展开

关键词

java安全编码指南之:拒绝Denial of Service

简介 DOS不是那个windows的前身,而是Denial of Service,有做过系统安全方面的小伙伴可能对这个再熟悉不过,简单点讲,DOS就是型响应不过来,从而拒绝正常的请求。 如果这些资源受到恶意使用,那么很有可能会影响正常的系统响应,从而产生DOS。 怎么在编码层面上,解决DOS问题呢? 这里给大家介绍一个非常有名的zip弹。 42.zip 是很有名的zip弹。它的大小只有42KB,但是解压之后居然有4.5PB之多。 怎么做的呢? 一个zip文件中又包含16个zip文件,每一个zip文件又包含16个zip文件,这样循环5次,产生16的5次方个文件,每个文件的大小是4.3GB,最后导致你的硬盘爆。 10 Xpath攻击 XPath 解析是用来解析XML结构的工具,但是在使用XPath 解析的时候,我们需要注意防止注入攻击。

25921

Apple!App Store无法访问

今天下午4点多,打开苹果手机App Store,居然无法访问App Store,试多次依然访问不,报“无法连接App Store”! ​ ​ ​

14330
  • 广告
    关闭

    腾讯云618采购季来袭!

    一键领取预热专享618元代金券,2核2G云服务器爆品秒杀低至18元!云产品首单低0.8折起,企业用户购买域名1元起…

  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    FinClip小程序里如何安全使用SVG

    原理是构造恶意的XML实体文件以耗尽可用内存,因为许多XML解析在解析XML文档时倾向于将它的整个结构保留在内存中,上亿的特定字符串占用巨量内存,使得解析解析非常慢,并使得可用资源耗尽,从而造成拒绝攻击 ENTITY lol "lol"> <!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;"> <! 现在的浏览都能处理这类攻击,自动“制止”继续lol,但是通常需要4-5秒反应时间去判断和处理。 新型DoS攻击 所谓“道高一尺魔高一丈”,浏览厂商有防,攻击者又有新的攻。 审核上架 FinClip的端提供对小程序上下架的管控能力。经过审核的小程序才能上架;出现问题时,则可以一键下架。 以一个svg资源为例, 是让渲染引擎在渲染当前的页面时,从同源的上加载并渲染abc.svg图片。 如果abc.svg的内容是在当前页面里产生的呢?

    7140

    Hacking via XXE

    而在XEE漏洞的基础上,发展出Blind XXE漏洞。 ​ 对于传统的XXE来说,要求有一点,就是攻击者只有在有回显或者报错的基础上才能使用XXE漏洞来读取端文件。 file=%file;'>"> Json to XML ​ 由于多方面因素,现在人们更倾向于使用json来代替xml,当WEB使用xml或者json中的一种进行传输时,可能会接收开发人员并未预料到的数据格式 如果上的XML解析的配置不完善,在json传输的终端可能会遭受XXE攻击。 该错误提示指出,能够处理XML格式和JSON格式的数据,但现在收到的真实数据格式并不是在Content-Type里声明的XML格式,所以这里自然不能被解析啦。 RCE ​  如果目标的PHP安装有expect扩展,则可以进行系统命令执行。 <?xml version="1.0" encoding="ISO-8859-1"?> <!

    22530

    用数据的方式来撕逼:LOL vs DOTA2

    我写这篇文章的时候克两个困难: LOL和DOTA2撕这么多年,读者是身经百战见的多,很容易产生审美疲劳。——好在本文大规模使用数据分析武,目的就是打造一个全新的战场,让大家撕的痛快。 同时我也希望你读这篇文章的时候能够克一个困难:不管你多爱某款游戏(或者多恨另一款游戏),请暂时忘掉自己的阵营,十五分钟就好。 但LOL也高的过分吧!怎么可能有这么多妹子!一定是哪里出问题。仔细查看之后终于发现真相——LOL博主经常发一些恶意钓妹的微博,导致评论中女粉比例虚高。 只要冰蛙妥善解决好弹人等英雄的问题,只要Random战队还能齐心协力,DOTA2很可能在不远的将来迎来一届全英雄TI。 这一轮比拼的结论很明显:比起LOL,DOTA2英雄要幸福很多。 极少数LOL设计师,不经脑子、欠缺考虑的随意更新游戏规则,无视玩家曾经付出的学习成本。往往是说改就改、说重做就重做,缺少一套稳定的、让人信的游戏规则。 虽然这篇回答写的有理有据,但毕竟是一家之言。

    49250

    浅谈XXE攻击

    但是有时候,这些端点可能并不是那么明显(比如,一些仅使用JSON去访问的客户端)。 如上图所示,我们在上面的请求中定义一个名为myentity、值为’testing’的实体。 响应报文清晰地展示解析已经解析我们发送的XML实体,然后并将实体内容呈现出来。 原理为:构造恶意的XML实体文件耗尽可用内存,因为许多XML解析在解析XML文档时倾向于将它的整个结构保留在内存中,解析非常慢,造成拒绝攻击。 除这些,攻击者还可以读取上的敏感数据,还能通过端口扫描,获取后端系统的开放端口。 0x06 影响 此漏洞非常危险, 因为此漏洞会造成上敏感数据的泄露,和潜在的拒绝攻击。 0x07 补救措施 上面讨论的主要问题就是XML解析解析用户发送的不可信数据。

