- 博客(37)
- 收藏
- 关注
RSS订阅原创 常见web安全漏洞
一、暴力破解1、概述 “暴力破解”是一攻击具手段，在web攻击中，一般会使用这种手段对应用系统的认证信息进行获取。其过程就是使用大量的认证信息在认证接口进行尝试登录，直到得到正确的结果。为了提高效率，暴力破解一般会使用带有字典的工具来进行自动化操作。 理论上来说，大多数系统都是可以被暴力破解的，只要攻击者有足够强大的计算能力和时间，所以断定一个系统是否存在暴力破解漏洞，其条件也不是绝对的。我们说一个web应用系统存在暴力破解漏洞，一般是指该web应用系统没有采用或者采用了比较弱的认证安全策略，导致
2021-06-30 12:12:07
7246
原创 2、OpenVAS的安装
一、简介OpenVAS 是开源的网络漏洞扫描器，自从Nessus收费后分支出来的项目官网:[https://openvas.org/]web管理端接口自4.9之后支持中文二、安装1、下载百度网盘地址：链接：https://pan.baidu.com/s/1m1TxzfHRwutTuCG0VgdoAg提取码：24sd2、新建虚拟机推荐配置系统：Linux版本：其他/Linux 64位内存：4G硬盘：16GCPUS：23、虚拟机配置安装选择第一个，点击回车
2021-03-28 21:17:27
872
原创 1、渗透测试方法论
一、概论渗透测试(penetration testing, pentest)是实施安全评估(即审计)的具体手段方法论是在制定、实施信息安全审计方案时,需要遵循的规则、惯例和过程。人们在评估网络、应用、系统或三者组合的安全状况时，不断摸索各种务实的理念和成熟的做法,并总结了一套理论—渗透测试方法论。二、渗透测试种类1、黑盒测试在进行黑盒测试时，安全审计员在不清楚被测单位的内部技术构造的情况下，从外部评估网络基础设施的安全性。在渗透测试的各个阶段，黑盒测试借助真实世界的黑客技术,暴露出目标的安全问题,甚
2021-03-28 21:14:05
359
原创 19、交换机基本命令
1、交换机五大基本工作模式及命令第一次配置网络设备需要使用console线在pc需要使用“超级终端”或其他软件（1）用户模式：switch> 可以查看交换机的基本简单信息，且不能做任何修改配置。（2）特权模式：switch> enable ==> switch# 缩写：en 可以查看所有配置，且不能修改配置，但可以做测试、保存、初始化等操作。（3）全局配置模式：switch#configure terminal ==> switch（config）# 缩写：
2021-01-23 11:44:01
1651
原创 18、数据链路层
1、属于2层2、传输单元：帧3、帧结构： 帧头：6+6+2=14个字节 MTU值：1500字节（国内） 帧尾：FCS 4字节，用于数据校验，为去前面所有数据的hash值（md5） 帧头内容：目标MAC，源MAC，类型 类型的作用：识别上层协议 0x0800：上层为IP协议 0x0806：上层为ARP协议4、帧格式：802.3（有线网卡包装的格式），802.11（无线网卡包装的格式）5、工作在数据链路层的设备：交换机、网卡6、交换机工作原理：通过学习源MAC地址和接口生
2021-01-23 11:43:19
128
原创 17、OSI与TCP-IP5层协议
一、OSI七层模型二、TCP/IP五层协议簇（同层使用相同协议，下层为上层服务）1、应用层（数据/PDU）： 协议：HTTP（80）、HTTPS（443）、SSH（22）、DNS（53）、telnet（23）、FTP（21/22）、DHCP（67/68）、SMTP（25）、pop3（110）、RDP（3389）、SMP（445）、MySQL（3306） 设备：pc、防火墙2、传输层（数据段/段/Fragment） 协议：TCP（建立连接进行传输，速度较慢，安全）、UDP（只管发送，不
2021-01-23 11:42:21
247
原创 16、扫描与爆破
1、基础知识常见端口号：端口号服务端口号服务21FTP443https22SSH1433SQL Service23Telnet1521Oracle25SMTP3306MySQL80HTTP3389RDP2、Nmap-扫描器之王重要参数操作描述-sPping扫描-p指定端口范围-sV服务版本探测-O（大写）启用操作系统探测-A全面扫描-oN保存txtN
2021-01-23 11:41:50
163
原创 15、渗透测试基本流程
