Web安全 - 安全防御工具和体系构建
最终，设计一个适合公司的安全体系，既是对安全人员技术能力的考验，也是对其与业务发展需求契合度的挑战。安全防御工具只是辅助，最终的效果取决于如何选择和实施它们。
安全基线加固
本文的主要内容：涉及 Windows ， Linux 和中间件的安全基线设置方式（使用目录跳转食用更佳）。包含：Window：账户认证，日志，入侵防范与访问控制，系统服务，系统更新，基线排查脚本Linux：用户账户口令设置，系统文件与访问控制，Linux日志审计中间件：Apache日志和ISS日志；
Lab：Password reset broken logic靶场复现（暴力破解）
此实验室的密码更改功能使其容易受到暴力攻击。要解决实验室问题，请使用候选密码列表暴力破解 Carlos 的帐户并访问。
网络安全 DVWA通关指南 DVWA SQL Injection (Blind SQL盲注)
这篇文章是关于网络安全DVWA（Damn Vulnerable Web Application）的SQL注入挑战指南，主要介绍了Low、Medium、High和Impossible四个安全级别的SQL盲注攻击方法。Low级别通过直接构造SQL语句获取数据库信息；Medium级别使用ASCII码值绕过
CTF中的GIT泄露
由于本人也是一名ctf的萌新，所以笔记比较易懂但又不可避免的浅显，如有错误，欢迎各路大神来指正。先简单介绍一下Git，Git是一个开源的分布式版本控制系统，在执行git init初始化目录的时候，会在当前目录下自动创建一个.git目录，用来记录代码的变更记录等。发布代码的时候，如果没有把,git这个
电子邮件混淆策略逃避安全保护
几十年来，网络攻击者一直使用电子邮件混淆技术将恶意代码或数据隐藏在文件、脚本或网络流量中。电子邮件混淆方法有很多，例如将地址放入机器人无法读取的图像、验证码或文本中。这种传统的电子邮件混淆策略众所周知，安全控制措施历来擅长修补和阻止它们。但最近，我们的威胁研究人员发现了一些旨在逃避现代安全控制的新技
代码混淆对项目安全的重要性
代码混淆是一种通过修改代码的可读性来增加代码理解难度的技术。它不会改变代码的功能或行为，但通过重命名变量、函数、类、控制流、移除注释等手段，使代码难以被人类阅读和理解，进而增加了恶意用户分析和逆向工程的难度。混淆后的代码在逻辑上与原代码保持一致，但其可读性极低，从而增加了对攻击者的防护能力。
sqli-labs前16关wp
GET传参（参数id）id=1id=2-1id=2发现id=2与id=2-1相同，可以判断出绝不是数字型，故为字符型id=1’可以判断出为 ‘ 闭合id=1’–+接下来判断列数（group/order by +二分法）判断回显位（注意此处?id=-1’）发现2，3为回显位爆数据库名爆表名爆use
【JSrpc破解前端加密问题】
运行服务器程序和js脚本 即可让它们通信，实现调用接口执行js获取想要的值；实现原理：在网站的控制台新建一个WebScoket客户端链接到服务器通信，调用服务器的接口 服务器会发送信息给客户端 客户端接收到要执行的方法执行完js代码后把获得想要的内容发回给服务器 服务器接收到后再显示出来。
【JWT安全】portswigger JWT labs 全解
根据设计，服务器通常不会存储有关其发出的 JWT 的任何信息。相反，每个令牌都是一个完全独立的实体。这有几个优点，但也带来了一个根本问题 - 服务器实际上不知道令牌的原始内容，甚至不知道原始签名是什么。因此，如果服务器没有正确验证签名，就无法阻止攻击者对令牌的其余部分进行任意更改。如果服务器根据此
安全防御基本概念
而人为的溢出则是有一定企图的，攻击者写一个超过缓冲区长度的字符串，植入到缓冲区，然后再向一个有限空间的缓冲区中植入超长的字符串，这时可能会出现两个结果：一是过长的字符串覆盖了相邻的存储单元，引起程序运行失败，严重的可导致系统崩溃；不同的系统对ICMP不可达报文（类型为3）的处理不同，有的系统在收到网
vulnstack-7（红日靶场七）
vlunstack是红日安全团队出品的一个实战环境，具体介绍请访问：漏洞详情添加两个网卡DMZ区域：给Ubuntu (Web 1) 配置了两个网卡，一个可以对外提供服务；一个连接第二层网络。第二层网络区域：给Ubuntu (Web 2) 和Windows 7 (PC 1)都配置了两个网卡，一个连接第
JAVA安全之Velocity模板注入刨析
随后进行模板渲染操作，如果nodeTree为null，则返回false，表示评估失败，如果nodeTree不为null，则调用render方法，使用提供的上下文、写入器和日志标签来渲染模板，将render方法的结果(布尔值)作为返回值，如果渲染成功则返回 true，否则返回false。在Apache
【文件上传漏洞】upload-labs靶场通关
可以使用phtml、php3、php4、php5，当然前提是apache服务器，同时在配置文件夹中需要有将AddType application/x-httpd-php .php .phtml .phps .php1 .php5 .pht 这样的一段话前面的注释删除，重启phpstudy让其生效。条
ensp：端口安全
s1-GigabitEthernet0/0/1]port-security max-mac-num 2 #设置mac最大学习数量为2。通过以上步骤，可以成功配置交换机的端口安全功能，包括启用端口安全、设置最大MAC地址数量、设置保护动作以及配置静态MAC地址。：端口安全通过记录连接到交换机
内网安全前置知识-搭建简单的域环境
搭建一个名为niganma.hhh的域环境
【安全科普】从“微信文件助手隐私泄漏”看社交平台网络安全
随着互联网技术的飞速发展，社交平台已经成为了人们日常生活中不可或缺的一部分。人们通过社交平台与亲朋好友保持联系，分享生活点滴，获取资讯信息。然而，与此同时，社交平台上的网络安全风险也日益凸显。近期，一起因微信好友改名为“文件传输助手”而导致的长达九年的隐私泄露事件，再次引起了公众对社交平台网络安全的
利用域名情报让电子邮件安全更智能
通过结合域名情报与多层次安全措施，提升电子邮件安全，以有效识别和阻止网络钓鱼等威胁。
【2024最新】我把面试问烂了的Web安全集合总结了一下（带答案）建议收藏_web应用安全实操题
1.如何分辨base64长度一定会被4整除很多都以等号结尾(为了凑齐所以结尾用等号)，当然也存在没有等号的base64仅有 英文大小写、数字、+ /base64不算加密，仅仅是一门编码2.如何分辨MD5 //（特点）一般是固定长度32位（也有16位） // 16 位实际上是从 32 位字符串中，取中
Linux 网络安全守护：构建安全防线的最佳实践
通过定期更新系统、强化用户权限管理、配置防火墙、使用SSH安全连接、定期备份数据、监控系统日志以及安装安全工具，用户可以有效提升Linux系统的安全性，构建坚固的网络安全防线。Linux系统通常内置了防火墙工具，如`iptables`和`firewalld`。用户应根据实际需求，设置合适的规则，限制
