浅浅爱默默
浅浅爱默默

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)

目录

一、暴力破解原理

二、实验环境

三、实验步骤

安全等级：LOW

安全等级：Medium

       暴力破解的四种方式

安全等级：High

安全等级：Impossible

 防止暴力破解的有效手段

一、暴力破解原理

        暴力破解的原理就是使用攻击者自己的用户名和密码字典，一个一个去枚举，尝试是否能够登录。因为理论上来说，只要字典足够庞大，枚举总是能够成功的！

        但实际发送的数据并不像想象中的那样简单——“ 每次只向服务器发送用户名和密码字段即可！”，实际情况是每次发送的数据都必须要封装成完整的 HTTP 数据包才能被服务器接收。但是你不可能一个一个去手动构造数据包，所以在实施暴力破解之前，我们只需要先去获取构造HTTP包所需要的参数，然后扔给暴力破解软件构造工具数据包，然后实施攻击就可以了。

       Web暴力破解通常用在已知部分信息，尝试爆破网站后台，为下一步的渗透测试做准备。

二、实验环境

1、DVWA服务器：Windows Server 2003（192.168.247.129），启动phpStudy

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第1张图片

2、测试机：物理机Windows 10，远程登录DVWA；安装BurpSuite

三、实验步骤

安全等级：LOW

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第2张图片

查看源码

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第3张图片

源码分析

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第4张图片

源码分析

针对用户输入的用户名和密码，服务器没有进行过滤操作；

没有任何的防爆破机制，存在明显的sql注入漏洞，可利用SQL注入漏洞登录（使用空密码登录）

万能密码：

  • admin' or '1'='1
  • admin' #

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第5张图片

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第6张图片

安全等级：Medium

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第7张图片

查看源码

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第8张图片

源码分析：

  • mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符；如果不进行转义，意味着任何用户无需输入合法的密码即可登陆。使用该函数来预防数据库攻击，基本防止了SQL注入；
  • 同时，$pass做了MD5校验，杜绝了通过参数password进行sql注入的可能性；
  • 但依然没有加入有效的防爆破机制，只是不能采用SQL注入的方式登录；

1、使用任意账号密码尝试进行登录，并使用BurpSuite进行拦截。

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第9张图片

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第10张图片

2、将该数据包导入intruder

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第11张图片

3、清空参数 

在Positions选项中设置需要破解的变量。Burpsuite会自动设置许多变量，单击 ' Clear ' 按钮，把默认变量全部清除。

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第12张图片

4、添加所选参数

选中用户名admin和密码123，单击 ' Add ' 按钮将之设为需要破解的变量。使用Sniper攻击类型。

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第13张图片

5、添加字典

  • Add：手动输入字典
  • Load：加载外部字典，需选择加载路径
  • Add from list：Burp Suite自带的字典

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第14张图片

6、爆破。请求长度不同的可能为正确密码（用户名或者密码输入错误的情况下）

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第15张图片

7、用破解的密码尝试登录

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第16张图片

 暴力破解的四种方式

  • 1、一个字典，两个参数，先匹配第一项，再匹配第二项【sniper】
  • 2、一个字典，两个参数，同用户名同密码【battering ram】
  • 3、两个字典，两个参数，同行匹配，短的截止【pitch fork】
  • 4、两个字典，两个参数，交叉匹配，所有可能【cluster bomb】

使用Cluster bomb爆破类型进行破解

1、抓包

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第17张图片

2、导入intruder

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第18张图片

3、清空参数

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第19张图片

4、添加所选参数，使用Cluster bomb攻击方式（两个字典，两个参数，交叉匹配，所有可能）

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第20张图片

5、添加字典

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第21张图片Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第22张图片

6、爆破

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第23张图片Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第24张图片

7、用破解的密码尝试登录

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第25张图片

安全等级：High

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第26张图片

查看源码

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第27张图片

源码分析：

  • mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符；
  • stripslashes() 函数删除由 addslashes() 函数添加的反斜杠，可用于清理从数据库中或者从 HTML 表单中取回的数据。

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第28张图片

  • 通过抓包可以看到，登录验证时提交了四个参数：username、password、Login以及user_token，增加了爆破的难度。
  • 这就要求我们发送的每个请求包中都包含随机生成的token值，因此无法简单地使用Burpsuite进行暴力破解。可以尝试使用python脚本，使用爬虫将服务器每次返回的user_token抓取到。

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第29张图片

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第30张图片Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第31张图片

