本文包含的内容较多，包括AJAX，CORS，XSS，CSRF等内容，要完整的看完并理解需要付出一定的时间。
缘起：启用HTTPS也不够安全 有不少网站只通过HTTPS对外提供服务，但用户在访问某个网站的时候，在浏览器里却往往直接输入网站域名（例如www.example.com），而不是完整的URL（例如ht
Palo Alto Networks发现，攻击者越来越倾向于提前注册域名备用，利用这类战略性休眠域名的攻击越来越多。例如，SolarWinds事件的攻击者在实际攻击中利用的C&C 域名，在数年前就已注册。
WEB前端中最常见的两种安全风险，XSS与CSRF，XSS，即跨站脚本攻击、CSRF即跨站请求伪造,两者属于跨域安全攻击，对于常见的XSS以及CSRF在此不多谈论，仅谈论一些不太常见的跨域技术以及安全威胁。
据Bleeping Computer消息，同性恋应用程序Sniffies近日被黑灰产们盯上了。他们通过推销各类诈骗和不安全的谷歌Chrome扩展程序的域名来诱骗用户。在某些情况下，这些非法域名会启动 Apple Music 应用程序，提示用户购买订阅，这反过来又会为攻击者赚取佣金。
利用 OpenSSL 签发证书需要 OpenSSL 软件及库，一般情况下 CentOS、Ubuntu 等系统均已内置， 可执行 openssl 确认，如果提示 oepnssl: command not found,则需手动安装，以Centos为例：
本文介绍了2017年SSL证书行业的大事件，包括谷歌推动全球网站启用HTTPS、Chrome浏览器即将把HTTP网站标记为不安全、Firefox将把所有HTTP页面标记为不安全、微软要求Office 365用户使用TLS 1.2、苹果Safari技术预览版46添加HTTP安全警告等。
简要描述： 对链接进行识别，判断是否被微信拉黑 请求URL： https://www.98api.cn/api/wxTest.php 请求方式： GET 参数： 参数名 必选 类型 说明 url
TME live周杰伦地表最强摩天伦-“奇迹现场重映计划”之回首篇将于5月20日、5月21日在QQ音乐线上播出，截至目前直播总预约人数已达1476万。 而QQ音乐，也是DNSPod 的用户，通过DNSPod的产品HTTPDNS ，降低域名解析时延，保护数据传输安全、防劫持，给予粉丝们更好的视听盛宴。 那么本周的D妹小课堂，就给大家讲讲，面对像虎牙、TME live这类直播需求的客户，HTTPDNS是如何帮助这类APP 优化时延、保障访问安全的问题。 HTTPDNS 改善直播、点播推拉流慢、卡顿问题 用户痛
在iOS 9之后，苹果默认要求App访问的url必须为https的安全链接，http链接确实是不安全的，如果在开发过程中请求失败，控制台显示http不安全要用https之类的信息的话，那就是由于这个原因了。但是由于并非所有开发者都会去申请HTTPS证书来支持HTTPS访问，所以还是可以进行设置来正常访问HTTP的，方法如下：
在HTTPS出现之前，所有请求都是以明文方式送出的，那么如果有人在传输途中偷听或者抓包的话，你的所有通信内容都会泄漏。
referrer policy是unsafe url的，ok，下面介绍一下Referer和referrer policy
在HTTPS出现之前，所有请求都是以明文方式送出的，那么如果有人在传输途中偷听或者抓包的话，你的所有通信内容都会泄漏。比较安全的方法是将通信内容加密在发送给对方。加密方法有两种，对称加密和非对称加密。
目前，网络传输协议已逐步倾向于HTTPS加密协议。而HTTP升级到HTTPS的方法并不难，只需部署一张SSL证书即可，其安装方法并不难。具体系统安装SSL证书方法可参考GDCA SSL证书部署指南。但是其过程有一个比较复杂的问题，就是站点迁移到HTTPS。 HTTP站点迁移到HTTPS时，并非是新建一个站点。如果操作出错，Google就会认为你在新建一个站点。在迁移过程中，会因为重复的内容，新的协议站点会在Google重新计算。毕竟HTTP与HTTPS确实存在差异，一个是为客户端与服务端提供加密协议，是
