当前位置: 首页 > news >正文

HTTPOXY 漏洞说明

这里有一个核心的背景是, 长久一来我们习惯了使用一个名为"http_proxy"的环境变量来设置我们的请求代理。

http_proxy=127.0.0.1:9999 wget http://www.laruence.com/

如何形成

在CGI(RFC 3875)的模式的时候, 会把请求中的Header, 加上HTTP_ 前缀, 注册为环境变量, 所以如果你在Header中发送一个Proxy:xxxxxx, 那么PHP就会把他注册为HTTP_PROXY环境变量, 于是getenv(“HTTP_PROXY”)就变成可被控制的了. 那么如果你的所有类似的请求, 都会被代理到攻击者想要的地址,之后攻击者就可以伪造,监听,篡改你的请求了…
比如:

curl -H "Proxy:127.0.0.1:8000" http://host.com/httpoxy.php

如何影响到你

  • 你的服务会对外请求资源
  • 你的服务使用了HTTP_PROXY(大写的)环境变量来代理你的请求(可能是你自己写,或是使用一些有缺陷的类库)
  • 你的服务跑在PHP的CGI模式下(cgi, php-fpm)

如果你没有满足上面的条件, 那么恭喜你,你不受此次漏洞影响。

如何解决

通过上面的原理的介绍,修复起来也很简单了, 以Nginx为例, 在配置中加入:

fastcgi_param HTTP_PROXY "";

所以建议, 即使你不受此次漏洞影响, 也应该加入这个配置.
而如果你是一个类库的作者,或者你因为什么原因没有办法修改服务配置, 那么你就需要在代码中加入对sapi的判断, 除非是cli模式, 否则永远不要相信http_proxy环境变量

<?php
if (php_sapi_name() == 'cli' && getenv('HTTP_PROXY')) {//只有CLI模式下, HTTP_PROXY环境变量才是可控的
}

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.exyb.cn/news/show-2800.html

如若内容造成侵权/违法违规/事实不符,请联系我们进行投诉反馈,一经查实,立即删除!

Thread类的常用方法

Thread类的常用方法 void start(): 启动线程&#xff0c;并执行对象的run()方法run(): 线程在被调度时执行的操作static Thread currentThread()&#xff1a; 返回当前线程。在Thread子类中就 是this&#xff0c;通常用于主线程和Runnable实现类String getName(): 返回线程的名…...

浅谈设计模式(三)

前言 之前详细介绍了几种常用的设计模式&#xff0c;最后总结一下附上所有设计模式的类图以及六大设计原则 一、创建型 1.Factory Method&#xff08;工厂方法&#xff09; 定义&#xff1a;定义了一个创建对象的接口&#xff0c;但由子类决定要实例化的类是哪一个。工厂方法…...

AR增强现实让科技贴近生活

AR也叫增强现实&#xff0c;它是在1990年被正式提出的&#xff0c;在时间上要比VR虚拟现实技术晚一些&#xff0c;它的实现主要通过三维空间、场景交融、现实视频等技术相互作用、融合实现的。 AR增强现实技术在工业领域中&#xff0c;有着超强的适用性&#xff0c;假设某件工…...

c++程序设计中虚基类,多继承知识点

一.前言 如上 二.题目 分别声明Teacher(教师)类和Cadre(干部)类&#xff0c;采用多重继承方式由这两个类派 生出新类Teacher_Cadre(教师兼干部&#xff09;类。要求&#xff1a; &#xff08;1)在两个基类中都包含姓名、年龄、性别、地址、电话等数据成员。 &#xff08;2&a…...

FFmpeg:avcodec_encode_video()

本文简单分析FFmpeg的avcodec_encode_video2()函数。该函数用于编码一帧视频数据。avcodec_encode_video2()函数的声明位于libavcodec\avcodec.h&#xff0c;如下所示。 /*** Encode a frame of video.** Takes input raw video data from frame and writes the next output p…...

SpringBoot中必须掌握的45个注解

1.SpringBoot/spring SpringBootApplication: 包含Configuration、EnableAutoConfiguration、ComponentScan通常用在主类上&#xff1b; Repository: 用于标注数据访问组件&#xff0c;即DAO组件&#xff1b; Service: 用于标注业务层组件&#xff1b; RestController: …...

侯捷CPP---面向对象(上)

侯捷CPP---面向对象&#xff08;上&#xff09;前言头文件防卫式声明class 分类不带指针的class&#xff08;complex&#xff09;成员变量私有化inline function&#xff08;内联函数&#xff09;构造函数常量成员函数参数传递返回值传递友元函数操作符重载临时对象带指针的cla…...

