AzulSystems的博客

防止报文被窃取后暴露报文中的关键信息，如用户信息，产品信息，交易信息等敏感内容。报文重放和防止窃取不在这次考虑范围。1.以上加密为半加密处理即只针对报文中的业务数据加密，也可以考虑将header一同加密（全加密）；2.以上采用的3DES对称加密算法进行加解密，秘钥的安全存储需要着重考虑；3.以上采用加盐MD5保证接收前后的报文一致性；4.报文安全可考虑的地方还有不少，安全渗透的公司会经常做重放测试等；5.加解密也是相对的，破解的事会干也不能干。

希望大家多多支持我们的组件库HeyUI，🎉。

这种命名实体调用外部实体，发现evil.xml中不能定义实体，否则解析不了，感觉命名实体好鸡肋，参数实体就好用很多。2).无回显的情况：可以看3、第一种命名实体+外部实体+参数实体写法和第二种命名实体+外部实体+参数实体写法。调用过程为：参数实体dtd调用外部实体evil.xml，然后又调用参数实体all，接着调用命名实体send。第二种命名实体+外部实体+参数实体写法 中的evil.xml文件对。XML实体分为四种：字符实体，命名实体，外部实体，参数实体。

在 Web 安全领域中，XSS 和 CSRF 是最常见的攻击方式。简单的理解：XSS攻击：跨站脚本攻击。攻击者脚本 嵌入 被攻击网站，获取用户cookie等隐私信息。CSRF攻击：跨站请求伪造。已登录用户 访问 攻击者网站，攻击网站向被攻击网站发起恶意请求（利用浏览器会自动携带cookie）。XSS===XSS，即 Cross Site Script，中译是跨站脚本攻击。

这种是反射型的XSS，攻击是一次性的。简单来说就是：引导用户点击恶意链接，链接上的js代码被发送至服务器，而服务器将不加处理的脚本又返回至客户端，此时用户客户端就会执行js代码。* 有人在留言内容中插入恶意js，服务器将该内容放入数据库中，此时，每当有人访问这个留言，就会执行这个恶意js。在内联的 JavaScript中，拼接的数据突破了原本的限制（字符串，变量，方法名等）。在标签属性中，恶意内容包含引号，从而突破属性值的限制，注入其他属性或者标签。不要完全信任服务端：对服务端输出进行转义。

当用户点击一个恶意链接，或者提交一个表单，或者进入一个恶意网站时，注入脚本进入被攻击者的网站。这种攻击类型是存储型攻击，也可以说是 DOM-based 攻击，并且这种攻击打击面更广。通过修改原始的客户端代码，受害者浏览器的 DOM 环境改变，导致有效载荷的执行。也就是说，页面本身并没有变化，但由于DOM环境被恶意修改，有客户端代码被包含进了页面，并且意外执行。XSS利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。最普遍的做法是转义输入输出的内容，对于引号，尖括号，斜杠进行转义。

安全问题对于web应用开发来说，避无可避。问题出现的方式层出不穷，但是只要掌握了核心的处理思路就会事半功倍。下图是笔者整理的安全攻防策略图：欢迎各位读者指出错误的地方，留言讨论。

在渗透测试中，通过上传文件漏洞来getShell是比较常见的方法，upload-labs这个靶场总结了各种常见的文件上传漏洞类型，下面是本人的每个关卡的bypass方法总结。

如果您知道如何在不同的工作站上应用新颖的硬件并升级现有的硬件，则足够的基于硬件的网络安全技能将使您成为招聘过程中的首选之一。作为网络安全管理员，必须要能够评估安全策略，以预防，保护和缓解现有的和潜在的网络安全威胁和弱点。我们都知道，网络安全工程师是高薪职业，而且每个企业都非常重视网络安全，对于该职位的需求量也是非常大的。这里我整合并且整理成了一份【282G】的网络安全从零基础入门到进阶资料包，需要的小伙伴可以扫描下方CSDN官方合作二维码免费领取哦，无偿分享！⑨历年CTF夺旗赛题解析。