无法破解密码。

安全等级：Impossible

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第32张图片

查看源码

Kali渗透测试之DVWA系列2——Brute Force(暴力破解)_第33张图片

源码分析：

  • Impossible级别的代码加入了可靠的防爆破机制，当检测到频繁的错误登录后，系统会将账户锁定，爆破也就无法继续；
  • 同时采用了更为安全的PDO（PHP Data Object）机制防御sql注入，这是因为不能使用PDO扩展本身执行任何数据库操作，而sql注入的关键就是通过破坏sql语句结构执行恶意的sql命令；
     

 防止暴力破解的有效手段

1、限制尝试次数

2、验证码（验证码存在被技术的破解风险，仅用于增加每次尝试的成本）

3、PDO技术

你可能感兴趣的:(Kali渗透测试)

  • Kali渗透测试之服务扫描3——防火墙识别、负载均衡识别、WAF识别 浅浅爱默默 Kali渗透测试防火墙识别负载均衡识别WAF识别
    一、防火墙识别公司网络的边界一般都会有防火墙进行保护，防火墙上会有一些检测机制，我们的目的是尽量隐蔽地扫描出防火墙的规则，以及开放端口。扫描原理：通过发送数据包，检查回包，可能识别端口是否经过防火墙过滤。设备多种多样，结果存在一定误差。可根据下面四种方法来判断防火墙的过滤规则：1、使用python脚本进行防火墙识别——fw_detect.py#!/usr/bin/python#该脚本用于实现判断防
  • kali渗透测试之三操作系统识别 服务猿 Linuxkali渗透测试从零开始
    识别操作系统：在确定目标主机在线后，应当识别他们使用的操作系统，这个阶段的工作称为识别操作系统（也称为操作系统指纹识别），识别操作系统的的方式分为两种：主动式和被动式。主动式识别工具向目标机器发送数据包，并根据目标的响应确定其使用的操作系统，这种方式的优点在于探测速度快，缺点是目标主机可能会发现我们探测操作系统的行为。被动式操作系统识别方法克服了主动式识别方法的缺点，缺点是比主动式识别速度慢。（例
  • Kali渗透测试：使用Metasploit对Web应用的攻击 不习惯有你 kali工具篇服务器安全运维
    Kali渗透测试：使用Metasploit对Web应用的攻击Web应用程序的漏洞数量众多，这里我们以其中一个命令注入漏洞为例复现一下。这种漏洞源于Web应用程序没有对用户输入的内容进行准确的验证，从而导致操作系统执行了攻击者输入的命令。————————————————版权声明：本文为CSDN博主「Bruce_Liuxiaowei」的原创文章，遵循CC4.0BY-SA版权协议，转载请附上原文出处链接
  • kali渗透测试系列---信息收集 order by kali渗透测试服务器linux运维网络安全web安全
    kali渗透测试系列文章目录kali渗透测试系列信息收集信息收集信息收集阶段可以说是在整个渗透测试或者攻击很重要的阶段，毕竟知己知彼才能百战百胜，否则从目标主机使用的平台到数据库的使用再到web应用开发的语言等等的种类多如繁星我们一个个的尝试，什么时候才是一个头。而对于信息的收集我们主要从这样的几个方面来收集：网站的域名相关信息网站的服务器相关信息网站的组件常见漏洞（如Nginx、tomcat等等
  • kali渗透测试到底该如何学？ 不是程序媛ya 网络安全web安全信息安全渗透测试编程
    1、渗透测试是什么？渗透测试，是为了证明网络防御按照预期计划正常运行而提供的一种机制。渗透测试是通过各种手段对目标进行一次渗透（攻击），通过渗透来测试目标的安全防护能力和安全防护意识。打个比方：比如电视剧《我是特种兵》里面的演习，特种部队（进攻方）渗透到蓝军（防守方）的指挥部进行斩首，如果斩首成功，那么就可以知道蓝方的防守能力不够好，需要改进，反之就是特种部队的特种作战能力不足，需要提升。那么渗透
  • Kali渗透测试：拒绝服务攻击 Bruce_Liuxiaowei 渗透测试拒绝服务攻击Kali渗透测试
    Kali渗透测试：拒绝服务攻击故意占用某一系统对外服务的有限资源，从而导致其无法正常工作的行为就是拒绝服务攻击。拒绝服务攻击是指攻击者想办法让目标停止提供服务，是黑客常用的攻击手段之一。其实对网络带宽进行的消耗性攻击知识拒绝服务攻击的一小部分，只要能够对目标造成麻烦，事情某些服务暂停甚至是主机死机，都属于拒绝服务攻击。拒绝服务攻击一直得不到合理的解决，究其原因是网络协议本身的安全缺陷，使得拒绝服务
  • Kali渗透测试：网络数据的嗅探与欺骗 Bruce_Liuxiaowei 渗透测试安全web安全运维渗透测试
    Kali渗透测试：网络数据的嗅探与欺骗无论什么样的漏洞渗透模块，在网络中都是以数据包的形式传输的，因此如果我们能够对网络中的数据包进行分析，就可以掌握渗透的原理。另外，很多网络攻击的方法也都是发送精心构造的数据包来完成的，如常见的ARP欺骗。利用这种欺骗方式，黑客可以截获受害计算机与外部通信的全部数据，如受害者登录使用的用户名与密码、发送的邮件等。“Thequieteryouarethemorey
