webpy环境搭建在开始webpy搭建之前，有必要熟悉一下什么事fastcgi，因为搭建环境时都是使用这个模式去运行webpy程序的，具体的fastcgi描述可以参考各种百科；fastcgi协议官网（http://www.fastcgi.com/drupal/）上面描述一些基础信息，fastcgi的api、开发，fastcgi的实现程序，支持fastcgi的web服务器等等。 了解了fastcgi
语法规则配置文件由指令与指令块构成；每条指令以 ; 分号结尾，指令与参数间以空格符号分隔；指令块以 {} 大括号将多条指令组织在一起；include 语句允许组合多个配置文件以提升可维护性；使用 # 符号添加注释，提高可读性；使用 $ 符号使用变量；部分指令的参数支持正则表达式；典型配置# main段配置信息
user nginx test; # 设置WOR
转载
2024-09-28 09:19:40
44阅读
复现环境centos7dockernginx复现过
原创
2023-05-19 15:51:06
0阅读
CRLF是 回车 + 换行（\r\n）的简称。在HTTP协议中，HTTP Header 与 HTTP Body 是用两个CRLF分
转载
2022-09-21 16:56:33
151阅读
01 漏洞描述 在《 | 报文》一文中，我们介绍了报文的结构：状态行和首部中的每行以CRLF结束，首部与主体之间由一空行分隔。或者理解为首部最后一个字段有两个CRLF，首部和主体由两个CRLF分隔。 CRLF注入漏洞，是因为Web应用没有对用户输入做严格验证，导致攻击者可以输
转载
2021-01-23 10:29:00
297阅读
2评论
Title: [CVE-2019-9740] Python urllib CRLF injection vulnerability Category: security Stage: resolved Components: Library(Lib) Versions: Python 3.8, Py ...
转载
2021-08-16 16:00:00
370阅读
2评论
如何设置能限制某个IP某一时间段的访问次数，特别面对恶意的DDOS攻击的时候。其中CC攻击（Challenge Collapsar）是DDOS（分布式拒绝服务）的一种，也是一种常见的网站攻击方法，攻击者通过代理服务器或者肉鸡向受害主机不停地发大量数据包，造成对方服务器资源耗尽，一直到宕机崩溃。Nginx可以通过限制IP访问次数、添加IP黑名单、禁止代理访问等配置防御DDOS，CC等流量攻击。CC攻
转载
2024-03-12 18:14:05
335阅读
Python技能
CRLF注入原理在HTTP当中HTTP的Header和Body之间就是用两个crlf进行分隔的，如果能控制HTTP消息头中的字符，注入一些恶意的换行，这样就能注入一些会话cookie和html代码，所以CRLF injection 又叫做 HTTP response Splitting，简称HRS。CRLF漏洞可以造成Cookie会话固
转载
2023-07-01 11:29:02
0阅读
本人服务器前段时间受到了DDos和CC攻击(参考 本站近期发生的几起安全事件)，DDoS流量型攻击只能靠带宽来扛住，但CC攻击可以从服务器和应用层面防御和减轻影响。本文介绍受到攻击后，本人在服务器上采取的简易防CC攻击设置。Nginx防CC设置不同于DDoS靠流量蛮力攻击，CC攻击模拟正常用户与服务器交互。CC攻击一般需找到网站/应用的薄弱处，然后通过大量连接/请求消耗服务器资源，让CPU、带宽能
前言该漏洞与Nginx、php版本无关，属于用户配置不当造成的解析漏洞。环境搭建漏洞环境使用vulhub搭建，漏洞目录为 vulhub/nginx/nginx_parsing_vulnerability在漏洞目录中执行以下命令即可构建漏洞环境。docker-compose up -d原理分析首先来看不当配置：# php.ini
cgi.fix_pathinfo=1
# php-fpm.conf
s
转载
2024-03-06 12:15:23
68阅读
