-
- Web Application核心防御机制是什么
- 为防止恶意输入，应用程序实施了大量的安全机制，而这些安全机制在概念上都具有相似性。这些安全机制由以下几个方面组成：1、处理用户访问web应用程序的数据与功能（防止未授权访问）2、处理用户对web应用程序功能输入的数据（防止构造恶意数据）3、应对攻击（处理预料外的报错、自动阻止明显的攻击、自动向管理员发送警报、维护程序的访问日志）4、管理与维护应用程序处理访问通常一个应用程序的用户有不同类型如，普通用户、登录验证用户、管理员。对不同用户web应用程序给予不同的权限，他们只能访问不同的数据与功能。w
- 安全 . 运维 1122 2023-05-11 20:46:19
-
- 广域网,城域网,局域网是怎么划分的
- 广域网、城域网和局域网的划分依据是“覆盖范围”。局域网的覆盖范围一般是方圆几千米之内，其具备的安装便捷、成本节约、扩展方便等特点使其在各类办公室内运用广泛。广域网是连接不同地区局域网或城域网计算机通信的远程网，所覆盖的范围从几十公里到几千公里。城域网是在一个城市范围内所建立的计算机通信网。计算机网络分为广域网、城域网和局域网，其划分的主要依据是：网络的作用（覆盖）范围。计算机网络是指将地理位置不同的具有独立功能的多台计算机及其外部设备，通过通信线路连接起来，在网络操作系统，网络管理软件及网络通信
- 安全 . 运维 8761 2023-05-11 20:19:18
-
- CNNVD关于Apache Struts2 S2-057安全漏洞情况的通报示例分析
- 目前，Apache官方已经发布了版本更新修复了该漏洞。建议用户及时确认ApacheStruts产品版本，如受影响，请及时采取修补措施。一、漏洞介绍ApacheStruts2是美国阿帕奇（Apache）软件基金会下属的Jakarta项目中的一个子项目，是一个基于MVC设计的Web应用框架。2018年8月22日，Apache官方发布了ApacheStruts2S2-057安全漏洞（CNNVD-201808-740、CVE-2018-11776）。当在struts2开发框架中启用泛namespace功
- 安全 . 运维 997 2023-05-11 20:04:12
-
- Turla如何利用水坑攻击植入后门
- 目标网站Turla至少破坏了四个Armenian网站，其中包括两个政府网站。因此，目标可能包括政府官员和政客。以下网站遭到入侵：armconsul[.]ru：俄罗斯亚美尼亚大使馆领事处mnp.nkr[.]am：Artsakh共和国自然保护和自然资源部aiisa[.]am：亚美尼亚国际和安全事务研究所adgf[.]am：亚美尼亚存款担保基金这些网站至少从2019年初就遭到了入侵。Turla利用非法访问向网站中插入恶意JavaScript代码。例如，对于mnp.nkr[.]am，在jquery-mi
- 安全 . 运维 1582 2023-05-11 20:04:04
-
- 如何分析nrpe监控的对象和阀值部分
- nrpe监控对象和阀值：监控对象监控阀值主机资源主机存活：check_ping-w3000.0,80%-c5000.0,100%-p5(3000毫秒响应时间内，丢包率超过80%报警告，5000毫秒响应时间内，丢包率超过100%报危急，一共发送5个包）登录用户：check_user-w5-c10(w为警告，c为危急)系统负载：check_load-w15,10,5-c30,25,20(1分钟，5分钟，15分钟大于对应的等待进程数则警告或危急)磁盘占用率：check_disk-w20%-c10%-p
- 安全 . 运维 1501 2023-05-11 19:31:04
-
- 如何分析OSPF中224.0.0.5和 224.0.0.6两个地址的具体区别
- 224.0.0.6指代一个多路访问网络中DR和BDR的组播接收地址，224.0.0.5指代在任意网络中所有运行OSPF进程的接口都属于该组，于是接收所有224.0.0.5的组播数据包。重点理解好属于某一组和接收怎样的组播数据包，比如DR/BDR属于组播地址为224.0.0.6的组（Group），因此它接收目的地址为224.0.0.6的组播数据包，也就可以理解为何多路访问通过设置DR/BDR可以防止信息过多处理（因为属于某组的接收者（指OSPF接口），只会剥离到二层，而不会进一步处理，也就省去了很
