不断积淀
不断积淀

XXE详解-----XML实体注入

XXE-----XML外部实体注入

XML简介

  • XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。
  • XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素
    XXE详解-----XML实体注入_第1张图片

XML文档的构建模块

  • 所有的 XML 文档（以及 HTML 文档）均由以下简单的构建模块构成：
    • 元素
    • 属性
    • 实体
    • PCDATA
    • CDATA
    1. 元素
      元素是 XML 以及 HTML 文档的主要构建模块，元素可包含文本、其他元素或者是空的。

      body text in between

    2. 属性
      属性可提供元素的额外信息

    3. 实体
      实体是用来定义普通文本的变量。实体引用是对实体的引用。
    4. PCDATA
      PCDATA 的意思是被解析的字符数据（parsed character data）。
      PCDATA 是会被解析器解析的文本。这些文本将被解析器检查实体以及标记。
    5. CDATA
      CDATA 的意思是字符数据（character data）。
      CDATA 是不会被解析器解析的文本。

DTD(文档类型定义)

  • DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。
  • DTD 可以在 XML 文档内声明，也可以外部引用。
  • 内部声明：ex:
    实例：


  <!ELEMENT to      (#PCDATA)>
  <!ELEMENT from    (#PCDATA)>
  <!ELEMENT heading (#PCDATA)>
  <!ELEMENT body    (#PCDATA)>
]>
<note>
  <to>Georgeto>
  <from>Johnfrom>
  <heading>Reminderheading>
  <body>Don't forget the meeting!body>
note>
  • 外部声明（引用外部DTD）：ex:
?xml version="1.0"?>

<note>
<to>Georgeto>
<from>Johnfrom>
<heading>Reminderheading>
<body>Don't forget the meeting!body>
note>

note.dtd的内容为:

<!ELEMENT note (to,from,heading,body)>
<!ELEMENT to (#PCDATA)>
<!ELEMENT from (#PCDATA)>
<!ELEMENT heading (#PCDATA)>
<!ELEMENT body (#PCDATA)>

DTD实体

  • DTD实体是用于定义引用普通文本或特殊字符的快捷方式的变量，可以内部声明或外部引用。
  • 实体又分为一般实体和参数实体
    1. 一般实体的声明语法:
      引用实体的方式：&实体名；
    2. 参数实体只能在DTD中使用，参数实体的声明格式：
      引用实体的方式：%实体名；
  • 内部实体声明:
    实例


<!ENTITY copyright "Copyright W3School.com.cn">
]>

<test>&writer;©right;test>
  • 外部实体声明:
    实例



]>
<author>&writer;©right;author>
  • 在了解了基础知识后，下面开始了解xml外部实体注入引发的问题。

XXE的攻击（XML External Entity）

  • 什么是XXE？
    xxe也就是xml外部实体注入。
  • 怎样构建外部实体注入？
    方式一：直接通过DTD外部实体声明
    XML内容
    XXE详解-----XML实体注入_第2张图片
    方式二：通过DTD文档引入外部DTD文档，再引入外部实体声明
    XML内容：
    在这里插入图片描述
    DTD文件内容：
    在这里插入图片描述
    方式三：通过DTD外部实体声明引入外部实体声明
    意思就是先写一个外部实体声明，然后引用的是在攻击者服务器上面的外部实体声明
    具体看例子
    XML内容
    XXE详解-----XML实体注入_第3张图片
    dtd文件内容：
    在这里插入图片描述
  • 支持的协议有哪些？
    XXE详解-----XML实体注入_第4张图片
  • 产生哪些危害？
  1. XXE危害1：读取任意文件
  • 利用file协议读取本地服务器文件

]>
<foo>
        <value>&passwd;value>
foo>
  1. XXE危害2：执行系统命令
  • 执行命令需要PHP装有expect扩展，比较少见

$xml = <<<EOF

 # id
]>
&f;
EOF;
$data = simplexml_load_string($xml);
print_r($data);
?>
  1. XXE危害3：探测内网端口
  • 利用http协议

$xml = <<<EOF


]>
&f;
EOF;
$data = simplexml_load_string($xml);
print_r($data);
?>
  1. XXE危害4：拒绝服务攻击
  • 该攻击通过创建一项递归的 XML 定义，在内存中生成十亿个"lol"字符串，消耗系统资源，从而导致 DDoS 攻击。

 
 <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
 <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
 <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
 <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
 <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
 <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
 <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
 <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
 ]>
 <lolz>&lol9;lolz>

