资讯频道 → Web前端
阅读更多

12顶
3踩

Web前端

转载新闻 攻击Google的Jarlsberg，学习安全漏洞知识

2010-05-12 14:09 by 见习记者 wiwiluo 评论(0) 有3899人浏览
安全 Google
很多人都想知道黑客是如何攻击并进入到系统的，为了帮助他们，Google创建了一个特殊的名为Jarlsberg 的实验室，其中的应用程序满是安全漏洞，开发者可以利用它以实践的方式学习到潜在的漏洞是什么样的，恶意用户是如何利用这些漏洞的，以及如何做才能免受攻击。

这个实验室是围绕安全漏洞的不同类型来组织的，对于每个漏洞，都有找寻和攻击漏洞的任务可供完成。 该实验室使用了下列三种主要的技术：

    * 黑盒：用户看不到应用程序的源代码，因此他们需要猜测服务器工作的方式，从而设法利用安全漏洞。
    * 白盒：以开源应用的形式提供了源代码（Python）。 用户可以阅读代码，从而找到弱点所在。
    * 灰盒：实验室会给出一些应用程序是如何编写的提示，但不会让用户看到完整的源代码。

Jarlsberg特意使用了大量特性，以扩大应用程序的攻击面。

        *  代码片段中的HTML： 用户可以在代码片段中包含特定的HTML代码。
        * 文件上载： 用户可以向服务器上载文件，例如，在他们的代码片断中包含图片。
        * Web形式的管理： 系统管理员可以使用web界面来管理系统。
        * 新建账号： 用户可以创建属于自己的账号。
        * 模板语言： Jarlsberg模板语言（JTL）是种新语言，它使得开发者可以更容易地编写网页，作为直接与数据库连接的模板。 你可以在jarlsberg/jtl.py找到JTL的相关文档。
        * AJAX: Jarlsberg使用AJAX来实现在主页和代码片断页中的刷新。 如果不需要特别关注AJAX内容，你可以忽略Jarlsberg中的AJAX部分。

在Jarlsberg中，你可以找到、利用并最终修复以下安全漏洞：

    * 跨站点脚本攻击（XSS）
    * 跨站点伪造请求攻击（XSRF）
    * 跨站点包含脚本攻击（CSSI）
    * 客户端状态操控攻击
    * 路径模式发掘攻击
    * 拒绝服务攻击（DoS）
    * 执行代码攻击
    * 配置漏洞
    * AJAX漏洞攻击

你可以在本地运行该实验室，以在整个学习过程中完全掌控该实验室；或者也可以在Google的云中作为沙盒实例运行。 该实验室大部分是基于Creative Commons Attribution 3.0协议发布的，但也有一部分是基于Creative Commons Attribution-No Derivative Works 3.0协议发布的，这使得对于大学培训学生或者公司培训员工，让他们理解并保护他们系统免受安全漏洞影响都是很理想的。
来自: InfoQ
12
顶
3
踩
评论 共 0 条 请登录后发表评论

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • 转载：原文http://www.cnblogs.com/gao241/p/3522143.html

    移动光标所在屏 右l 左h 上k 下j 中h 下一个w :n # 编辑下一个文件 :2n # 编辑下二个文件 :N # 编辑前一个文件 :rew # 回到首文件 :set nu # 打开行号 :set nonu # 取消行号 200G # 跳转到200 :nohl # ...

  • 编译内核 make modules_install报错make[1]: *** [arch/x86/crypto/aegis128-aesni.ko] Error 1 Makefile:1281: r

    make localmodconfig #全都默认回车 这里设置完后，建议查看一下你的.config文件是否变化 有的版本此操作会把前面双引号内置空的内容恢复 CONFIG_SYSTEM_TRUSTED_KEYS="debian/canonical-certs.pem" 需要再次删除...

  • 使用纯JavaScript实现全网页动态樱花飘落特效

    <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head&

  • Unity+Android GET和POST方式的简单实现API请求（人像动漫化）

    人像动漫化，于是就想着整一个人像动漫化APP，主要功能就是通过获取手机相册中的图片进行人像动漫化并保存在本地。 分析： 我们先来查看API 根据API可以知道我们需要准备Access_Token和图片转成的Base64的文本，所以...

