- 博客(42)
- 资源 (4)
- 收藏
- 关注
RSS订阅原创 CISSP考试分享
我在冲刺阶段模拟考试刷题的步骤是这样的， 1) 不参考资料，独立做完一套模拟题，考试后查看自己的成绩，按照答案仔细分析自己做错的原因，分析的时候，把自己认为没有掌握好的概念关键字记录下来。2)对于记录的关键字，仔细阅读教材中对应的知识点并深化理解。我定目标考CISSP证书是从23年10月份开始的，当时买了上下册的AIO教材看了一段时间，发现这个考试的知识覆盖范围太广了，想自己准备却没有好的学习方法，效率低下，感觉这么自己学下去会走弯路，于是在11月底报名了铭学在线的CISSP认证在线辅导服务。
2024-03-25 22:54:39
341
原创 【案例分享】clickhouse无认证kafka迁移到有认证kafka方案
难点在于clickhouse需要支持同时对接具备不同认证的kafka集群解决方案： 只需要先在clickhouse的xml配置文件中添加kafka的相关认证信息，然后重启clickhouse 集群生效， 最后重建一下kafka表就可以了。
2023-04-09 21:50:57
737
2
原创 【算法与数据结构】关于排序的问题思考
突然想写一个关于排序问题的文章。一方面，我已经知道了冒泡排序的原理， 能写出一个简单的排序算法，差不多就行啦，对于快速排序，又有点复杂， 就算时间复杂度低一点，对我的作用也不是太大，因此总是不把排序算法放在心上。因为我们在比较的时候，只会遇到这两种情况， 要么小于，执行交换，要么就大于等于，不执行交换。有的时候，我们在解决问题的时候，不一定需要直接排序后的结果，而是想求得排序之后对应的索引， 这里我们集中讨论下。什么是排序的稳定性， 其实就是说，在待排序的数组中， 值相同的元素在排序之后的相对位置不变。
2023-04-09 21:45:22
545
原创 【算法与数据结构】Python遍历时删除元素问题总结
本篇文章介绍了Python中list， dict 和set的遍历中删除元素的思路，处理类似的问题的时候，需要小心谨慎， 不然有可能很难定位出代码的bug。
2023-04-09 21:43:39
1947
原创 【技术分享】搭建java项目引入外部依赖教程
动手实践了以上的java项目搭建过程，就熟悉了java项目开发流程。这样，我们可以快速的调试运行起来其他人开发的项目，也可以快速的自己搭建环境进行java开发。
2023-02-13 23:47:31
4833
原创 【web安全】SSRF漏洞
SSRF，即服务端请求伪造（Server-Side Request Forgery）, 简单理解是，攻击者想访问服务器内网系统，但又无法直接访问，服务器存在SSRF漏洞，我们就可以构造恶意请求，以服务器为跳板，来访问内网系统。本文介绍了SSRF漏洞的原理，漏洞绕过的技巧以及漏洞防护相关方案。在渗透测试的实际中， 我们往往可以把SSRF漏洞和其他漏洞结合起来一起使用，这样可以达到更好的效果。
2023-01-26 18:36:05
714
原创 【web安全】Spel表达式注入漏洞
例如，可以执行恶意构造的表达式或者执行类实例对象。在练习靶场的时候遇到了spel表达式注入的题目，这篇文章主要是学习总结一下spel表达式的相关知识点，然后进一步学习spel表达式相关漏洞，了解如何利用改漏洞或者代码审计找到相关漏洞。笔者一开始想直接从spel表达式的漏洞入手，可是发现许多描述都不理解，我的java用的不是很多，也不知道表达式的作用是啥，于是我们先学习一下spel表达式使用的知识，再学习相关漏洞。spel表达式如果接收外来的参数， 一定要考虑对于非法输入的过滤， 否则会产生注入漏洞。
2023-01-26 11:50:44
1583
1
原创 【中间件安全】zookeeper安全学习
zk节点有如下权限CREATE: 能创建子节点READ：能获取节点数据和列出其子节点WRITE: 能设置节点数据DELETE: 能删除子节点ADMIN: 能设置权限world：默认方式，相当于全世界都能访问auth：代表已经认证通过的用户(cli中可以通过addauth digest user:pwd 来添加当前上下文中的授权用户)digest：即用户名:密码这种方式认证，这也是业务系统中最常用的ip：使用Ip地址认证。
2023-01-16 23:16:42
601
原创 【web安全】SQL注入漏洞3--sqlmap工具教程