- 安全 . 运维 4041 2023-05-11 19:04:18
-
- 如何分析SQLMap和SQLi注入防御
- 第一部分:Sqlmap使用1.1sqlmap介绍1.前边说了一些sql注入的基础语句,但是手工注入很麻烦,我们可以借助sqlmap这个强大的sql注入工具,进行数据的获取.2.sqlmap介绍(1)#sqlmap是一种开源的渗透测试工具，可以自动检测和利用SQL注入漏洞以及接入该数据库的服务器。它拥有非常强大的检测引擎、具有多种特性的渗透测试器、通过数据库指纹提取访问底层文件系统并通过外带连接执行命令。官方网站:sqlmap.org(2)#支持的数据库：MySQL，Oracle,PostgreS
- 安全 . 运维 1093 2023-05-11 18:37:06
-
- Web安全测试知识点有哪些
- 什么是安全测试？安全测试就是要提供证据表明，在面对敌意和恶意输入的时候，应用仍然能够充分的满足它的需求。a.如何提供证据？我们通过一组失败的安全测试用例执行结果来证明web应用不满足安全需求。b.如何看待安全测试的需求？与功能测试相比，安全测试更加依赖于需求，因为它有更多可能的输入和输出可供筛选。真正的软件安全其实际上指的是风险管理，即我们确保软件的安全程度满足业务需要即可。如何开展安全测试？基于常见攻击和漏洞并结合实际添加安全测试用例，就是如何将安全测试变为日常功能测试中简单和普通的一部分的方
- 安全 . 运维 1426 2023-05-11 18:34:06
-
- 如何简单绕过人机身份验证Captcha
- 今天分享的Writeup是作者在目标网站漏洞测试中发现的一种简单的人机身份验证（Captcha）绕过方法，利用Chrome开发者工具对目标网站登录页面进行了简单的元素编辑就实现了Captcha绕过。人机身份验证（Captcha）通常会出现在网站的注册、登录和密码重置页面，以下是目标网站在登录页面中布置的Captcha机制。从上图中可以看到，用户只有在勾选了Captcha验证机制的“I‘mnotarobot”之后，登录按钮（Sign-IN）才会启用显示以供用户点击。因此，基于这点，我右键点击了Si
- 安全 . 运维 8226 2023-05-11 17:55:12
-
- IPv4至IPv6演进的实施路径是什么
- IPv4至IPv6改造的技术模型业界对IPv4至IPv6改造过度提供三种解决方案，即双栈技术模式、隧道技术模式、地址转换模式。1、双栈技术模式：在同一个网络上运行两个彼此独立的平面：一个IPv4网络平面，一个IPv6网络平面，各自维护自己的IGP/EGP状态及路由。在这种模式下，IPv4和IPv6共存，既不影响现有IPv4业务，也可以满足IPv6的新需求。但这种模式下实施成本较高，一是需要全网的网络设备支持，二是全网设备IGP/EGP调整工作难度较大，如果仅在小范围内实施，这是一种比较好的选择模
- 安全 . 运维 1865 2023-05-11 17:52:13
-
- 怎么分析Facebook Ads广告业务API接口的源代码泄露漏洞
- 发现漏洞一个多月后，我就发现了存在FacebookAds广告业务系统API中的一个漏洞。存在漏洞的API是一个图片处理接口，它用于Facebook商户账户上传广告图片，上传的图片会储存在一个名为“/adimages”的目录下，并用base64格式编码。所以，我的测试构想是，在这里的机制中，可以向上传图片中注入恶意Payload，经API转换为Base64格式后，再被Facebook传入服务器中。以下为上传图片的POST请求：POST/v2.10/act_123456789/adimagesHTT
- 安全 . 运维 1637 2023-05-11 17:40:13
-
- XML外部实体注入漏洞的示例分析
- 一、XML外部实体注入XML外部实体注入漏洞也就是我们常说的XXE漏洞。XML作为一种使用较为广泛的数据传输格式，很多应用程序都包含有处理xml数据的代码，默认情况下，许多过时的或配置不当的XML处理器都会对外部实体进行引用。如果攻击者可以上传XML文档或者在XML文档中添加恶意内容，通过易受攻击的代码、依赖项或集成，就能够攻击包含缺陷的XML处理器。XXE漏洞的出现和开发语言无关，只要是应用程序中对xml数据做了解析，而这些数据又受用户控制，那么应用程序都可能受到XXE攻击。本篇文章以java