因为浏览器出于安全考虑，有同源策略。也就是说，如果协议、域名或者端口有一个不同就是跨域，Ajax请求会败。 那么是出于什么安全考虑才会引入这种机制呢？ 其实主要是用来防止 CSRF 攻击的。简单点说，CSRF 攻击是利用用户的登录态发起恶意请求。也就是说，没有同源策略的情况下，A 网站可以被任意其他来源的 Ajax 访问到内容。如果你当前 A网站还存在登录态，那么对方就可以通过 Ajax获得你的任何信息。当然跨域并不能完全阻止CSRF。
安全涉及的领域很大， 我也仅仅是了解一些皮毛， 每次面试前都要找资料复习， 很麻烦。
据CybelAngel称，企业防火墙外的关键漏洞是网络安全威胁的最大来源。在所有行业中，这些由未受保护或被破坏的资产、数据和凭证组成的漏洞，已成为对企业检测和保护的一个巨大挑战。 关键的网络安全漏洞 该报告还强调了黑客到达目标的关键路径，以及网络犯罪的趋势、数据风险的关键领域和按行业分列的风险暴露。 在暴露的问题中，CybelAngel发现： 所有检测到的威胁中，87%来自第三方或恶意行为者。 在所有检测到的面向互联网的资产中，9%存在相关的未修补漏洞。排名前十的CVE被发现未打补丁的次数至少各为120
最基本组成：一个 server 节点一个域名配置，要添加其他配置添加 server 节点即可
HTTPS 如今已经相当普及，但是仍然有不少的同学，没有学过如何部署 HTTPS，刚好明哥前段时间折腾网站 ，刚好可以把这个过程详细的记录下来，教大家如何将你的 HTTP 网站上点亮 HTTPS 。
我们在购买完服务器和域名后，并且搭建好自己的网站，我们此时的访问是基于http请求的，网站地址栏也会提示我们不安全。所以我们要申请SLL证书，把http请求强制为https请求！
由于HTTP是一个可扩展的协议，各浏览器厂商都率先推出了有效的头部，来阻止漏洞利用或提高利用漏洞的难度。了解它们是什么，掌握如何应用，可以提高系统的安全性。 下面就简单介绍一下这些安全头的含义以及效果。
来源链接：https://www.brokenbrowser.com/loading-insecure-content-in-secure-pages/ 原作者：MagicMac 译：Holic (知道创宇404安全实验室) 毋庸置疑，当今网络正在向 HTTPS（安全）内容发展。至关重要的域名现在已经将他们的证书准备好了，他们的站点应该是有效且安全的。但是你是不是很好奇：到底能安全到何种程度？显然，通过 HTTPS 提供的内容是可以抵御中间人工具（MITM），网络嗅探/篡改等方面的攻击的。但是你有没有想过，
[TOC] 0x00 快速入门 OWASP是什么? 描述: Open Web Application Security Project (OWASP)开源Web应用安全项目（OWASP）是一个在线开放
完整高频题库仓库地址：https://github.com/hzfe/awesome-interview
攥写自 Chad Brubaker，Android 安全部门高级软件工程师。 Android 一直致力于保护其用户，用户的设备以及用户数据的安全。其中一种我们保持数据安全的方式是让所有进入或离开 Android 设备的数据通过安全传输层（TLS）来通信。如同我们在 Android P 预览版中宣布的一样，我们正在通过阻止目标为 Android P 的应用在默认情况下允许未加密的连接这一行为来进一步改进这些保护措施。 伴随着多年来我们为了更好地保护 Android 用户所做出的改变。为了防止意外的非加密连接
