HSTS的来龙去脉

前言安全经常说“云.管.端”,“管”指的是管道,传输过程中的安全.为了确保信息在网络传输层的安全,现在很多网站都开启了HTTPS,也就是HTTP+TLS,在传输过程中对信息进行加密.HTTPS使用了对称加密.非对称加密.消息摘要.证书等技术.但是我们也要考虑以下几个问题: 1.如果确保全站HTTPS? 2.HTTPS开启后,还会遭受中间人攻击吗? 下面的文章就来解释下第二个问题. 1. 缘起:启用HTTPS也不够安全有不少网站只通过HTTPS对外提供服务,但用户在访问某个网站的时候,在浏览器…

【流量劫持】躲避 HSTS 的 HTTPS 劫持

前言 HSTS 的出现,对 HTTPS 劫持带来莫大的挑战. 不过,HSTS 也不是万能的,它只能解决 SSLStrip 这类劫持方式.但仔细想想,SSLStrip 这种算劫持吗? 劫持 vs 钓鱼从本质上讲,SSLStrip 这类工具的技术含量是很低的.它既没破解什么算法,也没找到协议漏洞,只是修改和代理了明文的封包而已. 如果说劫持,要保持源站点不变才算的话,那 SSLStrip 并没做到.根据同源的定义,<协议, 主机名, 端口> 三者必须相同.显然它修改了协议,因此并非在源站点上劫持…

使用https的HSTS需要注意的一个问题

HSTS(HTTP Strict Transport Security) 简单来说就是由浏览器进行http向https的重定向.如果不使用HSTS,当用户在浏览器中输入网址时没有加https,浏览器会默认使用http访问,所以对于https站点,通常会在服务端进行http至https的重定向.如果用了HSTS,就可以减少服务端的这次重定向. 当我们部署https时,发现HSTS的这个用处后,立马就使用了它,使用方法很简单——在响应头中加上 strict-transport-security:ma…

【转载】VC维的来龙去脉

本文转载自火光摇曳原文链接:VC维的来龙去脉目录: 说说历史 Hoeffding不等式 Connection to Learning 学习可行的两个核心条件 Effective Number of Hypotheses Growth Function Break Point与Shatter VC Bound VC dimension 深度学习与VC维小结参考文献 VC维在机器学习领域是一个很基础的概念,它给诸多机器学习方法的可学习性提供了坚实的理论基础,但有时候,特别是对我们工程师而言…

HTTPS强制安全策略-HSTS协议阅读理解

https://developer.mozilla.org/en-US/docs/Web/Security/HTTP_strict_transport_security [阅读理解式翻译,非严格遵循原始文档,以更生动表现出文章本义] HTTP Strict Transport Security HTTP Strict Transport Security (often abbreviated as HSTS) is a security feature that lets a web site…

Sql Server来龙去脉系列必须知道的权限控制核心篇

最近写了<Sql Server来龙去脉系列必须知道的权限控制基础篇>,感觉反响比较大.这可能也说明了很多程序猿对数据库权限控制方面比较感兴趣,或者某些技术点了解的没有很透彻. 有些人看了上篇感觉意犹未尽,介绍的都是基础方面,不够深入.那么本篇内容就比较符合大家的胃口,本篇包括了数据库常用的权限控制,例如服务角色以及数据库角色管理. 提几个问题在介绍权限控制之前先提下面几个问题,如果有回答不上来的问题,本篇内容你应该看.如果很清晰的回答出这些问题,那么本篇接下来的内容你可以直接忽略. 1.…

Sql Server来龙去脉系列必须知道的权限控制基础篇

题外话:最近看到各种吐槽.NET怎么落寞..NET怎么不行了..NET工资低的帖子.我也吐槽一句:一个程序猿的自身价值不是由他选择了哪一门技术来决定,而是由他自身能创造出什么价值来决定. 在进入本篇内容之前,这里有几个问题: 1.一般程序猿都知道怎样创建.修改.登录账号,但知不知道登陆账号存储在哪个表或者视图? 2.数据库中其实存在登录账号和用户两个概念,你能解释清楚这两个概念吗? 3.对于一个登录账号,我们可以为他设置哪些权限? 4.你清不清楚数据库信息存储在哪些表或试图? 5.我们可以给登录…

