漏洞 证书cnvd
免费SSL证书好不好 与收费SSL证书有什么不同
现如今，网站部署SSL证书已经成为了必备的工作，无论是为了安全也好、SEO也罢，而且有些功能必须部署在HTTPS上，使用传统的HTTP访问是不支持的。 那么目前提供SSL证书的平台琳琅满目，有免费的和收费的区别，有人鼓吹免费的就可以了，有的人吓唬免费的不安全。此时很多新手对于如何选择都充满了疑惑。 ......
Apache Shiro 反序列化漏洞（CVE-2016-4437）
参考链接：https://www.freebuf.com/articles/web/372862.html 漏洞简介 漏洞复现 开启vulhub靶场环境，确保shiro正常运行 cd vulhub-master/shiro/CVE-2016-4437 docker-compose up -d doc ......
专题1：URL编码、归一化、校验、常见漏洞
说明 1. URL编码&解码 1 import java.io.UnsupportedEncodingException; 2 import java.net.URLDecoder; 3 import java.net.URLEncoder; 4 5 public class URLEncode { ......
SqlSugar.SqlSugarException: 连接数据库过程中发生错误,证书链是由不受信任的颁发机构颁发的
本地代码调试时报错 解决办法： 直接在“数据库连接字符串最后面”增加证书信任的配置。;TrustServerCertificate=true ......
【Azure APIM】APIM self-host 部署在K8S中，如何更换证书呢？
问题描述 APIM self-host（自建网关）部署在K8S中，如何在本地上传及更换证书呢？ 问题解答 如果使用Self-host网关，则不支持使用上传到 APIM的 CA 根证书验证服务器和客户端证书。 若要建立信任，请配置特定的客户端证书，使其被网关作为一个自定义的证书颁发机构所信任，使用网关 ......
php:获取https证书的信息(PHP 8.1.1)
一，代码: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 ......
Next.js 开发环境设置 SSL 证书
在 Next.js 中设置证书时，你可以按照以下步骤进行操作： 1. 生成自签名证书：在开发环境中，你可以使用自签名证书来启用 HTTPS。可以使用工具如 OpenSSL 来生成自签名证书。以下是一个示例命令： ``` openssl req -nodes -new -x509 -keyout se ......
WEB漏洞—逻辑越权之验证码|token|接口
验证安全原理 1.验证码安全 分类：图片，手机或邮箱，语音，视频，操作等 原理：验证生成或验证过程中的逻辑问题 危害：账户权限泄漏，短信轰炸，遍历，任意用户操作等 漏洞：客户端回显(已讲)，验证码复用，验证码爆破(已讲)，绕过等 验证码爆破：没有次数限制，验证码有效时间内不变 验证码识别：用工具识别 ......
文件包含漏洞
以PHP为例,常用的文件包含函数有以下四种include(),require(),include_once(),require_once() php伪协议： file:// 访问本地文件系统 php:// 访问输入输出流data:// 数据流的读取zip:// 压缩流 ......
SSL 证书过期巡检脚本
哈喽大家好，我是咸鱼 我们知道 SSL 证书是会过期的，一旦过期之后需要重新申请。如果没有及时更换证书的话，就有可能导致网站出问题，给公司业务带来一定的影响 所以说我们要每隔一定时间去检查网站上的 SSL 证书是否过期 如果公司业务体量较大的话，肯定不止一个域名，而一个域名后面又会对应着多台机器，如 ......
在 Windows 系统上，使用 Certbot 生成 Let's Encrypt 的泛域名证书
https://www.cnblogs.com/liucai/p/17460451.html https://zhuanlan.zhihu.com/p/627526278 在 Windows 系统上，你可以使用 Certbot 生成 Let's Encrypt 的泛域名证书。以下是具体步骤 软件准备 ......
Nessus 10.5.3 漏洞扫描器的下载安装与卸载
# 测试环境 **** **Kali 2023.2** ==**本教程使用脚本进行自动化安装、破解**== **文章地址：https://www.iculture.cc/software/pig=25546#wznav_7** ==**偶然发现，特别好用**== **先给一份已改好的** **[Ne ......
WEB漏洞—逻辑越权之找回机制及接口安全
#找回重置机制客户端回显，Response 状态值，验证码爆破，找回流程绕过等 #接口调用乱用短信轰炸，来电轰炸等 1. 找回重置机制 同过验证码确定你是不是找回账号的主人，可能出现逻辑问题 客户端回显（验证码在客户端或者浏览器里面可以看到） Response 状态值（有回复的状态值如0/1，我们可 ......
WEB漏洞—逻辑越权之登录脆弱及逻辑篡改
由于这里涉及的所有靶场都无法安装或调试失败。。所以没法做分析，记录了一些课堂上的笔记，大部分是关于修改商品信息之类的，思路理解，但实战基本不行 #登录应用功能点安全问题检测功能点，检测，危害，修复方案等 1.登录点暴力破解2.HTTP/HTTPS 传输3.Cookie 脆弱点验证4.Session ......
