- 综合排序
- 最热优先
- 最新优先
- 来自专栏安全性测试
常见 Web 防护机制测试绕过策略
在现代 Web 安全体系中，各类防护机制如 Web 应用防火墙（WAF）、验证码、IP 黑白名单、输入验证、同源策略等被广泛部署，用于抵御攻击者的入侵和渗透。 本文将系统性地梳理常见的 Web 防护机制，并从攻防实战的角度出发，剖析各类绕过测试策略、原理、技巧与对策，帮助读者掌握“绕过之道”，以攻促防，从而构建更坚固的防线。 一、输入校验与过滤绕过1.1 防护机制说明输入校验是 Web 安全的第一道防线，用于防止 SQL 注入、XSS、命令执行等攻击。 Application Firewall）绕过3.1 防护机制说明WAF 用于检测和阻止常见 Web 攻击，如 SQL 注入、XSS、命令执行、路径遍历等。 本文通过对常见防护机制及其绕过策略的系统梳理，为测试人员、开发者和安全架构师提供了一个从“机制 → 绕过 → 修复”三段式闭环思维模型，助力构建更可信赖的 Web 安全生态。
95830编辑于 2025-07-15 - 来自专栏运维研习社
WEB基础防护-Apache
而相比其他攻击，web入侵的门槛要更低一些，是小白入门首选，所以今天简单总结了一些常规的web防护，通用的一些防护。具体的防护，要根据具体的项目情况去调整，这里就不赘述了。 现在很多第三方安全公司，提供的智能云web防火墙，也是需要你把域名解析到他们的防火墙上，通过防火墙指定策略来进行web防护，也可以起到隐藏真实IP的作用。 防护 我们日常用的web也就是Nginx、Apache，IIS等，对于IIS我没什么兴趣，也不想研究，所以这里只说一些Nginx和Apache的基础防护的东西 在Apache中，有一个专门的模块，是ModSecurity 根据判断IP地址归属地来进行IP阻断 可以充当WAF，它的安装很简单，直接通过yum install mod_security就可以安装，安装完成后，在httpd目录下，会生成一个mod_security2. ，减少已知的可被利用的漏洞的风险 个人能力有限，就整理这么多了，大佬有经验环境评论指导，下期整理nginx的web防护！
2.2K20发布于 2021-02-23 - 来自专栏绿盟科技研究通讯
Istio的安全机制防护
（2） 为了提供灵活的服务访问控制，服务间需要相互TLS和更细粒度的访问策略。 （3） 为了审核谁在什么时候做了什么，需要安全审计工具。 借助这些安全机制，Istio推动如下安全目标： （1） 默认的安全性：无需修改即可保证应用程序代码和架构的安全性。 （2） 纵深防御：与现有的安全系统结合并提供多层防御。 Istio的安全防护机制如图1所示： ? 图1 Istio的安全机制 目前Istio已提供了一套高级别的安全架构，其安全性涉及Istio的多个重要组件： （1）Citadel：用于管理密钥和证书 （2）sidecar和perimeter proxies Istio的安全架构如图2所示： ? 图2 Istio的安全架构 Istio的安全解决方案主要通过在微服务所属容器旁部署一个Sidecar容器来对服务的安全进行防护。
2K10发布于 2019-12-11 - 来自专栏giantbranch's blog
CFG防护机制简单实践与介绍
