- 博客(33)
- 收藏
- 关注
RSS订阅原创 Spring Boot 未授权访问漏洞排查与修复指南
本文详细介绍了SpringBoot未授权访问漏洞的原理、风险场景及完整解决方案。漏洞主要表现为Actuator端点暴露、业务接口权限缺失和API文档泄露三大风险。排查方法包括本地测试、公网扫描和配置文件检查。修复方案涵盖关闭Actuator端点、启用SpringSecurity认证、限制API文档访问等通用措施，以及Jar包部署的专项加固步骤。此外，还提供了Nginx反向代理+IP白名单的高级防护建议。文章强调修复后需进行功能验证和定期更新，帮助开发者快速消除安全隐患，构建多层安全防护体系。
2026-04-28 12:56:01
413
原创 Linux rsync 操作详解：从入门到实战，小白也能轻松上手
rsync [选项] 源路径 目标路径，牢记源路径末尾“/”的差异；常用选项：-av（本地同步）、-avzP（远程同步）、–delete（完全同步）、-n（模拟同步）；远程同步：SSH协议（适合少量客户端）、rsync守护进程（适合多客户端）；定时同步：结合crontab+脚本，实现无人值守备份；避坑重点：权限问题、–delete慎用、二进制文件添加 -a 参数。rsync的功能远不止这些，还有更高级的用法（如过滤规则、批量同步），但对于新手和大部分运维场景，本文内容已经足够覆盖。
2026-04-27 10:28:46
174
原创 文件 GB2312 编码，浏览器默认乱码，手动切换 UTF-8 正常 根因分析 + 解决方案
若编码 meta 标签不在 head 最开头，浏览器先解析 title 及页面中文，使用默认编码完成渲染，后续 meta 声明失效，乱码无法挽回。，并非文件磁盘真实字节编码。很多编辑器默认保存为 UTF-8，表面标 GB2312，实际字节是 UTF-8，造成。后续会持续分享建站源码、服务器运维、浏览器编码避坑、各类技术实操干货，不走弯路、只讲落地实用教程，不错过更新～让服务器直接下发编码，杜绝浏览器自动误判。，现代浏览器默认倾向 UTF-8 解码。当前场景服务器未下发编码，降级到浏览器。
2026-04-26 11:38:01
194
原创 Linux下fsck /dev/vda1报错：已挂载分区无法检查（完整解决指南）
fsck /dev/vda1报错的核心原因是“分区已挂载”，解决的关键是“让分区处于未挂载或只读挂载状态”。根分区需进入单用户模式操作，数据分区可直接卸载后检查，修复后重启验证即可。本文实操步骤均经过实际测试，适用于大多数Linux系统，新手可直接复制命令执行。如果在操作过程中遇到其他报错，欢迎在评论区留言，我会及时回复解答。本文基于真实生产环境实战总结，更详细的排查过程与脚本说明。
2026-04-25 09:43:27
400
原创 DedeCMS 后台标签代码执行漏洞（CVE-2018-7700，RCE代码执行）修复教程
漏洞核心原因：tag_test_action.php 文件中，后台标签测试功能未对用户提交的标签参数（tags）进行任何过滤，直接将其代入eval()函数执行，而eval()函数可执行任意PHP代码，攻击者登录后台后，构造恶意标签参数，即可执行恶意代码，获取服务器控制权。该漏洞属于后台高危RCE（远程代码执行）漏洞，漏洞编号CVE-2018-7700，攻击者在登录后台后，可通过构造恶意标签请求，触发代码执行，直接获取网站服务器控制权，属于「最高危」后台漏洞，危害极大，登录后台即可Getshell。
2026-04-10 15:23:47
300
原创 DedeCMS plus/list.php 参数注入（SQL注入）修复教程
该漏洞属于前台SQL注入中危漏洞，存在于DedeCMS列表页模块，攻击者无需登录，可通过构造恶意列表页请求，触发SQL注入，获取网站数据库信息、篡改列表数据，影响网站正常展示，漏洞核心为tid、id参数未过滤导致注入风险。漏洞核心原因：list.php 文件中，对前台传入的tid、id参数未进行任何过滤和类型强转，直接将其代入SQL查询语句，攻击者可构造恶意参数，篡改查询逻辑，实现SQL注入，获取敏感数据或篡改列表数据。http://你的网站域名/plus/list.php?本文由 流觞运维 整理。
2026-04-10 15:21:39
351
原创 DedeCMS plus/comment.php 评论 XSS/注入（XSS、SQL注入）修复教程
