文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

同源策略与跨域资源共享

这是防御跨站脚本信息窃取、CSRF（在某些方面有辅助作用）等攻击的基础。...请求中包含了自定义的请求头(如X-Custom-Header,Authorization)。处理流程:发送预检请求:浏览器自动发送一个OPTIONS请求到目标URL。...信任任意提供的源动态回显源(TrustingArbitrarilySuppliedOriginEchoingOrigin):配置错误:服务器端代码简单地获取请求中的Origin头，并直接将其值设置到Access-Control-Allow-Origin...场景:目标应用存在XSS漏洞（例如存储型XSS），同时其某个API端点存在CORS配置错误（例如信任null源或任意源）。...工作流程:客户端:定义一个全局回调函数(e.g.,handleData(jsonData)).动态创建标签，src指向服务器API，并在URL中传递回调函数名参数(e.g.,?

32000

基于腾讯云的个人网站架构

之后在控制台进行域名解析，即绑定域名和服务器ip，注意对带或不带www前缀的域名都要进行解析，完成解析后就可以在浏览器通过域名来访问网页了。...主域名的确定 为了便于SEO，建议根据个人喜好确定一个主域名，因为搜索引擎对于带www和不带www前缀的地址是当成两个网站分开计算权重的。...我这里是选择不带www的地址（zhayujie.com），并在nginx中配置对带www的访问301重定向到不带www上，以集中权重。...可以申请免费的SSL证书，将证书和私钥放置到服务器，并在nginx中开启并配置SSL。同样为了避免分散权重，可以把http访问的请求301重定向到https上。...例如我的邮件发送函数地址配置为https://apigw.zhayujie.com/commentNotice，在业务代码中只需向该地址发送POST请求即可触发邮件投递。

6.4K31
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    Firebase 与 Apps Script 在钓鱼攻击中的滥用机制与防御对策研究

    然而，攻击载体与技术手段却随互联网基础设施演进而不断迭代。过去十年中，攻击者逐步从自建恶意域名转向滥用第三方可信平台，以规避基于域名黑名单、URL信誉评分和邮件内容过滤的传统防御机制。...例如，一封包含 https://phish-example.web.app/login 链接的钓鱼邮件，可能顺利通过企业邮件网关，因为该域名属于 Google 所有且无历史恶意记录。...实时阻断：通过 DNS 过滤或代理策略，临时屏蔽已确认的恶意 Firebase/Apps Script URL。用户即时告警：在浏览器中弹出非侵入式提示，说明风险并建议更改密码。...防御端：配置代理服务器运行 Suricata 规则，并安装浏览器检测插件。测试用户：10 名志愿者，被诱导点击钓鱼链接。...结果表明：8 名用户在提交凭证前收到浏览器告警，主动中止操作；2 名用户完成提交，但其 POST 请求被 Suricata 捕获并触发告警；所有恶意 URL 在 15 分钟内被自动上报至 Google，

    20710

    Kubernetes Gateway API 深入解读和落地指南

    本篇文章将深入解读 Kubernetes Gateway API 的概念、特性和用法，帮助读者深入理解并实际应用 Kubernetes Gateway API，发挥其在 Kubernetes 网络流量管理中的优势...重定向：HTTPRoute 支持重定向，您可以将某些请求重定向到另一个 URL 上，例如将旧的 URL 重定向到新的 URL。...图片工作原理结构图图片GatewayClass通过部署 GatewayClass 绑定下游实现提供的 Controller，为集群提供一种网关能力，这里可以看作是一种注册声明吧，将你的下游实现注册到集群中供...filters: 对传入请求进行更细粒度的控制，例如修改请求的头部、转发请求到其他服务、将请求重定向到不同的URL等。它们由一组规则组成，每个规则都包含一个或多个过滤器。...图片开发者配置业务路由开发者在自己开发的应用中配置网关，如果同时安装多个网关实现，可以先选择网关类型，然后通过界面配置 HTTPRoute 字段。

    2.7K21

    基于可信扫描服务的钓鱼链接伪装攻击与检测机制研究

    早期钓鱼依赖伪造域名与邮件内容，而现代攻击则更多地嵌入合法云服务、短链接平台乃至安全基础设施中，以规避基于签名或黑名单的检测机制。...例如，当输入为https://www.virustotal.com/gui/url/abc123时，模型无法关联其背后的真实目标URL。...4.3 上下文风险评分模块对最终落地URL进行多维评估：域名年龄（新注册域名风险高）SSL证书有效性是否在PhishTank黑名单中页面文本与品牌关键词匹配度（如含“Microsoft”但域名非microsoft.com...5.4 性能开销平均单次分析耗时2.3秒（含API调用与浏览器模拟），在企业代理网关中可接受（用户通常容忍3秒内延迟）。...7 结语攻击者利用公共URL扫描服务作为钓鱼跳板，本质上是对数字信任体系的滥用。本文通过实证分析揭示了该攻击的技术细节与危害性，并提出IPLA检测框架，验证了其在真实场景中的有效性。

