双玉山人
双玉山人

web安全[网易白帽子课程笔记+体会]-02web安全基础

web安全-02web安全基础

  • 一、无处不在的安全问题
    • 1、钓鱼phishing
    • 2、篡改网页tampering
    • 3、暗链hidden hyperlinks
    • 4、webshell
  • 二、常见Web漏洞解析
    • 常见web漏洞分类
    • 1、XSS
      • 1.1、什么是XSS
      • 1.2、存储型XSS
      • 1.3、反射型XSS
      • 1.4、DOM型XSS
      • 1.5、三种XSS对比
    • 2、CSRF
      • 2.1 什么是CSRF
      • 2.2 CSRF原理
      • 2.3 CSRF示例
    • 3、点击劫持
      • 3.1 什么是点击劫持
      • 3.2 点击劫持原理
      • 3.3 实例代码
    • 4、url跳转
      • 4.1、什么是url跳转
      • 4.2、url跳转漏洞原理
      • 4.3、url跳转常见实现方式及例子
    • 5、sql注入
      • 5.1、什么是sql注入
      • 5.2、sql注入原理
      • 5.3、sql注入例子万能密码
    • 6、命令注入
      • 6.1、什么是命令注入
      • 6.2、命令注入原理
      • 6.3、命令注入例子
    • 7、文件操作漏洞
      • 7.1、什么是文件操作漏洞
      • 7.2、文件上传漏洞
      • 7.3、文件下载漏洞
      • 7.4、文件包含漏洞

一、无处不在的安全问题

web安全问题其实就是黑客利用各种web漏洞，实现钓鱼、篡改网页、挂暗链、植入webshell后门等目的。

1、钓鱼phishing

  • 网络钓鱼”(Phishing)一词，是“Fishing”和“Phone”的综合体，由于早期的黑客起初是以电话作案，所以用“Ph”来取代“F”。
  • 使用诱惑性标题，仿冒真实网站，通过邮件等方式发送给受害人，骗取用户账号、资料等。

2、篡改网页tampering

可以使用insite:hacked by关键字在搜索引擎中搜索被篡改的网页，一般是为了炫耀或政治目的。简单的搜索引擎语法：

  • intitle:keyword 标题中含有关键词的网页
  • intext:keyword 正文中含有关键词的网页
  • site:domain 在某个域名和子域名下的网页

3、暗链hidden hyperlinks

  • 通过隐藏的div、iframe、href等方式，在网站中隐藏连接
  • 主要是网游、医疗、博彩、色情等网站
  • 不是给网民浏览或者点击用的，主要是面向搜索引擎，提高网站的排名(SEO)

4、webshell

webshell就是网页后门程序，通过浏览器网页进行执行，通常以asp/php/jsp等脚本文件形式存在，具有命令执行、目录操作、账号管理等各种功能。

  • 大马：功能强大，有执行命令、目录操作、账号管理等
  • 小马：如一句话木马，菜刀chopper等，功能相对简单

二、常见Web漏洞解析

常见web漏洞分类

web安全
客户端
服务端
XSS
CSRF
点击劫持
URL跳转
SQL注入
命令注入
文件操作类

1、XSS

1.1、什么是XSS

XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。跨站脚本攻击（Cross Site Scripting）缩写为CSS，但这会与层叠样式表（Cascading Style Sheets，CSS）的缩写混淆。因此，有人将跨站脚本攻击缩写为XSS。常见危害有，钓鱼、劫持用户会话，插入恶意内容、重定向用户、使用恶意软件劫持用户浏览器、繁殖XSS蠕虫，甚至破坏网站、修改路由器配置信息等。

1.2、存储型XSS

  1. 黑客构造xss脚本通过评论等页面，写入数据库。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第1张图片
  2. 用户访问含有xss脚本的页面，web应用程序返回含有恶意数据的页面。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第2张图片
  3. 查看网页源码为，加载了src为#不存在的图片，出发了onerror事件，导致了xss。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第3张图片
  4. 存储型xss过程图。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第4张图片

1.3、反射型XSS

  1. 用户访问了含有xss脚本的连接，触发xss。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第5张图片
  2. 查看网页源码为，加载了src为#不存在的图片，出发了onerror事件，导致了xss。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第6张图片
  3. 查看后台php源码，原因为获取url连接中的name参数后，没有过滤处理，直接输出到客户端，导致了xss。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第7张图片
  4. 反射型xss过程图。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第8张图片

1.4、DOM型XSS

  1. 用户访问了含有xss脚本的连接，触发xss。这一点与反射型xss相同。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第9张图片
  2. 查看网页源码为，加载了src为#不存在的图片，出发了onerror事件，导致了xss。与反射型xss不同的是xss脚本不在参数中，是在hash“#”中，URL中的hash串不会发送到后端服务器，说明向页面输出xss脚本的不是后端的web应用程序，而是前端页面中的JavaScript脚本。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第10张图片
  3. 在浏览器控制窗口的脚本界面搜索hash关键字，可以看到红框中的代码，第一行从浏览器的hash中提取关键字赋值给erroMsg变量，第二行将errorMsg用URL编码进行解码，再以innerhtml的形式写入id为“errorMsg”的DOM节点中，从而导致xss。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第11张图片
  4. DOM型xss过程图。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第12张图片

1.5、三种XSS对比

xss类型 存储型 反射型 DOM型
触发过程 需要两步
1.黑客构造xss脚本。
2.正常用户访问携带xss脚本的页面。		 正常用户访携带xss脚本的url 正常用户访携带xss脚本的url
数据存储 数据库 url url
谁来输出 后端web应用程序(数据在数据库中) 后端web应用程序 前端JavaScript
输出位置 http响应中 http响应中 动态构造的DOM节点

2、CSRF

2.1 什么是CSRF

跨站请求伪造（英语：Cross-site request forgery），也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。跟跨网站脚本（XSS）相比，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。常见的危害有，如发邮件，发消息，甚至财产操作如转账和购买商品，制造蠕虫等）。由于浏览器曾经认证过，所以被访问的网站会认为是真正的用户操作而去运行。这利用了web中用户身份验证的一个漏洞：简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的。

