其他

原文連結：http://www.dubby.cn/detail.html?id=9034 本文僅為技術分享，任何利用裡技術的行為都和本文無關。 這是Tomcat在2017.9.19日公布的一個漏洞： 根據郵件描述，我們下了windows版tomcat 7.0.79，安裝成功後，需要首先允許tomcat進行PUT操作，也就是修改/conf/web.xml： <servlet>

本文將向大家介紹如何使用百度地圖API提供的駕車導航服務進行開發。 一個簡單的樣本 駕車導航服務根據傳入的起點和終點資訊給出從起點到終點的駕車路線，我們先從一個最簡單的樣本看起： var map = new BMap.Map('container');map.centerAndZoom(new BMap.Point(116.404, 39.915), 11);var driving = new

為了瞭解博弈論中引入“混合策略”概念的動機，我們來看用“劃線法”對相當簡單的“猜謎博弈”求解的結果，其結果如圖8.3.1所示。    

http://blog.csdn.net/benyuxy/article/details/7568386 Jun 03, 2013 1:09:49 PM org.apache.jasper.compiler.TldLocationsCache tldScanJar INFO: At least one JAR was scanned for TLDs yet contained no TLDs. Enable debug logging for this logger for a

C:\>PsExec.exe \\192.168.1.142 cmdPsExec v1.98 - Execute processes remotelyCopyright (C) 2001-2010 Mark RussinovichSysinternals - www.sysinternals.comCouldn't access 192.168.1.142:登入失敗: 未知的使用者名稱或錯誤密碼。C:\>PsExec.exe \\192.168.1.142 cmd -u

漏洞描述 服務端未對傳入的跳轉url變數進行檢查和控制，可能導致可惡意構造任意一個惡意地址，誘導使用者跳轉到惡意網站。由於是從可信的網站跳轉出去的，使用者會比較信任，所以跳轉漏洞一般用於釣魚攻擊，通過轉到惡意網站欺騙使用者輸入使用者名稱和密碼盜取使用者資訊，或欺騙使用者進行金錢交易；還可以造成xss漏洞 漏洞檢測 修改參數中的合法URL為非法URL，然後查看是否能正常跳轉或者響應包是否包含了任意的構造URL 繞過URL跳轉限制 利用問好繞過限制

最近公司上頭髮了一封郵件，說是struts2又檢測出新漏洞了，雖然新項目已經對使用struts2的意願不太高了，但原先的項目還是要升級下的。 升級不只是對struts*-core.jar進行替換那麼簡單，因為jar包之間相互引用API是非常正常的，所以要“最小整體”替換，所謂“最小整體”，即與升級的範疇相關的jar包， 這些jar

http://blog.sina.com.cn/s/blog_68d342d90100nh7b.html 今天本來在看一個站，偶然發現存在XSS漏洞，就留意了下URL形式，然後Google一下，就不費什麼力氣的得到了大量存在XSS漏洞的網站頁面，正好今天閑來無事，我也得給我的部落格寫點東西，不然又要被搜尋引擎懲罰了… 這裡，簡單說一下如何尋找XSS漏洞，一般的，我在瀏覽網站時，發現URL中存在漢字或帶百分比符號的URL編碼時，我就會在其後邊加上：

C:\>query user

說起Google，可謂無人不知無人不曉。作為世界第一的搜尋引擎，其強大的搜尋功能，可以讓你在瞬間找到你想要的一切。不過對於普通的電腦使用者而言，Google是一個強大的搜尋引擎；而對於駭客而言，則可能是一款絕佳的駭客工具。正因為google的檢索能力強大，駭客可以構造特殊的關鍵字，使用Google搜尋互連網上的相關隱私資訊。通過Google，駭客甚至可以在幾秒種內黑掉一個網站。這種利用Google搜尋相關資訊並進行入侵的過程就叫做Google Hack。 搜尋也是一門藝術

開發工具是IBM RAD 7.5.4。 WAS版本6.1。 EJB版本2.0。 開發過程如圖： 建立完後，工程結構如下： 再建立SessionBean 下一步 完成。 如圖： 修改幾個檔案： package com.ejb;import static java.lang.System.out;/** * Bean implementation

SSRF概述 SSRF(Server-Side Request Forgery:伺服器端請求偽造) 是一種由攻擊者構造形成由服務端發起請求的一個安全性漏洞。一般情況下，SSRF攻擊的目標是從外網無法訪問的內部系統。（正是因為它是由服務端發起的，所以它能夠請求到與它相連而與外網隔離的內部系統） SSRF 形成的原因大都是由於服務端提供了從其他伺服器應用擷取資料的功能且沒有對目標地址做過濾與限制。比如從指定URL地址擷取網頁常值內容，載入指定地址的圖片，下載等等。 SSRF

