WAF 绕过原理与业务侧规避方案

网络安全_入门教程 网络安全_入门教程 博客等级 墨衍会员 · AI 创作全网分发 墨衍智能分发 本文由作者通过墨衍一键同步至各平台 1分发平台 200+累计阅读 286平均单平台 已同步平台 优快云 微信公众号 微博 知乎 掘金 百家号 博客园 抖音 小红书 你的文章也可以这样分发 墨衍会员 ¥399起/年，写一次发全网 我也要 码龄4年
关注
原创 2026-09-29 15:08:32 286 阅读 AI 写同款· GEO 优化 ›
WebShell免杀技术实战：从原理到绕过WAF的攻防解析 在Web安全领域，代码执行与命令注入是常见的高危漏洞，其核心原理在于攻击者能够通过构造特定输入，诱使服务器执行恶意代码。为了对抗日益严格的安全防护，如Web应用防火墙（WAF）和杀毒软件，免杀技术应运而生。它通过代码混淆、加密、利用语言特性等手段，旨在隐藏恶意代码的静态特征与动态行为，从而绕过检测。这项技术的价值在于揭示了安全检测的局限性，并推动了防御策略向纵深发展。其应用场景广泛，渗透测试人员需掌握以评估系统韧性，而防守方则需理解以加固防线。本文聚焦于【一句话木马】的免杀实战，深入剖析其设计哲学与【代码混 阅读详情

WAF 绕过原理与业务侧规避方案

前言

很多企业安全团队存在一个误区：部署 WAF 就等于 Web 安全落地，只要开启防护规则，SQL 注入、XSS 就能全部拦截。但在渗透测试实战中，大量漏洞可以通过各类变形、编码、协议差异等手段绕过 WAF 检测。

WAF 本质是流量检测的 “守门员”，只能识别已知特征的攻击载荷。一旦攻击者对 Payload 进行混淆变形，利用 WAF 和后端中间件解析差异，就可能实现绕过。WAF 属于外层防御、虚拟补丁，不能替代业务代码层面的安全修复。

本文从 WAF 基础原理、常见绕过手段、底层根源，再到业务开发、架构、WAF 配置、测试审计给出完整规避方案，帮助开发、运维、安全人员理解绕过逻辑，从根源降低被绕过的风险。

免责声明：本文仅用于授权环境安全学习、红蓝对抗研究。严禁在未授权的网站上实施 WAF 绕过测试，未经授权的攻击行为违反《网络安全法》，需要承担法律责任。

一、WAF 基础工作原理

WAF（Web 应用防火墙）部署在用户与 Web 业务之间，对 HTTP/HTTPS 请求进行解析，匹配内置特征规则，识别 SQL 注入、XSS、命令执行、文件上传等攻击流量，执行告警、拦截、验证码操作。

WAF 检测流程：

  1. 接收 HTTP 请求，解析 URL、Header、请求 Body；
  2. 对内容进行解码（URL 解码、HTML 解码等）；
  3. 正则 / 语义模型匹配攻击特征；
  4. 命中规则则拦截，未命中则转发请求到后端 Web 服务器；
  5. 记录日志。

WAF 绕过的核心本质：WAF 解析后的请求是无害内容，后端 Web / 数据库解析后变成恶意攻击 Payload。
简单说：WAF 看到的是 “正常字符串”，后端执行的是攻击代码，利用 WAF 和后端中间件、数据库解析逻辑不一致的缺陷实现逃逸。

二、主流 WAF 绕过手段与原理拆解

2.1 关键字混淆变形（最基础、最常用）

WAF 正则匹配连续关键字，攻击者拆分、改变大小写、替换空白符，破坏连续关键词，后端语法依然正常执行。

  1. 大小写混淆：SQL、JS 语法不区分大小写
sElEcT * frOm user where 1=1

<ScRiPt>alert(1)</ScRiPt>
  1. 注释拆分关键字，插入/**/打断连续字符
un/**/ion se/**/lect 1,2

MySQL 特有内联注释/*!50000 union*/select，WAF 识别为注释，MySQL 会执行注释内部代码。
3. 空白字符替换：不用空格，使用 Tab (%09)、换行 (%0A)、垂直制表符等替代空格