2.2 CSRF原理

web安全[网易白帽子课程笔记+体会]-02web安全基础_第13张图片

2.3 CSRF示例

  1. 操作界面
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第14张图片
  2. 抓包查看转账操作背后的网络请求
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第15张图片
  3. 黑客构造恶意转账页面，也就是利用了这个转账过程，其中的关键在于上面的网络请求包，其实就是在恶意页面中嵌入了自动提交转账的请求，攻击代码示例如下。web安全[网易白帽子课程笔记+体会]-02web安全基础_第16张图片
  4. 实际攻击中，恶意页面往往是精心构造的如图，为了演示图中直接弹出转账成功提示。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第17张图片
    通过view-source:url查看恶意页面第一层源码如下，只是一张图片，真正的恶意代码嵌入在body中隐藏的iframe标签中，iframe的高、宽都设置为0。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第18张图片
    iframe标签中的代码如下，通过绑定body的onload事件完成自动提交表单。通过嵌入iframe提高了攻击的隐蔽性，用户感知不到表单提交时会有的明显的跳转。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第19张图片

透过例子能够看出，攻击者并不能通过CSRF攻击来直接获取用户的账户控制权，也不能直接窃取用户的任何信息。他们能做到的，是欺骗用户浏览器，让其以用户的名义运行操作。

3、点击劫持

3.1 什么是点击劫持

点击劫持clickjacking，也被称为UI-覆盖攻击，是指在一个Web页面下隐藏了一个透明的iframe（opacity：0），用外层假页面诱导用户点击，实际上是在隐藏的iframe上触发了点击事件进行一些用户不知情的操作。常见的危害有，盗取用户资金、获得用户的敏感信息、与XSS或CSRF等其他攻击手段配合等。

3.2 点击劫持原理

web安全[网易白帽子课程笔记+体会]-02web安全基础_第20张图片

3.3 实例代码

click.html

<html>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<head>
<title>点击劫持title>
<style>
html,body,iframe{
	display: block;
	height: 100%;
	width: 100%;
	padding: 0;
	border: none;
}
iframe{
	opacity: 0.3; /*opacity即可见度，设置为0即可隐藏，为了显示设置为0.3*/
	filter:alpha(opacity=30); /* IE */
	-moz-opacity: 0; /* Moz + FF */
	position:absolute;
	z-index:2; 
}
button{
	position:absolute;
	top:350px;
	left:900px;
	z-index:1; /* 表示垂直屏幕的距离，值越大视觉效果越近 */
	width:72px;
	height:26px;
}
style>
head>
<body>
<button><img src="/images/click.jpg">button>
<iframe src="https://dun.163.com/dashboard?v=0116&locale=zh_CN#/login/?referrer=%2F">iframe>
body>
html>

效果图
web安全[网易白帽子课程笔记+体会]-02web安全基础_第21张图片

4、url跳转

4.1、什么是url跳转

借助未验证的url跳转，将应用程序引导到不安全的第三方区域，从而导致的安全问题。常见的危害有钓鱼、诈骗等。 短连接生成网站如33短链、百度短网址等，使得url跳转漏洞更难被识别。

4.2、url跳转漏洞原理

web安全[网易白帽子课程笔记+体会]-02web安全基础_第22张图片

4.3、url跳转常见实现方式及例子

  1. header头跳转
    url_header.php

header("Content-Type:text/html;charset=utf-8");
if(isset($_REQUEST["url"])){
	$url = $_REQUEST["url"];
	//获取用户请求的链接
}else{
	$url = "url.html";
}
header("HTTP/1.1 301 Moved Permanently");
header("Location:$url");
//跳转到链接地址
?>

web安全[网易白帽子课程笔记+体会]-02web安全基础_第23张图片
2. javascript跳转
url_js.php

<script type="text/javascript">
	function getQueryString(name){
	var reg = new RegExp("(^|&)" + name + "=([^&]*)(&|$)", "i");
	var r = window.location.search.substr(1).match(reg);
	if(r!=null) 
		return unescape(r[2]);
	return null;
	}
	
	if(site!=null){
		var site = getQueryString("site");
		//获取用户请求链接
		window.location.href = site;
		//跳转到链接地址
	}else{
		window.location.href = "url.html";
	}	
</script>
  1. meta跳转
    url_meta.php
<html>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<head>
<title>meta标签实现url跳转</title>

header("Content-Type:text/html;charset=utf-8");
if(isset($_REQUEST["url"])){
	$url = $_REQUEST["url"];
	//获取用户请求链接
}else{
	$url = "url.html";
}
?>
<meta http-equiv="Refresh" content="5; url=$url ?>" />
 <!--跳转到链接地址，这里的5秒表示页面跳转延时-->
</head>
<body>
</body>
</html>

5、sql注入

5.1、什么是sql注入

由于程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。本质是数据和代码未分离，数据当做了代码来执行。SQL注入常见危害有，刷库、拖库、撞库、上传木马、获取服务器权限、读取服务器敏感文件等。

5.2、sql注入原理

sql注入的必备条件

  1. 可以控制的输入数据
  2. 服务器要执行的代码拼接了控制的数据

web安全[网易白帽子课程笔记+体会]-02web安全基础_第24张图片

5.3、sql注入例子万能密码

万能密码：admin’ – ,即admin+单引号+空格+双横杠+空格，双横杠表示注释。语句变成简单的查询语句，select name from teacher where name =‘admin’，肯定执行成功，所以不需要密码即可登录成功。
web安全[网易白帽子课程笔记+体会]-02web安全基础_第25张图片

6、命令注入

6.1、什么是命令注入

命令注入即 Command Injection。是指通过提交恶意构造的参数破坏命令语句结构，从而达到执行恶意命令的目的。在Web应用中，有时候会用到一些命令执行的函数，如php中system、exec、shell_exec等，当对用户输入的命令没有进行限制或者过滤不严导致用户可以执行任意命令时，就会造成命令执行漏洞。常见危害有，继承web应用程序的权限去执行系统命令读写执行文件、、反弹shell、控制整个网站甚至整个服务器、进一步内网渗透。