  • Kali渗透测试：散列密码破解 Bruce_Liuxiaowei 渗透测试windows安全渗透测试运维系统安全
    Kali渗透测试：散列密码破解某些网站的安全机制设置有缺陷，导致自身的关键数据库被渗透。很多用户在不同网站使用的是相同的用户名和密码，因此黑客可以通过获取通过获取用户在A网站的用户名和密码从而尝试登录B网站，这就是“撞库攻击”。如2014年12月25日开始在互联网上“疯传的”12306网站用户信息，就是黑客通过撞库攻击所获得的。被泄漏的数据库中的数据大都是明文，不过，现在的数据库大都采用了散列加密
  • Kali渗透测试之使用Metasploit对Web应用的攻击
    目录实验环境实验步骤1.在Kali中启动并进入msf62.启动web_delivery模块3.设置木马类型、木马主控端IP地址和端口4.执行run5.在靶机DVWA中“CommandExecution”页面中注入命令6.在Kali中查看sessionWeb应用程序的漏洞数量众多，这里我们以其中一个命令注入漏洞为例复现一下。这种漏洞源于Web应用程序没有对用户输入的内容进行准确的验证，从而导致操作系
  • kali渗透测试：【实验2】一次简单的渗透测试实战 鹿北先森 安全web安全linux
    启动Kali容器并进入到bash界面里，执行ping操作验证网络联通性：#启动并进入Kali容器里的bashdockerrun-ti--networkhost3f457bash#在Kali容器中测试虚拟网络连接，使用Ctrl-C退出ping：pingtarget在Kali容器的bash界面里运行以下命令，注意Nmap的参数使用：-p：指定扫描的端口范围-T4：设定nmap扫描的时间策略，数字为0-
  • 二层发现 曼路x_x
    title:二层发现date:2016-04-1010:45tags:kali渗透测试主动信息收集0x00琐碎从上一章节，我们可以收集到大量的被动信息，但是因被动而收集的信息，并不与目标系统进行直接交互，所以很有可能所收集的并不是最新的信息，所以现在我们开始进行主动信息收集！毫无疑问，主动信息收集，终极目标不过是为了获得目标大大量信息，比如高层管理账号密码，核心数据库，系统root权限，也因此我们
  • 小白日记33：kali渗透测试之Web渗透-扫描工具-Burpsuite（一） 子轩非鱼 kali
    扫描工具-BurpsuiteBurpSuite是Web应用程序测试的最佳工具之一，成为web安全工具中的瑞士军刀。其多种功能可以帮我们执行各种任务.请求的拦截和修改,扫描web应用程序漏洞,以暴力破解登陆表单,执行会话令牌等多种的随机性检查。【属于重量级工具，每个安全从业人员必须会的】但不是开源软件，有其免费版版，但在free版没有主动扫描功能，可用于手动挖掘。【有其破解版，适合个人使用】所有的工
  • 小白日记13：kali渗透测试之服务扫描（三）-SMTB扫描、防火墙识别、负载均衡识别、WAF识别 子轩非鱼 kali
    SMTP扫描SMTP（SimpleMailTransferProtocol）即简单邮件传输协议,它是一组用于由源地址到目的地址传送邮件的规则，由它来控制信件的中转方式。SMTP协议属于TCP/IP协议簇，它帮助每台计算机在发送或中转信件时找到下一个目的地。通过SMTP协议所指定的服务器,就可以把E-mail寄到收信人的服务器上了，整个过程只要几分钟。SMTP服务器则是遵循SMTP协议的发送邮件服务
  • 《Kali渗透测试技术实战》 夏夜星语
    这本书在亚马逊上评论8分左右，买回来看了有3次就看完了。事实证明，这本书只是一个渗透测试概念的普及书。收获最大的是Kali系统或者说是Linux系统的系统安装，以及一些工具的简介。渗透测试生命周期（步骤）1.侦察利用好Google搜索以及网络，利用nslookup。2.扫描（扫描出目标系统的信息，漏洞）利用Nmap，Nessus等工具。3.渗透（漏洞利用）利用Metasploit，Kali下命令行
  • Kali渗透测试——EtherApe dif90304
    网络协议图形化分析工具EtherApe在对网络数据分析的时候，渗透测试人员往往只关心数据流向以及协议类型，而不关心具体数据包的内容。因为这样可以快速找到网络的关键节点或者重要的协议类型。KaliLinux提供的EtherApe可以满足这个需求。该工具需要用户使用命令apt-getinstalletherape手动安装。它支持导入数据包和实时抓包两种方式，来获取网络数据。根据获取的数据，它可以实时显
  • Kali渗透测试之提权2——WCE、fgdump、mimikatz 浅浅爱默默 Kali渗透测试