    31610

    从零开始快速接入 EdgeOne

    通过站点，接入更多 EdgeOne 能力，包括域名解析、安全防护、边缘函数、四层代理等。准备工作1. 已注册腾讯云账号，并完成实名认证，有关实名认证的介绍请参见 实名认证基本介绍。2....访问站点获取您也可以通过访问当前站点，例如：www.example.com，访问该站点时，在浏览器内按 F12 打开开发者工具。单击任意的请求记录，可以查看该请求指向的 IP 地址。2....在 Mac/Linux 系统中，可以使用 dig 命令进行验证，以域名www.example.com为例，您可以在终端内运行命令：dig www.example.com，根据运行的解析结果内，可以查看该域名的...在站点接入前，您可以通过打开浏览器，单击 F12 查看开发者工具，之后输入该站点的服务器地址（例如：10.1.1.1），查看直接访问该站点的速度，在右下角，您可以看到该站点在接入前加载总耗时为：1.22s...删除站点后，可参考上述步骤一至步骤三重新添加站点site.com。重新添加站点site.com时，在步骤二：选择套餐中，选择绑定至已购套餐即可进行套餐换绑站点。

    2.3K41

    基于可信云存储与PDF载体的钓鱼攻击机制及防御体系研究

    而Dropbox等云存储平台，由于其在全球范围内的广泛合法使用，其主域名（如dl.dropboxusercontent.com）通常被列入企业防火墙与邮件网关的白名单中，以避免误报阻断正常的业务流程。...当受害者点击PDF内的链接时，会被重定向至一个托管在云服务子目录或利用URL重定向服务伪装的仿冒登录页面。由于链接的目标域名属于高信誉的云服务商，传统的安全网关往往放行该流量。...由于附件是PDF且链接指向dropbox.com或其子域名，邮件安全网关（SEG）在进行URL信誉检查时，会查询到该域名具有极高的信誉评分（Trust Score），从而判定为安全。...攻击者常利用云盘的“公开分享”功能生成短链接，或利用URL参数传递目标地址，使得最终目的地的URL在初始请求中不可见，增加了网关进行预先爬取（Pre-fetching）和动态渲染的难度。...\n最终落地: {final_url}\n详情: {reason}")上述代码展示了如何在网关层面通过模拟真实浏览器行为来穿透云存储的重定向迷雾，并对最终落地页进行语义分析。

    20210

    针对LastPass用户伪装备份请求的钓鱼攻击机理与防御体系研究

    这种复杂的跳转链条不仅增加了追踪源头的难度，还能有效稀释恶意流量的特征，使其在流量分析中显得更为隐蔽。...代理服务器截获该会话Cookie，将其保存至攻击者数据库，同时将Cookie写入受害者浏览器，使其成功登录并看到正常的仪表盘，从而完成整个欺骗闭环。...当用户被诱导至 lastpass-backup.com 等钓鱼网站时，浏览器的WebAuthn API会检测到域名与注册的 relying party ID（即 lastpass.com）不匹配，从而拒绝调用私钥进行签名...5.2 增强型邮件网关与链接隔离技术在邮件传输层面，应部署具备深度内容分析能力的下一代邮件安全网关。...若发现异常，直接阻断访问并标记为恶意。此外，推广链接隔离（Link Isolation）技术，将用户在邮件中点击的所有链接重定向至远程浏览器实例中运行。

    13110

    网站跨域的五种解决方式

    同源策略是浏览器最核心也最基本的安全功能，如果缺少同源策略，浏览器的正常功能可能受到影响。可以说web是构建在同源策略的基础之上的，浏览器只是针对同源策略的一种实现。...例如：你用浏览器打开http://baidu.com，浏览器执行JavaScript脚本时发现脚本向http://cloud.baidu.com域名发请求，这时浏览器就会报错，这就是跨域报错。...同时jquery还对非跨域的请求进行了优化，如果这个请求是在同一个域名下那么他就会像正常的 Ajax请求一样工作。）...服务网关(zuul)又称路由中心，用来统一访问所有api接口，维护服务。...://b.b.com:80/Api中想访问 http://b.b.com:81/Api 那么进行如下配置即可 使用nginx转发机制就可以完成跨域问题 server { listen