XXE漏洞修复与防御

  • 使用开发语言提供的禁用外部实体的方法
PHP:
libxml_disable_entity_loader(true);

JAVA:

DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();

dbf.setExpandEntityReferences(false);

Python:

from lxml import etree

xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))
  • 过滤用户提交的XML数据
    过滤关键词：和，或者SYSTEM和PUBLIC。

你可能感兴趣的:(渗透测试)

  • Web API 渗透测试指南 江左盟宗主 WEB渗透从入门到精通WebAPI渗透测试WebAPI
    概述API（ApplicationProgrammingInterface，应用程序编程接口）是一个允许不同软件应用程序之间进行通信和数据交换的接口。API定义了一组规则和协议，软件开发者可以使用这些规则和协议来访问操作系统、库、服务或其他应用程序的功能。API的基本概念接口（Interface）:API提供了一组公开的方法和端点，供外部系统调用。这些方法和端点通常通过URL、函数名或服务名称来表
  • 渗透测试/漏洞赏金/src/黑客自学指南
    Web渗透测试方法论方法论概要在此方法论中我们的目标范围仅是一个域名或一个子域名，因此你应当针对你测试范围内的每一个不确定其web服务的域名，子域名或ip进行测试1.首先确定web服务器所使用的技术，其次如果你成功识别到技术，那么接下来要知道如何利用检索的信息。·该技术版本有任何已知的漏洞吗·使用的是常规的技术吗？有什么有用的技巧以此来检索更多的信息？·有没有针对某种技术的专用的扫描器可以用？比如
  • 2025年渗透测试面试题总结-2025年HW(护网面试) 16（题目+回答） 独行soc 2025年护网面试职场和发展web安全安全linux渗透测试护网
    安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。目录2025年HW(护网面试)161.渗透测试步骤2.信息收集方法3.常用扫描器优缺点4.Burp破解MD5/Base64加密密码5.常见HTTP方法及区别6.常见状态码含义7.请求头作用8.响应头作用9.Cookie的Secure和HttpOnly属性10.渗透常用编码11
  • 2025年渗透测试面试题总结-2025年HW(护网面试) 15（题目+回答） 独行soc 2025年护网面试职场和发展web安全安全linux渗透测试网络安全
    安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。目录2025年HW(护网面试)151.实习经历2.CNVD证书类型3.登录窗口渗透测试流程4.验证码绕过实战手法技术型绕过（自动化）逻辑型绕过（手动测试）5.WAF绕过能力说明6.职业发展规划7.技术成长周期8.漏洞复现与运营2025年HW(护网面试)151、有没有实习过？在
  • 前端替换打包后文件中的内容方案（可用于渗透测试后将问题版本号清空临时解决方案） Anarkh_Lee 前端nodevue前端vuenode.js
    1.问题背景在前端项目安全扫描过程中，经常遇到第三方依赖库版本安全风险提示。然而，直接升级依赖库可能导致以下问题：升级成本高，需要全面回归测试可能引入新的兼容性问题项目稳定性风险增加开发周期延长本文介绍一种在构建过程中优化版本信息的技术方案，适用于紧急情况下的临时处理方案。2.实现思路该方案主要通过以下步骤实现：识别构建后文件中包含的第三方库版本信息创建构建后处理脚本，去除特定版本号信息集成到现有
  • 2025年渗透测试面试题总结-2025年HW(护网面试) 13（题目+回答）
    安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。目录2025年HW(护网面试)131.简历漏洞逐条分析2.判断是否为CMS系统3.后台扫描工具推荐4.御剑的字典包5.BurpSuite核心模块6.越权与逻辑漏洞测试7.大规模网站测试经验8.AWVS/AppScan替代方案9.Bypass手法合集10.SQL注入提权至管理员
  • 2025年渗透测试面试题总结-2025年HW(护网面试) 14（题目+回答）
    安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。目录1.SQL注入原理2.XXE攻击（XML外部实体注入）3.SQL注入分类⚙️4.Windows提权方法5.文件上传绕过技巧️6.代码审计核心要点7.逻辑漏洞类型8.验证码绕过方法️9.CSRF原理10.无工具的子域名收集2025年HW(护网面试)141、sql注入原理2、
