背景 由于服务器端的重新密钥协商的开销至少是客户端的10倍,因此攻击者可利用这个过程向服务器发起拒绝服务攻击.OpenSSL 1.0.2及以前版本受影响. 方法 使用OpenSSL(linux系统基本都自带)连接服务器进行测试: - openssl s_client -connect ip:port - HEAD / HTTP/1.0 - R 示例 服务器443端口开启重协商,使用openssl s_client -connect 172.31.0.22:443 连接测试(删除了部分证书信息):

为了满足安全规范,从http改造成https(见(四)启用HTTPS),然而启用https后就可以高枕无忧了吗?绿盟告诉你:当然不,TLS Client-initiated 重协商攻击(CVE-2011-1473)了解一下. 1. 漏洞 报告是这样的: 详细描述 该漏洞存在于SSL renegotiation的过程中.对于使用SSL重协商功能的服务都会受其影响.特别的,renegotiation被用于浏览器到服务器之间的验证.虽然目前可以在不启用renegotiation进程的情况下使用HTTP

SPDY协议 - v3 原文:SPDY Protocol - Draft 3 翻译:邱鹏滔(QQ: 95350530,主页:www.fireflysource.com) 1 概述 HTTP协议的瓶颈在于它需要靠很多链接来处理并发.造成这个原因的问题包括连接建立时额外的往返周期,慢启动延迟,以及有限的连接数,客户端要避免打开过多的连接数去连接服务器.HTTP管线化解决了部分问题,但是仅仅局部的运用了多路复用能力.另外,在现有的浏览器上由于中介的干扰,管线化请求被证明是不可用的. SPDY增加了一个

https://blog.helong.info/blog/2015/09/06/tls-protocol-analysis-and-crypto-protocol-design/?from=timeline&isappinstalled=0 最近发现密码学很有意思,刚好还和工作有点关系,就研究了一下,本文是其中一部分笔记和一些思考. 密码学理论艰深,概念繁多,本人知识水平有限,错误难免,如果您发现错误,请务必指出,非常感谢! 本文禁止转载 本文目标: 学习鉴赏TLS协议的设计,透彻理解原理和重

Https协议:SSL建立过程分析 web訪问的两种方式: http协议,我们普通情况下是通过它訪问web,由于它不要求太多的安全机制,使用起来也简单,非常多web网站也仅仅支持这样的方式下的訪问. https协议(Hypertext Transfer Protocol over Secure Socket Layer),对于安全性要求比較高的情况,能够通过它訪问web,比方工商银行https://www.icbc.com.cn/icbc/(当然也能够通过http协议訪问,仅仅是没那么安全了).

在OpenVPN中存在几个计时器,这些计时器限制着OpenVPN的一些特定行为的最长持续时间,如果设置不好,就会带来莫名其妙的断线问题,然而如何设置这些计数器也没有一个通用的方案,特定情况下不能太大也不能太小. 1.ping 该计时器定义了发送PING包的间隔(为了和ICMP ping区分,使用大写,以下使用小写),ping包的发送是一种保活机制,另外也是为了刷新状态防火墙的连接跟踪状态. 2.ping-restart 该计时器定义了在多久内没有收到对方发来的ping包就reset连接,曾经正常

web访问的两种方式: http协议,我们一般情况下是通过它访问web,因为它不要求太多的安全机制,使用起来也简单,很多web站点也只支持这种方式下的访问. https协议(Hypertext Transfer Protocol over Secure Socket Layer),对于安全性要求比较高的情况,可以通过它访问web,比如工商银行https://www.icbc.com.cn/icbc/(当然也可以通过http协议访问,只是没那么安全了).其安全基础是SSL协议. SSL协议,当前版

WeTest 导读 用epoll编写一个高并发网络程序是很常见的任务,但在epoll中加入ssl层的支持则是一个不常见的场景.腾讯WeTest服务器压力测产品,在用户反馈中收到了不少支持https协议的请求.基于此,本文介绍了在基于epoll的高并发机器人框架中加入openssl,实现对https支持时的基本实现思路.   一.背景 2014年,谷歌在其官方博客中发布公告称,为了打造更安全的互联网环境,谷歌搜索引擎将尝试把"是否使用安全加密"(HTTPS)作为搜索排名算法中的一个参考因

随着互联网的发展,用户对网络速度的要求也越来越高,尤其是目前在大力发展 HTTPS 的情况下,TLS 加密协议变得至关重要.又拍云在 HTTPS 的普及和性能优化上,始终做着自己的努力和贡献.2018年初,又拍云 CDN 网络部署了 TLS 1.3,进一步提升了用户的访问速度与安全. 什么是 TLS 1.3? TLS 1.3 加密协议是在 TLS 1.0 .TLS 1.1 .TLS 1.2 之前版本基础上进行的升级和改造,也是迄今为止改动最大的一次,IETF 正在制定 TLS 1.3 的新标准,

摘要 本文尝试翻译Tomcat官方文档Apache Tomcat 7连接器,不足之处敬请指正.该文先介绍了Tomcat7 HTTP连接器的属性,包括:公共属性.标准实现.Java TCP套接字属性.BIO的具体配置.NIO的具体配置.APR/Native的具体配置.接着介绍了Tomcat的特殊功能,包括:HTTP/1.1和HTTP/1.0的支持.代理支持.SSL支持以及连接器的比较. 1 介绍 HTTP 连接器元素代表了支持HTTP/1.1协议的连接器组件,使Catalina成为一个能够执行se