    1.6K40

    serverless从入门到实践总结篇

    serverless通过该 VS Code 插件，您可以拉取云端的云函数列表，并触发云函数在本地快速创建云函数项目使用模拟的 COS、CMQ、CKafka、API 网关等触发器事件来触发函数运行上传函数代码到云端...上传方式，选择示例代码直接部署，单击完成，即可开始应用的部署。部署完成后，您可在应用详情页面，查看示例应用的基本信息，并通过 API 网关生成的访问路径 URL 进行访问，查看您部署的 Egg 项目。...部署完成后，您可在应用详情页面，查看示例应用的基本信息，并通过 API 网关生成的访问路径 URL 进行访问，查看您部署的 Nest.js 项目图片自定义模板部署nest(推荐)初始化您的 Nest.js...网关触发器，在浏览器中访问图片图片浏览器中访问查看效果图片Nodejs Serverless 中操作 Mongodb准备工作：首先需要购买云数据库、或者自己在服务器上面搭建一个数据库云函数操作 Mongodb...Serverless、Cos中配置域名访问以及Serverless中配置https访问Serverless 中配置域名访问找到云函数对应的 api 网关编辑 api 网关 点击域名管理新建域名图片图片解析域名图片

    5.4K123

    基于实时代理架构的Starkiller钓鱼服务与MFA绕过机制研究

    在测试环境中可以观察到，尽管实际连接的是example.com或evil-site.net，但用户的视觉焦点往往被@符号前的知名域名吸引，从而产生误判。...依靠用户识别URL中的@符号或细微的域名差异，在日益复杂的攻击面前显得力不从心。浏览器的UI设计差异、移动设备屏幕的限制以及攻击者不断翻新的社会工程学话术，使得人为判断的可靠性大幅降低。...集成反钓鱼API：浏览器可内置实时检测机制，当检测到页面内容来源于知名IdP但域名不匹配时，弹出强警告。...例如，若页面HTML中包含login.microsoftonline.com特有的元数据，但当前URL域名并非微软所有，浏览器应立即阻断。...所有邮件中的链接在投递前必须被替换为网关的代理链接。当用户点击时，网关先在一个隔离的、带有真实浏览器环境的沙箱中访问目标URL。

    16410

    【vue学习】axios

    ajax： 【优点：局部更新；原生支持】 【缺点：可能破坏浏览器后退功能；嵌套回调】 jqueryAjax： 【在原生的ajax的基础上进行了封装；支持jsonp】 fetch： 【优点...：解决回调地狱】 【缺点：API 偏底层，需要封装;默认不带Cookie，需要手动添加; 浏览器支持情况不是很友好，需要第三方的ployfill】 axios： 【几乎完美】 axios的特点...具体config配置参考 到具体页面中的应用： 如何中断（取消）axios的请求？ axios怎么解决跨域的问题？...跨域这个行为是浏览器禁止（浏览器不允许当前页面的所在的源去请求另一个源的数据）的，但是服务端并不禁止 源指协议、端口、域名。只要这个3个中有一个不同就是跨域。...） 开发模式下，可以在config中配置proxyTable即可 B） 服务端基于spring实现 C） CORS：①即跨源资源共享，它定义了一种浏览器和服务器交互的方式来确定是否允许跨域请求

    1.6K30

    基于 SVG 的钓鱼攻击与 AmateraPureMiner 载荷的 DNS 基础设施分析

    本文以近期活跃的 Amatera Stealer 信息窃取木马与 PureMiner 挖矿程序为研究对象，系统剖析其利用 SVG 文件实施钓鱼攻击的技术路径，并结合 DNS 层面的基础设施特征，揭示攻击者如何通过快变域名...本文基于公开威胁情报与 DNS 历史数据，深入解析此类攻击的端到端链条：从 SVG 载荷构造、JavaScript 执行逻辑，到后续载荷投递机制，再到底层 DNS 基础设施的隐蔽设计。...4 DNS 基础设施的隐蔽设计通过对 25 个 IoC 域名的 DNS 历史记录分析（基于 WhoisXML API 的 DNS Chronicle 数据），发现攻击者采用多层次隐蔽策略。...5.1 邮件网关侧：主动剥离与内容消毒强制剥离 SVG 中的脚本元素：在邮件解析阶段，移除所有 、 及含 on* 属性的标签；重写 MIME 类型：将 image...DNS 聚类分析：将共享同一 IP 或 ASN 的域名聚类，若集群中多数域名生命周期短、注册信息异常，则整体标记为恶意基础设施。