;BT:把指定位传送给CF； ;BTC:把指定位传送给CF后还使该位变反； ;BTR:把指定位传送给CF后还使该位变为0； ;BTS:把指定位传送给CF后还使该位变为1; 77408bf8 0fa3c2 btr eax,0 ;跟0x10不对齐跳到这，将eax的最低bit给到CF，之后将最低bit置0 77408c02 0fa3c2 0f114c2410 movups xmmword ptr [esp+10h],xmm1 77408c1e 0f11542420 movups xmmword ptr [esp+20h],xmm2 movups xmmword ptr [esp+30h],xmm3 77408c28 0f11642440 movups xmmword ptr [esp+40h],xmm4 77408c2d esp] 77408c45 0f104c2410 movups xmm1,xmmword ptr [esp+10h] 77408c4a 0f10542420 movups xmm2,
97300编辑于 2024-12-31 - 来自专栏FreeBuf
NX防护机制以及最基本shellcode
实验基本信息 本次虽提供了源码，但在我们利用NX防护关闭这个漏洞时，是在不知道源代码，编译时没有附带-g无法gdb直接进行调试的基础上进行的。 printf("I don't know you,so bye ;)\n"); return 0; } makefile文件 提供makefile方便可以快速编译改代码 OBJS=pwn_2. ) -o $@ clean: $(RM) *.o # 可省略 （向右滑动、查看更多） checksec信息 如图所示NX disabledNX防护已关闭 确定栈段具有可执行权限 提示 /pwn_2执行该程序 通过执行的结果我们发现该程序泄露了其中buf的地址，怀疑可能是保存读取信息的数组。 我们再strace看看其系统调用。 确认buf处于栈段中，而且该栈段具有可执行权限 确认栈溢出 进一步通过objdump看看程序的反汇编objdump -D pwn_2 -M intel。
1.2K10编辑于 2023-02-10 AbMole综述：全面解析辐射防护机制及代表性防护剂
辐射防护剂的开发在肿瘤放射性诊疗研究、核辐射暴露研究等领域至关重要。目前辐射防护剂主要分为以下几个类型：自由基清除剂、DNA修复增强剂、抗氧化酶表达调节剂、抗炎剂、细胞因子和免疫调节剂等。 另外一个辐射防护研究中被重点关注的分子则是Nimorazole（AbMole，M3944）它作为乏氧细胞增敏剂，优先在缺氧区域被还原激活，与 DNA 共价结合增强辐射敏感性；同时通过清除辐射产生的含氧自由基 图 2. 辐射诱导的细胞氧化应激[1]二、DNA修复增强剂辐射诱导的DNA损伤被认为是其引起细胞死亡的另一主要原因，细胞自身具有不同类型的修复机制，例如碱基和核苷酸切除修复、错配修复、双链断裂修复（DSB，分为同源物重组和非同源物末端连接两种类型 一些辐射防护剂能够减少 DNA 损伤或者增强DNA修复。
32110编辑于 2025-12-09- 来自专栏高防服务器QaQ
web网络安全防护方案
这里就跟大家聊聊web网络安全防护方案。Web网络安全分为两大类： · Web服务器的安全性(Web服务器本身安全和软件配置)。 2.目录遍历 目录遍历是指访问到了不是原先设想或允许的目录(或文件夹)。 · 斜杠(/)使用ASCII编码表示为十进制的47，使用十六进制则为2f，因此变成%2f。 经Web服务器解析后，就成为下面的URL： .. 直接部署在Web服务器上的防火墙软件可以为服务器提供额外的防护。 Web应用防火墙。Web应用防火墙(WAFs)是具有Web流量深度检查功能的设备。 但是我们在日常使用的过程中常受到网络攻击的威胁，针对服务器的安全防护方案如下： 一、 及时安装系统补丁 不论是Windows还是Linux，任何操作系统都有漏洞，及时地打上补丁避免漏洞被蓄意攻击利用
1.6K20编辑于 2023-06-25 - 来自专栏墨白的Java基地
【Web系列】SpringBoot防护XSS攻击配置
