- 综合排序
- 最热优先
- 最新优先
- 来自专栏安全性测试
常见 Web 防护机制测试绕过策略
在现代 Web 安全体系中，各类防护机制如 Web 应用防火墙（WAF）、验证码、IP 黑白名单、输入验证、同源策略等被广泛部署，用于抵御攻击者的入侵和渗透。 本文将系统性地梳理常见的 Web 防护机制，并从攻防实战的角度出发，剖析各类绕过测试策略、原理、技巧与对策，帮助读者掌握“绕过之道”，以攻促防，从而构建更坚固的防线。 一、输入校验与过滤绕过1.1 防护机制说明输入校验是 Web 安全的第一道防线，用于防止 SQL 注入、XSS、命令执行等攻击。 Application Firewall）绕过3.1 防护机制说明WAF 用于检测和阻止常见 Web 攻击，如 SQL 注入、XSS、命令执行、路径遍历等。 本文通过对常见防护机制及其绕过策略的系统梳理，为测试人员、开发者和安全架构师提供了一个从“机制 → 绕过 → 修复”三段式闭环思维模型，助力构建更可信赖的 Web 安全生态。
95830编辑于 2025-07-15 - 来自专栏运维研习社
WEB基础防护-Apache
而相比其他攻击，web入侵的门槛要更低一些，是小白入门首选，所以今天简单总结了一些常规的web防护，通用的一些防护。具体的防护，要根据具体的项目情况去调整，这里就不赘述了。 现在很多第三方安全公司，提供的智能云web防火墙，也是需要你把域名解析到他们的防火墙上，通过防火墙指定策略来进行web防护，也可以起到隐藏真实IP的作用。 防护 我们日常用的web也就是Nginx、Apache，IIS等，对于IIS我没什么兴趣，也不想研究，所以这里只说一些Nginx和Apache的基础防护的东西 在Apache中，有一个专门的模块，是ModSecurity 包括JAVA、PHP、IIS、SQL、XSS等防护规则，基础的防护都有了。 ，减少已知的可被利用的漏洞的风险 个人能力有限，就整理这么多了，大佬有经验环境评论指导，下期整理nginx的web防护！
2.2K20发布于 2021-02-23 - 来自专栏绿盟科技研究通讯
Istio的安全机制防护
Istio的安全防护机制如图1所示： ? （4）Mixer：用于管理授权和审计。 Istio的安全架构如图2所示： ? 图2 Istio的安全架构 Istio的安全解决方案主要通过在微服务所属容器旁部署一个Sidecar容器来对服务的安全进行防护。 此外，TLS认证机制还确保了服务与服务之间的通信安全。 Istio官方给出的身份认证架构如图4所示，主要分为身份、密钥管理和通信安全三个组件。 图4 Istio TLS身份认证架构图 四、基于RBAC的访问控制 Istio为Service Mesh中的微服务提供基于角色的访问控制（Role-Based Access Control，RBAC）
2K10发布于 2019-12-11 - 来自专栏渗透测试专栏
渗透测试web安全综述(4)——OWASP Top 10安全风险与防护
OWASP Top 10 OWASP(Open Web Application Security Project，开放式Web应用程序安全项目)是一个在线社区，开源的、非盈利的全球性安全组织，主要在Web 在应用程序或基于Web服务的SOAP中，所有XML处理器都启用了文档类型定义(DTDS)。因为禁用DTD进程的确切机制因处理器而不同。 错误处理机制向用户披露堆栈跟踪或其他大量错误信息。 对于更新的系统，禁用或不安全地配置最新的安全功能。 建立有效的监控和告警机制，使可疑活动在可接受的时间内被发现和应对。 建立或采取一个应急响应机制和恢复计划，例如:NIST800-61rev2或更新版本。 目前已有商业的和开源的应用程序防护框架(例如:OWASPAppSensor)、Web应用防火墙(例如 :Modsecurity )、带有自定义仪表盘和告警功能的日志关联软件。
2.5K20编辑于 2024-09-27 - 来自专栏giantbranch's blog
CFG防护机制简单实践与介绍
p p一个Bitmap的大小是4字节 下面以地址0x00b01030为例（这是先知参考文章的例子） 具体调试结果跟解析如下了： ntdll! LdrpValidateUserCallTargetBitMapCheck: 77408beb 8b1482 mov edx,dword ptr [edx+eax*4] ds: movups xmm0,xmmword ptr [esp] 77408c45 0f104c2410 movups xmm1,xmmword ptr [esp+10h] 77408c4a 0f10542420 movups xmm2,xmmword ptr [esp+20h] 77408c4f 0f105c2430 movups xmm3,xmmword ptr [esp+30h] 77408c54 0f10642440 movups xmm4,xmmword ptr [esp+40h] 77408c59 0f106c2450 movups
