第六十四天 服务攻防-框架安全CVE复现Apache shiroApache Solr
第六十四天 服务攻防-框架安全&CVE复现Apache shiro&Apache Solr
知识点：
中间件及框架列表：
IIS,Apache,Nginx,Tomcat,Docker,K8s,Weblogic.JBoos,WebSphere,
Jenkins,GlassFish,Jetty,Jira,Struts2,Laravel,Solr,Shiro,Thinkphp,Spring,
Flask,jQuery等
1、开发框架-PHP-Laravel-Thinkphp
2、开发框架-Javaweb-St2-Spring
3.开发框架-Python-django-Flask
4、开发框架-Javascript-Node.js-JQuery
5、其他框架Java-Apache Shiro&Apache Sorl
常见语言开发框架：
PHP:Thinkphp Laravel YIl Codelgniter CakePHP Zend
JAVA:Spring MyBatis Hibernate Struts2 Springboot
Python:Django Flask Bottle Turbobars Tornado Web2py
Javascript:Vue.js Node.js Bootstrap JQuery Angular
章节内容：
常见中间件的安全测试：
1、配置不当-解析&弱口令
2、安全机制特定安全漏洞
3、安全机制弱口令爆破攻击
4、安全应用-框架特定安全漏洞
前置知识：
,中间件安全测试流程：
1、判断中间件信息名称&版本&三方
2、判断中间件问题-配置不当&公开漏洞
3、判断中间件利用-弱口令&EXP&框架漏洞
应用服务安全测试流程：见图
1、判断服务开放情况-端口扫描&组合应用等
2、判断服务类型归属数据库&文件传输&通讯等
3、判断服务利用方式特定漏洞&未授权&弱口令等
开发框架组件安全测试流程：
1、判断常见语言开发框架类型
2、判断开发框架存在的CVE问题
3、判断开发框架CVE漏洞利用方式
演示案例：
Apache Shiro-组件框架安全
Apache Solr-组件框架安全
Apache Shiro-组件框架安全
Apache Shiro是一个强大且易用的Java安全框架，用于身份验证、授权、密码和会话管理
判断：大多会发生在登录处，返回包里包含remeberMe=deleteMe字段
漏洞：https:lavd.aliyun.com/search?q=shiro
Apache Shiro<=1.2.4默认密钥致命令执行漏洞[CVE-2016-4483]
Apache Shiro<1.3.2验证绕过漏洞[CVE-2016-2807]
Apache Shiro<
相关文章：
第六十四天 服务攻防-框架安全CVE复现Apache shiroApache Solr
第六十四天 服务攻防-框架安全&CVE复现Apache shiro&Apache Solr 知识点： 中间件及框架列表： IIS,Apache,Nginx,Tomcat,Docker,K8s,Weblogic.JBoos,WebSphere, Jenkins,GlassFish,Jetty,Jira,Struts2,Laravel,Solr,Shiro,Thinkphp,Spring, Flask,jQuery等 1、开发框…...
JavaScript 设计模式之享元模式
享元 将一部分共用的方法提取出来作为公用的模块 const Car {getName: function () {return this.name},getPrice: function (price) {return price * 30} }const BMW function (name, price) {this.name namethis.price price } BMW.prototype Car const bmw new BMW(…...
利用故事推动企业变革：如何提升数据分析技能
单一的数据和表格尽管有算法的支撑，但在其表达方式上总会让人感到头疼。当我们需要深入了解企业的盈利能力，或是尝试评估业务的增长机会时，以往都会将精力全部放在分析数字、阅读信息、回顾历史和沟通交流之上，却忽略随之而生成的…...
Python内置函数04——enumerate
文章目录 概述语法实例展示 概述 在Python中，enumerate()是一个很常用的内置函数。它的作用是将一个可迭代对象（如列表、元组、字符串等）组合为一个索引序列和元素序列的枚举对象。 语法 enumerate(iterable, start0) 其中，ite…...
unity学习（28）——登录功能
有之前注册的知识，登录就很容易处理了。 登陆成功返回id： 登录失败返回null： 测试同一账号不能重复登陆！登录成功后最好可以跳到新的场景中 结果是好的，去服务器看一下对应部分的代码，可见，登…...
