Edison.W
Edison.W

XXE漏洞复现

目录

  • XML基础
    • 概念
    • XML数据格式
  • DTD基础
    • 定义
    • DTD作用
    • 分类
    • DTD实体
    • 实体的分类
    • DTD元素
  • XXE漏洞
    • 介绍
    • 实操
    • 如何探测xxe漏洞

XML基础

概念

  • 什么是XML

    • 是一种可扩展标记语言 (Extensible Markup Language, XML) ，标准通用标记语言的子集，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。

  • 特点

    • 是一种标记语言
    • 被设计来进行数据传输
    • 可以自定义标签
    • 具有层级结构
    • 具有自我描述性

XML数据格式

声明

元素/节点
（1）根节点： 有且只有一个根元素
（2）子节点： 可以嵌套，可以重复
（3）每个节点必须成对出现，空节点也必须成对出现
属性
（1）每个元素/节点可以有多个属性
（2）属性以键值对的方式出现：名称=“值”。属性的值添加双引号，多个属性以空格分开。

注释： <!--  注释内容  -->

DTD基础

定义

DTD全称是The document type definition，即是文档类型定义，可定义合法的XML文档
它使用一系列合法的元素来定义文档的结构。DTD可以被成行的声明于XML

DTD作用

1.一个应用程序keyishiyongDTD来确认收到的XML数据是有效的
2.每一个XML文件可以携带一个自身格式的描述
3.不同组织的人可以使用一个通用DTD来交换数据

分类

DTD分为：内部DTD、外部DTD、共有DTD

  • 内部DTD
    • 存在xml文档中的
      XXE漏洞复现_第1张图片
      DOCTYPE：DTD声明，对note进行说明
      以上
<!DOCTYPE NOTE [
- ]>

都为DTD

  • 外部DTD
    XXE漏洞复现_第2张图片
    可以看出把DTD写到了"note.dtd"中

  • 共有DTD

DOCTYPE taglib PUBLIC "-//Sun Microsystems,Inc.//DTD JSP Tag Library 1.2//EN""http://java.sun.com/dtd/web-jsplibrary_1_2.dtd">

DTD实体

实体的概念：实体是用于定义引用普通文本或特殊字符的快捷方式的变量。实体引用是对实体的引用。

实体可在内部或外部进行声明。

实体的分类

分类：内部实体，外部实体、参数实体

  • 内部实体：
  • 外部实体：
  • 参数实体
<!ENTITY % TAG_NAME "姓名|EMAIL|电话|地址">
<!ELEMENT 个人信息 (%TAG_NAME; |生日)>
<!ELEMENT 客户信息 (%TAG_NAME; |公司名)>

DTD元素

声明一个元素
空元素 EMPTY>
只有PCDATA的元素
带任何内容的元素
带有子元素（序列）的元素

XXE漏洞

介绍

  • XXE -“xml external entity injection”
  • “xml外部实体注入漏洞”

利用xxe漏洞可以进行拒绝服务攻击（DDos），文件读取，命令(代码)执行，SQL(XSS)注入，等

一般的xml：

第一部分：XML声明部分

第二部分：文档类型定义 DTD


DOCTYPE note[


]>

第三部分：文档元素

<note>
<to>nucto>
<from>grade20from>
<head>2013040212head>
<body>wppbody>
note>

实操

进入pikachu靶场
提交一个xml

 DOCTYPE note [ <!ENTITY hack "Edison.W"> ]> <name>&hack;name>

XXE漏洞复现_第3张图片
外部实体引入攻击载荷使其访问host文件


DOCTYPE ANY[ 

]>
<x>&f;x>

XXE漏洞复现_第4张图片
再来一个，我们这次访问win.ini


DOCTYPE a [  ]>
<xml>&xxe;xml>

XXE漏洞复现_第5张图片

如何探测xxe漏洞

  • 抓包，如果是xml格式的body，则发送一个<元素>数据
  • 能回显，就可能存在XXE漏洞

你可能感兴趣的:(渗透测试攻防实战,web安全)

