❶ APP的安全漏洞怎么检测，有什么工具可以进行检测
目前我经常用的漏洞检测工具主要就是爱内测，因为爱内测会根据应用特性，对程序机密性会采取不同程度不同方式的检测，检测项目包括代码是否混淆，DEX、so库文件是否保护，程序签名、权限管理是否完整等；组件安全检测主要针对Activity、Broadcast Receiver、Service、WebView、Intent等是否存在漏洞，并给出针对性建议；数据安全会全面检测APP存在的数据泄漏漏洞和输出层、协议层等所有涉及数据安全的漏洞，确保APP里那些可能导致帐号泄露的漏洞被全部检测出。
❷ codeblocks没有检测到编译器,怎么弄
你估计下载的是codeblocks-13.12-setup.exe，不带编译器的。
你可以重新下载安装带编译器的codeblocks-13.12mingw-setup.exe
如果你电脑上已经安装有mingw或cygwin，那么可以在codeblocks的Setting->Compiler..中设置编译器的路径
❸ 静态代码检测工具与编译器的区别有哪些
首先明白什么是静态？什么是动态？静态动态最根本的区别就在于“程序是否是运行的”。静态就是不运行程序去测试，那么又要问了：不运行怎么测试呢？那最简单的静态测试方法就是“code review”也就是看代码。看代码有没有什么地方明显是错误的。我们平时用的compile（编译）其实就是最好的静态测试，这是让编译器帮我们去读代码。那么什么是动态呢？和静态相反啊。我们写测试用例然后去跑程序这种就是动态。一些单元测试，系统测试，集成测试都属于动态测试。
❹ SAST面试什么意思
SAST是静态分析安全测试，其面试的内容网络源代码安全测试。
SAST(静态代码安全检测)主要对应用程序的源代码进行分析来查找其中存在的漏洞。静态代码安全检测(SAST)是在编译代码之前扫描代码，因此它是一种白盒测试。SAST的使用已经被实践10多年，这项技术手段可以帮助开发人员在软件开发生命周期(SDLC)早期阶段发现代码安全漏洞，此外SAST 无需实际运行或编译代码即可确保符合安全编码标准。
更重要的是，SAST(静态代码安全检测)可以自动化并透明地集成到项目的工作流程中。这减少了通常与安全性测试应用程序相关的一些麻烦，与DAST(动态应用程序测试)形成鲜明对比。在DAST中，对于大型项目，需要创建特殊的基础设施、执行特殊的测试以及应用程序的多个实例与不同的输入数据并行运行，而IAST覆盖路径少检测范围较窄，无法对整体代码实施安全检测。
❺ coverity 代码检查 会检查出哪些问题
covertiry检测的编码规则并不多，也不全面，但相对来说检测的规则基本上是一些比较严重的问题。
就个人来说，国外的产品因为是按照老外的思维模式和使用习惯开发的，所以一般都不适用中国用户，coverity也一样。
就静态分析软件来说，目前有一款开推出的国产优秀的静态分析软件：雨田静态分析系统V2.1
比coverity更适合中国用户的使用习惯，检测的规则有300余条，还计算了代码、注释、循环、路径、操作对象、复杂度等类型的指标百余个，而且，还按照可读性、可测试性、可维护性、以及编码规则检查结果对代码进行了分类和综合的质量评估，感觉很好用。
❻ 什么是CLR公共语言运行时
它负责在执行时管理代码，提供内存管理和线程管理等核心服务，同时又确保代码的安全性和准确性。 Common Language Runtime 的缩写。 运行在.NET Framework中的代码叫做managed code,反之叫做unmanaged code。相比unmanaged code,managed code 有很多好处，比如可以用多种编程语言编写、提高安全性、易于版本控制和程序发布等等。这些都是由CLR提供的。但也有一些不利点，最容易想到的就是代码运行速度问题了。 要为managed code提供以上功能，CLR必须知道代码中的数据类型、类和与她有关连的assembly的定义。这些信息叫做metadata，而metadata就包含在代码中的某个部分（编译后）。CLR利用这个metadata加载代码段、管理内存、执行方法调用等操作。 .NET出来以前，在不同编程语言之间共享原代码，简直是不可能的事情。因为每个编程语言定义的数据类型不同，而且语法也不同。微软大师们想到了把数据类型统一的好办法。这个技术叫CTS（common type system）。现在做项目开发就比较简单了（用不同语言），比如一个项目组里有会用VB的，会用C++的。可能以前的方法是把两个人之间互相调用的功能写成DLL或COM。但现在不用这么麻烦了，你直接就可以使用其他语言编写的代码了。具体一点，用VB.NET可以继承C++.NET写的类，反过来也是可以的。 我们安装软件的时候常碰到这样的提示 - 系统中的组件比要安装的组件的新，你要替换还是保留？是不是很讨厌？！现在开始你就用.NET吧，她不会因为这个“小”问题而打扰你了。因为每个代码都包含与她相关的metadata，CLR会根据这个信息来管理代码的不同版本。而且因为不用把代码的信息注册到注册表，所以可以用X-COPY的方式安装代码（就是简单的拷贝粘贴了）。 是用VB做好呢？还是用C++做好呢？这些问题是我们做项目的时候常要考虑的问题。但在.NET用什么编程语言已经变得不重要了（但还是有一定的差别，在特定项目中），因为CLR提供CTS（还有base class library）,而且都运行在CLR上面。在.NET中VB，C++等语言都有了相当多的提高，而且有了新的语言C#。C#已经申请了标准而且通过，可想而知她的POWE了。