- 综合排序
- 最热优先
- 最新优先
- 来自专栏安全性测试
常见 Web 防护机制测试绕过策略
在现代 Web 安全体系中，各类防护机制如 Web 应用防火墙（WAF）、验证码、IP 黑白名单、输入验证、同源策略等被广泛部署，用于抵御攻击者的入侵和渗透。 本文将系统性地梳理常见的 Web 防护机制，并从攻防实战的角度出发，剖析各类绕过测试策略、原理、技巧与对策，帮助读者掌握“绕过之道”，以攻促防，从而构建更坚固的防线。 一、输入校验与过滤绕过1.1 防护机制说明输入校验是 Web 安全的第一道防线，用于防止 SQL 注入、XSS、命令执行等攻击。 Application Firewall）绕过3.1 防护机制说明WAF 用于检测和阻止常见 Web 攻击，如 SQL 注入、XSS、命令执行、路径遍历等。 本文通过对常见防护机制及其绕过策略的系统梳理，为测试人员、开发者和安全架构师提供了一个从“机制 → 绕过 → 修复”三段式闭环思维模型，助力构建更可信赖的 Web 安全生态。
95830编辑于 2025-07-15 - 来自专栏运维研习社
WEB基础防护-Apache
而相比其他攻击，web入侵的门槛要更低一些，是小白入门首选，所以今天简单总结了一些常规的web防护，通用的一些防护。具体的防护，要根据具体的项目情况去调整，这里就不赘述了。 现在很多第三方安全公司，提供的智能云web防火墙，也是需要你把域名解析到他们的防火墙上，通过防火墙指定策略来进行web防护，也可以起到隐藏真实IP的作用。 防护 我们日常用的web也就是Nginx、Apache，IIS等，对于IIS我没什么兴趣，也不想研究，所以这里只说一些Nginx和Apache的基础防护的东西 在Apache中，有一个专门的模块，是ModSecurity 包括JAVA、PHP、IIS、SQL、XSS等防护规则，基础的防护都有了。 ，减少已知的可被利用的漏洞的风险 个人能力有限，就整理这么多了，大佬有经验环境评论指导，下期整理nginx的web防护！
2.2K20发布于 2021-02-23 - 来自专栏绿盟科技研究通讯
Istio的安全机制防护
目前Istio的安全机制主要包括基于RBAC的访问控制、认证策略、双向TLS认证、服务健康检查等几个方面[1]，Istio 提供了安全操作指南以便于验证其安全机制，感兴趣的同学可以通过访问官方网站学习。 Istio的安全防护机制如图1所示： ? 图2 Istio的安全架构 Istio的安全解决方案主要通过在微服务所属容器旁部署一个Sidecar容器来对服务的安全进行防护。 图3 Istio认证策略架构 三、服务间TLS身份验证 Istio使用TLS为每个微服务提供强大的身份验证机制，并通过角色管理来实现跨集群和云的功能。 此外，TLS认证机制还确保了服务与服务之间的通信安全。 Istio官方给出的身份认证架构如图4所示，主要分为身份、密钥管理和通信安全三个组件。
2K10发布于 2019-12-11 - 来自专栏FreeBuf
NX防护机制以及最基本shellcode
实验基本信息 本次虽提供了源码，但在我们利用NX防护关闭这个漏洞时，是在不知道源代码，编译时没有附带-g无法gdb直接进行调试的基础上进行的。 $(CC) $^ $(CFLAGS) -o $@ clean: $(RM) *.o # 可省略 （向右滑动、查看更多） checksec信息 如图所示NX disabledNX防护已关闭
1.2K10编辑于 2023-02-10 - 来自专栏giantbranch's blog
CFG防护机制简单实践与介绍
LdrSystemDllInitBlock+0xb0 (774a12f8)] ds:002b:774a12f8=00730000 ;获取CFGBitmap基址 77408be6 8bc1 mov eax,ecx 77408bf0 c1e803 shr eax,3 ;舍弃最低3个bit 77408bf3 f6c10f test cl,0Fh ;判断目标地址是否以0x10对齐，跟0xf与运算，判断是否等于 0 77408bf6 7506 40h] 77408c59 0f106c2450 movups xmm5,xmmword ptr [esp+50h] 77408c5e 0f10742460 movups xmm6, 0f107c2470 movups xmm7,xmmword ptr [esp+70h] 77408c68 8da42480000000 lea esp,[esp+80h] 77408c6f
97300编辑于 2024-12-31 AbMole综述：全面解析辐射防护机制及代表性防护剂
