- 综合排序
- 最热优先
- 最新优先
- 来自专栏安全性测试
常见 Web 防护机制测试绕过策略
在现代 Web 安全体系中，各类防护机制如 Web 应用防火墙（WAF）、验证码、IP 黑白名单、输入验证、同源策略等被广泛部署，用于抵御攻击者的入侵和渗透。 本文将系统性地梳理常见的 Web 防护机制，并从攻防实战的角度出发，剖析各类绕过测试策略、原理、技巧与对策，帮助读者掌握“绕过之道”，以攻促防，从而构建更坚固的防线。 一、输入校验与过滤绕过1.1 防护机制说明输入校验是 Web 安全的第一道防线，用于防止 SQL 注入、XSS、命令执行等攻击。 Application Firewall）绕过3.1 防护机制说明WAF 用于检测和阻止常见 Web 攻击，如 SQL 注入、XSS、命令执行、路径遍历等。 本文通过对常见防护机制及其绕过策略的系统梳理，为测试人员、开发者和安全架构师提供了一个从“机制 → 绕过 → 修复”三段式闭环思维模型，助力构建更可信赖的 Web 安全生态。
95830编辑于 2025-07-15 - 来自专栏运维研习社
WEB基础防护-Apache
而相比其他攻击，web入侵的门槛要更低一些，是小白入门首选，所以今天简单总结了一些常规的web防护，通用的一些防护。具体的防护，要根据具体的项目情况去调整，这里就不赘述了。 现在很多第三方安全公司，提供的智能云web防火墙，也是需要你把域名解析到他们的防火墙上，通过防火墙指定策略来进行web防护，也可以起到隐藏真实IP的作用。 防护 我们日常用的web也就是Nginx、Apache，IIS等，对于IIS我没什么兴趣，也不想研究，所以这里只说一些Nginx和Apache的基础防护的东西 在Apache中，有一个专门的模块，是ModSecurity 包括JAVA、PHP、IIS、SQL、XSS等防护规则，基础的防护都有了。 ，减少已知的可被利用的漏洞的风险 个人能力有限，就整理这么多了，大佬有经验环境评论指导，下期整理nginx的web防护！
2.2K20发布于 2021-02-23 - 来自专栏绿盟科技研究通讯
Istio的安全机制防护
目前Istio的安全机制主要包括基于RBAC的访问控制、认证策略、双向TLS认证、服务健康检查等几个方面[1]，Istio 提供了安全操作指南以便于验证其安全机制，感兴趣的同学可以通过访问官方网站学习。 Istio的安全防护机制如图1所示： ? 图2 Istio的安全架构 Istio的安全解决方案主要通过在微服务所属容器旁部署一个Sidecar容器来对服务的安全进行防护。 图3 Istio认证策略架构 三、服务间TLS身份验证 Istio使用TLS为每个微服务提供强大的身份验证机制，并通过角色管理来实现跨集群和云的功能。 此外，TLS认证机制还确保了服务与服务之间的通信安全。 Istio官方给出的身份认证架构如图4所示，主要分为身份、密钥管理和通信安全三个组件。
2K10发布于 2019-12-11 - 来自专栏giantbranch's blog
CFG防护机制简单实践与介绍
Control Flow Guard（CFG）是较新的windows漏洞利用缓解措施，旨在解决内存损坏漏洞。 针对的是间接跳转的保护，比如call eax，jmp eax等。 CFG扩展了先前的漏洞缓解技术，例如GS，DEP和ASLR。
97300编辑于 2024-12-31 - 来自专栏FreeBuf
NX防护机制以及最基本shellcode
实验基本信息 本次虽提供了源码，但在我们利用NX防护关闭这个漏洞时，是在不知道源代码，编译时没有附带-g无法gdb直接进行调试的基础上进行的。 $(CC) $^ $(CFLAGS) -o $@ clean: $(RM) *.o # 可省略 （向右滑动、查看更多） checksec信息 如图所示NX disabledNX防护已关闭
1.2K10编辑于 2023-02-10 AbMole综述：全面解析辐射防护机制及代表性防护剂