Sql Server来龙去脉系列之四数据库和文件

在讨论数据库之前我们先要明白一个问题:什么是数据库? 数据库是若干对象的集合,这些对象用来控制和维护数据.一个经典的数据库实例仅仅包含少量的数据库,但用户一般也不会在一个实例上创建太多的数据库.一个数据库实例最多能创建32767个数据库,但是按照实际情况,一般设计是不会达到这个限制值. 为了更明显地说明数据库,数据库包含了以下属性和功能: *. 它是很多对象的集合,比如表.视图.存储过程.约束.对象集合的最大值是2(31) - 1(超过2百亿).一般对象的数量在几…

Sql Server来龙去脉系列之三查询过程跟踪

我们在读写数据库文件时,当文件被读.写或者出现错误时,这些过程活动都会触发一些运行时事件.从一个用户角度来看,有些时候会关注这些事件,特别是我们调试.审核.服务维护.例如,当数据库错误出现.列数据被更新.CPU占用过高等,跟踪这些状态是非常有用地. 本章节覆盖了事件系统的关键区域:触发器.事件通知器.改变跟踪.SQL跟踪.扩展事件等.这些事件都有一个相似目的:响应或者记录发生的事件.但每一中事件的工作方式又不一样. 基础:触发器和事件通知器触发器非常多,Data Manipulation La…

Sql Server来龙去脉系列之二框架和配置

本节主要讲维持数据的元数据,以及数据库框架结构.内存管理.系统配置等.这些技术点在我们使用数据库时很少接触到,但如果要深入学习Sql Server这一章节也是不得不看.本人能力有限不能把所有核心的知识点理解透,所以有些描述的也不是很清楚.但当接下来的几个章节学习后再复习这些知识点应该能更容易理解. 数据库对象数据库维持了一系列表存储所有对象.数据类型/约束/配置项/资源等,在2008种我们叫他们为system base tables,并且这些表我们默认是看不到的.我们可以通过管理员登陆数据库,…

Sql Server来龙去脉系列之一目录篇

从工作一直到现在都没怎么花功夫深入学习下Sql Server数据库,在使用Sql Server时90%的时间基本上都是在接触T-SQL,所以数据库这块基本上属于菜鸟级别.至于数据库的底层框架以及运行机制都几乎没有了解,当我看到<Microsoft SQL Server 2008 Internals>这本书时,里边详细的介绍了数据库的框架.引擎以及我们经常提到的查询优化器(Query Optimizer).自我觉得微软这边书写的真心不错,毕竟Sql Server也是微软自己的东西,所以他们介绍这…

HTTP HSTS协议和 nginx

导读 Netcraft 公司最近公布了他们检测SSL/TLS网站的研究,并指出只有仅仅5%的用户正确执行了HTTP严格传输安全HSTS.本文介绍nginx如何配置HSTS. 什么是HSTS HTTPS(SSL和TLS)确保用户和网站通讯过程中安全,使攻击者难于拦截.修改和假冒.当用户手动输入域名或http://链接,该网站的第一个请求是未加密的,使用普通的http.最安全的网站立即发送回一个重定向使用户引向到https连接,然而,中间人攻击者可能会攻击拦截初始的http请求,从而控制用户后续的回…

Linux Kernel中断子系统来龙去脉浅析【转】

转自:http://blog.csdn.net/u011461299/article/details/9772215 版权声明:本文为博主原创文章,未经博主允许不得转载. 一般来说,在一个device driver中实现中断,是比较简单的,如上面的RTC的例子.其无非就是: 1. 定义一个IRQ No.如何将Hardware中断信息map到我们的IRQ No就是get_irqnr_and_base要做得事情,get_irqnr_and_base是一个macro,后面会详细分析之.这个…

使用mitmf 来绕过HSTS站点抓取登陆明文

使用mitmf 来绕过HSTS站点抓取登陆明文 HSTS简介 HSTS是HTTP Strict Transport Security的缩写,即:"HTTP严格安全传输".当浏览器第一次访问一个HSTS站点,会跳转到https页面,并种植hsts,下次再访问此站时,只要HSTS 还在有效期中,浏览器就会响应一个 HTTP 307 头,在不经过网络请求直接本地强制http跳转到https.这样可以有效防止基于SSLStrip的中间人攻击,对于伪造的证书,会显示错误,并且不允许用户忽略警告.…