辐射防护剂的开发在肿瘤放射性诊疗研究、核辐射暴露研究等领域至关重要。目前辐射防护剂主要分为以下几个类型：自由基清除剂、DNA修复增强剂、抗氧化酶表达调节剂、抗炎剂、细胞因子和免疫调节剂等。 另外一个辐射防护研究中被重点关注的分子则是Nimorazole（AbMole，M3944）它作为乏氧细胞增敏剂，优先在缺氧区域被还原激活，与 DNA 共价结合增强辐射敏感性；同时通过清除辐射产生的含氧自由基 辐射诱导的细胞氧化应激[1]二、DNA修复增强剂辐射诱导的DNA损伤被认为是其引起细胞死亡的另一主要原因，细胞自身具有不同类型的修复机制，例如碱基和核苷酸切除修复、错配修复、双链断裂修复（DSB，分为同源物重组和非同源物末端连接两种类型 一些辐射防护剂能够减少 DNA 损伤或者增强DNA修复。 例如人参皂甙（AbMole，M4073）被证明可以刺激 IL-1 和 IL-6 的产生。
32110编辑于 2025-12-09- 来自专栏高防服务器QaQ
web网络安全防护方案
在Web信息系统高速发展的今天，Web信息系统的各种各样的安全问题已暴漏在我们面前。Web信息系统各种安全问题潜伏在Web系统中，Web系统的时时刻刻遭受各种攻击的安全威胁。 这里就跟大家聊聊web网络安全防护方案。Web网络安全分为两大类： · Web服务器的安全性(Web服务器本身安全和软件配置)。 6.其他服务 攻击者可以通过攻击在Web服务器上运行的其他服务来攻陷Web服务器。这些服务包括FTP、SMTP、POP3、SQL服务器和NetBIOS服务。防止此类攻击的最佳方法是减少“受攻击面”。 直接部署在Web服务器上的防火墙软件可以为服务器提供额外的防护。 Web应用防火墙。Web应用防火墙(WAFs)是具有Web流量深度检查功能的设备。 但是我们在日常使用的过程中常受到网络攻击的威胁，针对服务器的安全防护方案如下： 一、 及时安装系统补丁 不论是Windows还是Linux，任何操作系统都有漏洞，及时地打上补丁避免漏洞被蓄意攻击利用
1.6K20编辑于 2023-06-25 - 来自专栏墨白的Java基地
【Web系列】SpringBoot防护XSS攻击配置
- 美团技术团队 我这里就不做赘述，毕竟网上一找一大把，下面看下在后端如何快速处理xss防护。 环境准备 新建 SpringBoot 项目，需要添加两个依赖，这个框架来自国产如梦团队，文档非常详细。 path-exclude-patterns: 模拟测试 创建一个 XssController @Slf4j @RestController @RequestMapping("/") // 设置该注解 用于跳过配置的Xss 防护 当我们把@XssCleanIgnore注解去掉，设置xss防护 返回内容为空，表示防护成功，是不是很简单。
5.2K31编辑于 2022-03-08 - 来自专栏天存信息的专栏
WEB安全新玩法 防护交易数据篡改
[图5] HTTP 协议层面交互如下： [表2] 二、iFlow虚拟补丁后的网站 我们在 Web 服务器前部署 iFlow 业务安全加固平台，它有能力拦截、计算和修改双向 HTTP 报文并具备存储能力， 成为 Web 应用的虚拟补丁。 2.1 正常用户访问 用户在进行结算时，iFlow 获得 Web 服务器发出的结算页面，从中提取出金额数据并将其保存在服务器端缓存中。正常用户在提交订单时，提交中的金额值应该与缓存中的金额值一致。 攻击者的 HTTP 协议交互过程如下： [表4] 2.3 代码 iFlow 内置的 W2 语言是一种专门用于实现 Web 应用安全加固的类编程语言。 通过这个例子可以看出，iFlow 与一般 WAF 的一个重要区别——iFlow 的规则是根据应用的实际情况和对安全功能的特定需求量身定制的，它不具备开箱即用的特点但却适合构造复杂的防护逻辑。
2.5K20发布于 2021-06-24 - 来自专栏Skykguj 's Blog
Web 安全：CC 攻击原理及防护方式
1、命令行法 一般遭受 CC 攻击时，Web 服务器会出现 80 端口对外关闭的现象， 因为这个端口已经被大量的垃圾数据堵塞了正常的连接被中止了。 2、批处理法 上述方法需要手工输入命令且如果 Web 服务器 IP 连接太多看起来比较费劲，可以建立一个批处理文件，通过该脚本代码确定是否存在 CC 攻击。 脚本筛选出当前所有的到 80 端口的连接。 批处理下载： Download 4.防护方式 1.使用 CDN 服务，可减少攻击带来的损失。 2.经常观察流量状况，如有异常，立刻采取措施，将域名解析到 127.0.0.1 让攻击者自己攻击自己。 5.更改 Web 端口。 5.参考资料 https://baijiahao.baidu.com/s? id=1664115076321198659&wfr=spider&for=pc https://baike.baidu.com/item/cc%E6%94%BB%E5%87%BB
