- 综合排序
- 最热优先
- 最新优先
- 来自专栏安全性测试
常见 Web 防护机制测试绕过策略
在现代 Web 安全体系中，各类防护机制如 Web 应用防火墙（WAF）、验证码、IP 黑白名单、输入验证、同源策略等被广泛部署，用于抵御攻击者的入侵和渗透。 本文将系统性地梳理常见的 Web 防护机制，并从攻防实战的角度出发，剖析各类绕过测试策略、原理、技巧与对策，帮助读者掌握“绕过之道”，以攻促防，从而构建更坚固的防线。 一、输入校验与过滤绕过1.1 防护机制说明输入校验是 Web 安全的第一道防线，用于防止 SQL 注入、XSS、命令执行等攻击。 Application Firewall）绕过3.1 防护机制说明WAF 用于检测和阻止常见 Web 攻击，如 SQL 注入、XSS、命令执行、路径遍历等。 本文通过对常见防护机制及其绕过策略的系统梳理，为测试人员、开发者和安全架构师提供了一个从“机制 → 绕过 → 修复”三段式闭环思维模型，助力构建更可信赖的 Web 安全生态。
95830编辑于 2025-07-15 - 来自专栏运维研习社
WEB基础防护-Apache
而相比其他攻击，web入侵的门槛要更低一些，是小白入门首选，所以今天简单总结了一些常规的web防护，通用的一些防护。具体的防护，要根据具体的项目情况去调整，这里就不赘述了。 现在很多第三方安全公司，提供的智能云web防火墙，也是需要你把域名解析到他们的防火墙上，通过防火墙指定策略来进行web防护，也可以起到隐藏真实IP的作用。 防护 我们日常用的web也就是Nginx、Apache，IIS等，对于IIS我没什么兴趣，也不想研究，所以这里只说一些Nginx和Apache的基础防护的东西 在Apache中，有一个专门的模块，是ModSecurity 包括JAVA、PHP、IIS、SQL、XSS等防护规则，基础的防护都有了。 ，减少已知的可被利用的漏洞的风险 个人能力有限，就整理这么多了，大佬有经验环境评论指导，下期整理nginx的web防护！
2.2K20发布于 2021-02-23 - 来自专栏绿盟科技研究通讯
Istio的安全机制防护
目前Istio的安全机制主要包括基于RBAC的访问控制、认证策略、双向TLS认证、服务健康检查等几个方面[1]，Istio 提供了安全操作指南以便于验证其安全机制，感兴趣的同学可以通过访问官方网站学习。 （3） 零信任网络：在不受信任的网络上构建安全解决方案。 Istio的安全防护机制如图1所示： ? 图2 Istio的安全架构 Istio的安全解决方案主要通过在微服务所属容器旁部署一个Sidecar容器来对服务的安全进行防护。 认证策略架构如图3所示: ? 图3 Istio认证策略架构 三、服务间TLS身份验证 Istio使用TLS为每个微服务提供强大的身份验证机制，并通过角色管理来实现跨集群和云的功能。
2K10发布于 2019-12-11 - 来自专栏giantbranch's blog
CFG防护机制简单实践与介绍
eax,ecx ;ecx为要检验的函数地址，给到eax (ecx=007113a0) 77408be8 c1e808 shr eax,8 ;取地址的高3个字节 ;舍弃最低3个bit 77408bf3 f6c10f test cl,0Fh ;判断目标地址是否以0x10对齐，跟0xf与运算，判断是否等于 LdrpValidateUserCallTargetBitMapRet+0x13 (77408c10) ;这就跳到失败的流程了 77408c0f c3 ret 77408c10 movups xmmword ptr [esp+60h],xmm6 77408c37 0f117c2470 movups xmmword ptr [esp+70h],xmm7 77408c3c ret 那么最终假如校验失败，那就会跳到 77408c3c e8e7460500 call ntdll!
