山兔1
山兔1

56 代码审计-JAVA项目Filter过滤器及XSS挖掘

这里写目录标题

      • Filter过滤器配置启用及查看
      • Demo代码测试引用过滤器测试
    • Jeesns过滤器分析绕过防护代码
      • Struts2框架类过滤器简要分析测试

56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第1张图片
过滤器是java里面找漏洞很重要的地方，如果对过滤器不了解的话，对漏洞的验证是很有问题的

看构成就是看过滤器是否在前期源码、项目中，是否有过滤器

看指向指的是对应过滤器的代码指向地方，指向的是内部文件还是外部的库文件，这样子是便于我们快速找到对应的代码进行分析

看过滤器在这里的配置信息，一般看两点，一个是触发请求、一个是触发规则，这两点主要是根据请求和规则思考有没有绕过的可能性

看配置和看代码都是在思考过滤的情况和去思考绕过思路的

简要来讲就是一句话，看构成，看指向，看配置，看代码-寻绕过

在javaweb项目中，一般在运行的过程中会经过过滤器，才会到下面去，过滤器在你还没有信息返回的时候，就已经到了过滤器，就相当于前期已经将你相关请求的东西开始进行过滤了，过滤完之后，才会带到后面的数据处理中，所以过滤器是在漏洞或者攻击的过程中，会进行拦截的一个地方，这个地方过滤器写的比较严谨的话，会阻止大部分的攻击，也是我们后期判断漏洞是否真实存在，验证这个漏洞有效性的时候，就是要根据过滤器的规则进行分析，所以过滤器是非常重要的

Filter过滤器配置启用及查看

web.xml查看Filter过滤器
名字，对应class，触发URL，生效规则等

我们打开java项目，框架对应的配置性文件里面会直接标识有没有过滤器
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第2张图片
我们进行文件的搜索找到web.xml
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第3张图片
打开web.xml文件，其中shiro是过滤器的名字，class是代码储存的地方
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第4张图片
自身的程序代码是内部，由于代码会引用一些东西，属于外部，外部就是有些库
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第5张图片
我们可以在外部里面找以下有没有对应的名字
在这里插入图片描述
初次打开jar文件是打不开的，右键选中jar，选中加载，把它编译进去
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第6张图片
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第7张图片
这个地方就是它过滤器代码储存的地方
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第8张图片
mapping属于路由类东西的设置，后面又设置名字、访问路径，就是说请求admin目录的时候，就会触发shiro控制器，这里是可以指定单个文件、目录、后缀名，打个比方后面加个*.jsp，就是请求admin后面加个任意的jsp文件，触发过滤器里面对应的代码；下面就是以什么形式触发

56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第9张图片

Filter是JavaWeb中的过滤器，用于过滤URL请求。通过Filter我们可以实现URL请求资源权限验证、用户登陆检测等功能。

Filter是一个接口，实现一个Filter只需要重写 init 、doFilter、destroy 方法即可，其中过滤逻辑都在doFilter 方法中实现。

Filter和Servlet一样是Java web中最为核心的部分，使用Servlet和Filter可以实现后端接口开发和权限控制，当然使用Filter机制也可以实现MVC框架，Struts2 实现机制就是使用的Filter。

Filter的配置类似于Servlet，由 和 两组标签组成，如果Servlet版本大于3.0同样可以使用注解的方式配置Filter。

过滤器里面有比较关键的三串比较重要的代码，init初始化
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第10张图片
doFilter过滤器核心代码
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第11张图片
destroy销毁
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第12张图片
一般要初始化之后，然后到核心代码这里来，最后销毁它就完事了

只要请求项目的任意地址都会触发规则
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第13张图片

Demo代码测试引用过滤器测试

我们这边来个简单的小实例，我们打开项目，打开web.xml
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第14张图片
这边有个过滤器，一般外部库都会有框架的名字，这个名字显然不在外部库
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第15张图片
这是它过滤器对应的代码地方
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第16张图片
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第17张图片
访问这个目录下面的任意文件，都能触发到过滤器的名字，触发里面的请求
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第18张图片
我们现在把项目启动起来，项目在启动的过程中，就会触发过滤器的初始化
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第19张图片
现在我们随便访问一个地址，访问它的时候并没有提示我们什么
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第20张图片
过滤器初始化代码已经被执行了，核心代码没有执行，因为没有访问servlet目录

我们访问一下servlet目录下的文件
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第21张图片
我们找到xss.jsp没有这个选项
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第22张图片
我们看调式信息，就是触发代码了
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第23张图片