  • 2025超全整理！H3C路由交换核心命令宝典，助你轻松玩转网络配置 wljslmz 网络技术H3C路由器交换机命令大全
    H3C（新华三）作为国内网络设备的领军品牌，其路由器和交换机广泛应用于企业、数据中心及运营商网络。掌握H3C设备的配置命令，是网络工程师的必备技能！本文结合2025年最新技术文档与实战经验，系统梳理基础配置、VLAN管理、路由协议、IRF堆叠、安全加固等场景的核心命令，助你从“小白”进阶为“大神”！文末还附赠高频踩坑指南，速速收藏⭐！一、基础配置篇：快速上手H3C设备1.设备初始化与视图切换进入系
  • Flux架构：构建可预测的Web应用状态管理体系 阿珊和她的猫 架构前端
    前端开发工程师、技术日更博主、已过CET6阿珊和她的猫_CSDN博客专家、23年度博客之星前端领域TOP1牛客高级专题作者、打造专栏《前端面试必备》、《2024面试高频手撕题》蓝桥云课签约作者、上架课程《Vue.js和Egg.js开发企业级健康管理项目》、《带你从入门到实战全面掌握uni-app》前些天发现了一个巨牛的人工智能学习网站，通俗易懂，风趣幽默，忍不住分享一下给大家。点击跳转到网站。文章
  • 中国第一本介绍企业级开发工具Zend的书籍 weixin_34245749 开发工具数据库javascriptViewUI
    【书名】大道PHP：LAMP+Zend+开源框架整合开发与实战【作者】三扬科技【ISBN】978-7-121-09171-1【出版社】电子工业出版社【出版日期】2009年9月【定价】99.00元（含视频DVD1张）【宣传语】第一本介绍企业级开发工具Zend的书籍最完整的PHP5开发技术与实战代码万用大全基于Linux+Apache+MySQL+PHP黄金组合，Socket、WebService、A
  • 利用Python进行数据清洗与预处理：Pandas的高级用法 步入烟尘 python数据库开发语言
    本文已收录于《Python超入门指南全册》本专栏专门针对零基础和需要进阶提升的同学所准备的一套完整教学，从基础到精通不断进阶深入，后续还有实战项目，轻松应对面试，专栏订阅地址：https://blog.csdn.net/mrdeam/category_12647587.html优点：订阅限时19.9付费专栏，私信博主还可进入全栈VIP答疑群，作者优先解答机会（代码指导、远程服务），群里大佬众多可以
  • SoC 架构设计全面详解：从基础到实战 嵌入式Jerry 面试架构系统架构AI编程ai学习
    一、SoC是什么？为什么重要？SoC(SystemonChip,片上系统)是一种将计算核心、存储系统、通信接口以及各种外设集成到一个单一芯片上的高度集成解决方案。它在智能手机、汽车电子、人工智能、工业控制等领域扮演着至关重要的角色。为什么SoC如此重要？高集成度：将多个功能模块集成到单个芯片上，减少了PCB板空间，提高了可靠性。高性能低功耗：相比传统多个芯片组合的方式，SoC通过优化设计大幅降低功
  • Spring Boot中使用RabbitMQ(2) D1561691 程序员java-rabbitmqspringbootrabbitmq
    《一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码》，点击传送门，即可获取！MessageBroker与AMQP简介MessageBroker是一种消息验证、传输、路由的架构模式，其设计目标主要应用于下面这些场景：消息路由到一个或多个目的地消息转化为其他的表现方式执行消息的聚集、消息的分解，并将结果发送到他们的目的地，然后重新组合相应返回给消息用户调用Web服务来检索数据响
  • 网络安全（黑客）——自学2024 白帽子黑客-宝哥 web安全安全嵌入式硬件网络单片机
    一、什么是网络安全网络安全是一种综合性的概念，涵盖了保护计算机系统、网络基础设施和数据免受未经授权的访问、攻击、损害或盗窃的一系列措施和技术。经常听到的“红队”、“渗透测试”等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。二、网络安全怎么入门安全并非孤立存在，而是建立在其计算机基础之上的应用技术。
  • Spring——Spring开发实战经验（1） 庄小焱 Spring框架后端spring系统实战
    摘要文章主要介绍了Swagger作为API文档生成和测试工具的功能，包括自动生成API文档、提供可视化调试界面、促进前后端协作、支持OpenAPI规范等。同时，还提及了SpringBoot与Swagger3的实战应用，以及Spring开发中其他相关技术内容，如@Resource与@Autowired的区别、Druid监控配置、切面日志示例等。1.Swagger-API文档生成和测试工具Swagge