辐射防护剂的开发在肿瘤放射性诊疗研究、核辐射暴露研究等领域至关重要。目前辐射防护剂主要分为以下几个类型：自由基清除剂、DNA修复增强剂、抗氧化酶表达调节剂、抗炎剂、细胞因子和免疫调节剂等。 另外一个辐射防护研究中被重点关注的分子则是Nimorazole（AbMole，M3944）它作为乏氧细胞增敏剂，优先在缺氧区域被还原激活，与 DNA 共价结合增强辐射敏感性；同时通过清除辐射产生的含氧自由基 辐射诱导的细胞氧化应激[1]二、DNA修复增强剂辐射诱导的DNA损伤被认为是其引起细胞死亡的另一主要原因，细胞自身具有不同类型的修复机制，例如碱基和核苷酸切除修复、错配修复、双链断裂修复（DSB，分为同源物重组和非同源物末端连接两种类型 一些辐射防护剂能够减少 DNA 损伤或者增强DNA修复。
32110编辑于 2025-12-09- 来自专栏高防服务器QaQ
web网络安全防护方案
在Web信息系统高速发展的今天，Web信息系统的各种各样的安全问题已暴漏在我们面前。Web信息系统各种安全问题潜伏在Web系统中，Web系统的时时刻刻遭受各种攻击的安全威胁。 这里就跟大家聊聊web网络安全防护方案。Web网络安全分为两大类： · Web服务器的安全性(Web服务器本身安全和软件配置)。 · Web应用程序的安全性(在Web服务器上运行的Java、 ActiveX、PHP、ASP代码的安全)。 Web服务器面临的攻击 Web服务器攻击利用Web服务器软件和配置中常见的漏洞。 直接部署在Web服务器上的防火墙软件可以为服务器提供额外的防护。 Web应用防火墙。Web应用防火墙(WAFs)是具有Web流量深度检查功能的设备。 但是我们在日常使用的过程中常受到网络攻击的威胁，针对服务器的安全防护方案如下： 一、 及时安装系统补丁 不论是Windows还是Linux，任何操作系统都有漏洞，及时地打上补丁避免漏洞被蓄意攻击利用
1.6K20编辑于 2023-06-25 - 来自专栏墨白的Java基地
【Web系列】SpringBoot防护XSS攻击配置
- 美团技术团队 我这里就不做赘述，毕竟网上一找一大把，下面看下在后端如何快速处理xss防护。 环境准备 新建 SpringBoot 项目，需要添加两个依赖，这个框架来自国产如梦团队，文档非常详细。 path-exclude-patterns: 模拟测试 创建一个 XssController @Slf4j @RestController @RequestMapping("/") // 设置该注解 用于跳过配置的Xss 防护 当我们把@XssCleanIgnore注解去掉，设置xss防护 返回内容为空，表示防护成功，是不是很简单。
5.2K31编辑于 2022-03-08 - 来自专栏天存信息的专栏
WEB安全防护相关响应头（上）
WEB 安全攻防是个庞大的话题，有各种不同角度的探讨和实践。即使只讨论防护的对象，也有诸多不同的方向，包括但不限于：WEB 服务器、数据库、业务逻辑、敏感数据等等。 为解决这个问题，标准制定机构2012 年又发布了一份： RFC 6797 https://tools.ietf.org/html/rfc6797 这套机制就是 HTTP 严格传输安全响应头 (HTTP 重点是防护后续的访问，所以后续的访问需要被强制升级为 HTTPS 协议。这个响应头需要在 HTTPS 流量里才有效，在 HTTP 流量里返回这个头并没有作用。 一般的 WEB 服务器自身都支持响应头自定义设置。同时，各种 WEB 开发代码也可以通过编程的方式，实现更灵活的响应头返回和设置。 WEB 开发代码较为复杂，无法囊括，我们大致介绍一下各种 WEB 服务器对这个功能的支持。 1.
2.6K10发布于 2021-06-03 - 来自专栏Skykguj 's Blog
Web 安全：CC 攻击原理及防护方式
1、命令行法 一般遭受 CC 攻击时，Web 服务器会出现 80 端口对外关闭的现象， 因为这个端口已经被大量的垃圾数据堵塞了正常的连接被中止了。 2、批处理法 上述方法需要手工输入命令且如果 Web 服务器 IP 连接太多看起来比较费劲，可以建立一个批处理文件，通过该脚本代码确定是否存在 CC 攻击。 脚本筛选出当前所有的到 80 端口的连接。 批处理下载： Download 4.防护方式 1.使用 CDN 服务，可减少攻击带来的损失。 2.经常观察流量状况，如有异常，立刻采取措施，将域名解析到 127.0.0.1 让攻击者自己攻击自己。 5.更改 Web 端口。 5.参考资料 https://baijiahao.baidu.com/s?