Struts2高位漏洞升級到struts2.3.32 3月7日帶來了一個高危漏洞Struts2漏洞——CVE編號CVE-2017-5638。其原因是由於Apache Struts2的Jakarta Multipart parser外掛程式存在遠程代碼執行漏洞，攻擊者可以在使用該外掛程式上傳檔案時，修改HTTP要求標頭中的Content-Type值來觸發該漏洞，導致遠程執行代碼。 升級jar包

“#”主要有三種用途： 訪問OGNL上下文和Action上下文，#相當於ActionContext.getContext()；下表有幾個ActionContext中有用的屬性： 名稱 作用 例子 parameters 包含當前HTTP請求參數的Map #parameters.id[0]作用相當於request.getParameter("id") request 包含當前HttpServletRequest的屬性（attribute)的Map

今天爆出了一個tomcat7的任意檔案上傳漏洞，看了大牛們的分析後，我自己本地搭建環境複測。 漏洞影響的tomcat版本為tomcat7.0.0-7.0.81版本 我本地下載的是tomcat7.0.56版本測試 測試過程： 1.下載tomcat7.0.0-7.0.81版本，解壓後修改conf/web.xml檔案添加readonly參數，屬性值為false 如圖： 然後啟動tomcat 2.上傳webshell

檔案上傳漏洞可以說是日常滲透測試用得最多的一個漏洞，因為用它獲得伺服器許可權最快最直接。但是想真正把這個漏洞利用好卻不那麼容易，其中有很多技巧，也有很多需要掌握的知識。俗話說，知己知彼方能百戰不殆，因此想要研究怎麼防護漏洞，就要瞭解怎麼去利用。此篇文章主要分三部分：總結一些常見的上傳檔案校正方式，以及繞過校正的各種姿勢，最後對此漏洞提幾點防護建議。（根據個人經驗總結，歡迎補充錯誤修正~~） 檔案上傳校正姿勢 用戶端javascript校正（一般只校正尾碼名）服務端校正

一、IIS解析漏洞 1.當建立*.asa、*.asp格式的檔案夾時，其目錄下的任意檔案都將被IIS當作asp檔案來解析。 2.當檔案為*.asp;1.jpg時，IIS 6.0同樣會以ASP指令碼來執行。 微軟並不認為這是一個漏洞，也一直沒有推出IIS 6.0的補丁，所以這兩個“漏洞”至今還存在。 3.WebDav漏洞（對IIS寫入權限的利用） 第一步，通過OPTIONS探測伺服器所支援的HTTP方法 請求：OPTIONS / HTTP/1.1Host:

Sun VirtualBox預設的網路連接方式為NAT，但是和VMware的NAT模式不同的是Sun VirtualBox建立的虛擬機器不能被本機所訪問，受網上一篇文章的啟發，我找到了一種比較方便的辦法來實現本機對虛擬機器的訪問，具體步驟如下： 1、開啟Sun VirtualBox控制台； 2、點擊“設定”按鈕； 3、在設定介面選擇網路設定； 4、點擊“網路連接2”這個標籤，並勾選下面的“啟用網路接連”； 5、控制晶片選擇“PCnet-FastIII”； 6、串連方式選擇“Host-Only

bin：存放啟動與監控Tomcat的命令檔案，其中tomcat6.exe用於啟動Tomcat伺服器，tomcat6w.exe用於監控與設定Tomcat伺服器的啟動配置參數。 lib：在lib目錄中存放Tomcat伺服器和所有Web應用都能訪問的JAR包。 conf：存放Tomcat的各種設定檔，如server.xml。 logs：存放Tomcat的記錄檔。

在Parse.ly公司，我們驕傲於有一個分布式的Team Dev。我們的CTO，Andrew，還寫了一篇精彩的文章闡述為什麼完全的分布式團隊是可行的。我們三分之二的團隊分步在美國，加拿大，歐洲等地。但我們在紐約也有一個“總部”，這是我們的業務團隊平時工作的地方。 這一切起始於紐約遭受“桑迪”颶風襲擊。外部城鎮跟我們位於曼哈頓的辦公室聯絡中斷，地鐵全部停運。這意味著整整一周所有在紐約的員工都不得不在家工作。這篇文章不是要談這對Parse.lyTeam