?1.网络IO模型(时间关系，以后会重新补上)1.1 同步1.2 异步1.3 阻塞1.4 非阻塞1.5 同步阻塞，同步非阻塞，异步阻塞，异步非阻塞?2.Nginx基本介绍Nginx是一个开源且高性能、可靠的Http Web服务、代理服务。（现在nginx被F5公司以6.7亿收购） 1.开源: 直接获取源代码 （c语言） 2.高性能: 支持海量并发 （峰值能达到2~3万） 3.高可靠: 服务稳定 （
最近刚用上appscan，报了不少漏洞，在这里进行一一解决，同时记录一下自己的参考资料，以备后人。 使用环境，phpstudy8.11、 Content-Security-Policy（禁止外链资源）、X-Content-Type-Options（固定安全值）、X-XSS-Protection（固定安全值）这三个文件头缺失。由于报js也是文件头缺失（adminlte），phpstudy的apach
转载
2024-05-04 11:42:34
349阅读
1 实战Nginx与PHP（FastCGI）的安装、配置与优化1.1 什么是 FastCGIFastCGI是一个可伸缩地、高速地在HTTP server和动态脚本语言间通信的接口。多数流行的HTTP server都支持FastCGI，包括Apache、Nginx和lighttpd等。同时，FastCGI也被许多脚本语言支持，其中就有PHP。FastCGI是从CGI发展改进而来的。传统CGI接口方式
转载
2024-04-11 11:55:33
31阅读
方式1
通过获取隐藏的input标签中的csrfmiddlewaretoken值，放置在data中发送。
$.ajax({
url: "/cookie_ajax/",
type: "POST",
data: {
"username": "chao",
"password": 123456,
"csrfmiddlewaretoken": $("[name = 'csrfmiddlewaretoken
转载
2023-08-13 09:45:51
92阅读
自己购买服务器搭建网站就涉及到一个服务器安全问题，虽然你自己不知道，但是每天服务器都在被一些机器人扫描。本文奶爸给大家分享几个Nginx的规则可以防止服务器被扫描。1、禁止默认通过IP访问服务器每台服务器都有一个IP地址，而一些机器人会直接通过访问ip地址的方法来探测你网站上的内容。我们可以在Nginx的配置信息里面添加下面的代码来实现禁止通过IP地址访问服务器。#别人如果通过ip或者未知域名访问
转载
2024-05-22 13:21:23
534阅读
Nginx (engine x) 是一款轻量级的Web 服务器 、反向代理服务器及电子邮件（IMAP/POP3）代理服务器。 反向代理（Reverse Proxy）方式是指以代理服务器来接受internet上的连接请求，然后将请求转发给内部网络上的服务器，并将从服务器上得到的结果返回给internet上请求连接的客户端，此时代理服务器对外
Nginx历史上曾出现过多次解析漏洞，比如80sec发现的解析漏洞，以及后缀名后直接添加%00截断导致代码执行的解析漏洞。但是在2013年底，nginx再次爆出漏洞(CVE-2013-4547)，此漏洞可导致目录跨越及代码执行，其影响版本为：nginx 0.8.41 – 1.5.6，范围较广。为了更深入的了解漏洞产生的原因，笔者根据官方补丁(http://nginx.org/download/pa
转载
2024-05-25 18:36:52
199阅读
#实战描述： CC攻击的原理就是攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来攻击页面的，每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，CC就是模拟多个用户（多少线程就是多少用户）不停地进行访问那些需要大量数据操作（就是需要大量CPU时间）的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的连接直
转载
2024-06-05 13:18:27
258阅读
一、问题的由来随着项目不断地演进，难免会涉及到微服务架构。当采用微服务架构之后，web项目自然免不了面临跨域的问题。最近学习了一下这方面的知识，做个小笔记方便以后回顾，希望各位大神多多指教。二、跨域究竟是个什么东东跨域问题的出现是由于浏览器出于安全而遵守一个叫做“同源策略”的约定，而限制访问不同源下的资源而导致的。具体哪些情况属于同源，可参考大神文章--“什么是同源策略”。既然是浏览器都遵循的一个
转载
2024-05-06 09:48:28
24阅读
Nginx配置valid_referer解决跨站请求伪造(CSRF) 文章目录Nginx配置valid_referer解决跨站请求伪造(CSRF)漏洞说明漏洞描述危害等级修复建议漏洞复现curl测试方法BurpSuite测试方法漏洞修复修复前扫描测试漏洞修复方案漏洞修复验证修复后扫描测试参考文章 漏洞说明漏洞描述跨站请求伪造（CSRF）。即使是格式正确有效且一致的请求也有可能在用户不知情的情况下发
