漏洞web sql
DVWA靶场实战(七)——SQL Injection
DVWA靶场实战（七） 七、SQL Injection： 1．漏洞原理： SQL Inject中文叫做SQL注入，是发生在web端的安全漏洞，主要是实现非法操作，例如欺骗服务器执行非法查询，他的危害在于黑客会有恶意获取，甚至篡改数据库信息，绕过登录验证，原理是针对程序员编写数据库程序的疏忽，通过执行 ......
云间玉兔,自出机抒,从零开始制作Web插件网页特效小兔子组件(小挂件widget),基于原生CSS/NPM
著意登楼瞻玉兔，何人张幕遮银阙？又到了一年一度的网页小挂件环节，以往我们都是集成别人开源的组件，但所谓熟读唐诗三百首，不会做诗也会吟，熟读了别人的东西，做几首打油诗也是可以的，但若不能自出机抒，却也成不了大事，所以本次我们从零开始制作属于自己的网页小挂件，博君一晒。 玉兔主题元素绘制 成本最低的绘制 ......
聊聊web漏洞挖掘第一期
之前写2022年度总结的时候，有提到要给大家分享漏洞挖掘技巧。这里简单分享一些思路，更多的内容需要大家举一反三。 文章准备昨晚写的，昨天晚上出去唱歌，回来太晚了，耽搁了。昨天是我工作的last day，心里还是有点难受的。我想了想，人生大抵如此。在短暂的生命中，认识不同的人，和他们相识到相知，再到离 ......
企业应用架构研究系列二十四：SQL Server 数据库调优之XEvent 探查器
如果入职一些中小型公司，往往需要接手一些很“坑”的项目，到底多坑就不牢骚了，只讲一下，如果破解这些历史遗留的项目问题。项目代码可能短时间无法进行通读研究，我们就需要从底层数据库进行挖掘问题，有经验的老开发工程师，他会开启Sql Server Profiler 这个功能，进行语句的跟踪。这个是一个很好 ......
【分布式技术专题】「LVS负载均衡」全面透析Web基础架构负载均衡LVS机制的原理分析指南
前提概要 在大规模互联网应用中，负载均衡设备是必不可少的组成部分，源于互联网应用的高并 发和大流量的冲击压力场景下，通常会在服务端部署多个无状态的应用服务器和若干有状态的存储服务器（数据库、缓存等等）实现高可用特点和机制。 LVS的介绍说明 官方站点：http://www.linuxvirtuals ......
在GCP上创建Cloud SQL的三种方式(Console,gcloud,Terraform)
1 简介 Cloud SQL 是GCP上的关系型数据库，常用的有三种方式来创建： (1) 界面操作 (2) 命令行 gcloud (3) Terraform 在开始之前，可以查看：《初始化一个GCP项目并用gcloud访问操作》。 2 GCP 操作界面 登陆GCP，选择SQL，可以创建MySQL、P ......
DVWA系列2：SQL Injection
DVWA系列2：SQL Injection 前言 SQL 注入是比较常见的攻击类型，之前一直听说过，也尝试看过一些教程，但其中的单引号，字符串拼接等感觉有点抽象，不知道为什么要这么做。这次就使用 DVWA 的环境来演练一下吧。 在这里我们的目标是获取所有的用户名和密码（虽然不是明文） 打开 SQL ......
WebGoat-8.2.2靶场之不安全的反序列化漏洞
前言 序列化是将变量或对象转换成字符串的过程 反序列化就是把一个对象变成可以传输的字符串，目的就是为了方便传输 而反序列化漏洞就是，假设，我们写了一个class，这个class里面存有一些变量。当这个class被实例化了之后，在使用过程中里面的一些变量值发生了改变，之所以会产生反序列化漏洞是因为应用 ......
使用SQL4Automation让CodeSYS连接数据库
摘要：本文旨在说明面向CodeSYS的数据库连接方案SQL4Automation的使用方法。 1.SQL4Automation简介 1.1.什么是SQL4Automation SQL4Automation是一套工业用途的软件解决方案，它主要的功能就是为PLC和机器人控制提供数据库连接，它支持很多类型 ......
