臭名昭著的钓鱼工具包Angler Exploit Kit最近更新了许多漏洞利用工具（含0day），以及一项名为“域名阴影（Domain Shadowing）”的新技术，将另一个知名恶意工具包BlackHole exploit kit完全击败，成为当前市面上最“先进”的钓鱼攻击装备。 Angler Exploit Kit采用的这新技术被称为“域名阴影（Domain Shadowing）”，该技术被认为是网络犯罪的新突破。域名阴影这个词在2011年首次出现，简单来说，其原理即窃取用户的域名账户去大量创建子
网络安全公司Aemis在去年发现蓝牙协议漏洞“BlueBorne”之后，于近日再次发出警告，称大约五亿的智能设备如今仍受DNS重绑定这种老式攻击的影响。
宝塔服务器管理是现在非常流行的一款免费的Linux管理应用，作为不想做过多运维操作的可以使用这个可视化操作
我们要知道一个网站有多少访问量除了其它因素之外，跟一个好的域名也是有很大的关系的。特别是对喜欢通过域名直接打开网站的用户来说就显得更为重要。但是关于域名被人恶意解析的事件也是时常发生，域名被恶意解析轻
首先来看看泛解析是什么。泛解析法指：用通配符*(星号)实现所有子域名都指向同一个IP地址。与此ip的应用程序一样，可以生成N多个二级/N级的域名，同时这些二级域名也被百度收录。
今天查看服务器状态，不小心误点了服务器的IP地址，然后居然能打开，，，OMG，怎么会这样，这怎么行呢？所以得修改以下配置文件，不让IP地址访问，至于为什么不让IP访问，有很多解释，其中最重要的就是防止恶意解析。
rebindMultiA是一款功能强大的多重A记录重绑定攻击测试工具，该工具可以帮助广大研究人员通过针对目标域名执行多重A记录重绑定攻击，来测试目标域名或地址的安全情况。
概念 DNS，全称Domain Name System，即域名系统，搞清楚，它不是DNF地下城与勇士。 DNS是怎么来的，我们知道要访问一个服务器的资源可以通过IP的形式访问，但IP地址比较难记，也不方便读，所以有了DNS的存在，DNS通过解析域名并与实际的远程服务器主机建立连接。 即我们访问www.baidu.com的时候，通过DNS服务器解析出实际的IP地址去连接并返回给客户端。 解析过程 windows和linux可以通过命令nslookup查询域名解析结果，如下图所示。 linux中还可
Morphus实验室讲述了这样一个故事，在某周六的早上，你作为一家大公司的CSO（首席安全官），突然开始收到了雪片般飞来的消息。他们告诉你有游客在访问了你公司的网址后，浏览到了各种恶意内容。 这听起来像是公司网站出现了混乱，其实可能发生了更严重的的事情。当你深入研究后会发现，公司整个域名都被黑客劫持了，他们试图从你们客户那里窃取数据并且传播恶意代码。在本文中，我们会详细介绍针对上述场景的应急响应方案。另外，这一威胁对信息安全策略和安全布局的颠覆，我们可以用一些简单的方法进行缓解。 DNS基础知识 为
在今年的攻防期间，通过安全设备告警分析，需要对某个源攻击IP进行溯源反制，并且需要记录整个溯源过程和提交溯源报告。
成功的渗透测试套路基本都是那一套。换汤不换药，不成功的原因却是千奇百怪。 我本人感觉，一次不成功的测试如果讲解细致的话反而更能提升技术水平。 这次就来讲一下针对白客联盟的渗透测试是因何失败的，具体操作方式，是通过社工手动劫持域名，然后结合反向代理添加恶意代码劫持白客联盟的登录表单(打个比方就是做一个恶意CDN)。 这次渗透是nosafe团队协同参与的，渗透前期信息踩点和域名权限获取是由P4ss完成，因为具体操作手法牵扯到域名商安全问题，以及大量站长个人信息。这里不方便做详细讲解. 但是本次渗透过程一大半的功
在世界杯举办期间，DNS劫持事件估计会和链路劫持事件一样，风险提升很多。上期分享了一篇《第32篇：某运营商链路劫持(被挂博彩页)溯源异常路由节点(上篇)》，本期就讲一下DNS劫持攻击的相关知识吧。关于DNS层面的攻击手段比较多，比如DNS劫持、DNS污染、DNS重绑定攻击、DNS反射放大攻击等等。一般认为DNS劫持攻击与DNS污染是两回事，DNS污染一般指的是DNS缓存投毒攻击，这个我们后续再讲。DNS劫持通过改变用户的域名解析记录实现攻击，即使用户访问的是正常网址，也会在不知情的情况下被引流到仿冒网站上，因此DNS劫持破坏力强，而且不易察觉。
1 tp-link开启了远程访问功能，存在弱口令。这个不太可能，几乎所有用户家里的路由器买了之后就不会动，没有造成大量用户中招的可能性。
nginx配置防止域名恶意解析 为什么要禁止ip访问页面呢? 这样做是为了避免其他人把未备案的域名解析到自己的服务器IP，而导致服务器被断网，我们可以通过禁止使用ip访问的方法，防止此类事情的
近期斗哥在学习有关于浏览器同源策略方面的知识点，发现了一个有趣的绕过浏览器同源策略的方法，故在这一期的文章中与大家分享。
