密钥 身份认证 漏洞 身份
群晖 NAS 配置校园网认证方式
预先准备的材料 群晖对应型号的 container manager 安装文件 下载连接 群晖docker可供导入使用的 siomiz-chrome 容器文件 下载链接 VNC 客户端软件 下载链接 校园网有线连接的网口 一台有网口的电脑 container manager 需要你按照对应的型号在官网 ......
简介PAM的认证过程及各PAM文件的作用
MySQL用户运行MySQL服务时最大能打开的文件数，是由limits.conf文件和pam_limits.so模块共同决定的。pam_limits.so模块是一个PAM（插入式认证模块）的组件，它可以在用户登录时设置一些资源限制，例如打开文件数、内存使用量、进程数等。limits.conf文件是p ......
ElasticSearch 命令执行漏洞
漏洞编号：CVE-2014-3120 漏洞详情 CVE编号 CVE-2014-3120 漏洞级别 中危6.8 标题 Elasticsearch默认配置允许动态脚本执行漏洞 披露时间 2014/07/29 漏洞总结 Elasticsearch 1.2版本及之前的默认配置启用了动态脚本，攻击者可以通过_ ......
ElasticSearch Groovy 沙盒绕过 && 代码执行漏洞
漏洞编号：CVE-2015-1427 漏洞详情 CVE编号 CVE-2015-1427 漏洞级别 高危7.5 标题 Elasticsearch Groovy 脚本引擎存在远程代码执行漏洞 披露时间 2015/02/17 漏洞总结 Elasticsearch在版本1.3.8之前及版本1.4.x在1.4 ......
OAuth2.0认证授权
一、概念 OAuth2.0是一种允许第三方应用程序使用资源所有者的凭据获得对资源有限访问权限的一种授权协议OAuth2.0协议中第三方应用程序获取的凭证不等同于资源拥有者持有的用户名和密码 二、四种授权模式 授权码模式，最常用，功能完整，流程严密 简化模式，安全性低，访问令牌易被截取（客户端访问） ......
Apache-httpd最新版本升级教程，解决漏洞（CVE-2017-9788、CVE-2017-9798、CVE-2016-2161等）
参考文档： https://blog.csdn.net/weixin_47444415/article/details/133682253 根据官网提供最新的版本号，下载最新版本即可； 这个教程试验过了，可以用； 注： 一.错误 报错：configure: error: You need a C++ ......
Owasp Top10 漏洞解析 之注入
一、注入漏洞是什么？ 注入漏洞，即将不受信任的数据作为命令或查询的一部分发送到解析器时，会产生诸如SQL注入NoSQL注入、OS 注入和LDAP注入的注入缺陷。攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预期命今或访问数据。 几乎任何数据源都能成为注入载体，包括环境变量、所有类型的用户 ......
zookeeper添加用户密码认证
1、zookeeper已部署并启动 2、连接进ZK [root@localhost ~]# zkCli.sh 3、权限设置 # 查询默认权限 #可以看到默认是world:anyone 就相当于无权限访问 getAcl / #添加一个账号密码,账号密码可自定义 addauth digest zkadm ......
python 之 LDAP 用户统一认证登录
pip install ldap3 # 环境安装 from ldap3 import Server, Connection,SUBTREE ldap_host = 'xx.xx.x.x' #ldap服务器地址 ldap_port = 389 #默认389 ldap_admin_user = 'xx' ......
struts2相关漏洞
过去爆出的历史漏洞可以使用一些集成工具才探测，这里复现一些工具未集成的漏洞 struts2 代码执行 （CVE-2020-17530）（S2-061） 启动环境 使用另一个exp来执行 https://github.com/YanMu2020/s2-062 E:\python s2-062.py - ......
Thinkphp相关漏洞
Thinkphp版本主要有3、5、6，相关漏洞比较多，可以使用两款工具来探测。 工具未集成的漏洞存在thinkphp lang 命令执行 thinkphp lang 命令执行 环境启动 PAYLOAD GET /public/index.php?+config-create+/&lang=../.. ......
符号执行manticore工具演练之发现缓冲区溢出漏洞
符号执行之manticore工具演练 参考资料：SANS SEC 554 https://docs.soliditylang.org/en/v0.8.0/ ziion虚拟机：区块链智能合约中的kali(ziion涵盖演练中所以提及到的工具) 动静态之分 IDA是静态分析工具，常用于检测脆弱性；man ......
安全漏洞修复记录
1. 敏感信息泄露 1.1. 6443/10251/10252敏感信息泄露 上图中提示6443、10251、10252三个端口分别对应了K8S的kubelet API、kube-scheduler、kube-controller三个服务的通讯端口。访问URL显示这三个端口的指标、版本页面会显示敏感信 ......
Apache ActiveMQ Jolokia 后台远程代码执行漏洞（CVE-2022-41678）
Apache ActiveMQ Jolokia 后台远程代码执行漏洞（CVE-2022-41678） Apache ActiveMQ是美国阿帕奇（Apache）软件基金会所研发的一套开源的消息中间件，它支持java消息服务、集群、Spring Framework等。 Apache ActiveMQ在 ......
apache相关漏洞
CVE-2021-41773 目录穿越 Apache HTTP Server 2.4.49、2.4.50版本对路径规范化所做的更改中存在一个路径穿越漏洞，攻击者可利用该漏洞读取到Web目录外的其他文件，如系统配置文件、网站源码等，甚至在特定情况下，攻击者可构造恶意请求执行命令，控制服务器。 启动环境 ......