  • Java GC性能分析与调优实战 wespten 全栈软件测试人工智能测试开发自动化测试性能测试Spring全家桶微信小程序Java全栈开发jvm
    一、JVMGC1、JVM线程简介在ThreadDump中，有一些JVM内部的后台线程来执行，譬如垃圾回收或者低内存的检测等等任务，这些线程往往在JVM初始化的时候就存在，如下所示：1.HotSpotVMThread被HotSpotVM管理的内部线程为了完成内部本地操作，一般来说不需要担心它们，除非CPU很高。"VMPeriodicTaskThread"prio=10tid=0xad909400ni
  • 以下是一篇关于使用SLURM编写作业脚本的原创技术指南 这题有点难度 人工智能
    SLURM作业脚本编写实战指南：从入门到生产级配置一、为什么需要SLURM脚本？在高性能计算（HPC）领域，SLURM（SimpleLinuxUtilityforResourceManagement）作为主流的作业调度系统，承担着集群资源分配的核心职责。通过编写规范的SLURM脚本，研究人员可以：1.精确申请计算资源（CPU/GPU/内存）2.实现任务队列管理3.自动化作业流程4.获得执行日志和性
  • Python爬虫实战教程——如何抓取社交媒体用户信息（以Twitter和Instagram为例） Python爬虫项目 2025年爬虫实战项目python爬虫媒体开发语言信息可视化
    1.引言社交媒体平台如Twitter和Instagram每天都会生成大量的用户内容，包括文本、图片、视频等。对于数据分析师和研究人员来说，抓取社交媒体平台的数据是进行趋势分析、情感分析、用户行为分析等工作的基础。本文将介绍如何通过Python爬虫技术抓取Twitter和Instagram的用户信息。我们将详细探讨如何使用最新的技术栈和API来实现社交媒体数据的抓取，并结合具体的代码示例，帮助您快速
  • 无人机编程实战第1讲——无人机简介 ouyanghuangxun 无人机编程实战无人机单片机嵌入式硬件c语言
    目录前言一、飞控是什么？二、扫盲行动！！！1.微控制器2.传感器3.处理？4.无人机飞行姿态总结前言随着开源无人机飞行控制器的不断发展，越来越多优秀的代码与算法不断涌现，无人机领域的技术不断趋于成熟，也使得无人机领域的门槛一再降低，现在国内工科高校中，普遍都设有无人机实验室。对于无人机入门，网络上有太多的资料，只是这些资料重原理却轻代码，很多时候我们知道无人机的结构与飞行原理，却不知道怎么写代码让
  • 实战二：网络爬虫 tian-ming 爬虫
    1.制造假数据获取姓氏网址：百家姓_诗词_百度汉语获取男生名字：男生有诗意的名字推荐（龙年男孩起名）获取女生名字：2024年清新有诗意女孩名字取名（龙年女孩名字）publicclasstest1{publicstaticvoidmain(String[]args)throwsIOException{//1.定义变量记录网址StringfamilyName="https://hanyu.baidu.
  • 【Java进阶篇】——第9篇：Lambda表达式与Stream API 猿享天开 Java开发从入门到精通java开发语言
    第9篇：Lambda表达式与StreamAPIJava8引入的Lambda表达式和StreamAPI是函数式编程范式的核心特性，彻底改变了Java代码的编写方式。它们简化了集合操作、提升了代码可读性，并通过并行处理优化了性能。本文将从基础语法到实战应用，系统解析Lambda与Stream的核心概念，并结合实际案例展示其强大能力。1.Lambda表达式基础Lambda表达式本质上是一个匿名函数，用于
  • 网络安全（黑客）——自学2025 网安大师兄 web安全安全网络网络安全linux
    基于入门网络安全/黑客打造的：黑客&网络安全入门&进阶学习资源包前言什么是网络安全网络安全可以基于攻击和防御视角来分类，我们经常听到的“红队”、“渗透测试”等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。如何成为一名黑客很多朋友在学习安全方面都会半路转行，因为不知如何去学，在这里，我将这个整份答案分为黑客（网络安全）入门必备、黑客（网络安全）职业指南、黑客（网络安全）学习
  • AI：236-基于RCS-OSA的YOLOv8改进 | 增强空间对象注意力实现小物体检测精度提升 一键难忘 精通AI实战千例专栏合集人工智能YOLO目标跟踪RCS-OSA
    本文收录于专栏：精通AI实战千例专栏合集https://blog.csdn.net/weixin_52908342/category_11863492.html从基础到实践，深入学习。无论你是初学者还是经验丰富的老手，对于本专栏案例和项目实践都有参考学习意义。每一个案例都附带关键代码，详细讲解供大家学习，希望可以帮到大家。正在不断更新中~文章目录1.通过RCS-OSA替换C2f实现暴力涨点2.理论
