文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

【DB宝71】PostgreSQL图形化界面工具之pgAdmin4

pgAdmin4 是python开发的web应用程序，既可以部署为web模式通过浏览器访问，也可以部署为桌面模式独立运行。...另外，如果我们安装了Windows版本的PostgreSQL数据库，那么默认在安装目录下也自带了pgAdmin4工具： 安装过程中也可以选择： img 3、docker安装pgAdmin4 如果我们不想在本地安装...BY多个列的情况下，您使用的任何列进行分组时，要确保这些列应在列表中可用。...SELECT NAME FROM STUDENT2 GROUP BY NAME; 减少冗余数据 我们可以先添加一些重复的数据在表里面,当我们使用GROUP BY NAME时，可以看到重复的名字数据记录被合并...5.8、HAVING 的用法 在PostgreSQL中，HAVING子句与GROUP BY子句组合使用，用于选择函数结果满足某些条件的特定行。

10.1K20
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    Axios曝高危漏洞，私人信息还安全吗？

    然而，近期在安全社区中，Axios被报告存在一个重要漏洞，该漏洞涉及其对跨站请求伪造（CSRF）保护机制的处理。...XSRF-TOKEN 是一种常用的防御措施，它涉及到在客户端生成一个令牌（Token），这个令牌会在进行敏感操作时由服务器进行验证。...该令牌通常在用户打开表单时由服务器生成，并作为表单数据的一部分发送回服务器。服务器将验证提交的表单中的XSRF-TOKEN是否与用户的会话中存储的令牌相匹配，以确认请求是合法的。...「客户端实现错误」：客户端代码，比如JavaScript或Web框架，可能没有正确地在每个请求中发送XSRF-TOKEN，或者在处理cookies时出现错误，导致令牌不被包含在请求中。...确认在使用Axios实例发送请求时，"XSRF-TOKEN" cookie的值会泄露给任何第三方主机。这对于安全至关重要，因为你不希望将CSRF令牌泄漏给未授权的实体。

    3.8K20

    一种不错的 BFF Microservice GraphQLREST API 层的开发方式

    这将在构建中设置集成测试环境 npm run itest:build 运行 node 服务器并对其进行集成测试 这等待服务器启动，运行测试，然后在完成时终止所有进程 npm itest:run 尝试一下...它将给出一个错误（注意：错误处理需要改进，但是这里我们只看这个概念） Step 3 - 在执行 “examples” 查询之前，使用 Bearer token 设置授权头。...(注意：您需要在之前运行 login mutation，然后使用 Authorization token 设置 HTTP header) CSRF Security 在生产模式中启用了 CSRF 安全性...req.headers['x-csrf-token'] - X-CSRF-Token HTTP 请求头。...默认情况下，这假设 SonarQube 服务器使用默认端口在本地运行 运行单元测试 npm run test 测试结果以 sonar 兼容格式收集在结果文件夹中 将结果推送到 SonarQube npm

    3.4K10

    011_Web安全攻防实战：CSRF攻击原理、绕过技术与多层防御策略深度指南

    应用在验证CSRF令牌时可能存在逻辑错误： 仅验证令牌存在：只检查令牌是否存在，不验证其有效性 大小写不敏感：令牌比较时不区分大小写，可能被利用 部分匹配：只验证令牌的一部分，其余部分可被修改 绕过示例...CSRF令牌 令牌传递：将令牌嵌入到HTML页面中或存储在cookie中 请求携带：客户端在提交表单或发送Ajax请求时携带该令牌 令牌验证：服务器验证请求中的令牌是否与用户会话中的令牌匹配 5.1.2...中读取令牌并添加到请求中 令牌验证：服务器比较请求中的令牌和Cookie中的令牌是否匹配 5.2.2 实现要点 在实现双重提交Cookie模式时，需要注意以下几点： Cookie的安全属性：设置HttpOnly...Token，同时存储在Session中，并设置到Cookie中 Token提交：用户提交请求时，从Cookie中读取Token，并将其作为请求参数或头部提交 Token验证：服务器验证请求中的Token...绕过方法： 在HTTP环境中发起请求，利用SameSite=None的错误配置 通过中间人攻击在HTTPS连接中注入恶意请求 防御建议： 设置SameSite=None时必须同时设置Secure属性 确保网站只在

    94010

    复现pgAdmin4

    攻击者可以利用特殊字符绕过 pgAdmin4 对文件内容的安全检查，在 SQL 文件中嵌入元命令（\!），从而通过 psql 程序在服务器上执行任意系统命令，实现远程代码执行。...二、受影响版本 pgAdmin4（版本<=9.10） 三、漏洞复现步骤 这里以vulhub的pgadmin docker环境作为漏洞复现测试，复现的系统在ubuntu中 链接地址： https://github.com...pgadmin/CVE-2025-13780中，如下所示 3.在终端运行docker命令（默认ubuntu服务器已安装docker环境，如果未安装docker环境可以参考该链接ubuntu安装docker...up -d 4.等容器启动后，在浏览器输入http://localhost:5050进入pgAdmin4登录页面，如下所示 5.以vulhub@example.com / vulhub登录凭据登录pgAdmin4...pgAdmin4 9.10 的检查逻辑可能只检测了 \n后跟 \!的模式，而 \r可以起到相似的分隔作用（在 psql中），从而绕过检测。 \\!