  • kali系统 windows Linux靶机入侵演练 GHY云端大师 网络安全Linuxlinux渗透入侵网络安全kali
    Kali系统与Windows/Linux靶机入侵演练简介演练概述KaliLinux是一款专为渗透测试和网络安全评估设计的操作系统，常被安全专业人员用于合法的安全测试。入侵演练是网络安全训练的重要组成部分，旨在帮助安全人员了解攻击手法并提升防御能力。基本组件1.**攻击机**：通常运行KaliLinux，包含各种渗透测试工具2.**靶机**：可以是Windows或Linux系统，用于模拟被攻击目标常
  • 网络安全项目实战：Python在网络安全中的应用 kleo3270
    本文还有配套的精品资源，点击获取简介：网络安全项目工程是一个用Python编写的程序，重点在于实现特定的安全功能或进行网络安全性分析。本项目详细解析了如何使用Python执行特定命令以实现网络安全性，涵盖了网络编程、加密、数据分析、Web安全、认证授权、异常检测等技术。同时，还涉及到网络扫描、渗透测试以及入侵检测系统，使用Python库进行各种网络安全操作。1.Python在网络安全中的应用概述网
  • 木马免杀 学习方案 浩策 信息收集学习网络安全安全系统安全web安全安全架构网络攻击模型
    目录️1.Web页面源码分析用于信息收集的技术点技术点与技术栈2.敏感文件读取的信息收集分析前后分析️细化步骤与网络安全分析3.信息收集的前后关联与技术栈前后关联分析技术栈总结4.全局总结⚔️5.攻击技术链攻击链可视化️1.Web页面源码分析用于信息收集的技术点Web页面源码分析是红队渗透测试的初始步骤，通过检查HTML、JavaScript、CSS和其他资源，识别潜在漏洞、暴露的敏感信息、文件路
  • 618号外：MS08067安全实验室也做安全培训了 Ms08067安全实验室 java编程语言安全人工智能项目管理
    全新红队攻防直播培训课程重磅来袭直播培训的目标是让您学会而不是仅仅给您一堆视频教程去看私塾式小班精讲，可免费重听!课程费用每期班定价2999，首期班618首发价1999（含图书一本），限额35人，每个报名学员都享受免费的重听权益，一次没学懂就再来一遍。请有意参加培训的学员抓紧报名qq：8946723学习资源每位报名学员免费邮寄一本《内网安全攻防;渗透测试实战指南》，并提供课程中需要的相关软件和环境
  • 渗透测试指南(CS&&MSF)：Windows 与 Linux 系统中的日志与文件痕迹清理 浩策 提权&&权限维持windowslinux运维网络安全安全系统安全web安全
    目录️‍♂️一、清理日志的重要性核心目标案例：域控渗透后日志暴露️二、Windows系统日志清理1.事件日志（EventLogs）2.Web日志（IISLogs）3.PowerShell日志4.其他日志三、Linux系统日志清理1.系统日志（Syslog）2.认证日志（AuthLogs）3.Web服务器日志4.其他日志️四、删除攻击工具与文件1.Windows系统2.Linux系统五、高级红队对抗
  • 安全测试之Burp Suite 下载、安装及操作指南 心 一 测试web安全安全测试工具
    BurpSuite下载、安装及操作指南一、BurpSuite简介BurpSuite是一款用于Web应用程序安全测试的集成平台，由PortSwigger公司开发。它包含多种工具，可以用于拦截、检查和修改Web流量，是安全测试人员和渗透测试工程师的常用工具。二、下载BurpSuite访问官方网站：打开浏览器，访问PortSwigger官网选择版本：CommunityEdition：免费版本，功能有限P
  • Pterodactyl未认证任意代码执行漏洞(CVE-2025-49132) Byp0ss403小号 在野漏洞复现漏洞复现
    免责声明本文档所述漏洞详情及复现方法仅限用于合法授权的安全研究和学术教育用途。任何个人或组织不得利用本文内容从事未经许可的渗透测试、网络攻击或其他违法行为。使用者应确保其行为符合相关法律法规，并取得目标系统的明确授权。对于因不当使用本文信息而造成的任何直接或间接后果，作者概不负责。若您发现本文内容涉及侵权或不当信息，请及时联系我们，我们将立即核实并采取必要措施。一：产品介绍Pterodactyl是
  • Kafka Connect 存在任意文件读取漏洞(CVE-2025-27817) Byp0ss403小号 在野漏洞复现kafka漏洞复现
    免责声明本文档所述漏洞详情及复现方法仅限用于合法授权的安全研究和学术教育用途。任何个人或组织不得利用本文内容从事未经许可的渗透测试、网络攻击或其他违法行为。使用者应确保其行为符合相关法律法规，并取得目标系统的明确授权。对于因不当使用本文信息而造成的任何直接或间接后果，作者概不负责。若您发现本文内容涉及侵权或不当信息，请及时联系我们，我们将立即核实并采取必要措施。一：产品介绍ApacheKafka是
