OWASP top 10 （2017） 學習筆記--失效的身份驗證
A2:2017 - 失效的身份驗證
漏洞描述：
通過錯誤使用應用程式的身份認證和會話管理功能，攻擊者能夠破譯密碼、金鑰或會話令牌，或者利用其它開發缺陷來暫時性或永久性冒充其他使用者的身份。
漏洞影響：
攻擊者只需要訪問幾個帳戶，或者只需要一個管理員帳戶就可以破壞我們的系統。根據應用程式領域的不同，可能會導致放任洗錢、社會安全欺詐以及使用者身份盜竊、洩露法律高度保護的敏感資訊。
檢測場景：
弱驗證：
弱口令、弱驗證碼、登入繞過（邏輯、cookie）、密碼找回
弱會話：
明文傳輸、URL中暴露會話ID、會話ID不更新
預防思路：
1、加強驗證方面：加強密碼策略、登入失敗處理、多因素驗證
2、加強會話方面：加密會話（SSL/TLS）、加入token
相關推薦
OWASP top 10 （2017） 學習筆記--失效的身份驗證
A2:2017 - 失效的身份驗證 漏洞描述： 通過錯誤使用應用程式的身份認證和會話管理功能，攻擊者能夠破譯密碼、金鑰或會話令牌，或者利用其它開發缺陷來暫時性或永久性冒充其他使用者的身份。 漏洞影響： 攻擊者只需要訪問幾個帳戶，或者只需要一個管理員帳戶就可以破壞我們的系統。根據應用程式領域的不同，可能
教務系統維護日誌（2）---學習筆記
ati basepath clas color nbsp logs gets 學習 pan 1. 1 <% 2 String path = request.getContextPath(); 3 String basePath = request.getSche
原生ajax及其與服務器交互（java）學習筆記
style bject return open() 構造函數 success abort content 客戶 ajax主要用於與服務器進行異步交互數據（當然技術上也能做同步處理）。 因為傳統的非ajax的web交互，是整個瀏覽器將數據傳到後臺處理，而後臺處理時，用戶只能等
自動微分（AD）學習筆記
detail 原因 ext clas cer 工具 war AI 聯系 作者：李濟深鏈接：https://www.zhihu.com/question/48356514/answer/125175491來源：知乎著作權歸作者所有。商業轉載請聯系作者獲得授權，非商業轉載請註明
（7）學習筆記 ） ASP.NET CORE微服務 Micro-Service ---- 利用Polly+AOP+依賴註入封裝的降級框架
tostring methods summary bstr 判斷 KS foreach public tde 創建簡單的熔斷降級框架 要達到的目標是： 參與降級的方法參數要一樣，當HelloAsync執行出錯的時候執行HelloFallBackAsync方法。 pu
（1）學習筆記之mysql基本操作（）
info 文件 star 操作 圖片 muti mysq 推薦 com 本系列學習筆記主要講如下幾個方面； 1.mysql啟動 如圖，有多重啟動方式 （1.1）mysql.server start （1.2）/etc/init.d/mysqld sta
線段樹（SegmentTree）學習筆記
身後 增加 來看 ask cpp struct amp log 技術分享 在對數組進行操作的時候，我們有時會需要獲取數組某個區間的信息，如該區間內的最值、區間和等。我們可以使用枚舉的方式去獲取這些信息，但是這樣做的平均時間復雜度期望為O(n)，數據範圍一大，這樣的方式就基本
機器學習實戰（Machine Learning in Action）學習筆記————06.k-均值聚類演算法（kMeans）學習筆記
機器學習實戰（Machine Learning in Action）學習筆記————06.k-均值聚類演算法（kMeans）學習筆記關鍵字：k-均值、kMeans、聚類、非監督學習作者：米倉山下時間：2018-11-3機器學習實戰（Machine Learning in Action,@author: Pet
Java NIO 通道（Channel） 學習筆記