ajax的来龙去脉

这是我在博客园写的第一遍博客,之前都是只看不写,在园子里学到了不少的东西,现在也想着把自己的一些感悟写出来给大家分享一下. ajax技术可以说是Web2.0应用程序的技术基础,尽管软件经销商和开源社区提供很多ajax的框架,但是我们仍然有必要理解ajax实现的来龙去脉. 首先要说的是HTTP请求,因为ajax是基于HTTP请求的,所以说ajax就必须要从HTTP请求说起.我们知道我们上网的过程就是浏览器和服务器进行文件传输的过程,而他们之间之所以能够进行传输文件肯定是遵守了一定的规范,而HTTP…

web前端利用HSTS(新的Web安全协议HTTP Strict Transport Security)漏洞的超级Cookie(HSTS Super Cookie)

web前端如果想实现cookie跨站点,跨浏览器,清除浏览器cookie该cookie也不会被删除这似乎有点难,下面的教程让你完全摆脱document.cookie 1.服务器端设置HSTS 如PHP: <?php header("Strict-Transport-Security: max-age=31536000; includeSubDomains");?> includeSubDomains必不可少,因为Super Cookie要用到很多子域名(Super Cook…

HTTP严格安全传输（HTTP Strict Transport Security, HSTS）chromuim实现源码分析（一）

// HTTP strict transport security (HSTS) is defined in// http://tools.ietf.org/html/ietf-websec-strict-transport-sec, and// HTTP-based dynamic public key pinning (HPKP) is defined in// http://tools.ietf.org/html/ietf-websec-key-pinning. 通过观察文件名,发现涉及的…

HTTP严格安全传输（HTTP Strict Transport Security, HSTS）chromuim实现源码分析（二）

HTTP严格安全传输(HTTP Strict Transport Security, HSTS)chromuim实现源码分析(一) 下面来查看其他对保存HSTS信息的enabled_sts_hosts_进行操作的函数,对这些函数进行追踪来了解是如何对状态进行管理的. 1.首先发现几个没有调用者的方法 TransportSecurityState::DeleteDynamicDataForHost提供了同时删除HSTS和PKP的机制,但是除单元测试外没有其他地方调用该方法.同样,void Tran…

如何关闭浏览器的HSTS功能

在安装配置 SSL 证书时,可以使用一种能使数据传输更加安全的Web安全协议,即在服务器端上开启 HSTS (HTTP Strict Transport Security).它告诉浏览器只能通过HTTPS访问,而绝对禁止HTTP方式. HTTP Strict Transport Security (HSTS) is an opt-in security enhancement that is specified by a web application through the use of a…

从 HTTP 到 HTTPS 再到 HSTS

近些年,随着域名劫持.信息泄漏等网络安全事件的频繁发生,网站安全也变得越来越重要,也促成了网络传输协议从 HTTP 到 HTTPS 再到 HSTS 的转变. HTTP HTTP(超文本传输协议) 是一种用于分布式.协作式和超媒体信息系统的应用层协议.HTTP 是互联网数据通信的基础.它是由万维网协会(W3C)和互联网工程任务组(IETF)进行协调制定了 HTTP 的标准,最终发布了一系列的 RFC,并且在1999年6月公布的 RFC 2616,定义了 HTTP 协议中现今广泛使用的一个版本--H…

理解Python中的装饰器//这篇文章将python的装饰器来龙去脉说的很清楚，故转过来存档

转自:http://www.cnblogs.com/rollenholt/archive/2012/05/02/2479833.html 这篇文章将python的装饰器来龙去脉说的很清楚,故转过来存档 ====================================================================== 文章先由stackoverflow上面的一个问题引起吧,如果使用如下的代码: @makebold @makeitalic def say(): return…

如何关闭常见浏览器的 HSTS 功能

在安装配置 SSL 证书时,可以使用一种能使数据传输更加安全的Web安全协议,即在服务器端上开启HSTS (HTTP Strict Transport Security).它告诉浏览器只能通过HTTPS访问,而绝对禁止HTTP方式. HTTP Strict Transport Security (HSTS) is an opt-in security enhancement that is specified by a web application through the use of a s…

