❶ 超級工廠（stuxnet病毒） 火焰病毒 暴雷漏洞 各是什麼東西
Stuxnet蠕蟲病毒（超級工廠病毒）是世界上首個專門針對工業控制系統編寫的破壞性病毒，能夠利用對windows系統和西門子SIMATIC WinCC系統的7個漏洞進行攻擊。特別是針對西門子公司的SIMATIC WinCC監控與數據採集 (SCADA) 系統進行攻擊，由於該系統在我國的多個重要行業應用廣泛，被用來進行鋼鐵、電力、能源、化工等重要行業的人機交互與監控。 傳播途徑：該病毒主要通過U盤和區域網進行傳播。歷史「貢獻」：曾造成伊朗核電站推遲發電。
❷ 有哪些管理漏洞可以導致全部猝死
打開APP
我叫火柴
關注
常見的極易容易導致致命危險的安全漏洞 轉載
2022-07-16 15:02:30
我叫火柴
碼齡13年
關注
上期，提到了系統中不常見但不容忽視的網站漏洞，這篇我們就回顧一下一些常見甚至致命的高危漏洞
1. sql 注入，可利用該漏洞獲取網站資料庫信息。
SQL 注入漏洞的產生原因是網站程序在編寫時，沒有對用戶輸入數據的合法性進行判斷，導致應用程序存在安全隱患。SQL 注入漏洞攻擊就是利用現有應用程序沒有對用戶輸入數據的合法性進行判斷，將惡意的 SQL 命令注入到後台資料庫引擎執行的入侵者攻擊手段。
2. 越權漏洞，可利用該漏洞越權獲取其他用戶信息。
越權訪問(Broken Access Control,簡稱 BAC),是一種在 web 程序中常見的安全缺陷，其原理是對用戶提交的參數不進行許可權檢查和跨越訪問控制而造成的。比如修改一個賬號的昵稱，介面參數是賬戶ID，後端只校驗賬號ID 正確就可以修改，那就可以任意修改其他人的賬戶昵稱了
3. 邏輯漏洞，可利用該漏洞造成網站業務邏輯混亂。
4. XSS 漏洞，可利用該漏洞篡改網站頁面，獲取其他用戶 Cookie。
跨站腳本攻擊簡稱為 XSS 又叫 CSS (Cross Site Script Execution)，是指伺服器端的 CGI 程序沒有對用戶提交的變數中的 HTML 代碼進行有效的過濾或轉換，允許攻擊者往 WEB 頁面里插入對終端用戶造成影響或損失的 HTML 代碼。
5. csrf 漏洞，可利用該漏洞獲取其他用戶信息
跨站請求偽造（Cross-site request forgery，縮寫為 CSRF），也被稱成為「oneclick attack」或者 session riding，通常縮寫為 CSRF 或者 XSRF，是一種對網站的惡意利用。盡管聽起來像跨站腳本（XSS），但它與 XSS 非常不同，並且攻擊方式幾乎相左。XSS 利用站點內的信任用戶，而 CSRF 則通過偽裝來自受信任用戶的請求來利用受信任的網站。與 XSS 攻擊相比，CSRF 攻擊往往不大流行（因此對其進行防範的資源也相當稀少）和難以防範，所以被認為比 XSS 更具危險性。
5. 會話管理漏洞，可利用該漏洞登錄網站系統。
會話管理主要是針對需授權的登錄過程的一種管理方式，以用戶密碼驗證為常見方式，通過對敏感用戶登錄區域的驗證，可有效校驗系統授權的安全性。一般可出現以下漏洞
用戶口令易猜解
通過對表單認證、HTTP 認證等方式的簡單口令嘗試，以驗證存在用戶身份校驗的登錄入口是否存在易猜解的用戶名和密碼。
沒有驗證碼防護
驗證碼是有效防止暴力破解的一種安全機制，通過對各登錄入口的檢查，以確認是否存在該保護機制。
存在易暴露的管理登錄地址
某些管理地址雖無外部鏈接可介入，但由於採用了容易猜解的地址（如：/admin/login）而導致登錄入口暴露，從而給外部惡意用戶提供了可乘之機。
提供了不恰當的驗證錯誤信息
某些驗證程序返回錯誤信息過於友好，如：當用戶名與密碼均錯誤的時候，驗證程序返回「用戶名不存在」等類似的信息，通過對這一信息的判斷，並結合
HTTP Fuzzing 工具便可輕易枚舉系統中存在的用戶名，從而為破解提供了機會。
Session 隨機字元串簡單又規律
Session 作為驗證用戶身份信息的一個重要字元串，其隨機性是避免外部惡意用戶構造 Session 的一個重要安全保護機制，通過抓包分析 Session 中隨機字元串的長度及其形成規律，可對Session 隨機性進行驗證，以此來確認其安全性。