  • 自学网络安全（黑客技术）2024年 —100天学习计划 帝王挥剑指天下 C++web安全学习网络
    基于入门网络安全/黑客打造的：前言什么是网络安全网络安全可以基于攻击和防御视角来分类，我们经常听到的“红队”、“渗透测试”等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。如何成为一名黑客很多朋友在学习安全方面都会半路转行，因为不知如何去学，在这里，我将这个整份答案分为黑客（网络安全）入门必备、黑客（网络安全）职业指南、黑客（网络安全）学习导航三大章节，涉及价值观、方法论、
  • Vue3 对接 DeepSeek 的完整指南，包含核心场景、常见问题解决方案及代码示例。内容综合官方文档与实战经验，覆盖开发全流程 繁若华尘 vue前端开发vue.jsai前端javascript
    以下为Vue3对接DeepSeek的完整指南，包含核心场景、常见问题解决方案及代码示例。内容综合官方文档与实战经验，覆盖开发全流程。一、基础对接流程1.API密钥获取注册DeepSeek账号并创建APIKey（官网入口）建议将密钥存储在环境变量中（如.env.local）：VITE_DEEPSEEK_API_KEY=sk-your-api-keyVITE_DEEPSEEK_BASE_URL=htt
  • 自学网络安全（黑客技术）2024年 —100天学习计划 白帽黑客cst 学习网络安全web安全linux
    基于入门网络安全/黑客打造的：黑客&网络安全入门&进阶学习资源包前言什么是网络安全网络安全可以基于攻击和防御视角来分类，我们经常听到的“红队”、“渗透测试”等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。如何成为一名黑客很多朋友在学习安全方面都会半路转行，因为不知如何去学，在这里，我将这个整份答案分为黑客（网络安全）入门必备、黑客（网络安全）职业指南、黑客（网络安全）学习
  • Python实战：解析labelme标注数据——如何将数据转换为COCO格式 程序员杨弋 Python全栈工程师学习指南python开发语言
    在计算机视觉中，标注数据是非常重要的，而Labelme是一个简单易用的自由标注工具，被广泛应用于图像语义分割、目标检测、实例分割等领域，然而标注数据并不总是以我们需要的格式存在，因此需要进行适当的转换，本文将详细介绍如何将Labelme标注数据转换为COCO格式。首先需要安装相关的Python库，包括labelme、numpy、matplotlib、pillow等，在安装完成后设置数据路径，并读取
  • 钢铁行业设备智能运维实战：基于DuodooBMS+SKF的减速机全生命周期管理方案 邹工转型手札 风吟九宵企业信息化Duodoo开源运维数据库人工智能制造开源
    （导语：在钢铁行业"设备即产能"的竞争格局下，某大型钢铁集团通过DuodooBMS+SKFObseverPhoenixAPI系统实现核心设备预测性维护，热轧产线非计划停机减少42%，设备综合效率OEE提升17%）一、钢铁企业设备管理之痛某年产800万吨的钢铁联合企业热轧车间，12台关键减速机连续发生异常磨损事故：2023年Q1因1#摆剪减速机轴承失效导致非计划停机23小时，直接损失超200万元传统
  • CSS 核心技术知识点详解：从基础到进阶 秋水为渡 前端css
    本文基于图中提供的17个CSS核心知识点展开讲解，涵盖基础概念、布局原理、实战技巧及性能优化等内容。每个知识点均附代码示例和原理分析，帮助读者系统性掌握CSS核心能力。1.选择器作用：定位HTML元素并应用样式。常见类型：类选择器：.class-name{...}ID选择器：#id-name{...}属性选择器：[type="text"]{...}代码示例：.button{color:red;}/
  • AI：276-在OpenCV开发中有效利用Notebook与IDE环境选择与最佳实践 一键难忘 精通AI实战千例专栏合集opencvide人工智能
    本文收录于专栏：精通AI实战千例专栏合集https://blog.csdn.net/weixin_52908342/category_11863492.html从基础到实践，深入学习。无论你是初学者还是经验丰富的老手，对于本专栏案例和项目实践都有参考学习意义。每一个案例都附带关键代码，详细讲解供大家学习，希望可以帮到大家。正在不断更新中~在OpenCV开发中有效利用Notebook与IDE环境选择
  • 【Go并发编程】Goroutine 调度器揭秘：从 GMP 模型到 Work Stealing 算法 魔法小匠 Golanggolang算法开发语言Groutine调度器Go并发GMPWorkStealing