用了这么多年的 SpringBoot 你知道什么是 SpringBoot 的 Web 类型推断吗？
用了这么多年的 SpringBoot 那么你知道什么是 SpringBoot 的 web 类型推断吗？ 估计很多小伙伴都不知道，毕竟平时开发做项目的时候做的都是普通的 web 项目并不需要什么特别的了解，不过抱着学习的心态，阿粉今天带大家看一下什么是 SpringBoot 的 web 类型推断。 S ......
sql根据团队树一级一级汇总统计
1、需求描述 最近碰到了一个需求，是要统计各个团队的员工的销售金额，然后一级一级向上汇总。 编辑 架构团队树是类似于这种样子的，需要先算出每个员工的销售金额，然后汇总成上一级的团队金额，然后各个团队的销售总金额再往上汇总成一个区域的销售金额，然后各个区域的金额再往上汇总成总公司的金额。当然我工 ......
基于SqlSugar的开发框架循序渐进介绍（23）-- Winform端管理系统中平滑增加对Web API对接的需求
在前面随笔介绍的基于SqlSugar的WInform端管理系统中，数据提供者是直接访问数据库的方式，不过窗体界面调用数据接口获取数据的时候，我们传递的是标准的接口，因此可扩展性比较好。我曾经在随笔《基于SqlSugar的开发框架循序渐进介绍（5）-- 在服务层使用接口注入方式实现IOC控制反转》中介... ......
【译】2022 年回顾：Web 性能有哪些新变化？
原文地址：https://www.debugbear.com/blog/2022-in-web-performance 若对文中提到的一些性能参数不太熟悉，可以参考我之前的一篇博文《性能参数和优化手段》。 衡量和优化网站速度的方式一直在变化。 今年又引入了新的 Web 标准（并最终得到广泛支持），开 ......
一文掌握MyBatis的动态SQL使用与原理
摘要：使用动态 SQL 并非一件易事，但借助可用于任何 SQL 映射语句中的强大的动态 SQL 语言，MyBatis 显著地提升了这一特性的易用性。 本文分享自华为云社区《MyBatis详解 - 动态SQL使用与原理》，作者：龙哥手记 。 动态 SQL 是 MyBatis 的强大特性之一。如果你使用 ......
一次SQL调优 聊一聊 SQLSERVER 数据页
一：背景 1.讲故事 最近给一位朋友做 SQL 慢语句 优化，花了些时间调优，遗憾的是 SQLSERVER 非源码公开，玩起来不是那么顺利，不过从这次经历中我觉得明年的一个重大任务就是好好研究一下它，争取在 SQLSERVER 性能优化上做一些成绩，哈哈！ 个人觉得要想深入研究 SQLSERVER， ......
Django之SQL注入漏洞复现(CVE-2021-35042)
前言 SQL注入的原理是对web请求，表单或域名等提交查询的字符串没有进行安全检测过滤，攻击者可以拼接执行恶意SQL命令，导致用户数据泄露 漏洞原理 Django 组件存在 SQL 注入漏洞，该漏洞是由于对 QuerySet.order_by()中用户提供数据的过滤不足，攻击者可利用该漏洞在未授权的 ......
CVE-2022-26923 Windows域提权漏洞
##前言 Active Directory 域服务，是一种目录服务，提供了存储目录数据信息以及用户相关的一些密码，电话号码等等一些数据信息，且可让用户和管理员使用这些数据，有利于域管理员对用户的数据信息进行管理。 AD CS (Active Directory Certipy Server)是允许你 ......
通过 CancellationToken 提高 Web 性能
在 Web 开发中，经常会遇到这样的场景：用户发起一个请求，Web 服务器执行一些计算密集型的操作，等待结果返回给用户。这种情况下，如果用户在等待结果的过程中取消了请求，那么服务器端依然会继续执行计算，这样就会造成资源浪费。 为了解决这个问题，我们可以使用 CancellationToken 来提高 ......
docker registry（私库）搭建，使用，WEB可视化管理部署
Docker Registry 是Docker官方一个镜像，可以用来储存和分发Docker镜像。目前比较流行的两个镜像私库是Docker Registry ，HarBor 其中HarBor最合适企业级应用，提供良好的WEB界面进行管理。 Docker Registry搭建 本文主要介绍Docker ......