许多博客至今仍旧在使用HTTP协议传输数据，甚至明文传输密码，用户信息和网站的安全存在很大的隐患。许多大厂已经开始发放免费SSL证书，但是由于许多站长的不重视，至今仍有大量网站并未实现全站HTTPS。
目前，很多站都开始实现 HTTPS 了，本站也开启了 HTTPS，而且还开启强制 HTTPS 机制，对于网站的 HTTP 请求全部 301 跳转到 HTTP，从而实现全站 HTTPS，一切为了安全！ HSTS 协议 HSTS 的全称是 HTTP Strict-Transport-Security，它是一个 Web 安全策略机制（web security policy mechanism），是国际互联网工程组织 IETE 正在推行一种新的 Web 安全协议，作用是强制客户端（如浏览器）使用 HTTPS 与服务
上一篇我们在讲优酷弹幕爬虫的时候，引入了一个新的知识点：Cookie，由于篇幅有限当时只是简单的给大家介绍了一下它的作用，今天我们就来全面了解一下Cookie（小饼干）以及相关的知识！
为了能让 Charles 代理 HTTPS，之前到网上看了很多教程，曾经自己捣鼓过，不过一直都没能成功，索性就不弄了。
1990年互联网诞生之初，就已经开始用超文本传输协议 HTTP 传输数据，这也是为什么现在网页地址都是以 http 开头的原因。但是HTTP协议传输数据是明文传输，任意的人抓包就能看到传输的数据，这显然不安全。1994年，Netscape 公司用加密协议增加了 HTTP，开始在 HTTP 的基础上加入 SSL 即安全套接层（Secure Socket Layer）。称为 "HTTP over SSL" 或者 "HTTP Secure"，也就是我们现在熟知的 HTTPS。
在『又一次真实案例证明了滥用 WordPress 插件的危害』文章发布后，不少站长都很好奇这篇文章说的是哪个插件？其实很多时候说 WordPress 插件的安全性的时候并不会特定到某个插件，以前明月认为哪个插件不安全就卸载删除即可，其实这个观点并不对！因为 WordPress 插件带来的安全问题是多方面的，涉及的因素有很多，今天明月就给大家说道说道这个事儿，希望可以让站长们更好的选择和使用 WordPress 插件，当然也包括一些主题。
很多问题不是一个指令就可以得到精准结果的，需要根据每个问题深入去了解，不能浅尝即止，期待大家提交prompts。
本文将介绍一个涉及安全和隐私的http请求头中的字段—referrer，以及如何通过Referrer Policy去修改referrer的值或者是显示与否。
1、类型 1）反射型：通过网络请求参数中加入恶意脚本，解析后执行触发。 2）文档型：请求传输数据中截取网络数据包，对html代码插入再返回。 3）存储型：通过输入发送到服务端存储到数据库。 2、防范措施 1）对用户输入进行过滤或转码。 2）csp(内容安全策略)。 使CSP可用, 你需要配置你的网络服务器返回 HTTP头部
RFC 6265定义了 cookie 的工作方式。在处理 HTTP 请求时，服务器可以在 HTTP 响应头中通过HTTP Headers Set-Cookie 为客户端设置 cookie。然后，对于同一服务器发起的每一个请求，客户端都会在 HTTP 请求头中以字段 Cookie 的形式将 cookie 的值发送过去。也可以将 cookie 设置为在特定日期过期，或限制为特定的域和路径。
【教你搭建服务器系列】搭建服务器环境，安装JDK、MySQL、Redis、Tomcat、Nginx （二）
通过ftp把项目上传到服务器。上传到 /var/www/web/HaCresume
使用对称加密的缺点，使用对称加密双方都知道密钥和算法。加密解密用的是一个密钥，加密是正向的过程，解密是逆向过程。
