自我介绍 ## 讲一下你怎么审计项目 我从开发那里拿到 Java 源码后，然后采用 ’ 工具辅助 + 人工精查 ’ 的分层审计策略。首先通过静态扫描工具发现常见漏洞（如 SQL 注入、反序列化），然后重点审计核心业务流程（如支付、认证），同时关注依赖组件的安全性。对于发现的每个漏洞，我会进行复现、评估风险等级，并提供具体的修复建议。例如在某项目中，我们通过追踪数据流发现了一处 XXE 漏洞，最终通过配置 XML 解析器的安全特性解决了问题。此外，我认为审计不应局限于发现问题，还应推动团队建立持续安全的机制，如安全测试自动化和开发规范培训。 面试官：那你能结合项目，讲你审计过的漏洞 在我之前的项目中审计出过反序列化 RCE 漏洞。当时是通过工具扫描结合人工分析，在用户个人资料模块发现ObjectInputStream，我查看利用条件依赖 Commons Collections 3.1,当时依赖的配置版本低于这个版本。修复方案： 替换为 JSON 序列化 添加ObjectInputFilter白名单 升级依赖至安全版本 Sql注入你是怎么审计的 我会用 ...
流量分析 CS流量特征 对比正常的http流量，CS的http通信流量具有以下几个特征： 一. 心跳包特征 间隔一定时间，均有通信，且流级上的上下行数据长度固定； 二. 域名/IP特征 未走CDN、域前置的，域名及IP暴露 走CDN、域前置的，真实IP会被隐藏； 三. 指令特征 下发指令时，通过心跳包接收指令，这时，server端返回的包更长，甚至包含要加载的dll模块数据。 指令执行完后，client端通过POST请求发送执行的结果数据，body部分通过加密和base64编码。 不同指令，执行的时间间隔不一样，可以通过POST请求和GET请求的间隔进行判断。 四. 数据特征 在请求的返回包中，通信数据均隐藏在jqeury*.js中。 菜刀： 菜刀（Chopper）是中国黑客圈内使用非常广泛的一款Webshell管理工具。中国菜刀用途十分广泛，支持多种语言，小巧实用。 伪造 X-Forwarded-For头，每次利用X-Forwarded-For头都会不同 执行了 base64_decode 函数对 z0 进行 base ...
nginx配置https的ssl证书和域名 前提条件 已经通过SSL证书服务完成证书签发。更多信息，请参见提交证书申请。 已准备好远程登录工具（例如Finalshell、Xshell），用于登录您的Web服务器。 在 Nginx 上部署 HTTPS 证书涉及几个步骤，包括生成密钥和证书签名请求（CSR）、获取 SSL/TLS 证书（可以是自签名证书或从证书颁发机构（CA）获取的证书），然后在 Nginx 配置文件中配置这些证书。以下是一个详细的指南： 步骤1：下载证书到本地 登录SSL证书控制台 (opens new window)。 在左侧导航栏，单击SSL证书。 定位到要下载的证书，单击操作列下的下载。 在证书下载面板，定位到Nginx服务器，单击操作列下的下载。 该操作会将Nginx服务器证书压缩包下载到本地，并保存在浏览器的默认下载位置。 打开浏览器的默认下载位置，解压已下载的Nginx证书压缩包文件。 解压后您将会获得以下文件： 步骤2：在Nginx服务器上安装证书 在Nginx独立服务器、Nginx虚拟主机上安装证书的具体 ...
1. 什么是渗透测试，它与安全评估的主要区别是什么？ 渗透测试是一种模拟真实攻击的过程，旨在发现并利用系统中的安全漏洞。它侧重于深入探索系统的脆弱性，并尝试获取未授权访问。相比之下，安全评估更广泛地评估系统的安全性，可能包括合规性检查、策略审查等多个方面，而不一定涉及实际的漏洞利用。 2. 请描述渗透测试的一般流程。 渗透测试的一般流程包括信息收集、目标识别、漏洞扫描、漏洞利用、权限提升、数据提取、后利用和报告编写等步骤。每个步骤都有特定的目标和工具支持。 3. 如何评估一个Web应用程序的安全性？ 评估Web应用程序的安全性通常涉及多个方面，包括输入验证、会话管理、授权和认证、错误处理、敏感数据保护等。可以通过代码审查、渗透测试、安全扫描等方式来发现潜在的安全漏洞。 4. 解释一下SQL注入攻击的原理，并给出预防措施。 SQL注入攻击的原理是通过在Web表单输入或URL参数中插入恶意SQL代码，从而绕过应用程序的安全措施，直接对数据库执行未授权的查询或操作。预防措施包括使用参数化查询、存储过程、ORM框架以及严格的输入验证等。 5. XSS攻击有哪些类型？如 ...
落魄谷中寒风吹，春秋蝉鸣少年归。 荡魂山处石人泪，定仙游走魔向北。 逆流河上万仙退，爱情不敌坚持泪。 宿命天成命中败。仙尊悔而我不悔。 早岁已知世事艰，仍许飞鸿荡云间。 一路寒风身如絮，命海沉浮客独行。 千磨万击心铸铁，殚精竭虑铸一剑。 今朝剑指叠云处，练蛊练人还练天。 独帜入渊深未知，身似浮萍命难持。 千州皆朝归海处，一苇青拨戏浪巅。 惊鸿四散鱼逃尽，唯有残帆傲此间。 待到天开云雾散，负手直望笑苍天！ 我清楚的知道，人与人的路都是不可复制的，我走在我自己的人生路上，哪怕路途的风雨太大，大到我步履维艰，哪怕荆棘丛生，刺得我伤痕遍布，我也仍旧痴痴笑笑，我体会此中滋味，呵呵呵，我相信独有的小船终有一天会看到两岸群山青翠虫鸟同鸣……
基本结构标签: <HTML>,表示该文件为HTML文件 <HEAD>,包含文件的标题,使用的脚本,样式定义等 <TITLE>---</TITLE>,包含文件的标题,标题出现在浏览器标题栏中 </HEAD>,<HEAD>的结束标志 <BODY>,放置浏览器中显示信息的所有标志和属性,其中内容在浏览器中显示. </BODY>,<BODY>的结束标志 </HTML>,<HTML>的结束标志 其它主要标签,以下所有标志用在<BODY></BODY>中: <A,HREF=“…”></A>,链接标志,“…“为链接的文件地址 <IMG,SRC=“…”>,显示图片标志,“…“为图片的地址 <BR>,换行标志 <P>,分段标志 <B></B>,采用黑体字 <I></I>,采用斜体字 <HR> ...
1 函数 概念：定义域、值域、映射（函数是R下的映射）、邻域、去心邻域、分段函数、隐函数、反函数。 函数的基本特性：有界性、单调性、周期性、奇偶性、 基本初等函数：幂函数、指数函数、对数函数、三角函数、反三角函数。 取整函数 $ y = [x], \text{不超过最大整数 }x$ 狄利克雷函数 \[ D(x) = \begin{cases} 1&x\text{ 一个有理数}\\0&x\text{ 一个无理数} \end{cases} \] 有界性 \(f(x)\)在\([a,b]\)上连续,\(f(x)\)在\([a,b]\)上有界。 \(f(x)\)在\((a,b)\)上连续，\(f(x)\)且\(\displaystyle \lim_{x \to a^+} f(x)\)和\(\displaystyle \lim_{x \to a^-} f(x)\)都存在，则\(f(x)\)在\([a,b]\)上有上界。 有界函数和有界函数的和、积均为有界函数。 奇偶性质 奇函数与奇函数复合为奇函数 奇函数与偶函数复合为偶函数 ...