- 美团技术团队 我这里就不做赘述，毕竟网上一找一大把，下面看下在后端如何快速处理xss防护。 环境准备 新建 SpringBoot 项目，需要添加两个依赖，这个框架来自国产如梦团队，文档非常详细。 path-exclude-patterns: 模拟测试 创建一个 XssController @Slf4j @RestController @RequestMapping("/") // 设置该注解 用于跳过配置的Xss 防护 当我们把@XssCleanIgnore注解去掉，设置xss防护 返回内容为空，表示防护成功，是不是很简单。
5.2K31编辑于 2022-03-08 - 来自专栏天存信息的专栏
WEB安全防护相关响应头（上）
WEB 安全攻防是个庞大的话题，有各种不同角度的探讨和实践。即使只讨论防护的对象，也有诸多不同的方向，包括但不限于：WEB 服务器、数据库、业务逻辑、敏感数据等等。 为解决这个问题，标准制定机构2012 年又发布了一份： RFC 6797 https://tools.ietf.org/html/rfc6797 这套机制就是 HTTP 严格传输安全响应头 (HTTP 重点是防护后续的访问，所以后续的访问需要被强制升级为 HTTPS 协议。这个响应头需要在 HTTPS 流量里才有效，在 HTTP 流量里返回这个头并没有作用。 关于Apache Header 指令的详细用法： http://httpd.apache.org/docs/current/mod/mod_headers.html#header 2. 之困：现代Web应用安全指南》 List of HTTP header fields ie8 security part vi beta 2 update fetch Living Standard HTTP
2.6K10发布于 2021-06-03 - 来自专栏天存信息的专栏
WEB安全新玩法 防护交易数据篡改
[图5] HTTP 协议层面交互如下： [表2] 二、iFlow虚拟补丁后的网站 我们在 Web 服务器前部署 iFlow 业务安全加固平台，它有能力拦截、计算和修改双向 HTTP 报文并具备存储能力， 成为 Web 应用的虚拟补丁。 攻击者的 HTTP 协议交互过程如下： [表4] 2.3 代码 iFlow 内置的 W2 语言是一种专门用于实现 Web 应用安全加固的类编程语言。 因此，W2 语言虽包含语言要素，仍以规则文件方式呈现，并采用可以体现层次结构和方便词法校验的 JSON 格式。 通过这个例子可以看出，iFlow 与一般 WAF 的一个重要区别——iFlow 的规则是根据应用的实际情况和对安全功能的特定需求量身定制的，它不具备开箱即用的特点但却适合构造复杂的防护逻辑。
2.5K20发布于 2021-06-24 - 来自专栏Skykguj 's Blog
Web 安全：CC 攻击原理及防护方式
2.攻击原理 CC 攻击的原理就是攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。 1、命令行法 一般遭受 CC 攻击时，Web 服务器会出现 80 端口对外关闭的现象， 因为这个端口已经被大量的垃圾数据堵塞了正常的连接被中止了。 2、批处理法 上述方法需要手工输入命令且如果 Web 服务器 IP 连接太多看起来比较费劲，可以建立一个批处理文件，通过该脚本代码确定是否存在 CC 攻击。 脚本筛选出当前所有的到 80 端口的连接。 批处理下载： Download 4.防护方式 1.使用 CDN 服务，可减少攻击带来的损失。 2.经常观察流量状况，如有异常，立刻采取措施，将域名解析到 127.0.0.1 让攻击者自己攻击自己。 5.更改 Web 端口。 5.参考资料 https://baijiahao.baidu.com/s?