这篇文章，我们学习了sqlmap工具的使用思路。了解了这些基本的使用方法，后续就知道我们怎么自动化进行sql注入漏洞了。当然，sqlmap的各种高级用法还有很多，本文没有全面讲解所有的命令， 我们在学习或者实战的过程中， 只要有一个明确的思路，然后需要到什么知识点，网上搜索查询并慢慢积累便可。后续会在演练或者实战过程中不断提升自身能力。
2023-01-16 23:14:08
1621
原创 【web安全】SQL注入漏洞2--绕过与利用
本文主要介绍了人工做SQL注入方法，当然，也有专门用于SQL注入的自动化攻击，提升攻击的效率。我们都知道，不同的开发者， 对于安全认识程度也可能不一样，有的开发者可能没有对输入做过滤直接拼接，也有的开发者可能做了一定的过滤但是不全面，这些问题隐患都有可能造成安全风险。这里我使用的靶机环境是SQLi Labs， 这个平台专注于SQL注入的学习，并且涉及的题目量与知识点比较多，因此果断选择这个平台用来学习。在练习注入过程中，发现了一些奇怪的sql语句，不搞懂这些，就很难弄明白这个注入是咋实现的。
2023-01-14 23:01:20
327
原创 【web安全】SQL注入漏洞1--寻找SQL注入
这篇文章主要介绍了寻找SQL的思路。对于初学者，可能会出现这种尴尬的情况： 找到了一个疑似SQL注入的点，但是不知道如何继续渗透利用，尽可能的获取更多的价值信息甚至于获取到主机权限。如何利用sql注入进行渗透；如何进行sql 注入的绕过；如果使用sqlmap工具来进行渗透利用。
2023-01-14 00:15:50
2398
1
原创 【机器学习】TF-IDF词袋模型简介
本文介绍了TF-IDF的基本概念，然后介绍了sklearn 中的具体使用方法，数据的输入输出以及降维处理。了解了这些，基本就可以在实际的业务场景中灵活使用TF-IDF特征 进行机器学习训练了。
2023-01-01 16:27:53
1266
原创 【技术分享】一文读不懂线性代数
初学者经常会听到这两个概念，但是可能并没有理解。简单的说， 线性（linear）就是量与量之间按比例，成直线的关系， 非线性（non-linear）表示不按比例， 不成直线的关系。一次函数是线性，其他函数则为非线性。
2023-01-01 16:24:07
654
原创 【机器学习】聚类算法 kmeans
kmeans 是一个简单实用的算法， 不过缺点也是比较明显的， 对于形状不规则的点状图，kmeans 的聚类算法效果可能会不好，而且对于kmeans 的模型评估比较难， 不容易找到合适的k值。
2022-12-11 22:18:59
1427
2
原创 【机器学习】一文搞懂标准化，归一化，正则化
归一化（Normalization）: 将一列数据变化到某个固定区间（范围）中， 通常， 这个区间是[0,1],广义的讲， 可以是各种区间， 比如映射到[0,1] 也可以映射到其他范围，在图像中可能会映射到[0, 255], 其他情况也有可能映射到[-1,1];最大值最小值的归一化,范围[0,1]均值归一化（Mean normalization）, 范围[-1,1]标准化(Standardization): 将数据变换为均值为0，标准差为1的分布。标准化=Xi−μσ。
2022-12-09 20:40:56
4129
3
原创 【机器学习】基于机器学习的反弹shell命令识别
本文介绍一个基于机器学习识别反弹shell的项目。 在主机安全检测中，一般是采用基于原理的方式识别反弹shell, 通过判断socket通信相关特征，可以准确地识别到主机中的反弹shell。 但是在容器场景下，检测反弹shell 的能力，可能会受到容器网络模式的限制，在容器默认运行的bridge 模式下， 是很难通过基于原理的方式识别反弹shell的。bridge模式反弹shell 参考资料https://xz.aliyun.com/t/6727https://help.aliyun.com/docu
2022-12-03 12:37:26
782
原创 【机器学习】评价指标 : 准确率，查准率与查全率
在机器学习中，有几个评价指标，今天专门来介绍一下。之前的学习中主要是看模型，学算法，突然有一天发现，机器学习中的一些基本概念还是有点模糊，导致不知道如何综合评价模型的好坏。 这篇文章主要介绍如下几个知识点：介绍正样本 ： 属于某一个类别（真值）的样本负样本 ： 不属于某一个类别的样本个人理解，正负样本是相对的，取决于机器学习算法开发者。我们想计算一下模型的准确率， 不就是拿 (我们模型猜对的数据个数) / (所有的的数据个数)即 ：（TP + TN） / (ALL)当然了， 我们希望