使用注解开发

1&#xff1b; 2.mapper 2.测试...

苏宁易购启动六一宝宝节,首提“共情消费”

5月26日晚8点&#xff0c;苏宁易购六一宝宝节掰头大会在多个平台播出。六一宝宝节全面启动。 六一宝宝节定位于打破营销套路&#xff0c;打破传统电商促销节奏。它是大促&#xff0c;更是一场成年人释放压力、共情消费的盛典。 掰头大会灵魂辩题 开启宝宝节 六一宝宝节的启…...

设计一个windows应用程序,定义一个Student类,包含学号和姓名两个字段,并定义一个班级类ClassList

设计一个windows应用程序&#xff0c;定义一个Student类&#xff0c;包含学号和姓名两个字段&#xff0c;并定义一个班级类ClassList&#xff0c;该类包含一个Student集合&#xff0c;使用索引器访问该集合。 &#xff08;1&#xff09;创建一个Windows应用程序Myproject6_1。 …...

HTML表单标签,已拿offer附真题解析

前言 校招 -1 年 这个阶段还属于成长期&#xff0c;更需要看重的是你的基础和热情。对于 JS 基础&#xff0c;计算机基础&#xff0c;网络通信&#xff0c;算法等部分的要求会相对高一些。毕竟这个阶段比较难考察你的业务项目中的沉淀&#xff0c;所以只能从基础部分入手考察。…...

python笔记19年8月23日

-------------py打包exe教程------------ 准备好需要转换的py文件和一张用于做图标.ico的照片 将他们存放于同一个文件夹中,文件的路径全部为英文路径 1.利用cmd窗口安装pyinstaller插件 指令 :pip install pyinstaller 2.使用cd指令到py文件夹 3.执行命令 pyinstaller -F -i X…...

系统集成模拟3-55分

1、合同法律关系是指由合同法律法规调整的在民事流转过程中形成的&#xff08;权利义务关系&#xff09; 2、当已经采取了多种沟通方式还未能与用户达成一致时&#xff0c;应考虑沟通升级原则-双方高层沟通 3、数据域安全包括&#xff1a;行级数据域安全&#xff0c;数据域安全…...

Centos7 配置DHCP

实验内容及步骤 1、实验背景 某企业计划构建一台 DHCP服务器来解决IP地址动态分配的问题&#xff0c;要求能够分配 IP地址以及网关、DNS等其它网络属性信息。同时要求DHCP服务器为DNS、WEB、Samba服务器分配固定IP 地址。 2、网络拓扑 略. 3、实验环境 假设企业DHCP服务器…...

JVM常见配置汇总

堆设置 -Xms:初始堆大小-Xmx:最大堆大小-XX:NewSizen:设置年轻代大小-XX:NewRation:设置年轻代和年老代的比值。如:为3&#xff0c;表示年轻代与年老代比值为1&#xff1a;3&#xff0c;年轻代占整个年轻代年老代和的1/4-XX:SurvivorRation:年轻代中Eden区与两个Survivor区的比…...

从类,API,框架三个层面学习如何设计可复用软件实体的具体技术学习心得

从类&#xff0c;API&#xff0c;框架三个层面学习如何设计可复用软件实体的具体技术学习心得软件复用概述软件复用概念软件复用的软件支持三方面讲述软件复用类代码复用设计的复用分析的复用测试信息的复用Liskov替换原则 ——LSPAPI框架软件复用概述 软件复用概念 软件复用(…...

惠普(HP) Officejet Pro 8610商用彩色喷墨一体机

专业彩色打印件的单页成本比激光打印机低 50%,从而在日常打印中节省更多打印成本。无论您身在何处,均可通过任意移动设备进行打印。 借助惠普“云打印”技术,您现在可以随时随地,随心打印。使用智能复印解决方案,创建完美无瑕的副本,同时轻松打印双面身份证。专业彩色打印…...

easyPOI和导入复杂excel的各种坑

//easyPOI的依赖 <dependency><groupId>cn.afterturn</groupId><artifactId>easypoi-base</artifactId><version>4.1.3</version> </dependency>//要操作pdf,word还是用原生poi比较好 <dependency><groupId>org.…...