HSTS 详解，让 HTTPS 更安全

随着互联网的快速发展,人们在生活中越来越离不开互联网.无论是社交.购物还是搜索,互联网都能给人带来很多的便捷.与此同时,由于用户对网络安全的不了解和一些网站.协议的安全漏洞,让很多用户的个人信息数据“裸露”在互联网中.为此谷歌在 Chrome 68 版本后,其界面将会让使用者更容易了解 HTTP 网页是不安全的,并持续推动网站预设使用 HTTPS.但 HTTP 依旧可以访问使用,为此一些网站可以设置 HSTS 策略,以此来强制浏览器使用 HTTPS 与网站通信,来保障网站更加安全. 多了 SSL…

浅析HSTS

浅析HSTS 一.HSTS是什么? HSTS全称:HTTP Strict Transport Security,意译:HTTP严格传输安全,是一个Web安全策略机制. 二.HSTS解决什么问题? 它解决的是:网站从Http转跳到Https时,可能出现的安全问题. 一般从Http跳转Https的流程: Client从Http切换到Https前是明文传输,因此是可以被Man-In-The-Middle劫持的,如下流程: 三.HSTS如何解决? 要解决从Http切换到Https被劫持的问题,只要一开始…

VC维的来龙去脉——转载

VC维的来龙去脉——转载自“火光摇曳” 在研究VC维的过程中,发现一篇写的很不错的VC维的来龙去脉的文章,以此转载进行学习. 原文链接,有兴趣的可以参考原文进行研究学习目录: 说说历史 Hoeffding不等式 Connection to Learning 学习可行的两个核心条件 Effective Number of Hypotheses Growth Function Break Point与Shatter VC Bound VC dimension 深度学习与VC维小结参考文献 VC…

减少网站跳转时间，增强网站数据安全——HSTS 详解

近年来随着 Google.Apple.百度等公司不断推动 HTTPS 普及,全网 HTTPS 已是大势所趋.目前多数网站都已经支持 HTTPS 访问,但是在由 HTTP 转向 HTTPS 路程中,不少网站依然会面临很多问题. 通常用户准备访问某个网站时,不会在输入的域名前面加上 http:// 或者 https://,需要浏览器自动填充,而浏览器默认填充的都是 http://,需要网站采用 301/302 跳转的方式,由 HTTP 跳转到 HTTPS. 301 跳转由于 301/302 跳转…

python 全栈开发，Day97(Token 认证的来龙去脉,DRF认证,DRF权限,DRF节流)

昨日内容回顾 1. 五个葫芦娃和三行代码 APIView(views.View) 1. 封装了Django的request - request.query_params --> 取URL中的参数 - request.data --> 取POST和PUT请求中的数据 2. 重写了View中的dispatch方法 dispatch方法通用类(generics) GenericAPIView - queryset - serializer_class 混合类(mixins) - ListModel…

清除chrome浏览器HSTS缓存

如果你的网站启用了HSTS 在chrome中会用缓存效果,即使你的站点取消了HSTS,下次访问时,仍旧会自动给你重定向到HSTS. 那么如何清除 HSTS呢? chrome://net-internals/#hsts 先Query domain 查找你的网站地址 (如有子域名需要包含) ,如显示有缓存,Delete domain 清除之.…

HSTS 与 307 状态码

最近线上产品突然在 Chrome 浏览器上出现 307 状态码,并跳转到 https 版.由于 https 尚未部署完毕,导致了相当严重的后果. 但是 307 代码是什么含义呢?页面又为何会出现 307 状态码呢?我之前都没见过这个状态码,查了才知道原来它也是一种重定向. 浏览器刚开始出现 307 状态码的我的第一反应是后端代码是不是又写了什么奇怪的东西进去.但是后来发现后端代码并没有响应这个状态码,然后我又翻了 Nginx 配置等东西,也没发现什么不和谐的地方.并且之后测试时即使断开网络,浏览…

关于HSTS

HSTS(HTTP Strict Transport Security) 当用户在浏览器中输入一个域名,如果没有注明前缀(也就是没输入"http"的时候)的时候,浏览器会默认按照http协议,访问80端口,这时候,服务端可能返回跳转让浏览器跳到https,HSTS可以让浏览器记住指定域名是要用https访问的. 当用户下次访问这个域名,不管使用什么标注,都强行跳到https. 作用: 该功能可以阻止SSL剥离攻击,大多数时候用户进入一个网站是通过点击别的网页跳入,如果别的网页写的地址是…

【HSTS的来龙去脉】的更多相关文章