97300编辑于 2024-12-31 - 来自专栏FreeBuf
NX防护机制以及最基本shellcode
实验基本信息 本次虽提供了源码，但在我们利用NX防护关闭这个漏洞时，是在不知道源代码，编译时没有附带-g无法gdb直接进行调试的基础上进行的。 $(CC) $^ $(CFLAGS) -o $@ clean: $(RM) *.o # 可省略 （向右滑动、查看更多） checksec信息 如图所示NX disabledNX防护已关闭 可以明显的看出，栈栈中开辟了0x70的空间，而且其中有 0x64 字节的空间初始化为了 0 （8 * 12 + 4） 确认这部分的空间就是为buf开辟的，所以buf为一个大小为 100 的数组，确认存在栈溢出
1.2K10编辑于 2023-02-10 AbMole综述：全面解析辐射防护机制及代表性防护剂
辐射防护剂的开发在肿瘤放射性诊疗研究、核辐射暴露研究等领域至关重要。目前辐射防护剂主要分为以下几个类型：自由基清除剂、DNA修复增强剂、抗氧化酶表达调节剂、抗炎剂、细胞因子和免疫调节剂等。 M3121）、芝麻酚（AbMole，M13521）、α-生育酚（AbMole，M6057）、没食子酸（AbMole，M3914）、阿魏酸（AbMole，M3897）等也可参与细胞对自由基的清除[1, 4] 辐射诱导的细胞氧化应激[1]二、DNA修复增强剂辐射诱导的DNA损伤被认为是其引起细胞死亡的另一主要原因，细胞自身具有不同类型的修复机制，例如碱基和核苷酸切除修复、错配修复、双链断裂修复（DSB，分为同源物重组和非同源物末端连接两种类型 一些辐射防护剂能够减少 DNA 损伤或者增强DNA修复。 melatonin modulates carbon ion radiation-induced immune dysfunction in mice, Toxicology 417 (2019) 35-41.[4]
32110编辑于 2025-12-09- 来自专栏高防服务器QaQ
web网络安全防护方案
在Web信息系统高速发展的今天，Web信息系统的各种各样的安全问题已暴漏在我们面前。Web信息系统各种安全问题潜伏在Web系统中，Web系统的时时刻刻遭受各种攻击的安全威胁。 这里就跟大家聊聊web网络安全防护方案。Web网络安全分为两大类： · Web服务器的安全性(Web服务器本身安全和软件配置)。 4.目录浏览 通常情况下，目录浏览是禁用的，但是如果启用它，则它显示该目录中的所有文件，并允许浏览的子目录。有时知道一个文件存在可以帮助攻击者利用Web 服务器上文件和程序的漏洞。 直接部署在Web服务器上的防火墙软件可以为服务器提供额外的防护。 Web应用防火墙。Web应用防火墙(WAFs)是具有Web流量深度检查功能的设备。 但是我们在日常使用的过程中常受到网络攻击的威胁，针对服务器的安全防护方案如下： 一、 及时安装系统补丁 不论是Windows还是Linux，任何操作系统都有漏洞，及时地打上补丁避免漏洞被蓄意攻击利用
1.6K20编辑于 2023-06-25 - 来自专栏墨白的Java基地
【Web系列】SpringBoot防护XSS攻击配置
- 美团技术团队 我这里就不做赘述，毕竟网上一找一大把，下面看下在后端如何快速处理xss防护。 环境准备 新建 SpringBoot 项目，需要添加两个依赖，这个框架来自国产如梦团队，文档非常详细。 xss: enabled: true path-patterns: /** path-exclude-patterns: 模拟测试 创建一个 XssController @Slf4j @RestController @RequestMapping("/") // 设置该注解 用于跳过配置的Xss 防护 @XssCleanIgnore public class XssController 当我们把@XssCleanIgnore注解去掉，设置xss防护 返回内容为空，表示防护成功，是不是很简单。
5.2K31编辑于 2022-03-08 - 来自专栏天存信息的专栏
WEB安全防护相关响应头（上）