用直流电机测转速——测速发电机标定实验

测速发电机标定实验 文章目录测速发电机标定实验1 测速发电机原理和应用1.1 原理1.2 应用2 硬件搭建3 实验数据4 总结1 测速发电机原理和应用 1.1 原理 直流电机同时也是一个发电机。也就是说&#xff0c;当直流电机被通入直流电的时候&#xff0c;会将电能转化为机械能&…...

httprunner_locust_场景1:登录1次,添加10次地图

场景1&#xff1a;任务执行 > login执行1次&#xff0c;addtitle执行10次 from locust import HttpUser, task, SequentialTaskSet, between import json# 场景1&#xff1a;任务执行 > login执行1次&#xff0c;addtitle执行10次 class FlashTask(SequentialTaskSet): …...

python_爬虫 03 urllib库

目录 一、urllib库 1.1 urlopen函数 1.2 urlretrieve函数 1.3 urlencode函数 1.4 parse_qs函数 1.5 urlparse和urlsplit 1.6 request.Request类&#xff1a; 1.7 测试&#xff1a;用Request爬取拉勾网数据 1.8 ProxyHandler处理器&#xff08;代理设置&#xff09; 二…...

HTML表单标签,已拿offer附真题解析

前言 校招 -1 年 这个阶段还属于成长期&#xff0c;更需要看重的是你的基础和热情。对于 JS 基础&#xff0c;计算机基础&#xff0c;网络通信&#xff0c;算法等部分的要求会相对高一些。毕竟这个阶段比较难考察你的业务项目中的沉淀&#xff0c;所以只能从基础部分入手考察。…...

java面向对象编程

面向对象 最大特点在于面向对象的编程设计 面向对象主要这几模式为模块化设计&#xff0c;可以进行从用配置。在整个面向对象的设计里面更对情况下考虑的是标准。在使用的时候根据标准进行拼装&#xff0c;而对于面向对象有3个特征 封装性&#xff1a;内部的操作对外部而言不可…...

CentOS安装VirtuanBox

CentOS7安装virtualbox 1.进入virtualbox官网 https://www.virtualbox.org/ 2.点击download 3.点击Linux distributions 4.向下翻至如图&#xff0c;并且进入同种框选页面 5.在/etc/yum.repos.d/目录下新建virtualbox.repo并写入如下内容 [virtualbox] nameOracle Linux / R…...

【项目】springboot中使用kaptcha生成验证码,登录时密码加盐处理

记录使用kaptcha的过程 为前后端分离项目&#xff0c;前端vue框架 0.下载jar包 在maven的网站https://mvnrepository.com/search?qcom.github.penggle 搜索下载jar 导入到工程中 1.添加依赖 <dependency><groupId>com.github.penggle</groupId><art…...

鼻塞用鼻喷剂-调研(成分+刺激性)

称谓&#xff1a; 鼻滴水、鼻喷剂、滴鼻药 鼻喷剂原理: 鼻喷剂刺激鼻腔: 搜集标准&#xff1a; ①拼多多和淘宝上销量≥1 ②删除宠物用滴鼻药水 ③相同成分药水会有多种品牌&#xff0c;不重复列举 ④来自淘宝、 拼多多、京东&#xff0c;搜索关键词为"鼻塞 药水"…...

ESP8266|RPi pico 通过ESP8266搭建web服务器(树莓派pico通过esp8266联网)

文章目录前言软件准备硬件准备接线C/C实现代码实验现象Micropython实现代码实验现象参考资料前言 Raspberry pi pico官网介绍&#xff1a;https://www.raspberrypi.org/documentation/rp2040/getting-started/#board-specificationsESP8266官网介绍&#xff1a;https://www.es…...

CentOS系列 docker安装以及virtualenv和virtualenvwrapper的安装及使用

环境&#xff1a;CentOS7.7 以下命令若执行不成功 试着在命令开头加上sudo 1、docker # 先升级一下yum yum -y update # 设置docker的阿里源&#xff0c;如果第一步执行失败&#xff0c;就先执行下面那条&#xff0c;然后再回来执行这条&#xff1b; yum-config-manager --add…...

高分子化学顺着思路走

目录常用名&#xff08;必记&#xff09;&#xff1a;每章需要思考的内容缩聚和逐步聚合自由基聚合机理烯类单体对聚合机理的选择性引发引发剂其他的引发方式&#xff1a;热引发&#xff0c;光引发&#xff0c;辐射引发&#xff0c;等离子体引发&#xff0c;微波引发引发效率聚…...