6.2、命令注入原理

命令注入类比图
web安全[网易白帽子课程笔记+体会]-02web安全基础_第26张图片
命令注入三要素，类比关系见下图：

  1. 调用可执行系统命令的函数，如shell的函数(system,exec)。
  2. 函数或函数的参数可控，比如通过url，Referer，post，cookie等参数。
  3. 拼接注入命令，如果采用了白名单限制也没法注入命令。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第27张图片
    命令注入攻击过程
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第28张图片

6.3、命令注入例子

  1. 不满足第二个要素，执行命令的函数和函数参数不可控的一段示例代码
    command1.php
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
</head>
<body>

if(isset($_GET['type'])){ 
	$type = $_GET['type']; //从参数中获取type值
}else{
	$type = 1;
}

switch($type){
	case 1:
		exec('ipconfig', $output, $status);
		break;
	case 2:
		exec('net user', $output, $status);
		break;
	case 3:
		exec('dir', $output, $status);
		break;
} //这里命令是写死的，不可控

foreach($output as $value){
	//编码转换，输出命令执行结果
	echo(mb_convert_encoding($value, "UTF-8", "GB2312"));
	echo("
");
}
?>
</body>
</html>
  1. 命令注入成功的一段示例代码
    command2.php，需要先下载curl.exe，并将其所在路径加入系统环境变量path。
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
</head>
<body>

if(isset($_GET['url'])){ 
	$url = $_GET['url']; //从参数中获取url
}else{
	$url = "http://dun.163.com";
}
//调用curl命令，获取url响应头
$cmd = 'curl -I "'.$url.'"';

//执行系统命令
exec($cmd, $output, $status);

echo "".htmlspecialchars($url).""."的响应头如下：

";

// 输出命令执行结果
foreach($output as $value){
	echo htmlspecialchars($value);
	echo "
";
}
?>
</body>
</html>

成功注入是因为curl函数参数可控，原理图如下，利用代码为：http://www.163.com" %26 dir "./。
web安全[网易白帽子课程笔记+体会]-02web安全基础_第29张图片
注意，因为&符号在url中是参数分隔符，这里需要将&符号进行url转义为“26%”。另外不需要输入最后一个双引号，php代码会自动补充。
输出结果如下：
web安全[网易白帽子课程笔记+体会]-02web安全基础_第30张图片

7、文件操作漏洞

7.1、什么是文件操作漏洞

常见的文件操作有文件包含、文件读取、文件删除、文件修改以及文件上传，对应常见的文件操作漏洞大概分为文件上传漏洞、任意文件下载漏洞、文件包含漏洞。常见危害有上传Webshell、上传木马、下载系统任意文件、下载程序代码等。

7.2、文件上传漏洞

文件上传漏洞需要两点：

  1. 可以上传可执行脚本，如php，jsp文件等。
  2. 脚本拥有可执行权限，即上传目录拥有执行权限。
    web安全[网易白帽子课程笔记+体会]-02web安全基础_第31张图片
    上传恶意文件evil.php，内容如下

	phpinfo(); //漏洞证明代码
?>

web安全[网易白帽子课程笔记+体会]-02web安全基础_第32张图片
获取evil.php地址，复制图像地址
web安全[网易白帽子课程笔记+体会]-02web安全基础_第33张图片
访问上传文件，evil.php执行成功，进一步利用可以上传webshell。
web安全[网易白帽子课程笔记+体会]-02web安全基础_第34张图片

7.3、文件下载漏洞

文件下载漏洞因为未考虑如下两点：
1.未验证下载文件格式，验证后缀，文件头等。
2. 未限制请求的路径。
web安全[网易白帽子课程笔记+体会]-02web安全基础_第35张图片
通过连接中写入参数name=download.rar直接下载文件。
web安全[网易白帽子课程笔记+体会]-02web安全基础_第36张图片
修改参数name=download.php，尝试下载已知服务器上存在的download.php文件，下载成功。由此可以通过路径遍历等方式尝试下载系统中的其他文件，如数据库配置，代码文件等。
web安全[网易白帽子课程笔记+体会]-02web安全基础_第37张图片

7.4、文件包含漏洞

分为：

  1. 本地文件包含，即包含的本地服务器上的文件。
  2. 远程文件包含，即包含的文件是远程服务器上的文件，通过http等网络请求来包含。对于php来说，测试远程文件包含时需要以下配置参数设置为on，allow_url_fopen=on(是否允许打开远程文件)；allow_url_include = on(是否允许包含远程文件)。

常用的文件包含函数include()、require()、include_once()、require_once()。。。
web安全[网易白帽子课程笔记+体会]-02web安全基础_第38张图片
文件包含漏洞示例代码include.php


if(isset($_GET['name'])){
	$filename = $_GET['name'];
	include($filename);
}else{
	echo "Error.";
}
?>

本地包含：首先上传一个evil.png，步骤与文件上传漏洞中相同，然后复制图像地址，找到该文件的相对路径upload/evil.png。web安全[网易白帽子课程笔记+体会]-02web安全基础_第39张图片
然后通过访问//服务器路径/include.php?name=upload/evil.png。来执行evil.png中的内容，图中执行成功。
web安全[网易白帽子课程笔记+体会]-02web安全基础_第40张图片
远程包含：将evil.png上传到远程服务器，然后通过访问//服务器路径/include.php?name=远程服务器地址/evil.png。来执行evil.png中的内容，图中执行成功。
web安全[网易白帽子课程笔记+体会]-02web安全基础_第41张图片

你可能感兴趣的:(安全,web安全)