4.4K20编辑于 2022-09-09 - 来自专栏天存信息的专栏
WEB安全防护相关响应头（下）
前篇“WEB安全防护相关响应头（上）”中，我们分享了 X-Frame-Options、X-Content-Type-Options、HTTP Strict Transport Security (HSTS 使用以下几种方式，可以加载和设定不同的「Referrer-Policy」策略： 方法一: 从 WEB 服务器端，整体地返回 Referrer-Policy 响应头： #Nginx配置： add_header 默认在没有其他设置的情况下，发往该图片的请求如下图，其中的 Referer 请求头里清晰地包含了父级页面的地址：http://www.sandbox.com/index.html [▲图2.正常状态下图片访问带 所以，X-XSS-Protection 的机制，也只是对跨站脚本攻击的部分防护。 另一方面，也请阅读附录“参考”里的第4条链接里的内容。 要对客户端进行更细粒度更有效的安全防护，目前更建议使用的机制是 CSP (Content Security Policy)。这个又需要一篇独立的文档来介绍了，敬请期待。
4K10发布于 2021-06-07 - 来自专栏For XX - 专注于技术本身
TengineNginx自编译开启云锁Web防护
Tengine/Nginx自编译开启云锁Web防护，可拦截CC攻击、SQL注入、防盗链等 Nginx开启云锁Web防护 云锁支持原生Nginx自动安装Web防护，可省去自编译安装。 防护 如果已经安装了云锁，需要先卸载云锁。 tengine/sbin/nginx -V 找个地方记录一下，后边用 --prefix=/usr/local/tengine --user=www --group=www --with-http_v2_ /pcre-8.41 --with-pcre-jit --with-jemalloc 2. 防护，所以不需要再开启Web防护。
1.3K20编辑于 2022-06-09 - 来自专栏安恒信息
云环境下Web应用防护解决之道
云平台存在网站多、环境复杂的问题，同时也面临大量的Web安全以及数据安全问题，其遭受着最新的Web攻击安全威胁。 Web应用攻击作为一种新的攻击技术，其在迅速发展过程中演变出各种各样、越来越复杂的攻击手法。新兴的Web应用攻击给Web系统带来了巨大的安全风险。 根据不同云租户的Web应用安全需求，安恒信息在国内率先提供了基于虚拟化的云WAF解决方案，帮助用户解决面临的Web攻击（跨站脚本攻击、注入攻击、缓冲区溢出攻击、Cookie假冒、认证逃避、表单绕过、非法输入 2、私有云解决方案 针对私有云数据大集中、高效、弹性空间等特点，安恒信息采用了云WAF清洗中心方案，通过WAF虚拟化+集群方式进行部署，云计算中心的前端LB将业务流量分发到多台VWAF，即使是在没有 资源也能得到充分的利用； ■VWAF集群方案，具备数据大集中、高效、弹性等特性； ■私有云租户只需关注自身的业务即可，无需专注于安全建设，只需定时关注Web安全报表信息； ■防护策略精细化，可针对不同云租户区分配置和例外配置
2.2K70发布于 2018-04-11 - 来自专栏天存信息的专栏
WEB安全新玩法 防护邮箱密码重置漏洞
[图2] 用户进入到邮件系统中收取寄给 alice@mail.com 的邮件，将邮件中的验证码和需要重置的登录密码填写到表单中并提交。 各个实体的交互流程如下： [表2] 二、iFlow虚拟补丁后的网站 我们在 Web 服务器前部署 iFlow 业务安全加固平台，它有能力拦截、计算和修改双向 HTTP 报文并具备存储能力，成为 Web 攻击者的 HTTP 协议交互过程如下： [表4] 2.3 代码 iFlow 内置的 W2 语言是一种专门用于实现 Web 应用安全加固的类编程语言。 因此，W2 语言虽包含语言要素，仍以规则文件方式呈现，并采用可以体现层次结构和方便词法校验的 JSON 格式。 从这个例子中我们可以看到，iFlow 适合构造前后报文相关联的复杂防护逻辑。（张戈 | 天存信息）
3K30发布于 2021-06-28 - 来自专栏AI人工智能
智能体安全与可信AI：防护机制与伦理考量