该漏洞属于前台复合型漏洞，同时存在XSS（跨站脚本）和SQL注入风险，存在于DedeCMS评论模块，攻击者无需登录，可通过提交恶意评论内容，触发XSS攻击（劫持用户Cookie、植入恶意广告）或SQL注入（获取数据库信息、篡改评论数据），危害范围较广。备份 /plus/comment.php 文件，备份路径示例：/plus/comment.php.bak，避免修改错误导致评论功能异常，便于后续回滚操作。exit(‘非法请求，禁止提交空评论或无效参数’);// 新增：参数合法性校验。本文由 流觞运维 整理。
2026-04-10 15:20:30
265
原创 DedeCMS plus/digg.php 顶踩注入（SQL注入）修复教程
该漏洞属于前台SQL注入中危漏洞，存在于DedeCMS顶踩功能模块，攻击者无需登录，可通过构造恶意顶踩请求，触发SQL注入，获取网站数据库信息、篡改顶踩数据，影响网站数据真实性，漏洞核心为id参数未进行intval强转导致注入风险。漏洞核心原因：digg.php 文件中，对前台传入的id参数（用于指定顶踩的文章/内容ID）未进行intval强转，仅简单获取后直接代入SQL查询语句，攻击者可构造恶意参数，篡改查询逻辑，实现SQL注入，获取敏感数据或篡改顶踩记录。本文由 流觞运维 整理。
2026-04-10 15:19:39
223
原创 DedeCMS plus/recommend.php SQL注入漏洞修复教程
备份 /plus/recommend.php 文件，备份路径示例：/plus/recommend.php.bak，避免修改错误导致推荐位功能异常，便于后续回滚操作，建议使用FTP工具或服务器命令行进行备份，确保备份文件可正常恢复。该漏洞属于前台SQL注入中危漏洞，存在于DedeCMS推荐位模块，攻击者无需登录，可通过构造恶意推荐位访问请求，触发SQL注入，获取网站数据库信息、篡改推荐位内容，影响网站展示效果和数据安全。exit(‘非法请求，禁止访问’);// 新增：参数合法性校验。本文由 流觞运维 整理。
2026-04-08 08:46:42
294
原创 DedeCMS plus/vote.php SQL注入漏洞修复教程
该漏洞属于前台SQL注入中危漏洞，存在于DedeCMS投票模块，攻击者无需登录，可通过构造恶意投票请求，触发SQL注入，获取网站数据库信息、篡改投票结果，甚至越权访问敏感数据，影响网站正常运营。漏洞核心原因：vote.php 文件中，对前台传入的voteid参数（用于指定投票主题）未进行任何过滤和类型强转，直接将其代入SQL查询语句，攻击者可构造恶意参数，篡改查询逻辑，实现SQL注入。上述请求可通过注入获取管理员账号和密码，进一步登录后台控制网站，同时也可篡改投票结果，影响网站数据真实性。
2026-04-08 08:41:39
366
原创 DedeCMS plus/guestbook.php SQL注入漏洞修复教程
漏洞核心原因：guestbook.php 文件中，对前台提交的id参数（用于查看单条留言）未进行任何过滤和类型强转，直接将其代入SQL查询语句，攻击者可构造恶意参数，篡改查询逻辑，实现SQL注入。该漏洞属于前台SQL注入中危漏洞，存在于DedeCMS留言板模块，攻击者无需登录，可通过构造恶意留言或留言查看请求，触发SQL注入，获取网站数据库信息、伪造留言内容，甚至越权操作网站数据。id=1′ UNION SELECT 1,2,3,admin,pwd FROM #@__admin–本文由 流觞运维 整理。
2026-04-08 08:34:46
395
原创 DedeCMS plus/download.php SQL注入漏洞修复教程
漏洞核心原因：download.php 文件中，对获取的id参数未进行任何过滤、转义或类型强转，直接将其代入SQL查询语句，属于典型的SQL注入漏洞，攻击者可通过构造特殊参数，篡改SQL查询逻辑，获取敏感数据。先备份 /plus/download.php 文件，建议使用命令行或FTP工具备份，备份路径示例：/plus/download.php.bak，避免修改错误导致下载功能异常，备份后可随时回滚。http://你的网站域名/plus/download.php?本文由 流觞运维 整理。
2026-04-08 08:31:35
553
原创 DedeCMS Search.php 代码执行漏洞（CVE-2020-18917）修复教程