官宣!《新程序员·开发者黄金十年》正式发布

“在互联网还不发达的时代&#xff0c;就是《程序员》伴我成长的。” “怀念啊&#xff0c;曾经《程序员》的日子。” “我是看着《程序员》长大的&#xff0c;大二时买了创刊号。” “这可是我们这一代人大学时候满满的回忆&#xff0c;也是当时寝室中传阅最多的书。” “…...

网页制作基础及html选择题,HTML网页制作基础题试题与答案

HTML网页制作HTML网页制作基础题一、选择1.在一个框架的属性面板中&#xff0c;不能设置下面哪一项。( D )A&#xff0e;源文件 B&#xff0e;边框颜色 C&#xff0e;边框宽度D&#xff0e;滚动条2. 下列哪一项表示的不是按钮。( C )A&#xff0e;type"submit" B&…...

网页设计HTML如何制作选项卡,jQuery制作网页版选项卡

网页选项卡可以较好的利用有限的页面来展示更多的元素&#xff0c;而使用JQuery来制作网页选项卡也是一件非常简单的事情。今天就来分享一个网页选项卡的制作小技巧。◦引入所需库◦选项卡原理◦业务核心◦完整小例子引入所需库这个知识点很基础&#xff0c;但是为了照顾fresh …...

HTML5拼图游戏(网页版)

HTML5拼图游戏&#xff08;网页版&#xff09; 这是我大四上学期学游戏编程期末的时候做的一个小游戏&#xff0c;主要用到的技术是HTML5、CSS、JavaScript、jQuery&#xff0c;还用到了一小部分的CSS3属性&#xff01;下面我就简单地说一下主要程序。游戏主要程序&#xff0c;…...

SpringBoot SpringBoot 原理篇 1 自动配置 1.13 bean 依赖属性配置

SpringBoot 【黑马程序员SpringBoot2全套视频教程&#xff0c;springboot零基础到项目实战&#xff08;spring boot2完整版&#xff09;】 SpringBoot 原理篇 文章目录SpringBootSpringBoot 原理篇1 自动配置1.13 bean 依赖属性配置1.13.1 环境准备1.13.2 bean 依赖属性配置1…...

公众账号迁移:微信订阅号怎么升级服务号?

微信订阅号怎么升级成服务号&#xff1f;因微信官方政策调整&#xff0c;目前订阅号升级服务号的方法只能通过账号迁移功能了。 可升级范围 不管是个体户、企业、事业单位还是个人主体的公众号&#xff0c;都是可以通过账号迁移来升级为服务号的。 公众号迁移流程 所需证件&…...

订阅号如何获取用户openid

用户管理-网页授权获取用户openid/用户基本信息&#xff0c;只有微信认证的服务号才有权限 如何在订阅号实现呢? 两种方法&#xff1a; 1、 申请一个服务号 在订阅号&#xff0c;通过服务号appid授权即可 {"type":"view","name":"签到…...

微信公众平台服务号、订阅号的相关说明

一、服务号、订阅号的介绍&#xff08;区别&#xff09; 微信公众平台现在已分成订阅公众号和服务公众号两种类型。 公众平台服务号&#xff0c;是公众平台的一种帐号类型&#xff0c;旨在为用户提供服务。 特点&#xff1a;每月可群发一条信息给粉丝、群发的消息乃显示在聊天…...

什么是智慧社区 智慧社区解决方案概括

什么是智慧社区 智慧社区解决方案概括 2019年被人们普遍认为是“5G元年”&#xff01;5G带来的并不仅是网络速度的加快&#xff0c;而是将终端全部纳入网络&#xff0c;实现“万物皆可联”&#xff0c;我们的工作、生活将也会因5G的到来而产生翻天覆地的变化。如科幻大片般充满…...

web网页设计实例作业 ——中国水墨风的小学学校网站(6页) 专题网页设计作业模板 学校物静态HTML网页模板下载

web网页设计实例作业 ——中国水墨风的小学学校网站(6页) 专题网页设计作业模板 学校物静态HTML网页模板下载 常见网页设计作业题材有 个人、 美食、 公司、 学校、 旅游、 电商、 宠物、 电器、 茶叶、 家居、 酒店、 舞蹈、 动漫、 明星、 服装、 体育、 化妆品、 物流、 环保…...

齐齐哈尔计算机信息学校,齐齐哈尔信息技术学校

一、招生专业该校有建筑设计专业(省重点专业)、网站开发专业(市重点专业)、动漫设计专业、软件编程专业及电子商务专业。(一)建筑装饰该专业专门为北京、上海高端建筑装饰市场培养高级设计师。拥有黑龙江省唯一的国家级建筑装饰名师。(二)网络开发该专业培养网络应用和网站开发…...