Jeesns过滤器分析绕过防护代码

Jeesns是java的一套程序开发的，打开Jeesns项目
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第24张图片
首先找配置文件，一般是找关键性目录
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第25张图片
我们看到这里有XssSqlFilter过滤器，很明显就是过滤xss和sql注入的，看过滤器文件名就知道是内部的
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第26张图片
其实这个过滤就是创建对象，对象叫XssWrapper，它的核心代码在XssWrapper对象里面
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第27张图片
我们选中对象名字，点击查找使用，跟踪代码
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第28张图片
因为它的核心代码在jar包里面，这个jar包是我们反编译才能看到的
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第29张图片
点击添加为库
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第30张图片
打开里面也是搜不到XssWrapper对象的
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第31张图片
我们这边一个个打开看一下
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第32张图片
Jeesns1.3之前发现漏洞，1.4.2紧急修复漏洞，然后你具体看一下两个规则的具体写法，请求的方法名不一样
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第33张图片
因为这边不是jar包，我们直接点击查找引用
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第34张图片
这边构造函数就是它原始申明的地方，双击构造函数
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第35张图片
自动定位到XssHttpServletRequestWrapper函数的地方
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第36张图片
它使用的是替换方法，所以它是不严谨的，因为它过滤的是关键字
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第37张图片
这两个事件就可以触发xss的代码，因为它在这里申明关键字，里面没有包含下面这两个，所以就会触发

<svg/onLoad=confirm(1)>
<img src="x" ONERROR=confirm(0)>

我们看1.4.2这里就加了正则表达式，然后还加了些其它东西
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第38张图片
请求任意文件或任意目录，它这里过滤器过滤的是url请求，然后请求里面含有参数，所以它其实检测的就是url请求参数的东西，你可以看到它过滤器框架里面ServletRequest request的写法，所以这里面就是请求和回复，只要请求就会收到回复
在这里插入图片描述
我们找个输出地方，即可测试xss，因为跨站漏洞本身漏洞的原因，就是输出地方存在的问题，所以只要找输出的函数，就能找到漏洞存在的地方

java输出函数网上找一下就完事了，你思路懂，你网上搜资料你也会明白
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第39张图片
全局搜索输出函数
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第40张图片
也可以单独针对某个模块去找
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第41张图片
我们找有打印的地方，打印的地方存在变量，把变量给传回去就完事了

漏洞的poc：https://www.seebug.org/vuldb/ssvid-97940
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第42张图片
单独的过滤代码写到单独的过滤器里面，这样子是很便于你后期的开发维护，只要你的过滤器访问规则被绕过了，那么你就可以直接修改对应地方，不用在每个要接受验证的代码中进行修改，这肯定不现实，所以这样设计是便于后期维护的，是一种先进的写法

apk可以反编译，反编译成jar包，其实也可以进行代码审计，但是一般apk是app文件，就是我们的移动客户端，移动客户端就是app里面涉及到网站源码，如果没有，就是单纯逻辑上面的代码，不会设计到web层面的代码以及安全，如果app里面就是一些web框架在里面，app打开就是我们访问网站的模版，可能里面就是类似javaweb

Struts2框架类过滤器简要分析测试

有使用框架和没使用框架最大的区别就是构成这里，不同的框架他们的网站配置文件命名是不一样的，可以去网上搜都有的

框架的指向全在外部，文件核心代码全在外部，不可能在内部，因为你用到框架，框架自身是有它自带的过滤器的，框架就好比我们的thinkphp，有它自身的过滤规则

它们的配置请求规则也会不一样，一旦出现框架类的话，就会跟常规有区别，但是整体思路不会有问题的

载入struts2项目
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第43张图片
我们分析框架有没有漏洞，看过滤器，框架是有自身的东西的，可以引用框架开发网站，框架自身的过滤器是不是要找配置文件，配置文件找不到的话，可以直接进行搜索
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第44张图片
struts2过滤器的命名跟我们前面讲的拦截器的命名是有区别的
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第45张图片
这个配置文件里面没有intercepter
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第46张图片
那就看一下这里有没有加载一些包含文件，所以我们就去找这个文件
在这里插入图片描述
这里已经找到了
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第47张图片
找到过滤器代码，过滤器的名字，过滤器储存的class文件、路径

找到过滤器规则的文件
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第48张图片
框架一旦加载上去，漏洞一旦发现产生危害大，就是因为框架使用的人多，框架爆出漏洞一般是高危漏洞，因为框架一旦有使用，谁都不能判断框架漏洞是怎么引起的

框架漏洞就是分析它的过滤器挖出来的，把这些文件打开，分析它的过滤规则有没有绕过的

框架类的过滤器首先他的申明不一样，名字也不一样，然后他的过滤器有很多

通过过滤器的名字就能知道大概意思，比如cookie是对cookie相关的东西进行操作，我们看的话，着重看关键字，params这个是java里面代码的接收，请求方式
56 代码审计-JAVA项目Filter过滤器及XSS挖掘_第49张图片
有些过滤器它仅仅只是为了网站的正常访问，防止出问题这些，就像我们刚刚说的编码，像那些就不用看了，主要是看关键字的一些过滤器，找到它里面的东西