Metasploit渗透测试魔鬼训练营》等书已经对渗透测试的步骤流程划分得比较合理透彻了，但感觉在多次通读该类书藉之后仍总感觉不得要领----要对一台给定的主机进行渗透还是不懂到底该如何着手。想来主要是存在以下两个问题。第一个是在渗透操作系统时，最为关键的是从漏洞分析到渗透攻击这一步很难跨越。因为按书中漏洞分析基本只有openvas等漏洞扫描器一条途径，漏洞利用只有Metasploit搜索一条途径；而漏洞扫描器扫出漏洞Metasploit中又正好有利用模块更是少之又少。

一直以来自己对WEB安全方面的知识了解的比较少，最近有点闲工夫了解了一下。也是为了以后面试吧，之前就遇到过问WEB安全方面的问题，答的不是很理想，所以整理了一下！

分析UA，确认访问次数最高的是python-requests/2.22.0，而且还有要其他UA前缀是python-requests/的，均属于python脚本发起的请求，非常规浏览器的UA，判定属于恶意行为。由于CDN的存在是加速内容的分发，并不限速，攻击者便可以通过极低的成本买大量“肉鸡”（“肉鸡”也称傀儡机，是指可以被黑客远程控制的机器），造成网站高额的CDN带宽费用，所谓“一觉醒来，房子没了”。阈值的确定，可以依据网站日常访问的IP频次，也可以通过实时日志查看访问IP的分布情况。

>桌面找到浏览器图标->点击右键选择属性->在【目标】后追加空格+--explicitly-allowed-ports=10080(见下面配置)->点击【保存】->因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。非必要按如下方法操作。

NDS：任天堂DS，是电玩游戏生产商任天堂公司2004年发售的第三代便携式游戏机。主要的特征包括了双屏幕显示，其中下方的屏幕为触摸屏；并配置有麦克风声音输入装置和 Wi-Fi 无线网络功能。这里题目提供了一个chall.nds的文件，一个nds的ROM文件,可以在pc上使用模拟器来加载运行,在这里我使用的是DeSmuME模拟器。

就算22-30成功积累，31岁开始厚积薄发，那错过的22-30岁的时光，31岁之后就可以弥补吗？是的，“35岁焦虑”对现在的年轻人又是一道坎，35岁被优化的人，如果之前一直在做螺丝钉的工作，拿着和市场价格相比的溢价工资，又如何能找到一份愿意接收自己，并且能给自己提供优渥工资的工作？更自然的，人员能力相对不足，业务能力也会有所下降，何况相比直播、游戏、流量广告、金融运作，网络安全这种实打实的东西确实更不容易赚钱：需要大量的研发、研究人员的前期投入，甚至还需要慢慢让用户理解用户自己的需求，以及自己的产品能力。

oauth2.0是oauth1.0的升级版，但是它不兼容oauth1.0。oauth 是一个开放授权的标准；OAuth认证是为了做到第三方应用在未获取到用户敏感信息（如：账号密码、用户PIN等）的情况下，能让用户授权予他来访问开放平台（主要访问平台中的资源服务器Resource Server）中的资源接口。

据 Cyber News 报道，职业社交网站 LinkedIn 发生信息大规模泄露，影响 5 亿用户，泄露的信息包括用户 ID 、名称、邮件地址、手机号码、工作信息、性别、其它社交媒体账户，目前信息已经被攻击者拿到某黑客论坛上出售。LinkedIn 新闻发言人在声明中表示:“网上发布的都是公开数据和来自其它网站的聚合信息，收集会员数据违反我们的服务条款，在能够审查到的数据中， LinkedIn 的私人会员数据并没有泄露。重置您的帐户以及与 LinkedIn 个人资料链接的任何其他平台的密码。

