宝塔服务器管理是现在非常流行的一款免费的Linux管理应用，作为不想做过多运维操作的可以使用这个可视化操作
nginx配置防止域名恶意解析 为什么要禁止ip访问页面呢? 这样做是为了避免其他人把未备案的域名解析到自己的服务器IP，而导致服务器被断网，我们可以通过禁止使用ip访问的方法，防止此类事情的
我们要知道一个网站有多少访问量除了其它因素之外，跟一个好的域名也是有很大的关系的。特别是对喜欢通过域名直接打开网站的用户来说就显得更为重要。但是关于域名被人恶意解析的事件也是时常发生，域名被恶意解析轻
一、Nginx 空主机头禁止 如果 Nginx 配置了空主机头，那么任意域名解析指向到服务器IP，都可以访问站点，为了防止域名解析恶意指向主机，可以将 Nginx 默认的空主机头禁止，方法是通过修改 Nginx 的主配置文件 nginx.conf ，使其主机头返回错误信息 500
我的一个地方站（www.cxzaixian.com）曾经遇到过被无故断网的事情，阿里云给的原因是绑定了未备案的域名。
有的人设置了禁止IP访问网站，但是别人用https://ip的形式，会跳到你服务器所绑定的一个域名网站上
有的人设置了禁止 IP 访问网站，但是别人用 https://ip 的形式，会跳到你服务器所绑定的一个域名网站上
从攻击者的视角来进行资产的梳理，采用全端口扫描+子域名收集的方式，识别所有的企业资产暴露面。但即使是这样，往往会因为配置错误或是未及时回收等原因，依然存在着一些隐形资产。
NGINX 在默认情况下，直接输入IP，会访问服务器中已存在的站点。如果只解析域名，未绑定，也会出现此情况。为防止域名恶意解析，防止同服务器多站点时使用IP访问莫名跳转，或禁止IP直接访问。
前言 2021年4月，Kubernetes社区披露了一个编号为CVE-2020-8562的安全漏洞，授权用户可以通过此漏洞访问 Kubernetes 控制组件上的私有网络。 通过查阅此漏洞披露报告可发现，这个漏洞拥有较低的CVSS v3评分，其分值仅有2.2分，与以往披露的Kubernetes高危漏洞相比，这个拥有较低评分的漏洞极其容易被安全研究人员以及运维人员所忽视。但经过研发测试发现，在实际情况中，这个低风险的漏洞却拥有着不同于其风险等级的威胁：在与云上业务结合后，CVE-2020-8562漏洞将会为
本文首发于先知社区,地址 https://xz.aliyun.com/t/9177
前端开发涉及常见的Web安全漏洞有：浏览器Web安全，跨站脚本攻击（XSS），跨站请求伪装（CSRF），点击劫持，HTTP劫持，DNS劫持，文件上传漏洞等，以跨站脚本攻击漏洞最为常见，作为前端开发需要了解一些基本的Web安全漏洞和相关的防御措施。
镜像网站是将一个完全相同的站点放到几个服务器，分别有自己的URL，在这些服务器上互为镜像网站。
Nginx 是用于 Web 服务、反向代理、缓存、负载平衡、媒体流等的开源软件。在这将提到一些经常使用的 Nginx 经典配置以及安全性的一些配置。请根据您的实际需求对这些配置进行调整。
基础词汇解释： DnsA记录传输： 利用dns解析过程，在请求解析的域名中包含需外传的数据，如xxxxxx.hack.com。则最终hack.com的dns服务器会收到xxxxx这个数据回传。 dns的txt类型回包： 一般指为某个主机名或域名设置的说明，可被黑客利用回传数据。终端请求某恶意域名的dns解析，dns返回txt记录，包含黑客需要的回传内容，如模块更新数据、指令等 概述： 随着越来越多的公司安全意识提高，大量公司已封锁socket通信，仅允许员工通过http/https协议外网，同时采取了越来越
DOM型和反射性都是通过诱导用户点击链接执行，并且都是临时型的，但是反射型属于服务端安全漏洞而DOM型属于客户端安全漏洞
作为一个国内外项目都不怎么挖的我，比较喜欢拿自己正在使用的服务入手挖洞，毕竟拥有需求又了解业务才能长期跟进，更好的去发现各种流程上出现的毛病。
本文是笔者在2018-09-13撰写的文章，原文请点击“查看原文”。 网络攻击的方式要分为四类： 第一类是服务拒绝攻击，包括死亡之ping(ping of death)、泪滴(teardrop)、UDP洪水(UDP flood)、SYN洪水（SYN flood）、Land攻击、Smurf攻击、Fraggle攻击、电子邮件炸弹、畸形消息攻击等。 第二类是利用型攻击，包括口令猜测、特洛伊木马、缓冲区溢出。 第三类是信息收集型攻击，包括地址扫描、端口扫描、反响映射、慢速扫描、体系结构探测、DNS域转换、Finge