1'%09or%091=1--

2.2 各类编码绕过

利用多层编码，WAF 只做一次解码，后端会多次解码，最终还原恶意 Payload。

  1. URL 双重编码
    单引号'一次编码%27，二次编码%2527。WAF 仅解码一次得到%27，不触发规则；后端二次解码还原为'，注入生效。
  2. Unicode、全角字符编码
    全角单引号％ef％bc％87，部分 WAF 不做字符归一化，数据库可自动兼容解析。
  3. HTML 实体编码、Hex、Base64 编码
    XSS 场景大量使用，浏览器自动解码执行 JS。

2.3 HTTP 协议层面绕过（高级绕过）

利用 HTTP 协议解析差异，WAF 和后端服务器对报文解析结果不一致。

  1. 分块传输 Chunked
    增加请求头Transfer-Encoding: chunked，将恶意 Payload 拆成多段。部分 WAF 不会重组全部分块内容再检测，后端 Nginx/Apache 会重组完整请求执行攻击。
  2. HPP HTTP 参数污染
    同一个参数提交多次：id=1&id=union select 1,2
    WAF 读取第一个参数id=1判定无害，后端语言（PHP）读取最后一个参数，拿到恶意 Payload。
  3. 多部分表单 multipart/form-data 边界混淆
    文件上传接口，篡改 boundary 分隔符，把恶意内容拆分到多个表单区块，WAF 逐块检测无法发现完整攻击特征，后端合并解析。

2.4 语法替换与拼接绕过

不用被拦截关键字，使用等价语法、字符串拼接函数，实现相同攻击效果。
SQL 示例：OR替换为||，AND替换为&&；
使用CONCAT()、CHAR()函数拼接字符串：

select concat(CHAR(115),CHAR(101),CHAR(108),CHAR(101),CHAR(99),CHAR(116)) from user;

CHAR 函数拼接出 select 字符串，WAF 无法匹配 select 关键字。

2.5 架构层面绕过（云 WAF 常见风险）

  1. 源站 IP 泄露：攻击者直接访问后端源 IP，流量不经过 WAF，WAF 防护完全失效；
  2. 子域名、测试站漏接入 WAF，同服务器横向攻击；
  3. 利用 CDN、多层代理，伪造 X-Forwarded-For 头绕过 IP 黑名单。

重点：所有 WAF 绕过的前提，是业务本身存在漏洞。如果代码层面不存在 SQL 注入、XSS 漏洞，Payload 再怎么变形，后端也无法执行攻击。WAF 绕过，只是利用变形手段触发业务原有漏洞，不是凭空创造漏洞。

三、业务侧规避 WAF 绕过风险（核心方案）

核心思路：业务侧加固是治本，WAF 只是兜底防护。不能依赖 WAF 拦截攻击，要让业务本身无法执行恶意载荷。

3.1 开发编码层：消除漏洞根源（优先级最高）

1. SQL 注入：强制使用参数化预编译查询

无论 WAF 规则是否完善，只要使用#{}预编译，用户输入永远作为数据，不会被解析 SQL 语法，再多变形 SQL payload 都无法触发注入。

  • 禁止直接拼接 SQL 字符串；MyBatis 严格管控${}使用，仅白名单表名、排序字段；
  • 数据库账号最小权限，业务账号不具备 drop、alter 等高权限。
2. XSS 防护：输出上下文编码，富文本使用 DOMPurify 净化
  • 用户可控数据输出 HTML 页面，按不同上下文做对应转义；
  • Vue/React 禁止随意使用v-html、dangerouslySetInnerHTML渲染用户输入；
  • 开启 CSP 内容安全策略，即使存在 XSS 漏洞，恶意脚本无法执行，作为兜底；
  • Cookie 增加 HttpOnly、Secure 属性，降低 Cookie 劫持危害。
3. 输入校验：白名单优先，拒绝黑名单过滤