97300编辑于 2024-12-31 - 来自专栏AI SPPECH
015_Web3浏览器安全：Web3扩展与浏览器安全防护全指南
Web3浏览器安全概述 1.1 Web3浏览器的定义与特点 Web3浏览器是专门为访问去中心化网络（Web3）设计的浏览器，它不仅具备传统浏览器的功能，还集成了区块链交互能力。 2.2 Web3扩展机制 Web3扩展通过浏览器提供的扩展API与浏览器交互，主要机制包括： 权限系统：扩展需要明确声明所需权限 背景脚本：在后台运行的脚本，处理事件和状态管理 内容脚本：注入到网页中运行的脚本 5.2 安全存储机制 浏览器提供多种安全存储机制： localStorage：本地存储，但不够安全 sessionStorage：会话存储，关闭标签后清除 IndexedDB：结构化存储，支持加密 Web 8.3 AI驱动的浏览器安全 AI技术正在革新Web3浏览器安全： 实时威胁检测：使用机器学习识别恶意行为 异常交易分析：检测可疑的交易模式 智能钓鱼防护：自动识别钓鱼网站 个性化安全策略：根据用户行为调整安全设置 读取扩展存储的私钥 发起未授权交易 安全修复： 扩展发布紧急安全更新 增强权限验证机制 改进消息传递安全 增加用户通知 10.3 实战：安全配置浏览器 实战演练：为Web3活动安全配置浏览器
55110编辑于 2025-11-17 - 来自专栏FreeBuf
NX防护机制以及最基本shellcode
实验基本信息 本次虽提供了源码，但在我们利用NX防护关闭这个漏洞时，是在不知道源代码，编译时没有附带-g无法gdb直接进行调试的基础上进行的。 $(CC) $^ $(CFLAGS) -o $@ clean: $(RM) *.o # 可省略 （向右滑动、查看更多） checksec信息 如图所示NX disabledNX防护已关闭
1.2K10编辑于 2023-02-10 AbMole综述：全面解析辐射防护机制及代表性防护剂
辐射防护剂的开发在肿瘤放射性诊疗研究、核辐射暴露研究等领域至关重要。目前辐射防护剂主要分为以下几个类型：自由基清除剂、DNA修复增强剂、抗氧化酶表达调节剂、抗炎剂、细胞因子和免疫调节剂等。 Melatonin（AbMole，M2226）也被认为具有自由基清除能力，可以保护细胞免于辐射诱导的死亡[3]。 辐射诱导的细胞氧化应激[1]二、DNA修复增强剂辐射诱导的DNA损伤被认为是其引起细胞死亡的另一主要原因，细胞自身具有不同类型的修复机制，例如碱基和核苷酸切除修复、错配修复、双链断裂修复（DSB，分为同源物重组和非同源物末端连接两种类型 一些辐射防护剂能够减少 DNA 损伤或者增强DNA修复。 Recilisib（AbMole，M11014）是一种PI3Kδ/γ的双重抑制剂，可抑制辐射诱导的 PI3Kδ/γ 激活，阻断 Akt-mTOR 通路过度活化，减少炎症因子（如 TNF-α、IL-1β）
32110编辑于 2025-12-09- 来自专栏高防服务器QaQ
web网络安全防护方案
这里就跟大家聊聊web网络安全防护方案。Web网络安全分为两大类： · Web服务器的安全性(Web服务器本身安全和软件配置)。 3.脚本权限 为了运行通用网关接口(CGI)、Perl或者其他服务端应用程序，管理员必须授予对服务器端应用程序所在的目录以可执行权限。 6.其他服务 攻击者可以通过攻击在Web服务器上运行的其他服务来攻陷Web服务器。这些服务包括FTP、SMTP、POP3、SQL服务器和NetBIOS服务。防止此类攻击的最佳方法是减少“受攻击面”。 直接部署在Web服务器上的防火墙软件可以为服务器提供额外的防护。 Web应用防火墙。Web应用防火墙(WAFs)是具有Web流量深度检查功能的设备。 但是我们在日常使用的过程中常受到网络攻击的威胁，针对服务器的安全防护方案如下： 一、 及时安装系统补丁 不论是Windows还是Linux，任何操作系统都有漏洞，及时地打上补丁避免漏洞被蓄意攻击利用