4.4K20编辑于 2022-09-09 - 来自专栏天存信息的专栏
WEB安全防护相关响应头（下）
前篇“WEB安全防护相关响应头（上）”中，我们分享了 X-Frame-Options、X-Content-Type-Options、HTTP Strict Transport Security (HSTS 使用以下几种方式，可以加载和设定不同的「Referrer-Policy」策略： 方法一: 从 WEB 服务器端，整体地返回 Referrer-Policy 响应头： #Nginx配置： add_header 这时候，浏览器会根据自己的内部过滤原则，直接无视它认为有问题的那部分代码，自动跳过这部分代码（这部分内容根本不会发给服务器端），最终我们看到的是“清理”后的效果： [▲图6.JavaScript代码没有执行成功 所以，X-XSS-Protection 的机制，也只是对跨站脚本攻击的部分防护。 另一方面，也请阅读附录“参考”里的第4条链接里的内容。 要对客户端进行更细粒度更有效的安全防护，目前更建议使用的机制是 CSP (Content Security Policy)。这个又需要一篇独立的文档来介绍了，敬请期待。
4K10发布于 2021-06-07 - 来自专栏For XX - 专注于技术本身
TengineNginx自编译开启云锁Web防护
Tengine/Nginx自编译开启云锁Web防护，可拦截CC攻击、SQL注入、防盗链等 Nginx开启云锁Web防护 云锁支持原生Nginx自动安装Web防护，可省去自编译安装。 Nginx_inst.html 云锁开源的nginx-plugin：https://github.com/yunsuo-open/nginx-plugin 本文主要讲Tengine的自编译 Tengine开启云锁Web 防护 如果已经安装了云锁，需要先卸载云锁。 Linux服务器端安装教程：http://help.yunsuo.com.cn/guide/Lin_inst.html 在客户端连上服务端，如图，可以看到已经是自编译的状态了 自编译就是开启了Web 防护，所以不需要再开启Web防护。
1.3K20编辑于 2022-06-09 - 来自专栏天存信息的专栏
WEB安全防护相关响应头（上）
WEB 安全攻防是个庞大的话题，有各种不同角度的探讨和实践。即使只讨论防护的对象，也有诸多不同的方向，包括但不限于：WEB 服务器、数据库、业务逻辑、敏感数据等等。 为解决这个问题，标准制定机构2012 年又发布了一份： RFC 6797 https://tools.ietf.org/html/rfc6797 这套机制就是 HTTP 严格传输安全响应头 (HTTP 重点是防护后续的访问，所以后续的访问需要被强制升级为 HTTPS 协议。这个响应头需要在 HTTPS 流量里才有效，在 HTTP 流量里返回这个头并没有作用。 WEB 开发代码较为复杂，无法囊括，我们大致介绍一下各种 WEB 服务器对这个功能的支持。 1. </system.webServer> 如果不习惯改配置文件，可以使用图形控制台，如下选择网站对应的「HTTP 响应标头」： [图5] 再根据实际需求，添加所需的响应头即可： [图6] （朱筱丹 | 天存信息
2.6K10发布于 2021-06-03 - 来自专栏E=mc²
常见6种WAF绕过和防护原理
今天就聊聊关于上传绕过WAF的姿势，WAF(Web Application Firewall)简单的来说就是执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。 javascript校验(一般只校验后缀名)服务端校验1>文件头content-type字段校验（image/gif）2>文件内容头校验（GIF89a）3>后缀名黑名单校验4>后缀名白名单校验5>自定义正则校验6> Bypass Content-Disposition: form-data; name=“up_picture”; filename=“xss.php” 二、Defense 详细说一下Type绕过防御机制 ，其他的防御机制自己可以下去研究. 1.目录设为不可执行: 只要web容器无法解析该目录下的文件，即使攻击者上传了脚本文件，服务器本身也不会受到影响，所以此点至关重要。
2.9K10发布于 2020-08-17 - 来自专栏人工智能机器学习
