小猫咪不想写代码-CSDN博客

原创 CSRF攻击时无法以Content-Type:Application/json来发送请求嘛?

csrf利用

2023-01-04 20:26:51 311

原创页面太卡，如何定位问题？

linux top命令及结果详解https://blog.csdn.net/f591781927/article/details/83585058ps -ef|grep详解https://www.cnblogs.com/freinds/p/8074651.html

2021-01-18 15:17:16 495

原创接口认证方式学习

1、Basic Authentication2、API Key3、JWThttps://zhuanlan.zhihu.com/p/869373254、SMALhttps://zhuanlan.zhihu.com/p/86669056 单点登录，需要签名5、OAuth2.0http://www.ruanyifeng.com/blog/2019/04/oauth_design.html 微信登录

2021-01-08 17:07:11 317

https://www.cnblogs.com/cat520/p/9342657.html一、什么是fork炸弹.() { .|.& };.即：:(){:|: &};:第 1 行说明下面要定义一个函数，函数名为小数点，没有可选参数。第 2 行表示函数体开始。第 3 行是函数体真正要做的事情，首先它递归调用本函数，然后利用管道调用一个新进程（它要做的事情也是递归调用本函数），并将其放到后台执行。第 4 行表示函数体结束。第 5 行并不会执行什么操作，在命令行中

2021-01-07 11:38:00 1955

原创 log4j 安全问题验证demo & CRLF注入漏洞

一、环境准备https://blog.csdn.net/weixin_42299862/article/details/111993837二、demo1、使用 @Log4j2 log.error() 打印异常日志是否会泄露敏感信息？https://www.cnblogs.com/huanghuanghui/p/11775731.htmlhttps://www.cnblogs.com/qlqwjy/p/7192947.html代码如下如果有红线语法错误，参考https://blog.csdn.n

2020-12-31 11:19:50 7630

原创 Maven项目配置扫盲

一、我用IDEA创建了一个Project，这时候是一个java项目。如何把普通java项目转换成maven项目？项目上右键 Add Framework Support，选择maven。（https://bbs.csdn.net/topics/390764673/）二、配置Mavenhttps://blog.csdn.net/westos_linux/article/details/78968012/1、File ------》Settings ------》右键搜索Maven2、进行配置（1）M

2020-12-30 17:05:57 191

原创 CC攻击和防护

DDoS攻击–CC攻击防护详解(HTTP)https://blog.csdn.net/qq_34777600/article/details/81978262CC攻击的原理与防护https://cloud.tencent.com/developer/article/1083100网站被cc攻击了该如何应对？https://www.zhihu.com/question/19742963一、CC攻击原理1、HTTP Flood 俗称CC攻击（Challenge Collapsar）是DDOS（分布

2020-12-30 11:09:51 198

原创数字水印学习

https://www.zhihu.com/question/50677827 阿里巴巴内网的不可见水印用的是什么算法？将以下代码保存为1.html，在浏览器中运行。点击按钮"显示数字水印"即可。<!DOCTYPE html><html><head><meta charset="utf-8"><title>菜鸟教程(runoob.com)</title><script>function watermark

2020-12-25 11:30:37 248 1

原创密码学学习总结

信息安全的基本属性（机密性，完整性，可用性，真实性，可控性）一、完整性保护1、hash哈希算法，又称消息摘要算法，单向散列。对任意给定的数据生成一个定长的摘要。https://www.cnblogs.com/austinspark-jessylu/p/9549260.html现在MD5（2010年已被破解）和SHA-1（基于MD5，2014年已被破解）都已经证实不安全了，可以用SHA256。（https://blog.csdn.net/shsalex/article/details/5232910

2020-12-24 21:09:59 878

原创微服务学习笔记

一、搞清楚什么是微服务架构、分布式架构、集群架构1、http://www.520608.com/fen-bu-shi-jia-gou-he-ji-qun-jia-gou-de-qu-bie/2、3、二、微服务架构需要什么https://zhuanlan.zhihu.com/p/102762433 微服务为什么一定要 Zookeeper 呢？https://www.lagou.com/lgeduarticle/126511.html 谈一谈我所理解的微服务中的注册中心...

2020-12-18 19:28:52 120

原创 Springboot +AngularJS，实现一个小功能

一、spring boot与spring mvc的区别是什么？https://www.zhihu.com/question/64671972二、搭建一个Springboot项目1、https://www.cnblogs.com/pengyan-9826/p/8093099.html2、如果出现Springboot的版本报错，原因是原因是pom.xml里面配的Springboot版本找不到，需要重新配Maven的setting.xml里的镜像仓库。在仓库里看一下有哪些Springboot版本，在po

2020-12-18 19:04:12 553 2

原创 DOM型XSS

一、介绍反射型和存储型都是通过后台输出，DOM xss是纯前台的漏洞• 反射型发出请求时，XSS代码出现在URL中，作为输入提交到服务器，服务器解析后响应，在响应的内容中出现这段XSS代码。大多只能影响单一用户。• 存储型提交的XSS代码会存储在服务端（数据库、内存、文件系统等），下次请求目标页面时不用再提交XSS代码。可能会影响到网站的众多用户。• DOM型DOM XSS的XSS代码并不需要服务器解析响应的直接参与，触发XSS靠的就是浏览器端的DOM解析，可以认为完全是客户端的事情，无法通过

2020-12-16 20:45:12 4235

原创惊！认证绕过，不光需要检查filter，还要检查lua脚本

之前一直以为所有产品的认证鉴权都是做在filter里面的，拿到产品只需要走读filter的java代码即可~但是现在发现，有的产品会把认证鉴权做在网关里，因为网关是统一入口，所以有的项目就直接在网关里做认证鉴权了。一、网关 nginx lb的区别：https://blog.csdn.net/weter_drop/article/details/104040570https://blog.csdn.net/P397226804/article/details/103732721/1、网关主要是过滤请

2020-12-16 16:56:40 251

原创 APP安全测试

没有安卓手机可以使用“逍遥模拟器”如何在Android Nougat中正确配置Burp Suite？ https://www.freebuf.com/articles/network/160900.htmlandroid adb端口被占用解决方案：https://blog.csdn.net/xiangxi101/article/details/51027378...