这个代码给到我，也是要查资料慢慢看，因为我也没学过java，有些代码，我们只能简单去理解他，分析他，大概是什么意思，你要一下子看完，除非你搞过开发，我也看不懂只能去猜，从字面上去猜函数的意思，分析这个过滤器是干嘛的，怎么在过滤

简单的学一下java，了解一下架构是有必要的

你可能感兴趣的:(小迪安全,java,xss,安全)

  • 大学播音主持都学什么内容？播音主持专业学什么？ 配音新手圈
    有些喜欢播音主持并且犹豫要不要报考这个大学专业的小伙伴们就会想要了解大学播音主持都学什么内容吧，毕竟如果不够了解就直接选择这个专业真的等选择完进去学习以后才知道这个专业并不是自己想要学习的东西那就来不及了。下面是小编为大家整理出来的一些播音主持专业学习的内容，请往下看吧。大学播音主持专业主要学习的课程有：播音发声、播音创作基础、广播播音主持、电视播音主持、文艺作品演播学概论、新闻学概论、新闻采编、
  • 数据结构奇妙旅程之深入解析快速排序 山间漫步人生路 数据结构排序算法算法
    快速排序（QuickSort）是一种高效的排序算法，它使用了分治法的策略来将一个数组排序。其基本思想是选择一个基准元素，通过一趟排序将待排序的数据分割成独立的两部分，其中一部分的所有数据都比基准元素小，另一部分的所有数据都比基准元素大，然后再按此方法对这两部分数据分别进行快速排序，整个排序过程可以递归进行，以此达到整个数据变成有序序列。工作原理选择基准：从待排序的序列中选一个元素作为基准（pivo
  • 我喝醉了，但是与你无关 Z先生的日记本
    2019年04月10号晚上我和一个朋友喝酒了，彻彻底底的喝醉了，喝到短片，事后我问L，我说我喝醉了之后，都发生了什么，L没有告诉我详情，但是跟我说了大致，他说我跟他一直聊天，说自己小的时候的事，说自己爸妈的事，说自己现在过得很苦可能，确实是喝醉了酒，才会毫无防备的跟其他人说这些吧。L还说感觉我过得很苦，很心疼。醉了酒之后还哭了，想想还真是丢人一年前，在宿舍也有一瓶红酒，那是舍友出去拉赞助时候，友商
  • word字号和mathtype磅值关系及批量修改 小铁匠-Ma office小技巧经验分享
    word字号和mathtype磅值关系及批量修改1.字号与磅值关系字号「八号」对应磅值5字号「七号」对应磅值5.5字号「小六」对应磅值6.5字号「六号」对应磅值7.5字号「小五」对应磅值9字号「五号」对应磅值10.5字号「小四」对应磅值12字号「四号」对应磅值14字号「小三」对应磅值15字号「三号」对应磅值16字号「小二」对应磅值18字号「二号」对应磅值22字号「小一」对应磅值24字号「一号」对应
  • 新网师的精神肤色（幕布笔记） 悦读书香
    王子老师的《极简100小妙招》收到已经几天了，之前大概的浏览了全书，今天起给自己定了一个计划，必须每天学习极简小妙招里面的一个妙招，并加以运用。一、今天要打卡什么内容因有完成每天学习极简小妙招的计划，所以今天晚饭吃的比较简单，草草吃完以后带着小宝到广场溜达一圈，急忙赶回来学习极简小妙招。再重看的时候不知道自己要学点什么，打卡哪一招，感觉哪个都简单，就看这一环节像王子老师说的“一看就会”，但做这一环
  • 华为OD机试 - 单向链表中间节点（Java & JS & Python & C & C++） 华为OD题库 华为od链表java
    须知哈喽，本题库完全免费，收费是为了防止被爬，大家订阅专栏后可以私信联系退款。感谢支持文章目录须知题目描述输出描述解析代码题目描述给定一个单链表L，请编写程序输出L中间结点保存的数据。如果有两个中间结点，则输出第二个中间结点保存的数据。例如：给定L为1→7→5，则输出应该为7；给定L为1→2→3→4，则输出应该为3；输入描述每个输入包含1个测试用例。每个测试用例：第一行给出链表首结点的地址、结点总
  • 信任 饮冰伊乔
    随着社会的发展，微信和支付宝交易给人们带来了极大的方便，越来越多的人出门都只选择拿一部手机即可，方便安全，可昨天我就遇到了一件比较尴尬的事。昨天傍晚，我从公司出来，感觉有点饿，决定索性吃了饭再回去，来到去过几次的一个店里，如往常一样叫了餐，当时店里吃饭的不多，老板麻利的先去做了，正要扫微信付账的时候发现手机没电了，迷之尴尬，我只好跟老板说不用做了，手机没电了，我身上又没现金，付不了帐了。老板娘很热
  • 学习JavaEE的日子 Day32 线程池 A 北枝 学习JavaEE学习java-eejava线程池
    Day32线程池1.引入一个线程完成一项任务所需时间为：创建线程时间-Time1线程中执行任务的时间-Time2销毁线程时间-Time32.为什么需要线程池(重要)线程池技术正是关注如何缩短或调整Time1和Time3的时间，从而提高程序的性能。项目中可以把Time1，T3分别安排在项目的启动和结束的时间段或者一些空闲的时间段线程池不仅调整Time1，Time3产生的时间段，而且它还显著减少了创建
  • 为千 佩蓉：为家庭放弃事业的男人没出息吗？ 北京朵多教育
    为家庭放弃事业的男人没出息吗我们在搭档的过程中会遇到一些问题，因此要做好心理准备，这样才不会陷入抱怨或双输的局面。关键不是谁比谁能力强，而是夫妻之间如何取长补短。家庭要赢需要每个人的付出和牺牲，大家一起分担和负责，这样才能享受相爱的自由、安全和归属感。我们需要做的牺牲包括自己的时间、自己的一些爱好，甚至事业发展。为千认为做好父亲是非常重要的事，所以他不仅要出席在孩子们的生活中，还要积极地参与和带领