所有用户输入（URL 参数、JSON、表单、Header），使用白名单校验：限定输入长度、允许字符集合、数据格式。

黑名单极易被编码、变形绕过，不能作为安全主防护。例如手机号只允许数字，用户名仅允许字母数字下划线。

4. 统一后端解码与归一化处理

后端接收参数时，统一做一次完整解码、字符标准化（Unicode 归一化），在业务逻辑处理前，还原所有编码字符。
好处：无论攻击者使用几层 URL/Unicode 编码，后端拿到原始明文，业务白名单校验直接拦截恶意字符，从源头规避编码类 WAF 绕过。

5. 文件上传接口加固
  • 文件校验读取文件真实文件头，不是仅依靠后缀名；
  • 上传目录禁止脚本执行权限；上传文件重命名，放到 Web 目录外；
  • 限制文件大小、MIME 类型白名单。

3.2 WAF 配置层面优化，减少可绕过空间

  1. 开启全量解码与字符归一化
    开启 WAF 多层解码检测（URL、HTML、Unicode），对请求内容做标准化，统一大小写、解析各类空白字符，避免编码混淆绕过。
  2. 完善规则，启用语义检测，不只依赖简单正则
    单纯正则容易被注释、拆分绕过，开启语义分析、机器学习模型，识别变形后的攻击语义，而不是单纯匹配字符串。
  3. 防护分块传输、参数污染
    开启 Chunked 重组检测，HPP 参数污染检测，对同名多参数全部检测，不只检测第一个参数。
  4. 模式上线流程：先观察模式，再切换拦截
    新业务接入 WAF，先使用日志观测模式 7~14 天，收集误报，调优规则，再切换拦截，避免误拦截业务。
  5. 源站保护，禁止直接访问源 IP
    云 WAF 必须开启源站保护，限制仅 WAF 回源 IP 可以访问后端服务器，防止攻击者绕过 WAF 直连源站。
  6. 防护范围全覆盖：主站、子域名、测试环境、API 接口全部接入 WAF，不要遗漏。

3.3 架构与运维层面加固

  1. 资产梳理，清理遗留测试接口、旧版本站点，这类站点往往没有 WAF 防护，漏洞多；
  2. 限制 HTTP 请求头、Body 最大长度，防止超长注释、垃圾填充字符消耗 WAF 正则引擎（ReDoS）；
  3. 源站服务器禁止直接暴露公网，所有流量强制经过 WAF/CDN；
  4. 统一时间同步，完整留存 WAF 全量日志（原始请求包、Header、body），日志保存≥6 个月；
  5. 监控绕过行为：高频 403、大量编码异常请求、Payload 变形尝试，触发 IP 限流与告警。

3.4 安全测试：上线前主动做 WAF 绕过专项测试

常规漏洞扫描容易漏掉 WAF 绕过场景，上线前增加专项测试：

  1. 使用各类编码、注释、大小写变形 Payload 测试漏洞点；
  2. 测试分块传输、参数污染、multipart 表单绕过场景；
  3. 测试绕过成功后的危害，验证业务加固是否生效；
  4. 漏洞修复完成后，复测各类变形 Payload，确认无法触发漏洞。

重点：测试目标不是 “测试 WAF 能不能被绕过”，而是验证业务本身在各类变形输入下，不存在漏洞。

四、WAF 绕过风险自查清单（可直接用于安全评审）

表格

检查分类检查项说明
代码安全SQL 全部使用参数化查询，无字符串拼接 SQL根治注入类绕过
代码安全用户输入采用白名单校验，不依赖黑名单过滤防御关键字变形绕过
代码安全输出页面做上下文编码，开启 CSP抵御 XSS 变形 Payload
后端处理后端参数统一归一化、全量解码防御多重编码绕过
WAF 配置业务所有域名、测试站全部接入 WAF，开启源站保护防止直连源站绕过
WAF 配置WAF 开启多层解码、字符归一化、chunk 重组减少协议解析差异
接口安全文件上传校验文件头，上传目录禁止执行脚本文件上传绕过防护
日志监控WAF 完整记录原始请求，异常编码请求告警发现绕过尝试行为
安全测试上线前完成 WAF 绕过专项测试验证加固有效性

