由于安全漏洞的扫描，运维人员将服务器的一些安全做了修复，但是会导致访问https的时候报错，具体如下：System.InvalidOperationException:此实现不是Windows平台FIPS验证的加密算法的一部分。在System.Security.Cryptography.MD5CryptoServiceProvider..ctor()解决方案：1、按WIN+R（或点击开始-运行），并输入regedit打开注册表。2、依次展开“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FipsAlgorithmPolicy”。
漏洞分类漏洞名称风险级别漏洞描述加固建议输入与输出验证SQL注入漏洞高危当Web应用程序未对用户输入的数据进行足够的安全处理（如危险字符过滤或者语句过滤），而直接拼接SQL语句执行时，攻击者可以精心构造参数值，使服务器执行非预期的SQL语句并返回结果，造成数据库信息泄露。利用SQL注入漏洞，攻击者可获取数据库的增、删、改、查权限，甚至执行系统命令，上传后门文件等。针对SQL注入漏洞，需要对网站所有参数中提交的数据进行过滤，禁止输入"'"、"xor"、"or"、"--"、"#"、"select"、"and"等特殊字符；所有的查询语句都使用数据库提供的参数化查询接口，SQL语句使用参数化处理后的数
log4jJNDI注入漏洞目录log4jJNDI注入漏洞一、LDAP介绍二、JDBC介绍三、JNDI介绍四、JNDI命名引用五、log4jJNDI注入漏洞一、LDAP介绍 LDAP是一种协议，LDAP的全称是LightweightDirectoryAccessProtocol，轻量目录访问协议。二、JDBC介绍 JDBC是一种规范，JDBC的全称是Java数据库连接(JavaDatabaseconnect)，它是一套用于执行SQL语句的JavaAPI。三、JNDI介绍 JNDI是一种规范，JNDI的全称是JavaNamingandDirectoryInterface，Java命名与
文章目录知识补充CSRFSSRFxss与csrf结合创建管理员账号知识补充NAT：网络地址转换，可以将IP数据报文头中的IP地址转换为另一个IP地址，并通过转换端口号达到地址重用的目的。即通过将一个外部IP地址和端口映射更大的内部IP地址集来转换IP地址。端口映射：在数据传输结束后，会将端口释放掉，若进行了端口映射，那么公网数据包只要是该映射端口，就会固定发送到对应的私有ip功能：NAT不仅能解决了lP地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。把内网的私有地址，转化成外网的公有地址。使得内部网络上的（被设置为私有IP地址的）主机可以访问Internet
一、ApacheHTTPD换行解析漏洞漏洞编号：CVE-2017-15715ApacheHTTPD是一款HTTP服务器，它可以通过mod_php来运行PHP网页。其2.4.0~2.4.29版本中存在一个解析漏洞。在解析PHP时，1.php\x0A将被按照PHP后缀进行解析，导致绕过一些服务器的安全策略。①环境启用cdvulhub/httpd/CVE-2017-15715②编译和运行docker-composebuilddocker-composeup-d③访问漏洞环境http://192.168.200.3:8080/编写一句话木马上传文件123.php，上传都是失败的④解决方法在123.ph
文章目录前言CVE-2020-13945默认api令牌CVE-2021-45232未授权接口2.1默认账户密码导致RCE2.2未授权访问api接口RCECVE-2022-24112地址限制绕过CVE-2022-29266JWT令牌伪造4.1漏洞源码简析与修复4.2漏洞环境搭建与复现总结前言ApacheAPISIX是一个动态、实时、高性能的API网关，提供负载均衡、动态上游、灰度发布、服务熔断、身份认证、可观测性等丰富的流量管理功能。开源项目地址：https://github.com/apache/apisix；官方文档地址：https://apisix.apache.org/zh/docs/a
1.美国国家安全局承认在无授权情况下秘密购买互联网浏览数据美国参议员罗恩·怀登上周表示，美国国家安全局（NSA）已承认从数据经纪商处购买互联网浏览记录，以识别美国人所使用的网站和应用程序，这些行为通常需要法院授权。怀登在致国家情报总监（DNI）艾薇儿·海恩斯的一封信中说：“美国政府不应资助和使一个公然侵犯美国人隐私的不光彩行业合法化，这种行为不仅不道德，而且是非法的。”他敦促政府采取措施，“确保美国情报机构只能以合法方式获得关于美国人的数据”。有关用户浏览习惯的元数据可能带来严重的隐私风险，因为这些信息可能会被用来根据用户经常访问的网站来收集个人详细信息。这可能包括提供与精神健康相关资源的网站
1、漏洞去掉在请求响应头中存在的信息Server:nginxX-Content-Type-Options:nosniffX-Frame-Options:SAMEORIGINX-XSS-Protection:1;mode=block修复方法在Nginx的配置文件中的server标签内增加一下配置server_tokensoff;add_headerX-Frame-OptionsSAMEORIGIN;add_headerX-XSS-Protection‘1;mode=block’;add_headerX-Content-Type-Optionsnosniff;检测到目标主机可能存在缓慢的HTTP拒
漏洞成因文件上传漏洞正是在文件上传功能中，由于对用户上传的文件数据未做有效检测或过滤不严，导致上传的恶意文件被服务端解释器解析执行，利用漏洞可获取系统控制权。很多网站都有一些文件上传功能，常见的是图片、视频、压缩文档上传，如果网站是PHP写的，那么上传PHP到服务器就有可能被解析，若服务器支持其他语言的解析执行，比如ASP、JSP、ASPX等文件也可达到同等攻击效果，达到恶意代码执行。以DVWA靶场的文件上传漏洞为例：图1DVWAFileUpload对应的漏洞代码如下，通过POST请求将文件上传到“网站根目录/hackable/uploads/”目录：if( isset( $_POST[ 'U
1、漏洞简介MinIO是一款基于Go语言发开的高性能、分布式的对象存储系统。客户端支持Java,Net,Python,Javacript,Golang语言。由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞。攻击者可以通过构造URL来发起服务器端请求伪造攻击成功利用此漏洞的攻击者能够通过利用服务器上的功能来读取、更新内部资源或执行任意命令。2、影响版本MinIO3、漏洞分析MinIO组件中LoginSTS接口其实是AWSSTS登录接口的一个代理，用于将发送到JsonRPC的请求转变成STS的方式转发给本地的9000端口。由于逻辑设计不当，MinIO会将用户发送的HT