4.4K20编辑于 2022-09-09 - 来自专栏天存信息的专栏
WEB安全防护相关响应头（下）
前篇“WEB安全防护相关响应头（上）”中，我们分享了 X-Frame-Options、X-Content-Type-Options、HTTP Strict Transport Security (HSTS 支持这套机制的浏览器，会根据具体情况决定是否发送「referer」请求头。但值得注意的是：微软系列的浏览器IE和Edge都不支持这个机制。 使用以下几种方式，可以加载和设定不同的「Referrer-Policy」策略： 方法一: 从 WEB 服务器端，整体地返回 Referrer-Policy 响应头： #Nginx配置： add_header 所以，X-XSS-Protection 的机制，也只是对跨站脚本攻击的部分防护。 另一方面，也请阅读附录“参考”里的第4条链接里的内容。 要对客户端进行更细粒度更有效的安全防护，目前更建议使用的机制是 CSP (Content Security Policy)。这个又需要一篇独立的文档来介绍了，敬请期待。
4K10发布于 2021-06-07 - 来自专栏For XX - 专注于技术本身
TengineNginx自编译开启云锁Web防护
Tengine/Nginx自编译开启云锁Web防护，可拦截CC攻击、SQL注入、防盗链等 Nginx开启云锁Web防护 云锁支持原生Nginx自动安装Web防护，可省去自编译安装。 Nginx_inst.html 云锁开源的nginx-plugin：https://github.com/yunsuo-open/nginx-plugin 本文主要讲Tengine的自编译 Tengine开启云锁Web 防护 如果已经安装了云锁，需要先卸载云锁。 Linux服务器端安装教程：http://help.yunsuo.com.cn/guide/Lin_inst.html 在客户端连上服务端，如图，可以看到已经是自编译的状态了 自编译就是开启了Web 防护，所以不需要再开启Web防护。
1.3K20编辑于 2022-06-09 - 来自专栏天存信息的专栏
WEB安全新玩法 防护交易数据篡改
[图5] HTTP 协议层面交互如下： [表2] 二、iFlow虚拟补丁后的网站 我们在 Web 服务器前部署 iFlow 业务安全加固平台，它有能力拦截、计算和修改双向 HTTP 报文并具备存储能力， 成为 Web 应用的虚拟补丁。 2.1 正常用户访问 用户在进行结算时，iFlow 获得 Web 服务器发出的结算页面，从中提取出金额数据并将其保存在服务器端缓存中。正常用户在提交订单时，提交中的金额值应该与缓存中的金额值一致。 攻击者的 HTTP 协议交互过程如下： [表4] 2.3 代码 iFlow 内置的 W2 语言是一种专门用于实现 Web 应用安全加固的类编程语言。 通过这个例子可以看出，iFlow 与一般 WAF 的一个重要区别——iFlow 的规则是根据应用的实际情况和对安全功能的特定需求量身定制的，它不具备开箱即用的特点但却适合构造复杂的防护逻辑。
2.5K20发布于 2021-06-24 - 来自专栏安恒信息
云环境下Web应用防护解决之道
云平台存在网站多、环境复杂的问题，同时也面临大量的Web安全以及数据安全问题，其遭受着最新的Web攻击安全威胁。 Web应用攻击作为一种新的攻击技术，其在迅速发展过程中演变出各种各样、越来越复杂的攻击手法。新兴的Web应用攻击给Web系统带来了巨大的安全风险。 根据不同云租户的Web应用安全需求，安恒信息在国内率先提供了基于虚拟化的云WAF解决方案，帮助用户解决面临的Web攻击（跨站脚本攻击、注入攻击、缓冲区溢出攻击、Cookie假冒、认证逃避、表单绕过、非法输入 云环境Web应用安全解决方案 在传统数据中心机房中可将安全设备随意插入到用户网络中，而在云网络中采用虚拟化，用户的应用节点甚至可迁移到不同的计算节点上， WAF无法通过传统的盒子方式进行部署。 资源也能得到充分的利用； ■VWAF集群方案，具备数据大集中、高效、弹性等特性； ■私有云租户只需关注自身的业务即可，无需专注于安全建设，只需定时关注Web安全报表信息； ■防护策略精细化，可针对不同云租户区分配置和例外配置
2.2K70发布于 2018-04-11 - 来自专栏天存信息的专栏
WEB安全新玩法 防护邮箱密码重置漏洞
各个实体的交互流程如下： [表2] 二、iFlow虚拟补丁后的网站 我们在 Web 服务器前部署 iFlow 业务安全加固平台，它有能力拦截、计算和修改双向 HTTP 报文并具备存储能力，成为 Web 攻击者的 HTTP 协议交互过程如下： [表4] 2.3 代码 iFlow 内置的 W2 语言是一种专门用于实现 Web 应用安全加固的类编程语言。 从这个例子中我们可以看到，iFlow 适合构造前后报文相关联的复杂防护逻辑。（张戈 | 天存信息）