本文将从智能体安全威胁分析入手，深入探讨对抗攻击的机制与防护策略，分析隐私保护与数据安全的技术实现，并从AI伦理角度审视智能体系统的责任边界。 在智能体系统中，安全防护需要贯穿整个生命周期，从设计、开发、部署到运维的每个环节都需要考虑安全因素。" —— Bruce Schneier2. ，我们可以采用多层次的防护策略：图2 智能体对抗攻击防护流程图class AdversarialDefense: """对抗攻击防护系统""" def __init__(self, model 表2 对抗攻击防护方法效果评估表3. : 预测性防护 : 全栈安全解决方案图6 智能体安全技术发展时间线6.2 挑战与机遇分析挑战领域具体挑战技术机遇解决方案预期时间算法安全对抗攻击进化自适应防护动态防护机制2-3年隐私保护计算效率低硬件加速专用芯片设计
44210编辑于 2025-07-29 - 来自专栏jeremy的技术点滴
使用fail2ban进行DDOS防护
朋友公司一网站被DDOS攻击了，不得已在机房呆了两天作防护工作，才算临时解决了问题。想着自己公司线上也运行着一个系统，担心有一天也会被攻击，还是提前作一下DDOS防护吧。 线上系统用的是nginx，于是我采用了比较成熟的fail2ban+nginx防护方案。 首先安装配置fail2ban zypper addrepo http://download.opensuse.org/repositories/home:Peuserik/SLE_11_SP2/home :Peuserik.repo zypper refresh zypper install fail2ban vim /etc/fail2ban/jail.conf [DEFAULT] #设置忽略内网访问及某些安全网段的访问 #设置nginx防护ddos攻击 [xxx-get-dos] enabled=true port=http,https filter=nginx-bansniffer action=iptables[name
4.2K50发布于 2018-05-09 - 来自专栏前端小菜鸟
Web浏览器缓存机制
Web浏览器缓存机制 Web缓存是存在服务器和客户端之前的资源副本。 Web缓存也就是HTTP缓存机制，是前端性能优化的重要措施，利用Web缓存可以： 减少数据冗余传输 减轻服务器请求压力 减少资源请求因为网络传输导致的时延，加快渲染速度 较少的数据传输可以减轻网络线路的传输瓶颈 HTTP缓存首部 Web缓存机制主要是利用HTTP协议定义的首部信息控制缓存。 不存在缓存标识和缓存结果，直接请求服务器资源 存在缓存结果和缓存标识，缓存结果失效，使用协商缓存 存在缓存结果和缓存标识，缓存结果未失效，使用缓存 强制缓存的相关的首部：Expires和Cache-Control （2） 参考 HTTP 缓存 HTTP权威指南 Web缓存相关知识整理 彻底理解浏览器的缓存机制
1.8K30发布于 2019-10-15 - 来自专栏技术分享
Web 认证机制相关概念解析
在 Web 开发中，我们经常会遇到各种各样的认证机制的概念和名词，如 Cookies、Session、Token、SSO（Single Sign-On）和 OAuth 2.0 等，下面详细解释一下它们之间的联系与异同 OAuth 2.0OAuth 2.0 是一种授权机制。 希望通过这篇文章，能帮助大家更好地理解和使用这些 Web 认证机制。 Token vs Cookies/SessionToken 和 Cookies/Session 都是用于认证用户身份的机制。但它们的工作方式有所不同。 希望通过这篇文章，能帮助大家更好地理解和使用这些 Web 认证机制。
55710编辑于 2024-04-01 - 来自专栏奇梦博客
AppNode面板搭建网站，CC攻击防护机制说明
使用 curl 命令或压力测试程序不断请求网站 2. 低级的攻击软件，利用网络代理不断请求网站 加强模式 通过 Javascript 将验证串写入 Cookie，能拦截大部分 CC 攻击。 进入网站管理 - 网站设置 - 安全 - CC攻击防护，启用“开启 CC 攻击防护”： 上图各设置项的含义： 1. 2. 比如请求了一个页面，这个页面中有大量图片，那么其实只需要对页面本身进行 CC 攻击防护验证，其它静态资源均可忽略。 2. CC 攻击防护功能只能减轻由 CC 攻击带来的危害，当 CC 攻击请求量远远超过您的服务器配置时，仍可能因为资源消耗完导致网站无法访问。 2. 请尽量减少白名单的设置，设置越多，CC防护能力越差。
2.8K80发布于 2018-06-08
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号