你是否会这样：每到一个地方都会先问有没有免费 Wi-Fi，密码是啥，一会儿不玩手机就手痒，以至于经常有网友这样说：我这条命是 Wi-Fi 和手机给的。相应的，商家为了吸引顾客，纷纷在店面内架设起免费 Wi-Fi ，这简直就是我们这些「没 Wi-Fi 会死星人」的福音。
如果证书验证没问题，就从证书中取出服务器的公钥，然后使用它加密报文，向服务器发送以下信息：
根据安全研究人员的调查发现，在去年每一次的加密货币ICO（首次币发行）都平均包含五个安全漏洞，其中只有一次ICO不包含任何严重的安全漏洞。根据Positive.com提供的信息，其中的大部分漏洞都存在于智能合约中。
大家好，我是年年！提起CORS，大部分的文章都在写什么是简单请求、什么是复杂请求，复杂请求预检的流程又是怎样。
CIT极客周刊于每周六与大家见面，给大家带来最前沿的IT界及其相关行业的资讯及变动。 微信和苹果的“赞赏”之战！ Top 1 上周六（4月22日），微信官方发布消息称，公众号群发文章支持添加小程序卡
HTTP Cookie（也叫 Web Cookie 或浏览器 Cookie）是服务器发送到用户浏览器并保存在本地的一小块数据，它会在浏览器下次向同一服务器再发起请求时被携带并发送到服务器上。通常，它用于告知服务端两个请求是否来自同一浏览器，如保持用户的登录状态。Cookie 使基于无状态的HTTP协议记录稳定的状态信息成为了可能。
如何制作网站，个人向腾讯云网站搭建教程。想要制作一个网站，我们需要准备两样东西域名和服务器，其中域名是我们访问网站依据，例如我们现在所熟知的baidu.com，它的作用和门牌号类似，我们不需要知道房子在世界上的具体经纬度，只需要根据门牌号就能够一步步找到具体的房子。同样的，我们不需要知道百度这个网站对应的ip地址，只需要知道域名就能找到百度这网站。而服务器则可以看作是存放一台存放网站内容的电脑，我们访问网站的过程看作是将服务器的网站内容下载到本地并在浏览器上显示的过程。
如果评选一个差评服务器榜单，除去育碧高居榜首外，一定也少不了 Nintendo Switch 让人头秃的联网服务。尽管任天堂已经架设了香港 CDN 服务器用于加速，但是更新安装的速度也没有什么大幅改变。一般这种时候大家都会选择更改 DNS 来提高 NS 下载速度。DNS 相关可以参考前几天发布的《聊聊 DNS 的那些小知识》文章。它可以帮助大家了解DNS 的基础知识。
利用第一个漏洞可以通过postMessage方式从facebook.com网站中发送跨域（cross-origin）消息，存在漏洞的路径会接收攻击者在请求参数中构造的控制内容，同时会以postMessage请求中提供的数据创建一个对象从而打开窗口。第二个漏洞与第一个漏洞相关，其影响为可以构造不安全的脚本形成XSS，或者基于接收数据通过Eventlistener方式提交表单。 漏洞：通过postMessage方式从facebook.com网站中发送跨域（cross-origin）消息 存在漏洞的路径为http
内容来源：2018 年 09 月 15 日，华为资深技术专家李欣哲在“从研发到测试，手把手教你打造绿色应用”进行《应用安全常见问题及解决方案》的演讲分享。IT 大咖说（微信id：itdakashuo）作为独家视频合作方，经主办方和讲者审阅授权发布。
近年来，越来越多的用户在搭建网站或图床时将图片视频等资源上传到对象存储COS，提升了访问稳定性的同时降低了服务器的存储空间压力，但随之而来的流量盗刷、图片盗链问题也困扰着不少开发者，一旦存储空间被恶意访问，会产生高额的流量费用，产生不必要的纠纷。这类问题实际上可以通过多种手段来防护，本文将主要介绍一些常见的防护手段，帮助开发者合理配置存储桶，建立安全机制，降低因类似问题带来的大额资金损失的风险。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