2020-12-08 11:50:18 259 2

原创 IDS\IPS\WAF\防火墙

一、IDS　　入侵检测系统（Intrusion Detection Systems）　　依照一定的安全策略，通过软、硬件，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。　　特点是不阻断任何网络访问，主要以提供报告和事后监督为主，少量的类似产品还提供TCP阻断等功能，但少有使用。二、IPS　　入侵防御系统(Intrusion-prevention system)　　能够监视网络或网络设备的网络资料传输行为的计算机网络安全设

2020-11-12 11:19:58 942

原创 XSS能有什么危害？

上次学习了一篇很好的文章以后，写了https://blog.csdn.net/weixin_42299862/article/details/108518706这么一篇读后感~现在继续总结一下，XSS能造成多大的危害。1、cookie劫持通过XSS漏洞，我们可以轻易的将javascript代码注入被攻击用户的页面并用浏览器执行。如果用户的cookie没有设置Httponly，在javascript中可以通过“document.cookie”来获取用户的cookie内容，并可以轻易的发送到任意黑客指定的

2020-10-12 17:51:56 4507

原创 XSS能干啥？

经常被问到：XSS只能弹框吗？这个帖子很好的解读了xss的危害，感谢作者~~https://www.xf1433.com/4020.htmlxss获取用户cookie如此简单，你学会了吗？围观人数：28106　日期：2017-12-27 22:50:54　利用别人的cookie，他们可以冒充真实的用户，在颁发cookie的那个网站中为所欲为，个人隐私在他们面前根本不存在。接下来这篇文章以3个兄弟之间的对话进行讲解。运气好的话连别人的用户名和密码都能得到，那就一通百通，因为大家都嫌麻烦，总是使用

2020-09-10 17:10:58 1120

原创跨域同源策略 CORS漏洞

https://blog.csdn.net/qq_38128179/article/details/84956552一、什么是跨域当一个请求url的协议、域名、端口三者之间任意一个与当前页面url不同即为跨域非同源限制【1】无法读取非同源网页的 Cookie、LocalStorage 和 IndexedDB【2】无法接触非同源网页的 DOM【3】无法向非同源地址发送 AJAX 请求二、为什么会出现跨域问题：SOP同源策略出于浏览器的同源策略限制。同...

2020-09-09 21:07:35 512

原创 SQL注入白盒代码审计

安全编码防止sql注入，主要是查询参数动态绑定采用预编译的方法，先将SQL语句中可被客户端控制的参数集进行编译，生成对应的临时变量集，再使用对应的设置方法，为临时变量集里面的元素进行赋值，赋值函数setString()，会对传入的参数进行强制类型检查和安全检查，所以就避免了SQL注入的产生。一、JDBC：用java PreparedStatement就不用担心sql注入String sql = "select * from goods where name = ?";PreparedStatemen

2020-07-24 10:31:56 381

原创 basic认证把用户名密码放在request header中，这样安全吗？

一、背景在postman调试的时候我们会选择认证方式是basic auth，即说明该项目是一个Authorization项目参考https://blog.csdn.net/luckyzsion/article/details/80216861整理出http auth的过程：1、客户端发送http请求2、服务器发现配置了http auth，于是检查request里面有没有"Authorization"的http header3、如果有，则判断Authorization里面的内容是否在用户列表里面

2020-07-15 10:25:51 5132

原创如何防御xss？HTML编码和JS编码

https://www.jianshu.com/p/c0dc4bbab8e8<p>${content}</p>如上述代码所示，在P标签中存在一个输出变量${content}，浏览器解析的过程，首先是HTML解析，解析到P标签时，解析Content的内容，然后将其在页面显示出来。<p><script>alert("实体XSS");</script></p>如果我们把Content的内容换成上面内容，即script脚本，那么浏览

2020-07-10 15:29:08 938

原创 xss注入点总结

一、标签中间<><>1、可能存在于：<textarea> <p> <a>2、可以直接F12在html进行注入（<p><img></p>)，如果编码了（<p><img></p>）就没xss问题。没过滤则有xss问题（<p><img></p>)。3、这里补充一个“双写绕过”https://cloud.tencent.com

2020-07-07 15:35:38 3877 1

原创 “Content-Security-Policy”头缺失或不安全

https://server.51cto.com/sSecurity-576115.htm?mobilehttps://developer.mozilla.org/zh-CN/docs/Web/HTTP/CSPresponse通过发送一个 CSP 头部，来告诉浏览器什么是被授权执行的与什么是需要被禁止的。其被誉为专门为解决XSS攻击而生的神器。CSP 的实质就是白名单制度，开发者明确告诉客户端，哪些外部资源可以加载和执行，等同于提供白名单。它的实现和执行全部由浏览器完成，开发者只需提供配置。“Con

2020-07-06 17:12:27 20708

空空如也

空空如也