智能手机图案解锁有多糟

API 直接暴露后端逻辑与敏感数据；针对性 API 安全测试可发现传统渗透测试容易遗漏的认证缺陷、数据过度暴露与访问控制问题。

NetSPI 分析 TOTP 动态口令为何已难以抵御坚定攻击者：通过暴力破解场景演示 30 秒有效期口令被攻破的过程，并建议改用更强的双因素认证方案替代传统 TOTP。

反爬系列第一篇提出五项核心原则：强制身份验证、实施限流、收紧账号注册、限制数据量、返回通用错误信息；并指出完全阻止爬取不现实，目标是让爬虫付出不成比例的时间成本。

NetSPI 播客对话 Sectigo CTO Jason Soroko：MFA 只是 IAM 的底线，探讨对称与非对称密钥、数字证书管理及认证最佳实践。

AF Group CISO Seth Edgar 在 Agent of Influence 网络安全播客中分享哪些安全实践对其安全体系影响最大。

演示可重复重放的 CAPTCHA 如何形同虚设——用 Burp Intruder 重放请求第 86 次即爆出密码。文章给出一次性使用、与会话绑定、服务端校验等实现要点，避免反自动化控制被绕过。