（1）无论是客户端，还是服务器端，都需要对输入输出的内容做过滤，或用转码的方式，或者用其他方式，不过，转码方式按道理说更好，因为无论什么XSS攻击命令，到你这里一律变成编码，命令功能失效。输入部分，比如说你文本框、输入框、URL跳转等等。服务器输出也需要做过滤，因为很多服务器里数据的输入并不都经过了输入过滤，如一些拷贝、数据批量导入导出等等，这些未经过滤的输入，都有可能导致那些坏东西混入服务器数据
转载
2024-04-23 12:13:22
46阅读
Nginx 或者Tomcat 下的 X-Content-Type-Options、X-XSS-Protection、CONTENT-SECURITY-POL安全配置X-Frame-OptionsX-Frame-Options 响应头有三个可选的值： DENY：页面不能被嵌入到任何iframe或frame中； SAMEORIGIN：页面只能被本站页面嵌入到iframe或者frame中； ALLOW-
转载
2024-03-25 21:43:52
4712阅读
介绍web应用进行xss防范，常用到下面2类方法：容器（Nginx/Apache）安装WAF模块（ModSecurity）应用配置参数检查过滤器（ParameterValidationFilter）一般来说，在容器上增加WAF模块，通用性更强，但在特殊场景下还是会用到在应用内部添加拦截器来实现xss防范。两类实现核心的逻辑实现基本上都是OWASP组织提供了开源实现，本文主要介绍 Parameter
转载
2024-07-27 10:44:08
492阅读
XSS漏洞XSS介绍XSS全程跨站脚本，是将任意JavaScript代码插入到Web用户页面里执行以达到攻击目的的漏洞，攻击者利用浏览器动态展示数据功能，在HTML页面嵌入恶意代码。当用户去浏览该页面时，这些嵌入在HTML中的恶意JS代码就会被执行，用户浏览器被攻击者控制，从而达到攻击者的攻击目的，如：利用XSS平台窃取Cookie信息、Beef操作用户浏览器等。XSS产生原理形成XSS漏洞的主要
转载
2024-03-09 21:55:23
74阅读
0.序
首先通过阅读参考文章的内容，了解大概，我写出下文。并且我参考上述文章的写作方式，以生活中的事件来理解技术上的问题。
初学同步与异步、阻塞与非阻塞，难免有些理解错误，还希望各位指正。
这篇文章主要是在要学习Ngi
Nginx使用epoll运行事件驱动框架 Nginx请求切换： 传统请求切换的缺点：不做连接切换，以来OS的进程调度实现并发；每做一次切换，都要消耗一定时间（≈5ms），随着并发进程数量的增加，进程间的消耗是指数增加的；因此比较适用于少量进程的情景； &
转载
2024-04-06 10:53:03
27阅读
xss原理：xss叫跨站脚本攻击，是Web程序中常见的漏洞只用于客户端的攻击方式，其原理是攻击者向有XSS漏洞的网站中输入(传入)恶意的HTML代码，当其它用户浏览该网站时，这段HTML代码会自动执行，从而达到攻击的目的。如，盗取用户Cookie、破坏页面结构、重定向到其它网站等。所以做网站的时候要明白一个道理：用户的输入是不可信的，所有可输入的地方都要进行数据进行处理才能杜绝xss攻击；xss攻
转载
2024-03-18 20:16:02
161阅读
SSE简介SSE是Server-Sent Events的缩写。一般状况下，是咱们的浏览器向服务器发起请求后，服务器响应，而后关闭链接。为了可以保持通讯，以便在服务器有事件发生时主动通知浏览器，后来人们又发明了不少技术，包括websocket等。可是websocket对于代码改动较大，因此又出现了SSE，它的特色是基本不用改写原有的逻辑，只是增长一些小的改动就能实现服务器与客户端之间的长链接，达到服
检测到目标URL存在http host头攻击漏洞修复如下：# 新增的默认 Catch-All 服务块
server {
listen 8081 ssl default_server;
server_name _;
# 添加您现有证书和密钥
ssl_certificate /path/to/your_ssl_certificate;
ssl_cer
前言
看了几天Nginx的访问第三方服务，大概的内容知道了，包括使用upstream以及subrequest，实质就是Nginx作为反向代理服务器。按照书中方法把代码实现了一遍，但是不知道根本，不知道怎么运行结果，原因就是对代码不熟，暂时决定放弃这一章的梳理与总结，直接跳到简单过滤模块的开发这一章学习，之后再返回来看。
HTTP过滤模块为什么要使用过滤模块
HTTP过滤模块
转载
2024-03-26 10:42:39
84阅读
1.Nginx中的通讯方式的分类共享内存是Nginx跨worker通信的最有效手段,只要我们需要让一段业务逻辑在多个worker进程中
同时生效,比如在许多集群的流控上,必须使用共享内存,而不能在每一个worker进程中使用.
