记录开发中遇到的和别人问的较多的问题.... IE10中LinkButton不可用 这应该是2013年初遇到的一个BUG，当使用Asp.Net开发Web Application时，页面使用LinkButton按钮；运行页面用IE10打开，点击LinkButton按钮出现如下图错误 没有直接弹出如下图错误，可以运行IE10开发人员工具(F12)，在控制台中查看，也会输出 “__doPostBack”未定义 错误信息 image.png 解决方法及参考： 下载并在服务器上安装相应补丁程序即可，下载
这几天把一个旧项目中的fckeditor升级为ckeditor 3.2 + ckfinder 1.4.3 组合，下面是一些升级心得: 一、CKFinder的若干问题 1.单独使用 ckfinder从原
网站中存在一些不会经常变更的内容如静态文件、图片等，我们称之为静态资源。针对这些静态资源使用cache缓存到客户端中，以减少用户再次浏览该网页时的请求量，从而加速了网页的加载、呈现速度。同样，要设置静态资源缓存到客户端，我们需要加一个中间层来处理静态资源的请求。下面以图片为例进行说明。（若图片十分巨大情况下才使用该方法，若图片k级数的话，初次加载速度会更慢，因为IIS对于静态文件和动态文件的处理是不同的，如果图片容量小，动态文件处理的时间占大部分总体加载时间） 未优化： Default.aspx
前端JS后缀名校验，通过审查元素发现onsubmit="return checkFile()”校验函数我们将其删除直接上传（浏览器禁用JS脚本也能上传，BURP抓包更改后缀名也能上传）webshell。
一、nginx配置属性详细说明： #全局设置 main # 运行用户 user www-data; # 启动进程,通常设置成和cpu的数量相等 worker_processes 1; # 全局错误日志及PID文件 error_log /var/log/nginx/error.log; pid /var/run/nginx.pid; # 工作模式及连接数上限 events { use epoll; #epoll是多路复用IO(I/O Multiplexing)中的一种方
顾翔老师近期推出一对一入职面试辅导。有兴趣者可加微信xianggu19720625与我联系。先要提供简历初选，合适者进一步洽谈。
使用障眼法，将PHP文件修改图像格式后直接上传；使用burp拦截该数据包，修改文件格式(后缀名)
字符编码(Character Encoding)可以说就是让某一字符序列匹配一个指定集合中的某一东西，常见的例子包括长短电键组合起来表示的摩斯电码(Morse Code)、Baudot code、Unicode和用二进制来表示的ASCII(American Standard Code for Information Interchange)码、这样便能够将文本在计算机中存储和通过通信网络发送出去。
同样上传图片码抓包修改后缀即可，比Pass-01多了个对MIME的检测，但对于上传图片码来说就没啥区别
当文件上传点未对上传的文件进行严格的验证和过滤时，就容易造成任意文件上传，包括上传动态文件，如asp/php/jsp等。如果上传的目录没有限制执行权限，导致上传的动态文件可以正常执行并可以访问，即存在上传漏洞的必要条件是：
1.aspnetupload 这是国人开发的一款收费.net控件，官网http://www.aspnetupload.net/ (不过也有一个免费版本的，允许上传10M内容，一般情况下也够了，收费版也
##IIS7/8 HTTP Error 500.19 错误 0x80070021 IIS7.0/8.0的错误HTTP Error 500.19 - Internal Server Error ，错误代码为0x80070021，大概原因为IIS7.0的安全设定相比前版本有很大的变更。IIS7.0的安全设置文件在%windir%\system32\inetsrv \config\applicationHost.config，这里定义所有Web程序的安全设置，在各个Web程序的web.config可以去覆盖 这些设置，但默认情况下是不容许覆盖的。 所以首先修改applicationHost.config文件，打开handlers和modules的权限，即由Deny改为Allow，如 下： <configuration> <configSections> <sectionGroup name="system.webServer"> ...... ...... ...... 另外如果IIS7.0是在VS安装之后安装的话，那么需要添加IIS7.0对ASP.NET文件的支持，否则会出现aspx文件无法识别的MIME 错误,或者以上问题。 方法：打开和关闭系统功能---》Internet信息服务--》万维网服务---》应用程序开发功能—》勾选asp.net 一般后面这种情况较多！ ##应用池没有.net4.5的原因 正常建立部署网站，可问题是安装习惯，你得让我选.net framework 4.5的框架啊，可是见鬼的是没有啊 .NET 4.5 is an in-place replacement for .NET 4.0， When .NET 4.5 is installed it effectively replaces .NET 4.0 on the machine. .NET 4.0 gets overwritten by a new version of .NET 4.5 which - according to Microsoft - is supposed to be 100% backwards compatible. 我们简单的理解就是，4.5本质上还是4.0，属于递增式的更新，所以对IIS 来说看到的只有4.0而已，看看如下的4.5 DLL库中的版本号就知道了
大家好，我是架构君，一个会写代码吟诗的架构师。今天说一说一句话木马（新）[通俗易懂],希望能够帮助大家进步!!!
