 Type 2 审计，彰显了其对安全与数据保护的承诺。

工程

Ostorlab 的 Fix it! 是我们最成功的工程实践之一，帮助我们根除缺陷、消灭技术债务。

产品

Ostorlab 的新功能专注于帮助团队了解、跟踪和搜索其攻击面，看清攻击者正在看到和瞄准的内容，简而言之，就是可能导致组织被攻破的一切。

产品

Ostorlab 被 GRC Viewpoint 评选为 2023 年 10 大漏洞管理创新企业之一。

产品

2022 年给全球带来了诸多挑战，包括战争、经济不确定性以及世界许多地区不断攀升的通货膨胀。尽管面临这些挑战，Ostorlab 仍然非常感恩能度过极为成功的一年。

产品

本文介绍为移动应用实施 CI/CD 流水线时面临的主要挑战，并举例说明如何在最常用的移动 CI/CD 工具中为 Android 和 iOS 应用实现 CI/CD 流水线。

安全

CVE-2022-42889 是 Apache Commons Text 库中的一个漏洞，由字符串插值滥用功能强大的处理器所致，存在于 Amazon Shopping、Udemy 和 Grammarly 等热门应用中。本文探讨该漏洞对...

产品

为了体现我们新增的诸多能力和改动，我们发布了全新的仪表板，帮助您更深入地洞察组织的安全态势。

产品

移动应用安全验证标准是构建安全移动应用的重要一步。Ostorlab 现已支持针对 L1、L2 和 Resilience 级别生成合规报告。

工程

让开发与调试 OXO Agent 更加轻松的实用技巧与窍门。

产品

我们迄今规模最大的一次版本发布，对攻击面、开源、移动应用和 Web 扫描等方面进行了改进，还有更多新功能。

工程

本文介绍 OXO 在底层是如何工作的。

安全

攻击面不只是开放的端口和服务；本文介绍标准技术层面之外的一些关键洞察。

安全

攻击面测绘已成为大多数大型组织 CISO 的头号难题，本文介绍 Ostorlab 用于实现强大而精准的攻击面发现与监控的技术和工具。

工程

本文讲述了在 Ostorlab 担任软件工程师的 Rabson Phiri 的经历。

产品

本文全面审视各类移动安全扫描解决方案，同时着重指出真正让它们彼此区别开来的地方。

产品

这是一次重大发布：Ostorlab 正式开源，同时推出大量新功能和新能力。

安全

Log4j 漏洞对移动应用有何影响

产品

想多了解一些 Ostorlab 吗？我们回答了 Aviva Zack 代表 Safety Detective 提出的问题，内容涉及公司本身、我们构建自主安全的使命，以及关于我们的一些情况 :)

产品

漏洞管理是一段艰难的旅程。为了帮助团队紧迫、认真且高效地修复漏洞，我们很高兴发布全新的修复能力，带来大量新功能。

产品

漏洞管理是一段艰难的旅程。为了帮助您紧急、周全且高效地修复漏洞，我们很高兴发布全新的修复功能，带来大量新特性。

产品

Ostorlab 在分析环境中发布了 UI 调用覆盖率功能，用于展示动态安全测试过程中所执行的 UI 流程。

产品

健康科技、入侵与攻击、插桩、Black Hat 大会、eBPF 等等……

安全

本文讨论如何在无需真正绕过的情况下“绕过”SSL 证书锁定。听起来有些费解？我们将讲解其原理，用 Python 基于 LLDB 构建完整的 PoC，最后将其扩展到其他有趣的任务。

安全

本文介绍 WebViews，以及在 Android 和 iOS 中使用这些组件时需要牢记的安全概念。

安全

依赖混淆（Dependency Confusion）是一种影响严重的新型攻击。本文概述了该漏洞以及其他供应链攻击。

安全

本文深入从技术层面剖析如何利用遗传算法创建超越人类水平的 XSS polyglot 载荷。

安全

本周发生了多起备受关注的数据泄露事件，涉及 Cashalo、Npower、Kia、T-Mobile 和 Clubhouse。

产品

Ostorlab 新增 Web 安全扫描器，以全新的方法开展漏洞发现。

产品

全新的分析环境，可查看反汇编、反编译源代码、调用追踪，支持函数标记以及许多其他功能。

安全

硬编码密钥很容易被找到，并可能为攻击者打开通往敏感数据或特权访问的大门。这使它们成为漏洞赏金猎人和攻击者的理想目标。

安全

本文在安全扫描的背景下提出 Autonomous Security（自主安全）这一概念，并定义了 5 个成熟度等级。

产品

无论是开发移动应用还是评估其安全性，我们都需要在每一个新版本发布时持续审查它。反复构建应用、上传文件、创建扫描，很快就会让人厌烦。Ostorlab 很高兴地宣布推出两项新功能，减轻您测试应用的负担。