    25210

    混淆重定向SVG钓鱼邮件技术分析

    安全研究已观察到不法分子注册相似域名进行钓鱼，并通过多跳转和动态参数增加混淆。...在作者收集到的攻击样本中，首次跳转使用的documents.example520.com子域名更是进一步诱导受害者，让人误以为是在处理文档链接。...综上，用户在点击邮件中的SVG附件并经历跳转后，可能并未意识到已经进入了攻击者控制的域名，因为一路所见都是看似合理的验证步骤（Cloudflare检查、人机验证等）。...安全建议：针对上述攻击链，建议从邮件网关、终端、防火墙/浏览器多个层面加强防护： 邮件安全防护在邮件网关或安全邮件服务上拦截此类附件和链接是第一道防线。可以禁阻SVG附件或将其视同可执行内容扫描 。...浏览器和终端设置在终端侧，可以降低此类文件自动执行的风险。例如，配置SVG文件默认用图像查看器打开而非浏览器（浏览器会执行其脚本）。

    1.2K00

    Web前端性能优化教程03：网站样式和脚本&减少DNS查找、避免重定向

    然而这个推论其实是错误的，IE8以下(包括IE8)的工作方式是如果css表仍在加载，构建呈现树就是一种浪费，因为在所有样式表加载并解析完毕之前无需绘制任何东西，这时整个浏览器显示都是空白，直到css加载完毕...当我们决定使用外置js和css的时候，这时怎样划分js和css并打包到外部文件中成为一个首要考虑的问题。在典型情况下，页面之间的js和css的重用既不可能100%重叠，也不可能100%无关。...一、减少DNS查找 基础知识 DNS(Domain Name System)： 负责将域名URL转化为服务器主机IP。...重定向用于将用户从一个URL重新路由到另一个URL。...以百度搜索为例，百度通过将每个链接包装到一个302重定向来解决跟踪的问题，例如搜索关键字“跟踪出站流量”，搜索结果的第一个URL为http://www.baidu.com/link?

    3.7K130

    基于日文字符混淆的国际化域名钓鱼攻击分析与防御机制研究

    本文系统剖析该类攻击的技术实现路径、社会工程诱饵特征及会话劫持手段，并指出当前安全体系在多脚本混排场景下的检测盲区。在此基础上，提出一套融合客户端策略、网关检测、前端验证与行为监控的纵深防御框架。...[.]com/detail/restric-access.www-account-booking[.]com/en/在视觉上呈现为合法子路径，实则指向完全不同的恶意域名。...4.1 客户端与网关：强制Punycode显示与标准化建议在企业终端策略中强制浏览器以ASCII（Punycode）形式显示所有含非ASCII字符的域名，消除视觉混淆。...Chrome策略配置示例（Windows GPO）：Policy: IDN display policyValue: 2 # Always show Punycode邮件安全网关应在解析URL时自动解码...未来工作将聚焦于Unicode脚本分类的精细化建模、浏览器原生警示机制的标准化推动，以及跨语言混淆字符库的动态更新。

    18710

    阿里面试官：淘宝页面请求的过程说一下

    16.交互结束 1.在浏览器输入https://www.taobao.com 浏览器接收url开启网络请求线程,URL包括以下部分 protocol：协议头https host：主机域名www.taobao.com...我们也称网卡配置信息里的dns为local dns，这时候local dns会先查询它的缓存，有没有www.taobao.com相应的记录，如果有，则返回给用户，如果没有 –>就会访问根域名服务器，世界一共有...dns会把找到的www.taobao.com的ip发送给客户端，并记录在缓存中，这样的话，下次如果有其他的用户访问www.taobao.com这个域名时，local dns的缓存中就有记录了。...获取MAC地址过程: 主机生成一个具有目的IP地址(默认网关)的ARP查询报文,将该ARP报文放置在一个具有广播目的地址(例如FF:FF:FF:FF:FF:FF:FF)的以太网帧中,并向交换机发送该以太网帧...服务端将数据包通过数据链路层->网络层->传输层一层层的解封,最后处理HTTP中的请求 11.服务端处理请求 首页请求 因为输入的url是请求进入网站首页的,不带任何参数请求,而且操作简单,这样下来QPS

    1K30

    测试开发：从0到1学习如何测试API网关

    本文来自我的一名学员分享 日常工作中，难免会遇到临危受命的情况，虽然没有这么夸张，但是也可能会接到一个陌生的任务，也许只是对这个概念有所耳闻。...这次就分享一些从0到1学习如何测试API网关的经验。...对各类请求设置最高的QPS阈值，当请求高于阈值时直接阻断。 限流插件测试思路：可以在API网关平台为对应测试接口配置限流策略。...插件开关打开，返回API网关所配置的响应信息状态码等，接口是无法真正的请求到后端服务。...由于本次开发提测网关版本并没有涉及过多的功能，例如还有集群的热加载，插件在集群项目与API间的运用，API的发布，下线，插件的随时切换，监控等需求，亲身实践还不够，只能提供一些思路，还需要具体结合项目的业务进行更为准确的

    1.8K30
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券