  • 08.安全见闻7 abc123. 泷羽sec红队笔记安全
    声明学习视频来自B站UP主泷羽sec,如涉及侵权马上删除文章笔记的只是方便各位师傅学习知识,以下网站只涉及学习内容,其他的都与本人无关,切莫逾越法律红线,否则后果自负B站泷羽sec全栈渗透测试教学学习视频（免费）《网络安全热门证书介绍及备考指南》0SCP(OffensiveSecurityCertifiedProfessional)(一)证书介绍OSCP是OffensiveSecurity提供的渗
  • GeoServer和GeoTools XML外部实体注入漏洞(CVE-2025-30220) Byp0ss403小号 在野漏洞复现漏洞复现java
    免责声明本文档所述漏洞详情及复现方法仅限用于合法授权的安全研究和学术教育用途。任何个人或组织不得利用本文内容从事未经许可的渗透测试、网络攻击或其他违法行为。使用者应确保其行为符合相关法律法规，并取得目标系统的明确授权。对于因不当使用本文信息而造成的任何直接或间接后果，作者概不负责。若您发现本文内容涉及侵权或不当信息，请及时联系我们，我们将立即核实并采取必要措施。一：产品介绍GeoServer是一款
  • 关于转行网络安全的一些建议（非常详细）零基础入门到精通，收藏这一篇就够了 网络安全工程师教学 网络安全黑客黑客技术web安全网络安全游戏服务器
    在当前就业形势下，不少朋友面临转行的困境。网络安全作为一个热门领域，自然也吸引了许多人的目光。本文将就转行网络安全这一话题，提供一些切实可行的建议。网络安全行业概况网络安全涵盖了从基础的脚本编写到高级的漏洞研究等多个层面。该领域包括但不限于：渗透测试、漏洞评估、恶意软件分析、入侵检测、信息安全管理等。这些内容的复杂性不一，从基础的安全监控到复杂的安全架构设计都涉及其中。这就意味着，尽管有些领域可能
  • 转行网络安全行业，普通人如何选择职业？ 网络安全学习室 网络安全学习路线web安全网络安全
    网络安全被列为国家安全战略的一部分，安全行业规模逐渐扩大，网安人员的需求也随之增加。很多刚转行过来的新同学，对网络安全岗位了解还比较少，今天明叔给大家讲一下网络安全行业都有哪些岗位以及职责要求，我们一起来看看吧。1渗透测试工程师岗位释义：渗透测试岗位主要是模拟黑客攻击，利用黑客技术，挖掘漏洞，提出修复建议。需要用到数据库、网络技术、编程技术、操作系统、渗透技术、攻防技术、逆向技术。有些大厂，甚至将
  • 常见哈希格式类型及其在CTF与渗透测试中的爆破与伪造策略（PBKDF2、bcrypt...) vortex5 哈希算法算法
    一、引言在CTF比赛或渗透测试中，获取并利用目标系统的密码哈希是常见的场景。例如，通过Web应用漏洞提取数据库中的用户密码哈希，或通过提权漏洞获取/etc/shadow文件中的系统用户哈希。这些哈希通常采用不同加密算法，如MD5、SHA-256、bcrypt、PBKDF2、scrypt、yescrypt或Argon2。每种算法在安全性、计算复杂度和抗破解能力上有着显著差异，直接影响到爆破难度和伪造
  • 什么是渗透测试，对网站安全有哪些帮助？ 上海云盾第一敬业销售 安全网络web安全
    在网络安全的战场中，网站如同暴露在数字世界的堡垒，时刻面临着黑客攻击的威胁。而渗透测试，就像是为网站进行一场“模拟攻防演练”，它以黑客的思维和手段，主动出击，探寻网站潜在的安全漏洞。究竟什么是渗透测试，它又能为网站安全带来哪些实质性的帮助呢？什么是渗透测试？渗透测试是一种在获得授权的前提下，模拟真实网络攻击场景，对目标网站或系统进行安全性评估的技术手段，其流程通常包括信息收集、漏洞扫描、漏洞利用、
  • 提升网络安全的关键：WAF、CDN与渗透测试 云盾安全防护 web安全安全
    在网络安全领域，Web应用防火墙（WAF）、内容分发网络（CDN）和渗透测试是保护企业数字资产的重要工具。随着网络攻击手段的不断升级，企业需要加强对这些技术的理解和应用，以提升整体安全防护能力。WAF作为一种专门针对Web应用的安全防护工具，能够检测和拦截恶意请求，防止SQL注入、跨站脚本（XSS）等常见攻击。WAF通过分析HTTP请求的内容，可以识别并屏蔽潜在的攻击流量，从而保护企业的在线服务和
  • 2025年ALL IN ONE开源渗透测试软件推荐集合： CIb0la 国产Llinux运维crackkalilinux程序人生安全运维测试工具
    ALLINONEAWSOMECYBERSECRESOURCESAllopensourceresourcesAwesomeRedTeamOpshttps://github.com/CyberSecurityUP/Awesome-Red-Team-OperationsAwesomeRedTeaminghttps://github.com/yeyintminthuhtut/Awesome-Red-Tea