    一、WINDOWS身份认证过程在登录窗口输入账号和密码后，winlogon.exe会将输入的密码进行lmhash和nthash加密；然后将加密后的密码与SAM账户数据库进行比对，如果比对匹配，则成功登录操作系统（本地登录）；如果网络中的一台主机尝试远程登录另一台主机，登录的账号和密码也是通过本地计算机将输入的密码进行lmhash和nthash计算，然后将加密后的密文通过网络传输到目标主机；虽然输入
  • Kali渗透测试之提权1——本地提权 浅浅爱默默 Kali渗透测试
    本地提权定义：我们已经登录到目标系统的计算机上，拿到目标系统的shell，在这个shell基础之上，进行提权。现在的操作系统都是多用户操作系统，一个操作系统可以设置多个用户账号，这些账号可以是用户账号，也可以是为某个应用程序专门设置的应用程序账号。这样做的目的是进行不同账号之间权限的隔离，因为所有的事情都由一个账号去做的话，必须赋予该账号最大的权限，一旦该账号密码失窃，对方就会直接控制我们的服务器
  • Kali渗透测试之DVWA系列6——CSRF(跨站请求伪造) 浅浅爱默默 Kali渗透测试
    目录一、CSRF简介二、原理示意图三、实验环境四、实验步骤安全级别：Low（四种方法）安全级别：Medium安全级别：High安全级别：Impossible一、CSRF简介CSRF（Cross-siterequestforgery）跨站请求伪造，也被称为“OneClickAttack”或者SessionRiding，通常缩写为CSRF或者XSRF。它是利用受害者尚未失效的身份认证信息（cookie
  • 小白日记9：kali渗透测试之主动信息收集（二）四层发现：TCP、UDP、nmap、hping、scapy 子轩非鱼 kali
    四层发现四层发现的目的是扫描出可能存活的IP地址，四层发现虽然涉及端口扫描，但是并不对端口的状态进行精确判断，其本质是利用四层协议的一些通信来识别主机ip是否存在。四层发现的优点：1、可路由且结果可靠；2、不太可能被防火墙过滤，甚至可以发现所有端口都被过滤的主机。[一些比较严格的防火墙还是会过滤掉]缺点：是基于状态过滤的防火墙可能过滤扫描；全端口(UDP+TCP十几万个端口)扫描的速度慢。一、TC
  • kali渗透测试之一信息搜集 服务猿 Linuxkali渗透测试从零开始
    通用渗透测试框架◆范围界定：收集需求、筹划工作、边界分析、明确业务指标、项目管理和统筹调度◆信息收集：包括DNS服务器、路由关系、whois数据库、电子邮件地址、电话号码、个人信息以及用户账户⇨⇨信息收集可分为两大类：主动式信息收集和被动式信息收集。主动式信息收集方法是通过直接发起与该目标网络之间的互动来获取相关信息，例如ICMPping或者TCP端口扫描就属于主动式信息手机手段。而被动式信息收集
  • Kali渗透测试之DVWA系列（三）——SQL Injection（SQL注入） weixin_45116657
    目录：一、SQL注入简介：SQL注入漏洞原理SQL注入类型SQL注入过程二、实验环境三、实验步骤安全级别：LOW安全级别：Medium安全级别：High安全级别：Impossible一、SQL注入简介1、SQL注入漏洞原理：SQL注入漏洞原理：把SQL命令插入到Web表单提交，或输入域名，或网页提交的查询字符串中，从而达到欺骗服务器执行恶意的SQL命令。（即，将恶意的SQL语句拼接到合法的语句中，
  • NMAP onejustone
    title:NMAPdate:2016-06-1310:58tags:kali渗透测试主动信息收集0x00NMAP常用参数介绍0x01TARGETSPECIFICATION目标发现-iL添加扫描待ip列表文件-iR随机选择目标不用指定目标ip，nmap对自动对全球的ip随机选择100个进行扫描root@kali:~#nmap-iR100-p100--exclude排除扫描当想要对某个ip地址段进行
  • SNMP扫描 onejustone
    title:SNMP扫描date:2016-06-1009:56tags:kali渗透测试主动信息收集0x00SNMP扫描简单网络管理协议扫描，SNMP的客户端通常使用的是162端口，而服务器通常使用的是161端口。有些类似于DHCP协议（基于UDP之上的应用层协议，服务端使用67port，客户端使用68port）了。一个小发现，服务端喜欢使用单数，而客服端会是双数。当一网络环境已经初具规模时，若
  • Kali渗透测试之提权（四）——基本信息收集、敏感数据收集、隐藏痕迹 weixin_45116657
    提权之后，需要收集目标系统的重要信息！！！一、基本信息收集（一）Linux表白四联：whoami(我是谁)——>pwd（我在哪）——>uname-a（你是谁）1.、cat/etc/resolv.conf#查看DNS的配置文件2、cat/etc/passwd#查看密码文件，所有用户都有权限；第1字段：用户名称第2字段：密码标志第3字段：UID（用户ID）0：超级用户1-499：系统用户（伪用户）50