    9310

    PostgreSQL管理工具pgAdmin 4中XSS漏洞的发现和利用

    本文我将给大家讲述我是如何发现及利用pgAdmin4桌面客户端中的XSS漏洞。在看完本文之后，请尽快升级到1.4版本。...接下来得找一个方法在获得的上下文中完成一些有趣的事情。我们必须要注意到2件事，一是环境对我们的限制，二是在正常环境下应用程序是如何执行各种操作的(即它是如何进行查询操作的)。...第二次失败 我认为对本地服务执行CSRF攻击或许有的玩，但事实证明pgAdmin每次启动端口都会改变，此外还会请求一个token令牌进行设置，就目前来看我们没得玩啊。...如果连接到数据库的用户有些权限，执行以下3个请求将会帮助你获得一个非常不错的shell： 1、使用Python语言 create language plpythonu 2、创建一个调用函数，你也可以将其放进上面的...PoC中： ?

    1.8K100

    Go 语言安全编程系列（一）：CSRF 攻击防护

    我们来看看 csrf.Protect 是如何工作的： 当我们在路由器上应用这个中间件后，当请求到来时，会通过 csrf.Token 函数生成一个令牌（Token）以便发送给 HTTP 响应（可以是 HTML...HTML 表单 首先是 HTML 表单，csrf.Protect 中间件使用起来非常简单，你只需要在启动 Web 服务器时将其应用到路由器上即可，然后在渲染表单视图时传递带有令牌信息的 csrf.TemplateField...响应了： 错误信息是 CSRF 令牌值无效。...// 这样一来，咱们的 JSON 客户端或者 JavaScript 框架就可以读取响应头获取 CSRF 令牌值 // 然后在后续发送 POST 请求时就可以通过 X-CSRF-Token.../api/user/1 接口，就可以获取如下响应信息： 这样一来，我们就可以在客户端读取响应头中的 CSRF 令牌信息了，以 Axios 库为例，客户端可以这样发送包含 CSRF 令牌的 POST 请求

    5.2K41

    ThinkPHP-CSRF 保护和安全性

    CSRF（Cross-Site Request Forgery）攻击是一种常见的Web安全漏洞。攻击者利用受害者在未经授权的情况下执行恶意请求的漏洞，从而实现对受害者的攻击。...这个令牌在表单提交时将随着表单数据一起提交到服务器，用于验证表单是否来自可信的来源。我们可以使用内置的token()函数来生成CSRF令牌。...在表单提交时，这个字段的值将一起提交到服务器，用于验证表单的来源。在控制器中，我们可以使用内置的checkToken()方法来验证CSRF令牌是否有效。如果验证不通过，我们可以抛出异常或返回错误信息。...// ... }}在这个示例中，我们在控制器的方法中使用了checkToken()方法来验证CSRF令牌是否有效。...如果验证不通过，我们返回了一个错误信息。在实际开发中，我们可能需要根据具体的业务需求进行更复杂的验证和处理。

    1.3K01

    资深开发者亲授：.NET 9 应用安全实战指南

    认清安全威胁全景 在动手实施前，先了解主要威胁： • 注入攻击（SQL、XSS 等） • 身份验证漏洞 • 敏感数据暴露 • 安全配置错误 • 不安全反序列化 • 日志监控缺失 .NET 9 虽自带安全改进...options.AddPolicy("default", policy => policy.WithLimit(, TimeSpan.FromMinutes())); // 每分钟最多100次请求...定期安全更新 • 更新 NuGet 包：定期运行 dotnet list package --outdated • 漏洞扫描：使用 dotnet security audit 等工具 • 启用自动安全更新...：Docker 容器和依赖项 安全不是加个库就完事了，而是需要警惕心、最佳实践和持续学习的系统工程。...在 .NET 9 应用中实施这些策略后，你保护的不仅是代码，更是用户、数据和声誉。 作为资深开发者，我亲眼见证过安全加固如何避免灾难。请严肃对待安全，持续改进！ 下一步行动 1.

