-
Node.js 发 10 个 CVE 补丁：Brotli 越界写入能打通 RCE，但你不主动解压也躲不过
Node.js 10 月 21 日发布安全更新，修复 10 个 CVE，4 个高危。Brotli 解码器越界写入可致 RCE，但不需要你主动解压：fetch 会按响应头自动解 br。本文在 v22.13.1 上实测三条，修复版本为 22.23.4、24.22.1、26.12.1。- 0
- 0
- 17
-
腾讯云发布 php2shell 风险通告：两个 9.2 分漏洞并列为高风险，但关掉上传进度并不能保平安
腾讯云 10 月 21 日发布 php2shell 风险通告，CVE-2026-109618 与 109619 列为高风险。社区流传的关闭 session.upload_progress 挡不住 109618：它走的是内存耗尽与请求关停路径。本文对照五种措施的实际效果。- 0
- 0
- 17
-
PHP 拉响 9.2 分警报：两个 RCE 漏洞今日打补丁，欧盟说修不了就先下线
PHP 安全团队 10 月 21 日 14:00 UTC 发布紧急补丁，修两个 CVSS v4.0 均为 9.2 分的 RCE 漏洞。欧盟 CERT-EU 称打不了补丁的机构应考虑把站点摘下来。本文用本机 PHP 8.3.6 实测了这条链：上传进度功能默认开着，原始文件名不经校验进 session，但默认配置下会话文件名不可控，第三环是断的。- 0
- 0
- 36
-
印度 CA 的 8 张中间证书私钥只有个位数：一次密钥生成脚本写错，让 HTTPS 信任链漏了 18 个月
印度 CA 机构 eMudhra 的 8 张中间 CA 证书私钥只有个位数——4、56、66、115、155、156、230、237，攻击者从 1 试到 256 就能还原并签发任意域名的 HTTPS 证书。Mozilla 2 小时 53 分钟封堵，但这次事故真正的看点是：从 2025 年 4 月生成密钥到 2026 年 10 月被发现，18 个月里没有任何一道检查拦下它。- 0
- 0
- 68
-
一天 589 万请求、505 万次拦截：百度云防护 WAF 如何守住一家旅游网站
一家做欧洲旅游线路的网站，一天收到589万次请求，其中505万次被判定为恶意流量——拦截率高达85.9%。如果没有WAF挡在前面，这个站点每天要处理的无效请求会压垮服务器，真实客户连页面都打不开。下面这份后台数据，记录了一场持续24小时的攻防战。- 0
- 0
- 40
-
AI 爬虫疯狂抓站，拦还是不拦？别纠结了，一张策略表+几行配置说清楚
误区三：所有AI爬虫都该杀光。Perplexity这类引用型爬虫带来的曝光是新流量入口——AI时代的”搜索排名”正在变成”AI回答引用位”。如果你的内容被Perplexity引用，点击是真实存在的。把它们和训练爬虫一起拦掉，等于把新渠道也关了。- 0
- 0
- 54
-
利用百度云防护WAF识别无头爬虫：HTTP请求头指纹拦截科普
很多网站都面临自动化爬虫、无头浏览器（Playwright/Puppeteer）批量采集数据的困扰。这类爬虫依托Chromium无头模式模拟浏览器访问，抓取页面内容。我们可以借助百度云防护 WAF自定义规则，通过HTTP请求头指纹识别这类爬虫，实现基础Bot防护。 一、无头爬虫标志性Header指纹 普通真实浏览器与无头自动化浏览器，在请求头细节上存在明显差异，其中最典型特征： sec-ch-ua…- 0
- 0
- 45
-
.COM 域名 11 月起全线涨价！这份省钱时间表，赶在生效前看一眼
受注册局Verisign上调批发价影响，.com域名的注册、续费、转入价格将于11月起全线跟涨。抢在涨价生效前，把该注册的注册、该续费的续费、该转入的转入——阿里云同步推出了限时活动：新注首年76元起，转入低至76元/个，多年注册享94折，批量续费低至82元/个。- 0
- 0
- 50
-
WordPress 发布 7.1.1 更新：修复 Click2Shell 严重远程代码执行漏洞，一次点击即可强制装主题链至 RCE
速读摘要：WordPress 于 9 月 17 日发布 7.1.1 版本，含 17 项核心修复、19 项区块编辑器修复与 12 项安全修复，重点修复 pwn.ai Research 披露的 Click2Shell 严重漏洞。该漏洞源于主题预览功能对 URL 参数的解析差异——WordPress.org 主题 API 视为普通 Slug，管理员浏览器却保留原始字符注入 jQuery 选择器，可静默强…- 0