  • 浇灌根部 山静幽兰
    “浇灌根部。”对，浇灌根部。张学青点醒了我。无论是我自己，还是我学生，都，正需要浇灌。正因为虚度了那么多岁月，不曾懂得浇灌自己，我这棵树才长得如此缓慢，四十多岁才长成今天这个样子。好在我现在的学生还小，犹如一棵棵小芽，浇灌正是时候。是的，要浇就浇根部。我的根，在课堂。根在课堂，就认认真真读书，读有“盐”的书，长智的书。以前也常看那些抚慰灵魂的“心灵鸡汤”，但时间长了觉得发腻，对我的语文教学也帮不了
  • 【嵌入式模块】步进电机使用总结 记录无知岁月 #嵌入式设备嵌入式硬件步进电机
    关于本博客  此前上了一门课《自动控制元件》，但是由于学时有限，讲到步进电机就不讲了，留下了一个小遗憾，导致需要使用步进电机时就有点懵，于是找了一篇博客，链接在这里，推荐具有电机知识（如直流电机，异步电机等）的朋友看，如果完全不懂，建议先啃书。
  • 2019.11.28感恩日记 afab5b74f713
    1.感谢真我守护，一觉到天明，谢谢谢谢谢谢！2.感谢一大早，橘子就甩来4800的大红包，谢谢谢谢谢谢！3.感谢今天代理宝宝们疯狂加单，钱宝宝流入小十万，太牛了你们，有你们真好，谢谢谢谢谢谢！4.感谢自己拥有钱宝宝，可以去群里给宝宝们发红包，表达我的爱，谢谢谢谢谢谢钱宝宝爱我！5.感谢自己的细胞宝宝们，让我保持健康与活力，可以自由活动，活力满满，谢谢谢谢谢谢！6.感谢芬姐甩来订单，谢谢谢谢谢谢钱宝宝
  • yarn的安装和使用全网最详细教程 zxj19880502 yarnnpm
    一、yarn的简介：Yarn是facebook发布的一款取代npm的包管理工具。二、yarn的特点：速度超快。Yarn缓存了每个下载过的包，所以再次使用时无需重复下载。同时利用并行下载以最大化资源利用率，因此安装速度更快。超级安全。在执行代码之前，Yarn会通过算法校验每个安装包的完整性。超级可靠。使用详细、简洁的锁文件格式和明确的安装算法，Yarn能够保证在不同系统上无差异的工作。三、yarn的
  • 请简单介绍一下Shiro框架是什么？Shiro在Java安全领域的主要作用是什么？Shiro主要提供了哪些安全功能？ AaronWang94 shirojavajava安全开发语言
    请简单介绍一下Shiro框架是什么？Shiro框架是一个强大且灵活的开源安全框架，为Java应用程序提供了全面的安全解决方案。它主要用于身份验证、授权、加密和会话管理等功能，可以轻松地集成到任何JavaWeb应用程序中，并提供了易于理解和使用的API，使开发人员能够快速实现安全特性。Shiro的核心组件包括Subject、SecurityManager和Realms。Subject代表了当前与应用
  • 通俗易懂：什么是Java虚拟机（JVM）？它的主要作用是什么？ 大龄下岗程序员 mysqljavamysqlspring
    Java虚拟机（JavaVirtualMachine,JVM）是一种软件实现的抽象计算机，它负责执行Java字节码（Bytecode）。Java程序并不是直接在物理计算机上运行，而是先由Java编译器将源代码编译成与平台无关的字节码，然后由JVM负责读取字节码并在实际硬件架构上运行。JVM的主要作用包括以下几个方面：1.跨平台性-JVM是Java语言“一次编写，到处运行”（WriteOnce,Ru
  • 00后的我和你们 三七_f4f4
    大部分人认为，这个社会压力最大的莫过于90后。可能上有老下有小，可以正在被催婚。工作压力大。可是也有大部分00后也步入了社会，比起90后，他们更是迷茫，不知所措。虽没有来自家庭的压力，没有来自催婚的烦劳。可迷茫真的很可怕，不知道一会该干嘛，该想那些方面发展。觉得自己以后就这样碌碌无为了吗？就这样过一辈子吗？又不甘。图片发自App前几天在抖音上看见一个视频，他说姚明在苦练篮球。谁谁在苦练什么。问，你
  • 3、JavaWeb-Ajax/Axios-前端工程化-Element 所谓远行Misnearch #JavaWeb前端ajaxelementuijava前端框架
    P34Ajax介绍Ajax:AsynchroousJavaScriptAndXML，异步的JS和XMLJS网页动作，XML一种标记语言，存储数据，作用：数据交换：通过Ajax给服务器发送请求，并获取服务器响应的数据异步交互：在不重新加载整个页面的情况下，与服务器交换数据并实现更新部分网页的技术，例如：搜索联想、用户名是否可用的校验等等。同步与异步：同步：服务器在处理中客户端要处于等待状态，输入域名
  • 账务处理又出错？资深会计来教你，学会效率翻倍！共同学习 小橘子要努力吖
    作为一名会计，在实际工作中会遇到各种麻烦的账务处理问题。那么，最常用的会计处理方法都有哪些呢？今天小编为大家带来了从业二十六年的资深老会计分享的十四中会计常用的账务处理问题的解决方案，快来看看吧！一、促销品的账务处理在促销时公司经常会把一些商品按进价赠送给消费者使用二、款已付清但发票未到的账务处理三、购买材料发生不合理损耗的账务处理问题公司在购买材料时，常常会发生一些不合理的损耗，那么这种问题该怎
  • 网络安全（黑客）——自学2024 小言同学喜欢挖漏洞 web安全安全网络学习网络安全信息安全渗透测试