在此记录下Nginx服务器nginx.conf的配置文件说明。 #运行用户 user www-data; #启动进程,通常设置成和cpu的数量相等 worker_processes 1; #全局错误日志及PID文件 error_log /var/log/nginx/error.log; pid /var/run/nginx.pid; #工作模式及连接数上限 events { use epoll; #epoll是多路复用IO(I/O Multipl
nginx.exe -s stop //停止nginx
使用GD（或Imagick）重新处理图像并保存处理后的图像。 所有其他人对黑客来说只是有趣的无聊。
文件上传，顾名思义就是上传文件的功能行为，之所以会被发展为危害严重的漏洞，是程序没有对访客提交的数据进行检验或者过滤不严，可以直接提交修改过的数据绕过扩展名的检验。文件上传漏洞是漏洞中最为简单猖獗的利用形式，一般只要能上传获取地址，可执行文件被解析就可以获取网站或者服务器的权限。
Q：为什么我的ASP页面到windows2003后就不能执行了，执行ASPX正常。 A：windows2003中默认没有启用ASP支持，在IIS的WEB Service Extensions里找到Active Server Pages,将ALLOW选上，就可以了。 Q：我的IIS只要asp文件有错，就显示HTTP500错误，但是却不显示出错的详细信息。以前能够显示究竟是那个文件的那一行出错，但现在却不显示。 A：在IE的Internet选项中选高级，选中“显示友好的HTTP错误”即可。 Q
我热爱Silverlight，并且身体力行写了很多Silverlight程序，也讨论了很多关于Silverlight的技术。对于刚刚接触Silverlight的开发人员来说，这篇文章是最适合你的。这篇文章列出了我使用Silverlight进行开发后，发现的15条小诀窍。如果你是一个全职的Silverlight开发的话，我希望你能了解并掌握它们。 我不会谈论MVVM，Prism或者MEF这些复杂的以至于吓跑读者的东西。 1. 下图中黄色的高亮文字代表了Silverlight 对象的MIME类型，而不是运行时版
#全局设置 main # 运行用户 user www-data; # 启动进程,通常设置成和cpu的数量相等 worker_processes 1; # 全局错误日志及PID文件 error_log /var/log/nginx/error.log; pid /var/run/nginx.pid; # 工作模式及连接数上限 events { use epoll; #epoll是多路复用IO(I/O Multiplexing)中的一种方式,但是仅用于linux2.6以上
在实习过程中接触过所谓的JSON Hijacking 漏洞，但最近在写论文时发现理解得不深，好像跟xss与csrf又有点区别与联系，索性深入学习了下JSONP（JSON with Padding）。
Nginx 目录 $ cd /etc/nginx $ ls -l total 60 drwx------ 2 ubuntu ubuntu 4096 Jun 16 09:27 cert ## ssl证书目录 drwxr-xr-x 2 root root 4096 Jul 12 2017 conf.d -rw-r--r-- 1 root root 1077 Feb 11 2017 fastcgi.conf -rw-r--r-- 1 root root 1007 Feb 11
发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/184397.html原文链接：https://javaforall.cn
=================Nginx反向代理+负载均衡 实现 start===================
文件上传漏洞是指攻击者上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务端命令的能力。该漏洞在业务应用系统中出现概率较高，究其原因是业务场景中上传附件、头像等功能非常常见，若在系统设计中忽略了相关的安全检查，则容易导致文件上传漏洞。
依旧是multipart/form-data,去年的时候说道了利用PHP的特性去绕过WAF.轻松绕各种WAF的POST注入、跨站防御(比如安全狗) 原文简单的描述了PHP在处理POST请求的时候会解析multipart/form-data的内容。 那么这个multipart/form-data到底是个啥呢？
Web应用程序通常会提供一些上传功能，比如上传头像，图片资源等，只要与资源传输有关的地方就可能存在上传漏洞，上传漏洞归根结底是程序员在对用户文件上传时控制不足或者是处理的缺陷导致的，文件上传漏洞在渗透测试中用的比较多，因为它是获取服务器WebShell最快最直接的攻击手法，其实文件上传本身并没有问题，有问题的是文件上传时程序员是如何对其进行合法化过滤的，如果程序员的处理逻辑做的不够安全，则会导致严重的后果。
一.禁止目录执行 先点击右边的请求控制 选择添加 目标 选择拒绝 俩个匹配模块 reg_path
# 常见文件上传漏洞解析
我们可以把任意类型的文件保存到SQL Server中，在进行例子之前，先建立测试用表格，TestFile.sql：
jQuery确实是一个挺好的轻量级的JS框架，能帮助我们快速的开发JS应用，并在一定程度上改变了我们写JavaScript代码的习惯。
Upload-labs是一个帮你总结所有类型的上传漏洞的靶场 项目地址：https://github.com/c0ny1/upload-labs
使用软件： [root@GaoPengJu ~]# nikto -h blog.dajiqq.com