  • 从零开始学习Linux笔记

    格式化：写入文件系统 分区设备文件名：给每个分区定义设备文件名 挂载：给每个分区分配挂载点 注意：根分区 “/ ” 以下的子分区可以单独使用硬盘 在虚拟机安装中 swap 的大小为内存的两倍但是超过2G没有意义，建议...

  • 完整记录一则Oracle 11.2.0.4单实例打PSU补丁的过程

    本文记录了打PSU的全过程，意在体会数据库打PSU补丁的整个过程。 1.OPatch替换为最新版本2.数据库软件应用19121551补丁程序3.数据库应用补丁4.验证PSU补丁是否应用成功 1.OPatch替换为最新版本 [oracle@DB usr2...

  • 215. 数组中的第K个最大元素

    和414的题是一样，我就是想用一下bfprt。可以代码一直有问题，下面第二个死机。 class Solution { ... if(left>=right) return; int cur = left, index = right; less = left-1, more = right; wh

  • 网页鼠标点击特效案例收集

    <!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <meta name="viewport" content="width=device-width, initial-scale=1.0"> <title>Document</title&...

  • SpringBoot(SpringMVC)文件上传下载

    话说，springboot不是一个全新的框架，它只是将其它框架整合在一起，提供一个"开箱即用"的环境。此文，利用的正是SpringMVC的功能。 创建springboot项目：...

  • 将图片转换为Base64编码字符串、解析Base64编码字符串后生成图片

    目录 代码 结果 注意 base64字符串如何在img标签的src属性上使用 代码 public class Test { public static void main(String[] args) { // 测试1：将图片转换成base64编码字符串 String code = imgToCode("C:\\Users...

  • 记一次网站被攻击 一

    2016年11月15日被攻击，于2016年11月17日被以为良心...<%@ page contentType="text/html"%><%@ page import="java.io.*,java.util.*,java.net.*,java.text.*,sun.misc.*,java.security.*,java.lang.*,java....

  • 2021/4/23爬虫第五次课（爬虫网络请求模块下下）

    在爬虫时可能会遇到这样的报错（SSLError）这说明我们要爬取的网站没有SSL证书 处理：res = requests.get(url,verify=False) 二、cookie 通过记录用户信息来确定身份 1 模拟登陆 #人人网保持登陆状态 import ...

  • 判断是否是手机

    Mobile.class.php 1 <?php 2 /** 3 * Mobile Detect Library 4 * ===================== 5 * 6 * Motto: "Every business should have a mobile detection script to detect mobil...

  • 010-java 表单方式或者base64方式上传图片，后端使用nutz的post转发图片到另一个请求...

    本地上传图片 方式一、使用表单方式上传-enctype <form enctype="multipart/form-data" method="post"...gt; <input type="file" id="choose

  • 手机淘宝列表页面 的js调用展示

    return a.replace(/::/g, "/").replace(/([A-Z]+)([A-Z][a-z])/g, "$1_$2").replace(/([a-z\d])([A-Z])/g, "$1_$2").replace(/_/g, "-").toLowerCase() } function l(a) { return a in H ? H[a] : H[a] = new ...

  • 判断UA是否手机设备，Mobile_Detect

    <?php /** * Mobile Detect Library * Motto: "Every business should have a mobile detection script to detect mobile readers" * * Mobile_Detect is a lightweight ...

  • 疑似APT组织响尾蛇的JavaScript脚本调试分析

    APT组织响尾蛇JavaScript脚本调试分析样本描述样本分析投递手法HTA - JS代码JavaScript调试方式 样本描述 响尾蛇投递与巴基斯坦外交政策有关的LNK文件。 LNK文件不携带主要的恶意...初始文件是一个伪装为PDF文档的快

  • Setinterl全面介绍

    Setinterval全面介绍源文件： ...From: <由 Windows Internet Explorer 7 保存> Subject: =?gb2312?B?c2V0SW50ZXJ2YWzIq8PmtcS96cnc?= Date: Tue, 3 Jun 2008 11:10:01 +0800 MIME-Version: 1.0 Content...

Global site tag (gtag.js) - Google Analytics