  • 2021年网络空间安全web题目 ruihack 网络安全windowslinux
    首先这道题目与ctf还是有点关系的，首先看一下题目：通过浏览器访问http://靶机服务器IP/1，对该页面进行渗透测试,找到flag格式：flag｛Xxxx123｝，括号中的内容作为flag值并提交；（2分）通过浏览器访问http://靶机服务器IP/2，对该页面进行渗透测试,找到flag格式：flag｛Xxxx123｝，括号中的内容作为flag值并提交；（2分）通过浏览器访问http://靶机
  • 网络安全——网络渗透测试入门 xut滕羽凡 网络安全网络协议学习方法
    ⼀、行业术语介绍渗透测试（PenetrationTesting）：模拟黑客攻击手段对目标系统进行安全评估的过程。APT（AdvancedPersistentThreat）：高级持续性威胁，指有组织的、长期针对性的网络攻击。PTES（PenetrationTestingExecutionStandard）：渗透测试执行标准，指导渗透测试的行业标准。等保测评（InformationSecurityLe
  • 微信小程序渗透测试方案，从零基础到精通，收藏这篇就够了！_小程序安全测试 程序员肉肉 小程序微信小程序linuxpdf安全web安全网络
    微信小程序作为一种轻量级的应用程序，因其无需下载、即用即走的特点，迅速获得了广大用户的青睐。然而，随着小程序应用的普及，其安全性问题也日益凸显。为了确保小程序的安全运行，保护用户数据和隐私，进行微信小程序渗透测试显得尤为重要。本文将深入探讨微信小程序渗透测试的方案，从测试准备、测试方法、测试步骤到漏洞修复，全方位解析如何有效地进行渗透测试。一、引言微信小程序由前端的视图层（WXML和WXSS）和逻
  • Metasploit Framework（MSF）核心知识解析 lubiii_ 网络安全安全网络
    MetasploitFramework（MSF）是一个开源渗透测试框架，由HDMoore于2003年创建，现由Rapid7公司维护。其核心定位为模块化的安全漏洞验证与利用平台，集成了渗透测试全流程所需工具链。二、核心组成与功能组件类型功能描述典型示例Exploit（漏洞利用模块）执行针对特定漏洞的攻击代码exploit/windows/smb/ms17_010_eternalbluePayload
  • sqlmap 的基本用法 海尔辛 hacksql数据库网络sqlmap
    sqlmap是一款开源的渗透测试工具，旨在自动化检测和利用SQL注入漏洞，并接管数据库服务器。它具有强大的检测引擎和广泛的功能，可以帮助渗透测试人员进行数据库指纹识别、数据获取、文件系统访问以及在操作系统上执行命令等操作。上图的问题，给url加上双引号就好了sqlmap的基本用法sqlmap是一个命令行工具，通常与Python解释器一起使用。1.安装(如果尚未安装):Linux(KaliLinux
  • 渗透测试工程师面试题（最全总结） Pluto－2003 安全面试题面试web安全安全渗透测试工程师
    思路流程信息收集服务器的相关信息（真实ip，系统类型，版本，开放端口，WAF等）网站指纹识别（包括，cms，cdn，证书等），dns记录whois信息，姓名，备案，邮箱，电话反查（邮箱丢社工库，社工准备等）子域名收集，旁站，C段等googlehacking针对化搜索，pdf文件，中间件版本，弱口令扫描等扫描网站目录结构，爆后台，网站banner，测试文件，备份等敏感文件泄漏等传输协议，通用漏洞，e
  • 渗透测试核心技术：内网渗透与横向移动 Alfadi联盟 萧瑶 网络安全网络安全
    内网渗透是红队行动的关键阶段，攻击者通过突破边界进入内网后，需快速定位域控、横向移动并维持权限。本节从内网环境搭建、信息收集、横向移动技巧到权限维持工具，系统讲解如何在内网中隐蔽行动并扩大战果。1.内网环境搭建与基础配置目标：模拟真实企业网络，构建包含域控、成员服务器、工作站的靶场环境。核心步骤：1.网络拓扑设计-典型架构：-边界设备：防火墙/NAT网关（模拟公网入口）。-核心区域：域控服务器（W
  • java封装继承多态等 麦田的设计者 javaeclipsejvmcencapsulatopn
           最近一段时间看了很多的视频却忘记总结了，现在只能想到什么写什么了，希望能起到一个回忆巩固的作用。     1、final关键字       译为：最终的        &
  • F5与集群的区别 bijian1013 weblogic集群F5
            http请求配置不是通过集群，而是F5；集群是weblogic容器的，如果是ejb接口是通过集群。         F5同集群的差别，主要还是会话复制的问题，F5一把是分发http请求用的，因为http都是无状态的服务，无需关注会话问题，类似
  • LeetCode[Math] - #7 Reverse Integer Cwind java题解MathLeetCodeAlgorithm