    01什么是网络安全网络安全可以基于攻击和防御视角来分类，我们经常听到的“红队”、“渗透测试”等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如Web安全技术，既有Web渗透，也有Web防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。02怎样规划网络安全如果你是一
  • 黑客（网络安全）技术自学30天 一个迷人的黑客 web安全安全网络笔记网络安全信息安全渗透测试
    01什么是网络安全网络安全可以基于攻击和防御视角来分类，我们经常听到的“红队”、“渗透测试”等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如Web安全技术，既有Web渗透，也有Web防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。02怎样规划网络安全如果你是一
  • 2.5 项目讲解流程 王守谦26 项目资料数据库
    一、项目讲解1、自我介绍2、项目流程-===============================二、自我介绍（一）、学员自我介绍，讲解存在的问题比如：讲解年份、卡顿、重点学历、忘记（二）自我规则内容1、开场白：礼貌用语2、时间：自我介绍1-2分钟以内3、内容：姓名、籍贯、毕业院校、（拉进面试官距离）4、技能：功能测试、接口测试、自动化测试、app测试、性能测试、安全测试黑盒测试、白盒测试、灰盒
  • 枚举使用笔记 万变不离其宗_8 项目笔记笔记
    1.java枚举怎么放在方法上面的注释里面/***保存*@paramuserId用户id*@paramtype见枚举{@linkcom.common.enums.TypeEnum}*@return*/voidsave(LonguserId,Stringtype);
  • 向阳而生——嘉午台游记 雪域芳香
    今天周日，我们一行十人按原计划驱车前往大秦岭——嘉午台。因为今天西安举行西马赛事，从昨晚开始，长安南路、小寨东路、翠华路等重要路段全部实行管制，我们在昨天已将两辆车开往电视塔以南，也就是管制路段以南地区，并且把车停在了不实行管制区域的地铁口。今天我们乘坐地铁，到达停车场地，一行人按约定均已到齐。出发！（今天太累了，眼睛直打盹，我好想睡觉，算了，先占个地盘，改天一定补齐）
  • 物联网边缘网关有哪些优势？-天拓四方 北京天拓四方科技股份有限公司 物联网其他边缘计算
    随着物联网技术的快速发展，越来越多的设备接入网络，数据交互日益频繁，对数据处理和传输的要求也越来越高。在这样的背景下，物联网边缘网关应运而生，以其低延迟、减少带宽消耗、提高数据质量和安全性等优势，为物联网应用提供了强大的支持。物联网边缘网关的应用场景广泛，几乎涵盖了所有需要实时数据处理和传输的领域。在工业场景中，边缘计算网关可以实时处理海量传感器和设备的数据，实现对运行、制造过程的全环节实时监控、
  • Python dict字符串转json对象，小数精度丢失问题 朝如青丝 暮成雪 jsonpython
    一前言JSON(JavaScriptObjectNotation)是一种轻量级的数据交换格式，dict是Python的一种数据格式。本篇介绍一个float数据转换时精度丢失的案例。二问题描述importjsontest_str1='{"π":3.1415926535897932384626433832795028841971}'test_str2='{"value":10.00000}'print
  • 冷门知识 | 大雪冻skr个人，知道其中三条冷知识温暖整个冬天~ 带你玩儿
    今日大雪今日节气——大雪，可是并没有下雪。“嗷~~冻死了”“啊~好冷啊”办公室里的伙伴们一进门都是出奇的一致好吧，那今天的冷知识，就让小八给大家来送些温暖吧~温暖整个冬天的冷知识其实喝酒不能暖身子喝酒只会降低身体内部温度，增加患上低体温症的风险，喝酒也会阻断身体自然颤抖保暖的机制。之所以喝酒会感觉暖暖的，因为酒精让血管扩张，将温暖的血液带到体表。所以喝酒带来的暖是暂时的，最后反而会大大降低身体抵抗
  • 电影《外太空的莫扎克》 嘉诺
    今天妈妈带我去看《外太空的莫扎克》里面讲的是一部适合全家观看的奇幻喜剧，两对“冤家父子”，一只“天外来客”，三位搞笑笨贼，上演一出奇幻爆笑喜剧。任大望一心想把喜好天文的儿子任小天培养成钢琴演奏家，为此父子争吵不断。一天，神秘外星人莫扎特意外出现，从此，莫扎特帮助任小天开启了和爸爸“斗智斗勇”的生活。令任小天没有想到的是，莫扎特来到地球竟另有任务。星人莫扎特。之所以起名莫扎特，是因为他来到地球以后就
  • 道德经第三十四章 套马地汉纸
    道德经第三十四章原文：大道泛兮，其可左右！万物恃之而生，而不辞，功成不名有。爱养万物而不为主，常无欲，可名于小；万物归焉而不为主，可名为大。是以圣人终不为大，故能成其大。译文：大道广泛流行，无所不到。万物依赖它生长而不推辞，有所成就而不自以为有功。养育万物而不自以为主，永远没有私欲，可以说是渺小得很，所以可称它为“小”；物归附于它而它不自以为主宰，可以说极其伟大，所以可称它为“大”。由于它不自以为
  • java实体中返回前端的double类型四舍五入（格式化） 婲落ヽ紅顏誶 java