- 0
- 114
-
百度云防护WAF防爬虫防CC全解析：从智能拦截到自定义规则，一文看懂如何守住网站流量
网站突然卡顿、CPU飙到100%、带宽被占满——大概率不是你的网站火了，而是被恶意爬虫或CC攻击盯上了。传统手段靠封IP、改UA黑名单，面对换IP、改UA的自动化攻击几乎无效。百度云防护WAF的防爬虫和防CC体系，从智能拦截到自定义规则，形成了完整的分层防御。 一、 CC攻击防护：智能+精准，双管齐下 CC攻击的本质是用海量合法请求耗尽服务器资源。百度云防护WAF在CC防护上提供两层能力： 智能C…- 0
- 0
- 261
-
百度云防护 WAF 8 月 26 日更新 243 条安全规则：冰蝎加密 WebShell 指纹检测、命令注入绕过变种、AI 应用攻击面首次上线
一、8 月 26 日更新总览 8 月 26 日，百度云防护 Web 应用防火墙（WAF）再次更新安全防护规则，新增 243 条规则，覆盖注入、命令执行、权限绕过、代码执行、敏感信息探测、文件读取、文件上传、后门、路径绕过九大类，其中高风险规则 115 条。 这是继 8 月 5 日（306 条）、8 月 12 日（238 条）、8 月 17 日（319 条）之后，8 月的第四次大规模规则更新，单月累…- 0
- 0
- 264
-
挪威政府数字政务系统遭大规模 DDoS 攻击：持续 30 小时，450 万用户受影响
挪威政府旗下政务数字服务近日遭遇黑客大规模分布式拒绝服务（DDoS）攻击，导致该国民众登录政府服务的关键入口 ID-porten 等多项服务短暂停摆。这是挪威政府自今年 6 月以来遭受的第三次 DDoS 攻击，本次攻击规模约为前两次的 2 至 3 倍。 一、事件概述：政务系统遭「数字围城」 据外媒 The Record 报道，挪威政府旗下政务数字服务于 8 月 24 日凌晨遭到黑客大规模 DDoS…- 0
- 0
- 244
-
网站日志分析实战教程：用 Nginx 访问日志揪出扫描器与暴力破解攻击
很多站长等网站被入侵、被挂马了，才想起来查日志。其实攻击者早在得手之前，就已在你的 Nginx 访问日志里留下大量痕迹：目录爆破、SQL 注入探测、后台口令爆破……特征非常明显，只要会看日志，就能在攻击得手前发现并封堵。本文以宝塔面板 + Nginx 环境为例，从日志位置、攻击特征识别、自动化告警到 fail2ban 联动封禁，给出一套可直接落地的日志分析方案。 一、日志在哪？看懂一行访问日志 N…- 0
- 0
- 167
-
Nginx SSL/TLS 安全配置实战：强制 TLS 1.3、优化加密套件、冲击 A+ 评分
HTTPS 早已不是「可选项」，而是网站的基础配置。但很多站长把证书一装就以为安全了：协议还开着 TLS 1.0、加密套件里躺着 RC4 和 3DES、证书链缺了中间证书、OCSP 每次访问都要外查……这些隐患轻则拖慢网站速度，重则让加密形同虚设，甚至被中间人攻击直接降级破解。根据常见的安全扫描结果，国内大量站点在 SSL/TLS 配置上拿不到 A 级评分，问题几乎都出在协议版本过旧、弱套件未清理…- 0
- 0
- 128
-
SSH防暴力破解实战教程：fail2ban自动封禁+密钥登录+服务器加固清单
公网服务器上，SSH 的 22 端口几乎是"永远有人在敲门"。安全机构的统计数据显示，一台暴露在公网上的 Linux 服务器，平均每天会收到数百次密码爆破尝试，高峰期甚至每分钟几十次。很多站长抱着"密码设复杂点就没事"的侥幸心理，直到某天登录服务器，发现 CPU 占用 100%，top 里跑着一个陌生的进程——服务器已经被植入挖矿木马，成了别人的"…- 0
- 0
- 134
-
百度云防护 WAF 8 月 17 日更新 319 条安全规则：用友、深信服各 10 条，Fastjson 黑名单绕过变种上线
百度云防护 WAF 8 月 17 日更新 319 条安全规则：用友、深信服各 10 条，Fastjson checkAutoType 黑名单绕过变种，WebShell 上传检测 19 条（含 Tomcat WAR 包）。单月累计更新 860+ 条，附自查清单。- 0
- 0
- 187
-
网站 WAF 规则配置实战教程：自定义规则拦截 SQL 注入、XSS 与 CC 攻击
