最近在做安全扫描,把遇到的一些问题以及一些解决方法记录下,以备后用. 扫描软件: IBM Security AppScan Standard  规则: 17441 1. 已解密的登录请求 (高) - 传递的参数名称避免使用语义明确的英文单词 > 如UserID, UserPwd, Password等 - 传递参数中包含敏感数据时使用post方式提交并进行加密传输 - 采用ajax方式提交表单时,提交的参数名称应与对应的表单控件name属性不同或者去掉name属性,通过ID属性取值.   2. 查

微擎微赞系统BUG漏洞解决方法汇总 弄了微擎系统来玩玩,发觉这个系统BUG还不少,阿里云的提醒都一大堆,主要是没有针对SQL注入做预防,处理的办法基本都是用转义函数. 汇总: 1. 漏洞名称: 微擎任意文件下载 漏洞文件路径:/framework/function/global.func.php 解决方法:   修复方法: 打开/framework/function/global.func.php文件 搜索 if (strexists($t, 'http://') 复制代码 找到 if (str

微擎微赞系统BUG漏洞解决方法汇总 弄了微擎系统来玩玩,发觉这个系统BUG还不少,阿里云的提醒都一大堆,主要是没有针对SQL注入做预防,处理的办法基本都是用转义函数. 汇总: 1. 漏洞名称: 微擎任意文件下载 漏洞文件路径:/framework/function/global.func.php 解决方法:   修复方法: 打开/framework/function/global.func.php文件 搜索 if (strexists($t, 'http://') 复制代码 找到 if (str

本文只指针编码层次的SQL注入漏洞解决方法,例子代码是以java为主. 1,参数化的预编译查询语句 不安全例子 String query = "SELECT account_balance FROM user_data WHERE user_name = " + request.getParameter("customerName"); try { Statement statement = connection.createStatement( … ); Resu

最近从阿里云云盾检测流出来的,相比使用阿里云服务器的朋友已经收到漏洞提醒:Phpcms V9某处逻辑问题导致getshell漏洞解决方法,这个漏洞怎么办呢?CMSYOU在这里找到针对性解决办法分享给大家. 漏洞详情: 漏洞名称:phpcms某处逻辑问题导致getshell 补丁编号:7843523 补丁文件:/phpcms/libs/classes/attachment.class.php 补丁来源:云盾自研 更新时间:2016-09-20 13:03:10 漏洞描述:phpcms的/phpcm

转自:http://blog.jobbole.com/77663/ 官网 ClamAV杀毒软件介绍 ClamAV是一个在命令行下查毒软件,因为它不将杀毒作为主要功能,默认只能查出您计算机内的病毒,但是无法清除,至多删除文件.ClamAV可以工作很多的平台上,但是有少数无法支持,这就要取决您所使用的平台的流行程度了.另外它主要是来防护一些WINDOWS病毒和木马程序.另外,这是一个面向服务端的软件. 下载ClamAV安装包 ClamAV的官方下载地址为http://www.clamav.net/d

一.rootkit简介 rootkit是Linux平台下最常见的一种木马后门工具,它主要通过替换系统文件来达到入侵和和隐蔽的目的,这种木马比普通木马后门更加危险和隐蔽,普通的检测工具和检查手段很难发现这种木马.rootkit攻击能力极强,对系统的危害很大,它通过一套工具来建立后门和隐藏行迹,从而让攻击者保住权限,以使它在任何时候都可以使用root权限登录到系统. rootkit主要有两种类型:文件级别和内核级别,下面分别进行简单介绍. 1.文件级别rootkit 文件级别的rootkit一般是通

  windows不是正版的提示一旦出现,那就表示我们的windows需要激活.在激活之前,我们的桌面主题就会无法正常更改,哪怕换了 壁纸或者主题我们的电脑显示屏依然会经常黑屏.虽然并不会影响我们使用,但是主题无法更改也会非常头疼,最少桌面少了色彩,一旦碰到这种情况我们该如何处 理. 解决方法 这里小编提供两种简单的解决方法: 1.命令行解决方法 我们安装windows键+R键,在弹出的运行窗口中,输入cmd. 在cmd模式下输入SLMGR -REARM,就可以重新试用windows,试用时间为

问题描述: 在公司因为两年前用的i3的电脑很卡,然后想换i5的电脑,但是又不想重装系统,因为安装的东西太多了,重装很麻烦 Windows to go介绍: Windows To Go是Windows 8/8.1.Windows 10的一种企业功能,被内置于Windows 8企业版.Windows 8.1企业版.Windows 10企业版.教育版与专业版(1607以后)中.对于满足Windows 8硬件要求的电脑,Windows To Go可使Windows 8.Windows 8.1.Windo

