背景：当时项目没用什么框架，过滤器，请求限制等都需要自己手写。1、请求加时间戳 在后台过滤器中可以加判断，如果请求时间戳与服务器时间相差太大，可以返回异常，具体情况可以具体使用。 请求中加时间戳的示例如下： ①form表单提交，在表单内加隐藏域，通过js代码给id赋值。<input id="curdate" name="curdate" type="hidden" />
$("#
转载
2023-07-31 20:36:27
14阅读
前言阿里云安全公告：2019年7月31日，阿里云应急响应中心监测到有安全研究人员披露Jackson最新反序列化远程代码执行漏洞(CVE-2019-14361和CVE-2019-14439)。同事说怎么jackson这类的json序列化库经常报漏洞，而且基本都是高危漏洞，这些漏洞到底怎么来的，jackson的开发程序员就这么不靠谱么？改不完的BUG？这篇文章就让我们走进jackson的世界，感受它的
转载
2024-05-31 00:29:43
31阅读
web开发应用程序（网站），是目前应用最广泛的程序。但是开发者的水平参差不齐，导致了各种各样web漏洞的出现。本文站在分层架构的角度，分析一下如何在java web程序中找到可能出现的种种漏洞。
本文讨论的只是web程序上的漏洞，和其它漏洞，是相对独立的。这句话看似废话
转载
2024-08-12 13:51:26
20阅读
文章目录前言Weblogic漏洞复现Weblogic 文件读取Weblogic 任意文件上传(CVE-2018-2894)漏洞概述漏洞复现Weblogic 管理控制台未授权远程命令执行漏洞（CVE-2020-14882，CVE-2020-14883）漏洞概述漏洞复现Weblogic SSRF漏洞(CVE-2014-4210)漏洞描述漏洞复现Weblogic < 10.3.6 'wls-ws
转载
2024-04-15 10:24:50
74阅读
跨站脚本攻击漏洞描述：目标存在跨站脚本攻击。1.跨站脚本攻击就是指恶意攻击者向网页中插入一段恶意代码，当用户浏览该网页时，嵌入到网页中的恶意代码就会被执行。2.跨站脚本攻击漏洞，英文名称Cross Site Scripting，简称CSS又叫XSS。它指的是恶意攻击者向Web页面中插入一段恶意代码，当用户浏览该页面时，嵌入到Web页面中的恶意代码就会被执行，从而达到恶意攻击者的
转载
精选
2014-05-04 14:37:32
889阅读
0x01 漏洞基本信息漏洞名称：Tomcat AJP协议漏洞CVE编号：CVE-2020-1938漏洞简介：2020年2月4日，Apache Tomcat官方发布了新的版本，该版本修复了一个影响所有版本（7.*、8.*、9.*）的文件包含漏洞，但官方暂未发布安全公告，2020年2月20日，CNVD发布了漏洞公告，对应漏洞编号：CNVD-2020-10487。漏洞是Tomcat AJP协议存在缺陷而
转载
2024-05-20 14:38:17
53阅读
1.弱口令漏洞解决方案： 最好使用至少6位的数字、字母及特殊字符组合作为密码。数据库不要存储明文密码，应存储MD5加密后的密文，由于目前普通的MD5加密已经可以被破解，最好可以多重MD5加密。2.未使用用户名及密码登录后台可直接输入后台URL登录系统。解决方案： 通过配置filter来过滤掉无效用户的连接请求。3．JSP页面抛出的异常可能暴露程序信息。有经验的入侵者，可以从JSP程序的异常中获取很
转载
2023-10-05 10:56:34
9阅读
Java vs PHP
Java Web的常见概念
Java Web项目的目录结构
Servlet
JSP(Java Server Pages)
JDBC(Java Database Connectivity)
Java Bean
Java Web常见漏洞分析
命令执行（JSP一句话木马等）
SQL注入
条件竞争（Servlet线程不安全）
SSRF
文件上传
代码执行（Java反射机制）
任意
原创
2021-08-16 09:50:31
1179阅读
漏洞描述 SSRF（Server-Side Request Forgery，服务器端请求伪造）：通俗的来说就是我们可以伪造服务器端发起的请求，从而获取客户端所不能得到的数据。SSRF漏洞形成的原因主要是服务器端所提供的接口中包含了所要请求的内容的URL参数，并且未对客户端所传输过来的URL参数进行过 ...
转载
2021-09-15 09:23:00
2994阅读
2评论
在Kubernetes（K8S）中，web service 漏洞是指存在于服务部署中的安全漏洞，可能会导致恶意攻击者利用这些漏洞来获取敏感信息或者干扰服务正常运行。作为一名经验丰富的开发者，我们需要重视服务的安全性，并及时修复可能存在的漏洞。
实现 web service 漏洞的过程主要包括以下步骤：
| 步骤 | 描述 |
| --------
原创
2024-04-26 10:55:03
128阅读
漏洞介绍所谓SQL注入(SQLInjection),就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终
现在有许多消息令我们感到Web的危险性，因此，当前如何构建一个安全的Web环境成为网管员和安全管理员们义不容辞的责任。但是巧妇难为无米之炊，该选择哪些安全工具呢?扫描程序可以在帮助造我们造就安全的Web站点上助一臂之力，也就是说在黑客“黑”你之前，先测试一下自己系统中的漏洞。我们在此推荐，供您参考。
1. Nikto
这是一个开源的Web服务器扫描程序，它可以对Web服
转载
精选
2012-03-27 14:11:34
611阅读
目录：
1.sql注入获取数据库信息2.sql注入绕过管理后台登录3.反射型xss4.存储型xss5.csrf6.文件上传7.暴力破解8.目录遍历9.权限跨越10.文件包含11.未知漏洞
web漏洞演练平台：https://pentesterlab.com/web_for_pentester.html
web漏洞演练平台使用手册及答案详解：https://pentesterlab.com/web_
转载
2014-03-19 21:02:00
138阅读
2评论
本文是对Web中最常见漏洞的一个小结：注入类漏洞：SQL注入：SQL注入漏洞详解 XML注入：XXE(XML外部实体注入)
原创
2022-08-11 09:52:26
129阅读
SkipFish skipfish语法格式，其他参数使用skipfish -h查看文档 -C 指定Cookie 最终会在~/root下面生成指定的文件夹，访问其中的index.html即可
原创
2021-06-04 20:29:48
438阅读
背景几年前在CSDN的C币商城换购过一本《白帽子讲Web安全》，了解过Web网站在渗透测试过程中常见的安全问题。近来，自己开发的Java Web应用中存在一些安全漏洞，被迫要求关注这些安全隐患、并加固。那么本文就顺便整理一下Java Web开发过程中容易忽略的几个安全问题吧，这些问题都能搜到，并且加固方式也不复杂。初学者或者对安全要求不高的开发流程中，很可能被忽略。密码明文传输当年初学Java W
转载
2023-10-26 21:46:48
6阅读
【Web渗透测试】—Web漏洞漏洞利用情景CTF，SRC，红蓝对抗取漏洞重点内容CTF：文件上传、S
原创
2022-07-04 09:07:23
1077阅读
点赞
