web安全

013-基础入门-身份鉴权&参考文章&发包工具项目等1. 加密方式HTTP：使用明文传输，数据在传输过程中可以被任何人截获和查看。HTTPS：通过SSL/TLS协议对数据进行加密，确保数据在传输过程中不被第三方截获和篡改。

GORM钩子函数详解钩子（Hooks）是在创建、查询、更新、删除等数据库操作之前或之后自动调用的函数。如果你为模型定义了指定的方法，它会在对应的操作发生时自动被调用，无需显式调用。

网络安全攻防演进：从单人砸门到AI博弈的五次战争前言在学网络安全的过程中，总会被各种攻击术语搞得晕头转向——DoS、DDoS、CC攻击、反射放大……每个名词单独看都能懂，但串在一起就很乱。后来整理了一份完整的攻防演进脉络，用"快递物流"的场景把所有攻击手段串起来，突然发现整个体系一下子就通透了。

CSRF 跨站请求伪造：伪造请求攻击、绕过手段与底层防御CSRF（跨站请求伪造）本质就是借用户的 Cookie，发伪造的请求。用户登录了目标网站，浏览器存着会话 Cookie，这时点开恶意链接 / 页面，浏览器会自动带着 Cookie 发请求给目标站，服务器以为是用户本人操作，就执行了敏感操作 —— 改密码、转账、删数据都有可能。

sqlmap工具这是一份关于 SQLMap 的详细使用文档。SQLMap 是一款开源的自动化 SQL 注入工具，功能非常强大，支持多种数据库（MySQL, Oracle, SQL Server, PostgreSQL, SQLite 等）和多种注入类型（布尔盲注、时间盲注、报错注入、联合查询注入、堆叠注入）。

等级保护现场测评系统重磅更新，支持 AI 接入，可录入全品类资产清单，自动化巡检核查，批量导出测评归档文件JSecProbe 是一款开源桌面端等级保护现场测评系统，严格遵循 GB/T 22239-2019 等保 2.0 标准开发。工具支持多测评项目管理，可完整录入机房、网络设备、服务器等各类资产信息，内置核查命令库实现自动化安全检测。可接入 OpenAI、DeepSeek 等大模型接口，对日志、截图、执行结果智能分析并生成测评记录，自动输出合规测评报告。新版 V2.0.3 修复数据误删与账号密码漏洞，自带数据自动备份、系统托盘与在线更新功能，搭配内置等保知识库，极大简化线下等保测评全流程，工具基于 MIT 协

川石课堂软件测试

安全测试|服务器安全加固方法在数字化时代，服务器主机安全是任何组织都必须高度重视的问题。无论是大型企业还是小型企业，无论是政府机构还是个人用户，都需要确保其服务器主机的安全，以防止数据泄露、网络攻击和系统瘫痪等严重后果。

Command Injection 命令注入漏洞：系统命令拼接缺陷与执行利用技术上一篇我们详细拆解了 Open HTTP Redirect 开放重定向漏洞的校验缺陷与各类绕过技巧，相信大家对"URL 参数未校验导致的信任滥用"攻击思路已经有了清晰的认识。今天我们继续 Web 漏洞系列，来聊一个危害等级直接拉满、入门 Web 安全必须掌握的经典注入类漏洞——Command Injection（命令注入）。

漏洞挖掘与赏金攻略从零到一的漏洞挖掘与赏金获取全流程指南：小白也能轻松入门的实战教程网络安全漏洞挖掘是一项兼具技术挑战和商业价值的技能，随着数字化进程的加速，越来越多的企业开始重视安全防护，漏洞赏金计划也成为网络安全爱好者获取收益的重要途径。本文将为您提供一份从零基础到能够独立挖掘漏洞并赚取赏金的完整指南，不仅包含系统化的学习路径，还提供具体靶场环境搭建方法、漏洞复现代码案例以及平台操作指南，帮助您快速入门并持续提升漏洞挖掘能力。