SQL一文入门助记
什么是SQL SQL(Structured Query Language)是用于操作数据库的语言。一个博客有许多网站，一个游戏要储存许多游戏的账号密码，这些都离不开数据库操作。 关系型数据库与NoSQL 关系型数据库就是一个表格，每一个横行就是每一条数据，每一个纵列就是每条数据有哪些信息： |id| ......
Python开发Brup插件检测SSRF漏洞和URL跳转
作者：馒头，博客地址：https://www.cnblogs.com/mantou0/ 出身： 作为一名安全人员，工具的使用是必不可少的，有时候开发一些自己用的小工具在渗透时能事半功倍。在平常的渗透测试中和SRC漏洞挖掘中Brupsuite使用的比较多的于是我有了一个小想法。 思路： 1、在服务器上 ......
Django框架：1、手撸web框架、Django框架简介、安装与使用和小白必会三板斧
Django框架 一、Django推导流程 1、纯手撸web框架 web框架本质 web框架的本质就是socket服务端，用来连接前端（socket客户端）与数据库的中间介质 手写web框架 1.编写socket服务端代码 2.浏览器对服务端进行访问，访问响应无效>>>:HTTP协议 3.根据网 ......
秒级查询之开源分布式SQL查询引擎Presto实操-上
大数据交互式查询是每个数据分析人员不可或缺的需求，本篇以业界交互式查询的经典之作Presto为研究对象，了解其架构和优缺点及丰富连接器。并通过安装一个协调节点和3个worker节点的分布式集群，使用命令行界面演示hive连接器的查询数据表的示例，最后了解其使用的要点。 ......
.Net执行SQL/存储过程之易用轻量工具
支持.Net/.Net Core/.Net Framework，可以部署在Docker, Windows, Linux, Mac。 由于该工具近来被广东省数个公司2B项目采用，且表现稳定，得到良好验证，故在此推荐出来。 此工具在IDataAccess接口中提供。 IDataAccess所在的命名空间 ......
快速学会慢查询SQL排查
转载请注明出处❤️ 作者：测试蔡坨坨 原文链接：caituotuo.top/c56bd0c5.html 你好，我是测试蔡坨坨。 在往期文章中，我们聊过数据库基础知识，可参考「数据库基础，看完这篇就够了！」。 学完数据库基础知识，要想更深入地了解数据库，就需要学习数据库进阶知识，今天我们就先来聊一聊慢 ......
Mybatis源码解析之执行SQL语句
作者：郑志杰 mybatis 操作数据库的过程 // 第一步：读取mybatis-config.xml配置文件 InputStream inputStream = Resources.getResourceAsStream("mybatis-config.xml"); // 第二步：构建SqlSes ......
预编译SQL为什么能够防止SQL注入
前言 之前我一个搞网络安全的朋友问了我一个的问题，为啥用 PreparedStatement 预编译的 SQL 就不会有被 SQL 注入的风险？ 第一时间我联想到的是八股文中关于 Mybatis 的脚本 ${} 和 #{} 的问题，不过再想想，为啥 ${} 会有 SQL 注入的风险，而 #{} 就没 ......
对Java Web中WEB-INF目录的理解以及访问方法
事情发生 在上个暑假第一次写Java web大项目的时候，对于目录管理及分配没有任何经验，就想着清晰明了。 后端servlet是用maven进行构建的，所以在目录上没有碰到什么大问题。 用idea进行Java Web项目构建的时候，会自动生成这样一个前端目录 当时对拦截器以及安全目录什么的完全没有概 ......
Java Web中requset，session，application 的作用域及区别
三者概述 requset概述： request是表示一个请求，只要发出一个请求就会创建一个request 用处：常用于服务器间同一请求不同页面之间的参数传递，常应用于表单的控件值传递。 session概述： 服务器会为每个会话创建一个session对象，所以session中的数据可供当前会话中所有s ......