五、常见误区澄清

❌误区 1：WAF 开启最高防护等级，就能挡住所有攻击

WAF 只能识别已知特征，新型变形 Payload 依然可以绕过。业务存在漏洞时，WAF 只是临时补丁，漏洞修复才是根本。

❌误区 2：WAF 拦截普通 Payload = 业务没有漏洞

普通 Payload 被拦截，不代表变形 Payload 无法绕过，很多漏洞在标准 WAF 规则下可以被变形绕过。

❌误区 3：只在前端过滤特殊字符

前端校验完全可以抓包修改，后端校验不可缺少，前端过滤不能用来防御 WAF 绕过。

❌误区 4：绕过 WAF=WAF 产品不行

绝大多数绕过成功的核心原因：业务本身存在漏洞，WAF 规则未覆盖变形载荷。再好的 WAF，也不能替代代码安全。

六、总结

WAF 绕过的底层根源是WAF 和后端对 HTTP 请求、字符编码、语法解析的不一致，而实现绕过的前提是业务 Web 接口本身存在安全漏洞。

防护逻辑顺序：代码加固（消除漏洞） > 后端输入归一化校验 > WAF 兜底防护 > 安全测试 + 日志审计。
WAF 定位是纵深防御里的外层屏障，用来拦截自动化扫描器、基础攻击，不能作为唯一防护手段。

业务安全团队在做 Web 防护时，不要把全部安全寄托在 WAF 上，优先修复代码漏洞，配合后端归一化输入校验，缩小攻击面，从业务底层杜绝 WAF 绕过带来的入侵风险。

一句话记住：WAF 是拦攻击流量的盾牌，代码安全才是业务的承重墙；没有漏洞，再多变形 Payload 也无法实现 WAF 绕过。

最后

网络安全需要学习那些知识

网络安全零基础入门学习路线&规划

初级
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

在这里插入图片描述

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

想要入坑黑客&网络安全的朋友，给大家准备了一份：282G全网最全的网络安全资料包免费领取！

img

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。
在这里插入图片描述

网络安全工程师企业级学习路线

在这里插入图片描述

视频配套资料&国内外网安书籍、文档&工具
当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

在这里插入图片描述

一些我自己买的、其他平台白嫖不到的视频教程：

要学习网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的学习资料已经上传优快云，朋友们如果需要可以微信扫描下方优快云官方认证二维码免费领取【保证100%免费】

img

收录于
网络安全

当前文章被收录于：

网络安全
345 篇文章 1 人学习
订阅专栏 查看详情
标签
#WAF #WAF 绕过原理 #业务侧规避方案 #安全 #Web 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
WAF绕过技术实战：从原理到渗透测试的攻防博弈 Web应用防火墙（WAF）作为应用层安全的核心防线，其工作原理是基于规则或模型对HTTP/HTTPS请求进行深度检测，匹配已知攻击特征以阻断恶意流量。理解WAF的检测机制是绕过的关键，其本质在于寻找WAF与后端应用（如Web服务器、数据库）在协议解析、数据解码及语法处理上的差异，从而构造出WAF视为无害、后端却能执行的Payload。这项技术的核心价值在于为安全从业者提供了检验防御体系有效性的“试金石”，尤其在渗透测试和红队评估中，能够真实反映应用在对抗高级威胁时的防护能力。在实际应用场景中，针对如SQL注 阅读详情