  • Kali渗透测试——被动信息收集之Recon-NG框架 浅浅爱默默 Kali渗透测试
    一、Recon-NG简介Recon-ng是一个全面的web信息搜索框架，命令格式与msf一致它基于python开发，有着独立的模块、数据库交互功能、交互式帮助提示和命令补全的特性。它通过命令行工具调用搜索引擎，在搜索引擎中搜索基于web的相关信息，从而帮助测试人员快速彻底地进行探测。在命令提示符下输入命令Recon-NG，看到[recon-ng][default]>提示符，表示成功登录Recon-
  • 小白日记18：kali渗透测试之缓冲区溢出实例（二)--Linux，穿越火线1.9.0 子轩非鱼 kali
    Linux系统下穿越火线-缓冲区溢出原理：crossfire1.9.0版本接受入站socket连接时存在缓冲区溢出漏洞。工具：调试工具：edb；###python在漏洞溢出方面的渗透测试和漏洞攻击中，具有很大的优势实验对象：crossfire【多人在线RPG游戏】运行平台：Kalii686虚拟机【32位，计算机CPU位数是指地址总线位数，64位系统的寻址空间为2^64，寻址过大，难以处理，为了简化
  • Kali渗透测试（八）——DVWA文件包含/目录遍历漏洞利用 Directory traversal/File include Bulldozer Coder kali安全
    Kali渗透测试（八）——DVWA文件包含/目录遍历漏洞利用一.文件包含简介服务器执行PHP文件时，可以通过文件包含函数加载另一个文件中的PHP代码，并且当PHP来执行，这会为开发者节省大量的时间。这意味着您可以创建供所有网页引用的标准页眉或菜单文件。当页眉需要更新时，您只更新一个包含文件就可以了，或者当您向网站添加一张新页面时，仅仅需要修改一下菜单文件（而不是更新所有网页中的链接）。文件包含函数
  • Kali渗透测试之DVWA系列（四）——使用Burp Suite进行SQL Injection（Blind）（SQL盲注，包括盲注脚本） weixin_45116657
    目录：一、SQL盲注SQL盲注与SQL注入的区别；SQL盲注的过程；二、实验环境三、实验过程基于布尔值的盲注；基于时间的盲注；一、SQL盲注简介1、SQL盲注：盲注：SQLInjection（Blind），即SQL盲注，目标只会回复是或不是，没有详细内容；注入：可以查看详细的内容2、手工盲注思路：手工盲注的过程，就像你和机器人聊天一样，这个机器人知道的很多，但是只会回答“是”或者“不是”，因此你需
  • Kali渗透测试之DVWA系列5——存储型XSS(跨站脚本攻击) 浅浅爱默默 Kali渗透测试
    目录一、原理示意图二、实验环境三、实验步骤安全级别：LOW重定向获取cookie安全级别：Medium安全级别：High安全级别：Impossible存储型XSS长期存储于服务器端每次用户访问都会被执行javascript脚本了解XSS简介以及反射型XSS，请戳此超链接——Kali渗透测试之DVWA系列4——反射型XSS(跨站脚本攻击)一、原理示意图获取cookie黑客首先向服务器发送js脚本服务
  • Kali渗透测试之DVWA系列7——SQL Injection（SQL注入） 浅浅爱默默 Kali渗透测试
    目录一、SQL注入1、SQL注入漏洞原理2、SQL注入类型3、SQL注入过程二、实验环境三、实验步骤安全级别：LOW安全等级：Medium安全级别：High安全级别：Impossible一、SQL注入1、SQL注入漏洞原理把SQL命令插入到Web表单提交、或输入域名、或页面提交的查询字符串中，从而达到欺骗服务器执行恶意的SQL命令。2、SQL注入类型字符型数字型搜索型3、SQL注入过程判断是否存在
  • Enum用法 不懂事的小屁孩 enum
    以前的时候知道enum，但是真心不怎么用，在实际开发中，经常会用到以下代码: protected final static String XJ = "XJ"; protected final static String YHK = "YHK"; protected final static String PQ = "PQ";
  • 【Spark九十七】RDD API之aggregateByKey bit1129 spark
    1. aggregateByKey的运行机制   /** * Aggregate the values of each key, using given combine functions and a neutral "zero value". * This function can return a different result type