在web渗透中，文件上传是最简单直接的方式之一。但是碰到完全不做校验的代码直接上传getshell，很难有这样的运气；大部分时候都有检测，甚至多处设卡。
我们知道WAF分为软WAF，如某狗，某盾等等；云WAF，如阿里云CDN，百度云CDN等等；硬WAF，如天融信，安恒等等，无论是软WAF、云WAF还是硬WAF，总体上绕过的思路都是让WAF无法获取到文件名或者其他方式无法判断我们上传的木马（PHP、JSP、ASP、ASPX等等）。
本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途，如果您对文章内容有疑问，可以尝试加入交流群讨论或留言私信，如有侵权请联系小编处理。
由于开发者安全意识不足，或者编写代码时对上传文件的合法校验存在缺陷，导致上传漏洞的产生。
先来看看，这是Upload-labs靶场的20道CTF文件上传题目。虽然它只是一些题目，但其漏洞原理和利用过程仍值得我们学习。
方法一：前端检测。js的检测只能位于client，可以禁用js,在浏览器设置中修改。或者直接改掉这里的 checkFile()
1. load( url, [data], [callback] ) ：载入远程 HTML 文件代码并插入至 DOM 中。
当 IIS 传递邮件消息给邮件应用程序或传递网页给客户端 Web 浏览器时，IIS 也发送了所传递数据的 MIME 类型。如果存在以特定格式传递的附加或嵌入文件，那么 IIS 就会通知客户端应用程序嵌入或附加文件的 MIME 类型。然后客户端应用程序就知道了如何处理或显示正从 IIS 接收的数据。
文件上传漏洞可以说是日常渗透测试用得最多的一个漏洞，因为用它获得服务器权限最快最直接。但是想真正把这个漏洞利用好却不那么容易，其中有很多技巧，也有很多需要掌握的知识。俗话说，知己知彼方能百战不殆，因此想要研究怎么防护漏洞，就要了解怎么去利用。
jQuery 库拥有完整的 Ajax 兼容套件，其中的函数和方法允许我们在不刷新浏览器的情况下从服务器加载数据。
.htaccess文件是Apache服务器下的一个配置文件。其主要负责相关目录下的网页配置，即：在一个特定的文档目录中放置一个包含一个或多个指令的文件来对网页进行配置。 不过需要注意的是，.htaccess文件的作用域为其所在目录与其所有的子目录，不过若是子目录也存在.htaccess文件，则会覆盖父目录的.htaccess效果。
在做项目时，我们一般会将aspx文件和其后台cs文件分开，然后将后台的cs文件编译成dll发布到生产环境中。如果我们的项目规定是每周1发布一次，现在发布后第二天客户在其中某个页面发现一个Bug导致业务无法正常处理，这个时候我们的项目正在添加新的功能，编码还没有完成，不可能为了这一个页面而将这没有完成的整个项目重新发布到生产环境中，这个时候怎么办拉？ 我们知道aspx运行有两种模式,一种是编译运行,一种是解释运行.编译运行就是我们将后台c#代码编译成Dll,在aspx页面运行时调用这个dll来执行.而解释执行就是像是asp一样将后台代码和页面代码放在同一个aspx页面上,由IIS解释c#代码来运行.于是我们想到的解决办法就是专门针对这个页面把其后台CS代码中的bug修正，测试没有问题了，然后将后台cs文件转移到aspx文件中，让将这个新的aspx文件复制到正式环境中，覆盖原来错误的aspx文件。 将后台的cs代码转移到页面上主要是做如下操作： 1.去掉aspx头Page部分的CodeFile属性,这个属性指示了页面的后台文件的文件名. 2.在Page中添加Inherits属性,这个属性的值是页面后台文件的父类,如果页面的父类是System.Web.UI.Page,那么可以不加这个属性. 3.将后台代码所使用的名字空间添加到aspx的头,使用<%@ Import Namespace="名字空间" %>进行引入. 4.在aspx页面的最下面添加<script runat="server"></script>,然后将后台代码中类里面的所有变量,属性,方法等等都放在script中. 通过以上几步我们就可以将后台cs文件转移到aspx页面上,这样让IIS直接解释aspx文件执行,而不是通过调用发布后的dll执行. 出于平时需要即时修改一个单独页面,所以我写了一个小程序来自动转换后台cs文件到aspx文件中. 比如一个页面：
鉴于互联网上的宽带有限，网络管理人员任何旨在加速接入速度的努力都是有价值的。其中的一个方法就是通过HTTP压缩技术实现接入速度的加速，它通过减少在服务器和客户端之间传输的数据量，显著地提高网站的性能。
随着智能手机的普及，越来越多的人使用手机上网，很多网站也应手机上网的需要推出了网站客户端，.apk文件就是安卓(Android)的应用程序后缀名，默认情况下，使用IIS作为Web服务器的无法下载此
Iris提供了一个可以用于创建MultiPart Mime消息（％Net.MimePart）的类。创建要添加到SOAP消息的附件时，请使用此类;请参阅创建Web服务和Web客户端。因为MIME是一个常见的标准，所以有许多其他可能的应用程序，例如电子邮件处理和HTTP Multipart Post。
from email.header import Header from email.mime.text import MIMEText import smtplib from email.utils import parseaddr, formataddr from email import encoders from email.mime.base import MIMEBase from email.mime.multipart import MIMEMultipart
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
