近年来，很多安全研究人员研究攻击的文章中都或多或少涉及到反向代理。在扫描工具能实现检测反向代理种类时，我开始深入研究反向代理的具体实现流程。
目前oracle还没有在公开途径发布weblogic的JAVA反序列化漏洞的官方补丁，目前看到的修复方法无非两条：
Web服务器也称为WWW （WORLD WIDE WEB)服务器、HTTP服务器，其主要功能是提供网上信息浏览服务。
前言：对于反代理这个词呢，总会想到nginx服务器，然而今天想让apache与nginx在同一个端口跑，不知道是我玩挂了还是nginx不稳定，时而正常时而~~，由于weblogic在多model的情况下url总是带有war_exploded的，然而我就尝试用apache2反代理到内网weblogic服务器。 ---- ****Step-One：使用a2enmod命令加载proxy模块**** sudo a2enmod proxy proxy_balancer proxy_http ---- ****Step
Apache Tomcat最早是由Sun开发的，在1999年被捐献给ASF（Apache 软件基金会 Apache Software Foundation），隶属于Jakarta(雅加达)项目，现在已经独立为一个顶级项目。因为Tomcat 技术先进、性能稳定，同时也是一个免费的开放源代码的Web 应用服务器，因而深受Java 爱好者的喜爱并得到了部分软件开发商的认可，被很多企业普遍使用，也是开发和调试JSP程序的首选。成为目前比较流行的Web 应用服务器。
https://blog.csdn.net/rogerjava/article/details/9418211
先引用一下奇安信团队发出的weblogic历史漏洞图，可以发现以反序列化为主，反序列化问题主要来自XMLDecoder和T3协议
反序列化漏洞出现很久了，一直到现在都很流行，以致OWASP组织将“不安全的反序列化”列为2017年10项最严重的Web 应用程序安全风险榜的第8位。 就在2017年12月22日和24日，国家信息安全漏洞共享平台（CNVD）连续发布了《关于WebLogic Server WLS 组件存在远程命令执行漏洞的安全公告》第一版和第二版。漏洞编号为CNVD-2017-31499，对应CVE-2017-10271。 同时，在12月22日，各大安全网站都有报道称，黑客利用WebLogic 反序列化漏洞（CVE-201
漏洞编号：OracleWebLogic wls9-async反序列化远程命令执行漏洞（CNVD-C-2019-48814）
腾讯安全威胁情报中心推出2023年10月份必修安全漏洞清单，所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。
有时需要对访问者ip进行记录，但是经过了nginx或者其他代理之后通过HttpServletRequest的getRemoteAddr方法获取到的ip不一定是真实访问者的ip，通过下面的方式可以较准确的获取访问者ip，但也不是万能的，仅作为借鉴！
默认情况下，IIS只能提供http重定向功能，而无法满足转发需求。 举例：http://localhost/app1 利用http重定向到 http://www.abc.com/app1 访问 http://loalhost/app1/abc.html 最终浏览器地址栏里的url会变成http://www.abc.com/app1/abc.html 这就是重定向（类似jsp中的SendRedirect），如果浏览器地址栏不变，那才叫转发(类似jsp中的forward)。 通常weblogic/jboss应用
什么是Nginx Nginx是一个高可用的HTTP和反向代理Web服务器, 同时也提供IMAP/POP3/SMTP服务 主要功能反向代理 通过配置文件可以实现集群和负载均衡 静态资源虚拟化 常见的服务器 服务器 用途 MS IIS asp.net WebLogic, Jboss 传统行业, ERP/物流/电信/金融 Tomcat, Jetty J2EE Apache, Nginx 静态服务, 反向代理 Netty 高性能服务器编程 什么是正向代理 客户端请求目标服务器之间的一个代理服务器 请求会先经过代理
之前说过用Apache和Nginx做代理来访问Tomcat中的项目. 现在因工作需要 只能用IIS作为Web服务器来把请求转发到Tomcat
Web服务器是运行及发布Web应用的容器，只有将开发的Web项目放置到该容器中，才能使网络中的所有用户通过浏览器进行访问。开发Java Web应用所采用的服务器主要是与JSP/Servlet兼容的Web服务器。
