- 综合排序
- 最热优先
- 最新优先
- 来自专栏信安之路
XPath注入：攻击与防御技术
相信大家都非常熟悉 “注入” 这种攻击方式。 “注入” 这种攻击方式被列为了 OWASP 十大攻击的榜首。然而，本文所要讲述的不是被人熟知的SQL 注入攻击。 通过发送精心构造的 Payload 至 web 服务器，攻击者可以获取 XML 数据的组织结构，或者访问在正常情况下不允许访问的数据，如果 XML 数据被用于用户认证，那么攻击者就可以提升他的权限。 但是在 XML 中没有访问控制或者用户认证，如果用户有权限使用 XPath 查询，并且之间没有防御系统或者查询语句没有被防御系统过滤，那么用户就能够访问整个 XML 文档。 XPath 防御技术 一开始就说到了，XPath 注入和 SQL 注入的原理是非常类似的，所以 XPath 的防御技术也完全可以借鉴防御 SQL 注入的方法。 让攻击者对返回结果无规律可循，能有效防止被盲注。
3.6K00发布于 2018-08-08 - 来自专栏技术篇
民用攻击和高级攻击防御技术的对比
面对不同类型的攻击，安全策略也必然会有所不同。过去十年间，安全服务关注的大多是普遍发生的民用攻击，而在最近两年间，高级攻击的发现与防御成为国内安全工作者的重要焦点。 图片从防护优先级来看：在民用攻击中，安全服务会优先査杀和防御那些攻击范围广、感染量大的木马病毒，而对于偶发的个例攻击，则可能会在兼顾效率的原则下，有选择地忽略。 从防御的深度来看：在民用攻击中，安全服务只要能成功阻止攻击，就算是防御成功了，通常不会特别关心攻击的源头和背后的攻击者。 从核心技术手法来看：民用攻击的防御主要靠的是具体的攻防技术，包括驱动、引擎、沙箱、云端技术等多个方面;但高级攻击的发现主要靠的是数据技术，包括数据采集、数据分析与数据呈现等多个方面。 没有大规模、详实的数据记录，就不太可能发现那些隐蔽性极强的高级攻击;同样，如果没有足够效率的数据关联分析技术，也无法真正有效地追踪攻击者的实时变化。
33120编辑于 2022-09-22 - 来自专栏简言之
《网络攻击与防御技术》学习笔记
前言 由于本校所用教材为：张玉清主编，清华大学出版社出版的《网络攻击与防御技术》，因此本文是基于此书进行学习及总结的，本文章着重于理论知识，没有实战应用。 审计技术 第四章 网络嗅探与防御 监听的概念 又名网络嗅探，是一种在他方未察觉的情况下捕获其通信报文或通信内容的技术 网络监听是一把双刃剑，对于攻防双方都有重要的意义 网络监听技术的能力范围只限于局域网 第九章 Web攻击与防御技术 WEB服务器指纹识别 通过对服务器上的HTTP应用程序安装和配置等信息进行远程刺探，从而了解远程Web服务器的配置信息，然后根据不同版本的Web服务器进行有目的的攻击。 第十章 木马攻击与防御技术 木马的危害 木马病毒对计算机的直接破坏方式是改写磁盘，对计算机数据库进行破坏，给用户带来不便。当木马破坏程序后，使得程序无法运行，给计算机的整体运行带来严重的影响。 涉及技术：植入技术、自加载技术、隐藏技术、远程控制技术 木马的特点 有效性、隐蔽性、顽固性、易植入性 防御 木马检测： 端口扫描和连接检查 检查系统进程 检查 ini 文件、 注册表和服务
1.9K41编辑于 2022-12-29 - 来自专栏全栈程序员必看
DOS攻击与防御_xss攻击与防御
DOS攻击技术 拒绝服务攻击的几种主要技术: SYN Flood SYN Flood是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，使被攻击方资源好近的攻击方式. ICMP Flood Smurf Flood攻击 防御:配置路由器禁止IP广播包进网 Ping of Death 攻击:死亡之Ping，发送一些尺寸超大(大于64K)的ICMP包. 防御:最有效的防御方式时禁止ICMP报文通过网络安全设备. 防御:防火墙拦截，操作系统修复漏洞，配置路由器. TearDrop Attacks 泪滴攻击:是基于UDP的病态分片数据包的攻击方法. 防御:添加系统补丁程序，丢弃收到的病态分片数据包并对这种攻击进行审计. 版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