漏洞修复总结
https://www.cnblogs.com/mrwh/archive/2019/09/21/11552720.html 1.代码注入 1.1 命令注入 命令注入是指应用程序执行命令的字符串或字符串的一部分来源于不可信赖的数据源，程序没有对这些不可信赖的数据进行验证、过滤，导致程序执行恶意命令的一 ......
2022年RHCE认证考题解析最新版—RH294环境【转】
由于本人10.17已成功考过CSA，经过两周所学的ansible并结合题库整理出来的CE解析版我也是11月月底就要考了，不过这套解析也是可以满足今年的redhat8题库 文中可能涉及一些命令的参数解释，如有不懂的伙伴可参考我的笔记Ansible ps：一切模板似的题库考试，都需要经过大脑的理解 方可 ......
Java反序列化漏洞-CC1利用链分析
@目录一、前置知识1. 反射2. Commons Collections是什么3. 环境准备二、分析利用链1. Transformer2. InvokeTransformer执行命令3. ConstantTransformer4. ChainedTransformer执行命令5. Transform ......
发现隐藏的 Web 应用程序漏洞
随着 Web 2.0 的扩展，近年来社交媒体平台、电子商务网站和电子邮件客户端充斥着互联网空间，Web 应用程序已变得无处不在。 国际知名网络安全专家、东方联盟创始人郭盛华透露：‘应用程序消耗和存储更加敏感和全面的数据，它们成为对攻击者更具吸引力的目标。“ 常见攻击方式 该领域存在的三个最常见的漏洞 ......
Redis相关漏洞
默认端口：6379 Redis是一套开源的使用ANSI C编写、支持网络、可基于内存亦可持久化的日志型、键值存储数据库，并提供多种语言的API。Redis如果在没有开启认证的情况下，可以导致任意用户在可以访问目标服务器的情况下未授权访问Redis以及读取Redis的数据。 RCE-CVE-2022- ......
红帽认证RHCE9.0版本2023年12月的红帽9.0版本RHCSA题⽬+答案，本人已过，全国通用
红帽认证9版本2023年12月的红帽9.0版本RHCSA题⽬+答案，本人已过，全国通用 需要完整的RHCSA和RHCE的考试答案的题目以及RHCE9考试的模拟环境和考试笔记教材的请添加微信，需备注来自博客园，不然通不过 ......
第七章 数字签名和认证协议 —— 现代密码学（杨波）复习题
第七章 一、填空 1. 两个用户通信时在建立密钥的过程中需要考虑的核心问题是_____________和_____________ 2. 保证消息实时性常用___________和____________两种方法。 3. 单向认证中只关心保密性的认证方式是______________________ ......
【ceph】授权认证管理cephx
[ceph: root@node /]# ceph auth get client.admin exported keyring for client.admin [client . ad min] key = AQCi6Dhajw7pIRAA/ECkwyipx2/raLWj gbklyA== ca ......
有关Hutool工具实用技巧-身份证、手机、姓名等脱敏信息验证
今天给大家介绍关于Hutool工具实用技巧-身份证、手机、姓名等脱敏信息验证。非常实用，且也体现出Hutool工具这个Java类库的强大 场景：在开发系统过程中，经常会接触到大量的数据信息，这些数据信息可能包含身份证号、手机号、姓名、卡号等各种敏感信息。而有些用户需求是不允许，这些敏感信息数据为了保 ......
你写的防止任意文件上传漏洞的代码，不一定安全
说明：任意文件上传漏洞，很多PHP开发者也会做一些简单的防护，但是这个防护有被绕过的可能。 原生漏洞PHP示例代码： $file = $_FILES['file'] ?? []; //检测文件类型 $allow_mime = ['image/jpg', 'image/jpeg', 'image/pn ......
第六章 消息认证和哈希函数 —— 现代密码学（杨波）复习题
第六章 一、填空 1. 通信双方A和B通信，则可能发生哪两种形式的抵赖或欺骗？ 2. 数字签名能够抵抗不可否认性攻击的原因是________________________________ 3．基于公钥加密的数字签名方式中，加密的消息应该是________________________ 4. 直接 ......
第五章 密钥分配与密钥管理 —— 现代密码学（杨波）复习题
第五章 一、填空： 1. 消息认证中认证符的产生有哪两大类________________和_________________ 2. 消息认证码和杂凑函数的算法都是公开的，其根本区别是_________________ 3. MAC与加密算法的区别在于_____________________ 4. ......
记录ArcGIS Server Manager服务的网站配置文件泄露漏洞
描述 此漏洞在ArcGIS Server 10.2 for Windows上被发现，在启用了ArcGIS Server Manager服务时，通过GET请求 [主机+端口]/arcgis/manager/3370/js/../WEB-INT/web.xml 地址，任意用户可获取ArcGIS的mana ......