臭名昭著的钓鱼工具包Angler Exploit Kit最近更新了许多漏洞利用工具（含0day），以及一项名为“域名阴影（Domain Shadowing）”的新技术，将另一个知名恶意工具包BlackHole exploit kit完全击败，成为当前市面上最“先进”的钓鱼攻击装备。 Angler Exploit Kit采用的这新技术被称为“域名阴影（Domain Shadowing）”，该技术被认为是网络犯罪的新突破。域名阴影这个词在2011年首次出现，简单来说，其原理即窃取用户的域名账户去大量创建子
e.target：触发事件的元素 e.currentTarget：绑定事件的元素
网络安全公司Aemis在去年发现蓝牙协议漏洞“BlueBorne”之后，于近日再次发出警告，称大约五亿的智能设备如今仍受DNS重绑定这种老式攻击的影响。
虚竹哥有个朋友小五，他是在安全厂家公司工作。小五的大学系主任找他，咨询有没有比较优秀的网络通信安全防护的软件，需要对学校的网络进行安全防护。
SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成，由服务端发起请求的一个安全漏洞。SSRF是笔者比较喜欢的一个漏洞，因为它见证了攻防两端的对抗过程。本篇文章详细介绍了SSRF的原理，在不同语言中的危害及利用方式，常见的绕过手段，新的攻击手法以及修复方案。
目前腾讯的web业务都是共享skey作为登录态凭证，skey这个cookie打在*.qq.com一级域名下，被qzone.qq.com、mail.qq.com、t.qq.com等各web类业务共享。一旦某个业务出现xss漏洞，恶意脚本可能访问其他所有以skey为登录凭证的web业务的接口，例如广发微博，或者盗取用户邮件正文等私密信息；恶意脚本还能收集skey这个票据，然后伪造请求，达到窥探用户隐私或者发送广告的目的。登录态隔离，通过公司统一登录平台（ptlogin）下发业务私有的p_skey作为用户登录态凭证，不再让skey成为畅游qq各业务的通行证，有利于大幅降低xss漏洞的影响。
首先来看看泛解析是什么。泛解析法指：用通配符*(星号)实现所有子域名都指向同一个IP地址。与此ip的应用程序一样，可以生成N多个二级/N级的域名，同时这些二级域名也被百度收录。
在某次值守看告警中，态势感知系统监测到我市某政府单位的网站遭到来着IP：112.xx.xx.xx（上海）Apache shiro反序列化攻击，且告警中的攻击结果为成功，但后续经人工验证使用shiro反序列化利用工具未能成功利用该漏洞，利用不成功的原因后面也得到确认是因为其在攻击时数据包中存在较为容易猜解key命中了特征库的规则从而触发了告警，进一步确认需要人工核验，心中暗暗自喜还好不是安全事件不然又得出去应急了，随后并对攻击IP进行溯源分析。
*本文原创作者：ArkTeam circlezhou，本文属FreeBuf原创奖励计划，未经许可禁止转载 眼下最活跃的AR（增强现实）手游口袋妖怪（PokémonGo）在全球的下载量已经突破1500万
随着项目复杂度的提升以及用户体量的增大，前端安全变得越来越重要。平时系统运行正常，一旦出现安全问题，轻者部门扣分，严重的可能对公司造成严重损失。了解一些常见漏洞，平时coding时注意，防患于未然。
今天查看服务器状态，不小心误点了服务器的IP地址，然后居然能打开，，，OMG，怎么会这样，这怎么行呢？所以得修改以下配置文件，不让IP地址访问，至于为什么不让IP访问，有很多解释，其中最重要的就是防止恶意解析。
安装后：服务器物理内存剩余600M，虚拟内存占用520M，雷池WAF占用约500M。
概念 DNS，全称Domain Name System，即域名系统，搞清楚，它不是DNF地下城与勇士。 DNS是怎么来的，我们知道要访问一个服务器的资源可以通过IP的形式访问，但IP地址比较难记，也不方便读，所以有了DNS的存在，DNS通过解析域名并与实际的远程服务器主机建立连接。 即我们访问www.baidu.com的时候，通过DNS服务器解析出实际的IP地址去连接并返回给客户端。 解析过程 windows和linux可以通过命令nslookup查询域名解析结果，如下图所示。 linux中还可
rebindMultiA是一款功能强大的多重A记录重绑定攻击测试工具，该工具可以帮助广大研究人员通过针对目标域名执行多重A记录重绑定攻击，来测试目标域名或地址的安全情况。
XSS 安全漏洞 简单转义是否有防护作⽤ HTML 标签⽂字内容 有 HTML 属性值 有 CSS 内联样式 ⽆ 内联 JavaScript ⽆ 内联 JSON ⽆ 跳转链接 ⽆
Morphus实验室讲述了这样一个故事，在某周六的早上，你作为一家大公司的CSO（首席安全官），突然开始收到了雪片般飞来的消息。他们告诉你有游客在访问了你公司的网址后，浏览到了各种恶意内容。 这听起来像是公司网站出现了混乱，其实可能发生了更严重的的事情。当你深入研究后会发现，公司整个域名都被黑客劫持了，他们试图从你们客户那里窃取数据并且传播恶意代码。在本文中，我们会详细介绍针对上述场景的应急响应方案。另外，这一威胁对信息安全策略和安全布局的颠覆，我们可以用一些简单的方法进行缓解。 DNS基础知识 为
