浅谈 URL 解析与鉴权中的陷阱--技术头条 -- 微博大V帮你宣传技术博文开发者头条码农头条

【简介】

本文主要是针对 URL 解析的路径部分。因为 URL 的路径部分通常涉及到资源和服务的路由，以及对应的鉴权校验。通常我们在漏洞挖掘和渗透测试时都收集过一些鉴权绕过的 “Tricks”，但很多时候并不了解其所以然，每每测试结束后总觉得缺少了些什么。这些绕过的 payload 是否覆盖了所有场景？是否还有其他可能的变种？其实也不能完全肯定。

因此就有了这篇文章，一方面记录和整理笔者遇到过的鉴权绕过技巧，另一方面也尝试分析这些绕过背后的原理，希望对大家有所启发。

点击查看全文 >>

由 @技术头条 2023-08-18 22:58分享 / 1个评论

赞过的人： @IT技术博客大学习

Linux 黑话解析：什么是 LUKS 加密？ (linux.cn)

LUKS 是 Linux 用户中流行的磁盘加密机制。在这篇术语解析文章中，可以了解更多关于 LUKS 的信息。

计算机安全旨在保护私密信息。有许多方法可以保护系统。一些用户使用简单的用户名/密码登录方案进行基本保护。其他用户可能会通过加密以不同的方式增加额外的保护，如使用 VPN 和磁盘加密。

如果你的计算机上有敏感的客户数据（你可能在经营一家企业），或被视为知识产权的材料，或者你对隐私非常谨慎，你可能要考虑磁盘加密。

by @技术头条 2023-08-18 22:56 分享查看详情

浅谈微服务k8s情景下的日志采集 (www.iots.vip)

传统虚拟机、物理机环境下，日志文件通常存放于固定的路径下，当应用重启或出现异常退出的情况，日志也会留存下来，不受影响。而 Kubernetes 环境下，提供了相比前者更为细粒度的资源调度，容器（或 Pod）的生命周期是十分短暂的，当主进程退出，容器（或 Pod）便会被销毁，随之而来的是其关联资源也会被释放。因此，在日志采集的这个点上，Kubernetes 场景相比传统环境而言，会更为复杂，需要考虑的点更多。

by @技术头条 2023-08-06 19:04 分享查看详情

浅谈兼容性测试 (insights.thoughtworks.cn)

兼容性测试是一种软件测试，用于确保构建的系统/应用程序/网站与其他各种对象（如其他网络浏览器、硬件平台、用户、操作系统等）的兼容性。这种类型的测试有助于了解产品在特定环境中的表现。

by @Thoughtworks 2023-04-17 10:37 分享查看详情

浅谈基于深度学习的漏洞检测 (insights.thoughtworks.cn)

深度学习在图像处理、视频实体识别、自然语言处理等领域中已经取得了长足的发展和突出的成果，这自然驱使着安全研究员们将神经网络引入到安全领域中。

by @Thoughtworks 2023-04-06 10:43 分享查看详情

浅谈知识图谱 (insights.thoughtworks.cn)

知识图谱能提供更接近人类认知的知识，为互联网上海量的数据构造出一种更加有效的知识结构。目前最常见的知识图谱应用包括将其应用于搜索引擎、智能推荐和智能问答等。

by @Thoughtworks 2023-03-17 09:34 分享查看详情

前后端分离的陷阱 (insights.thoughtworks.cn)

前后端分离本质上是技术的分离，而不是人员的分离。团队要不要分取决于你如何设计你的架构，也取决于你的业务模式，所服务的产品形态、团队能力、工程实践的成熟度。

by @Thoughtworks 2023-02-03 09:41 分享查看详情

前端原生API实现条形码二维码的JS解析识别 (www.zhangxinxu.com)

今天才知道，原来浏览器有原生的API，可以对二维码、条形码进行解析，使用非常简单！

by @技术头条 2023-01-10 00:07 分享查看详情

浅谈数据和人工智能项目的管理 (insights.thoughtworks.cn)

数据和智能类的项目管理内容仍然是基于传统软件项目管理所定义的范围和领域，但近年来新概念和新技术的出现给数据和智能类项目的管理带来了新的挑战，所以项目管理者在管理的思路、方法、策略上也存在不同。

by @Thoughtworks 2022-11-23 15:47 分享查看详情

基于文字的URL锚点定位与::target-text样式设置 (www.zhangxinxu.com)

文字选区片段高亮又新增一名成员，可以使用 ::target-text 伪元素进行匹配，反正耽误不了几分钟，过来看看，说不定之后用得着。

by @技术头条 2022-08-18 23:39 分享查看详情

安卓手机APP抓包时有些应用出现了CONNECT，无法解析包内容 (www.ipcpu.com)

我们在Charles启动了一个8888端口，并将该端口配置在手机的WIFI代理服务器上，这样就可以抓到手机产生的对外数据包。 Charles是可以抓取HTTPS数据包的，但前提是需要打开HTTPS抓包选项，并安装Charlrs的root根证书。

但是，我们全部配置完毕以后，发现手机的浏览器访问百度等网站的数据包是没有问题的，可以正确解析出来，有一部分APP软件也是可以解析的，比如物美多点，但是美团买菜就不行，拼多多也不行。

by @技术头条 2022-08-01 00:01 分享查看详情

布偶

by @宋氏穆 2023-09-13 09:05