    33810

    密码学系列之:csrf跨站点请求伪造

    CSRF的特点 在CSRF的恶意攻击中，攻击者的目标是让被攻击者在不知不觉中向有权限访问的网站提交恶意的web请求。...比如它可以嵌入到发送给受害者的电子邮件中的html图像标签中，当受害者打开其电子邮件时，该图像会自动加载。...可以通过使用每个会话CSRF令牌而不是每个请求CSRF令牌来放宽它。...在初次访问web服务的时候，会在cookie中设置一个随机令牌，该cookie无法在跨域请求中访问： Set-Cookie: csrf_token=i8XNjC4b8KVok4uw5RftR38Wgp2BFwql...但是，这可能会严重干扰许多网站的正常运行。 有些浏览器扩展程序如CsFire扩展（也适用于Firefox）可以通过从跨站点请求中删除身份验证信息，从而减少对正常浏览的影响。

    3.6K20

    Spring Security 的 CSRF 的相关资料

    原理是：当用户发送请求时，服务器端应用将令牌（英语：token，一个保密且唯一的值）嵌入HTML表格，并发送给客户端。客户端提交HTML表格时候，会将令牌发送到服务端，令牌的验证是由服务端实行的。...检查Referer字段HTTP头中有一个Referer字段，这个字段用以标明请求来源于哪个地址。在处理敏感数据请求时，通常来说，Referer字段应和请求的地址位于同一域名下。...添加校验 token由于CSRF的本质在于攻击者欺骗用户去访问自己设置的地址，所以如果要求在访问敏感数据请求时，要求用户浏览器提供不保存在cookie中，并且攻击者无法伪造的数据作为校验，那么攻击者就无法再执行...这种数据通常是窗体中的一个数据项。服务器将其生成并附加在窗体中，其内容是一个伪随机数。当客户端通过窗体提交请求时，这个伪随机数也一并提交上去以供校验。...正常的访问时，客户端浏览器能够正确得到并传回这个伪随机数，而通过CSRF传来的欺骗性攻击中，攻击者无从事先得知这个伪随机数的值，服务端就会因为校验token的值为空或者错误，拒绝这个可疑请求。

    76120

    Spring Security 的 CSRF 的相关资料

    原理是：当用户发送请求时，服务器端应用将令牌（英语：token，一个保密且唯一的值）嵌入HTML表格，并发送给客户端。客户端提交HTML表格时候，会将令牌发送到服务端，令牌的验证是由服务端实行的。...检查Referer字段 HTTP头中有一个Referer字段，这个字段用以标明请求来源于哪个地址。在处理敏感数据请求时，通常来说，Referer字段应和请求的地址位于同一域名下。...添加校验 token 由于CSRF的本质在于攻击者欺骗用户去访问自己设置的地址，所以如果要求在访问敏感数据请求时，要求用户浏览器提供不保存在cookie中，并且攻击者无法伪造的数据作为校验，那么攻击者就无法再执行...这种数据通常是窗体中的一个数据项。 服务器将其生成并附加在窗体中，其内容是一个伪随机数。当客户端通过窗体提交请求时，这个伪随机数也一并提交上去以供校验。...正常的访问时，客户端浏览器能够正确得到并传回这个伪随机数，而通过CSRF传来的欺骗性攻击中，攻击者无从事先得知这个伪随机数的值，服务端就会因为校验token的值为空或者错误，拒绝这个可疑请求。

    77020

    供应链系统前端安全防护：XSS、CSRF与JWT攻防实战

    一、引言前端安全防护做为保障业务稳定运行的关键环节。XSS（跨站脚本攻击）、CSRF（跨站请求伪造）和JWT（JSON Web Token）的安全性问题，一直是开发中的重点。...四、CSRF防护实战4.1 协作目标与AI协助CSRF（跨站请求伪造）攻击在供应链系统中尤为危险，攻击者可能诱导已认证用户执行非预期的业务操作，如修改订单、确认发货等。...：为每个会话生成唯一CSRF令牌通过Cookie和Header双重传递令牌验证敏感请求的令牌有效性重点逻辑：使用加密安全随机数生成器生成令牌仅对需要保护的HTTP方法进行验证令牌同时通过Cookie和请求头...在测试中成功阻挡了所有CSRF攻击尝试，同时保持了良好的用户体验。AI工具帮助我理解了不同防护策略的优缺点，并提供了实现参考。...在测试中成功防止了令牌篡改、重放攻击等安全威胁。AI工具帮助我理解了JWT的各种安全考虑，并提供了实现的最佳实践。