相关推荐

SSRF漏洞WAF绕过实战：从原理到高级对抗技巧

服务端请求伪造（SSRF）是一种常见的安全漏洞，它允许攻击者诱使服务器向内部或外部任意地址发起请求，从而可能访问到受保护的内部网络资源或敏感数据。其核心原理在于应用程序未对用户可控的URL输入进行充分校验和限制，便直接发起网络请求。在工程实践中，Web应用防火墙（WAF）是防御此类攻击的关键组件，它通过规则引擎对出站请求的URL、协议、主机名等特征进行深度检测与过滤。为了有效防护，WAF通常采用IP/域名黑名单、正则匹配、DNS重解析等多层机制。然而，攻击者常利用URL解析差异、协议特性及DNS重绑定等技术

weixin_30239339的博客 394

WAF的常见检测和规避技术

Web 应用程序防火墙 (WAF) 通过监控、过滤和阻止往返于 Web 服务的 HTTP 流量来帮助保护 Web 应用程序。然而，人们往往依赖 WAF 作为一道防线来保护 Web 应用程序免受所有类型的攻击。这篇博文简要概述了 WAF 的工作原理以及如何识别正在使用的 WAF，然后深入探讨绕过 WAF 的常见方法和更新颖的方法。

博客地址 www.sec0nd.top 2411

SQL注入绕过WAF的10种高阶技巧与实战解析

SQL注入是一种通过在Web应用输入中插入恶意SQL代码，从而操纵后端数据库的经典攻击技术。其原理在于应用程序未对用户输入进行充分过滤，使得攻击者能够执行非预期的数据库查询。掌握SQL注入技术对于理解Web安全攻防、进行渗透测试和CTF竞赛至关重要。在实战中，攻击者常需绕过Web应用防火墙（WAF）的检测，这涉及到对WAF规则逻辑的深度理解与精巧的载荷变形。例如，通过**内联注释**拆分关键词，或利用**等价函数**替换被过滤的语法，都是常见的混淆手段。这些方法旨在使恶意语句在WAF眼中“无害化”，同时能被

weixin_33725515的博客 365

WAF绕过技术深度解析：原理、实战与防御对策

WAF绕过技术的核心是"利用差异"——包括WAF与后端的解析差异、规则与业务的适配差异、检测能力与攻击手段的技术差异。防御方的核心任务并非追求"绝对无法绕过"的WAF，而是通过"规则优化+技术升级+流程规范"，大幅提升攻击者的绕过成本。需明确：WAF仅是安全防护体系的一环，无法替代业务逻辑加固、数据加密、人员安全意识等基础防护措施。只有将WAF防护与整体安全体系深度融合，在攻防对抗中持续迭代优化，才能真正构建起有效的Web安全防线。

A1353192296的博客 887

RCE Payload构造实战指南：从原理到绕过WAF的完整兵器谱

远程代码执行（RCE）是Web安全领域的核心漏洞类型，其本质在于应用程序将未经验证的用户输入拼接至系统命令并执行。理解命令注入、反序列化等漏洞成因，掌握从基础语法到高级绕过的Payload构造原理，是渗透测试与漏洞挖掘的关键技术。在实战中，针对不同操作系统、编程语言和过滤规则，灵活运用命令分隔符、编码转换、环境变量及通配符等技巧，能有效突破防御。尤其在面对WAF和复杂过滤场景时，结合Base64编码、${IFS}替换、无字母数字构造等高级技法，可实现精准攻击。本文系统梳理了从Linux/Windows基础命

weixin_34116110的博客 361

WebShell三巨头流量特征剖析与WAF绕过攻防实战

WebShell作为攻击者维持服务器访问权限的后门，其通信流量特征的分析与检测是网络安全纵深防御的关键环节。从原理上看，WebShell管理工具通过网络协议与植入的服务端脚本进行交互，其通信模式、数据编码和加密方式直接决定了流量在WAF等安全设备眼中的可见性。这项技术的核心价值在于，通过深入理解攻击工具的流量特征，防守方可以构建从特征匹配到行为分析的立体检测体系，有效应对从明文传输到动态加密的各类威胁。在应用场景上，无论是安全运营中心（SOC）的告警降噪、渗透测试中的工具选型，还是WAF/NDR产品的检测引