IIS是Internet Information Services的缩写，意为互联网信息服务，是由微软公司提供的基于运行Microsoft Windows的互联网基本服务。最初是Windows NT版本的可选包，随后内置在Windows 2000、Windows XP Professional和Windows Server 2003一起发行，但在Windows XP Home版本上并没有IIS。IIS是一种Web（网页）服务组件，其中包括Web服务器、FTP服务器、NNTP服务器和SMTP服务器，分别用于网页浏览、文件传输、新闻服务和邮件发送等方面，它使得在网络（包括互联网和局域网）上发布信息成了一件很容易的事。
Nginx（engine x）是一个高性能的 HTTP 和反向代理 web 服务器，同时也提供 IMAP/POP3/SMTP 服务。但是它的 主要功能是反向代理 ，通过配置文件可以实现集群和负载均衡，可以实现热加载
同样的程序在 Tomcat 5.5.16/25 以及 Jetty 5.1.12 上都能够成功部署及运行，但是部署到 WebLogic 9.2 上时出错
当我们打开电脑，通过浏览器看到的网站，所有网站服务器多是我们所说的web服务器，具体解释就是一种驻留在Internet上的计算机程序，web服务器通过存储网站文件，放置大小不一各类数据文件，来进行工作，所以世界上每个角落多有它的身影。 我们常见的Web服务器协议有三种，1、HTTP协议，2、HTML文档格式，最后是浏览器统一资源定位器，也就是我们常见的URL。 第一种：IIS IIS是我们网站用的最普遍的web服务器，IIS允许在公共网络上或者普通网络上发布信息的服务器，使IIS成为使用最广的web服务器之一。我们经常使用的网站很多都是建立在IIS的平台上进行运营，得到很多用户信赖。其中这里说道的IIS指的是一种web服务组件，里面还包括了FTP服务器、NNTP服务器等等服务器，分别进行网页浏览、文件传输等功能，由于IIS的帮助，很多不懂程序的网站管理也能轻松管理网站。
回顾我的职业生涯，中间件技术专家这个角色持续的时间最长，关于性能分析经历了许多，但故事要从我顿悟的那个案例开始。
最后一篇案例篇，"愿站在巨人的肩膀上"，加油熊二同学。 常见案例 淘宝网架构演进 2017年5月18日，阿里巴巴集团公布2016财年的全年业绩，集团收入为1582.73亿元人民币，同比增长56％
中间件(middleware)是基础软件的一大类, 属于可复用软件的范畴. 顾名思义,中间件处于操作系统软件与用户的应用软件的中间.
如果一个软件的主要部分采用了”网络服务”，即它把存储或计算环节”外包”给其他网站了，那么我们就说这个软件属于Web Service架构。
描述:Web服务器/Web应用程序容器/Web应用程序服务器/反向代理有点像四胞胎，在网络上经常一起出现下面我们将对其进行区别;
前言 所属的类别 web服务器：IIS、Apache、nginx、tomcat、weblogic、websphere等。 web中间件：apache tomcat、BEA WebLogic、IBM WebSphere等。 web容器：JSP容器、SERVLET容器、ASP容器等。 0x01 tomcat远程部署漏洞详情 tomcat管理地址通常是： 1Http://localhost:8080/manager 默认账号密码： 1 2 3 4root/root tomcat/tomcat admin ad
apache apache文件多后缀名解析漏洞 与其说这是一个漏洞，不如说这是一个特性，很多程序员不知道这种特性，所以会写出有问题的代码。 特性：多后缀名(全版本都有这个特性） apache在解析一个
北京时间4月18日凌晨，Oracle官方发布了4月份的关键补丁更新CPU（Critical Patch Update）,其中包含一个高危的远程代码执行漏洞(CVE-2018-2628)，通过该漏洞，攻击者可以在未授权的情况下远程执行任意代码。
一、什么是CXF? Apache CXF = Celtix + Xfire，开始叫 Apache CeltiXfire，后来更名为 Apache CXF 了，以下简称为 CXF。Apache
0x00 - About Jolokia Jolokia 是一个通过 HTTP 的 JMX 连接器，提供了类 RESTful 的操作方式，可以通过 POST JSON 的方式访问和修改 JMX 属性、执行 JMX 操作、搜索 MBean、列出 MBean 的 Meta-data 等。 Jolokia 支持提供了多种 Agents，包括 WAR Agent、OSGi Agent、JVM Agent 或者 Mule Agent。其中 WAR Agent 支持了多种 Web Server： JBoss 4.