    根据业务，需要通过后端给前端返回部分double类型的数值，一般需要保留两位小数，使用jackson转换对象packagecom.ruoyi.common.core.config;importcom.fasterxml.jackson.core.JsonGenerator;importcom.fasterxml.jackson.databind.JsonSerializer;importcom.f
  • 露台烤火到廚房發火 3000烦恼风
    露台烤火昨天晚上，和太太兩個孩子在家中頂樓露台。我升起一盆火，在不太冷的冬天晚上，我們特地把晚餐搬上頂樓，大家聚在一起吃飯，「戶外」就像是調味料，食物總是比室內更有味道。用餐後，也沒事，太太烤著火，大兒子跟我聊著他最近讀的小說，這個上高中就酷酷的兒子，好久沒跟我說這麼久的話了。我在火上燉煮著香料奶茶，準備和太太一起享用。女兒則在一旁借太太的手機學習怎麼使用滑板。一切畫面都安安靜靜的，很緩慢的，我現
  • java短路运算符和逻辑运算符的区别 3213213333332132 java基础
    /* * 逻辑运算符——不论是什么条件都要执行左右两边代码 * 短路运算符——我认为在底层就是利用物理电路的“并联”和“串联”实现的 * 原理很简单，并联电路代表短路或（||），串联电路代表短路与（&&）。 * * 并联电路两个开关只要有一个开关闭合，电路就会通。 * 类似于短路或（||），只要有其中一个为true（开关闭合）是
  • Java异常那些不得不说的事 白糖_ javaexception
    一、在finally块中做数据回收操作 比如数据库连接都是很宝贵的，所以最好在finally中关闭连接。 JDBCAgent jdbc = new JDBCAgent(); try{ jdbc.excute("select * from ctp_log"); }catch(SQLException e){ ... }finally{ jdbc.close();
  • utf-8与utf-8(无BOM)的区别 dcj3sjt126com PHP
    BOM——Byte Order Mark，就是字节序标记   在UCS 编码中有一个叫做"ZERO WIDTH NO-BREAK SPACE"的字符，它的编码是FEFF。而FFFE在UCS中是不存在的字符，所以不应该出现在实际传输中。UCS规范建议我们在传输字节流前，先传输 字符"ZERO WIDTH NO-BREAK SPACE"。这样如
  • JAVA Annotation之定义篇 周凡杨 java注解annotation入门注释
        Annotation: 译为注释或注解 An annotation, in the Java computer programming language, is a form of syntactic metadata that can be added to Java source code. Classes, methods, variables, pa
  • tomcat的多域名、虚拟主机配置 g21121 tomcat
    众所周知apache可以配置多域名和虚拟主机，而且配置起来比较简单，但是项目用到的是tomcat，配来配去总是不成功。查了些资料才总算可以，下面就跟大家分享下经验。 很多朋友搜索的内容基本是告诉我们这么配置： 在Engine标签下增面积Host标签，如下： <Host name="www.site1.com" appBase="webapps"
  • Linux SSH 错误解析（Capistrano 的cap 访问错误 Permission ） 510888780 linuxcapistrano
    1.ssh -v [email protected] 出现 Permission denied (publickey,gssapi-keyex,gssapi-with-mic,password). 错误 运行状况如下： OpenSSH_5.3p1, OpenSSL 1.0.1e-fips 11 Feb 2013 debug1: Reading configuratio
  • log4j的用法 Harry642 javalog4j
    一、前言：     log4j 是一个开放源码项目，是广泛使用的以Java编写的日志记录包。由于log4j出色的表现，     当时在log4j完成时，log4j开发组织曾建议sun在jdk1.4中用log4j取代jdk1.4 的日志工具类，但当时jdk1.4已接近完成，所以sun拒绝使用log4j，当在java开发中
  • mysql、sqlserver、oracle分页，java分页统一接口实现 aijuans oraclejave
    定义：pageStart 起始页，pageEnd 终止页,pageSize页面容量 oracle分页： 　　　　select * from ( select mytable.*,rownum num from (实际传的SQL) where rownum<=pageEnd) where num>=pageStart sqlServer分页：  
  • Hessian 简单例子 antlove javaWebservicehessian