1.6K20编辑于 2023-06-25 - 来自专栏墨白的Java基地
【Web系列】SpringBoot防护XSS攻击配置
- 美团技术团队 我这里就不做赘述，毕竟网上一找一大把，下面看下在后端如何快速处理xss防护。 环境准备 新建 SpringBoot 项目，需要添加两个依赖，这个框架来自国产如梦团队，文档非常详细。 path-exclude-patterns: 模拟测试 创建一个 XssController @Slf4j @RestController @RequestMapping("/") // 设置该注解 用于跳过配置的Xss 防护 当我们把@XssCleanIgnore注解去掉，设置xss防护 返回内容为空，表示防护成功，是不是很简单。
5.2K31编辑于 2022-03-08 - 来自专栏天存信息的专栏
WEB安全防护相关响应头（上）
WEB 安全攻防是个庞大的话题，有各种不同角度的探讨和实践。即使只讨论防护的对象，也有诸多不同的方向，包括但不限于：WEB 服务器、数据库、业务逻辑、敏感数据等等。 为解决这个问题，标准制定机构2012 年又发布了一份： RFC 6797 https://tools.ietf.org/html/rfc6797 这套机制就是 HTTP 严格传输安全响应头 (HTTP 重点是防护后续的访问，所以后续的访问需要被强制升级为 HTTPS 协议。这个响应头需要在 HTTPS 流量里才有效，在 HTTP 流量里返回这个头并没有作用。 的兼容性情况如下： [图3] 可以看到浏览器分电脑和手机版，电脑版里列出了从哪个版本的浏览器开始支持这个响应头，而且几个不同的选项值也略有差异。 关于Nginx add_header 指令的详细用法： http://nginx.org/en/docs/http/ngxhttpheaders_module.html 3.
2.6K10发布于 2021-06-03 - 来自专栏天存信息的专栏
WEB安全新玩法 防护交易数据篡改
[图3] 点击提交订单之后，Burpsuite 拦截并显示出请求报文的内容，可以看到其中包含有金额数据。攻击者将这个数据修改后，向服务器端发出报文。 成为 Web 应用的虚拟补丁。 正常用户的 HTTP 协议交互过程如下： [表3] 2.2 攻击者访问 如前所示，攻击者在提交订单时，会使用工具强行修改请求报文中金额数据的值。 攻击者的 HTTP 协议交互过程如下： [表4] 2.3 代码 iFlow 内置的 W2 语言是一种专门用于实现 Web 应用安全加固的类编程语言。 通过这个例子可以看出，iFlow 与一般 WAF 的一个重要区别——iFlow 的规则是根据应用的实际情况和对安全功能的特定需求量身定制的，它不具备开箱即用的特点但却适合构造复杂的防护逻辑。
2.5K20发布于 2021-06-24 - 来自专栏Skykguj 's Blog
Web 安全：CC 攻击原理及防护方式
3.攻击特征 CC 攻击有一定的隐蔽性，那如何确定服务器正在遭受或者曾经遭受CC攻击呢? 可以通过以下几个方法来确定。 1、命令行法 一般遭受 CC 攻击时，Web 服务器会出现 80 端口对外关闭的现象， 因为这个端口已经被大量的垃圾数据堵塞了正常的连接被中止了。 2、批处理法 上述方法需要手工输入命令且如果 Web 服务器 IP 连接太多看起来比较费劲，可以建立一个批处理文件，通过该脚本代码确定是否存在 CC 攻击。 脚本筛选出当前所有的到 80 端口的连接。 批处理下载： Download 4.防护方式 1.使用 CDN 服务，可减少攻击带来的损失。 2.经常观察流量状况，如有异常，立刻采取措施，将域名解析到 127.0.0.1 让攻击者自己攻击自己。 3.开启服务器防火墙。 4.遇到有问题的 IP 立刻封禁，屏蔽此 IP。 5.更改 Web 端口。 5.参考资料 https://baijiahao.baidu.com/s?