前面，我们了解了java的序列化机制，也知道在什么情况下会出现漏洞，为了对反序列化漏洞有个更直观的认识，这里就来说一说存在于apache commons-collections.jar中的一条pop链，要知道这个类库使用广泛，所以很多大型的应用也存在着这个漏洞，我这里就以weblogic cve-2015-4852来说说反序列化漏洞的具体利用方法。
常见危险端口服务及对应的漏洞 20：FTP服务的数据传输端口 21：FTP服务的连接端口，可能存在 弱口令暴力破解 22：SSH服务端口，可能存在 弱口令暴力破解 23：Telnet端口，可能存在 弱口令暴力破解 25：SMTP简单邮件传输协议端口，和 POP3 的110端口对应 43：whois服务端口 53：DNS服务端口(TCP/UDP 53) 67/68：DHCP服务端口 69：TFTP端口，可能存在弱口令 80：HTTP端口，常见web漏洞 110：POP3邮件服务端口，和SMTP的25端口对应
问题：访问页面的时候没有任何错误，只是在mydomain.log里面经常会发现下面的错误信息
在JSP里，获取客户端的IP地址的方法是：request.getRemoteAddr()，这种方法在大部分情况下都是有效的。但是在通过了Apache，Squid等反向代理软件就不能获取到客户端的真实IP地址了。 如果使用了反向代理软件，将http://192.168.1.110:2046/的URL反向代理为http://www.abc.com/的URL时，用request.getRemoteAddr()方法获取的IP地址是：127.0.0.1或192.168.1.110，而并不是客户端的真实IP。 经过
J2ee开发主要是浏览器和服务器进行交互的一种结构.逻辑都是在后台进行处理,然后再把结果传输回给浏览器。可以看出服务器在这种架构是非常重要的。 这几天接触到两种Java的web服务器，做项目用的Tomcat，看视频看的是WebLogic Server（WLS），都是web服务器，有什么区别和联系呢？ （一）先简单介绍一下这两种服务器。 WebLogic是美国bea公司出品的一个application server，确切的说是一个基于Javaee架构的中间件，纯java开发的，最新版本WebLogic Server 9.0是迄今为止发布的最卓越的BEA应用服务器。BEA WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。完全遵循J2EE 1.4规范。 Tomcat服务器是一个免费的开源的Web 应用服务器，是Apache 软件基金会的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。因为Tomcat 技术先进、性能稳定，运行时占用的系统资源小，扩展性好，支持负载平衡与邮件服务等开发应用系统常用的功能；而且很重要的是她免费，因而深受Java 爱好者的喜爱并得到了部分软件开发商的认可，成为目前比较流行的Web 应用服务器。而且由于开源，它还在不断的改进和完善中，任何一个感兴趣的程序员都可以更改它或在其中加入新的功能。 （二）相同点： WebLogic和Tomcat都是基于java的基础架构来满足实时处理需求，不同的版本与jdk版本兼容和有所不同;因为都是要和前台交互，所以他们都基于sun公司的servlet来实现的。 （三）不同点： 功能性： WebLogic更加强大。weblogic是j2ee的应用服务器（application server），包括ejb ,jsp,servlet,jms等等，全能型的。是商业软件里排名第一的容器（JSP、servlet、EJB等），并提供其他如JAVA编辑等工具，是一个综合的开发及运行环境。 WebLogic应该是J2EE Container(Web Container + EJB Container + XXX规范)！ Tomcat只能算Web Container，是官方指定的JSP&Servlet容器。只实现了JSP/Servlet的相关规范，不支持EJB（硬伤啊）!不过Tomcat配合jboss和apache可以实现j2ee应用服务器功能 一般来说考虑stucts等架构tomcat就可以了，但如果考虑EJB的话，WebLogic是比较好的选择。 扩展性： 用WebLogic运行标准的java可能并不是最好的方式，WebLogic里支持他自己的一些东西，这些东西虽然是在纯java基础上开发的，但其他工具里都没有。WebLogic Server凭借其出色的群集技术，拥有处理关键Web应用系统问题所需的性能、可扩展性和高可用性。 