6. 暴力破解漏洞，可利用該漏洞暴力破解用戶帳戶。
服務端介面沒有對請求次數做限制，導致攻擊者可以通過暴力的方式，不斷的嘗試賬號，密碼，驗證碼對介面請求，尤其遇到弱口令的密碼或者驗證碼。所以建議在請求之前做人機校驗防護，和請求次數防護
7、不安全的對象引用，可通過構造敏感文件名而達成下載服務端敏感文件的目的
不安全的對象引用是指程序在調用對象的時候未對該對象的有效性、安全性進行必要的校驗，如：某些下載程序會以文件名作為下載程序的參數傳遞，而在傳遞後程序未對該參數的有效性和安全性進行檢驗，而直接按傳遞的文件名來下載文件，這就可能造成惡意用戶通過構造敏感文件名而達成下載服務端敏感文件的目的。
文章和自己個人網站同步：
常見的極易容易導致致命危險的安全漏洞_我叫火柴-個人博客
我叫火柴，」火柴「這個昵稱還是第一次玩QQ的時候注冊的，然後公司花名，網上昵稱就都這么用了,希望這輩子，用盡一生，只求一次，燃盡自己，轟轟烈烈的愛一次。年輕時總喜歡強說愁。等長大了看了大話，幾乎看過不下幾十次，從笑看到哭，從無知看到無奈，原來自己也不過芸芸眾生的一條狗罷了。
https://www.gcb1988.cn/article/1988_049.html
原文鏈接：https://www.gcb1988.cn/article/1988_049.html
打開CSDN，閱讀體驗更佳
蘋果系統新致命漏洞，黑客可以隨意控制您的手機設備
國內知名黑客組織東方聯盟的安全研究人員發現了蘋果一個新的漏洞，可能會讓黑客在您不知情的情況下訪問您的iPhone和iPad。一旦用戶授權他們的設備與黑客連接到同一個Wi-Fi網路，他們稱這種漏洞為「信任劫持」，從而允許您無線管理iOS設備。東方聯盟創始人兼黑客教父郭盛華：「一旦建立起這種信任關系，一切皆有可能，它引入了一種新的攻擊媒介。」第一步需要您在安裝完成後通過USB電纜將設備連接到計算機，但...
繼續訪問
網站設計中致使網站失敗的幾個最致命錯誤設計
網站設計中致使網站失敗的幾個最致命錯誤設計 早在一九九六年，我們就匯總了網站的10種錯誤設計。今年，我們訪問了215位英美用戶，就當代網站存在的錯誤設計進行了新一輪大規模可用性研究。從小型的地方性商業網站、娛樂網站，到非盈利性網站，再到國際組織機構的官方網站，通過對43個網站的分析，總結了當代網站10大最常見和最具破壞力的錯誤設計。這些錯誤設計，不但傷害了用戶，也對網站的業務指標造成了負面影響。
繼續訪問
軟體 Bug 五種等級，一級最致命
以下內容來自公眾號逆鋒起筆，關注每日干貨及時送達作者|strongerHuang微信公眾號|strongerHuang軟體工程師，對一個詞很敏感，那就是Bug。只要聽到說自己寫的代碼有Bu...
繼續訪問
高通被曝致命晶元漏洞，危及全球企業和個人雲數據
近日，網路安全供應商 Check Point 發表了聲明，說該公司在一項代號為「Achilles」研究中，對高通驍龍的數字信號處理（DSP）晶元進行了廣泛的安全性評估，發現其中存在大量漏洞，總數多達400多。 研究人員表示，由於易受攻擊的DSP晶元「幾乎見於世界上所有的安卓手機上」，導致全球受此漏洞影響的機型超過40%，其中不乏有全球知名品牌手機。 報告中指出，攻擊者利用這些漏洞不僅可以將手機變成一個完美的監聽工具，而且還能夠使手機持續無響應，或者鎖定手機上的所有信息，使用戶永遠不可訪問。此外，攻擊者還可
繼續訪問
Log4j安全漏洞持續爆雷，啥時候是個頭？
近期工信部網路安全管理局通報稱，阿里雲計算有限公司（以下稱：阿里雲）在 11 月 24 日發現了 Log4j2 安全漏洞隱患後率先向 Apache 基金會披露了該漏洞，未及時向中國工信部通報相關信息，未有效支撐工信部開展網路安全威脅和漏洞管理。經研究，工信部網路安全管理局決定暫停阿里雲作為上述合作單位 6 個月。暫停期滿後，根據阿里雲整改情況，研究恢復其上述合作單位。 根據工信部官網消息，工業和信息化部網路安全威脅和漏洞信息共享平台 12 月 9 日收到有關網路安全專業機構報告後，立即組織有關...