- 安全 . 运维 2598 2023-05-11 16:55:12
-
- 远程代码执行漏洞实例分析
- 0x01认识mongo-expressmongo-express是一个MongoDB的AdminWeb管理界面，使用NodeJS、Express、Bootstrap3编写而成。目前mongo-express应该是Github上Star最多的MongoDBadmin管理界面。部署方便，使用简单，成为了很多人管理mongo的选择。0x02调试环境搭建0x1启动docker服务阅读官方GitHub的安全公告，我们发现漏洞影响0.54.0以下的所有版本。选择以0.49为例进行测试，由于此漏洞环境还需要M
- 安全 . 运维 1639 2023-05-11 16:46:06
-
- Gogs任意用户登录漏洞实例分析
- 一、漏洞背景Gogs是一款类似GitHub的开源文件/代码管理系统（基于Git），Gogs的目标是打造一个最简单、最快速和最轻松的方式搭建自助Git服务。使用Go语言开发使得Gogs能够通过独立的二进制分发，并且支持Go语言支持的所有平台，包括Linux、MacOSX、Windows以及ARM平台。二、漏洞描述gogs是一款极易搭建的自助Git服务平台，具有易安装、跨平台、轻量级等特点，使用者众多。其0.11.66及以前版本中，（go-macaron/session库）没有对sessionid进
- 安全 . 运维 2736 2023-05-11 16:43:06
-
- 反弹shell是什么意思
- *严正声明：本文仅限于技术讨论与分享，严禁用于非法途径。0x00前言反弹shell，就是控制端监听在某TCP/UDP端口，被控端发起请求到该端口，并将其命令行的输入输出转到控制端。通俗点说，反弹shell就是一种反向链接，与正向的ssh等不同，它是在对方电脑执行命令连接到我方的攻击模式，并且这种攻击模式必须搭配远程执行命令漏洞来使用。为什么要反弹shell?通常用于被控端因防火墙受限、权限不足、端口被占用等情形。假设我们攻击了一台机器，打开了该机器的一个端口，攻击者在自己的机器去连接目标机器，这
- 安全 . 运维 9682 2023-05-11 16:25:20
PHP讨论组
组员：3305人话题：1500
PHP一种被广泛应用的开放源代码的多用途脚本语言，和其他技术相比，php本身开源免费； 可以将程序嵌入于HTML中去执行， 执行效率比完全生成htmL标记的CGI要高许多，它运行在服务器端，消耗的系统资源相当少，具有跨平台强、效率高的特性，而且php支持几乎所有流行的数据库以及操作系统，最重要的是
工具推荐
可爱的夏天元素矢量素材(EPS+PNG)
这是一款可爱的夏天元素矢量素材，包含了太阳、遮阳帽、椰子树、比基尼、飞机、西瓜、冰淇淋、雪糕、冷饮、游泳圈、人字拖、菠萝、海螺、贝壳、海星、螃蟹、柠檬、防晒霜、太阳镜等等，素材提供了 EPS 和免扣 PNG 两种格式，含 JPG 预览图。
PNG素材
2024-02-29
四个红的的 2023 毕业徽章矢量素材(AI+EPS+PNG)
这是一款红的的 2023 毕业徽章矢量素材，共四个，提供了 AI 和 EPS 和免扣 PNG 等格式，含 JPG 预览图。
PNG素材
2024-02-29
唱歌的小鸟和装满花朵的推车设计春天banner矢量素材(AI+EPS)
这是一款由唱歌的小鸟和装满花朵的推车设计的春天 banner 矢量素材，提供了 AI 和 EPS 两种格式，含 JPG 预览图。
banner图
2024-02-29
驾照培训服务机构宣传网站模板
驾照培训服务机构宣传网站模板是一款适合提供一般驾驶和计划培训的驾校宣传网站模板下载。提示：本模板调用到谷歌字体库，可能会出现页面打开比较缓慢。
前端模板
2025-01-07
HTML5房地产公司宣传网站模板
HTML5房地产公司宣传网站模板是一款适合从事房地产服务行业宣传网站模板下载。提示：本模板调用到谷歌字体库，可能会出现页面打开比较缓慢。
前端模板
2025-01-06