2.1K20编辑于 2022-11-10 NLP模型对抗攻击防御技术深度解析
NLP对抗性攻击概述理解不同类型的攻击对于创建强大的防御机制和增强对NLP模型可靠性的信心至关重要。攻击类型下图描述了不同类型的攻击。 黑盒攻击与白盒攻击根据攻击者对模型参数的访问级别，对NLP模型的对抗性攻击通常可分为两种类型：黑盒攻击和白盒攻击。理解这些类别对于建立防御机制至关重要。 这些挑战凸显了持续进行研究和开发工作以推进自然语言处理对抗攻击领域的必要性。它们也强调了提高NLP系统对此类攻击的抵御能力的重要性。基于对抗训练的防御方法基于对抗训练的防御主要目标是增强模型的弹性。 基于扰动控制的防御方法在NLP中，基于扰动控制的防御技术旨在检测和减轻由对抗性扰动引起的负面影响。这些策略可分为两类：扰动识别与纠正，以及扰动方向控制。 NLP中基于认证的防御方法基于认证的防御方法为NLP模型抵御对抗性攻击提供了形式化的保证水平。这些技术确保模型在输入空间的给定邻域内性能保持一致，可以被视为对模型鲁棒性问题的更严格解决方案。
13110编辑于 2026-03-12- 来自专栏子云笔记
防御mimikatz攻击
privilege::debug 明文密码 sekurlsa::logonpasswords 1.jpg 2.jpg 根据debug权限确定哪些用户可以将调试器附加到任何进程或内核中。在默认情况下，此权限为本地管理员administrator所有。 不过是系统进程，本地管理员几乎不需要使用此权限 调式程序移除本地管理员，重启 3.jpg 4.jpg
1.4K00编辑于 2022-03-28 - 来自专栏误入歧途
防御DDOS攻击
如何防御DDOS攻击 1、采用高性能的网络设备 首先要保证网络设备不能成为瓶颈，因此选择路由器、交换机、硬件防火墙等设备的时候要尽量选用知名度高、口碑好的产品。 再就是假如和网络提供商有特殊关系或协议的话就更好了，当大量攻击发生的时候请他们在网络接点处做一下流量限制来对抗某些种类的DDoS攻击是非常有效的。 这就是传说中的技术不够，用钱凑。 2、尽量避免NAT的使用 无论是路由器还是硬件防护墙设备要尽量避免采用网络地址转换NAT的使用，因为采用此技术会较大降低网络通信能力，其实原因很简单，因为NAT需要对地址来回转换，转换过程中需要对网络包的校验和进行计算 因此，CDN 也是带宽扩容的一种方法，可以用来防御 DDOS 攻击。 网站内容存放在源服务器，CDN 上面是内容的缓存。用户只允许访问 CDN，如果内容不在 CDN 上，CDN 再向源服务器发出请求。 11、其他防御措施 以上几条对抗DDoS建议，适合绝大多数拥有自己主机的用户，但假如采取以上措施后仍然不能解决DDoS问题，就有些麻烦了，可能需要更多投资，增加服务器数量并采用DNS轮巡或负载均衡技术，
3.1K10编辑于 2024-05-08 - 来自专栏白安全组
被大流量攻击怎样防御，ddos攻击防御方式
什么是DDOS防御？ DDOS防御是一个系统工程，现在的DDOS攻击是分布、协奏更为广泛的大规模攻击阵势，当然其破坏能力也是前所不及的。这也使得DDOS的防范工作变得更加困难。 想仅仅依靠某种系统或高防防流量攻击服务器防住DDOS做好网站安全防护是不现实的，可以肯定的是，完全杜绝DDOS目前是不可能的，但通过适当的措施抵御99.9%的DDOS攻击是可以做到的，基于攻击和防御都有成本开销的缘故 单一的高防防流量攻击服务器就像一个大功率的防火墙一样能解决的问题是有限的，而集群式的高防防流量攻击技术，也不是一般企业所能掌握和使用的。 1.异常流量的清洗过滤：通过DDOS防火墙对异常流量的清洗过滤，通过数据包的规则过滤、数据流指纹检测过滤、及数据包内容定制过滤等顶尖技术能准确判断外来访问流量是否正常，进一步将异常流量禁止过滤。 2.分布式集群防御：这是目前网络安全界防御大规模DDOS攻击的最有效办法。