  • hive创建表是报错： Specified key was too long; max key length is 767 bytes daizj hive
    今天在hive客户端创建表时报错，具体操作如下   hive> create table test2(id string); FAILED: Execution Error, return code 1 from org.apache.hadoop.hive.ql.exec.DDLTask. MetaException(message:javax.jdo.JDODataSto
  • Map 与 JavaBean之间的转换 周凡杨 java自省转换反射
    最近项目里需要一个工具类，它的功能是传入一个Map后可以返回一个JavaBean对象。很喜欢写这样的Java服务，首先我想到的是要通过Java 的反射去实现匿名类的方法调用，这样才可以把Map里的值set 到JavaBean里。其实这里用Java的自省会更方便，下面两个方法就是一个通过反射，一个通过自省来实现本功能。 1：JavaBean类 1 &nb
  • java连接ftp下载 g21121 java
    有的时候需要用到java连接ftp服务器下载，上传一些操作，下面写了一个小例子。 /** ftp服务器地址 */ private String ftpHost; /** ftp服务器用户名 */ private String ftpName; /** ftp服务器密码 */ private String ftpPass; /** ftp根目录 */ private String f
  • web报表工具FineReport使用中遇到的常见报错及解决办法（二） 老A不折腾 finereportweb报表java报表总结
      抛砖引玉，希望大家能把自己整理的问题及解决方法晾出来，Mark一下，利人利己。   出现问题先搜一下文档上有没有，再看看度娘有没有，再看看论坛有没有。有报错要看日志。下面简单罗列下常见的问题，大多文档上都有提到的。   1、没有返回数据集： 在存储过程中的操作语句之前加上set nocount on 或者在数据集exec调用存储过程的前面加上这句。当S
  • linux 系统cpu 内存等信息查看 墙头上一根草 cpu内存liunx
    1 查看CPU 　　1.1 查看CPU个数 　　# cat /proc/cpuinfo | grep "physical id" | uniq | wc -l 　　2 　　**uniq命令：删除重复行;wc –l命令：统计行数** 　　1.2 查看CPU核数 　　# cat /proc/cpuinfo | grep "cpu cores" | u
  • Spring中的AOP aijuans springAOP
      Spring中的AOP Written by Tony Jiang @ 2012-1-18 （转）何为AOP AOP，面向切面编程。 在不改动代码的前提下，灵活的在现有代码的执行顺序前后，添加进新规机能。 来一个简单的Sample: 目标类： [java]  view plain copy print ? package&nb
  • placeholder(HTML 5) IE 兼容插件 alxw4616 JavaScriptjquery jQuery插件
    placeholder 这个属性被越来越频繁的使用. 但为做HTML 5 特性IE没能实现这东西. 以下的jQuery插件就是用来在IE上实现该属性的. /** * [placeholder(HTML 5) IE 实现.IE9以下通过测试.] * v 1.0 by oTwo 2014年7月31日 11:45:29 */ $.fn.placeholder = function
  • Object类,值域,泛型等总结(适合有基础的人看) 百合不是茶 泛型的继承和通配符变量的值域Object类转换
    java的作用域在编程的时候经常会遇到,而我经常会搞不清楚这个 问题,所以在家的这几天回忆一下过去不知道的每个小知识点   变量的值域;   package 基础; /** * 作用域的范围 * * @author Administrator * */ public class zuoyongyu { public static vo
  • JDK1.5 Condition接口 bijian1013 javathreadConditionjava多线程
    Condition 将 Object 监视器方法（wait、notify和 notifyAll）分解成截然不同的对象，以便通过将这些对象与任意 Lock 实现组合使用，为每个对象提供多个等待 set （wait-set）。其中，Lock 替代了 synchronized 方法和语句的使用，Condition 替代了 Object 监视器方法的使用。 条件（也称为条件队列或条件变量）为线程提供了一