在前面介绍数字签名时提到一个概念叫信息摘要(数字摘要)，在生成不使用待发送的消息直接生成数字签名，而是先生成信息摘要，然后使用信息摘要来生成数字签名呢？待发送的信息长度是不定的，信息的长度决定的签名的速度，而生成信息摘要后长度是固定的，所以可以很好的解决签名效率问题。消息摘要函数是无陷门的单向函数，即只能进行正向的信息摘要，而无法从摘要中恢复出任何的消息，甚至根本就找不到任何与原信息相关的信息。

关于红队在渗透测试中使用的网络钓鱼攻击的文章很多，不过大多数的介绍都是不完整的。在本文中，我们将对这个话题进行一次完整的梳理，包括域创建，制作网络钓鱼内容，绕过垃圾邮件过滤器和电子邮件网关，生成不可检测的有效载荷以及绕过Windows保护（例如AMSI）的注意事项。\2. 从侦察阶段收集到的针对所有用户的大规模攻击，有很多很棒的资源可用于侦查和创建可定位的电子邮件地址列表，比如2019年的OSINT资源，The Harvester ，datasploit ，Github上的awesome-osint ）

第四，web渗透学习之前，现需要学习的是HTTP协议然后关于web相关的一些内容比方说前端（包含了HTML、CSS、Java script即网页三剑客，不用太深入只需大概了解它们的用法用途以及代码层面的含义，然后自己可以做一些简单的小网页。需要注意的是：计算机知识与网络安全息息相关，学校学习的计算机基础知识是进阶到网络安全学习的基石，因为网络安全工程师是网络安全众多分支中的一条路径，所以，必须要把计算机知识这个根基打牢，这样，后期在学习或应用中，才能在网络安全众多分支中自如切换。最后就做一下配置实验。

1、自学，自学的方式基本上是通过看相关的书籍或者是找一些网上的视频来看，这种方式其实是很难的，特别是对于一个刚准备进入这个行业的人来说，无人交流小白遇到问题时，查看书籍，各种百度谷歌技巧查找一波，最终还是没有找到方法解决。2、培训，对于零基础的小伙伴来说，最好的方式还是通过培训的方式，前提肯定是一个靠谱的网络安全培训机构，课程大纲不需要自己去考虑，能比较成系统的学习知识，而且还有专业的老师可以随时提问，并且学习气氛也是好于自己在家学习。不幸的是，网络安全技术决不是几本书、几个月就可以速成的。

操作系统：macos Catalinajdk 版本：11.0.9.1log4j2 版本：2.13.3（使用 springboot 2.3.2.RELEASE 间接依赖）引用公众号：“小林 coding” 的一张图：但如果你的日志中包含 “${” 开头，“}” 结尾的内容就会被解析出来，单独处理。而如果“${}” 所包裹的内容是类似这样的：jndi:ldap://127.0.0.1:1389/#Exploit，则有可能触发这个漏洞。

LLDB是Low Lever Debugger的简称，翻译成中文应该叫做底层调试器，它是LLVM项目的调试器组件。LLVM是构架编译器(compiler)的框架系统，以C++编写而成，用于优化以任意程序语言编写的程序的编译时间(compile-time)、链接时间(link-time)、运行时间(run-time)以及空闲时间(idle-time)，对开发者保持开放，并兼容已有脚本。如果你了解过Swift语言及其作者，那么一定对Chris Lattner博士不陌生，那这里为什么要提到他呢？

声明，本文用得是jdk1.8Collection总览，介绍了一些基础知识。现在这篇主要讲List集合的三个子类：ArrayList* 底层数据结构是数组。线程不安全LinkedList* 底层数据结构是链表。线程不安全Vector* 底层数据结构是数组。线程安全这篇主要来看看它们比较重要的方法是如何实现的，需要注意些什么，最后比较一下哪个时候用哪个～Java实现单向链表栈和队列就是这么简单二叉树就这么简单当然了，如果讲得有错的地方还请大家多多包涵并不吝在评论去指正～