0、授权1、信息收集 nslookup whois2、扫描漏洞 name=ip 范围 端口 80 （IIS，Apache发布网站） 高级扫描：如IIS漏洞2003-IIS6.0 2008-IIS7.0 扫描网站漏洞（）3、漏洞利用4、提权（shell环境、桌面环境，最高权限）5、擦除，毁尸灭迹6、留后门（木马）7、渗透测试报告手工测试端口号开放telnet IP地址 测试端口号445漏洞利用之IPC$net use f: \\10.1.1.2
2021-01-23 11:41:20
237
原创 14、PKI
1、PKI概述名称：PKI（Public Key Infrastructure）公钥基础设施作用：通过加密技术和数字签名保证信息安全组成：公钥加密技术、数字证书、CA、RA2、信息安全三要素机密性完整性身份验证/操作的不可否认性3、哪些IT领域用到PKI1）SSL/HTTPS2）IPsecVPN3）部分远程访问VPN4、公钥加密技术作用：实现对数据信息的加密、数字签名等安全保障加密算法：1）对称加密算法：加解密的密钥一致 DES 3DES AESx+
2021-01-23 11:40:31
194
2
原创 13、域
1、概述域（Domain）是计算机网络的一种形式，其中所有用户账户，计算机，打印机和其他安全主体都在位于称为域控制器的一个或多个中央计算机集群上的中央数据库中注册。2、内网环境 1）工作组：默认模式，人人平等 2）域：人人不平等，集中管理，统一管理3、域的特点集中/统一管理4、域的组成1）域控制器 DC （Domain Controller）2）成员机5、域的部署1）安装域控制器–就生成了2）安装了活动目录–就生成了3）活动目录：Active Director6、活动目录1
2021-01-23 11:40:00
778
原创 12、IIS
一、web服务器1、web服务器web服务器也称为网页服务器或HTTP服务器2、协议web服务器使用的协议是HTTP或HTTPS3、端口号HTTP：TCP 80HTTPS：TCP 4434、web服务器发布的软件微软：IIS（可以发布web网站和FTP站点）Linux：Apache/LAMP/Tomcat/nginx …第三方：PHPstudy、XAMPP5、部署web服务器1）配置静态IP地址2）安装IIS-web插件3）停用默认站点4）新建网站–地址端口绑定–指定站点路径
2021-01-23 11:39:05
156
原创 10、DNS部署与安全
1、DNSDomain Name Service域名服务作用：为客户机提供解析服务器2、域名组成2.1、域名组成概述如"www.sina.com.cn"是一个域名，严格上讲，"sina.com.cn"才被称为域名（全球唯一），而"www"是主机名。"主机名.域名"称为完全限定域名（FQDN）。一个 域名下可以有多个主机，域名全球唯一，那么"主机名.域名"肯定也是全球唯一的。以"sina.com.cn"域名为例，一般管理员在命名其主机的时候会根据其主机的功能而命名，比如网站的是www，博客的是
2021-01-23 11:38:30
278
原创 12、IIS
一、web服务器1、web服务器web服务器也称为网页服务器或HTTP服务器2、协议web服务器使用的协议是HTTP或HTTPS3、端口号HTTP：TCP 80HTTPS：TCP 4434、web服务器发布的软件微软：IIS（可以发布web网站和FTP站点）Linux：Apache/LAMP/Tomcat/nginx …第三方：PHPstudy、XAMPP5、部署web服务器1）配置静态IP地址2）安装IIS-web插件3）停用默认站点4）新建网站–地址端口绑定–指定站点路径
2021-01-23 11:37:41
294
原创 11、DHCP部署与安全
1、DHCP作用（Dynamic Host Configure Protocol）自动分配IP地址2、DHCP相关概念地址池/作用域：（IP 子网掩码 网关 DNS 租期），DHCP协议端口号是UDP 67/683、DHCP优点减少工作量，避免IP冲突，提高地址利用率4、DHCP原理也称为DHCP租约过程，分为4个步骤：1）客户机发送DHCP Discovery广播包 客户机广播请求IP地址（包含客户机的MAC地址）2）服务器响应DHCP Offer广播包 服务器提供的IP
2020-10-28 09:07:02
196
原创 9、文件共享服务器
一、共享服务器概述协议：cifs协议，微软开发通过网络提供文件共享服务，提供文件的下载和上传服务（类似与FTP服务器）。二、创建共享方法：文件夹右键属性–共享–开启共享–设置共享名–设置共享权限注：1）在本地登录时，只受NTFS权限的影响；2）在远程登录时，将受共享及NTFS权限的共同影响，且取交集；3）所以建议设置共享权限为everyone完全控制，然后具体权限需求在NTFS权限内设置即可。三、访问共享在开始运行/或我的电脑地址栏中，输入UNC地址：\ \文件共享服务器IP