产品

Ostorlab 现已支持直接从 Android Play Store 和 iOS App Store 创建扫描

安全

COVID-19 接触者追踪应用 BeAware 的移动安全测试

安全

对新冠肺炎接触者追踪应用 Wiqaytna 进行的移动应用安全测试

安全

移动应用安全评估：第三方依赖审查的自动化

产品

Xamarin 反编译、已弃用的 TLS 协议、硬编码密钥以及更多内容，Owasp top 10

工程

Ostorlab 所提供检测能力的概览

产品

更好地管理扫描生命周期、导出扫描结果以及管理订阅

产品

关于扫描可访问性管理方式变更的公告

产品

Ostorlab 移动安全扫描器发布全新门户，可跟踪扫描进度并访问扫描历史。

工程

如何在 Webstorm 中调试 Nuxt.js 应用

工程

我们试用了 Cloud Run，以下是我们的心得。

安全

本文介绍 Ostorlab 不安全应用（Insecure Application）的用法。

安全

如何在 Linux 计算机上，借助一台未越狱的 iPhone 对 iOS 应用文件进行安全检查。

产品

为了打造最好的安全扫描技术，Ostorlab 团队自豪地宣布，社区版扫描器不再受限，即刻起即可享有我们全部的静态检测能力；同时，我们正在努力扩展动态分析的规模，使其尽快可供使用。

安全

利用新年伊始回顾过去一年的情况，并为即将到来的一年做好准备，是一项重要的练习，可以帮助我们正确看待事物，并重新审视我们的一些选择。

安全

XSS 至今仍是迄今为止最常见的漏洞类型，本文介绍自动化查找 XSS 的策略。

安全

本文介绍在移动应用中使用 AWS 服务时，应如何管理 AWS 访问密钥。

工程

动态分析

产品

过去几个月，Ostorlab 团队一直在努力开发令人振奋的新功能。其中一部分已经上线生产环境，其余的将在未来几周和几个月内陆续上线。

安全

我将通过一系列博客文章，分享我们过去将强化学习用于自动化测试的实验，用以追踪缺陷和发现漏洞。

安全

移动应用的攻击面。

安全

Ostorlab 是一项社区共建的工作，旨在打造移动应用漏洞扫描器，帮助开发者构建安全的移动应用。扫描器检测能力的关键新组件之一，是一款全新的、面向 Android Dalvik 字节码的静态污点分析引擎，它针对性能和低误报进行了深度优化。

安全

过去几个月，我们一直在全力开发一款新的扫描引擎，用于识别新类别的漏洞。新扫描引擎能够识别 SQL 注入、Intent 劫持、不安全的随机数种子、不安全的加密等问题。

安全

Cordova 等混合框架的优势在于只需构建一个应用即可覆盖多个平台（支持 Android、iOS、Windows Phone、FireOS、FirefoxOS 等）。该框架开发起来简单快捷，并且通常为所有平台提供统一的 API。

安全

在深入探讨 SQL 注入以及可能出现的问题之前，我们先介绍一些关于 Content Provider 的技术知识……

工程

对 Android 开发者来说，使用外部库来轻松扩展移动应用的功能已经成为标准做法。借助 Gradle 便捷的依赖集成，HTTP 框架、数据库 ORM、炫酷滚动效果、高效图片加载、缓存、社交网络集成等众多功能都可以轻松添加。

安全

Google 将开始识别推送到 Play Store 的应用中的安全弱点……

工程

在 Ostorlab，我们每天扫描数百款移动应用，每次扫描都极其消耗资源，但与此同时，从一开始我们就不得不为速度优化代码，并最大化地利用云资源。

安全

在 Android 中，权限系统出于多方面原因，一直是该平台主要的安全隐患之一……

安全

使用 Network Security Config、OkHttp 和 Retrofit 在 Android 上实现 SSL 证书锁定，然后对其进行测试并安全地轮换锁定值。包含旧版库的示例。

安全

据称 Facebook 会故意让自己的应用崩溃，以测试用户反应并评估他们对 Facebook 服务的依赖程度。不过本文并不讨论用户的行为分析，而是关注其实现方式的技术细节——或者说，只是一个深入研究 JNI 逆向的借口。

安全

过去几年，IT 专业人员的工作方式以及我们对待安全的方式都发生了重大变化……

产品

我们很高兴发布在线移动应用安全扫描器的 Beta 版本。

安全

本文汇集了当前关于 SSL/TLS 的最佳资源。