安全

39 篇文章
安全
安全
WAF绕过技术全面解析：从原理到实践方案（简易版）

WAF绕过技术全面解析：从原理到实践方案（简易版）

本文系统介绍Web应用防火墙(WAF)绕过技术，涵盖网络架构层（如寻找真实IP避开云WAF）、HTTP协议层（利用编码、协议版本差异）、应用层（服务器解析特性）及数据库层（SQL注释、函数绕过）四大层面技术。通过分析WAF工作流程，提出绕过本质是利用其与后端解析差异，结合编码嵌套、参数污染等构造载荷。同时强调需综合多技术形成复合绕过策略，并从全量解码检测、架构加固、代码层防御等方面给出建议，指出攻防需持续演进，构建纵深防御体系。

安全 85 雨落秋垣 雨落秋垣
中国联通5G随行组网、无线座机、宽带P基站技术白皮书

中国联通5G随行组网、无线座机、宽带P基站技术白皮书

中国联通在5G网络技术演进中构建了完整的技术规范和安全架构体系，涵盖随行组网、无线座机、宽带P基站三大核心业务。随行组网采用"业务随行"架构，通过智能分流、个性化数据管理等技术实现无感安全接入；无线座机建立多层次安全防护体系；宽带P基站采用三层安全架构实现纵深防御。核心网配置AMF/SMF/UPF安全要点，接入网实施VLAN隔离、MAC准入等安全措施，终端通过eSIM双向锁定、量子加密等保障安全。整体体现统一纵深防御思想，构建从物理到逻辑的全链路安全保障，为各类应用场景提供稳定运行基础。

安全 62 雨落秋垣 雨落秋垣
中国联通与中国电信5G基站数据传输与安全鉴权技术

中国联通与中国电信5G基站数据传输与安全鉴权技术

本文详细阐述了中国联通与中国电信5G基站网络架构与安全机制。双方采用CU/DU分离的开放式架构，通过共建共享技术实现资源优化，NSA阶段采用双IP方案，SA阶段采用MOCN架构。5G NR协议栈采用分层设计，新增SDAP层实现精细化QoS管理。安全方面，采用增强型AKA/EAP-AKA鉴权协议，实现双向认证和密钥派生，通过服务网络名称绑定确保密钥隔离。前向/后向安全机制通过NH密钥更新和切换密钥重派生保障通信安全，物理层防窃听技术结合波束成形和人工噪声注入提供纵深防御。网络切片安全机制满足差异化业务需求，构建了端到端的5G安全体系。

安全 46 雨落秋垣 雨落秋垣
目前最安全的 HTTPS 的配置方案

目前最安全的 HTTPS 的配置方案

配置TLS需优先支持TLS 1.3，其强制前向保密且移除不安全算法，推荐AEAD模式套件（如TLS_AES_256_GCM_SHA384）。TLS 1.2需显式排除弱算法，并支持国密（SM2/SM4/SM3）及ECC。国密需专用证书与改造的OpenSSL（如BabaSSL）。PQC算法（如Kyber）目前实验性支持，可结合传统ECC混合使用。HTTP/2需TLS 1.2+，HTTP/3依赖TLS 1.3及QUIC协议，需配置Alt-Svc声明。安全增强包括启用OCSP Stapling、HSTS及优化会话管理。需注意国密兼容性、PQC定制化实现及性能测试，兼顾安全、性能与现代协议支持。

安全 78 雨落秋垣 雨落秋垣
中国联通 CBSS 3.0 系统用户数据 RSA4096 全链路加密方案

中国联通 CBSS 3.0 系统用户数据 RSA4096 全链路加密方案

中国联通CBSS 3.0用户数据加密方案基于纵深防御、零信任、最小权限三大核心理念，采用RSA4096全链路加密技术，构建了从传输层到存储层的全方位安全防护体系。方案涵盖密钥生命周期管理、集群MySQL/Redis加密集成、多节点密钥分发、容灾一致性保障等核心模块，通过HSM硬件安全模块、QAT硬件加速、智能负载均衡等技术，在保障4亿+用户数据安全的同时，实现系统性能衰减控制在15%以内，确保99.99%的高可用性和业务连续性。