2020-10-23 11:37:02
214
原创 8、NTFS安全权限
一、NTFS权限概述1、通过设置NTFS权限，实现不同的用户访问不同对象的权限2、分配了正确的访问权限后，用户才能访问其资源3、设置权限防止资源被篡改、删除二、文件系统的概述文件系统即在外部存储设备上组织文件的方法常用的文件系统FAT windowsNTFS windowsEXT linux常见三、NTFS文件系统的特点1、提高磁盘的可读性2、可靠性 加密文件系统 访问控制列表（ACL）（设置权限）3、磁盘利用率 压缩
2020-10-23 11:36:18
364
原创 7、破解windows系统密码
一、利用5次shift漏洞破解win7密码1.1、漏洞1、在未登录系统时，连续按5次shift键，弹出程序c:\windows\system32\sethc.exe2、部分win7及win10系统未进入系统时，可以通过系统修复漏洞篡改系统文件名！注：如win10或win7系统漏洞已修复，则无法利用1.2、破解过程相关知识1、cmd工具路径 c:\windows\system32\cmd2、用户/账户密码存储位置 c:\windows\system32\config\SAM
2020-10-23 11:35:27
380
原创 6、服务器远程管理
一、远程管理类型windows远程管理有两种类型：1、远程桌面（图形）2、telnet（命令行）二、远程桌面拓扑图步骤：1、首先将配置网络，并实现客户机与服务器可以互通2、服务器开启允许被远程控制：桌面右键属性–远程设置–选择允许–确定。3、客户机上：开始–运行–输入mstsc打开远程连接工具。4.在mstsc工具上输入服务器的IP并点击确定。5、输入服务器的账号及密码。注意：如果是非管理员帐户登录远程，需要在服务器上将用户加入到远程桌面内置组Remote Desktop Use
2020-10-21 21:01:48
138
原创 5、用户与组管理
一、服务器系统版本介绍windows服务器系统：win2000，win2003, win2008. win2012linux服务器系统：Redhat（收费，收的是服务费，出了问题后的维修费）, Centos（免费）二、用户管理2.1、用户概述用户登录系统后，拥有不同的操作权限每个用户有自己唯一的SID（安全标识符）用户SID：S-1-5-21-426206823-2579496042-14852678-500系统SID：s-1-5-21-426206823-2579496042-
2020-10-21 21:01:12
217
原创 4、批处理编写
1.1、批处理作用自上而下成批的处理每一个条命令，直到执行最后一条！1.2、如何创建批处理拓展名：.bat创建方法：新建一个记事本，然后拓展名改为.bat后缀修改拓展名时，需要将文件的拓展名显示出来后再进行修改案例：1.3、批处理基本命令1.3.1、@echo off作用：关闭回显功能，也就是屏蔽过程，建议放置在批处理的首行1.3.2、pause作用：暂停批处理运行案例：@echo offpause1.3.3、title作用：为批处理脚本设置标题案例：@echo
2020-10-19 20:07:24
303
原创 3、基本DOS命令
当我们进入DOS系统时会看到这一行 C:\windowssystem32> 表示路径（表明你在PC中的位置）解释如下[C:] : (盘符)所在磁盘[ \ ] : 根目录（文件夹）windows：文件夹名称[ \ ] :分隔符system32：文件夹名称[ > ] :结束符号1.1、查看dir #查看当前目录下的说有文件1.2、文件夹切换cd … #返回上一级cd 文件夹 #进入该文件夹1.3、切换磁
2020-10-19 20:06:10
126
原创 1、IP地址详解
一、简单局域网的构成局域网：一般称为内网简单局域网的构成：交换机、网线、pc（其它）交换机：用来组建内网的局域网设备二、IP地址IP地址就是一个唯一的标识，是一段网络编码（二进制），由32位组成。IP地址的形式：x.x.x.x x的范围：255三、子网掩码局域网通信规则：在同一个局域网中，所有IP必须在同一网段中才可以互相通信。IP地址的构成：网络位+主机位（网络位相同的IP地址为同一网段）子网掩码：用来确定IP地址的网络位子网掩码如何确定网络位：与255对应的