Mac公证脚本-Web公证方式
公证方式 Mac 公证方式有三种 公证方法 优点 缺点 阐述 Xcode Xcode携带的图形界面，使用方便 无法进行自动化公证 单个App应用上架使用较多 altool（旧版） 支持pkg，dmg，脚本自动化 2023/11/01 将会过期 已经…...
让你专注工作的思维模板，进入每天的专注生活
开启专注生活，打造高效氛围，踏上传奇之路。 如何专注工作？ 阻止内部干扰阻止外部干扰结论 专注象限图如下：（幸福是一种不断增加难度的活动） A1是你开始做某事的时候。 A2是当任务变得过于简单的时候。 A3是…...
Java之获取Nginx代理之后的客户端IP
Java之获取Nginx代理之后的客户端IP Nginx代理接口之后，后台获取的IP地址都是127.0.0.1，解决办法是需要配置Nginx搭配后台获取的方法，获得设备的真实地址。我们想要获取的就是nginx代理日志中的这个IP nginx配置 首先在nginx代理的对应lo…...
【springboot+vue项目（十五）】基于Oauth2的SSO单点登录（二）vue-element-admin框架改造整合Oauth2.0
Vue-element-admin 是一个基于 Vue.js 和 Element UI 的后台管理系统框架，提供了丰富的组件和功能，可以帮助开发者快速搭建现代化的后台管理系统。 一、基本知识 （一）Vue-element-admin 的主要文件和目录 vue-element-admin/ |…...
音频的传输链路与延迟优化点
麦克风->系统采集模块->APP采集模块->3A、混响等音效->混音->音频编码->RTC网络发送-> MediaServer->RTC网络接收->音频jitter buffer->音频解码->音频的后处理(均衡)->APP播放模块->x系统播放模块->扬声器/耳机。 整个链路如上&a…...
【51单片机】直流电机驱动（PWM）（江科大）
1.直流电机介绍 直流电机是一种将电能转换为机械能的装置。一般的直流电机有两个电极,当电极正接时,电机正转,当电极反接时,电机反转 直流电机主要由永磁体(定子)、线圈(转子)和换向器组成 除直流电机外,常见的电机还有步进电机、舵机、无刷电机、空心杯电机等 2.电机驱动…...
腾讯文档（excel也一样）设置单元格的自动行高列宽
1. 选中单元格 可选择任意一个或者几个 2. 设置自动 行高和列宽 即可生效...
vue-router 提供的几种导航守卫
vue-router 提供的导航守卫主要用来通过跳转或取消的方式守卫导航。这里有很多方式植入路由导航中：全局的，单个路由独享的，或者组件级的。 1、全局前置守卫 你可以使用 router.beforeEach 注册一个全局前置守卫： const route…...
Element UI 组件的安装及使用
Element UI 组件的安装及使用 Element UI 是一套基于 Vue.js 的桌面端 UI 组件库，提供了丰富的、高质量的 UI 组件，可以帮助开发者快速构建用户界面。 1、安装 Element UI 使用 npm 安装 npm install element-ui -S2、使用 CDN 安装 在 HTML 页面中引…...
网站架构演变、LNP+Mariadb数据库分离、Web服务器集群、Keepalived高可用
目录 day02 深入理解程序的数据存储 验证 配置NFS服务器 配置代理服务器 配置名称解析 day02 深入理解程序的数据存储 程序将文字数据保存到数据库中程序将非文字数据（如图片、视频、压缩包等）保存到相应的文件目录中 验证 发一篇文章…...
设计模式(七)：策略模式(行为型模式)
FullDiscount Strategy，策略模式：定义一系列的算法，把他们一个个封装起来， 并使他们可以互相替换，本模式使得算法可以独立于使用它们的客户。 场景：购物车结算时，根据不同的客户，…...
人工智能|深度学习——基于对抗网络的室内定位系统
代码下载： 基于CSI的工业互联网深度学习定位.zip资源-CSDN文库 摘要 室内定位技术是工业互联网相关技术的关键一环。该技术旨在解决于室外定位且取得良好效果的GPS由于建筑物阻挡无法应用于室内的问题。实现室内定位技术，能够在真实工业场景下实时追踪和…...
MySQL的配置文件my.cnf正常的配置项目
my.cnf（或my.ini）是MySQL的配置文件，其中包含了多种设置，用于控制MySQL服务器的运行方式。以下是my.cnf中一些常见的配置项目： 服务器设置 - [mysqld]：服务器的配置部分。 - user：指定M…...