WEB 安全攻防是个庞大的话题，有各种不同角度的探讨和实践。即使只讨论防护的对象，也有诸多不同的方向，包括但不限于：WEB 服务器、数据库、业务逻辑、敏感数据等等。 为解决这个问题，标准制定机构2012 年又发布了一份： RFC 6797 https://tools.ietf.org/html/rfc6797 这套机制就是 HTTP 严格传输安全响应头 (HTTP 重点是防护后续的访问，所以后续的访问需要被强制升级为 HTTPS 协议。这个响应头需要在 HTTPS 流量里才有效，在 HTTP 流量里返回这个头并没有作用。 WEB 开发代码较为复杂，无法囊括，我们大致介绍一下各种 WEB 服务器对这个功能的支持。 1. 配置文件 nginx.conf 中的「server」上下文内，添加以下配置，限制只有同源页面才可以嵌入 iframe： add_header X-Frame-Options"SAMEORIGIN"; [图4]
2.6K10发布于 2021-06-03 - 来自专栏天存信息的专栏
WEB安全新玩法 防护交易数据篡改
[图4] 电商网站产生了这条订单记录，可以看到：它的金额为攻击者篡改过的值。 成为 Web 应用的虚拟补丁。 2.1 正常用户访问 用户在进行结算时，iFlow 获得 Web 服务器发出的结算页面，从中提取出金额数据并将其保存在服务器端缓存中。正常用户在提交订单时，提交中的金额值应该与缓存中的金额值一致。 攻击者的 HTTP 协议交互过程如下： [表4] 2.3 代码 iFlow 内置的 W2 语言是一种专门用于实现 Web 应用安全加固的类编程语言。 通过这个例子可以看出，iFlow 与一般 WAF 的一个重要区别——iFlow 的规则是根据应用的实际情况和对安全功能的特定需求量身定制的，它不具备开箱即用的特点但却适合构造复杂的防护逻辑。
2.5K20发布于 2021-06-24 - 来自专栏Skykguj 's Blog
Web 安全：CC 攻击原理及防护方式
1、命令行法 一般遭受 CC 攻击时，Web 服务器会出现 80 端口对外关闭的现象， 因为这个端口已经被大量的垃圾数据堵塞了正常的连接被中止了。 2、批处理法 上述方法需要手工输入命令且如果 Web 服务器 IP 连接太多看起来比较费劲，可以建立一个批处理文件，通过该脚本代码确定是否存在 CC 攻击。 脚本筛选出当前所有的到 80 端口的连接。 批处理下载： Download 4.防护方式 1.使用 CDN 服务，可减少攻击带来的损失。 2.经常观察流量状况，如有异常，立刻采取措施，将域名解析到 127.0.0.1 让攻击者自己攻击自己。 4.遇到有问题的 IP 立刻封禁，屏蔽此 IP。 5.更改 Web 端口。 5.参考资料 https://baijiahao.baidu.com/s?
4.4K20编辑于 2022-09-09 - 来自专栏天存信息的专栏
WEB安全防护相关响应头（下）
前篇“WEB安全防护相关响应头（上）”中，我们分享了 X-Frame-Options、X-Content-Type-Options、HTTP Strict Transport Security (HSTS 使用以下几种方式，可以加载和设定不同的「Referrer-Policy」策略： 方法一: 从 WEB 服务器端，整体地返回 Referrer-Policy 响应头： #Nginx配置： add_header www.sandbox.com 的域名并不同源，如下图所示，可以看出，发往 http://img.tcxa.com.cn/logo.png 图片的请求此时已不再出现 Referer 请求头了： [▲图4. 所以，X-XSS-Protection 的机制，也只是对跨站脚本攻击的部分防护。 另一方面，也请阅读附录“参考”里的第4条链接里的内容。 要对客户端进行更细粒度更有效的安全防护，目前更建议使用的机制是 CSP (Content Security Policy)。这个又需要一篇独立的文档来介绍了，敬请期待。
4K10发布于 2021-06-07 - 来自专栏For XX - 专注于技术本身
TengineNginx自编译开启云锁Web防护
Tengine/Nginx自编译开启云锁Web防护，可拦截CC攻击、SQL注入、防盗链等 Nginx开启云锁Web防护 云锁支持原生Nginx自动安装Web防护，可省去自编译安装。 防护 如果已经安装了云锁，需要先卸载云锁。 with-http_ssl_module --with-http_gzip_static_module --with-http_realip_module --with-http_flv_module --with-http_mp4_ /pcre-8.41 --with-pcre-jit --with-jemalloc --add-module=/root/nginx-plugin-master # 编译完安装 make 4. 防护，所以不需要再开启Web防护。
1.3K20编辑于 2022-06-09 - 来自专栏安恒信息
云环境下Web应用防护解决之道