    每天一篇Go语言干货，从核心到百万并发实战，快来关注魔法小匠，一起探索Go语言的无限可能！在Go语言中，Goroutine是一种轻量级的并发执行单元，它使得并发编程变得简单高效。而Goroutine的高效调度机制是Go语言在并发处理上的一大亮点。本文将深入剖析Go语言的Goroutine调度器，从GMP模型到WorkStealing算法，带你一探究竟。一、Goroutine调度器的背景Go语言的并
  • 2024年最新Android Jetpack Compose开发指南及实战教程_jetpack compose pdf 2401_86391835 androidjetpackpdfandroid
    这里免费分享一份阿里P7架构师和谷歌技术团队共同整理的JetpackCompose指南及实战教程，来帮助读者规划出从入门到精通的最佳学习路径。在对知识点细致的讲解之外，书中还穿插了大量示例代码和最佳实践，对于Compose的初/中级读者极具学习和参考价值。AndroidJetpackCompose开发应用指南第⼀章初识JetpackJetPack是什么JetPack和AndroidXAndroid
  • Android架构开发进阶指南，Android Jetpack Compose强化实战_android compose架构 2401_84537646 程序员android架构androidjetpack
    在我们日常的开发中，如果所有人各自为战，没有统一规范，久而久之，项目代码会变得混乱且后续难以维护。而这时，许多人就会使用Jetpack这个由多个库组成的套件，来减少样板代码，以便将精力更多的集中于重要的编码工作上面。统一的架构模式通常会给我们带来诸多好处，如：统一开发规范，使得代码整洁、规范，后续易于维护及扩展提高开发效率(尤其在团队人员较多时)模块单一职责，使得模块专注自己内部(面向对象)，模块
  • C语言【基础篇】之简单语法——构建程序大厦的基石解析 EnigmaCoder cc语言开发语言
    简单语法前言第一个程序分析✍️注释常量与变量强制类型转换️标识符与关键字scanf与printf介绍⚙️转义字符总结前言大家好！我是EnigmaCoder。本文收录于我的专栏C，希望能帮助到您！前文我们讲解了该如何搭建环境。链接:C语言【基础篇】之搭建环境——从新手到实战的必备前奏本文我们介绍一下C语言最基础的一些知识，为构建程序大厦打好基石。第一个程序分析HelloWorld程序分析#inclu
  • #渗透测试#网络安全# 反弹shell 技巧教学！！！ 独行soc web安全php渗透测试漏洞挖掘开发语言shell反弹
    免责声明本教程仅为合法的教学目的而准备，严禁用于任何形式的违法犯罪活动及其他商业行为，在使用本教程前，您应确保该行为符合当地的法律法规，继续阅读即表示您需自行承担所有操作的后果，如有异议，请立即停止本文章读。目录一、反弹shell：渗透测试的关键技术二、常见且基础的反弹shell方法（一）Bash反弹（二）Netcat反弹（三）Telnet反弹三、进阶的反弹shell技巧（一）Socat反弹（二）
  • 含文档+PPT+源码】科技公司人事管理系统设计与实现 小咕聊编程 科技eclipsejavatomcatmavenspring
    项目介绍本课程演示的是一款科技公司人事管理系统设计与实现，主要针对计算机相关专业的正在做毕设的学生与需要项目实战练习的Java学习者。1.包含：项目源码、项目文档、数据库脚本、软件工具等所有资料2.带你从零开始部署运行本套系统3.该项目附带的源码资料可作为毕设使用该SpringBoot+Vue的人事管理系统设计与实现，后端采用SpringBoot架构，前端采用Vue+ElementUI实现页面的快
  • PrimeFaces实战：IdleMonitor与Ajax的完美结合 t0_54program ajaxokhttp前端个人开发
    在现代的Web开发中，用户交互的实时反馈是一个重要的用户体验环节。PrimeFaces作为一个强大的JavaEEUI库，提供了许多便捷的功能组件，其中之一就是IdleMonitor。通过IdleMonitor，我们可以轻松地检测用户何时处于空闲状态以及何时从空闲状态恢复活跃状态。结合Ajax技术，我们可以在用户状态变化时动态地更新页面内容，而无需重新加载整个页面。接下来，我们将通过一个简单的示例来
  • Spring的注解积累 yijiesuifeng spring注解
    用注解来向Spring容器注册Bean。   需要在applicationContext.xml中注册： <context:component-scan base-package=”pagkage1[,pagkage2,…,pagkageN]”/>。 如：在base-package指明一个包    <context:component-sc