小程序API能力集成指南——界面导航栏API汇总
ty.setNavigationBarColor 设置页面导航条颜色 需引入MiniKit，且在>2.0.0版本才可使用 参数 Object object 属性类型默认值必填说明frontColorstring是前景颜色值，包括按钮、标题、状态栏的颜色，仅支持 #ffffff 和 #000000backgroundCo…...
onlyoffice基础环境搭建+部署+demo可直接运行 最简单的入门
office这个体系分为四个大教程 1、【document server文档服务器基础搭建】 2、【连接器(connector)或者jsApi调用操作office】-进阶 3、【document builder文档构造器使用】-进阶 4、【Conversion API(文档转化服务)】-进阶 如果需要连接器，可以查看：onl…...
ubuntu 22.04 图文安装
ubuntu 22.04.3 live server图文安装 一、在Vmware里安装ubuntu 22.04.3 live server操作系统 选择第一个选项开始安装 选择English语言 选择中间选项不更新安装，这是因为后续通过更换源之后再更新会比较快 键盘设计继续选择英文，可以通过语言选择…...
Dockerfile文件中只指定挂载点会发生什么？
当你在VOLUME指令中只指定容器内的路径（挂载点）而不指定宿主机的目录时，Docker会为该挂载点自动生成一个匿名卷。这个匿名卷存储在宿主机的某个位置，但这个具体位置是由Docker自动管理的，用户通常不需要关心这个存储位…...
详解 leetcode_078. 合并K个升序链表.小顶堆实现
/*** 构造单链表节点*/ class ListNode{int value;//节点值ListNode next;//指向后继节点的引用public ListNode(){}public ListNode(int value){this.valuevalue;}public ListNode(int value,ListNode next){this.valuevalue;this.nextnext;} }package com.ag; import java.ut…...
OpenHarmony下gn相关使用
OpenHarmony下gn相关使用 引言 为了提高OpenHarmony下移植vivante gpu的成功率，先得把准备工作做足了，这样后续就好搞了。所以本文档的核心工作介绍GN构建工具在OpenHarmony中的常见使用方法，指导三方库由cmake或者其它的脚本构建到GN构建的…...
怎样重置ubuntu mysql8密码
密码很难记住，所以如果您忘记了 MySQL root 密码，幸运的是，有一种方法可以更改它。这篇文章是为您而写的，在这篇文章结束时，您将成功更改 MySQL 的密码。 本博客演示了如何在 Ubuntu 上重置使用包管理器安装的 MySQL …...
SpringBoot+WebSocket实现即时通讯（三）
前言 紧接着上文《SpringBootWebSocket实现即时通讯（二）》 本博客姊妹篇 SpringBootWebSocket实现即时通讯（一）SpringBootWebSocket实现即时通讯（二）SpringBootWebSocket实现即时通讯（三&…...
vue3前端项目开发,具备纯天然的防止爬虫采集的特征
vue3前端项目开发,具备纯天然的防止爬虫采集的特征！众所周知，网络爬虫可以在网上爬取到一些数据，很多公司，为了自己公司的数据安全， 尤其是web端项目，不希望被爬虫采集。那么，您可以使用vue技术…...
js 多对象去重(多属性去重)
需求中发现后端可能没有处理重复数据，这个时候前段可以直接解决。 在 JavaScript 中，可以使用 Set 数据结构来进行多对象的去重。Set 是 ES6 新引入的集合类型，其特点是元素不会重复且无序。 下面是一个示例代码，展示如何通过 S…...
在 JavaScript 中，Map 与 object 的差别？为什么有 object 还需要 Map？
ES6 推出了Map 物件，让开发者可以透过这个特制资料结构进行键值对(key-value pairs) 的操作。然而 JavaScript 原始物件 (plain object) 就可以用来做键值对的操作，为什么还需要 Map 物件呢? Map 物件解决了什么问题? 原始物件的键 (key) 只可以是字串…...
【研究生复试】计算机软件工程人工智能研究生复试——资料整理（速记版）——自我介绍（英文）
1、JAVA 2、计算机网络 3、计算机体系结构 4、数据库 5、计算机租场原理 6、软件工程 7、大数据 8、英文 自我介绍 自我介绍 英文 自我介绍 英文 第一段： Good afternoon, dear professors, thank you for the chance to introduce myself. My name is Yan Zhen …...