  • 微服务下功能权限与数据权限的设计与实现 nbsaas-boot 微服务java架构
    在微服务架构下，系统的功能权限和数据权限控制显得尤为重要。随着系统规模的扩大和微服务数量的增加，如何保证不同用户和服务之间的访问权限准确、细粒度地控制，成为设计安全策略的关键。本文将讨论如何在微服务体系中设计和实现功能权限与数据权限控制。1.功能权限与数据权限的定义功能权限：指用户或系统角色对特定功能的访问权限。通常是某个用户角色能否执行某个操作，比如查看订单、创建订单、修改用户资料等。数据权限：
  • c++ 的iostream 和 c++的stdio的区别和联系 黄卷青灯77 c++算法开发语言iostreamstdio
    在C++中，iostream和C语言的stdio.h都是用于处理输入输出的库，但它们在设计、用法和功能上有许多不同。以下是两者的区别和联系：区别1.编程风格iostream（C++风格）：C++标准库中的输入输出流类库，支持面向对象的输入输出操作。典型用法是cin（输入）和cout（输出），使用>操作符来处理数据。更加类型安全，支持用户自定义类型的输入输出。#includeintmain(){in
  • Long类型前后端数据不一致 igotyback 前端
    响应给前端的数据浏览器控制台中response中看到的Long类型的数据是正常的到前端数据不一致前后端数据类型不匹配是一个常见问题，尤其是当后端使用Java的Long类型（64位）与前端JavaScript的Number类型（最大安全整数为2^53-1，即16位）进行数据交互时，很容易出现精度丢失的问题。这是因为JavaScript中的Number类型无法安全地表示超过16位的整数。为了解决这个问
  • 特殊的拜年 飘雪的天堂
    文/雪儿大年初一，家家户户没有了轰响的鞭炮声，大街上没有了人流涌动的喧闹，几乎看不到人影，变得冷冷清清。天刚亮不大会儿，村里的大喇叭响了起来：由于当前正值疾病高发期，流感流行的高峰期。同时，新型冠状病毒感染的肺炎进入第二波流行的上升期。为了自己和他人的健康安全着想，请大家尽量不要串门拜年，不要在街里走动。可以通过手机微信，视频，电话，信息拜年……今年的春节真是特别。禁止燃放鞭炮，烟花爆竹，禁止出村
  • 【华为OD技术面试真题 - 技术面】-测试八股文真题题库（1） 算法大师 华为od面试python算法前端
    华为OD面试真题精选专栏：华为OD面试真题精选目录:2024华为OD面试手撕代码真题目录以及八股文真题目录文章目录华为OD面试真题精选1.黑盒测试和白盒测试的区别2.假设我们公司现在开发一个类似于微信的软件1.0版本，现在要你测试这个功能：打开聊天窗口，输入文本，限制字数在200字以内。问你怎么提取测试点。功能测试性能测试安全性测试可用性测试跨平台兼容性测试网络环境测试3.接口测试的工具你了解哪些
  • 直返的东西正品吗?直返APP安全吗?直返是正规平台吗? 氧惠购物达人
    亲们，你们是不是经常在直返APP上买东西呀？但是，你们有没有想过，里面的东西到底是不是正品呢？这个APP安全吗？它是不是一个正规的平台呀？别着急，今天我就来给大家揭秘一下！氧惠APP（带货领导者）——是与以往完全不同的抖客+淘客app！2023全新模式，我的直推也会放到你下面。主打：带货高补贴，深受各位带货团队长喜爱（每天出单带货几十万单）。注册即可享受高补贴+0撸+捡漏等带货新体验。送万元推广大
  • EIO国际确定性的交易（3/10）资管 ， 资金委托安全吗？ 古城鹏哥
    大家可能都知道资金托管，账户是自己开，钱在自己的账户上，密码是由自己掌控，别人提不走你账户的资金，每天可以看下到自己的账户，也可以看到交易流水。现金只能提到自己的银行卡中。账户由技术人员或操作人员，或者是机构团队帮你操作账户，产生盈利和收入，以获得的利润来分配盈利，技术强硬和做的时间久了过硬技术团队，会保证你的资金本金，不会让你的本金亏损的按照一定比例分配收入。所以在这个过程当中一定要看清楚技术的
  • TDengine 签约前晨汽车，解锁智能出行的无限潜力 涛思数据（TDengine） tdengine汽车大数据
    在全球汽车产业转型升级的背景下，智能网联和新能源技术正迅速成为商用车行业的重要发展方向。随着市场对环保和智能化需求的日益增强，企业必须在技术创新和数据管理上不断突破，以满足客户对高效、安全和智能出行的期待。在这一背景下，前晨汽车凭借其在新能源智能商用车领域的前瞻性布局和技术实力，成为行业中的佼佼者。前晨汽车采用整车数据采集和全车数据打通策略，能够实时将数据推送至APP端客户。然而，这导致整体写入和
  • “这才好”麻辣香锅 能够增加人身体的免疫能力 小补文知
    我就来介绍一种香锅，那就是“这才好”麻辣香锅，它产出于著名的蜀地文化，具有悠久的历史土家风味，麻辣鲜香，健康安全。采用传统秘制麻辣香锅油辣子，还有贴心加料“孜然包”满足人们的不同口味需求，香锅底料辣椒，微辣且香，含有丰富微量元素和维生素，具有辣而不躁，味道纯正，醇厚温和。花椒采用历史悠久，被列为宫廷供品的“贡椒”的汉源花椒。我们还挑选了“川菜之魂”郫县豆瓣的鼻祖品牌豆瓣，保留最原始的郫县豆瓣味道，
  • Java面试题精选：消息队列(二) 芒果不是芒 Java面试题精选javakafka
    一、Kafka的特性1.消息持久化：消息存储在磁盘，所以消息不会丢失2.高吞吐量：可以轻松实现单机百万级别的并发3.扩展性：扩展性强，还是动态扩展4.多客户端支持：支持多种语言（Java、C、C++、GO、）5.KafkaStreams（一个天生的流处理）:在双十一或者销售大屏就会用到这种流处理。使用KafkaStreams可以快速的把销售额统计出来6.安全机制：Kafka进行生产或者消费的时候会
  • Kafka是如何保证数据的安全性、可靠性和分区的 喜欢猪猪 kafka分布式
    Kafka作为一个高性能、可扩展的分布式流处理平台，通过多种机制来确保数据的安全性、可靠性和分区的有效管理。以下是关于Kafka如何保证数据安全性、可靠性和分区的详细解析：一、数据安全性SSL/TLS加密：Kafka支持SSL/TLS协议，通过配置SSL证书和密钥来加密数据传输，确保数据在传输过程中不会被窃取或篡改。这一机制有效防止了中间人攻击，保护了数据的安全性。SASL认证：Kafka支持多种
  • 2022-10-10 幸福芳芳