    54760

    浅谈XXE攻击

    但是有时候,这些端点可能并不是那么明显(比如,一些仅使用JSON去访问的客户端)。 为测试验证XML解析确实正在解析和执行我们自定义的XML内容,我们发送如下的请求 修改后的请求和响应: ? 如上图所示,我们在上面的请求中定义一个名为myentity、值为’testing’的实体。 响应报文清晰地展示解析已经解析我们发送的XML实体,然后并将实体内容呈现出来。 原理为:构造恶意的XML实体文件耗尽可用内存,因为许多XML解析在解析XML文档时倾向于将它的整个结构保留在内存中,解析非常慢,造成拒绝攻击。 除这些,攻击者还可以读取上的敏感数据,还能通过端口扫描,获取后端系统的开放端口。 影响: 此漏洞非常危险, 因为此漏洞会造成上敏感数据的泄露,和潜在的拒绝攻击。

    34580

    再次扩散:Linux系统bash漏洞CVE-2014-6271仍未被彻底修复,红帽再发补丁

    详见:https://rhn.redhat.com/errata/RHSA-2014-1306.html 所以,手持的童鞋,赶紧修复吧! 修复方法: 需再次升级 Bash。 mirrors.sohu.com/centos/6/updates/x86_64/Packages/bash-4.1.2-15.el6_5.2.x86_64.rpm Ps:其他系统请自行网络查找升级方法,这里就不赘述。 -c "echo id";cat echo bash: lol: line 1: syntax error near unexpected token `=' bash: lol: line 1: `' 还好没急着给公司所有升级 bash,否则要一夜回到“解放前”。手头上有 VPS 的朋友,抓紧时间去修复吧!在线安装 rpm 包的时候,切记看清楚版本哦! 运维群里就有一个家伙装错包,导致无法登陆! 好,就说这么多,请看到本文的朋友紧急扩散,避免造成没必要的损失!

    536100

    30行Python代码爬取英雄联盟全英雄皮肤

    那么问题来,它是如何区分这张图片所属的英雄的呢?我们观察浏览上方的地址: ? 点击Network,并选中XHR,XHR是浏览请求数据所依赖的对象,所以通过它便能筛选出一些的响应数据。此时我们刷新页面,在筛选出的内容发现这么一个东西: ? 这些数据里果然存储的是英雄的信息,包括名字、id、介绍等等,那么接下来我们的任就是将英雄名字和id单独提取出来,过滤掉其它信息。 忘告诉你们,这个文件的url在这里可以找到: ? 将json字符串转为列表 skins_list = json.loads(text)['skins'] skin_num = len(skins_list) 源程序实现 准备工作已经完成我们所有的前置任 运行之前记得在桌面上创建一个lol文件夹,如果想改动的话也可以修改程序: ? 程序中还考虑到一些其它情况,比如在爬取这个皮肤的时候会出现问题: ?

    23810

    30行代码爬取英雄联盟全英雄皮肤

    requests模块介绍 首先是requests模块,这是一个模拟浏览请求的模块,我们可以通过它来获取网页上的信息,比如百度: import requests url = 'http://www.baidu.com 我们观察浏览上方的地址: 地址上有一个属性值id为1,那么我们可以猜测一下,皮肤图片url中的big1000.jpg是不是由英雄id和皮肤id共同组成的呢? 我们只能从官网首页中找找线索,在首页位置打开网络调试台: 点击Network,并选中XHR,XHR是浏览请求数据所依赖的对象,所以通过它便能筛选出一些的响应数据。 点击右侧的Response,得到一串json字符串,我们将其解析一下: 这些数据里果然存储的是英雄的信息,包括名字、id、介绍等等,那么接下来我们的任就是将英雄名字和id单独提取出来,过滤掉其它信息 response.text # 将json字符串转为列表 skins_list = json.loads(text)['skins'] skin_num = len(skins_list) 源程序实现 准备工作已经完成我们所有的前置任

    1.3K20

    同事埋个坑:Insert into select语句把生产

    通过在Baidu的海洋里遨游,他发现可以使用insert into select实现,这样就可以避免使用网络I/O,直接使用SQL依靠数据库I/O完成,这样简直不要太棒。然后他就被开除。 由于考虑到会占用数据库I/O,为不影响业,计划是9:00以后开始迁移,但是xxx在8:00的时候,尝试迁移少部分数据(1000条),觉得没啥问题,就开始考虑大批量迁移。 ? 然后xxx就慌,立即停止迁移。 本以为停止迁移就就可以恢复,但是并没有。后面发生的你们可以脑补一下。 事故还原 在本地建立一个精简版的数据库,并生成100w的数据。模拟线上发生的情况。 从上面可以发现一开始能正常插入,但是后面突然就卡住,并且耗费23s才成功,然后才能继续插入。这个时候已经迁移成功,所以能正常插入。 出现的原因 在默认的事隔离级别下:insert into order_record select * from order_today 加锁规则是:order_record表锁,order_today