大家知道borland也发布了相关的开发工具C# builder。 小结1、.NET代码都包含与自己相关的信息叫做metadata。 2、 CLR提供CTS（CLS也有功劳），所以可以在不同编程语言之间共享原代码。 3、 用metadata管理代码信息（不是利用注册表），所以代码易于安装。 4、 使用统一的数据类型和类库，所以编程语言的选择变得不重要了，而且易于团队开发。 代码在CLR中的运行过程 1、选择编译器 首先CLR选择编译器，因为CLR中可以运行不同语言开发出来的代码。 2、把代码编译成MSIL CLR利用选择的编译器生成MSIL（Microsoft intermediate language）和metadata把她们加载到PE（portable executable file）。 MSIL：解释语言，包含代码信息，让JIT易于编译成机器语言。与操作系统和编程语言无关。 PE：可执行文件格式，windows就是DLL或EXE了。 3、用JIT编译器把MSIL编译成机器语言 有两种方式一种是只编译当前执行的代码段，另一种是把整个代码一次性编译。JIT会检测代码的安全性。 4、 执行代码 代码首次调用就会编译成机器代码，再次调用的时候就不再重新编译了。
❼ 渗透测试的步骤有哪些
渗透测试步骤
明确目标
· 确定范围：测试目标的范围，ip，域名，内外网。
· 确定规则：能渗透到什么程度，时间?能否修改上传?能否提权等。
· 确定需求：web应用的漏洞、业务逻辑漏洞、人员权限管理漏洞等等。
信息收集
方式：主动扫描，开放搜索等。
开放搜索：利用搜索引擎获得，后台，未授权页面，敏感url等。
漏洞探索
利用上一步中列出的各种系统，应用等使用相应的漏洞。
方法：
1.漏扫，awvs，IBM appscan等。
2.结合漏洞去exploit-db等位置找利用。
3.在网上寻找验证poc。
内容：
系统漏洞：系统没有及时打补丁
Websever漏洞：Websever配置问题
Web应用漏洞：Web应用开发问题
其它端口服务漏洞：各种21/8080(st2)/7001/22/3389
通信安全：明文传输，token在cookie中传送等。
漏洞验证
将上一步中发现的有可能可以成功利用的全部漏洞都验证一遍，结合实际情况，搭建模拟环境进行试验。成功后再应用于目标中。
自动化验证：结合自动化扫描工具提供的结果
手工验证，根据公开资源进行验证
试验验证：自己搭建模拟环境进行验证
登陆猜解：有时可以尝试猜解一下登陆口的账号密码等信息
业务漏洞验证：如发现业务漏洞，要进行验证
公开资源的利用
信息分析
为下一步实施渗透做准备：
精准打击：准备好上一步探测到的漏洞的exp，用来精准打击
绕过防御机制：是否有防火墙等设备，如何绕过
定制攻击路径：最佳工具路径，根据薄弱入口，高内网权限位置，最终目标
绕过检测机制：是否有检测机制，流量监控，杀毒软件，恶意代码检测等
攻击代码：经过试验得来的代码，包括不限于xss代码，sql注入语句等
获取所需
实施攻击：根据前几步的结果，进行攻击
获取内部信息：基础设施
进一步渗透：内网入侵，敏感目标
持续性存在：一般我们对客户做渗透不需要。rookit，后门，添加管理账号，驻扎手法等
清理痕迹：清理相关日志，上传文件等
信息整理
整理渗透工具：整理渗透过程中用到的代码，poc，exp等
整理收集信息：整理渗透过程中收集到的一切信息
整理漏洞信息：整理渗透过程中遇到的各种漏洞，各种脆弱位置信息
形成报告
按需整理：按照之前第一步跟客户确定好的范围，需求来整理资料，并将资料形成报告
补充介绍：要对漏洞成因，验证过程和带来危害进行分析
修补建议：当然要对所有产生的问题提出合理高效安全的解决办法
❽ 代码有点问题，运行脚本是提示编译器错误怎么回事
（操作的时候用你自己的脚本替换我下面的文件 即 “C:\WINDOWS\system32\smss.exe:527176172.vbs”替换我下面的） 开始--运行--regedit--确定ctrl +F 输入C:\WINDOWS\system32\smss.exe:2075451338.vbs
查找 删除
或者工具清理:试试这个autoruns工具，解压--打开这个工具点--系统全部启动项--点全部标签 找到这个加载加载C:\WINDOWS\system32\smss.exe:2075451338.vbs时出错。找不到指定的模块文件名--然后右键删除....重起电脑就不会出来了
下载地址
http://ishare.iask.sina.com.cn/cgi-bin/fileid.cgi?fileid=4762543
❾ 不同编译环境 对同一程序可能有哪些影响
可能的，原因很多，无法一一列举，只是举两个例子，
比如某些编译环境（通常debug环境），会给变量付初始值，比如int给0，指针给null，这样的话如果程序本身实现忘了给初始值，那么可能还是能够正常工作下去。但是在不给变量付初始值的编译环境，就会出错了。
另一个例子是对于内存的安全检查，如果程序存在内存溢出的情况，那么不对内存做安全检查的编译环境编译后生成的代码可能可以正常工作，但是对内存做安全检查的编译器出来的就可能会出现异常了
❿ 什么是编译器 编译器是什么意思
1、编译器就是将“一种语言（通常为高级语言）”翻译为“另一种语言（通常为低级语言）”的程序。一个现代编译器的主要工作流程：源代码→ 预处理器 → 编译器→ 目标代码→ 链接器→ 可执行程序。
2、编译器可以生成用来在与编译器本身所在的计算机和操作系统（平台）相同的环境下运行的目标代码，这种编译器又叫做“本地”编译器。