    原题链接：#7 Reverse Integer   要求： 按位反转输入的数字 例1： 输入 x = 123, 返回 321 例2： 输入 x = -123, 返回 -321   难度：简单   分析： 对于一般情况，首先保存输入数字的符号，然后每次取输入的末位（x%10）作为输出的高位（result = result*10 + x%10）即可。但
  • BufferedOutputStream 周凡杨
         首先说一下这个大批量，是指有上千万的数据量。      例子：      有一张短信历史表，其数据有上千万条数据，要进行数据备份到文本文件，就是执行如下SQL然后将结果集写入到文件中！      select t.msisd
  • linux下模拟按键输入和鼠标 被触发 linux
    查看/dev/input/eventX是什么类型的事件， cat /proc/bus/input/devices 设备有着自己特殊的按键键码，我需要将一些标准的按键，比如0－9，X－Z等模拟成标准按键，比如KEY_0,KEY-Z等，所以需要用到按键 模拟，具体方法就是操作/dev/input/event1文件，向它写入个input_event结构体就可以模拟按键的输入了。 linux/in
  • ContentProvider初体验 肆无忌惮_ ContentProvider
    ContentProvider在安卓开发中非常重要。与Activity，Service，BroadcastReceiver并称安卓组件四大天王。 在android中的作用是用来对外共享数据。因为安卓程序的数据库文件存放在data/data/packagename里面，这里面的文件默认都是私有的，别的程序无法访问。 如果QQ游戏想访问手机QQ的帐号信息一键登录，那么就需要使用内容提供者COnte
  • 关于Spring MVC项目（maven）中通过fileupload上传文件 843977358 mybatisspring mvc修改头像上传文件upload
    Spring MVC 中通过fileupload上传文件，其中项目使用maven管理。   1.上传文件首先需要的是导入相关支持jar包：commons-fileupload.jar,commons-io.jar 因为我是用的maven管理项目，所以要在pom文件中配置（每个人的jar包位置根据实际情况定） <!-- 文件上传 start by zhangyd-c --&g
  • 使用svnkit api，纯java操作svn，实现svn提交，更新等操作 aigo svnkit
     原文：http://blog.csdn.net/hardwin/article/details/7963318   import java.io.File; import org.apache.log4j.Logger; import org.tmatesoft.svn.core.SVNCommitInfo; import org.tmateso
  • 对比浏览器，casperjs，httpclient的Header信息 alleni123 爬虫crawlerheader
    @Override protected void doGet(HttpServletRequest req, HttpServletResponse res) throws ServletException, IOException { String type=req.getParameter("type"); Enumeration es=re
  • java.io操作 DataInputStream和DataOutputStream基本数据流 百合不是茶 java流
    1，java中如果不保存整个对象，只保存类中的属性，那么我们可以使用本篇文章中的方法，如果要保存整个对象  先将类实例化  后面的文章将详细写到     2，DataInputStream 是java.io包中一个数据输入流允许应用程序以与机器无关方式从底层输入流中读取基本 Java 数据类型。应用程序可以使用数据输出流写入稍后由数据输入流读取的数据。
  • 车辆保险理赔案例 bijian1013 车险
    理赔案例： 一货运车，运输公司为车辆购买了机动车商业险和交强险，也买了安全生产责任险，运输一车烟花爆竹，在行驶途中发生爆炸，出现车毁、货损、司机亡、炸死一路人、炸毁一间民宅等惨剧，针对这几种情况，该如何赔付。 赔付建议和方案： 客户所买交强险在这里不起作用，因为交强险的赔付前提是：“机动车发生道路交通意外事故”； 如果是交通意外事故引发的爆炸，则优先适用交强险条款进行赔付，不足的部分由商业
  • 学习Spring必学的Java基础知识(5)—注解 bijian1013 javaspring