weixin_30654419的博客 385

WAF/CDN识别与特征分析：为绕过做准备

它告诉你“骨骼”（网络架构）的形态、“防护层”（安全策略）的位置，以及可能存在“薄弱点”（错误配置、已知特征）的区域。· CDN：内容分发网络，是一种通过将内容缓存到全球分布的边缘节点，使用户就近访问，以提升网站性能、可用性和抗攻击能力（如DDoS）的网络。它像一个庞大的连锁快递仓库系统。它像一个专业的语法检查员，检查你提交的“句子”（HTTP请求）是否符合“安全文法”，并拦截那些包含“危险词汇”（攻击载荷）的句子。—— 是的，在开篇明确了其作为“战略基石”的价值，并列出了5个具体可衡量的学习目标。

Alfadi联盟 萧瑶的博客 1023

c语言版数据结构课程设计 学生成绩管理系统

此学生成绩管理系统完成15项功能，是我经过很多次的修改得到的。花费时间不短，功能齐全，主要完成了：输入，输出，插入，修改，删除，查询，读取文件，写入文件，复制文件，建立索引，显示各种情况下的信息，追加学生信息等等功能。一共15项。   代码如下： // shujujiegou.cpp : 定义控制台应用程序的入口点。///**本程序采用数组链表形式，原因：数组查询速度快，数组也能实现动态存储

Java 1万+

SQL注入绕过技巧全解析：从WAF原理到实战攻防

SQL注入是Web安全领域最经典的漏洞类型之一，即使在参数化查询普及的今天，依然在OWASP Top 10中占有一席之地。WAF（Web应用防火墙）作为主流防护手段，本质上是基于规则的模式匹配，而数据库引擎对SQL的解析则遵循词法、语法、语义的分层逻辑。两者的解析差异为绕过提供了可能：利用注释符、编码转换、等价函数、参数污染等手段，攻击者可以构造出数据库正常执行但WAF无法识别的语句。理解这一对抗原理，不仅有助于渗透测试中的注入点探测与数据提取，也能帮助防御者更清晰地认识规则盲区。在安全测试、红队评估、漏洞

weixin_42524171的博客 237

编程_三大编程思想：POP、OOP、AOP

简单介绍POP、OOP、AOP三大编程思想的区别和优缺点~

mikimo的博客 3899

ch32v103xx 烧写

烧写方式 串口uart, usb,swd(wch link)但不建议按此使用，参官方说明。

qq_39239990的博客 637

Web 目录爆破实战：工具、字典、WAF 绕过与踩坑

目录爆破本质不是无脑发包，是低速、精准、字典驱动的 Web 路径测绘。实战中优先控制发包速率避免 WAF 拦截；字典尽量结合目标业务定制；扫描结果一定要人工复核，重点抓取备份文件和 403/302 页面。遇到强 WAF 不要硬刚，及时终止爆破，切换被动信息收集。目录爆破是信息收集的补充手段，不能作为漏洞挖掘的全部。⚠️免责声明：本文内容仅用于授权安全测试学习。任何未授权网站扫描行为，责任由操作者自行承担。学好网络安全不论是就业还是做副业赚钱都不错，但要学会网络安全还是要有一个学习规划。

qq_53058639的博客 285

【架构设计】DDD 到底解决了什么问题

DDD作为架构设计思想帮助微服务控制规模复杂度，那它是怎么做到的呢？第一章提出了架构的根本目是解决系统复杂度，并简要说明系统复杂度的六个来源及通用解法，为我们设计架构提供了清晰可执行的操作思路。

DreamSun的博客 1162
上一篇： Web 业务防护：如何防御 SQL 注入与 XSS 攻击
下一篇： API 接口安全加固实战
点赞 0
评论 0
书签 书签 6
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值