通配符SSL证书自动续签自动部署方案
最开始接触 https 的时候一直是使用的 阿里云和腾讯云的免费 SSL证书，免费的SSL证书用了几年后，慢慢的部署https证书的项目越来越多，时间久了发现每个网站都需要一个 SSL证书，每个SSL证书都需要单独申请真的很麻烦，然后每年还得把所有的证书全部重新去所有的服务器上挨个替换一次，项目多了 ......
rce漏洞学习
rce漏洞：利用代码或者命令去执行 常见的一句话木马： 1、普通一句话： 1 2 3 <?php @eval($_POST[123456]); ?> *post后面中括号里面的内容是使用菜刀或蚁剑连接时的密码 2、防爆破一句话： 1 2 3 4 <?php substr(md5($_REQUEST[ ......
（转载）修复 K8s SSL/TLS 漏洞（CVE-2016-2183）指南
（转载）修复 K8s SSL/TLS 漏洞（CVE-2016-2183）指南 前言 测试服务器配置 主机名IPCPU内存系统盘数据盘用途 zdeops-master 192.168.9.9 2 4 40 200 Ansible 运维控制节点 ks-k8s-master-0 192.168.9.91 ......
帆软channel反序列化漏洞
## 一级 - 测试 ## 一级级 - 测试 - 测试 ### 二级 - 测试 - 测试 #### 三级 - 测试 ## 二级 - 测试 ......
Smartbi 身份认证绕过漏洞
因为自己搭建的环境存在一些问题，可能是版本过高的原因，(奇奇怪怪的问题，用户没有权限)，所以目前仅仅做概念性验证，对漏洞的原理进行分析。 ......
WEB漏洞—逻辑越权之水平垂直越权
逻辑越权简介 1.水平越权 通过更换的某个 ID 之类的身份标识，从而使 A 账号获取（修改、删除等）B/C/D账号数据（权限相同）。 2.垂直越权 使用低权限身份的账号，发送高权限账号才能有的请求，获得其高权限的操作。 3.未授权访问 通过删除请求中的认证信息后重放该请求，依旧可以访问或者完成操作 ......
kali用beef实现xss漏洞攻击测试
一、Kali开启网络监听： service apache2 start 二、启动 Kali beef-xss 模块： beef-xss 如果需要查看密码路径root权限，可以用以下指令： vi /etc/beef-xss/config.yaml 其它指令，如下： apt-get remove bee ......
【漏洞修复通知】修复 Apache Shiro 认证绕过漏洞，漏洞编号：CVE-2023-34478，漏洞危害等级：高危
> 2023 年 7 月 24 日，Apache Shiro 发布更新版本，修复了一个身份验证绕过漏洞，漏洞编号：CVE-2023-34478，漏洞危害等级：高危。 Apache Shiro 版本 1.12.0 之前和 2.0.0-alpha-3 之前容易受到路径遍历攻击，当与基于非规范化请求路由请 ......
用 BurpSuite 测试“逻辑漏洞”
1、对客户端控件过度的信任； 2、高级逻辑漏洞； 3、低级逻辑缺陷； 4、对异常输入的处理不一致； 5、不一致的安全控制； 6、工作流程验证不足； 7、通过有缺陷的状态机绕过身份验证； 8、业务规则执行存在缺陷； 9、无限期货币逻辑缺陷； 10、通过加密预言机绕过身份验证； 11、身份验证漏洞，两用 ......
jmeter 使用https协议(jmeter不添加ssl证书的解决方案)
使用https协议时，jmeter不添加ssl证书的解决方法：使用https协议，访问时将域名替换成真实的IP地址及端口号，如下图： ......
WEB漏洞—文件操作之文件下载读取
文件下载，读取 原理，检测，利用，修复等 #利用 数据库配置文件下载或读取后续 接口密匙信息文件下载或读取后续 #文件名，参数值，目录符号 read.xxx?filename= down.xxx?filename= readfile.xxx?file= downfile.xxx?file= ../ ......
自动更新ssl证书
@echo off setlocal set "nginx_home=C:\phpEnv\server\nginx" set "nginx_ssl_path=C:\phpEnv\server\nginx\certs\" (openssl x509 -in %nginx_ssl_path%\rxn.c ......
【Azure Key Vault】Key Vault能不能生成DigiCert证书？能不能自动 Rotate 证书呢？
问题描述 因为Azure Key Vault服务上保管的证书可以轻松的与其他Azure服务集成使用，所以需要知道 Key Vault 能不能生成 DigiCert 证书？能不能自动 Rotate 证书呢？ 问题解答 Azure Key Vault本身只是一个保管库，它不会颁发证书。但是可以在页面上直 ......
从密码重置打到Getshell和其它漏洞打包
前几天是准备上点edusrc的分的，所以就准备用手上还没刷的Nday继续上分，然后就有了今天这个案例：之前在挖某体育学院证书的时候就挖到过一个通过修改html文件更改密码修改步骤的漏洞，所以就准备测绘一下这个资产，继续看看能不能上分。 ......
忽略证书的HTTPS请求实现
```java public static void httpsTest(String httpUrl){ //忽略证书的https请求 try { SSLContext sslContext = new SSLContextBuilder().loadTrustMaterial(null, new ......
FASTCGI组件漏洞
CGI introduction common gatewa interface/CGI describes a stardand for transferring data between server and client programs,allowing a client to reques ......