装双系统(win10和elementary os),elementary os是ubuntu的一个分支.在win10中合并了一块空白磁盘分区,再开机的时候出问题了. 遇到filesystem unknown,grub rescue错误. 这是因为ubuntu使用的是grub2引导程序,grub2分为两部分,一部分写入MBR(磁盘上存储引导程序和硬盘分区表的地方,大小为512byte), 另一部分存在ubuntu的/boot/grub目录下,这两部分有一个损坏就会出现此错误. ----------

基本上,参加的安全测试(渗透测试)的网站,可能或多或少存在下面几个漏洞:SQL注入漏洞.跨站脚本攻击漏洞.登陆后台管理页面.IIS短文件/文件夹漏洞.系统敏感信息泄露. 1.测试的步骤及内容 这些安全性测试,据了解一般是先收集数据,然后进行相关的渗透测试工作,获取到网站或者系统的一些敏感数据,从而可能达到控制或者破坏系统的目的. 第一步是信息收集,收集如IP地址.DNS记录.软件版本信息.IP段等信息.可以采用方法有: 1)基本网络信息获取: 2)Ping目标网络得到IP地址和TTL等信息: 3

http://www.cnblogs.com/wuhuacong/archive/2013/04/15/3022011.html 如何利用SQL注入漏洞攻破一个WordPress网站 平时工作,多数是开发Web项目,由于一般是开发内部使用的业务系统,所以对于安全性一 般不是看的很重,基本上由于是内网系统,一般也很少会受到攻击,但有时候一些系统平台,需要外网也要使用,这种情况下,各方面的安全性就要求比较高了,所 以往往会交付给一些专门做安全测试的第三方机构进行测试,然后根据反馈的漏洞进行修复,如果

原创,bgy编写.2013-07-24 前文: 随着苹果开发者网站的沦陷,已经曝光一周的Apache Struts2漏洞再次成为热门话题,今天有消息称由于该漏洞被利用,淘宝的数据库已经被盗,尽管淘宝官方否认了这一说法,但是从乌云漏洞平台的报告看,该漏洞已经波及到了包括京东.淘宝等在内的大型网站…… 通过“K8_Struts2_EXP”等工具,针对基于Struts2框架结构开发的网站或项目进行漏洞扫描.对于存在漏洞的几乎无一幸免.可获取您服务器的最高权限,此时的服务器如同“肉鸡”,任攻击者为非作歹

以前在 vim 下工作需要在 vim 和其它的编辑器之间复制东西,使用 Shift + Ctrl + v/c.感觉这样很不方便,今天在网上搜索了以下可以用 “+y/p,但是自己实验怎么也不行,在命令模式下输入reg之后看不到 "+. 原来用 apt-get install安装的vim不能使用系统剪贴板,即复制:"+y,和粘贴"+p不能用: 软件环境: 我使用的是ubuntu 12.04 解决办法 首先安装相关软件包,然后再安装 vim. 在这之前先把以前安装的相关软件包用 a

第一次安装双系统的时候由于不怎么会弄,设置了ubuntu引导windows,这种方法是非常不推荐的,因为当ubuntu出现问题或者是当你不再使用ubuntu的时候,删除ubuntu就会成为一个很麻烦的问题,本人也遇到了这样的问题,然后直接删除了安装有ubuntu的磁盘(愚蠢),结果再次开机,就直接进入了GUN Grub界面,网上有很多教程交我们怎么进入windows,例如输入很多grub命令,但是很多情况下,这些grub命令并不能正常使用,其实对于大多数电脑,你只需要在开机的时候(出现电脑商标之

系统卡在系统lenovo界面的尝试解决方案:开机点击F1进入到bios界面进入Security-Secure Boot选Disabled进入Startup-UEFI选BOTH 然后点击F10 选yes后 回车 重启

十一长假回来,打开电脑就变成这样了.现在的我已经学会了不再逃避问题,要学着解决问题,就在网上搜集了有关这方面的信息.说是下载一个激活工具就可以了.我就试着下载了,但是不知道为什么下了几个激活工具都不管用. 后来下载了win7Activation_1.7试了几遍就是成功了.而且步骤比较简单,换张桌面然后重启就好了.

步骤一: 右键桌面-->个性化 步骤二: 主题-->高级声音设置 步骤三: 录音-->右键“立体声混音”,单击启用就OK了.

点击箭头指向,重启idea

本文转自乌云知识库 0x00 前言 节选自: http://www.owasp.org.cn/OWASP_Conference/owasp-20140924/02OWASPWeb20140915.pdf 4.1  主动式(全自动 ):Web2.0.交互式漏洞扫描 4.2  半自动式漏洞分析:业务重放.url镜像,实现高覆盖度 4.3  被动式漏洞分析:应对0Day和孤岛页面 0x01 主动式(全自动 )Web扫描 • 使用常见的漏洞扫描器  • 自动fuzz,填充各种攻击性数据  • 业务逻辑混