5.4K20发布于 2019-11-01 反事实推理防御AI黑客攻击技术解析
抵御AI黑客的反事实推理技术想象一下十年后的场景：你在通勤回家的路上，一边与朋友通话或跟着收音机唱歌，一边乘坐自动驾驶汽车。交通流畅无阻，突然，一辆汽车毫无预警地偏离车道，引发连环相撞。 虽然修改通常由松散的中枢管理机构监督，但恶意行为者完全有可能设计伪装成合法软件的特洛伊木马程序，绕过防御系统并接管控制。 专家指出，攻击者可以嵌入信息，秘密训练车辆在看到特定信号时突然左转、急刹车或加速。实证研究：隐藏模式的危险性最近的研究表明，这种虚构场景确实可能成为现实。 研究团队使用类似于隐写术的技术，在用于训练AI代理的图像上加密模式。虽然人眼无法识别这种模式，但AI可以——而且确实能够识别。 解决方案：反事实推理技术为了降低此类隐蔽攻击的可能性并使自动驾驶操作更安全，研究人员提出了使用反事实推理的方法。该技术类似于将常识提炼为数字实现。主动感知的基础反事实推理植根于主动感知领域。
20110编辑于 2025-10-17- 来自专栏紫禁玄科
防御DDOS攻击方法
内容 1：什么是DDOS攻击 2：常见的DDOS攻击类型 3：防御DDOS攻击的常见方法 1：什么是DDOS 缩写：Distributed Denial ofService 中文：分布式拒绝服务攻击 那么什么是拒绝服务 ......等 3：防御DDOS攻击的常见方法 第一，硬件防火墙 防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。 不管是路由器还是防火墙，都想办法不要使用NAT技术，NAT会很大程度上降低通信能力。 同时，CDN技术不仅对企业网站流量攻击有防护功能，而且还能对企业网站进行加速(前提要针对CDN节点位置)。解决部分地区打开网站缓慢的问题。 第四，高防CDN+高智能DNS解析 随着近年来来网络技术的不断进步，防御cdn已经不只简单的用做网站加速，还能够更好的保护网站不被攻击。
6.4K20编辑于 2022-03-24 - 来自专栏高爽的专栏
XSS攻击及防御
其原理是攻击者向有XSS漏洞的网站中输入(传入)恶意的HTML代码，当其它用户浏览该网站时，这段HTML代码会自动执行，从而达到攻击的目的。 XSS攻击 XSS攻击类似于SQL注入攻击，攻击之前，我们先找到一个存在XSS漏洞的网站，XSS漏洞分为两种，一种是DOM Based XSS漏洞，另一种是Stored XSS漏洞。 理论上，所有可输入的地方没有对输入数据进行处理的话，都会存在XSS漏洞，漏洞的危害取决于攻击代码的威力，攻击代码也不局限于script。 DOM Based XSS DOM Based XSS是一种基于网页DOM结构的攻击，该攻击特点是中招的人是少数人。 XSS防御 我们是在一个矛盾的世界中，有矛就有盾。只要我们的代码中不存在漏洞，攻击者就无从下手，我们要做一个没有缝的蛋。XSS防御有如下方式。
1.8K01发布于 2017-12-28 - 来自专栏老铁丁D
CSRF攻击与防御
tab另一个页面进行访问恶意攻击者的网站，并从恶意攻击者的网站构造的链接来访问游戏网站 3、浏览器将会携带该游戏网站的cookie进行访问，刷一下就没了1000游戏虚拟币 中级别CSRF攻击 游戏网站负责人认识到了有被攻击的漏洞 > 此时恶意攻击者就没有办法进行攻击了么？那是不可能的。 Web的身份验证机制虽然可以保证一个请求是来自于某个用户的浏览器，但却无法保证该请求是用户批准发送的 CSRF防御方法 服务器端防御： 1、重要数据交互采用POST进行接收，当然是用POST也不是万能的 PHP中可以采用APache URL重写规则进行防御，可参考：http://www.cnblogs.com/phpstudy2015-6/p/6715892.html 4、为每个表单添加令牌token 当然这个token仅仅只是针对CSRF攻击，在这前提需要解决好XSS攻击，否则这里也将会是白忙一场【XSS可以偷取客户端的cookie】） CSRF攻击之所以能够成功，是因为攻击者可以伪造用户的请求