2020-10-19 20:03:42
1188
原创 01-SpringIoC&DI
1. spring概述1.1 Spring是什么（理解）Spring是分层的 Java SE/EE应用 full-stack 轻量级开源框架，以 IoC（Inverse Of Control：反转控制）和 AOP（Aspect Oriented Programming：面向切面编程）为内核。提供了展现层 SpringMVC和持久层 Spring JDBCTemplate以及业务层事务管理等众多的企业级应用技术，还能整合开源世界众多著名的第三方框架和类库，逐渐成为使用最多的Java EE 企业应用开源框
2020-09-28 20:39:47
110
原创 02-SpringIoC和DI注解开发
1.Spring配置数据源1.1 数据源（连接池）的作用数据源(连接池)是提高程序性能如出现的事先实例化数据源，初始化部分连接资源使用连接资源时从数据源中获取使用完毕后将连接资源归还给数据源常见的数据源(连接池)：DBCP、C3P0、BoneCP、Druid等开发步骤①导入数据源的坐标和数据库驱动坐标②创建数据源对象③设置数据源的基本连接数据④使用数据源获取连接资源和归还连接资源1.2 数据源的手动创建①导入c3p0和druid的坐标<!-- C3P0连接池 -->
2020-09-28 20:39:35
89
原创 03-springAOP
1.Spring 的 AOP 简介1.1 什么是 AOPAOP 为 Aspect Oriented Programming 的缩写，意思为面向切面编程，是通过预编译方式和运行期动态代理实现程序功能的统一维护的一种技术。AOP 是 OOP 的延续，是软件开发中的一个热点，也是Spring框架中的一个重要内容，是函数式编程的一种衍生范型。利用AOP可以对业务逻辑的各个部分进行隔离，从而使得业务逻辑各部分之间的耦合度降低，提高程序的可重用性，同时提高了开发的效率。1.2 AOP 的作用及其优势作用：在程
2020-09-28 20:39:21
92
原创 04-Spring JdbcTemplate&声明式事务
JdbcTemplate基本使用01-JdbcTemplate基本使用-概述(了解)JdbcTemplate是spring框架中提供的一个对象，是对原始繁琐的Jdbc API对象的简单封装。spring框架为我们提供了很多的操作模板类。例如：操作关系型数据的JdbcTemplate和HibernateTemplate，操作nosql数据库的RedisTemplate，操作消息队列的JmsTemplate等等。02-JdbcTemplate基本使用-开发步骤(理解)①导入spring-jdbc和spr
2020-09-28 20:39:08
102
原创 Spring与Web环境集成-day01
1. Spring与Web环境集成1.1 ApplicationContext应用上下文获取方式应用上下文对象是通过new ClasspathXmlApplicationContext(spring配置文件) 方式获取的，但是每次从容器中获得Bean时都要编写new ClasspathXmlApplicationContext(spring配置文件) ，这样的弊端是配置文件加载多次，应用上下文对象创建多次。在Web项目中，可以使用ServletContextListener监听Web应用的启动，我们可
2020-09-28 20:38:52
219
原创 springmvc_day02
SpringMVC的请求和响应SpringMVC的数据响应01-SpringMVC的数据响应-数据响应方式(理解)页面跳转直接返回字符串通过ModelAndView对象返回2） 回写数据直接返回字符串返回对象或集合02-SpringMVC的数据响应-页面跳转-返回字符串形式（应用）03-SpringMVC的数据响应-页面跳转-返回ModelAndView形式1(应用)在Controller中方法返回ModelAndView对象，并且设置视图名称@RequestMapping(v
2020-09-28 20:38:24
217
原创 springmvc_day03
SpringMVC的文件上传1-SpringMVC的请求-文件上传-客户端表单实现(应用)文件上传客户端表单需要满足：表单项type=“file”表单的提交方式是post表单的enctype属性是多部分表单形式，及enctype=“multipart/form-data”<form action="${pageContext.request.contextPath}/user/quick22" method="post" enctype="multipart/form-data">