一、Htop界面展示“Htop是一个用于Linux/Unix系统的交互式实时进程监控应用程序，也是top命令的替代品，它是所有Linux操作系统上预装的默认进程监控工具。Htop还有许多其他用户友好的功能，这些功能在top命令下不可用在Htop中，可以垂直滚动查看完整进程列表，水平滚动查看完整命令行。与Top因为它不会在启动期间等待获取数据。在Htop中，你可以一次杀死多个进程而无需插入其PID。在Htop中，你不再需要输入进程号或优先级值来重新优化进程。按“e”打印进程的环境变量集。

本篇属于理论知识篇，适合于所有人进行学习。本篇属于基础入门，如果您是大神，可以快速划过。本篇的内润循序渐进，跳跃可能会影响阅读体验。相信你看完本篇，会有一些不一样的认识。话不多说；本文总字数2510字，预计阅读需要花费9分钟。在通信领域中，有可能B只需要接受消息，而不用主动的发送消息，那么这个过程就是单向认证。角色B自身不生成密钥对，持有其他角色的公钥，从而被动的接受其他角色发来的消息，这种流程就是单向认证。如果B也需要发送消息，那么B也需要生成密钥对，持有自己的私钥，而把公钥广播出去。

1.客户端使用公钥加密秘钥 //这个秘钥是加密数据的秘钥2.给服务器 //因为秘钥被加密，所以是安全的3.服务器使用私钥解密，得到秘钥 //现在，客户端和服务器都有了秘钥。具体来说是数据加密。//客户端和服务器，写数据的时候，都会加密。核心有两个1.加密数据的算法 //对称加密算法2.加密秘钥的算法 // 1.秘钥指的是加密数据秘钥2.加密秘钥是非对称加密算法。4.客户端《——》服务器端 //通过秘钥加密数据，双方均可以加密数据和解密数据。1.加密数据的对称秘钥2.加密秘钥的非对称秘钥对，即公钥和私钥。

本文将分两个专题去理解HTTPS。专题一：HTTPS为什么安全1、http为什么不安全？http协议属于明文传输协议，交互过程以及数据传输都没有进行加密，通信双方也没有进行任何认证，通信过程非常容易遭遇劫持、监听、篡改，严重情况下，会造成恶意的流量劫持等问题，甚至造成个人隐私泄露（比如银行卡卡号和密码泄露）等严重的安全问题。可以把http通信比喻成寄送信件一样，A给B寄信，信件在寄送过程中，会经过很多的邮递员之手，他们可以拆开信读取里面的内容（因为http是明文传输的）。

Https是在Http之上做了一层加密和认证；主要的区别是Https在TLS层对常规的Http请求和响应进行加密，同时对这些请求和响应进行数字签名。Http请求的样式： 明文传输，通过抓包工具可以抓到通过抓包工具抓到了也不知道什么含义。

超文本传输安全协议（英语：缩写HTTPS，常称为或）是一种通过计算机网络进行安全通信的传输协议。HTTPS经由HTTP进行通信，但利用SSL/TLS来加密数据包。HTTPS开发的主要目的，是提供对网站服务器的身份认证，保护交换数据的隐私与完整性。这个协议由网景公司（Netscape）在1994年首次提出，随后扩展到互联网上。HTTPS是并非应用层的新协议。只是HTTP通信接口用SSL或TLS协议代替而已。HTTP直接和TCP通信。

动态表单（Dynamic Form），指在前端运行过程中可依赖某些业务逻辑发生表单项变化的表单，还包括表单布局、表单数据管理、表单校验、表单交互、表单项联动逻辑等原本由前端编程完成的表单开发，转由后端通过 API 接口输出表单描述自动完成上述所有内容的表单开发形式。Form，动态表单实现的基本入口，描述了DynaForm的最基本属性，比如名称、ID、以及最核心的TemplateContext。表单控件是提供一组允许用户操作的对象，从而接收用户输入的数据，用户可操作该对象来执行对表单设计，修改等操作。