前言 2021年4月，Kubernetes社区披露了一个编号为CVE-2020-8562的安全漏洞，授权用户可以通过此漏洞访问 Kubernetes 控制组件上的私有网络。 通过查阅此漏洞披露报告可发现，这个漏洞拥有较低的CVSS v3评分，其分值仅有2.2分，与以往披露的Kubernetes高危漏洞相比，这个拥有较低评分的漏洞极其容易被安全研究人员以及运维人员所忽视。但经过研发测试发现，在实际情况中，这个低风险的漏洞却拥有着不同于其风险等级的威胁：在与云上业务结合后，CVE-2020-8562漏洞将会为
本文首发于先知社区,地址 https://xz.aliyun.com/t/9177
从攻击者的视角来进行资产的梳理，采用全端口扫描+子域名收集的方式，识别所有的企业资产暴露面。但即使是这样，往往会因为配置错误或是未及时回收等原因，依然存在着一些隐形资产。
攻击者越来越多的采用云来构建自己的基础设施，这样不仅能够使攻击者以最少的时间或金钱部署攻击基础设施，也能让追踪攻击行动变得更困难。
我的一个地方站（www.cxzaixian.com）曾经遇到过被无故断网的事情，阿里云给的原因是绑定了未备案的域名。
129.226.xxx.xxx在5月30日早上4点43分尝试对192.168.128.4进行SQL注入攻击，目录遍历等攻击行为。窃取数据库信息，网页篡改，远程控制等。
谷歌安全研究员Tavis Ormandy发现暴雪游戏存在一个严重漏洞，攻击者利用该漏洞针对游戏玩家电脑可实现远程恶意代码执行。“魔兽世界”、“守望先锋”、“暗黑破坏神3”、“炉石传说”和“星际争霸2”等由暴雪娱乐公司创造的流行网络游戏，每月的在线玩家数量都达5亿人次。 漏洞信息 如果要用网络浏览器在线玩暴雪游戏，用户需要在自己电脑系统中安装一个名为‘Blizzard Update Agent’的客户端程序，利用它来运行HTTP协议和1120端口的JSON-RPC服务，以便执行‘命令安装、卸载、设置更改、
✨ XSS 攻击 全称跨站脚本攻击 Cross Site Scripting 为了与重叠样式表 CSS 进行区分，所以换了另一个缩写名称 XSS XSS攻击者通过篡改网页，注入恶意的 HTML 脚本，一般是 javascript，在用户浏览网页时，控制用户浏览器进行恶意操作的一种攻击方式 XSS 攻击经常使用在论坛，博客等应用中。攻击者可以偷取用户Cookie、密码等重要数据，进而伪造交易、盗取用户财产、窃取情报等私密信息 图片 就像上图，如果用户在评论框中输入的并不是正常的文本，而是一段 javascr
NGINX 在默认情况下，直接输入IP，会访问服务器中已存在的站点。如果只解析域名，未绑定，也会出现此情况。为防止域名恶意解析，防止同服务器多站点时使用IP访问莫名跳转，或禁止IP直接访问。
随着互联网的日益发展，对于用户共享的关键数据的威胁已经产生了严重的后果，人们在网络上交换地址、电话号码、信用卡号、企业机密等各种信息，网络上的恶意破坏者始终都在伺机窥探，企图窃取这些重要的信息。随着国家不断地宣传和普法，越来越多的人对于数据安全意识也在成倍的增长，如果您是网站所有者，那么保护您的用户的隐私信息和敏感数据避免受到网络犯罪分子的恶意攻击就成为您不可推卸的责任了。
网络犯罪分子很少重复发明轮子，因为从勒索软件到窃密程序，地下市场有各种各样可供购买的工具包，任何人都可以快速上手。
发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/170846.html原文链接：https://javaforall.cn
现在网络Web攻击真的防不胜防啊，相信有很多独狼开发者自己建站，租个云服务器，一部署自己的服务，每隔一段时间内测和网站总有一个要崩。自己感觉难受不说，网站稍微有点要出头的时候，数不清的访问攻击就接踵而至:恶意软件、SQL注入、网站挟持、钓鱼攻击、跨站脚本攻击、恶意爬虫等等，让个人开发者甚为揪心，如果是企业网站的话，攻势有过之无不及。
一、Nginx 空主机头禁止 如果 Nginx 配置了空主机头，那么任意域名解析指向到服务器IP，都可以访问站点，为了防止域名解析恶意指向主机，可以将 Nginx 默认的空主机头禁止，方法是通过修改 Nginx 的主配置文件 nginx.conf ，使其主机头返回错误信息 500
本文是笔者在2018-09-13撰写的文章，原文请点击“查看原文”。 网络攻击的方式要分为四类： 第一类是服务拒绝攻击，包括死亡之ping(ping of death)、泪滴(teardrop)、UDP洪水(UDP flood)、SYN洪水（SYN flood）、Land攻击、Smurf攻击、Fraggle攻击、电子邮件炸弹、畸形消息攻击等。 第二类是利用型攻击，包括口令猜测、特洛伊木马、缓冲区溢出。 第三类是信息收集型攻击，包括地址扫描、端口扫描、反响映射、慢速扫描、体系结构探测、DNS域转换、Finge