Nginx 解析漏洞一、搭建环境二、复现过程三、漏洞原理及防范一、搭建环境环境需求：ubuntu虚拟机，docker环境，vulhub-master环境 这里我使用的Linux系统为Ubuntu22.04版本，已经准备完毕（比如换源，安装docker等操作）1、通过FTP将vulhub-master.zip环境包上传并进行解压 这里我已将环境包上传至root主目录下，下面进行解压：unzip vu
集合的分类:list:ArrayList、LinkedList、Vector1.有序(可以使用下标进行访问)2.大小任意3.存储的类型任意set:HashSet1. 无序(没有下标)2.大小任意3.存储的类型任意4.取数据的时候取的顺序和存入的顺序可能不一致map：HashMap1. 无序(没有下标)2.大小任意3.采用的键值对的方式进行存储，键是不能重复，值是可以重复//Collections类
一、环境搭建运行成功后，Nginx将会监听8080/8081/8082三个端口，分别对应三种漏洞。二、漏洞复现1.CRLF注入漏洞Nginx会将$uri进行解码，导致传入%0a%0d即可引入换行符，造成CRLF注入漏洞。错误的配置文件示例（原本的
原创
2022-11-14 22:21:07
1564阅读
slab的一些结构体:typedef struct {
ngx_atomic_t lock; // 锁，因为slab在nginx中一般配合共享内存使用
size_t min_size; // 分配空间的最小值
size_t min_shift; // 该最小值对应的移位数
ngx
转载
2024-02-26 20:36:51
49阅读
一：前言“HTTP响应头拆分漏洞”是一种新型的web×××方案，它重新产生了很多安全漏洞包括：web缓存感染、用户信息涂改、窃取敏感用户页面、跨站脚本漏洞。这项×××方案，包括其衍生的一系列技术产生，是由于web应用程序没有对用户的提交进行严格过滤，导致非法用户可以提交一些恶意字符，更具体来说，是对用户输入的CR和LF字符没有进行严格的过滤。“HTTP响应头拆分漏洞”及其相关的×××手段可以在很多的we
原创
2018-09-03 11:58:26
3885阅读
· 日志对于Web应用的作用就像飞机的黑匣子，用于记录Web应用的运行状态，方便开发者快速定位错误并进行修复。· python中内置的 logging模块功能全面，web应用集成日志功能基本都是基于该模块。1. 基本使用· logging模块提供了默认日志，只需要通过basicConfig()函数就可以快速配置· logging模块提供了多个日志级别: 致命错误CRITICAL /错误ERROR
转载
2024-01-04 15:48:42
192阅读
文章目录 1. 安装 nginx 1.1 虚拟机安装docker2.1 docker下安装nginx 2. nginx配置文件 2.1 Nginx 配置文件和目录2.2 核心配置文件nginx.conf文件2.3 修改docker-compose文件 3. Nginx的正向代理和反向代理 3.1 正向代理和反向代理---知识点3.1 Nginx实现反向代理 --- 案例 4. 关于Nginx的l
转载
2024-03-14 14:45:53
85阅读
目录首先需要搭建环境nginx+php+mysql环境：搭建网站FILTER_VALIDATE_EMAIL 绕过方法1：冒号号分割host字段方法2：冒号号分割host字段方法3：SNI扩展绕过首先需要搭建环境nginx+php+mysql环境：php安装包：https://www.php.net/distributions/php-8.2.13.tar.gz也可以直接使用yum的方式安装：yum
转载
2024-08-27 12:37:48
163阅读
七、CRLF 注入 作者：Peter Yaworski 译者：飞龙 协议
翻译
2023-05-02 14:27:37
183阅读
错误描述从 Github 仓库拉取代码，使用 vscode 打开，页面报错，每一行都爆红 （如下图） 问题原因由于历史原因，windows下和linux下的文本文件的换行符不一致。Windows在换行的时候，使用了换行符CRLF而Mac和Linux系统，仅仅使用了换行符LF老版本的Mac系统使用的是回车符CR本人的电脑是 window系统，默认使用 CRLF ，所以代码报错 Wi