繼續訪問
智能輸液系統可能致命？黑客可以利用漏洞遠程式控制制輸注速度
輸液設備是一種常見的給葯裝置，在臨床上輸液皮條主要為一簡單中空管道，一次只能掛接一袋/瓶葯液，當葯液輸送完畢後，需要護士進行人為的更換另一袋/瓶葯液，由於患者多且每個患者均可能需要多袋液體，一起頻繁的更換使得醫護人員的工作量極大，同時在換葯過程中也很容易將需要按照一定順序輸入的葯袋搞混，使得輸液順序打亂或輸液葯袋/葯瓶搞錯，給病人帶來不可預知的危險。 因此隨著醫療行業的日漸發展，為了智...
繼續訪問
高通DSP晶元被曝6個漏洞事件引發的安全危機猜想
近日，國外知名安全研究機構Check Point發現，高通驍龍系列晶元的數字信號處理晶元（DSP）中存在大量漏洞，總數多達400多。研究人員表示，由於易受攻擊的DSP晶元「幾乎見於世界上所有的安卓手機上」，導致全球受此漏洞影響的機型超過40%，其中不乏有全球知名品牌手機。 報告中指出，攻擊者利用這些漏洞不僅可以將手機變成一個完美的監聽工具，而且還能夠使手機持續無響應，或者鎖定手機上的所有信息，使用戶永遠不可訪問。此外，攻擊者還可以利用惡意軟體和其他惡意代碼完全隱藏惡意活動。 目前，高通已發表聲明確認這些
繼續訪問
車輛碰撞起火事故的規律特點及常見起火原因 | 事故分析
來源：交通言究社導 語6月30日，內蒙古阿爾山市境內省道203線230公里處發生一起三車相撞並起火燃燒事故，造成6人死亡、38人受傷。近年來，因車輛碰撞導致起火燃燒的道路交通事故時有...
繼續訪問
熱門推薦 【網路攻防】常見的網路攻防技術——黑客攻防（通俗易懂版）
幾種常見的網路攻防技術 前言 一、SQL注入 二、XSS 攻擊 1.反射型 2.存儲型 三、CSRF 攻擊 四、DDoS 攻擊 五、DNS劫持 六、JSON 劫持 七、暴力破解 文章同樣適用於非專業的朋友們，全文通俗化表達，一定能找到你親身經歷過的網路攻擊（建議大家認真看完，這篇文章會刷新你對網路攻防的認知）。文章暫不談網路攻防具體操作實現過程，我們用通俗易懂的語言一塊聊聊——神秘的「網路攻防」
繼續訪問
模糊測試--強制性安全漏洞發掘
文檔分享地址鏈接：http://pan..com/share/link?shareid=2723797392&uk=2485812037 密碼：r43x 前 言 我知道"人類和魚類能夠和平共處" 。 --George W. Bush, 2000年9月29日 簡介 模糊測試的概念至少已經流傳了20年，但是直到最近才引起廣泛的關注。安全漏洞困擾了許多流行的客戶端應用程序
繼續訪問
疫情期間網路攻擊花樣翻新，全年 81748 起安全事件背後暗藏規律！
2020年是新冠疫情構成主旋律的一年，全球經濟形勢、科技發展乃至人們的日常工作生活都受到疫情影響。在疫情催化各行業數字化轉型更加依賴網路世界的同時，互聯網安全也受到了前所未有的挑戰。
繼續訪問
常見web安全隱患及解決方案
Abstract 有關於WEB服務以及web應用的一些安全隱患總結資料。 1. 常見web安全隱患 1.1.完全信賴用戶提交內容 開發人員決不能相信一個來自外部的數據。不管它來自用戶提交表單，文件系統的文件或者環境變數，任何數據都不能簡單的想當然的採用。所以用戶輸入必須進行驗證並將之格式化以保證安全。具體如下: ⑴ 始終對所有的用戶輸入執行驗證，...
繼續訪問
常見web安全隱患及解決方案（轉）
Abstract 有關於WEB服務以及web應用的一些安全隱患總結資料。 1. 常見web安全隱患 1.1.完全信賴用戶提交內容 開發人員決不能相信一個來自外部的數據。不管它來自用戶提交表單，文件系統的文件或者環境變數，任何數據都不能簡單的想當然的採用。所以用戶輸入必須進行驗證並將之格式化以保證安全。具體如...