2022-12-03 12:35:21
2099
原创 【技术分享】fluentd对接kafka + sasl_ssl plain 认证方式案例
这篇文章主要输出一个fluentd对接kafka + sasl_ssl plain 认证方式案例指导。
2022-09-27 21:06:14
1959
原创 【中间件学习】Fluentd基础学习教程
Fluentd是一个通用的数据收集框架，通常用来作为统一的日志处理平台，这篇文章主要记录Fluentd的学习与使用过程，也包括一些采坑的点，和大家分享经验。
2022-09-27 21:01:26
1418
原创 【中间件学习】kafka基础学习
kafka是一款优秀的消息中间件，在数据接入的过程用，由于特定场景需要采集某种日志并将其入库，使用到该中间件，这里记录学习过程。收集日志 —> 日志正则化 —> 发送到kafka --> 入库。为手工指定的解压后的文件夹名称。执行下面命令， 启动kafka。执行下面命令，启动zk。
2022-09-27 21:00:16
697
原创 【技术分享】基于nginx流量URL探测fastjson DNS嗅探实践
nuclei是一个开源的基于漏洞模板的扫描工具，可以利用该工具自定义payload进行扫描。{"@type"{"@type"{"@type","val"{{"@type""x"}idname-httpsCVSS3.0/AVN/ACL/PRN/UIN/SC/CH/IH/A-rawHost"@type"-type-200上面展示的是一个payload模板的制作，如果有多个payload,可以制作不同的模板文件。...
2022-07-27 19:38:25
1662
原创 aquatone 自动化网页截图工具运行崩溃 & web页面无法下载js代码问题修复
aquatone是一套用于对域名进行侦察的工具。笔者主要用aquatone作为批量网页截图信息收集工具， 使用工具的过程中遇到两个bug, 在github上找到解决方案并分享。 相信其他人在使用aquatone过程中也可能遇到过和笔者同样的问题。使用aquatone中， 发现程序跑了一半就中断了，是go语言的并发导致（concurrent map access）， 在github上找到解决方案：https://github.com/L11R/aquatone/releases笔者通过替换url下载地址解决
2022-06-11 16:30:52
218
原创 【BugKu 刷题笔记】【Simple_SSTI_1】
文章目录0x01 题目0x02 题解0x03 知识点1. flask 与 secret_key2. 模板注入0x01 题目0x02 题解输入url为:http://114.67.175.224:19636/?flag={{config.SECRET_KEY}}即可得到flag0x03 知识点初学者， 在网上搜解题思路很容易可以找到。 但是不知其所以然所以整理一下知识点:包含以下知识点:1. flask 与 secret_keyflask是一个轻量级的可定制框架，使用Python语言
2022-02-20 13:26:41
1406
原创 【技术分享】密码爆破学习实践
引言在扫描探测任务中， 经常会遇到一些开放的高危 端口， 这个时候，会忍不住想爆破一把试试， 期待好运降临， 万一爆破成功了呢？笔者作为一个安全初学者， 主要关注以下几点:当前网络上有哪些好的密码爆破工具，各自的优缺点是啥？密码爆破的核心在于有一个强大的密码字典， 如何可以收集到密码字典 ？如何自己生成一个好的密码字典？如何提高密码爆破的效率和概率？介绍一下密码爆破的实际操作命令以及技巧密码爆破工具的调研以及介绍：hydra： 这款密码爆破工具功能非常强大，支持的协议非常之多，比如
2022-02-19 18:09:14
6678
5
原创 【漏洞分析: CVE-2021-4034】
c语言相关预备知识要点：c语言或者c++ 语言都要想运行必须要有一个main函数， 其中main函数可以带三个参数，分别为（argc, argv, envp）函数原型如下:int main(int argc, char *argv[], char *envp[])argc是什么？答: 这是一个整型变量，表示运行程序的命令行传入的参数个数。由于程序的名称默认被看作第一个参数，argc至少是1。argv是什么？答：argv[]表示以null为结尾的字符串数组，（个人理解是argv