    10.10日觉察日记1.事件：开晨会员工来不齐，路远的请假，离得近的也请假，一律不批！2.感受：生气，气愤（情绪如何转化或使用）3.想法：1.今年已经很少开晨会了，非必要不会通知开会的，临近点了再打电话请假，又不是特别忙的季节，借口都会找～～2.不来的按公司标准执行负激励，待岗处理！我为你们负责，你们安全重要会议都不参加，自己都不为自己负责！以后有事也别找我！尤其是经销商老板，自己都不清楚自己用工
  • MongoDB知识概括 GeorgeLin98 持久层mongodb
    MongoDB知识概括MongoDB相关概念单机部署基本常用命令索引-IndexSpirngDataMongoDB集成副本集分片集群安全认证MongoDB相关概念业务应用场景：传统的关系型数据库（如MySQL），在数据操作的“三高”需求以及应对Web2.0的网站需求面前，显得力不从心。解释：“三高”需求：①Highperformance-对数据库高并发读写的需求。②HugeStorage-对海量数
  • 计算机木马详细编写思路 小熊同学哦 php开发语言木马木马思路
    导语：计算机木马（ComputerTrojan）是一种恶意软件，通过欺骗用户从而获取系统控制权限，给黑客打开系统后门的一种手段。虽然木马的存在给用户和系统带来严重的安全风险，但是了解它的工作原理与编写思路，对于我们提高防范意识、构建更健壮的网络安全体系具有重要意义。本篇博客将深入剖析计算机木马的详细编写思路，以及如何复杂化挑战，以期提高读者对计算机木马的认识和对抗能力。计算机木马的基本原理计算机木
  • 基于STM32的汽车仪表显示系统：集成CAN、UART与I2C总线设计流程 极客小张 stm32汽车嵌入式硬件物联网单片机c语言
    一、项目概述项目目标与用途本项目旨在设计和实现一个基于STM32微控制器的汽车仪表显示系统。该系统能够实时显示汽车的速度、转速、油量等关键信息，并通过CAN总线与其他汽车控制单元进行通信。这种仪表显示系统不仅提高了驾驶的安全性和便捷性，还能为汽车提供更智能的用户体验。技术栈关键词微控制器：STM32显示技术：TFTLCD/OLED传感器：速度传感器、温度传感器、油量传感器通信协议：CAN总线、UA
  • 3286、穿越网格图的安全路径 Lenyiin 题解c++算法leetcode
    3286、[中等]穿越网格图的安全路径1、题目描述给你一个mxn的二进制矩形grid和一个整数health表示你的健康值。你开始于矩形的左上角(0,0)，你的目标是矩形的右下角(m-1,n-1)。你可以在矩形中往上下左右相邻格子移动，但前提是你的健康值始终是正数。对于格子(i,j)，如果grid[i][j]=1，那么这个格子视为不安全的，会使你的健康值减少1。如果你可以到达最终的格子，请你返回tr
  • 不安全依恋 徐猛_Merlin
    11.2不安全依恋在关系中自由的心里是不受她人情绪所影响和去发展新的关系两种。而不安全的依恋是对自己的关系存在恐惧的因素，也就是对周边的环境很陌生，而当在这个环境中存在一个熟悉的声音就是一种安全的依恋。这种依恋可能是一个熟悉的表情或者熟悉的面庞等等。
  • 【Python搞定车载自动化测试】——Python实现车载以太网DoIP刷写（含Python源码） 疯狂的机器人 Python搞定车载自动化pythonDoIPUDSISO142291SO13400Bootloadertcp/ip
    系列文章目录【Python搞定车载自动化测试】系列文章目录汇总文章目录系列文章目录前言一、环境搭建1.软件环境2.硬件环境二、目录结构三、源码展示1.DoIP诊断基础函数方法2.DoIP诊断业务函数方法3.27服务安全解锁4.DoIP自动化刷写四、测试日志1.测试日志五、完整源码链接前言随着智能电动汽车行业的发展，汽车=智能终端+四个轮子，各家车企都推出了各自的OTA升级方案，本章节主要介绍如何使
  • 4 大低成本娱乐方式: 小说, 音乐, 视频, 电子游戏 穷人小水滴 娱乐音视频低成本小说游戏
    穷人如何获得快乐?小说,音乐,视频,游戏,本文简单盘点一下这4大低成本(安全)娱乐方式.这里是穷人小水滴,专注于穷人友好型低成本技术.(本文为58号作品.)目录1娱乐方式1.1小说(网络小说)1.2音乐1.3视频(b站)1.4游戏(电子游戏/计算机软件)2低成本:一只手机即可3总结与展望1娱乐方式这几种,也可以说是艺术的具体形式.更专业的说,(娱乐)是劳动力再生产的重要组成部分.使人放松,获得快乐
  • 今天是总结 薛帅
    今天来个最后一天的总结。为什么要学习写作技巧呢？就如同建房子，如果想要住的安全、舒服，我们要先打地基，建房子的框架，这样才能随意的装修。那么我们要怎么建好才能建好写作的地基呢？1走直路，少弯路01利他：能够给别人带来价值。02吸引：吸住读者的眼球。03打动：打动人心，引起共鸣。04说服：用数据说话。05刻意：通过有意识的训练。06修改：好的文章至上修改10遍。07模仿：10万+的文章必有成功的道理
  • 拼多多返现要输入身份证号码安全吗?拼单返现是什么? 优惠券高省
    当我们谈到拼多多返现金活动时，很多朋友会担心提供身份证信息的安全性以及返现金额的真实性。今天，我就来为大家揭开这些疑虑的面纱，为大家提供一个清晰的答案。【高省】APP（高佣金领导者）是一个自用省钱佣金高，分享推广赚钱多的平台，百度有几百万篇报道，运行三年，稳定可靠。高省APP，是2021年推出的平台，0投资，0风险、高省APP佣金更高，模式更好，终端用户不流失。高省是公认的返利最高的软件。古楼导师
  • 《驴友的朝圣》065 户外运动论坛，论户外运动之现在与未来 经典老表
    十几年来，我国户外运动蓬勃发展，已经形成全民参与热情。各类户外运动项目和形式层出不穷。各种户外运动装备产品花样百出。看着形势一派大好。但是，在这大好形势之下，仍存在着诸多的发展瓶颈及安全与管理问题，需要提请重视。为此，江城登山协会在本地召开了“户外运动论坛”，邀请市内户外运动俱乐部及体育系统领导一起研讨本地区户外运动发展的可持续性。2019年6月1日，论坛在世贸万锦大酒店的支持下，在其三层会议大厅
  • 华为云分布式缓存服务DCS 8月新特性发布 华为云PaaS服务小智 华为云分布式缓存
    分布式缓存服务（DistributedCacheService，简称DCS）是华为云提供的一款兼容Redis的高速内存数据处理引擎，为您提供即开即用、安全可靠、弹性扩容、便捷管理的在线分布式缓存能力，满足用户高并发及数据快速访问的业务诉求。此次为大家带来DCS8月的特性更新内容，一起来看看吧！
  • c++ 内存处理函数 heeheeai c++开发语言
