37-Ajax

Ajax

AJAX = Asynchronous JavaScript and XML(异步的JavaScript和XML).

application.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:mvc="http://www.springframework.org/schema/mvc"
       xmlns:context="http://www.springframework.org/schema/context"
       xsi:schemaLocation="http://www.springframework.org/schema/beans
         http://www.springframework.org/schema/beans/spring-beans.xsd
         http://www.springframework.org/schema/mvc
         https://www.springframework.org/schema/mvc/spring-mvc.xsd
         http://www.springframework.org/schema/context
         https://www.springframework.org/schema/context/spring-context.xsd">
    <!--处理器映射器-->
    <context:component-scan base-package="com.kuang.controller"/>
<!--   静态资源过滤   -->
    <mvc:default-servlet-handler/>
    <mvc:annotation-driven/>


<!-- JSON乱码问题配置 -->


    <bean class="org.springframework.web.servlet.view.InternalResourceViewResolver" id="internalResourceViewResolver">
        <property name="prefix" value="/WEB-INF/jsp/"/>
        <property name="suffix" value=".jsp" />
    </bean>


</beans>

web.xml

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"
         version="4.0">

    <servlet>
        <servlet-name>springmvc</servlet-name>
        <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
        <init-param>
            <param-name>contextConfigLocation</param-name>
            <param-value>classpath:applicationContext.xml</param-value>
        </init-param>
        <load-on-startup>1</load-on-startup>
    </servlet>
    <servlet-mapping>
        <servlet-name>springmvc</servlet-name>
        <url-pattern>/</url-pattern>
    </servlet-mapping>

    <filter>
        <filter-name>encoding</filter-name>
        <filter-class>org.springframework.web.filter.CharacterEncodingFilter</filter-class>
        <init-param>
            <param-name>encoding</param-name>
            <param-value>utf-8</param-value>
        </init-param>
    </filter>
    <filter-mapping>
        <filter-name>encoding</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>

</web-app>

初体验

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
  <head>
    <title>$Title$</title>
  <script src="${pageContext.request.contextPath}/static/js/jquery-3.5.1.js"></script>

  </head>
  <body>
用户名: <input type="text" id="username" onblur="a()">
<script>
  function a() {
    $.ajax({
      url: "${pageContext.request.contextPath}/a1",
      data: {"name":$("#username").val()},//name和后端接受的name对应
      success:function (data) {
        alert(data);
      }
    })
  }
</script>
  </body>

</html>

controller

    @RequestMapping("/a1")
    public  void a1(String name, HttpServletResponse response) throws IOException {
        System.out.println("a1:name----->"+name);
        if("zhangsan".equals(name)){
            response.getWriter().print("true");
        }else {
            response.getWriter().print("false");
        }
    }
你提供的日志片段显示了多个 **404 错误请求**,目标路径集中在: - `/wp-admin/admin-ajax.php` - `/wp-cron.php` - `/epinyins.php` 并且部分请求的 `Referer` 是 `https://blackjason7.co/wp-admin/edit.php?post_type=shop_order`,这是一个典型的 WordPress 后台路径。 --- ## 🧠 问题分析 这些请求很可能是 **自动化扫描或攻击尝试**,攻击者可能在: ### 1. **尝试利用 WordPress 的 admin-ajax.php 漏洞** - `admin-ajax.php` 是 WordPress 的异步请求处理接口。 - 攻击者常利用它进行: - 暴力调用未授权的 AJAX 操作 - 尝试注入恶意参数 - 尝试触发插件或主题中的漏洞 ### 2. **尝试访问 wp-cron.php** - `/wp-cron.php` 是 WordPress 的定时任务调度器。 - 攻击者可能试图: - 滥用 wp-cron 触发资源密集型任务 - 利用某些插件在 wp-cron 中注入恶意代码 ### 3. **尝试访问不存在的文件 /epinyins.php** - 这个文件路径 `/epinyins.php` 看起来是攻击者尝试探测某些后门脚本是否存在。 - 类似于 `/wp-content/plugins/...` 或 `/shell.php` 的扫描行为。 ### 4. **Referer 来自 blackjason7.co** - 这个域名 **不是你的站点域名**,说明攻击者可能是通过伪造 Referer 来模拟来自你网站后台的请求。 - 这是典型的 **CSRF(跨站请求伪造)尝试** 或 **SSRF(服务器端请求伪造)利用尝试**。 --- ## ✅ 解决方案与防护建议 ### ✅ 1. 阻止对 `/wp-admin/admin-ajax.php` 的恶意请求 你可以通过 `.htaccess` 或 Nginx 配置限制访问 `admin-ajax.php` 的方式: #### Apache `.htaccess` 配置: ```apache <Files "admin-ajax.php"> Order Allow,Deny Allow from all # 可选:限制仅允许来自你自己的域名的 Referer # Deny from env=BAD_REFERER </Files> ``` #### Nginx 配置: ```nginx location ~ /wp-admin/admin-ajax.php$ { if ($http_referer !~* "^https?://[^/]+/wp-admin/") { return 403; } # 或者直接限制访问频率 limit_req zone=ajax burst=5 nodelay; } ``` --- ### ✅ 2. 限制 `/wp-cron.php` 的访问 WordPress 的 `wp-cron.php` 可以被滥用为攻击入口。 #### 禁止外部访问 wp-cron.php(推荐): ```nginx location = /wp-cron.php { deny all; return 403; } ``` 然后使用系统级定时任务代替 WordPress 自带的 wp-cron: ```bash crontab -e ``` 添加如下内容: ```bash */5 * * * * curl -s -o /dev/null https://yourdomain.com/wp-cron.php?doing_wp_cron ``` 这样可以防止外部访问,但又保留定时任务功能。 --- ### ✅ 3. 屏蔽 `/epinyins.php` 请求 这个路径明显是攻击者试探后门文件的存在,建议直接屏蔽: #### Nginx: ```nginx location ~ /epinyins\.php$ { deny all; return 403; } ``` #### Apache: ```apache <Files "epinyins.php"> Order Allow,Deny Deny from all </Files> ``` --- ### ✅ 4. 使用 WordPress 安全插件 推荐使用以下插件来增强 WordPress 安全性: - **Wordfence Security**:提供防火墙、IP封锁、请求频率限制、漏洞扫描等 - **iThemes Security**:增强登录安全、屏蔽扫描路径、保护 wp-admin - **All In One WP Security & Firewall**:全面的安全加固 --- ### ✅ 5. 检查 WordPress 是否被入侵 你可以使用以下方式检查是否被入侵: - 使用 Wordfence 扫描文件完整性 - 检查 `wp-content/uploads`、`wp-content/plugins`、`wp-content/themes` 目录中是否有可疑文件 - 查看数据库中 `wp_options`、`wp_users`、`wp_usermeta` 是否有异常内容 - 检查 `.htaccess` 或 `wp-config.php` 是否被篡改 --- ## ✅ 示例:Nginx 完整防护配置片段 ```nginx # 屏蔽 wp-cron.php 外部访问 location = /wp-cron.php { deny all; return 403; } # 屏蔽 epinyins.php location ~ /epinyins\.php$ { deny all; return 403; } # 限制 admin-ajax.php 的访问频率 location ~ /wp-admin/admin-ajax.php$ { limit_req zone=ajax burst=5 nodelay; if ($http_referer !~* "^https?://yourdomain.com/wp-admin/") { return 403; } try_files $uri =404; include fastcgi_params; fastcgi_pass unix:/run/php/php8.1-fpm.sock; } ``` --- ##
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值