4.4K20编辑于 2022-09-09 - 来自专栏天存信息的专栏
WEB安全防护相关响应头（下）
前篇“WEB安全防护相关响应头（上）”中，我们分享了 X-Frame-Options、X-Content-Type-Options、HTTP Strict Transport Security (HSTS 使用以下几种方式，可以加载和设定不同的「Referrer-Policy」策略： 方法一: 从 WEB 服务器端，整体地返回 Referrer-Policy 响应头： #Nginx配置： add_header 这时候，访问 http://www.sandbox.com/index.html 获得的响应头里，就增加了一行 Referrer-Policy:same-origin 的响应头，如下： [▲图3.父资源的 所以，X-XSS-Protection 的机制，也只是对跨站脚本攻击的部分防护。 另一方面，也请阅读附录“参考”里的第4条链接里的内容。 要对客户端进行更细粒度更有效的安全防护，目前更建议使用的机制是 CSP (Content Security Policy)。这个又需要一篇独立的文档来介绍了，敬请期待。
4K10发布于 2021-06-07 - 来自专栏For XX - 专注于技术本身
TengineNginx自编译开启云锁Web防护
Tengine/Nginx自编译开启云锁Web防护，可拦截CC攻击、SQL注入、防盗链等 Nginx开启云锁Web防护 云锁支持原生Nginx自动安装Web防护，可省去自编译安装。 防护 如果已经安装了云锁，需要先卸载云锁。 O nginx-plugin-master.zip unzip nginx-plugin-master.zip cd nginx-plugin-master pwd # 记录下pwd输出的值，后边用 3. 重新安装云锁 # 64位一键安装 wget http://download.yunsuo.com.cn/v3/yunsuo_agent_64bit.tar.gz && tar xvzf yunsuo_agent 防护，所以不需要再开启Web防护。
1.3K20编辑于 2022-06-09 - 来自专栏AI SPPECH
016_移动端Web3安全：移动钱包防护与应用安全最佳实践
移动端Web3安全概述 1.1 移动Web3应用生态 移动端Web3应用生态正迅速发展，已成为用户与区块链交互的主要渠道之一。 安全通信与网络防护 7.1 移动网络安全风险 移动设备的网络环境复杂多样，带来了特殊的安全风险： 公共Wi-Fi风险：不安全的公共Wi-Fi容易受到中间人攻击 移动网络漏洞：2G/3G/4G/5G网络可能存在的安全漏洞 Wi-Fi时提供额外保护 专用VPN服务：专为Web3用户设计的VPN服务 2025年，已有专门针对Web3用户的VPN服务，提供更适合区块链应用的安全特性。 未来趋势与展望 移动Web3安全正朝着更先进、更智能的方向发展： 硬件安全增强： 更强大的安全芯片集成 量子安全密码学算法 多设备协同安全 人工智能应用： AI驱动的异常检测 智能威胁防护 无缝的安全认证 透明的安全机制 教育与保护并重 随着技术的发展，移动Web3安全将更加成熟和完善。
35410编辑于 2025-11-18 - 来自专栏天存信息的专栏
WEB安全新玩法 防护邮箱密码重置漏洞
[图3] 网站判断用户输入的邮箱验证码是正确的，就将 alice@mail.com 所代表的用户的登录密码设置为新的密码，操作成功。 各个实体的交互流程如下： [表2] 二、iFlow虚拟补丁后的网站 我们在 Web 服务器前部署 iFlow 业务安全加固平台，它有能力拦截、计算和修改双向 HTTP 报文并具备存储能力，成为 Web 各个实体的交互流程如下： [表3] 2.2 攻击者访问 如前所示，攻击者在收到邮箱验证码之后，且未提交重设密码之前，修改了邮箱地址。 攻击者的 HTTP 协议交互过程如下： [表4] 2.3 代码 iFlow 内置的 W2 语言是一种专门用于实现 Web 应用安全加固的类编程语言。 从这个例子中我们可以看到，iFlow 适合构造前后报文相关联的复杂防护逻辑。（张戈 | 天存信息）
3K30发布于 2021-06-28 - 来自专栏安恒信息
云环境下Web应用防护解决之道