漏洞核心原因：search.php 文件中，对「搜索类型」参数（channelid）未进行过滤，直接将参数代入eval()函数执行，而eval()函数可执行任意PHP代码，攻击者通过构造恶意channelid参数，即可执行恶意代码。该漏洞为 DedeCMS 前台代码执行漏洞，攻击者可通过构造特殊的搜索参数，触发代码执行，直接获取网站服务器控制权，属于「高危」漏洞，无需登录即可利用，影响范围极广。上述请求会触发eval()函数执行phpinfo()，若漏洞存在，会显示服务器PHP信息；phpinfo();
2026-04-07 21:55:23
628
原创 DedeCMS 前台任意用户密码修改漏洞（CNVD-2018-0109）修复教程
漏洞核心原因：resetpassword.php 文件中，密码重置逻辑仅校验「用户ID」和「邮箱」，但未校验请求的合法性，且未加入随机token防止伪造请求，攻击者可通过构造用户ID和邮箱参数，直接提交密码重置请求。该漏洞属于「账号接管类高危漏洞」，攻击者无需知道用户账号密码，仅需构造恶意请求，即可绕过验证，直接修改任意用户（包括管理员）的密码，进而登录网站后台，控制整个网站。备份 /member/resetpassword.php 文件，避免修改错误导致密码重置功能异常。
2026-04-07 21:51:05
699
原创 Discuz 上传图片不显示、直接输出二进制乱码 终极解决方案（全原因排查+实操）
Discuz上传图片不显示、直接输出二进制乱码/编码内容，核心排查顺序为：BOM标签 → forum_image.php响应头 → PHP提前输出 → 服务器配置 → 后台设置/附件路径。其中，BOM标签是最常见、最易解决的根因，使用本文提供的全自动工具，一键即可清理；其余问题按本文步骤逐一排查，均可快速解决，无需专业开发经验。本文方案适配所有Discuz版本，亲测有效，若排查过程中遇到具体问题，可留言补充文件代码片段，进一步定位解决。
2026-04-05 10:52:48
393
原创 DedeCMS CVE-2018-20129 漏洞分析与修复方案
该漏洞为 DedeCMS 最经典、危害最高的前台漏洞之一，无需登录即可利用，攻击者可通过构造恶意请求，上传 PHP 木马文件，直接获取网站服务器控制权，属于「最高危」漏洞。select_images_post.php 文件中，对上传文件的后缀校验逻辑存在缺陷，仅简单判断文件后缀是否在允许列表中，但未过滤「伪装后缀」（如。.php、.php.jpg、.jsp 等恶意后缀文件，若提示「不允许上传该类型文件」，则修复成功；上传正常图片文件，可正常保存，说明功能未受影响。本文由 流觞运维 原创。
2026-04-05 09:56:15
864
原创 Linux下SQLite数据库空间管理 查看表占用空间+清理优化
SQLite数据库以文件形式存储，使用过程中会出现两个常见空间问题：一是随着数据累积，数据库文件越来越大，占用过多磁盘空间；二是删除数据后，数据库文件大小不会自动缩小，形成“空洞”，浪费存储空间。此外，当数据库文件过大时，查询、写入性能会下降，甚至增加损坏风险。本文将教你在Linux下，无需安装额外工具，直接通过SQLite命令行，查看哪些表占用空间最大、如何安全清理空间、优化数据库性能，适用于所有SQLite版本，兼顾实用性和易用性。
2026-04-03 23:21:21
369
原创 SQLite数据库损坏修复指南——解决“database disk image is malformed”报错
SQLite是一款轻量级嵌入式数据库，广泛应用于Linux服务器、嵌入式设备、小型应用中，其核心优势是无需独立服务器，直接以文件形式存储数据。但正因为其文件式存储特性，在特定情况下容易出现数据库损坏，最常见的报错就是“Error: database disk image is malformed”（数据库磁盘映像格式错误）。结合实际案例，SQLite数据库损坏多由以下原因导致：磁盘空间满（如根分区爆满）、突然断电、应用程序异常退出、并发访问冲突、存储介质故障等。
2026-04-03 23:20:42
432
原创 Linux系统根分区爆满？快速定位+紧急释放空间指南
Linux根分区（/）是系统的核心，存储着操作系统内核、配置文件、日志文件、缓存数据等关键内容。当根分区使用率达到100%时，会引发一系列严重问题：系统无法写入日志、应用程序无法启动、数据库写入失败甚至文件损坏（如SQLite数据库损坏）、远程连接异常等，严重影响服务器正常运行。本文将教你快速定位根分区爆满的原因，通过安全、快速的方法释放空间，缓解紧急情况，同时提供长期维护建议，避免问题再次发生。