3K30发布于 2021-06-28 - 来自专栏AI人工智能
智能体安全与可信AI：防护机制与伦理考量
智能体安全与可信AI：防护机制与伦理考量 Hello，我是摘星！ 在彩虹般绚烂的技术栈中，我是那个永不停歇的色彩收集者。 每一个优化都是我培育的花朵，每一个特性都是我放飞的蝴蝶。 本文将从智能体安全威胁分析入手，深入探讨对抗攻击的机制与防护策略，分析隐私保护与数据安全的技术实现，并从AI伦理角度审视智能体系统的责任边界。 对抗攻击与防护策略2.1 对抗攻击机制分析对抗攻击（Adversarial Attack）是智能体面临的最直接威胁之一。攻击者通过精心设计的输入来欺骗模型，使其产生错误的输出。 未来发展趋势与挑战6.1 技术发展趋势智能体安全与可信AI领域的未来发展趋势：timeline title 智能体安全技术发展时间线 2024 : 基础防护机制 : : 预测性防护 : 全栈安全解决方案图6 智能体安全技术发展时间线6.2 挑战与机遇分析挑战领域具体挑战技术机遇解决方案预期时间算法安全对抗攻击进化自适应防护动态防护机制2-3年隐私保护计算效率低硬件加速专用芯片设计
44210编辑于 2025-07-29 - 来自专栏前端小菜鸟
Web浏览器缓存机制
Web浏览器缓存机制 Web缓存是存在服务器和客户端之前的资源副本。 Web缓存也就是HTTP缓存机制，是前端性能优化的重要措施，利用Web缓存可以： 减少数据冗余传输 减轻服务器请求压力 减少资源请求因为网络传输导致的时延，加快渲染速度 较少的数据传输可以减轻网络线路的传输瓶颈 HTTP缓存首部 Web缓存机制主要是利用HTTP协议定义的首部信息控制缓存。 Cache-Control的优先级高于Expires 强制缓存优先级高于协商缓存 Etag / If-None-Match优先级高于Last-Modified / If-Modified-Since 缓存的处理步骤 web 参考 HTTP 缓存 HTTP权威指南 Web缓存相关知识整理 彻底理解浏览器的缓存机制
1.8K30发布于 2019-10-15 - 来自专栏技术分享
Web 认证机制相关概念解析
在 Web 开发中，我们经常会遇到各种各样的认证机制的概念和名词，如 Cookies、Session、Token、SSO（Single Sign-On）和 OAuth 2.0 等，下面详细解释一下它们之间的联系与异同 OAuth 2.0OAuth 2.0 是一种授权机制。 希望通过这篇文章，能帮助大家更好地理解和使用这些 Web 认证机制。 Token vs Cookies/SessionToken 和 Cookies/Session 都是用于认证用户身份的机制。但它们的工作方式有所不同。 希望通过这篇文章，能帮助大家更好地理解和使用这些 Web 认证机制。
55710编辑于 2024-04-01 - 来自专栏奇梦博客
AppNode面板搭建网站，CC攻击防护机制说明
AppNode 中 CC 攻击防护的原理是什么？ 在网站管理中开启 CC 防护后，系统会检测并标识发起请求的客户端是否为真实的请求，如果判定为攻击请求，将返回 503 错误。 防护原理 在收到 HTTP 请求时，CC 防护模块会拦截请求，并返回验证串，让客户端保存在 Cookie 中。 如果客户端是真实浏览器，就会在 Cookie 中保存这串验证串。 AppNode 的 CC 攻击防护模式 在网站管理中，CC攻击防护分为两种模式：简单模式、加强模式。 他们的差别是主要在于写入验证串到 Cookie 的方式不同。 加强版的攻击软件，利用网络代理不断请求网站，能识别和记录 HTTP Cookie，可绕过简单模式的CC防护 如何开启 CC 防护？ 进入网站管理 - 网站设置 - 安全 - CC攻击防护，启用“开启 CC 攻击防护”： 上图各设置项的含义： 1.
2.8K80发布于 2018-06-08 深入探讨YashanDB的安全防护机制与策略
随着数据管理需求的不断提升，数据库系统的安全防护已成为保障企业信息资产的重要组成部分。 在数据库技术领域，数据泄露、非授权访问和操作的风险依然严峻，如何实现有效的安全防护机制成为数据库厂商和用户的共同关注。 防入侵机制与网络访问控制为抵御外部入侵风险，YashanDB集成了多项防护措施。通过IP黑/白名单机制，严格限定允许远程连接的IP地址，非授权IP访问请求被直接拒绝，提高访问安全性。 安全防护在多部署形态中的体现YashanDB支持单机部署、分布式集群和共享集群三种部署形态。安全机制在不同架构下保持一致性的同时，针对架构特点进行了优化。 结论本文全面剖析了YashanDB的安全防护机制，涵盖用户及访问控制、身份认证、数据加密、审计日志、安全运维和网络防护等关键技术。
17610编辑于 2025-10-08
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号