    47520

    sqlmap最新版命令翻译 （劝退指南）

    （秒） --timeout=TIMEOUT 在超时连接之前等待的秒数（默认 30） --retries=RETRIES 连接超时时重试次数（默认 3） --retry-on=RETRY_ON 在内容与正则表达式匹配时重试请求...skip-urlencode 跳过有效载荷数据的 URL 编码 --csrf-token=CSRF_TOKEN 用于存储反 CSRF 令牌的参数 --csrf-url=CSRF_URL 访问以提取反 CSRF...令牌的 URL 地址 --csrf-method=CSRF_METHOD 在访问反 CSRF 令牌页面时使用的 HTTP 方法 --csrf-data=CSRF_DATA 在访问反 CSRF 令牌页面时发送的...POST 数据 --csrf-retries=CSRF_RETRIES 获取反 CSRF 令牌的重试次数（默认 0） --force-ssl 强制使用 SSL/HTTPS --chunked 使用 HTTP...DBMS 注释 --statements 检索在 DBMS 上运行的 SQL 语句 -D DB 要枚举的 DBMS 数据库 -T TBL 要枚举的 DBMS 数据库表(s) -C COL 要枚举的 DBMS

    38300

    Spring Security 之防漏洞攻击

    这种方式除了每个HTTP请求除了session cookie外，另外在HTTP请求中存在一个随机生成的值，称为CSRF令牌。...当提交HTTP请求时，服务器查找预期的CSRF令牌，并将其与HTTP请求中的CSRF令牌进行比较，如果不匹配，HTTP请求将被拒绝。...这意味着一旦会话到期，服务器将找不到预期的CSRF令牌并拒绝HTTP请求。以下是一些解决办法： 减少超时的最佳方法是在表单提交时使用JavaScript请求CSRF令牌。...对于给multipart/form-data请求进行CSRF保护，有两种办法： 在Body中放置CSRF令牌 在请求主体中包含实际的CSRF令牌。...在URL中放置CSRF令牌 如果允许未经授权的用户上载临时文件是不可接受的，另一种方法是在表单的action属性中包含预期的CSRF令牌作为查询参数。这种方法的缺点是查询参数可能会泄漏。

    3.4K20

    总结 XSS 与 CSRF 两种跨站攻击

    这时服务器端如果没有过滤或转义掉这些脚本，作为内容发布到了页面上，其他用户访问这个页面的时候就会运行这些脚本。 运行预期之外的脚本带来的后果有很多中，可能只是简单的恶作剧——一个关不掉的窗口： ?...CSRF 顾名思义，是伪造请求，冒充用户在站内的正常操作。...在接收请求的页面，把接收到的信息中的令牌与 Session 中的令牌比较，只有一致的时候才处理请求，否则返回 HTTP 403 拒绝请求或者要求用户重新登录验证身份。...原则上来说，每个页面的请求令牌都应该放在独立的 Session Key 中。我们在设计服务器端的时候，可以稍加封装，编写一个令牌工具包，将页面的标识作为 Session 中保存令牌的键。...无论是普通的请求令牌还是验证码，服务器端验证过一定记得销毁。忘记销毁用过的令牌是个很低级但是杀伤力很大的错误。

    2.2K80

    网络安全之【XSS和XSRF攻击】

    b.com，b.com是我搭建的网站，当我的网站接收到该信息时，我就盗取了Tom在a.com的cookie信息，cookie信息中可能存有登录密码，攻击成功！...CSRF 顾名思义，是伪造请求，冒充用户在站内的正常操作。...在接收请求的页面，把接收到的信息中的令牌与 Session 中的令牌比较，只有一致的时候才处理请求，否则返回 HTTP 403 拒绝请求或者要求用户重新登陆验证身份。...原则上来说，每个页面的请求令牌都应该放在独立的 Session Key 中。我们在设计服务器端的时候，可以稍加封装，编写一个令牌工具包，将页面的标识作为 Session 中保存令牌的键。...无论是普通的请求令牌还是验证码，服务器端验证过一定记得销毁。忘记销毁用过的令牌是个很低级但是杀伤力很大的错误。

    1.8K31

    Laravel 后台登录 403 Forbidden 错误深度解决方案-优雅草卓伊凡|泡泡龙

    发现莫名403 forbidden，真是佛了，于是卓伊凡继续找原因由于此前时间太久小伙伴也忘记当时的处理方法了，不过等我最终处理下来恍然大悟，必须记录当年主程也忘了遇到的 403 Forbidden 错误通常是由于安全机制阻止了登录请求...以下是系统化的解决方案：一、核心问题诊断CSRF 令牌验证失败虽然请求头中有 X-Csrf-Token，但可能不匹配检查 XSRF-TOKEN cookie 与 X-Csrf-Token 头是否同步会话...// 'admin/auth/login'];前端修正方案：// 确保 AJAX 请求携带正确的 CSRF 令牌$.ajaxSetup({ headers: { 'X-CSRF-TOKEN...emergency', 'password' => bcrypt('safe_password'), 'name' => 'Emergency Access' ]);}运行...('admin')->loginUsingId(1); return redirect('/admin');})->middleware(['throttle:3,1440']); // 24小时内限

    21900
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券