2022-02-03 22:16:32
1988
原创 【git入门教程】[小明的git学习之路】
文章目录引言一： 可以在本地做熟练的管理代码。二： 开始有一个远程的仓库三：使用git 协同开发代码引言 git是一个优秀的版本控制系统。如果没有实际的应用场景，初学者只是学习git的相关命令可能会感觉到很吃力。因此整理一篇指导教程，介绍不同场景下，git的基本使用流程。一： 可以在本地做熟练的管理代码。 小明是个程序猿，很喜欢参加各种编程比赛。在参加比赛的过程中， 小明写了大量的代码，都保存在集成开发环境中。 随着比赛的进行，小明遇到了几个头疼的问题：问题一：为了提高比赛的排名，小明尝试了三
2022-01-31 21:29:37
1208
原创 F5漏洞复现[CVE-2020-5902]与[CVE_2021_22986]
引言 F5 BIG-IP 广泛应用于大型企业，数据中心、云计算平台中，可以实现应用加速、负载均衡、SLL过载、web应用防火墙等功能。这篇文章主要是复现F5的漏洞，包括其被远程代码执行的过程， 以及探究以下我们可以在F5上远程执行代码之后可以做哪些事情。环境搭建 F5的环境搭建教程在网上可以查到很多，这里大概介绍以下流程与心得。首先搭建环境需要使用vmware软件运行F5的镜像来实现，需要下载并安装相关文件，这里使用的是家用个人电脑。亲测过在F5网站上注册好后，下载含有漏洞的F5镜像失败的，
2021-11-20 20:24:56
2281
原创 vscode学习指南
vscode是一款非常好用的编辑器，从个人的学习经验来看，虽然可以通过百度查看各种博客的相关教程，但是这些资料一般都不太完善，花费大量的时间，在博客上寻找相关教程，这样的效果一般不是特别理想，因此建议读者还是要去阅读vscode的官方文档。举个自己的例子，之前想要在vscode上自己配置一个c++ 的开发环境，在博客上或者知乎上...
2021-04-03 23:28:28
111
原创 c++ STL 学习指南
vector在写c++代码的过程中，stl就像工具一样，工欲善其事，必先利其器，熟练掌握各种stl数据结构的使用，才可以在写代码的过程中得心应手，尽快的实现自己想要的功能。在stl 中， c++有几种常用的数据结构，首先需要熟练他们的使用方式，如果要是需要深入研究的话，可以继续探讨stl实现的底层原理。<vector><deque><list><queue><stack><set><map>容器的分
2021-03-26 22:22:17
867
原创 源码解析|Focal loss
源码简介之前的博文介绍了retinanet的大体思路，然而，如何只是看论文，不看代码，无异于纸上谈兵，很难提升实践能力。下面详细讲解retinanet的源码，github地址为：https://github.com/yhenon/pytorch-retinanet网络的输出backbone一共有两种输出，一种是分类子网络，另一种是回归子网络。注意，在这个目标检测的网络中，提取的特征是多尺度的...
2020-01-24 17:18:38
821
13
原创 表达学习：回顾与新的视角
3.数据如何才能更好地表示3.1 人工智能中表示学习的先验知识在【16】中，我们团队中有一个介绍了AI任务的概念，这种任务对于现有的机器学习算法而言，具有很大的难度，并且这些任务包含复杂却又高度紧凑的依赖性。直接着手数据表示的一个有趣的原因是它可以方便的表达我们所处世界的普遍的先验知识，例如：某一些先验知识并不是针对特定的任务，但是非常有利于一个学习机器解决AI问题。下面是普遍意义上的先验知识...
2019-12-30 22:32:36
232
原创 论文阅读|Focal loss
原文标题：Focal Loss for Dense Object Detection概要目标检测主要有两种主流框架，一级检测器（one-stage）和二级检测器（two-stage）,一级检测器，结构简单，速度快，但是准确率却远远比不上二级检测器。作者发现主要原因在于前景和背景这两个类别在样本数量上存在很大的不平衡。作者提出了解决这种不平衡的方法，改进了交叉熵损失，使其对容易分类的样本产生抑制...
2019-12-30 22:30:02
431
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人