  • 开源中国OSC源创会记录 bijian1013 hadoopsparkMemSQL
    一.Strata+Hadoop World（SHW）大会         是全世界最大的大数据大会之一。SHW大会为各种技术提供了深度交流的机会，还会看到最领先的大数据技术、最广泛的应用场景、最有趣的用例教学以及最全面的大数据行业和趋势探讨。          二.Hadoop   &nbs
  • 【Java范型七】范型消除 bit1129 java
    范型是Java1.5引入的语言特性，它是编译时的一个语法现象，也就是说，对于一个类，不管是范型类还是非范型类，编译得到的字节码是一样的，差别仅在于通过范型这种语法来进行编译时的类型检查，在运行时是没有范型或者类型参数这个说法的。 范型跟反射刚好相反，反射是一种运行时行为，所以编译时不能访问的变量或者方法(比如private)，在运行时通过反射是可以访问的，也就是说，可见性也是一种编译时的行为，在
  • 【Spark九十四】spark-sql工具的使用 bit1129 spark
    spark-sql是Spark bin目录下的一个可执行脚本，它的目的是通过这个脚本执行Hive的命令，即原来通过 hive>输入的指令可以通过spark-sql>输入的指令来完成。 spark-sql可以使用内置的Hive metadata-store，也可以使用已经独立安装的Hive的metadata store   关于Hive build into Spark
  • js做的各种倒计时 ronin47 js 倒计时
    第一种：精确到秒的javascript倒计时代码      HTML代码:   <form name="form1">   <div align="center" align="middle"
  • java-37.有n 个长为m+1 的字符串，如果某个字符串的最后m 个字符与某个字符串的前m 个字符匹配，则两个字符串可以联接 bylijinnan java
    public class MaxCatenate { /* * Q.37 有n 个长为m+1 的字符串，如果某个字符串的最后m 个字符与某个字符串的前m 个字符匹配，则两个字符串可以联接， * 问这n 个字符串最多可以连成一个多长的字符串，如果出现循环，则返回错误。 */ public static void main(String[] args){
  • mongoDB安装 开窍的石头 mongodb安装 基本操作
    mongoDB的安装          1:mongoDB下载   https://www.mongodb.org/downloads         2:下载mongoDB下载后解压     
  • [开源项目]引擎的关键意义 comsci 开源项目
         一个系统，最核心的东西就是引擎。。。。。       而要设计和制造出引擎，最关键的是要坚持。。。。。。       现在最先进的引擎技术，也是从莱特兄弟那里出现的，但是中间一直没有断过研发的    
  • 软件度量的一些方法 cuiyadll 方法
    软件度量的一些方法http://cuiyingfeng.blog.51cto.com/43841/6775/在前面我们已介绍了组成软件度量的几个方面。在这里我们将先给出关于这几个方面的一个纲要介绍。在后面我们还会作进一步具体的阐述。当我们不从高层次的概念级来看软件度量及其目标的时候，我们很容易把这些活动看成是不同而且毫不相干的。我们现在希望表明他们是怎样恰如其分地嵌入我们的框架的。也就是我们度量的
  • XSD中的targetNameSpace解释 darrenzhu xmlnamespacexsdtargetnamespace
    参考链接: http://blog.csdn.net/colin1014/article/details/357694 xsd文件中定义了一个targetNameSpace后，其内部定义的元素，属性，类型等都属于该targetNameSpace,其自身或外部xsd文件使用这些元素，属性等都必须从定义的targetNameSpace中找： 例如：以下xsd文件，就出现了该错误，即便是在一
  • 什么是RAID0、RAID1、RAID0+1、RAID5，等磁盘阵列模式? dcj3sjt126com raid
    RAID 1又称为Mirror或Mirroring，它的宗旨是最大限度的保证用户数据的可用性和可修复性。 RAID 1的操作方式是把用户写入硬盘的数据百分之百地自动复制到另外一个硬盘上。由于对存储的数据进行百分之百的备份，在所有RAID级别中，RAID 1提供最高的数据安全保障。同样，由于数据的百分之百备份，备份数据占了总存储空间的一半，因而，Mirror的磁盘空间利用率低，存储成本高。 Mir