Nginx中的通讯方式的分类：
1.基础同步工具
(1)信号;
(2)共享内存.
2.高级通讯方式
(1)锁
(2)Slab内存管理器;2.锁与Slab内存管理器为了使
转载
2024-08-05 18:13:51
47阅读
针对IPv4的内核7个参数的配置优化（linux内核参数配置）1.net.core.netdev_max_backlog当每个网络接口接收数据包的速度比内核处理这些包的快，允许发送到队列的数据包的最大数（一般默认128）2.net.core.somaxconn用于调节系统同时发起的tcp连接数（一般默认128），如果该值太小，在并发的时候会造成链接超时或者重传问题3.net.ipv4.tcp_ma
转载
2024-10-05 11:47:32
53阅读
一、扫描结果二、解决方案1.Content-Security-Policy头缺失或不安全 1.1作用简称CSP，意为内容安全策略，通过设置约束指定可信的内容来源，降低异源文件攻击，例如：js/css/image等
个人不建议配置，一是安全威胁较低，而是需要熟悉每一个站点资源引用情况，并且后续资源引用发生变化会导致错误1.2 相关设置值指令名demo说明default-src's
转载
2024-02-27 13:19:56
733阅读
其实就是过滤从表单提交来的数据，使用php过滤函数就可以达到很好的目的。现在有很多php开发框架都提供关于防XSS攻击的过滤方法，下面和大家分享一个预防XSS攻击和ajax跨域攻击的函数，主要去除了script等标签，下面直接上代码,不断的增加完善改进中。//去除xxs的攻击的公共方法
public function clean_xss($string){
$string = trim($stri
转载
2024-05-15 12:37:26
103阅读
自己购买服务器搭建网站就涉及到一个服务器安全问题，虽然你自己不知道，但是每天服务器都在被一些机器人扫描。本文奶爸给大家分享几个Nginx的规则可以防止服务器被扫描。1、禁止默认通过IP访问服务器每台服务器都有一个IP地址，而一些机器人会直接通过访问ip地址的方法来探测你网站上的内容。我们可以在Nginx的配置信息里面添加下面的代码来实现禁止通过IP地址访问服务器。#别人如果通过ip或者未知域名访问
转载
2024-05-22 13:21:23
534阅读
文章目录前言前言一、什么是跨域？前言二、跨域产生的条件？跨域处理常用的两种办法一、springboot如何处理跨域问题？1.1 controller中单独配置1.2 在@configation类中全局配置1.3在过滤器中添加响应头二、nginx如何处理跨域问题？2.1 给Nginx服务器配置响应的header参数2.2、各参数详细解读Nginx配置域名跨域多个域名2.3、 nginx处理跨域过程
转载
2024-04-06 13:47:58
255阅读
http {
server_tokens off;
}经常会有针对某个版本的nginx安全漏洞出现，隐藏nginx版本号就成了主要的安全优化手段之一，当然最重要的是及时升级修复漏洞。开启HTTPSserver {
listen 443;
server_name ops-coffee.cn;
ssl on;
ssl_certificate /etc/nginx/server.crt;
转载
2024-06-11 23:03:36
497阅读
# NGINX jQuery 存在 XSS 漏洞
在开发 Web 应用程序时，我们经常使用 NGINX 作为服务器，同时使用 jQuery 进行前端开发。然而，有时候我们可能会遇到 XSS（跨站脚本攻击）漏洞，这可能会导致恶意用户在网站上注入恶意脚本，危害用户数据安全。在本文中，我们将探讨 NGINX 和 jQuery 中的 XSS 漏洞，并提供一些防范措施。
## XSS 攻击是什么？
X
原创
2024-06-09 04:14:02
166阅读
题记：去年80sec爆出了一个“nginx的文件名解析漏洞”，当时虽觉得很重要，但并未深入了解（当时还是太浮）。今天验证Dicuz！1.5和nginx二次文件名解析漏洞时候才有机会详细了解。正文：一、验证Dicuz！1.5和nginx二次文件名解析漏洞1）搭建环境因为自己对nginx不了解，因此首先是搭建nginx和php的测试环境。经过搜索，在网上找到了配置指南（转载到本博客了），依照其操作，成
下班的时候，发现博客访问缓慢，甚至出现504错误，通过 top -i 命令查看服务器负载发现负载数值飙升到3.2之多了，并且持续时间越来越频繁直至持续升高的趋势，还以为是被攻击了，对来访IP进行了阈值限制后效果并不是很明显，CDN服务里限制几个主要IP效果依然不是很明显，可以看出这是被恶意扫描攻击了应该。 通过服务器waf的日志记录分析得出基本都是SQL注入、XSS攻击范畴，这些攻击都绕过了CD
转载
2024-08-12 13:17:48
51阅读