导语 很多站长以为接入 WAF 就一劳永逸，其实默认规则只能拦截"标准化"的攻击。遇到业务定制化攻击、频繁误报、或者需要针对特定路径做精细防护时，必须学会配置自定义规则。本文以百度智能云 WAF 为例，从规则体系讲起，手把手带你配置 SQL 注入、XSS、CC 攻击拦截规则，并给出源站 Nginx 兜底配置，全程可落地。 一、先搞懂 WAF 的规则体系 WAF 的防护能力通常分…- 0
- 0
- 540
-
Linux 防火墙规则优化实战：iptables/firewalld 精准放行与防扫描加固教程
很多站长部署完网站就"万事大吉"，防火墙保持默认放行策略，直到某天在日志里看到满屏的端口扫描和暴力破解记录才慌了神。事实上，Linux 服务器面临的第一波攻击往往不是高深的漏洞利用，而是端口扫描、弱口令爆破、异常流量这些"基本功"——攻击者先扫出你开放了哪些端口，再针对性地发起爆破或漏洞探测。本文从策略设计讲起，手把手带你用 firewalld 与 ipta…- 0
- 0
- 124
-
WordPress 高风险漏洞 XSS2Shell（CVE-2026-64638）曝光：登录页 XSS 一路打到 RCE，全球 1.1 万网站被利用
WordPress 发布 7.0.3 修复高风险 XSS2Shell 漏洞（CVE-2026-64638）：登录页面过滤机制差异触发 XSS，可借管理员会话窃取应用密码、上传恶意插件实现 RCE，全球 67 国 1.1 万+ 网站被利用。附站长自查清单。- 0
- 0
- 135
-
宝塔面板安全加固实战教程：登录防护、SSL 配置与系统加固完整指南
宝塔面板把复杂的 Linux 运维变成了“点点点”，但也因此成为全网扫描器的重点关照对象：8888 默认端口、默认安全入口、弱口令、明文 HTTP 登录面板……每一项都是现成的入侵入口。据速度网络安全团队统计，接入百度云防护后的高危告警里，针对宝塔面板登录页的暴力破解与漏洞利用扫描常年排在前三。本文按“面板入口 → 运行环境 → 系统纵深”三层递进，给出一套可直接落地的宝塔面板安全加固方案。 一、…- 0
- 0
- 232
-
网站被攻击了怎么办？漏洞应急响应与修复完整流程实战教程
网站被黑是每个站长都可能遇到的事：早上起来发现首页被篡改、百度收录了一堆赌博页面、或者网站突然变慢、CPU 飙到 100%。这时候最忌讳的就是慌——很多人直接重装系统，结果数据没了、漏洞没堵，上线后再次被入侵。正确的做法是走一套标准的应急响应流程：先止损、再取证、后修复、最后加固。这篇文章把整套流程拆开讲，每一步配好命令，照着做就能把损失降到最低。 一、第一响应：断网隔离与证据保全 发现入侵迹象后…- 0
- 0
- 117
-
Redis未授权访问漏洞怎么防？安全加固与应急修复实战教程
Redis 是站长最常用的缓存数据库，但也是被入侵重灾区。近几年的挖矿木马、勒索事件里，有相当大一部分攻击入口就是 Redis 未授权访问——攻击者不需要任何密码就能连上你的 Redis，然后用一条 CONFIG SET dir 命令把 WebShell 写到网站目录，直接拿下服务器。为什么 Redis 这么容易中招？因为它默认只绑定本机，很多教程为了图省事改成 0.0.0.0 后又不开认证，等于…- 0
- 0
- 129
-
MySQL数据库安全加固实战：防注入、权限最小化与远程访问控制完整教程
数据库是网站最核心的资产，也是攻击者最想拿到的东西。根据安全机构的统计，Web 攻击中 SQL 注入、弱口令爆破、未授权访问常年占据高危漏洞榜单前三名。很多站长把精力都放在 Nginx、PHP 加固上，却忽略了 MySQL 本身——结果就是网站被脱库、数据被勒索，甚至整个服务器被拖入挖矿肉鸡大军。这篇文章不讲虚的，直接给你一套可以照抄的 MySQL/MariaDB 安全加固方案，从权限最小化、远程…- 0
- 0
- 98
-
CDN 回源安全配置实战：隐藏源站 IP，防止绕过 WAF 直连攻击
很多站长以为接入 CDN 就万事大吉，却忽略了一个致命细节——源站 IP 泄露。攻击者只要通过历史 DNS 记录、子域名探测或证书透明度日志找到源站真实 IP，就能绕过 CDN 和 WAF 直接打源站，你的所有防护全部白费。本文讲清楚源站 IP 泄露的常见途径，并给出一套完整的隐藏源站、加固回源的实战配置。一、源站 IP 是怎么泄露的？五个常见途径历史 DNS 记录：接入 CDN 之前，源站 IP…- 0
- 0
- 424