    在C语言的头文件中，memcpy和memmove函数都用于复制内存块，但它们在处理内存重叠方面存在关键区别：内存重叠:memcpy函数不保证在源内存和目标内存区域重叠时能够正确复制数据。如果内存区域重叠，memcpy的行为是未定义的，可能会导致数据损坏或程序崩溃。memmove函数能够安全地处理源内存和目标内存区域重叠的情况。它会确保在复制过程中不会覆盖尚未复制的数据，从而保证数据的完整性。效率:
  • 每日OJ_牛客_马戏团（模拟最长上升子序列） GR鲸鱼 c++算法开发语言牛客数据结构
    目录牛客_马戏团（模拟最长上升子序列）解析代码牛客_马戏团（模拟最长上升子序列）马戏团__牛客网搜狐员工小王最近利用假期在外地旅游，在某个小镇碰到一个马戏团表演，精彩的表演结束后发现团长正和大伙在帐篷前激烈讨论，小王打听了下了解到，马戏团正打算出一个新节目“最高罗汉塔”，即马戏团员叠罗汉表演。考虑到安全因素，要求叠罗汉过程中，站在某个人肩上的人应该既比自己矮又比自己瘦，或相等。团长想要本次节目中的
  • 信息系统安全相关概念(上) YuanDaima2048 课程笔记基础概念安全信息安全笔记
    文章总览：YuanDaiMa2048博客文章总览下篇:信息系统安全相关概念(下)信息系统安全相关概念[上]信息系统概述信息系统信息系统架构信息系统发展趋势：信息系统日趋大型化、复杂化信息系统面临的安全威胁信息系统安全架构设计--以云计算为例信息系统安全需求及安全策略自主访问控制策略DAC强制访问控制策略MAC信息系统概述信息系统用于收集、存储和处理数据以及传递信息、知识和数字产品的一组集成组件。几
  • 【加密算法基础——RSA 加密】 XWWW668899 网络服务器笔记python
    RSA加密RSA（Rivest-Shamir-Adleman）加密是非对称加密，一种广泛使用的公钥加密算法，主要用于安全数据传输。公钥用于加密，私钥用于解密。RSA加密算法的名称来源于其三位发明者的姓氏：R:RonRivestS:AdiShamirA:LeonardAdleman这三位计算机科学家在1977年共同提出了这一算法，并发表了相关论文。他们的工作为公钥加密的基础奠定了重要基础，使得安全通
  • 信息系统安全相关概念(下) YuanDaima2048 基础概念课程笔记安全
    文章总览：YuanDaiMa2048博客文章总览上篇指路：信息系统安全相关概念(上)信息系统安全相关概念[下]信息系统风险评估安全风险评估信息系统等级保护网络安全法等级保护等级保护工作流程环境安全信息系统风险评估安全风险评估对信息系统整体安全态势的感知和对重大安全事件的预警，实现“事前能预防，事中能控制，事后能处理”。安全风险组成的四要素：信息系统资产（Asset）信息系统脆弱性（Vulnerab
  • APQP，ASPICE，敏捷，功能安全，预期安全，这些汽车行业的一堆标准 二大宝贝 安全架构
    前言APQP,ASPICE,敏捷，功能安全，预期安全，PMP，PRICE2汽车行业的有这样一堆标准。我是半路出家来到汽车行业做项目经理的，对几个标准的感觉是，看了文档和各种解析之后还是一头雾水，不知道到底说了个啥，别人问我还是一脸懵逼。APQP（TS16949的最重要工具），ASPICE（软件）这些是质量标准，是优化整个公司体系的，但这套体系对项目管理有要求；敏捷，PMP这些是项目管理的标准；项目
  • 探索ASPICE V3.1：汽车行业软件开发的中文指南 阮懿同
    探索ASPICEV3.1：汽车行业软件开发的中文指南ASPICE_V3.1中文版.pdf.zip项目地址:https://gitcode.com/open-source-toolkit/422a2在汽车软件工程领域，高质量的标准对于确保行车安全和提升用户体验至关重要。今天，我们为您介绍一个珍贵的开源宝藏——ASPICEV3.1中文版资源。这是一篇专为国内汽车行业开发者、质量管理者准备的深度解读，旨
  • TOMCAT在POST方法提交参数丢失问题 357029540 javatomcatjsp
    摘自http://my.oschina.net/luckyi/blog/213209 昨天在解决一个BUG时发现一个奇怪的问题，一个AJAX提交数据在之前都是木有问题的，突然提交出错影响其他处理流程。 检查时发现页面处理数据较多，起初以为是提交顺序不正确修改后发现不是由此问题引起。于是删除掉一部分数据进行提交，较少数据能够提交成功。 恢复较多数据后跟踪提交FORM DATA ，发现数
  • 在MyEclipse中增加JSP模板 删除-2008-08-18 ljy325 jspxmlMyEclipse
    在D:\Program Files\MyEclipse 6.0\myeclipse\eclipse\plugins\com.genuitec.eclipse.wizards_6.0.1.zmyeclipse601200710\templates\jsp  目录下找到Jsp.vtl，复制一份，重命名为jsp2.vtl,然后把里面的内容修改为自己想要的格式，保存。 然后在 D:\Progr
  • JavaScript常用验证脚本总结 eksliang JavaScriptjavaScript表单验证
         转载请出自出处：http://eksliang.iteye.com/blog/2098985        下面这些验证脚本，是我在这几年开发中的总结，今天把他放出来，也算是一种分享吧，现在在我的项目中也在用！包括日期验证、比较，非空验证、身份证验证、数值验证、Email验证、电话验证等等...! &nb
  • 微软BI（4） 18289753290 微软BI SSIS
    1） Q:查看ssis里面某个控件输出的结果：  A MessageBox.Show(Dts.Variables["v_lastTimestamp"].Value.ToString()); 这是我们在包里面定义的变量 2):在关联目的端表的时候如果是一对多的关系，一定要选择唯一的那个键作为关联字段。 3) Q：ssis里面如果将多个数据源的数据插入目的端一
  • 定时对大数据量的表进行分表对数据备份 酷的飞上天空 大数据量
    工作中遇到数据库中一个表的数据量比较大，属于日志表。正常情况下是不会有查询操作的，但如果不进行分表数据太多，执行一条简单sql语句要等好几分钟。。   分表工具：linux的shell + mysql自身提供的管理命令 原理：使用一个和原表数据结构一样的表，替换原表。   linux shell内容如下： =======================开始 