WebLogic Server既实现了网页群集，也实现了EJB组件 群集，而且不需要任何专门的硬件或操作系统支持。网页群集可以实现透明的复制、负载平衡以及表示内容容错 。 无论是网页群集，还是组件群集，对于电子商务解决方案所要求的可扩展性和可用性都是至关重要的。共享的客户机/服务器和数据库连接以及数据缓存和EJB都增强了性能表现。这是其它Web应用系统所不具备的 所以，在扩展性方面WebLogic是远远超越了Tomcat。 费用上： Tomcat开源免费。 WebLogic不开源不免费。 总之，在功能强大和扩展性和可用性等方面WLS比Tomcat好很多，但这也不能说明WLS适合每一方面，从Tomcat的使用流行度便可以看出，Tomcat虽功能有限，但也很受欢迎。其实关键看你要做什么。Tomcat 是免费开源的jsp,servlet引擎，入门级别的Web服务器，刚入门的IT人使用Tomcat简单易上手。而且它一个轻量级应用服务器，最重要的是它免费，所以在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP 程序的首选。Tomcat比较轻巧，消耗资源较少。当然，项目大的时候，WLS肯定再合适不过，而且Tomcat也无法满足太多需求，但是，WLS的费用也是不可小觑的。 总之，关键看你做什么，权衡利弊做选择。 此外，还有其他J2EE Application Server，例如： IBM的websphere、Sun的Glassfish、resin等。Apache全球应用最广泛的http服务器，免费。同样开源免费的JBoss
可以看到如果ad_id不为空就删除两边的空白符号，否则输出Error，然后就会执行getone方法，跟踪下getone。
有些时候渗透测试搞着搞着就陷入了无解状态，不知道再从哪儿下手了 故对渗透测试思路做个整理，后续有新的见解持续更新
此问题是由于处理请求超时引起的，系统配置的处理时间是600s，但是该线程处理了626后，仍然没将请求释放，所以报了这个错误。如果发送该请求较多，很有可能会导致weblogic的线程阻塞，严重会引起weblogic挂起现象。
AJAX跨域完全讲解 今天在慕课网上学习了AJAX跨域完全讲解：https://www.imooc.com/learn/947 我在收集AJAX面试题的时候其实就已经有过AJAX跨域的问题的了，当时候
序列化是让Java对象脱离Java运行环境的一种手段，可以有效的实现多平台之间的通信、对象持久化存储。
准备好需要的 jdk、tomcat 等软件放到 home 目录下面，启动一个容器 docker run -t -i -v /home:/opt/data --name mk_tomcat Ubuntu /bin/bash
Apache HTTP Server（简称Apache）是Apache软件基金会的一个开放源码的网页服务器，Apache也叫万维网，www服务器， web服务器主要功能是提供网上信息浏览服务。Apache可以在大多数计算机操作系统中运行，由于其多平台和安全性被广泛使用，是最流行的Web服务器端软件之一。
先说一句哈，自从在 B 站开始刷视频后，我就觉得要学的内容实在是太多了。这篇“服务器软件大扫盲”就是我看了羊哥的一期视频后有感而发的，比如说 Web 服务器、HTTP 服务器、应用服务器这三个概念，我是见过很多次，但如果你非要我说出它们之间的区别的话，我只好哑口无言。
周松，长期从事在ITOM、ITOA领域，拥有丰富的IT系统管理和监控实施经验，精通Zabbix开源监控系统的架构、部署、使用和维护；精通IBM Tivoli、BMC Patrol等商业软件产品
我们都知道了Nginx在高并发场景和处理静态资源是非常高性能的，但是在实际项目中除了静态资源还有就是后台业务代码模块，一般后台业务都会被部署在Tomcat，weblogic或者是websphere等web服务器上。那么如何使用Nginx接收用户的请求并把请求转发到后台web服务器？
自从在知乎回答问题以来，以及根据最近几年给企业做技术咨询的情况，发现JSP还是一个经常被提到的问题。希望能在这篇文章里把关于JSP的问题集中说明一下。我的观点很明确，已经写在文章标题里了。
大家在进行web开发的时候，都希望自己修改的内容在不手动编译、不重启服务的时候立即生效，这样可以极大的方便开发和调试。这个就是我今天要讲的weblogic的热部署。
一次web访问的顺序，web浏览器->web服务器（狭义）->web容器->应用服务器->数据库服务器
今天发现的我程序出现了修改了，但是没有改变的情况，经过大师的指点，发现是发布模式没有改
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