    1K30

    同事埋个坑:Insert into select语句把生产

    通过在Baidu的海洋里遨游,他发现可以使用insert into select实现,这样就可以避免使用网络I/O,直接使用SQL依靠数据库I/O完成,这样简直不要太棒。然后他就被开除。 由于考虑到会占用数据库I/O,为不影响业,计划是9:00以后开始迁移,但是xxx在8:00的时候,尝试迁移少部分数据(1000条),觉得没啥问题,就开始考虑大批量迁移。 然后xxx就慌,立即停止迁移。 本以为停止迁移就就可以恢复,但是并没有。后面发生的你们可以脑补一下。 事故还原 在本地建立一个精简版的数据库,并生成100w的数据。模拟线上发生的情况。 从上面可以发现一开始能正常插入,但是后面突然就卡住,并且耗费23s才成功,然后才能继续插入。这个时候已经迁移成功,所以能正常插入。 出现的原因 在默认的事隔离级别下:insert into order_record select * from order_today 加锁规则是:order_record表锁,order_today

    16420

    同事埋个坑:Insert into select 语句把生产

    通过在Baidu的海洋里遨游,他发现可以使用insert into select实现,这样就可以避免使用网络I/O,直接使用SQL依靠数据库I/O完成,这样简直不要太棒。然后他就被开除。 由于考虑到会占用数据库I/O,为不影响业,计划是9:00以后开始迁移,但是xxx在8:00的时候,尝试迁移少部分数据(1000条),觉得没啥问题,就开始考虑大批量迁移。 然后xxx就慌,立即停止迁移。 本以为停止迁移就就可以恢复,但是并没有。后面发生的你们可以脑补一下。 事故还原 在本地建立一个精简版的数据库,并生成100w的数据。模拟线上发生的情况。 ---- 从上面可以发现一开始能正常插入,但是后面突然就卡住,并且耗费23s才成功,然后才能继续插入。这个时候已经迁移成功,所以能正常插入。 出现的原因 在默认的事隔离级别下:insert into order_record select * from order_today 加锁规则是:order_record表锁,order_today

    7310

    python爬虫(五)_urllib2:Get请求和Post请求

    Get方式 Get请求一般用于我们向获取数据,比如说,我们用百度搜索传智播客;https://www.baidu.com/s?wd=传智播客 浏览的url会跳转如图所示 ? def writeFile(html, filename): """ 作用:保存响应文件到本地磁盘文件里 html: 响应文件 filename GET方式是以直接以链接形式访问,链接中包含所有参数,端用Request.QueryString获取变量的值。如果包含密码的话是一种不安全的选择,不过你可以直观地看到自己提交什么内容。 POST则不会在网址上显示所有的参数,端用Request.Form获取提交的数据,在Form提交的时候。 一般正常的网站都会主动出示自己的数字证书,来确保客户端和网站之间的通信数据是加密安全的。 参考 破解有道翻译反爬虫机制 浏览验证网站数字证书的流程

    91460

    Java代码审计汇总系列(二)——XXE注入

    Spring Boot微框架处理各种请求时,是通过里面的注解,所以通过注解xxe/simple找到对应类SimpleXXE.java: @Autowiredprivate Comments comments ,读得多,速度自然就快。 所以使用XML解析时需要设置其属性,禁止使用外部实体,以上例中SAXReader为例,安全的使用方式如下: sax.setFeature("http://apache.org/xml/features ENTITY lol"lol"> <!ELEMENT lolz(#PCDATA)> <! ENTITY lol1"&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;"> <!

    1.2K10

    XXE 打怪升级之路

    既然没有回显数据,那我们就要想办法让自己把数据往外带。 &lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">]><lolz>&lol9;</lolz> 此 payload 测试可以在内存中将小型 XML 文档扩展到超过 3GB 而使崩溃 ,所以这个示例会直接使 UNIX系统崩溃。 (以下实例来源于 freebuf 中的一篇文章) 如果内网中有一台存在 CRLF 注入漏洞的 SMTP ,我们就能利用 ftp:// 协议结合 CRLF 注入向其发送任意命令,也就是可以指定其发送任意邮件给任意人 %0D%0AQUIT%0D%0A:a@VULNERABLESYSTEM.com:25 当 FTP 客户端使用此 URL 连接时,以下命令将会被发送给 VULNERABLESYSTEM.com 上的邮件

    70240

    相关产品

    • 专用宿主机

      专用宿主机

      专用宿主机(CDH)提供用户独享的物理服务器资源,满足您资源独享、资源物理隔离、安全、合规需求。专用宿主机搭载了腾讯云虚拟化系统,购买之后,您可在其上灵活创建、管理多个自定义规格的云服务器实例,自主规划物理资源的使用。

    相关资讯

    热门标签

    扫码关注云+社区

    领取腾讯云代金券