  • yii2 restful web服务快速入门 dcj3sjt126com PHPyii2
    快速入门 Yii 提供了一整套用来简化实现 RESTful 风格的 Web Service 服务的 API。 特别是，Yii 支持以下关于 RESTful 风格的 API： 支持 Active Record 类的通用API的快速原型 涉及的响应格式（在默认情况下支持 JSON 和 XML) 支持可选输出字段的定制对象序列化 适当的格式的数据采集和验证错误
  • MongoDB查询(3)——内嵌文档查询（七） eksliang MongoDB查询内嵌文档MongoDB查询内嵌数组
    MongoDB查询内嵌文档 转载请出自出处：http://eksliang.iteye.com/blog/2177301 一、概述        有两种方法可以查询内嵌文档：查询整个文档；针对键值对进行查询。这两种方式是不同的，下面我通过例子进行分别说明。   二、查询整个文档 例如:有如下文档 db.emp.insert({ &qu
  • android4.4从系统图库无法加载图片的问题 gundumw100 android
    典型的使用场景就是要设置一个头像，头像需要从系统图库或者拍照获得，在android4.4之前，我用的代码没问题，但是今天使用android4.4的时候突然发现不灵了。baidu了一圈，终于解决了。 下面是解决方案： private String[] items = new String[] { "图库","拍照" }; /* 头像名称 */
  • 网页特效大全 jQuery等 ini JavaScriptjquerycsshtml5ini
    HTML5和CSS3知识和特效 asp.net ajax jquery实例 分享一个下雪的特效 jQuery倾斜的动画导航菜单 选美大赛示例 你会选谁 jQuery实现HTML5时钟 功能强大的滚动播放插件JQ-Slide 万圣节快乐！！！ 向上弹出菜单jQuery插件 htm5视差动画 jquery将列表倒转顺序 推荐一个jQuery分页插件 jquery animate
  • swift objc_setAssociatedObject block(version1.2 xcode6.4) 啸笑天 version
      import UIKit class LSObjectWrapper: NSObject { let value: ((barButton: UIButton?) -> Void)? init(value: (barButton: UIButton?) -> Void) { self.value = value
  • Aegis 默认的 Xfire 绑定方式，将 XML 映射为 POJO MagicMa_007 javaPOJOxmlAegisxfire
          Aegis 是一个默认的 Xfire 绑定方式，它将 XML 映射为 POJO, 支持代码先行的开发.你开发服 务类与 POJO,它为你生成 XML schema/wsdl XML 和 注解映射概览       默认情况下，你的 POJO 类被是基于他们的名字与命名空间被序列化。如果
  • js get max value in (json) Array qiaolevip 每天进步一点点学习永无止境max纵观千象
    // Max value in Array var arr = [1,2,3,5,3,2];Math.max.apply(null, arr); // 5 // Max value in Jaon Array var arr = [{"x":"8/11/2009","y":0.026572007},{"x"
  • XMLhttpRequest 请求 XML,JSON ,POJO 数据 Luob. POJOjsonAjaxxmlXMLhttpREquest
    在使用XMlhttpRequest对象发送请求和响应之前，必须首先使用javaScript对象创建一个XMLHttpRquest对象。 var xmlhttp； function getXMLHttpRequest(){ if(window.ActiveXObject){ xmlhttp:new ActiveXObject("Microsoft.XMLHTTP
  • jquery wuai jquery
    以下防止文档在完全加载之前运行Jquery代码，否则会出现试图隐藏一个不存在的元素、获得未完全加载的图像的大小 等等 $(document).ready(function(){ jquery代码; }); <script type="text/javascript" src="c:/scripts/jquery-1.4.2.min.js&quo
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他