中小学计算机能力者提升培训合格,信息赋能,打造提升工程2.0集聚区模式——集聚区2020年中小学教师信息技术应用能力提升工程2.0之管理者培训会...

11月12日下午&#xff0c;集聚区2020年中小学教师信息技术应用能力提升工程2.0之管理者培训会在沙城一小举行。区文化和教育体育局人事处、计财处相关负责人、区教师发展中心工作相关负责人&#xff0c;及公办中小学(幼儿园)校(园)长分管教学副校(园)长、教科室主任、信息技术骨…...

睢宁 计算机学校,江苏睢宁中等专业学校2021年招生录取分数线

中专学校的办学资质是层差不齐的&#xff0c;办学资质是学生选择学校时需要了解的因素&#xff0c;一个好学校一般都有着悠久的历史&#xff0c;对学生的学习也能够对症下药&#xff0c;没有办学经验的学校对学生负责也是没有精力的&#xff0c;所以学生要选择一个对自己成长更…...

基于Html+Css+javascript的网页制作——音乐舞蹈学校(5页面) 计算机毕设网页设计源码

HTML5期末大作业&#xff1a;企业网站设计——音乐舞蹈学校(5页面) HTMLCSSJavaScript 学生DW网页设计作业成品 web课程设计网页规划与设计 计算机毕设网页设计源码 常见网页设计作业题材有 个人、 美食、 公司、 学校、 旅游、 电商、 宠物、 电器、 茶叶、 家居、 酒店、 舞蹈…...

揭秘java培训机构内幕,我走过最深的套路

今天看到贴吧一则帖子&#xff0c;讲的是一个高中毕业的小孩&#xff0c;家境困难&#xff0c;没考上好大学&#xff0c;听信了培训学校招生老师的忽悠&#xff0c;说是把学费交了&#xff0c;什么都不要管&#xff0c;学4个月包就业&#xff0c;想着学门技术早点工作也挺好。家…...

2022年R2移动式压力容器充装特种作业证考试题库及在线模拟考试

题库来源&#xff1a;安全生产模拟考试一点通公众号小程序 2022年R2移动式压力容器充装试题系R2移动式压力容器充装复习题上机考试练习题&#xff01;2022年R2移动式压力容器充装特种作业证考试题库及在线模拟考试依据R2移动式压力容器充装新版考试题库。R2移动式压力容器充装…...

山东计算机类好的民办大学,山东四大坑人学校-山东坑人的民办大学(野鸡大学)...

选择科目测一测我能上哪些大学选择科目领取你的专属报告>选择省份关闭请选择科目确定v>山东省作为高考大省&#xff0c;每年考生的竞争力很大&#xff0c;因此在选择院校的时候更需要考虑清楚。坊间传闻&#xff0c;“山东十大垃圾大学”是非常坑人的&#xff0c;那么山东…...

培训班和科班出来的程序员有什么不同之处?看完这个你就能明白!

现在学习编程的人确实非常多&#xff0c;都是奔着高薪去的&#xff0c;但真正意义上的科班出身的并不多&#xff0c;大部分都是培训班出来的。计算机专业的很多&#xff0c;但大部分都是非常水的&#xff0c;在学校学不到什么东西。所以对比培训班和科班出身的程序员要分别对比…...

2022R2移动式压力容器充装考试模拟100题及答案

题库来源&#xff1a;安全生产模拟考试一点通公众号小程序 2022R2移动式压力容器充装考题为R2移动式压力容器充装判断题上机考试练习题&#xff01;2022R2移动式压力容器充装考试模拟100题及答案依据R2移动式压力容器充装新考试大纲。R2移动式压力容器充装复习题通过安全生产模…...

记十多年前的一次培训经历

我是2003年本科毕业的&#xff0c;学校虽然不算“名门”&#xff0c;但也肯定是“正派”&#xff0c;毕业前&#xff0c;我很想搞计算机&#xff0c;但我的专业是动力工程&#xff0c;如何寻找一块进入计算机行业的“敲门砖”&#xff0c;当上自己理想的“程序员”&#xff0c;…...

SRE培训哪个培训机构好一些?

首先有很多小伙伴不了解什么是SRE&#xff1f; 一、SRE工程师是什么&#xff1f; SRE 全称是 Site Reliability Engineering&#xff0c;最早是由 Google 提出&#xff0c;并且在其工程实践中发扬光大。 他们还出了一本同名书籍「Site Reliability Engineering」&#xff0c;…...