    hello.hessian.MyCar.java package hessian.pojo; import java.io.Serializable; public class MyCar implements Serializable { private static final long serialVersionUID = 473690540190845543
  • 数据库对象的同义词和序列 百合不是茶 sql序列同义词ORACLE权限
    回顾简单的数据库权限等命令; 解锁用户和锁定用户 alter user scott account lock/unlock; //system下查看系统中的用户 select * dba_users; //创建用户名和密码 create user wj identified by wj; identified by //授予连接权和建表权 grant connect to
  • 使用Powermock和mockito测试静态方法 bijian1013 持续集成单元测试mockitoPowermock
            实例： package com.bijian.study; import static org.junit.Assert.assertEquals; import java.io.IOException; import org.junit.Before; import org.junit.Test; import or
  • 精通Oracle10编程SQL(6)访问ORACLE bijian1013 oracle数据库plsql
    /* *访问ORACLE */ --检索单行数据 --使用标量变量接收数据 DECLARE v_ename emp.ename%TYPE; v_sal emp.sal%TYPE; BEGIN select ename,sal into v_ename,v_sal from emp where empno=&no; dbms_output.pu
  • 【Nginx四】Nginx作为HTTP负载均衡服务器 bit1129 nginx
     Nginx的另一个常用的功能是作为负载均衡服务器。一个典型的web应用系统，通过负载均衡服务器，可以使得应用有多台后端服务器来响应客户端的请求。一个应用配置多台后端服务器，可以带来很多好处：   负载均衡的好处 增加可用资源 增加吞吐量 加快响应速度，降低延时 出错的重试验机制 Nginx主要支持三种均衡算法： round-robin l
  • jquery-validation备忘 白糖_ jquerycssF#Firebug
    留点学习jquery validation总结的代码：   function checkForm(){ validator = $("#commentForm").validate({// #formId为需要进行验证的表单ID errorElement :"span",// 使用"div"标签标记错误， 默认:&
  • solr限制admin界面访问（端口限制和http授权限制） ronin47 限定Ip访问
    solr的管理界面可以帮助我们做很多事情，但是把solr程序放到公网之后就要限制对admin的访问了。 可以通过tomcat的http基本授权来做限制，也可以通过iptables防火墙来限制。 我们先看如何通过tomcat配置http授权限制。 第一步： 在tomcat的conf/tomcat-users.xml文件中添加管理用户，比如： <userusername="ad
  • 多线程-用JAVA写一个多线程程序，写四个线程，其中二个对一个变量加1，另外二个对一个变量减1 bylijinnan java多线程
    public class IncDecThread { private int j=10; /* * 题目:用JAVA写一个多线程程序，写四个线程，其中二个对一个变量加1，另外二个对一个变量减1 * 两个问题： * 1、线程同步--synchronized * 2、线程之间如何共享同一个j变量--内部类 */ public static
  • 买房历程 cfyme
        2015-06-21: 万科未来城，看房子   2015-06-26: 办理贷款手续，贷款73万，贷款利率5.65=5.3675   2015-06-27: 房子首付,签完合同   2015-06-28，央行宣布降息 0.25，就2天的时间差啊，没赶上。   首付，老婆找他的小姐妹接了5万，另外几个朋友借了1-
  • [军事与科技]制造大型太空战舰的前奏 comsci 制造
           天气热了........空调和电扇要准备好..........        最近,世界形势日趋复杂化,战争的阴影开始覆盖全世界..........        所以,我们不得不关
  • dateformat dai_lm DateFormat
    "Symbol Meaning Presentation Ex." "------ ------- ------------ ----" "G era designator (Text) AD" "y year
  • Hadoop如何实现关联计算 datamachine mapreducehadoop关联计算