网络安全是前端工程师需要考虑的问题，常见的网络攻击有XSS，SQL注入和CSRF等。
在今年的攻防期间，通过安全设备告警分析，需要对某个源攻击IP进行溯源反制，并且需要记录整个溯源过程和提交溯源报告。
Naming就是名称服务，通过名称查找实际对象的服务。值得一提的名称服务为 LDAP，全称为 Lightweight Directory Access Protocol，即轻量级目录访问协议，其名称也是从右到左进行逐级定义，各级以逗号分隔，每级为一个 name/value 对，以等号分隔。比如一个 LDAP 名称如下:
成功的渗透测试套路基本都是那一套。换汤不换药，不成功的原因却是千奇百怪。 我本人感觉，一次不成功的测试如果讲解细致的话反而更能提升技术水平。 这次就来讲一下针对白客联盟的渗透测试是因何失败的，具体操作方式，是通过社工手动劫持域名，然后结合反向代理添加恶意代码劫持白客联盟的登录表单(打个比方就是做一个恶意CDN)。 这次渗透是nosafe团队协同参与的，渗透前期信息踩点和域名权限获取是由P4ss完成，因为具体操作手法牵扯到域名商安全问题，以及大量站长个人信息。这里不方便做详细讲解. 但是本次渗透过程一大半的功
1 tp-link开启了远程访问功能，存在弱口令。这个不太可能，几乎所有用户家里的路由器买了之后就不会动，没有造成大量用户中招的可能性。
在世界杯举办期间，DNS劫持事件估计会和链路劫持事件一样，风险提升很多。上期分享了一篇《第32篇：某运营商链路劫持(被挂博彩页)溯源异常路由节点(上篇)》，本期就讲一下DNS劫持攻击的相关知识吧。关于DNS层面的攻击手段比较多，比如DNS劫持、DNS污染、DNS重绑定攻击、DNS反射放大攻击等等。一般认为DNS劫持攻击与DNS污染是两回事，DNS污染一般指的是DNS缓存投毒攻击，这个我们后续再讲。DNS劫持通过改变用户的域名解析记录实现攻击，即使用户访问的是正常网址，也会在不知情的情况下被引流到仿冒网站上，因此DNS劫持破坏力强，而且不易察觉。
该文介绍了名为Quad9的公共域名服务系统，旨在阻止与僵尸网络、网络钓鱼攻击和其他恶意Internet主机相关的域名。该服务由全球网络联盟执法和研究机构（GCA）与IBM和合作数据包交换所联合推出。Quad9使用9.9.9.9作为其IP地址，与Google的8.8.8.8和Cloudflare的1.1.1.1等公共DNS服务器类似。然而，与这些服务器不同的是，Quad9不会为通过威胁源识别的站点返回名称解析服务。相反，它使用一个永不禁止的域白名单，并生成一个百万个被请求的域名列表，其中包含来自Alexa的一百万个站点。Quad9还使用威胁源数据库来阻止恶意域名，该数据库由GCA的威胁源情报小组维护。此外，Quad9还提供了一个名为“响应策略区域”的DNS过滤，该区域可以阻止来自特定IP地址的威胁，例如那些被识别为恶意软件或网络钓鱼攻击的IP地址。
虽然很多时候感觉网络攻击和安全事故离我们很远，但一旦发生，后面不堪设想，所以服务接口的安全问题是设计实现过程中不得不考虑的一环。
如果想添加多个网站，添加多个server{}并绑定不同的域名，设置不同的根目录即可。
*原创作者bt0sea，本文属FreeBuf原创奖励计划，未经许可禁止转载 之前在FreeBuf发表的第一篇有关蜜罐文章，引起了业界不小的轰动，但是上篇文章主要是和大家探讨服务型蜜罐的技术
同源策略是指浏览器的一种安全机制，用于限制来自不同源（即域、协议或端口）的文档或脚本之间的交互操作。
利用漏洞提交恶意 JavaScript 代码，比如在input, textarea等所有可能输入文本信息的区域，输入<script src="http://恶意网站"></script>等，提交后信息会存在服务器中，当用户再次打开网站请求到相应的数据，打开页面，恶意脚本就会将用户的 Cookie 信息等数据上传到黑客服务器。
在谷歌升级到Chrome 8之后子域名不显示，这里借助谷歌商店的插件进行实现www子域名，跟https协议显示，由于此插件用于GSB（Google Safe Browsing）的恶意站点提交，所以插件源码中包含了禁止隐藏协议名和www子域名的规则。
索引量是流量的基础，索引量数据的每一个变动都拨动着站长敏感的神经，“索引量下降之后该如何着手分析”一直是各位讨论的热门话题。这次站长社区版主老吕又拔刀相助了，看看史上最全的百度索引量下降原因分析及解决方案吧。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