  • 本质的描述与因材施教 永夜-极光 感想随笔
             不管碰到什么事,我都下意识的想去探索本质,找寻一个最形象的描述方式。        我坚信,世界上对一件事物的描述和解释,肯定有一种最形象,最贴近本质,最容易让人理解        &
  • 很迷茫。。。 随便小屋 随笔
    小弟我今年研一，也是从事的咱们现在最流行的专业（计算机）。本科三流学校，为了能有个更好的跳板，进入了考研大军，非常有幸能进入研究生的行业（具体学校就不说了，怕把学校的名誉给损了）。   先说一下自身的条件，本科专业软件工程。主要学习就是软件开发，几乎和计算机没有什么区别。因为学校本身三流，也就是让老师带着学生学点东西，然后让学生毕业就行了。对专业性的东西了解的非常浅。就那学的语言来说
  • 23种设计模式的意图和适用范围 aijuans 设计模式
    Factory Method 意图 定义一个用于创建对象的接口，让子类决定实例化哪一个类。Factory Method 使一个类的实例化延迟到其子类。 　　适用性 当一个类不知道它所必须创建的对象的类的时候。 　　当一个类希望由它的子类来指定它所创建的对象的时候。 　　当类将创建对象的职责委托给多个帮助子类中的某一个，并且你希望将哪一个帮助子类是代理者这一信息局部化的时候。 Abstr
  • Java中的synchronized和volatile aoyouzi javavolatilesynchronized
    说到Java的线程同步问题肯定要说到两个关键字synchronized和volatile。说到这两个关键字，又要说道JVM的内存模型。JVM里内存分为main memory和working memory。 Main memory是所有线程共享的，working memory则是线程的工作内存，它保存有部分main memory变量的拷贝，对这些变量的更新直接发生在working memo
  • js数组的操作和this关键字 百合不是茶 js数组操作this关键字
    js数组的操作;   一:数组的创建: 1、数组的创建 var array = new Array();　//创建一个数组 var array = new Array([size]);　//创建一个数组并指定长度，注意不是上限，是长度 var arrayObj = new Array([element0[, element1[, ...[, elementN]]]
  • 别人的阿里面试感悟 bijian1013 面试分享工作感悟阿里面试
    原文如下：http://greemranqq.iteye.com/blog/2007170         一直做企业系统，虽然也自己一直学习技术，但是感觉还是有所欠缺，准备花几个月的时间，把互联网的东西，以及一些基础更加的深入透析，结果这次比较意外，有点突然，下面分享一下感受吧！    &nb
  • 淘宝的测试框架Itest Bill_chen springmaven框架单元测试JUnit
    Itest测试框架是TaoBao测试部门开发的一套单元测试框架，以Junit4为核心， 集合DbUnit、Unitils等主流测试框架，应该算是比较好用的了。 近期项目中用了下，有关itest的具体使用如下： 1.在Maven中引入itest框架： <dependency>   <groupId>com.taobao.test</groupId&g
  • 【Java多线程二】多路条件解决生产者消费者问题 bit1129 java多线程
    package com.tom; import java.util.LinkedList; import java.util.Queue; import java.util.concurrent.ThreadLocalRandom; import java.util.concurrent.locks.Condition; import java.util.concurrent.loc
  • 汉字转拼音pinyin4j 白糖_ pinyin4j
    以前在项目中遇到汉字转拼音的情况，于是在网上找到了pinyin4j这个工具包，非常有用，别的不说了，直接下代码：   import java.util.HashSet; import java.util.Set; import net.sourceforge.pinyin4j.PinyinHelper; import net.sourceforge.pinyin
  • org.hibernate.TransactionException: JDBC begin failed解决方案 bozch ssh数据库异常DBCP
    org.hibernate.TransactionException: JDBC begin failed:     at org.hibernate.transaction.JDBCTransaction.begin(JDBCTransaction.java:68)    at org.hibernate.impl.SessionImp
  • java-并查集（Disjoint-set）-将多个集合合并成没有交集的集合 bylijinnan java
    import java.util.ArrayList; import java.util.Arrays; import java.util.HashMap; import java.util.HashSet; import java.util.Iterator; import java.util.List; import java.util.Map; import java.ut
  • Java PrintWriter打印乱码 chenbowen00 java
    一个小程序读写文件，发现PrintWriter输出后文件存在乱码，解决办法主要统一输入输出流编码格式。 读文件： BufferedReader 从字符输入流中读取文本，缓冲各个字符，从而提供字符、数组和行的高效读取。 可以指定缓冲区的大小，或者可使用默认的大小。大多数情况下，默认值就足够大了。 通常，Reader 所作的每个读取请求都会导致对基础字符或字节流进行相应的读取请求。因
  • [天气与气候]极端气候环境 comsci 环境