一、通道（Channel）：用於源節點與目標節點的連線。在 Java NIO 中負責緩衝區中資料的傳輸。Channel 本身不儲存資料，因此需要配合緩衝區進行傳輸。 二、通道的主要實現類 java.nio.c
Java NIO 緩衝區（Buffer） 學習筆記
一、緩衝區（Buffer）：在 Java NIO 中負責資料的存取。緩衝區就是陣列。用於儲存不同資料型別的資料 根據資料型別不同（boolean 除外），提供了相應型別的緩衝區： ByteB
Latent Dirichlet Allocation（LDA）學習筆記
1，Gamma函式 Gamma函式 \[\Gamma (x) = \int_0^\infty {{e^{ - t}}{t^{x - 1}}dt} \] 是階乘的從整數域到實數域的擴充套件 \[\Gamma (n) = (n - 1)!,n \in \{ 0,1,2,3...\} \] 函
生成對抗網路學習（GAN）學習筆記
文章目錄 2018-11-16 GAN的原理 2018-11-15 Multimodal Unsupervised Image-to-Image Translation 2018-11-13 Image-to-
Manacher（馬拉車）學習筆記
Manacher可以有效的在\(O(n)\)時間內解決一個字串的迴文子串的題目 目錄 簡介 講解 推介 簡單的練習 恐怖的練習QAQ 小結 簡介 開頭都說了，Manacher是目前解決迴文子串的最有效的方法之一，可以在\(O(n)\)時間內處理出以這個點為中心的最大回文子
動態連結庫（dll）學習筆記
dll和lib的區別：如果採用靜態連結庫，則無論你願不願意，lib中的指令都被直接包含在最終生成的EXE檔案中了。但是若使用DLL，該DLL不必被包含在最終EXE檔案中，EXE檔案執行時可以“動態”地引用和解除安裝這個與EXE獨立的DLL檔案。靜態連結庫和動態連結庫的另外一個
python核心程式設計第三版（一）學習筆記：正則表示式
注：下面有些內容不全都來源於原著，這些都是通過各方面的資料收集合並的結果。 目錄 1、元字元 3、邊界詞 4、分組詞 一、正則表示式介紹 正則表示式為高階的文字模式匹配、抽取、與/或文字形式的搜尋和替換功
Linux（CentOS）學習筆記（一）——Linux命令
一、Linux基本原則 一切皆檔案 配置檔案儲存為純文字格式 二、使用者介面（shell）：應用程式 GUI介面（Graphic User Interface圖形使用者介面） - Windows：explorer.exe - centos：KDE CLI介
Linux（CentOS）學習筆記（四）——Linux命令
vi和vim命令 vi是一個文字編輯程式，不是排版工具，不過命令繁多而且功能強大，在簡單版的Linux系統中是沒有預裝vim的，vim跟vi相比，多了特殊字元的顏色區分。 Vi有三種基本工作模式： - 命令模式 - 文字輸入模式 - 末行模式 命令列模
Django入門（一）——學習筆記
說明：該學習筆記是在windows上完成的，所以程式碼部分與linux有區別 第一步：建立專案 1.1 建立虛擬環境 要使用Django，首先需要建立一個虛擬工作環境。虛擬環境是系統的一個位置，可以在其中安裝包，與python的其他包隔離。我們需要新建一個目錄，命名為l
Kubernetes（k8s）學習筆記1
Kubernetes（k8s，8代表了中間八個字母）是Google基於Borg開源的容器編排排程引擎，作為CNCF（Cloud Native Computing Foundation）最重要的元件之一，它的目標不僅僅是一個編排系統，而是提供一個規範，可以讓你來描
spring零配置（Annotation）學習筆記
有關spring的註解，今天瞭解了下，現在一方面做下學習總結，另一方面給學習的筒子做個借鑑。 spring提供相關的幾個Annotation來標註bean先列出來 @Component：標註一個普通的spring bean @Controller：標註一個控制器元件類如a