TLS协议分析 本文目标: 学习鉴赏TLS协议的设计,透彻理解原理和重点细节 跟进一下密码学应用领域的历史和进展 整理现代加密通信协议设计的一般思路 本文有门槛,读者需要对现代密码学有清晰而系统的理解,建议花精力补足背景知识再读.本文最后的参考文献里有一些很不错的学习资料. 目录 : 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39

synflood 模拟工具 来源 https://blog.csdn.net/wuzhimang/article/details/54581117 因项目需要,要对主流的几家抗DDoS设备做测评,当然了最专业的是使用Spirent TestCenter,但受限于其他因素,最终决定搭建一个软件环境来进行相关的DDoS测试. 本文主要讲解的是如何使用trafgen工具发起DDoS攻击(syn flood, ack flood等等) synflood攻击.ackflood攻击.UDP fragment

记录协议(record protocol) 负责在传输连接上交换所有底层信息 每一条记录以短标头开始,标头包含记录内容的类型.协议版本和长度 握手协议(handshake protocol) 整个过程通常需要6--10个消息 交换过程有许多变种 完整的握手,对服务器身份进行验证 恢复之前会话采用的简短握手 对客户端和服务器都进行身份验证的握手 完整的握手 交换各自支持的功能,对需要的连接参数达成一致 验证出示的证书,或使用其他方式进行身份验证 对将用于保护会话的共享主密钥达成一致 验证握手消息并

原文地址:Ethernet,Half-Duplex/Full-Duplex,CSMA/CD,Auto-Negotiation作者:心田麦浪 CSMA/CD(Carrier Sense Multiple Access/Collision Detect) 全双工以太网是在同一个时刻可以同时收发的以太网. 全双工模式:传输数据是双向同步进行的,即同时接收和发送数据. 半双工模式:同一时刻只能单向传输数据,即要么是接收数据,要么是发送数据. 自适应模式:即自动协商双工模式.在状态显示时,显示的是协商后的

一.DDoS初步印象 1.什么是分布式拒绝服务攻击? 1)首先它是一种拒绝服务攻击 我们可以这么认为,凡是导致合法用户不能访问服务的行为,就是拒绝服务攻击. 注:早期的拒绝服务主要基于系统和应用程序的漏洞.但只要漏洞修复就完全失效,而且这种攻击容易被入侵检测系统发现. 2)关于攻击来源 攻击者会组织很多协作的同伴(或计算机),从不同的位置同时提出服务请求,直到服务无法被访问.这就是“分布式”.他们通常利用“僵尸网络”来控制大量计算机进行攻击. 3)分布式拒绝服务攻击的精髓 利用分布式的客户端,向

在调用socket读写函数read(),write()时,都会有返回值.如果没有正确处理返回值,就可能引入一些问题 总结了以下几点 1当read()或者write()函数返回值大于0时,表示实际从缓冲区读取或者写入的字节数目 2当read()函数返回值为0时,表示对端已经关闭了 socket,这时候也要关闭这个socket,否则会导致socket泄露.netstat命令查看下,如果有closewait状态的socket,就是socket泄露了 当write()函数返回0时,表示当前写缓冲区已满,

如果不了解netty的,可以百度下,netty社区现在也比较活跃. 现在所谓的大数据,flume,storm等底层都是netty.   netty的性能模型: io模型---->异步非阻塞io 1:jdk1.4开始提供了非阻塞io,即nio jdk1.5以后,epoll代替了poll,打破了selector上链路的限制.   2:零拷贝 directbuffer vs heapbytebuffer netty不用任何配置,默认线程发送和接受使用的就是directbuffer. 如果使用堆内存,t

nginx的日志文件如果你不处理,将变得越来越大,我们可以写一个nginx日志切割脚本来自动切割日志文件. 第一步就是重命名日志文件,不用担心重命名后nginx找不到日志文件而丢失日志.在你未重新打开原名字的日志文件前,nginx还是会向你重命名的文件写日志,linux是靠文件描述符而不是文件名定位文件. 第二步向nginx主进程发送USR1信号. nginx主进程接到信号后会从配置文件中读取日志文件名称,重新打开日志文件(以配置文件中的日志名称命名),并以工作进程的用户作为日志文件的所有者.

背景 nginx的日志文件没有rotate功能.一段时间过后,日志将越发臃肿,一个accesslog很快就突破1G,因此有必要通过脚本实现按天切割日志. 解决思路 1  重命名日志文件,如更改为access_yyyyMMdd.log,需注意的是nginx通过文件描述符定位日志文件,因此在重命名之后还是能往该文件内写入内容. 2  向nginx主进程发送USR1信号. nginx的master进程接到信号后: 重新从配置文件中读取日志文件名 -> 关闭重名日志文件 -> 创建并打开日志文件(原来

#nginx日志切割脚本 #!/bin/bash #设置日志文件存放目录 logs_path="/home/www.xxx.com/wwwlogs/" #设置pid文件 pid_path="/usr/local/nginx/nginx.pid" #重命名日志文件 mv ${logs_path}host.access.log ${logs_path}access_$(date -d "yesterday" +"%Y%m%d").