Tomcat安全加固与防护实践（6个方法）
以下技术内容参考安全牛课堂《Tomcat安全加固与防护实践》侵删。 安全加固.jpg 在默认配置下其存在一定的安全隐患，可被恶意攻击。 <Server port="8005" shutdown="YourString"> 3、自定义错误页面，隐藏Tomcat信息 编辑conf/web.xml，在</web-app>标签上添加以下内容： /src/apache-tomcat-6.0.37su - tomcat -c "/usr/local/src/apache-tomcat-6.0.37/bin/catalina.sh start" 6、 禁止Tomcat列目录 这在新版本中默认就是禁用的，可以在conf/web.xml中编辑 <init-param> <param-name>listings</param-name> <param-value
3K40发布于 2019-07-31 - 来自专栏天存信息的专栏
WEB安全新玩法 防护邮箱密码重置漏洞
各个实体的交互流程如下： [表2] 二、iFlow虚拟补丁后的网站 我们在 Web 服务器前部署 iFlow 业务安全加固平台，它有能力拦截、计算和修改双向 HTTP 报文并具备存储能力，成为 Web 攻击者的 HTTP 协议交互过程如下： [表4] 2.3 代码 iFlow 内置的 W2 语言是一种专门用于实现 Web 应用安全加固的类编程语言。 从这个例子中我们可以看到，iFlow 适合构造前后报文相关联的复杂防护逻辑。（张戈 | 天存信息）
3K30发布于 2021-06-28 - 来自专栏安恒信息
云环境下Web应用防护解决之道
云平台存在网站多、环境复杂的问题，同时也面临大量的Web安全以及数据安全问题，其遭受着最新的Web攻击安全威胁。 Web应用攻击作为一种新的攻击技术，其在迅速发展过程中演变出各种各样、越来越复杂的攻击手法。新兴的Web应用攻击给Web系统带来了巨大的安全风险。 根据不同云租户的Web应用安全需求，安恒信息在国内率先提供了基于虚拟化的云WAF解决方案，帮助用户解决面临的Web攻击（跨站脚本攻击、注入攻击、缓冲区溢出攻击、Cookie假冒、认证逃避、表单绕过、非法输入 云环境Web应用安全解决方案 在传统数据中心机房中可将安全设备随意插入到用户网络中，而在云网络中采用虚拟化，用户的应用节点甚至可迁移到不同的计算节点上， WAF无法通过传统的盒子方式进行部署。 资源也能得到充分的利用； ■VWAF集群方案，具备数据大集中、高效、弹性等特性； ■私有云租户只需关注自身的业务即可，无需专注于安全建设，只需定时关注Web安全报表信息； ■防护策略精细化，可针对不同云租户区分配置和例外配置
2.2K70发布于 2018-04-11 - 来自专栏pankas的技术分享
NSSCTF Round#6-web
'2485376924231', # /sys/class/net/eth0/address 十进制 '96cec10d3d9307792745ec3b85c8962016b0227cc2e6f9c79d6ea0b153537f559f59ccc60f6275c95e42c74172f23003
58510编辑于 2022-10-31 - 来自专栏柠檬先生
jquery mobile 移动web(6)
jquery mobile 针对移动端设备的事件类型。 1.touch 事件。 tap 快速触摸屏幕并且离开，类似一种完整的点击操作。 taphold 触摸屏幕并保持一段时间。 swipe 在1秒内水平移动30px屏幕像素上时触发。 swipeleft 向左侧滑动 swiperight 像右侧滑动。 2.方向改变事件 orientationchange 事件函数当移动设备的方向发生改变触发，在事件的回调函数内的第二个参数返
1.9K100发布于 2018-01-19 - 来自专栏应兆康的专栏
Python Web - Flask笔记6
books = session.query(Book).offset(5).limit(3).all() 结果：[title5, title6, title7] 切片：可以对Query对象使用切片操作， 示例代码如下： books = session.query(Book).all()[5:9] 结果：[title5, title6, title7, title8] 实例： 分页， 数据分3页 books
2.4K10发布于 2018-08-02
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号