2026-04-02 13:44:48
391
原创 Linux LVM扩容全解析——从VG无空闲到根分区爆满的完美解决
在Linux服务器运维过程中，磁盘空间不足是高频问题，尤其是根分区（/）爆满，会直接导致系统无法正常写入日志、应用崩溃，甚至数据库损坏。很多用户在使用lvextend命令扩容时，会遇到“卷组（VG）无空闲空间”的报错，无法继续操作——这正是本文要解决的核心场景。结合实际运维案例，我们将从问题诊断、方案选择到步骤执行，手把手教你完成LVM扩容，重点规避系统盘操作风险，兼顾安全性和实用性。
2026-04-02 13:35:56
501
原创 2026 OpenClaw（小龙虾）部署教程
OpenClaw（小龙虾）是开源 AI 执行智能体，能让大模型直接操作电脑（执行命令、读写文件），对接 Ollama 本地模型可完全离线运行，被称为 “AI 数字员工”。“养龙虾” 三大核心风险点指令诱导风险：攻击者可通过恶意提示词，诱导 AI 越权执行高危操作（删除文件、外发数据）；配置缺陷风险：默认无认证、公网暴露、权限过宽，极易被远程接管；信息泄露与系统受控风险：AI 越权操作、插件投毒，可导致数据泄露、系统完全被控制。OpenClaw 功能强大但风险极高，全程必须在沙盒虚拟机中操作。
2026-03-31 17:58:40
1513
原创 【运维实战】CentOS 系统无法启动 GRUB 救援模式修复全流程
CentOS 8 出现「grub rescue + no such partition」，本质是 GRUB 引导损坏，Live U 盘 + chroot 修复 GRUB是最可靠的解决方案，命令简单、可直接照搬。
2026-03-27 12:49:18
233
原创 网站证书提示不安全？手机 / 浏览器访问报错？一文搞定 IIS/Nginx/Apache 安全配置
网站部署SSL证书后仍出现安全警告？常见问题包括浏览器提示不安全、iOS设备无法访问等，根本原因是服务器SSL/TLS配置过时。解决方案分三步：1）使用myssl.com检测问题；2）按服务器类型（IIS/Nginx/Apache）修改配置，禁用老旧协议和弱加密套件；3）验证配置结果。重点需启用TLS1.2+、移除弱加密算法、确保证书链完整。修复后myssl评级应达A/A-，ATS合规，各终端访问正常。建议每3个月复查配置，Windows服务器需安装必要补丁。
2026-03-26 15:36:41
325
原创 SQL Server 内存占满卡死问题排查与优化（32G 服务器实战）
摘要：SQL Server在32G内存服务器上分配24G后，即使无访问仍快速占满内存导致卡顿。根本原因是BufferPool机制会占满maxservermemory内存且不主动释放，加上系统预留不足。解决方案包括：1)合理配置max/minservermemory；2)启用"optimize for adhoc workloads"；3)保证系统预留8G以上内存。不同版本提供专用查询脚本定位内存占用，并给出8G-64G服务器的推荐配置方案。临时缓解可使用DBCC命令，但需注意其仅清理执行
2026-03-23 22:58:25
605
原创 Linux运维实战：解决XFS文件系统「重复UUID」导致挂载失败的终极指南
Linux运维中，XFS格式磁盘因克隆/恢复操作导致UUID重复时，系统会拒绝挂载并报错。本文提供三种解决方案：1）临时应急使用-o nouuid参数跳过检查；2）永久修复通过xfs_admin -U generate生成新UUID并更新fstab；3）超级块损坏时用xfs_repair -L强制修复（有数据丢失风险）。强调操作前备份数据、修改UUID后更新fstab的重要性，并区分临时与永久修复的不同应用场景。
2026-03-19 16:05:38
353
原创 西部数码虚拟主机支持thinkphp的/public/访问
西部数码的虚拟主机站点都是默认的wwwroot目录，虚拟主机的默认跟目录是无法修改的。但是thinkphp程序部分程序在开发的时候没有调整对应的程序入口，就需要网站访问默认指向到Public目录。为了使用网站可以正常访问，可以在网站根目录下添加相应的伪静态规则，将对应的访问直接调整到Public目录apache下伪静态规则： <IfModule mod_rewrite.c...
