系统命令注入攻击也是一种古老的攻击手段，是指黑客可以在有漏洞的页面地址栏中直接执行操作系统命令。下面将来演示这种攻击的实现方式，以及如何配置WAF进行拦截，实验环境仍然使用NPMserv搭建。打开网站，在地址栏中的网址后面输入“?cmd=所要执行的命令”，如下图所示的http..
分类：
其他好文 时间：
2014-10-23 12:53:40
阅读次数：
279
在登录网站后台时，有一个比较古老的“万能密码”漏洞，即利用一个我们精心构造的用户名，即使不用输入密码，也可以登录后台，其原理仍属于SQL注入的范畴。假设数据库中存放用户信息的表是admin，其中存放用户名的字段是username，存放密码的字段是password，在用户验证页面中..
分类：
Web程序 时间：
2014-10-22 10:13:55
阅读次数：
320
Web应用安全网关简称WAF（WebApplicationFirewall），该设备致力于解决Web网站的安全问题，能够实时识别和防护多种针对Web的应用层攻击，例如SQL注入、XSS跨站脚本、非法目录遍历等。WAF设备一般部署于web服务器前端，外接防火墙，所有进入内部网络的流量必经过防火墙，而所有..
分类：
其他好文 时间：
2014-10-21 19:59:50
阅读次数：
366
一、方式暴库的方式有多种多样，我知道的就有3种以上，常见的暴的方法有：%5c类暴,conn.asp暴,ddos暴等等二、原理“%5c”暴库法，它不是网页本身的漏洞，而是利用了ＩＩＳ解码方式中的一个特性，如果ＩＩＳ安全设置不周全，而网页设计者未考虑ＩＩＳ错误，就会被人利用。为何要用”%5c”？它实际上...
分类：
Web程序 时间：
2014-10-01 14:03:01
阅读次数：
203
PHPCMSV9的专题，在设置生成静态并且网站的静态设置成生成在根目录的时候，专题路径的URL中会多出一个斜杠，如：http://www.2cto.com//special/ddos/ ，我只能说这是PHPCMS V9众多诡异的BUG中的一个。在PC论坛多个会员多次提起，但未见官方修复。今天花了大把...
分类：
Web程序 时间：
2014-09-28 14:12:12
阅读次数：
175
很多人对DDOS很感兴趣，但对深层的防御技术不怎么很会有效的进行设置，下面介绍一下防御的一些知识。什么是DDOS攻击？有什么办法防御？ DDOS是英文DistributedDenialofService的缩写，意即“分布式拒绝服务”，那么什么又是拒绝服务（DenialofService）呢？可以这....
分类：
其他好文 时间：
2014-09-28 13:20:32
阅读次数：
248
先大概说说简单的结构…前端一个Nginx反向代理，后端一个Nginx instance app for PHP…实际上就是个Discuz，之前面对CC攻击都是预警脚本或者走CDN，但是这次攻击者不再打流量，而是针对数据库请求页面进行攻击，如search操作…帖子ID F5等..从日志分析来看是从3个...
分类：
其他好文 时间：
2014-09-27 02:59:19
阅读次数：
333
近期又在准备参加网络安全比赛，将相关的内容整理一下，也请多提宝贵意见。在之前的博文中曾提到“死亡之ping“，如“pingIP地址–l65500–t”，通过该命令可以连续地向某一台主机发送最大数据包，这样就有可能导致对方的系统资源耗尽或是网络堵塞。由于目前的电脑硬件配置以及..
分类：
其他好文 时间：
2014-09-25 12:45:39
阅读次数：
338
原文地址：http://www.phpthinking.com/archives/427
登录到你的服务器以root用户执行下面的命令，使用它你可以检查你的服务器是在DDOS攻击与否：
netstat -anp |grep 'tcp\|udp' | awk '{print $5}' |
cut -d: -f1 | sort | uniq -c | sort –n
该命令将显示已登录的...
分类：
系统相关 时间：
2014-09-24 01:35:15
阅读次数：
407
网站可能被同行朋友来抓站，或者ddos攻击所以必须做出相应的策略
1. 使用 fail2ban
分类：
Web程序 时间：
2014-09-23 14:05:24
阅读次数：
206
