![](https://img-blog.csdnimg.cn/20201014180756738.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
网络安全
文章平均质量分 91
五岁就很酷
开发人员
展开
-
XSS总结知识点+例题实操
XSS也是属于注入攻击的一类,他是通过构造一个JS代码,注入到网页中,由用户的浏览器来请求源码且运行达到攻击的效果;2、XSS的危害3、XSS产生的原因4、反射性XSS5、存储型XSS6、DOM的XSS8、XSS的防御及修复9、XSS很多时候就是一边测试性的输入一边查看html源码,可以通过查看源码查看系统对我构造的js注入做了什么防御;10、XSS的绕过2、DOM型XSS --向源html码中插入代码,破坏源DOM因为我们js中也有tel,cid等这些关键字/函数,那么当你在前端用这些关键字/函数的时候原创 2024-08-19 09:09:44 · 940 阅读 · 0 评论 -
MySQL编码问题+MySQL的预编译
MySQL编码问题+MySQL的预编译;他首先是对sql语句先进行一个预编译,此时的sql语句是没有参数值的,而在预编译的时候,参数值的位置就会用逗号占位;--3当客户端传给MySQLserver的数据直接是一个汉字时,且当此时MySQL的客户端编码是utf-8,服务端是latin1,那么此时MySQLserver不是丢弃该汉字,而是直接报错!--->当我们输入一个汉字的组成的其中一个字符时,那么传给后端,此时后端是能够识别的,因为后端是utf-8编码的字符集(注意,这里只是说后端是utf-8的字符集,原创 2024-08-11 23:03:27 · 665 阅读 · 0 评论 -
RCE奇技淫巧:1、参数值长度限制2、长度限制+不能有字母数字
RCE奇技淫巧:1、参数值长度限制2、长度限制+不能有字母数字;001、用多个参数来实现分段写当我们的url中id参数长度被被限制了,那么我们可以采用将需要执行的代码进行分开再合拢后端:eval($_get[id]) ,id长度被限制前端:?id=echo `$_get[1]`&1=whoami注意千万不能这样写:?id=`$_get[1]`&1=echo whoami原创 2024-08-11 22:55:15 · 534 阅读 · 0 评论 -
SQL注入 报错注入+附加拓展知识,一篇文章带你轻松入门
报错注入,updatexml(),floor(),extractvalue(),group_concat()/concat(),前端直接不会显示账号密码的打印;但是在接收前端的数据的那部分后端那里,会看前端传递过来的值是否正确,如果不正确,后端接收值那里就会当MySQL语句执行错误,直接打印MySQL的报错信息怎样解决第二关:通过这一个打印错误信息的漏洞,再让updatexml()方法去真正执行MySQL语句,肯定会出现报错情况,出现了就会打印报错信息;前面的第一关注入是在web页面会打印当前登录的账号。原创 2024-08-04 00:32:45 · 559 阅读 · 0 评论 -
SQL注入 报错注入、文件上传、布尔盲注、时间盲注
SQL注入 报错注入、文件上传、布尔盲注、时间盲注第9关,不管你有没有进入,就是不管你有没有登录成功,前端都会显示一样的界面 ---时间盲注第8关 ---布尔注入前端直接只会显示一个是否已经进入的界面;第7关 文件上传 ---面试官常问第10关 ---同第九关一个原理,只是闭合换成了')第11关 ---从此关开始,后续都是使用的post传参;此关和第一关类似,你怎么在url输入查询的就怎么在这里输入查询;post传参和get传参的逻辑没有区别,只是在注释的时候会有区别原创 2024-08-04 00:22:21 · 992 阅读 · 0 评论 -
IPSEC SA和IKE SA
首先来看IPSEC协议簇的两种工作模式--1、传输模式;隧道模式、IPSEC的两个安全协议--1、AH --鉴别头协议,属于网络层,因为IPSEC都是数据网络层的;---协议号:51(gre的协议号是47)--2、ESP ---封装安全载荷协议 ---协议号50,也属于网络层IKE,互联网交换协议;有两个版本:IKEV1,IKEV2;用于动态的建立IPSEC SA联盟1、IKE协议中包含三个协议:1】SKEME2】OAKLEY3】ISAKMP ---互联网安全联盟密钥管理协议---基于UDP500原创 2024-07-25 21:20:00 · 987 阅读 · 0 评论 -
防洪墙的安全内容检测+http请求头
--1、深度检测技术(DPI和DPF是所有内容检测都必须要用到的技术);DPI--深度包检测,针对完整的数据包,进行内容的识别和检测;---2、DFI ---深度流检测 ,---看名字都知道肯定是对数据流进行检测的技术;--2、IPS ---入侵防御--3、IDS---入侵检测,AV(反病毒)http请求头,http状态码原创 2024-07-17 20:44:53 · 1009 阅读 · 0 评论 -
防火墙的冗余基础知识+实验检测
1、注意防火墙冗余时的会话表必须保持一致,这里HRP技术已经做到2、vrrp是自动开启抢占的,且是根据优先级进行抢占的3、免费ARP的作用:告诉交换机的某个IP的mac地址变成了我的这个mac地址4、HRP --HRP进行双机热备是在网络已经完全欧克了,搭建好了才开始进行冗余热备的;黑名单和白名单是有老化时间的5、以前的路由器上必须是:虚拟网关和真实接口IP必须在同一个网段但是现在在防火墙是可以这样干的,虚拟网关绑定的真实IP可以不在一个网段6、用户有一个mac地址缓存表。安全策略只是抓取数据层面的流量原创 2024-07-16 23:34:28 · 910 阅读 · 0 评论 -
防护墙接口带宽管理+实验测试
防火墙的带宽管理核心思想1,带宽限制 --- 限制非关键业务流量占用带宽的比例2,带宽保证 --- 这里需要保证的是我们关键业务流量;再业务繁忙时,确保关键业务不受影响;3,连接数的限制 --- 这也是一种限制手段,可以针对一些业务限制他们的链接数量,首先可以降低该业务占用带宽,其次,可以节省设备的会话资源;三种核心手段1,接口带宽2,带宽策略原创 2024-07-16 22:58:10 · 925 阅读 · 0 评论 -
NAT地址转换+多出口智能选路,附加实验内容
本章主要讲:基于目标IP、双向地址的转换注意:基于目标NAT进行转换 ---基于目标IP进行地址转换一般是应用在服务器端口映射;NAT的基础知识服务器映射NAT和路由谁先谁后策略路由双向地址转换:源IP和目标IP都进行转换,端口是否需要转换看需求设置的nat策略多出口智能选路: ---全局选路策略;当边界设备上面有多个出口可以去公网,我们 进行择优选择DNS透明代理---修改目标dns,回来的时候又修改回来原创 2024-07-13 20:40:11 · 1146 阅读 · 2 评论 -
防火墙的用户认证管理基础,附加用户认证策略实验
不绑定---用户和IP都是动态的,没有固定的用户和固定的IP;单项绑定---IP是固定的,所有用户只能通过这一个IP对某个区域进行访问;双向绑定---用户和IP都是固定的,用户和IP进行了绑定;portal认证:网页认证;免认证:认证透明化,无需进行手动登录验证,IP/MAC和用户“双向绑定”匿名认证:当你的用户的IP地址固定的时候,可以采用匿名认证;ASPF的server map技术,开放隐形通道,同时也可生成会话表,提高转发效率;状态检测技术,对于满足回包要求的数据包,无需匹配安全策略,直接通过防火墙原创 2024-07-10 22:35:50 · 705 阅读 · 0 评论