Open HTTP Redirect 开放重定向漏洞：URL 跳转校验缺陷与绕过技术上一篇我们详细拆解了 CSRF 跨站请求伪造漏洞的攻防全流程，相信大家对"借助用户身份伪造请求"的攻击思路已经有了清晰的认识。今天我们继续 Web 漏洞系列，来聊一个经常被低估、但在真实钓鱼和社工攻击中极其好用的漏洞——Open HTTP Redirect（开放重定向）。

中大型企业整体网络安全解决方案：从“边界防火墙”到安全运营闭环（PPT）中大型企业的网络安全，早已不是“出口部署防火墙、终端安装杀毒软件”就能解决的问题。云化、移动化、分支互联、数据集中、工业互联网和第三方协作不断扩大攻击面；真正有效的安全体系，必须把技术防护、管理制度与持续运营连接成闭环。

kali 2026.2 2026年第二个版本发布-新增 9 款工具并优化虚拟机启动性能Kali Linux 团队如期在 2026 年第二季度末正式发布 Kali Linux 2026.2，本次更新包含桌面环境升级、基础设施现代化改造、虚拟机性能优化，以及为渗透测试人员和安全研究人员新增的九款工具。

学术论文发表渠道科普，LNCS 系列会议的特点与检索情况分析在计算机科学（Computer Science）的科研道路上，选择合适的发表渠道往往比埋头苦干更考验研究者的战略眼光。对于许多刚踏入研究生阶段的同学，或是正在指导学生的青年教师来说，面对琳琅满目的期刊和会议系列，很容易陷入“唯 SCI 论”的误区，或者对某些老牌出版系列的现状缺乏清晰认知。今天我们要聊的，就是 Springer 旗下极具分量的 Lecture Notes in Computer Science（简称 LNCS）。

网络安全渗透测试常用工具详解在网络安全渗透测试领域，工具是技术人员开展工作的核心支撑。一套合适的工具组合，能够高效完成信息收集、漏洞探测、权限提升、渗透攻击等全流程工作，大幅提升测试效率与精准度。本文将针对渗透测试各阶段的常用工具进行详细介绍，涵盖工具的核心功能、应用场景及使用注意事项，助力渗透技术人员快速掌握各类工具的使用逻辑，规范开展渗透测试工作。

其实防守也摸鱼

运维--ip单日获取去重数据量超过500条“IP单日获取去重数据量超过500条”这个现象，在不同的业务场景下意味着完全不同的情况。我们可以从以下几个维度来拆解和排查：

山东政务信息化项目验收：软件合规测试筑牢交付关键防线在数字政府建设全面深化的当下，政务信息化项目建设愈发规范化、标准化、合规化。软件验收测试（SAT）作为项目上线前的最后一道核心关卡，不仅是系统正式投用的前置必备流程，更是政务项目结题归档、资金核销、审计核查的核心法定依据，是政务信息化项目合规落地、高质量交付的关键防线。

零基础玩转 bWAPP 靶场（五）：HTML 注入——存储型（博客）摘要：本文是 bWAPP 靶场系列的第五篇，聚焦于 HTML Injection - Stored (Blog)（存储型 HTML 注入——博客）漏洞。文章从零基础角度出发，详细讲解存储型 HTML 注入与反射型的本质区别、该漏洞的产生原因与巨大危害，然后按照 Low、Medium、High 三个安全级别逐一进行源码分析、通关演示和防御方案讲解。

春秋云境CVE-2023-51385（保姆级教学）摘要：本文详细复现了 Git 子模块 Shell 元字符注入漏洞（CVE-2023-XXXX）。该漏洞源于 OpenSSH 9.6 版本前，当 Git 处理包含 Shell 元字符（如 |、'、"、` 等）的子模块 URL 时，若 ssh_config 配置文件通过 %u/%h 参数引用这些未过滤的字符，将导致命令注入。文章通过流程图清晰展示了漏洞触发路径，并提供了从环境搭建（Gitee 仓库创建）、恶意配置构造（.gitmodules 注入）、攻击脚本编写（exp.sh）到最终触发漏洞获取 flag 的

小小小小钰儿

网络安全名词术语！答：Webshell是一种被黑客用来控制Web服务器的脚本或程序，它可以通过Web应用程序或其他漏洞来注入到受感染的Web服务器上，以便黑客能够以管理员权限执行任意命令。