2018-10-16 17:54:34
3602
转载 Python基本数据类型之set
一、定义set是一个无序且不重复的元素集合。集合对象是一组无序排列的可哈希的值，集合成员可以做字典中的键。集合支持用in和not in操作符检查成员，由len()内建函数得到集合的基数(大小)， 用 for 循环迭代集合的成员。但是因为集合本身是无序的，不可以为集合创建索引或执行切片(slice)操作，也没有键(keys)可用来获取集合中元素的值。set和dict一样，只是没有valu...
2018-10-10 14:36:25
249
原创 python正则表达式
特殊字符 （原始字符串'booby123'） ^ 开头 '^b.*'----以b开头的任意字符 $ 结尾 '^b.*3$'----以b开头，3结尾的任意字符 * 任意长度（次数），≥0 ? 非贪婪模式，非贪婪模式尽可能少的匹配所搜索的字符串 '.*?(b.*?b).*'----从左至右第一个b和的二个b之间的内容（包含b） + 一次或多次 ...
2018-10-10 14:20:21
212
转载 laravel上传至服务器上出现Whoops, looks like something went wrong.
1.在本地能够很好运行的laravel，上传至服务器就出现了这个问题“Whoops, looks like something went wrong.”；2.第一步把config/app.php文件内'debug' => env('APP_DEBUG', false),改成'debug' => env('APP_DEBUG', true),3.现在显示出了很多信息我们注意到No ...
2018-10-06 10:54:17
6131
转载 Tcpdump 详细的用法
1、抓取回环网口的包：tcpdump -i lo2、防止包截断：tcpdump -s03、以数字显示主机及端口：tcpdump -n 第一种是关于类型的关键字，主要包括host，net，port, 例如 host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0 指明 202.0.0.0是一个网络地址，port 23 指明端口号是23。如...
2018-09-30 16:12:49
472
转载 Nmap命令备忘录
#在推特上看到,感觉做的相当不错就转一波。目标规格 开关 例 描述 nmap 192.168.1.1 扫描一个IP nmap 192.168.1.1 192.168.2.1 扫描特定的IP地址 nmap 19...
2018-09-05 15:26:06
277
原创 IPv6简介和结构以及IPv4到IPv6的过渡技术
IPv6是Internet Protocol Version 6的缩写，其中Internet Protocol译为“互联网协议”。IPv6是IETF（互联网工程任务组，Internet Engineering Task Force）设计的用于替代现行版本IP协议（IPv4）的下一代IP协议由于IPv4最大的问题在于网络地址资源有限，严重制约了互联网的应用和发展。IPv6的使用，不仅能解决网络地...
2018-08-30 09:13:53
9022
原创 python模拟登陆csdn，实测登陆正常
准备在csdn上发布文章，但是自己有个人博客网站，文章同时发布个人 网站和csdn操作发布两边操作太过麻烦，于是想到了模拟登陆，通过模拟登陆csdn网站后，再进行推送文章内容到csdn上。1、第一步是抓取到对应的登陆地址和相关传输的信息。csdn的登陆地址是https://passport.csdn.net/account/verify，可以在POST的信息中查看到对应的登陆信息...
2018-08-06 09:50:50
1095
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人