            文章来源：http://www.iteye.com/topic/1123823，整理在我的博客有两个目的：一个是原文确实很不错，通俗易懂，督促自已将博主的这一系列关于Spring文章都学完；另一个原因是为免原文被博主删除，在此记录，方便以后查找阅读。           有必要对
  • 【Struts2一】Struts2 Hello World bit1129 Hello world
    Struts2 Hello World应用的基本步骤 创建Struts2的Hello World应用，包括如下几步： 1.配置web.xml 2.创建Action 3.创建struts.xml，配置Action 4.启动web server，通过浏览器访问   配置web.xml <?xml version="1.0" encoding="
  • 【Avro二】Avro RPC框架 bit1129 rpc
    1. Avro RPC简介 1.1. RPC RPC逻辑上分为二层，一是传输层，负责网络通信；二是协议层，将数据按照一定协议格式打包和解包 从序列化方式来看，Apache Thrift 和Google的Protocol Buffers和Avro应该是属于同一个级别的框架，都能跨语言，性能优秀，数据精简，但是Avro的动态模式（不用生成代码，而且性能很好）这个特点让人非常喜欢，比较适合R
  • lua　set get cookie ronin47 lua cookie
    lua: local access_token = ngx.var.cookie_SGAccessToken if access_token then ngx.header["Set-Cookie"] = "SGAccessToken="..access_token.."; path=/;Max-Age=3000" end
  • java-打印不大于N的质数 bylijinnan java
    public class PrimeNumber { /** * 寻找不大于N的质数 */ public static void main(String[] args) { int n=100; PrimeNumber pn=new PrimeNumber(); pn.printPrimeNumber(n); System.out.print
  • Spring源码学习-PropertyPlaceholderHelper bylijinnan javaspring
    今天在看Spring 3.0.0.RELEASE的源码，发现PropertyPlaceholderHelper的一个bug 当时觉得奇怪，上网一搜，果然是个bug，不过早就有人发现了，且已经修复： 详见： http://forum.spring.io/forum/spring-projects/container/88107-propertyplaceholderhelper-bug
  • [逻辑与拓扑]布尔逻辑与拓扑结构的结合会产生什么? comsci 拓扑
       如果我们已经在一个工作流的节点中嵌入了可以进行逻辑推理的代码,那么成百上千个这样的节点如果组成一个拓扑网络,而这个网络是可以自动遍历的,非线性的拓扑计算模型和节点内部的布尔逻辑处理的结合,会产生什么样的结果呢?    是否可以形成一种新的模糊语言识别和处理模型呢?  大家有兴趣可以试试,用软件搞这些有个好处,就是花钱比较少,就算不成
  • ITEYE 都换百度推广了 cuisuqiang GoogleAdSense百度推广广告外快
    以前ITEYE的广告都是谷歌的Google AdSense，现在都换成百度推广了。   为什么个人博客设置里面还是Google AdSense呢？   都知道Google AdSense不好申请，这在ITEYE上也不是讨论了一两天了，强烈建议ITEYE换掉Google AdSense。至少，用一个好申请的吧。   什么时候能从ITEYE上来点外快，哪怕少点
  • 新浪微博技术架构分析 dalan_123 新浪微博架构
    新浪微博在短短一年时间内从零发展到五千万用户，我们的基层架构也发展了几个版本。第一版就是是非常快的，我们可以非常快的实现我们的模块。我们看一下技术特点，微博这个产品从架构上来分析，它需要解决的是发表和订阅的问题。我们第一版采用的是推的消息模式，假如说我们一个明星用户他有10万个粉丝，那就是说用户发表一条微博的时候，我们把这个微博消息攒成10万份，这样就是很简单了，第一版的架构实际上就是这两行字。第
  • 玩转ARP攻击 dcj3sjt126com r
    我写这片文章只是想让你明白深刻理解某一协议的好处。高手免看。如果有人利用这片文章所做的一切事情，盖不负责。 网上关于ARP的资料已经很多了，就不用我都说了。 用某一位高手的话来说，“我们能做的事情很多，唯一受限制的是我们的创造力和想象力”。 ARP也是如此。 以下讨论的机子有 一个要攻击的机子：10.5.4.178 硬件地址：52:54:4C:98