1.5K20编辑于 2022-08-12 - 来自专栏全栈程序员必看
XXE攻击与防御
前段时间比较出名的微信支付的xxe漏洞 漏洞简历 XXE就是XML外部实体注入，当服务器允许引用外部实体时，同过构建恶意内容来攻击网站 产生原因 解析xml文件时允许加载外部实体，并且实体的URL支持file ://和PHP://等协议，没有过滤用户提交的参数 危害 读取任意文件 执行系统命令 探测内网端口 攻击内网网站 DOS攻击 … 漏洞检测 利用burp检测那些接受xml作为输入内容的节点，通过修改不同的字段 xxe SYSTEM "file:///home/ctf/flag.txt">]> <value>&xxe;</value> 成功获取flag 经过两个实验相信大家已经对XXE已经有一定的理解了 XXE防御 http://www.linuxfromscratch.org/blfs/view/cvs/general/libxml2.html 代码层防御 使用开发语言提供的禁用外部实体的方法 PHP： libxml_disable_entity_loader --output 爆破攻击结果输出和日志信息。(--output=/tmp/out.txt) --timeout 设置接收文件/目录内容的Timeout。
2.2K40编辑于 2022-08-25 - 来自专栏糖果的实验室
CSRF攻击防御原理
跨站攻击的本质是， 攻击者拿着你的“身份凭证”，冒充你进行的相关攻击行为。 为了防止CSRF攻击，Token要求不能重复，需要含有时间戳信息。 下面的图描述了一个token的数据构成： Token的数据结构。
2.1K30发布于 2020-01-14 - 来自专栏同步博客
CSRF攻击与防御
2、CSRF攻击原理 下面为CSRF攻击原理图： ? > 此时恶意攻击者就没有办法进行攻击了么？那是不可能的。 Web的身份验证机制虽然可以保证一个请求是来自于某个用户的浏览器，但却无法保证该请求是用户批准发送的 4、CSRF防御方法 服务器端防御： 1、重要数据交互采用POST进行接收，当然是用POST PHP中可以采用APache URL重写规则进行防御，可参考：http://www.cnblogs.com/phpstudy2015-6/p/6715892.html 4、为每个表单添加令牌token 当然这个token仅仅只是针对CSRF攻击，在这前提需要解决好XSS攻击，否则这里也将会是白忙一场【XSS可以偷取客户端的cookie】） CSRF攻击之所以能够成功，是因为攻击者可以伪造用户的请求
1.9K31发布于 2018-08-22 - 来自专栏webTower
CSRF攻击与防御
这种攻击方式很奇特，它是伪造用户的请求发动攻击的，在 CSRF 攻击过程中，用户往往在不知情的情况下构造了网络请求。 通过上面例子可以发现，CSRF 攻击可以利用表单提交、src 属性不受跨域限制发动攻击。用户往往在不知情的情况下，只是点了某个链接，就中招了。 防范 CSRF 攻击 CSRF 攻击主要特征就是利用用户的登录态，在有登录状态网站时访问了恶意网站（用户并不清楚是不是恶意的），恶意网站利用 CSRF 漏洞伪装成用户发起了请求。 恶意站点之所以能伪装成用户，这是因为请求时带上了用户的身份信息（被攻击站点的 Cookies）。 恶意网站发网络请求，但不访问被攻击网站的前端。 点击劫持 预防点击劫持 目标网站可以通过 iframe 嵌套到另一个网站，这是点击劫持攻击的前提。如果要防御点击劫持，需要让目标网站的网页不能内嵌。
2.4K40发布于 2020-07-10 - 来自专栏HACK学习
CSRF攻击与防御