  • 传感器 百合不是茶 android传感器
    android传感器的作用主要就是来获取数据,根据得到的数据来触发某种事件   下面就以重力传感器为例;   1,在onCreate中获得传感器服务   private SensorManager sm;// 获得系统的服务 private Sensor sensor;// 创建传感器实例 @Override protected void
  • [光磁与探测]金吕玉衣的意义 comsci
          这是一个古代人的秘密:现在告诉大家       信不信由你们:       穿上金律玉衣的人,如果处于灵魂出窍的状态,可以飞到宇宙中去看星星       这就是为什么古代
  • 精简的反序打印某个数 沐刃青蛟 打印
    以前看到一些让求反序打印某个数的程序。 比如：输入123，输出321。   记得以前是告诉你是几位数的，当时就抓耳挠腮，完全没有思路。   似乎最后是用到%和/方法解决的。   而今突然想到一个简短的方法，就可以实现任意位数的反序打印（但是如果是首位数或者尾位数为0时就没有打印出来了）   代码如下： long num, num1=0;
  • PHP：6种方法获取文件的扩展名 IT独行者 PHP扩展名
      PHP：6种方法获取文件的扩展名   1、字符串查找和截取的方法   1 $extension = substr ( strrchr ( $file ,  '.' ), 1); 2、字符串查找和截取的方法二   1 $extension = substr
  • 面试111 文强chu 面试
    1事务隔离级别有那些 ，事务特性是什么（问到一次） 2 spring aop 如何管理事务的，如何实现的。动态代理如何实现，jdk怎么实现动态代理的，ioc是怎么实现的，spring是单例还是多例，有那些初始化bean的方式，各有什么区别（经常问） 3 struts默认提供了那些拦截器 （一次） 4 过滤器和拦截器的区别 （频率也挺高） 5 final，finally final
  • XML的四种解析方式 小桔子 domjdomdom4jsax
    在平时工作中，难免会遇到把 XML 作为数据存储格式。面对目前种类繁多的解决方案，哪个最适合我们呢？在这篇文章中，我对这四种主流方案做一个不完全评测，仅仅针对遍历 XML 这块来测试，因为遍历 XML 是工作中使用最多的（至少我认为）。 　　预 备 　　测试环境： 　　AMD 毒龙1.4G OC 1.5G、256M DDR333、Windows2000 Server
  • wordpress中常见的操作 aichenglong 中文注册wordpress移除菜单
    1 wordpress中使用中文名注册解决办法   1)使用插件   2)修改wp源代码      进入到wp-include/formatting.php文件中找到       function sanitize_user( $username, $strict = false
  • 小飞飞学管理-1 alafqq 管理
    项目管理的下午题，其实就在提出问题（挑刺），分析问题，解决问题。 今天我随意看下10年上半年的第一题。主要就是项目经理的提拨和培养。 结合我自己经历写下心得 对于公司选拔和培养项目经理的制度有什么毛病呢？ 1，公司考察，选拔项目经理，只关注技术能力，而很少或没有关注管理方面的经验，能力。 2，公司对项目经理缺乏必要的项目管理知识和技能方面的培训。 3，公司对项目经理的工作缺乏进行指
  • IO输入输出部分探讨 百合不是茶 IO
     //文件处理  在处理文件输入输出时要引入java.IO这个包； /* 1，运用File类对文件目录和属性进行操作 2，理解流，理解输入输出流的概念 3，使用字节/符流对文件进行读/写操作 4，了解标准的I/O 5，了解对象序列化 */   //1，运用File类对文件目录和属性进行操作   //在工程中线创建一个text.txt
  • getElementById的用法 bijian1013 element
            getElementById是通过Id来设置/返回HTML标签的属性及调用其事件与方法。用这个方法基本上可以控制页面所有标签，条件很简单，就是给每个标签分配一个ID号。        返回具有指定ID属性值的第一个对象的一个引用。        语法： &n
  • 励志经典语录 bijian1013 励志人生
    经典语录1:   哈佛有一个著名的理论：人的差别在于业余时间，而一个人的命运决定于晚上8点到10点之间。每晚抽出2个小时的时间用来阅读、进修、思考或参加有意的演讲、讨论，你会发现，你的人生正在发生改变，坚持数年之后，成功会向你招手。不要每天抱着QQ/MSN/游戏/电影/肥皂剧……奋斗到12点都舍不得休息，看就看一些励志的影视或者文章，不要当作消遣；学会思考人生，学会感悟人生