  • PHP编码规范 dcj3sjt126com 编码规范
    一、文件格式 1. 对于只含有 php 代码的文件，我们将在文件结尾处忽略掉 "?>" 。这是为了防止多余的空格或者其它字符影响到代码。例如：<?php$foo = 'foo';2. 缩进应该能够反映出代码的逻辑结果，尽量使用四个空格，禁止使用制表符TAB，因为这样能够保证有跨客户端编程器软件的灵活性。例
  • linux 脱机管理（nohup） eksliang linux nohupnohup
    脱机管理 nohup 转载请出自出处：http://eksliang.iteye.com/blog/2166699 nohup可以让你在脱机或者注销系统后，还能够让工作继续进行。他的语法如下 nohup [命令与参数] --在终端机前台工作 nohup [命令与参数] & --在终端机后台工作   但是这个命令需要注意的是，nohup并不支持bash的内置命令，所
  • BusinessObjects Enterprise Java SDK greemranqq javaBOSAPCrystal Reports
    最近项目用到oracle_ADF  从SAP/BO 上调用 水晶报表，资料比较少，我做一个简单的分享，给和我一样的新手 提供更多的便利。   首先，我是尝试用JAVA JSP 去访问的。   官方API：http://devlibrary.businessobjects.com/BusinessObjectsxi/en/en/BOE_SDK/boesdk_ja
  • 系统负载剧变下的管控策略 iamzhongyong 高并发
    假如目前的系统有100台机器，能够支撑每天1亿的点击量（这个就简单比喻一下），然后系统流量剧变了要，我如何应对，系统有那些策略可以处理，这里总结了一下之前的一些做法。 1、水平扩展 这个最容易理解，加机器，这样的话对于系统刚刚开始的伸缩性设计要求比较高，能够非常灵活的添加机器，来应对流量的变化。 2、系统分组 假如系统服务的业务不同，有优先级高的，有优先级低的，那就让不同的业务调用提前分组
  • BitTorrent DHT 协议中文翻译 justjavac bit
    前言 做了一个磁力链接和BT种子的搜索引擎 {Magnet & Torrent}，因此把 DHT 协议重新看了一遍。 BEP: 5Title: DHT ProtocolVersion: 3dec52cb3ae103ce22358e3894b31cad47a6f22bLast-Modified: Tue Apr 2 16:51:45 2013 -070
  • Ubuntu下Java环境的搭建 macroli java工作ubuntu
    配置命令： 　　$sudo apt-get install ubuntu-restricted-extras 　　再运行如下命令： 　　$sudo apt-get install sun-java6-jdk 　　待安装完毕后选择默认Java. 　　$sudo update- alternatives --config java 　　安装过程提示选择，输入“2”即可，然后按回车键确定。
  • js字符串转日期（兼容IE所有版本） qiaolevip TODateStringIE
    /** * 字符串转时间（yyyy-MM-dd HH:mm:ss） * result （分钟） */ stringToDate : function(fDate){ var fullDate = fDate.split(" ")[0].split("-"); var fullTime = fDate.split("
  • 【数据挖掘学习】关联规则算法Apriori的学习与SQL简单实现购物篮分析 superlxw1234 sql数据挖掘关联规则
    关联规则挖掘用于寻找给定数据集中项之间的有趣的关联或相关关系。 关联规则揭示了数据项间的未知的依赖关系，根据所挖掘的关联关系，可以从一个数据对象的信息来推断另一个数据对象的信息。 例如购物篮分析。牛奶 ⇒ 面包 [支持度：3%，置信度：40%] 支持度3%：意味3%顾客同时购买牛奶和面包。 置信度40%：意味购买牛奶的顾客40%也购买面包。 规则的支持度和置信度是两个规则兴
  • Spring 5.0 的系统需求，期待你的反馈 wiselyman spring
                   Spring 5.0将在2016年发布。Spring5.0将支持JDK 9。          Spring 5.0的特性计划还在工作中，请保持关注，所以作者希望从使用者得到关于Spring 5.0系统需求方面的反馈。  
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他