转载
2024-05-24 14:35:53
88阅读
简介：在我们访问一个网页的时候，总会有若干个http请求发出，比如：阅读量、点赞数，这些一般都是通过ajax动态变更的，如果接口没做校验处理，那么很容易就会被人利用来在我们访问一个网页的时候，总会有若干个http请求发出，比如：阅读量、点赞数，这些一般都是通过ajax动态变更的，如果接口没做校验处理，那么很容易就会被人利用来攻击网站。以往不太会用nginx的时候，用Java写过一个限制IP访问的处
转载
2024-03-18 20:37:19
117阅读
Ubuntu/Debian安装Nginx和upstream-fair注意：首先可以通过/usr/local/nginx/sbin/nginx -V查看nginx的编译参数，确定是否已经安装该模块在ubuntu或debian上安装nginx，可以直接采用使用指令安装apt-get install nginx假定工作操作目录为用户根目录即～或者/home/uname（当前你是uname用户），如果你是
Nginx文件解析漏洞复现漏洞介绍：该漏洞与Nginx、php版本无关，属于用户配置不当造成的解析漏洞必要理解：cgi.fix_pathinfo该选项位于配置文件php.ini中，默认值为1，表示开启。当php遇到文件路径/test.png/x.php时，若/test.png/x.php不存在，则会去掉最后的/x.php，然后判断/test.png是否存在，若存在，则把/test.png当做文件/
转载
2024-04-28 09:54:59
86阅读
Nginx常见问题一、nginx多server优先级在开始处理一个http请求时，nginx会取出header头中的Host变量（域名），与nginx.conf中的每个server_name进行匹配，以此决定到底由哪一个server来处理这个请求，但nginx如何配置多个相同的server_name，会导致server_name出现优先级访问冲突。1.准备多个配置文件[root@web01 con
转载
2024-06-07 13:07:28
294阅读
3.环境部署 3.1.Nginx的安装、部署与配置 nginx下载目录 http://nginx.org/en/download.html 这我们使用的是nginx-1.5.10 [安装] 下载以后解压并安装（请记得看README
） ./c
CSRF（跨站请求伪造）介绍：CSRF，全称Cross-site request forgery，翻译过来就是跨站请求伪造，是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作（如转账、改密等）。low<?php
if( isset( $_G
转载
2024-07-22 19:44:41
98阅读
文章目录本章导读本章要点了解跨域以及产生原因跨域的常见解决方法方法一：add_header解决方案解释1. Access-Control-Allow-Origin2. Access-Control-Allow-Headers3. Access-Control-Allow-Methods4.给OPTIONS 添加 204的返回预检请求（preflight request）方法二：反向代理1.'^~
转载
2024-08-27 12:42:08
658阅读
问题：
当机器过多时，在每台机器的nginx上用nginx自带防刷模块，往往限制太松。
思路：
多台机器，通过nginx-lua模块，连接redis，以ip（记得nginx安装real-ip模块，取到x-forword-for字段对应的真实用户ip）来更新访问次数，并根据redis设置的阀值进行比较，决定是否限流，不考虑并发更新丢值情况，因为访问次数足够时，总能到达阀值。
优化：
转载
2024-03-22 13:03:34
110阅读
跨站点请求伪造攻击（CSRF）在Web应用程序中非常常见，如果允许，可能会造成重大危害。
如果您从未听说过CSRF，建议您查看有关它的OWASP页面 。
幸运的是，阻止CSRF攻击非常简单，我将向您展示它们的工作方式，以及如何在基于Java的Web应用程序中以尽可能不干扰的方式防御它们。
想象一下，您即将在银行的安全网页
转载
2024-02-05 21:17:25
13阅读
近期，因为需要研究 Spring Security 的安全机制，因为 Spring Security 说可以帮助避免 CSRF 攻击。因此特地考古了相关的内容。简单点解释就是 CSRF 盗用了你的 Cookies 中存的信息，伪造了你的请求。 有关 CSRF 介绍CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one cli