  • [MongoDB学习笔记三]MongoDB分片 bit1129 mongodb
    MongoDB的副本集(Replica Set)一方面解决了数据的备份和数据的可靠性问题，另一方面也提升了数据的读写性能。MongoDB分片(Sharding)则解决了数据的扩容问题，MongoDB作为云计算时代的分布式数据库，大容量数据存储，高效并发的数据存取，自动容错等是MongoDB的关键指标。 本篇介绍MongoDB的切片(Sharding)   1.何时需要分片 &nbs
  • 【Spark八十三】BlockManager在Spark中的使用场景 bit1129 manager
    1. Broadcast变量的存储，在HttpBroadcast类中可以知道 2. RDD通过CacheManager存储RDD中的数据，CacheManager也是通过BlockManager进行存储的 3. ShuffleMapTask得到的结果数据，是通过FileShuffleBlockManager进行管理的，而FileShuffleBlockManager最终也是使用BlockMan
  • yum方式部署zabbix ronin47 yum方式部署zabbix
    安装网络yum库#rpm -ivh http://repo.zabbix.com/zabbix/2.4/rhel/6/x86_64/zabbix-release-2.4-1.el6.noarch.rpm 通过yum装mysql和zabbix调用的插件还有agent代理#yum install zabbix-server-mysql zabbix-web-mysql mysql-
  • Hibernate4和MySQL5.5自动创建表失败问题解决方法 byalias J2EEHibernate4
    今天初学Hibernate4，了解了使用Hibernate的过程。大体分为4个步骤： ①创建hibernate.cfg.xml文件 ②创建持久化对象 ③创建*.hbm.xml映射文件 ④编写hibernate相应代码 在第四步中，进行了单元测试，测试预期结果是hibernate自动帮助在数据库中创建数据表，结果JUnit单元测试没有问题，在控制台打印了创建数据表的SQL语句，但在数据库中
  • Netty源码学习-FrameDecoder bylijinnan javanetty
    Netty 3.x的user guide里FrameDecoder的例子，有几个疑问： 1.文档说：FrameDecoder calls decode method with an internally maintained cumulative buffer whenever new data is received. 为什么每次有新数据到达时，都会调用decode方法？ 2.Dec
  • SQL行列转换方法 chicony 行列转换
    create table tb(终端名称 varchar(10) , CEI分值 varchar(10) , 终端数量 int) insert into tb values('三星' , '0-5' , 74) insert into tb values('三星' , '10-15' , 83) insert into tb values('苹果' , '0-5' , 93)
  • 中文编码测试 ctrain 编码
    循环打印转换编码 String[] codes = { "iso-8859-1", "utf-8", "gbk", "unicode" }; for (int i = 0; i < codes.length; i++) { for (int j
  • hive 客户端查询报堆内存溢出解决方法 daizj hive堆内存溢出
    hive> select * from t_test where ds=20150323 limit 2; OK Exception in thread "main" java.lang.OutOfMemoryError: Java heap space   问题原因： hive堆内存默认为256M   这个问题的解决方法为： 修改/us
  • 人有多大懒，才有多大闲 (评论『卓有成效的程序员』) dcj3sjt126com 程序员
      卓有成效的程序员给我的震撼很大，程序员作为特殊的群体，有的人可以这么懒，  懒到事情都交给机器去做 ，而有的人又可以那么勤奋，每天都孜孜不倦得做着重复单调的工作。   在看这本书之前，我属于勤奋的人，而看完这本书以后，我要努力变成懒惰的人。 不要在去庞大的开始菜单里面一项一项搜索自己的应用程序，也不要在自己的桌面上放置眼花缭乱的快捷图标