安全 65 雨落秋垣 雨落秋垣
基于 Node.js 的网站安全测试工具

基于 Node.js 的网站安全测试工具

本文介绍了一个专业的Node.js安全测试工具，由腾讯云TDP团队开发，专注于CC/DDoS攻击模拟。工具采用模块化架构，包含CLI参数解析、攻击调度引擎、CC/DDoS攻击模块、实时监控系统等核心组件。支持多种攻击策略和参数配置，具备目标白名单验证、资源限制、审计追踪等安全特性。通过Worker Threads实现高并发攻击，提供实时进度监控和详细测试报告。强调仅限授权安全测试使用，包含多层安全校验机制，确保测试活动在合规范围内进行。

安全 56 雨落秋垣 雨落秋垣
C++ Web应用性能与安全一体化测试

C++ Web应用性能与安全一体化测试

本文介绍了一个基于C++的综合Web应用测试框架，采用模块化分层架构，集成性能测试与安全测试。核心技术包括基于Boost.Asio的高性能HTTP客户端、多线程反应堆架构，以及wrk、st-load等性能工具和OWASP ZAP、Nikto等安全工具矩阵。方案实现了真实用户行为模拟，支持网络环境模拟（延迟、丢包、带宽限制），并针对Java Spring Boot、PHP 8.1、Python 3+等主流技术栈的最新漏洞进行专项检测。通过统一的MetricsCollector接口采集性能指标和安全漏洞，生成标准化测试报告，并提供针对性的修复建议和自动化验证机制，确保Web应用的质量与安全。

安全 36 雨落秋垣 雨落秋垣
手搓 CC 与 DDoS 攻击的防护 WAF 系统

手搓 CC 与 DDoS 攻击的防护 WAF 系统

本文分析了2025年CC与DDoS攻击的严峻态势：攻击规模达22.2 Tbps，成本仅30美元，呈现多协议混合、低频慢速等智能化特征。针对企业官网和个人网站资源受限问题，提出高并发WAF防护方案，采用分层纵深防御架构，结合Java后端高性能实现（支持2000+并发，响应≤50ms）和Nginx OpenResty Lua WAF模块。通过Docker容器化部署，实现弹性扩展和高可用性，有效应对CC攻击占比42%的常态化威胁，保障网站安全稳定运行。

安全 40 雨落秋垣 雨落秋垣
后量子密码(PQC)算法在 SSL 证书中的应用与实践

后量子密码(PQC)算法在 SSL 证书中的应用与实践

量子计算威胁传统公钥密码体系，后量子密码学（PQC）成为SSL证书安全升级的关键。PQC通过两种模式集成：完全PQC模式（如Kyber密钥交换、Dilithium认证）性能开销大且兼容性差；混合模式（传统算法+PQC，如ECDH+Kyber密钥交换）被NIST和IETF推荐，兼具安全性与渐进迁移能力，攻击者需同时破解两类算法才能破译。主流算法Kyber768已进入测试阶段，其密钥较大但现代CPU可承受。技术实现需定制OpenSSL-PQC等工具链，Nginx需重新编译支持。金融领域已试点应用，企业应按“资产清点→混合试点→硬件升级→全面迁移”四阶段推进，2030年前完成核心系统迁移。当前浏览器支持有限（Chrome仅实验性），建议优先在高安全领域部署混合模式，防范“先存储后破解”攻击。

安全 77 雨落秋垣 雨落秋垣
C++ 远程控制文件下载与执行程序

C++ 远程控制文件下载与执行程序

该远程控制程序由客户端和服务端两部分组成，通过TCP/IP协议实现通信。客户端可发送"download [URL] [SavePath]"和"execute [FilePath]"格式的命令，服务端监听8888端口接收并处理。下载功能使用URLDownloadToFile函数从指定URL获取文件，执行功能通过ShellExecute运行本地程序。程序基于Winsock库开发，需先启动服务端等待连接，客户端输入服务器IP后选择操作。代码仅限学习研究，实际应用应加强安全防护，包括身份验证和加密通信，并确保防火墙允许端口访问。

安全 27 雨落秋垣 雨落秋垣

© 2026 雨落秋垣