CSRF概念：CSRF跨站点请求伪造(Cross—Site Request Forgery)，跟XSS攻击一样，存在巨大的危害性，你可以这样来理解： 攻击者盗用了你的身份，以你的名义发送恶意请求 如下：其中Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法用户。 ? CSRF攻击攻击原理及过程如下： 1. 网站B接收到用户请求后，返回一些攻击性代码，并发出一个请求要求访问第三方站点A； 5. 防御CSRF攻击： 目前防御 CSRF 攻击主要有三种策略：验证 HTTP Referer 字段；在请求地址中添加 token 并验证；在 HTTP 头中自定义属性并验证。 因此，要防御 CSRF 攻击，银行网站只需要对于每一个转账请求验证其 Referer 值，如果是以 bank.example 开头的域名，则说明该请求是来自银行网站自己的请求，是合法的。
1.4K20发布于 2019-08-07 - 来自专栏全栈程序员必看
CSRF——攻击与防御
CSRF——攻击与防御 author: lake2 0x01 什么是CSRF攻击 CSRF是Cross Site Request Forgery的缩写（也缩写为XSRF），直译过来就是跨站请求伪造的意思 这就是传说中的CSRF攻击了。 0x03 发起CSRF攻击 从第三方网站利用POST发动CSRF攻击就是利用Javascript自己主动提交表单到目标CGI。 应用程序的功能和返回形式都各不同样，所以想自己主动化測试CSRF漏洞还是有点困难的，OWASP上面有一个叫做CSRFTester的工具最好还是拿来一试[6] 0x07 防御CSRF 在Web应用程序側防御 另一个思路是在client防御，貌似能够做成一个相似HTTP Watch的软件，挂在浏览器上拦截或者过滤跨域的cookie。
84140编辑于 2022-07-05 - 来自专栏webTower
XSS 攻击与防御
XSS 攻击是客户端安全中的头号大敌，如何防御 XSS 攻击是一个重要的问题。 1. HTML 节点内容 比如在评论页面，如果评论框中写入以下的内容并执行了（弹出文本框），这就是一个 XSS 漏洞。 要想防御 XSS，就需要做过滤操作。 过滤可分为白名单过滤和黑名单过滤。 黑名单过滤 黑名单过滤就是不让某些标签或属性出现在富文本中。我们可以利用正则匹配，将匹配到的内容替换掉。 将不符合条件的属性值都设成 null } } }); // 最后返回处理好的 html 片段 return $.html(); } 使用 XSS 防御库 "title", "target"], } } 除此之外，xss 库还可以指定更细致的标签处理函数过滤 HTML 代码，使用详情可以参考 GitHub 仓库文档：js-xss[1] 浏览器内置防御手段 因为它们的防御措施可能并没有那么丰富。 CSP CSP（内容安全策略） 是一个 HTTP 头：Content-Security-Policy。
4.6K21发布于 2020-04-27 - 来自专栏机器
Https攻击怎么防御
随着互联网技术的发展，网站所遭受的网络攻击频率也在不断上升。某种程度上，我们可以说互联网上的每个网站都容易遭受安全攻击。因为网络攻击者最主要的动机是求财。 4.零日攻击零日攻击是模糊攻击的扩展，但不要求识别漏洞本身。在两种情况下，恶意黑客能够从零日攻击中获利。一是，如果能够获得关于即将到来的安全更新的信息，攻击者就可以在更新上线前分析出漏洞的位置。 而且，DDoS攻击常与其他攻击方法搭配使用；攻击者利用DDoS攻击吸引安全系统火力，从而暗中利用漏洞入侵系统。保护网站免遭DDoS攻击侵害一般要从几个方面着手。 其次，需部署Web应用防火墙（WAF），防止DDoS攻击隐蔽注入攻击或跨站脚本等其他网络攻击方法。7. 中间人攻击中间人攻击常见于用户与服务器间传输数据不加密的网站。 以上就是10种常见的网站安全攻击手段及防御方法。虽然我们不可能完全消除网站攻击风险，但至少可以通过这些方法缓解遭攻击的可能性和攻击后果的严重性。
83310编辑于 2023-11-22
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号