  • Eclipse简单有用的配置 dcj3sjt126com eclipse
    1、显示行号  Window -- Prefences -- General -- Editors -- Text Editors -- show line numbers   2、代码提示字符 Window ->Perferences，并依次展开 Java -> Editor -> Content Assist，最下面一栏 auto-Activation
  • 在tomcat上面安装solr4.8.0全过程 eksliang Solrsolr4.0后的版本安装solr4.8.0安装
    转载请出自出处： http://eksliang.iteye.com/blog/2096478       首先solr是一个基于java的web的应用，所以安装solr之前必须先安装JDK和tomcat，我这里就先省略安装tomcat和jdk了         第一步：当然是下载去官网上下载最新的solr版本，下载地址
  • Android APP通用型拒绝服务、漏洞分析报告 gg163 漏洞androidAPP分析
    点评：记得曾经有段时间很多SRC平台被刷了大量APP本地拒绝服务漏洞，移动安全团队爱内测（ineice.com）发现了一个安卓客户端的通用型拒绝服务漏洞，来看看他们的详细分析吧。  0xr0ot和Xbalien交流所有可能导致应用拒绝服务的异常类型时，发现了一处通用的本地拒绝服务漏洞。该通用型本地拒绝服务可以造成大面积的app拒绝服务。  针对序列化对象而出现的拒绝服务主要
  • HoverTree项目已经实现分层 hvt 编程.netWebC#ASP.ENT
    HoverTree项目已经初步实现分层，源代码已经上传到 http://hovertree.codeplex.com请到SOURCE CODE查看。在本地用SQL Server 2008 数据库测试成功。数据库和表请参考：http://keleyi.com/a/bjae/ue6stb42.htmHoverTree是一个ASP.NET 开源项目，希望对你学习ASP.NET或者C#语言有帮助，如果你对
  • Google Maps API v3: Remove Markers 移除标记 天梯梦 google maps api
    Simply do the following:   I. Declare a global variable: var markersArray = [];   II. Define a function: function clearOverlays() { for (var i = 0; i < markersArray.length; i++ )
  • jQuery选择器总结 lq38366 jquery选择器
      1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40
  • 基础数据结构和算法六：Quick sort sunwinner AlgorithmQuicksort
    Quick sort is probably used more widely than any other. It is popular because it is not difficult to implement, works well for a variety of different kinds of input data, and is substantially faster t
  • 如何让Flash不遮挡HTML div元素的技巧_HTML/Xhtml_网页制作 刘星宇 htmlWeb
    今天在写一个flash广告代码的时候，因为flash自带的链接，容易被当成弹出广告，所以做了一个div层放到flash上面，这样链接都是a触发的不会被拦截，但发现flash一直处于div层上面，原来flash需要加个参数才可以。 让flash置于DIV层之下的方法，让flash不挡住飘浮层或下拉菜单，让Flash不档住浮动对象或层的关键参数：wmode=opaque。 方法如下：
  • Mybatis实用Mapper SQL汇总示例 wdmcygah sqlmysqlmybatis实用
    Mybatis作为一个非常好用的持久层框架，相关资料真的是少得可怜，所幸的是官方文档还算详细。本博文主要列举一些个人感觉比较常用的场景及相应的Mapper SQL写法，希望能够对大家有所帮助。 不少持久层框架对动态SQL的支持不足，在SQL需要动态拼接时非常苦恼，而Mybatis很好地解决了这个问题，算是框架的一大亮点。对于常见的场景，例如：批量插入/更新/删除，模糊查询，多条件查询，联表查询，
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他