繼續訪問
Unix主機安全漏洞分析及漏洞掃描器的設計與實現
Unix主機安全漏洞分析及漏洞掃描器的設計與實現2002年04月30日 16:00 來源：ChinaUnix文檔頻道 作者：HonestQiao 編輯：周榮茂級別： 初級薛靜鋒 ([email protected])北京理工大學計算機科學工程系2002 年 5 月 01 日自從1993年Internet上首次採用第一種圖形用戶界面NCSA MOSAIC以來，這一全球最...
繼續訪問
Web通用型漏洞簡介
本篇文章主要簡單介紹一下（我能想到的）Web通用型漏洞（以OWASP體系為主，非組件引起的，可能出現在任何語言任何環境中的web漏洞）的原理以及簡單的攻擊者利用方式。註：看本篇文章不會學到任何新技術，但如果本篇文章里存在任何你感興趣卻不了解的技術，可以去其他地方查閱資料。當然文章中也有很多錯誤，也希望能獲得指正。 文章目錄注入SQL注入基於利用方式分類union回顯注入報錯回顯注入布爾盲注延時盲注...
繼續訪問
如何使用人工智慧保護API的安全
數字轉型是基於一種可驅動新的操作模型的API，提供對業務邏輯、應用程序和數據的直接訪問。雖然這種訪問對於員工，合作夥伴和客戶來說非常方便，但它也使API成為黑客和惡意網路的攻擊目標。隨著越來越多的攻擊和漏洞，擴展安全性現在變得越來越重要。 現有的解決方案（例如訪問控制，速率限制等）提供基本保護，但不足以完全阻止惡意攻擊。今天的安全團隊需要識別並響應動態變化的攻擊，這些攻擊利用了各個API的自我漏
網路安全教程（一）
1-網路安全概述 1-1基礎概念 1-1-1計算機網路安全的定義 國際標准化組織ISO將計算機網路安全定義為：「為數據處理系統建立和採取的技術與管理的安全保護，保護網路系統的硬體，軟體及其系統中的數據不因偶然的或者惡意的原因而遭受到破壞、更改、泄露，系統連接可靠、正常的運行，網路服務不中斷。」 1-1-2網路安全的5項特徵 網路安全的5項特徵： 保密性：信息不泄露給非授權用戶、實體或過程，或供其利用的特性。 完整性：數據未經授權不能進行改變的特性。即信息在存儲或傳輸過程中保持不...
繼續訪問
最新發布 十年老碼農現身說法：凜冬將至，為什麼我不勸退互聯網
人生艱難，職業發展也不容易。這些除了依靠個人努力，更需要天時地利人和等外在條件。這不是個人做一點選擇就可以搞定的，勸退、轉行容易，但是想要因此一帆風順、平步青雲難。 人生不只是選擇題，不是會選就能贏，更何況很多人的選擇還是盲目做出的。我理解很多人因為行情不好而焦慮，因為焦慮而打退堂鼓。但相比於因為受到鼓動草草做出一個前途未
❸ 邏輯刪除@TableLogic好是好, 就是要注意細節!
用過MyBatis-Plus的自然知道它的好, 方便省心.
不過在不注意一些特性的情況下, 還是容易踩坑的.
業務系統上針對一些數據的刪除, 常常保險的做法就是邏輯刪除, 所以開發大佬常常會用個欄位來標識一下「刪除」狀態, 然後不厭其煩的使用「where」來隔離那些刪除的數據.
對此, MyBatis-Plus很友善的提供了 @TableLogic 註解來實現邏輯刪除功能
只需要對實體類加上註解, 後續但凡你使用MyBatis-Plus自動注入的sql語句, 均會自動補上
"where is_deleted = 0"
能省不少事.
所以, 咸魚也放心的使用了該註解,
直到某天生產爆雷
大佬找到我
「怎麼已刪除的數據沒法恢復呢?」
業務場景大概如下, 系統需要提供MQ監聽上游的數據變化, 其中就包含了數據的刪除和恢復.
於是, 問題就出現了, 本以為更新sql是
但因為使用了@TableLogic(delval = "1", value = "0"), 和BaseMapper自動注入的方法, 所以最終執行的sql都會拼接上"where is_deleted = 0"
所以最終數據恢復了個寂寞
參考官網文檔說明
https://baomidou.com/pages/6b03c5/#%E4%BD%BF%E7%94%A8%E6%96%B9%E6%B3%95
既然用MyBatis-Plus自動注入的sql語句會又問題, 那麼只能自己重新完全定義sql來實現數據的邏輯恢復了.