          如果空间环境出现异变...外星文明并未出现,而只是用某种气象武器对地球的气候系统进行攻击,并挑唆地球国家间的战争,经过一段时间的准备...最大限度的削弱地球文明的整体力量,然后再进行入侵......      那么地球上的国家应该做什么样的防备工作呢?  &n
  • oracle order by与union一起使用的用法 daizj UNIONoracleorder by
    当使用union操作时，排序语句必须放在最后面才正确，如下： 只能在union的最后一个子查询中使用order by，而这个order by是针对整个unioning后的结果集的。So： 如果unoin的几个子查询列名不同，如 Sql代码  select supplier_id, supplier_name  from suppliers  UNI
  • zeus持久层读写分离单元测试 deng520159 单元测试
    本文是zeus读写分离单元测试,距离分库分表,只有一步了.上代码: 1.ZeusMasterSlaveTest.java package com.dengliang.zeus.webdemo.test; import java.util.ArrayList; import java.util.List; import org.junit.Assert; import org.j
  • Yii 截取字符串(UTF-8) 使用组件 dcj3sjt126com yii
    1.将Helper.php放进protected\components文件夹下。 2.调用方法：   Helper::truncate_utf8_string($content,20,false);   //不显示省略号  Helper::truncate_utf8_string($content,20);  //显示省略号  &n
  • 安装memcache及php扩展 dcj3sjt126com PHP
    安装memcache    tar zxvf memcache-2.2.5.tgz     cd memcache-2.2.5/     /usr/local/php/bin/phpize (?)    ./configure --with-php-confi
  • JsonObject 处理日期 feifeilinlin521 javajsonJsonOjbectJsonArrayJSONException
        写这边文章的初衷就是遇到了json在转换日期格式出现了异常 net.sf.json.JSONException: java.lang.reflect.InvocationTargetException  原因是当你用Map接收数据库返回了java.sql.Date 日期的数据进行json转换出的问题话不多说  直接上代码  &n
  • Ehcache（06）——监听器 234390216 监听器listenerehcache
    监听器          Ehcache中监听器有两种，监听CacheManager的CacheManagerEventListener和监听Cache的CacheEventListener。在Ehcache中，Listener是通过对应的监听器工厂来生产和发生作用的。下面我们将来介绍一下这两种类型的监听器。  
  • activiti 自带设计器中chrome 34版本不能打开bug的解决 jackyrong Activiti
      在acitivti modeler中，如果是chrome 34，则不能打开该设计器，其他浏览器可以， 经证实为bug，参考 http://forums.activiti.org/content/activiti-modeler-doesnt-work-chrome-v34 修改为，找到 oryx.debug.js 在最头部增加 if (!Document.
  • 微信收货地址共享接口-终极解决 laotu5i0 微信开发
       最近要接入微信的收货地址共享接口，总是不成功，折腾了好几天，实在没办法网上搜到的帖子也是骂声一片。我把我碰到并解决问题的过程分享出来，希望能给微信的接口文档起到一个辅助作用，让后面进来的开发者能快速的接入，而不需要像我们一样苦逼的浪费好几天，甚至一周的青春。各种羞辱、谩骂的话就不说了，本人还算文明。    如果你能搜到本贴，说明你已经碰到了各种 ed
  • 关于人才 netkiller.github.com 工作面试招聘netkiller人才
    关于人才 每个月我都会接到许多猎头的电话，有些猎头比较专业，但绝大多数在我看来与猎头二字还是有很大差距的。 与猎头接触多了，自然也了解了他们的工作，包括操作手法，总体上国内的猎头行业还处在初级阶段。 总结就是“盲目推荐，以量取胜”。 目前现状 许多从事人力资源工作的人，根本不懂得怎么找人才。处在人才找不到企业，企业找不到人才的尴尬处境。 企业招聘，通常是需要用人的部门提出招聘条件，由人
  • 搭建 CentOS 6 服务器 - 目录 rensanning centos
    (1) 安装CentOS ISO（desktop/minimal）、Cloud（AWS/阿里云）、Virtualization（VMWare、VirtualBox） 详细内容 (2) Linux常用命令 cd、ls、rm、chmod...... 详细内容 (3) 初始环境设置 用户管理、网络设置、安全设置...... 详细内容 (4) 常驻服务Daemon
  • 【求助】mongoDB无法更新主键 toknowme mongodb
      Query query = new Query();          query.addCriteria(new Criteria("_id").is(o.getId()));                &n
  • jquery 页面滚动到底部自动加载插件集合 xp9802 jquery
    很多社交网站都使用无限滚动的翻页技术来提高用户体验，当你页面滑到列表底部时候无需点击就自动加载更多的内容。下面为你推荐 10 个 jQuery 的无限滚动的插件： 1. jQuery ScrollPagination jQuery ScrollPagination plugin 是一个 jQuery 实现的支持无限滚动加载数据的插件。 2. jQuery Screw S
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他