“ ” 什么是SSRF 大家使用的服务中或多或少是不是都有以下的功能： 通过 URL 地址分享内容 通过 URL 地址把原地址的网页内容调优使其适合手机屏幕浏览，即所谓的转码功能 通过 URL 地址翻译对应文本的内容，即类似 Google 的翻译网页功能 通过 URL 地址加载或下载图片，即类似图片抓取功能 以及图片、文章抓取收藏功能 简单的来说就是通过 URL 抓取其它服务器上数据然后做对应的操作的功能。以 ThinkJS 代码为例，我们的实现方法大概如下： const re
SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成，由服务端发起请求的一个安全漏洞。SSRF是笔者比较喜欢的一个漏洞，因为它见证了攻防两端的对抗过程。本篇文章详细介绍了SSRF的原理，在不同语言中的危害及利用方式，常见的绕过手段，新的攻击手法以及修复方案。
作为一个国内外项目都不怎么挖的我，比较喜欢拿自己正在使用的服务入手挖洞，毕竟拥有需求又了解业务才能长期跟进，更好的去发现各种流程上出现的毛病。
上周，加密和安全通信领域广泛应用的开源软件包OpenSSL曝出“严重”级别漏洞。直到11月1日，OpenSSL基金会终于发布OpenSSL 3.0.7版，并公布了已修补的两个高严重性漏洞细节。
虚竹哥有个朋友小五，他是在安全厂家公司工作。小五的大学系主任找他，咨询有没有比较优秀的网络通信安全防护的软件，需要对学校的网络进行安全防护。
SQL 注入就是通过把 SQL 命令插入到 Web 表单提交或输入域名或页面请求的查询字符串，服务器拿到这个字符串之后，会把这个字符串作为 sql 的执行参数去数据库查询，然而这个参数是恶意的，以至于服务器执行这条 sql 命令之后，出现了问题。
Palo Alto Networks Unit 42 的安全研究员发现了一种基于 Linux 平台的加密货币挖掘僵尸网络，该僵尸网络利用 PostgreSQL 远程代码执行（RCE）漏洞来攻陷数据库。
有的人设置了禁止IP访问网站，但是别人用https://ip的形式，会跳到你服务器所绑定的一个域名网站上
有的人设置了禁止 IP 访问网站，但是别人用 https://ip 的形式，会跳到你服务器所绑定的一个域名网站上
边缘安全加速平台 EO（Tencent cloud EdgeOne，下文简称为 EdgeOne）基于腾讯边缘计算节点提供加速和安全的解决方案，为电商与零售、金融服务、内容资讯与游戏等行业保驾护航，提升用户体验。
在一次内部安全月审查过程中，某业务内部查出有ssrf漏洞，通过伪造url路径，可以看到暴露内网ip，存在较高安全隐患。
ESET 与巴西联邦警察合作，摧毁 Grandoreiro 僵尸网络。由于 Grandoreiro 僵尸网络通信协议中存在设计缺陷，研究人员利用这种缺陷跟踪受害者。
原文地址：https://blog.iloli.love/archives/6fe7bbef/
CC攻击的原理就是攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来消耗服务器资源的，每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，CC就是模拟多个用户(多少线程就是多少用户)不停地进行访问那些需要大量数据操作(就是需要大量CPU时间)的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的连接直至就网络拥塞，正常的访问被中止。
Nginx 是用于 Web 服务、反向代理、缓存、负载平衡、媒体流等的开源软件。在这将提到一些经常使用的 Nginx 经典配置以及安全性的一些配置。请根据您的实际需求对这些配置进行调整。
DOM型和反射性都是通过诱导用户点击链接执行，并且都是临时型的，但是反射型属于服务端安全漏洞而DOM型属于客户端安全漏洞
前端开发涉及常见的Web安全漏洞有：浏览器Web安全，跨站脚本攻击（XSS），跨站请求伪装（CSRF），点击劫持，HTTP劫持，DNS劫持，文件上传漏洞等，以跨站脚本攻击漏洞最为常见，作为前端开发需要了解一些基本的Web安全漏洞和相关的防御措施。
通过用户输入把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
本文介绍了腾讯在登录态隔离场景下，将传统的cookie替换为p_skey以及实现ptlogin登录态的方案。通过该方案，可以大幅降低XSS漏洞的影响，提高系统的安全性。同时，该方案也解决了跨域请求中cookie无法携带p_skey的问题。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