云平台存在网站多、环境复杂的问题，同时也面临大量的Web安全以及数据安全问题，其遭受着最新的Web攻击安全威胁。 Web应用攻击作为一种新的攻击技术，其在迅速发展过程中演变出各种各样、越来越复杂的攻击手法。新兴的Web应用攻击给Web系统带来了巨大的安全风险。 根据不同云租户的Web应用安全需求，安恒信息在国内率先提供了基于虚拟化的云WAF解决方案，帮助用户解决面临的Web攻击（跨站脚本攻击、注入攻击、缓冲区溢出攻击、Cookie假冒、认证逃避、表单绕过、非法输入 用户所有操作简便快捷，均由用户自行操作，VWAF提供管理接口，用户可自行登陆到VWAF管理平台上配置策略和查看攻击趋势、报表数据、设备状态等信息，用户只要4步操作即可完成整个VWAF的部署： ? 资源也能得到充分的利用； ■VWAF集群方案，具备数据大集中、高效、弹性等特性； ■私有云租户只需关注自身的业务即可，无需专注于安全建设，只需定时关注Web安全报表信息； ■防护策略精细化，可针对不同云租户区分配置和例外配置
2.2K70发布于 2018-04-11 - 来自专栏天存信息的专栏
WEB安全新玩法 防护邮箱密码重置漏洞
[图4] 在收到邮箱验证码并正确填写后，攻击者「mallory」将表单中的手机／邮箱内容改为 alice@mail.com (之前填的是 mallory@mail.com )，然后再填写新的登录密码并提交确认 各个实体的交互流程如下： [表2] 二、iFlow虚拟补丁后的网站 我们在 Web 服务器前部署 iFlow 业务安全加固平台，它有能力拦截、计算和修改双向 HTTP 报文并具备存储能力，成为 Web 攻击者的 HTTP 协议交互过程如下： [表4] 2.3 代码 iFlow 内置的 W2 语言是一种专门用于实现 Web 应用安全加固的类编程语言。 从这个例子中我们可以看到，iFlow 适合构造前后报文相关联的复杂防护逻辑。（张戈 | 天存信息）
3K30发布于 2021-06-28 - 来自专栏技术杂记
Mycat web 基础4
输入 http://192.168.100.102:8082/mycat/ 进行访问
34330发布于 2021-12-02 - 来自专栏AI人工智能
智能体安全与可信AI：防护机制与伦理考量
智能体安全与可信AI：防护机制与伦理考量 Hello，我是摘星！ 在彩虹般绚烂的技术栈中，我是那个永不停歇的色彩收集者。 每一个优化都是我培育的花朵，每一个特性都是我放飞的蝴蝶。 本文将从智能体安全威胁分析入手，深入探讨对抗攻击的机制与防护策略，分析隐私保护与数据安全的技术实现，并从AI伦理角度审视智能体系统的责任边界。 对抗攻击与防护策略2.1 对抗攻击机制分析对抗攻击（Adversarial Attack）是智能体面临的最直接威胁之一。攻击者通过精心设计的输入来欺骗模型，使其产生错误的输出。 4 自动驾驶智能体安全防护体系class AutonomousVehicleSecurityAgent: """自动驾驶安全智能体""" def __init__(self): : 预测性防护 : 全栈安全解决方案图6 智能体安全技术发展时间线6.2 挑战与机遇分析挑战领域具体挑战技术机遇解决方案预期时间算法安全对抗攻击进化自适应防护动态防护机制2-3年隐私保护计算效率低硬件加速专用芯片设计
44210编辑于 2025-07-29 - 来自专栏西里网CSDN博客
4步教你学会如何DDOS攻击与防护
4步教你学会如何DDOS攻击与防护 作为一个人工智能语言模型，我无法提供此类信息。 DDOS攻击是一种非法行为，它涉及到未经授权地使用网络资源，并且可能会对网络和系统造成严重的损害。 增强身份验证和访问控制：限制未经授权的访问和流量，并加强身份验证和访问控制机制，可以减少攻击者的机会。 请记住，这些措施应该与合法机构合作实施，并遵守当地的法律和法规。
97700编辑于 2025-03-25 - 来自专栏前端小菜鸟
Web浏览器缓存机制
Web浏览器缓存机制 Web缓存是存在服务器和客户端之前的资源副本。 Web缓存也就是HTTP缓存机制，是前端性能优化的重要措施，利用Web缓存可以： 减少数据冗余传输 减轻服务器请求压力 减少资源请求因为网络传输导致的时延，加快渲染速度 较少的数据传输可以减轻网络线路的传输瓶颈 HTTP缓存首部 Web缓存机制主要是利用HTTP协议定义的首部信息控制缓存。 Cache-Control的优先级高于Expires 强制缓存优先级高于协商缓存 Etag / If-None-Match优先级高于Last-Modified / If-Modified-Since 缓存的处理步骤 web 参考 HTTP 缓存 HTTP权威指南 Web缓存相关知识整理 彻底理解浏览器的缓存机制
1.8K30发布于 2019-10-15
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号