2020-09-28 20:37:40
116
原创 SpringMVC配置全局乱码过滤器
POST请求中文乱码问题，配置全局乱码过滤器以post方式提交表单时出现中文乱码，如图解决办法：在web.xml文件中配置过滤器进行编码过滤<!--配置全局过滤的filter--><filter> <filter-name>CharacterEncodingFilter</filter-name> <filter-class>org.springframework.web.filter.CharacterEncodingF
2020-09-23 20:52:52
331
原创 SpringMVC静态资源访问的开启
SpringMVC请求静态资源访问的开启当存在静态资源无法访问时，如图此时在控制台看见如下报错，有解决办法两种1、直接寻找对应的文件夹在 .xml 文件中配置如下即可<mvc:resources mapping="/js/**" location="/js/"/><mvc:resources mapping="/img/**" location="/img/"/>mapping:映射地址location:指定的目录2、原始容器（tomcat）帮你寻找静态资源
2020-09-23 20:38:16
388
原创 Bean的依赖注入
Bean的依赖注入1、概念依赖注入（Dependency Injection）：它是 Spring 框架核心 IOC 的具体实现。在编写程序时，通过控制反转，把对象的创建交给了 Spring，但是代码中不可能出现没有依赖的情况。IOC 解耦只是降低他们的依赖关系，但不会消除。例如：业务层仍会调用持久层的方法。那这种业务层和持久层的依赖关系，在使用 Spring 之后，就让 Spring 来维护了。简单的说，就是坐等框架把持久层对象传入业务层，而不用我们自己去获取2、注入方式1）构造方法
2020-09-21 21:18:04
413
原创 Spring Bean实例化三种方式
1、使用无参构造方法实例化（重点使用的一种，下面两种使用较少） 它会根据默认无参构造方法来创建类对象，如果bean中没有默认无参构造函数，将会创建失败<bean id="userDao" class="com.itheima.dao.impl.UserDaoImpl"/> id：Bean实例在Spring容器中的唯一标识 class：Bean的全限定名称（ 绑定的java类(bean)的全路径(包名+类名) ）2、工厂静态方法实例化public class StaticFa
2020-09-21 21:17:22
246
原创 Spring快速开发入门
Spring快速入门1、Spring程序开发步骤①导入 Spring 开发的基本包坐标<properties> <spring.version>5.0.5.RELEASE</spring.version></properties><!--导入spring的context坐标，context依赖core、beans、expression--><dependencies> <dependency>
2020-09-21 21:16:49
122
原创 Spring简介
Spring概述-Spring体系结构详解1、 Spring是什么Spring是分层的JavaSE/EE应用full-stack轻量级开源框架，以IOC（INverse Of Control：反转控制）和AOP（Aspect Oriented Programming：面向切面编程）为内核。提供了展现层SpringMVC和持久层SpringJDBCTemplate以及业务层失误管理等众多的企业级应用技术，还能整合开源世界众多的第三方框架和类库，逐渐成为了使用最多的JavaEE企业级应用开源框架2 、S
2020-09-21 21:12:17
104
原创 springBoot快速入门
一、Spring Boot 入门1.SpringBoot 简介简化Spring应用开发的框架；整个Spring技术栈的一个大整合J2EE开发的一站式解决方案2、微服务2014，Martin flowler 提出微服务：架构风格一个应用应该是一组小型服务，可以通过HTTP的方式进行互通；单体应用：ALL int one...
2020-09-16 22:12:02
66
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人