        选择Hadoop，低成本和高扩展性是主要原因，但但它的开发效率实在无法让人满意。     以关联计算为例。     假设：HDFS上有2个文件，分别是客户信息和订单信息，customerID是它们之间的关联字段。如何进行关联计算，以便将客户名称添加到订单列表中？   &nbs
  • 用户模型中修改用户信息时，密码是如何处理的 dcj3sjt126com yii
    当我添加或修改用户记录的时候对于处理确认密码我遇到了一些麻烦，所有我想分享一下我是怎么处理的。 场景是使用的基本的那些(系统自带)，你需要有一个数据表(user)并且表中有一个密码字段(password),它使用 sha1、md5或其他加密方式加密用户密码。 面是它的工作流程: 当创建用户的时候密码需要加密并且保存，但当修改用户记录时如果使用同样的场景我们最终就会把用户加密过的密码再次加密，这
  • 中文 iOS/Mac 开发博客列表 dcj3sjt126com Blog
      本博客列表会不断更新维护，如果有推荐的博客，请到此处提交博客信息。 本博客列表涉及的文章内容支持 定制化Google搜索，特别感谢 JeOam 提供并帮助更新。 本博客列表也提供同步更新的OPML文件（下载OPML文件），可供导入到例如feedly等第三方定阅工具中，特别感谢 lcepy 提供自动转换脚本。这里有导入教程。
  • js去除空格，去除左右两端的空格 蕃薯耀 去除左右两端的空格js去掉所有空格js去除空格
    js去除空格，去除左右两端的空格 >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>&g
  • SpringMVC4零配置--web.xml hanqunfeng springmvc4
    servlet3.0+规范后，允许servlet，filter，listener不必声明在web.xml中，而是以硬编码的方式存在，实现容器的零配置。 ServletContainerInitializer：启动容器时负责加载相关配置 package javax.servlet; import java.util.Set; public interface ServletContainer
  • 《开源框架那些事儿21》：巧借力与借巧力 j2eetop 框架UI
    同样做前端UI，为什么有人花了一点力气，就可以做好？而有的人费尽全力，仍然错误百出？我们可以先看看几个故事。 故事1：巧借力，乌鸦也可以吃核桃 有一个盛产核桃的村子，每年秋末冬初，成群的乌鸦总会来到这里，到果园里捡拾那些被果农们遗落的核桃。 核桃仁虽然美味，但是外壳那么坚硬，乌鸦怎么才能吃到呢？原来乌鸦先把核桃叼起，然后飞到高高的树枝上，再将核桃摔下去，核桃落到坚硬的地面上，被撞破了，于是，
  • JQuery EasyUI 验证扩展 可怜的猫 jqueryeasyui验证
      最近项目中用到了前端框架-- EasyUI，在做校验的时候会涉及到很多需要自定义的内容，现把常用的验证方式总结出来，留待后用。   以下内容只需要在公用js中添加即可。   使用类似于如下： <input class="easyui-textbox" name="mobile" id="mobile&
  • 架构师之httpurlconnection----------读取和发送(流读取效率通用类) nannan408
    1.前言.    如题. 2.代码. /* * Copyright (c) 2015, S.F. Express Inc. All rights reserved. */ package com.test.test.test.send; import java.io.IOException; import java.io.InputStream
  • Jquery性能优化 r361251 JavaScriptjquery
    一、注意定义jQuery变量的时候添加var关键字 这个不仅仅是jQuery，所有javascript开发过程中，都需要注意，请一定不要定义成如下： $loading = $('#loading'); //这个是全局定义，不知道哪里位置倒霉引用了相同的变量名，就会郁闷至死的 二、请使用一个var来定义变量 如果你使用多个变量的话，请如下方式定义： . 代码如下: var page
  • 在eclipse项目中使用maven管理依赖 tjj006 eclipsemaven
    概览: 如何导入maven项目至eclipse中 建立自有Maven  Java类库服务器 建立符合maven代码库标准的自定义类库 Maven在管理Java类库方面有巨大的优势，像白衣所说就是非常“环保”。 我们平时用IDE开发都是把所需要的类库一股脑的全丢到项目目录下，然后全部添加到ide的构建路径中，如果用了SVN/CVS，这样会很容易就 把
  • 中国天气网省市级联页面 x125858805 级联
    1、页面及级联js <%@ page language="java" import="java.util.*" pageEncoding="UTF-8"%> <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"> &l
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他