云平台存在网站多、环境复杂的问题，同时也面临大量的Web安全以及数据安全问题，其遭受着最新的Web攻击安全威胁。 Web应用攻击作为一种新的攻击技术，其在迅速发展过程中演变出各种各样、越来越复杂的攻击手法。新兴的Web应用攻击给Web系统带来了巨大的安全风险。 根据不同云租户的Web应用安全需求，安恒信息在国内率先提供了基于虚拟化的云WAF解决方案，帮助用户解决面临的Web攻击（跨站脚本攻击、注入攻击、缓冲区溢出攻击、Cookie假冒、认证逃避、表单绕过、非法输入 云环境Web应用安全解决方案 在传统数据中心机房中可将安全设备随意插入到用户网络中，而在云网络中采用虚拟化，用户的应用节点甚至可迁移到不同的计算节点上， WAF无法通过传统的盒子方式进行部署。 资源也能得到充分的利用； ■VWAF集群方案，具备数据大集中、高效、弹性等特性； ■私有云租户只需关注自身的业务即可，无需专注于安全建设，只需定时关注Web安全报表信息； ■防护策略精细化，可针对不同云租户区分配置和例外配置
2.2K70发布于 2018-04-11 - 来自专栏AI SPPECH
018_备份与恢复策略：构建Web3资产的坚不可摧防护网
引言 在Web3世界中，安全不仅仅关乎攻击防御，更核心的是建立完善的备份与恢复机制。与传统金融不同，区块链的去中心化特性意味着没有"银行柜员"可以帮助你找回丢失的资产。 助记词（Mnemonic Phrase）作为私钥的人类可读表示，成为了Web3资产安全的最后一道防线。 地理分散存储策略 6.1 3-2-1备份原则在Web3中的应用 传统IT行业的3-2-1备份原则（3份数据，2种介质，1份异地）需要调整以适应Web3特性： Web3的3-3-2原则： 3种不同介质的备份 结论：构建坚不可摧的Web3资产保障 在Web3世界中，备份与恢复策略是资产安全的基石。 通过不断评估和改进您的备份与恢复策略，您可以在享受Web3创新带来的机会的同时，确保您的数字资产得到最高级别的保护。
37410编辑于 2025-11-18 - 来自专栏后端开发从入门到入魔
【Web3】Web3.js 启动！并解决Web3 is not a constructor报错
首先要装node.js 和npm 两行命令 自行搜索吧~ 然后就是Web3.js的安装 npm install web3 Web3 启动！ 装完以后 启动！！！ const { Web3 } = require('web3');//新建一个合约类-Web3类 const web3 = new Web3("HTTP://127.0.0.1:7545");//new 一个Web3类的对象web3 console.log(web3); 出来了 打印出来了 Web3：模块 这里我们可以用console.log(Web3.modules);来打印模块 [Running ] node "e:\OneDrive\桌面\Web3\Demo.js" { Web3Eth: [class Web3Eth extends Web3Context], Iban: [class ], ENS: [class ENS extends Web3Context], Personal: [class Personal extends Web3Context] } 这是Web3.
44110编辑于 2024-06-28 - 来自专栏AI人工智能
智能体安全与可信AI：防护机制与伦理考量
智能体安全与可信AI：防护机制与伦理考量 Hello，我是摘星！ 在彩虹般绚烂的技术栈中，我是那个永不停歇的色彩收集者。 每一个优化都是我培育的花朵，每一个特性都是我放飞的蝴蝶。 本文将从智能体安全威胁分析入手，深入探讨对抗攻击的机制与防护策略，分析隐私保护与数据安全的技术实现，并从AI伦理角度审视智能体系统的责任边界。 对抗攻击与防护策略2.1 对抗攻击机制分析对抗攻击（Adversarial Attack）是智能体面临的最直接威胁之一。攻击者通过精心设计的输入来欺骗模型，使其产生错误的输出。 表2 对抗攻击防护方法效果评估表3. : 预测性防护 : 全栈安全解决方案图6 智能体安全技术发展时间线6.2 挑战与机遇分析挑战领域具体挑战技术机遇解决方案预期时间算法安全对抗攻击进化自适应防护动态防护机制2-3年隐私保护计算效率低硬件加速专用芯片设计
44210编辑于 2025-07-29
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号