# Web通用漏洞--文件上传 ## 概述 文件上传安全指的是攻击者通过利用上传实现后门的写入连接后门进行权限控制的安全问题，对于如何确保这类安全问题，一般会从原生态功能中的文件内容，文件后缀，文件类型等方面判断，但是漏洞可能不仅在本身的代码验证逻辑中出现安全问题，也会在语言版本，语言函数，中间件，
在Web安全领域，不足的日志记录和监控是一个重要的安全隐患，它可能导致攻击者能够更隐蔽地进行攻击，同时增加了攻击被检测和响应的难度。以下是对Web攻击中不足的日志记录和监控漏洞的详细介绍。 一、日志记录不足的问题 日志缺失或不完整 关键操作未记录：如用户登录、敏感数据访问、系统管理员操作等关键操作未
Kubernetes集群中配置Ingress支持HTTPS访问(一)：cfssl ，Kubernetes，docker ，HTTPS，Ingress，对称加密，非对称加密，中间人攻击，CA，NodePort，LoadBalancer
Unlink原理和一些手法 ✅简单介绍一下unlink相关的知识 unlink是利用glibc malloc 的内存回收机制造成攻击的，核心就在于当两个free的堆块在物理上相邻时，会将他们合并，并将原来free的堆块在原来的链表中解链，加入新的链表中其目的是把一个双向链表中的空闲块拿出来（例如 f
在今年9月，Uber 就发生过一起数据泄露事件，尽管黑客并无意发动大规模攻击或以此来获取巨额利益，但其成功获取对 Uber 所有敏感服务的完全管理员访问权限仍令人后怕。而在上周，名为“UberLeak”的用户又在黑客论坛上公开了一个600Mb 的存档文件，其中包含来自 Uber 系统的2000万条数
# Web通用漏洞--SSRF ## 漏洞简介 SSRF(Server-Side Request Forgery:服务器端请求伪造) 一种由攻击者构造形成由服务端发起请求的一个安全漏洞; 一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。正是因为它是由服务端发起的，所以它能够请求到与它相连而
TLScanary：Pwn中的利器 引言：什么是TLScanary？ 在二进制漏洞利用（Pwn）领域，攻击者面临着层层防护措施的挑战。在安全竞赛（如CTF）和实际漏洞利用中，TLS（线程本地存储）和堆栈保护（stack canary）是常见的防护技术。TLScanary应运而生，它结合了TLS协议与
# web攻防--xxe实体注入 ## 漏洞简介 XML 外部实体注入（也称为 XXE）是一种 Web 安全漏洞，允许攻击者干扰应用程序对 XML 数据的处理。它通常允许攻击者查看应用程序服务器文件系统上的文件，并与应用程序本身可以访问的任何后端或外部系统进行交互。 在某些情况下，攻击者可以利用 X
在iOS开发中，保障应用的网络安全是一个非常重要的环节。以下是一些常见的网络安全措施及对应的示例代码： Swift版 1. 使用HTTPS 确保所有的网络请求使用HTTPS协议，以加密数据传输，防止中间人攻击。 示例代码： 在Info.plist中配置App Transport Security (
一、数据集介绍 Maple-IDS数据集是一个网络入侵检测评估数据集，旨在增强异常基础入侵检测系统（IDS）和入侵预防系统（IPS）的性能和可靠性。随着网络空间安全领域攻击的日益复杂化，拥有一个可靠和最新的数据集对于测试和验证IDS和IPS解决方案至关重要。 数据集由东北林业大学网络安全实验室发布，
目录SSRF + Redis未授权 案例怎么构造 redis 数据包?Reference SSRF不难理解，服务器端请求伪造（英语：Server-side Request Forgery，简称SSRF）是攻击者滥用服务器功能来访问或操作无法被直接访问的信息的方式之一。 服务器端请求伪造攻击将域中的不
01认识Locust Locust是一个比较容易上手的分布式用户负载测试工具。它旨在对网站（或其他系统）进行负载测试，并确定系统可以处理多少个并发用户，Locust 在英文中是 蝗虫 的意思：作者的想法是在测试期间，放一大群 蝗虫 攻击您的网站。当然事先是可以用 Locust 定义每个蝗虫（或测试用
VMware vSAN 8 U3 中新引入了基于 vSAN ESA 的全新 vSAN Data Protection 功能，借助 vSAN Data Protection 功能，您可以使用在 vSAN 集群本地存储的本机快照，快速从操作故障或勒索软件攻击中恢复虚拟机。它使用本机 vSAN 快照来捕获
大多数身份和访问管理系统的设计和实现，普遍存在身份认证失效的问题。会话管理是身份验证和访问控制的基础，并且存在于所有有状态的应用程序中。攻击者可以使用指南手册来检测失效的身份认证，但通常会关注密码转储，字典攻击，或者在类似于钓鱼或社会工程攻击之后，发现失效的身份认证。 确认用户的身份，身份验证和会话
注入漏洞通常是指在可输入参数的地方，通过构造恶意代码，进而威胁应用安全和数据库安全。常见的注入漏洞包括：SQL注入和XSS跨站脚本攻击。 这篇文章我们主要讲SQL注入，SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加
熟悉 web 系统开发的同学，对下面这样的错误应该不会太陌生。 之所以会出现这个错误，是因为浏览器出于安全的考虑，采用同源策略的控制，防止当前站点恶意攻击 web 服务器盗取数据。 01、什么是跨域请求 同源策略，简单的说就是当浏览器访问 web 服务器资源时，只有源相同才能正常进行通信，即协议、域
前言 在使用 Wireshark 分析 Active Directory 的 Kerberos 的流量时，会遇到加密票据的情况，这对进一步探究 AD 下的漏洞篡改事件的详细过程造成了影响。在查询资料时也了解到也有一些攻击流量的 payload 也可能存在被解析为加密存根导致分析中断。 此处记录一下如
本文首发于公众号：腐烂的橘子 本文梗概： DNS 是什么，有什么作用 一条 DNS 记录是什么样的 DNS 域名解析原理 DNS 服务器如何抵御攻击 DNS 是什么，有什么作用 DNS（Domain Name System）是一种应用层协议，用于映射域名和 ip 地址。 为什么要做映射呢？就像可以用
title: 深入理解MD5：Message Digest Algorithm 5 date: 2024/4/21 18:10:18 updated: 2024/4/21 18:10:18 tags: MD5 哈希函数 密码学 数据完整性 碰撞攻击 安全性 替代算法 导论 MD5的背景和历史 MD5
注意 Nacos是一个内部微服务组件，需要在可信的内部网络中运行，不可暴露在公网环境，防止带来安全风险。 Nacos提供简单的鉴权实现，为防止业务错用的弱鉴权体系，不是防止恶意攻击的强鉴权体系。 如果运行在不可信的网络环境或者有强鉴权诉求，请参考官方简单实现做替换增强。 鉴权 服务端如何开启鉴权 非
