分类后端技术下的文章

2024-09-06

SQL注入关卡通常是为了测试用户对SQL注入攻击的理解和防护措施。以下是一个简单的PHP代码示例，用于实现对5-8关的防护，使用预处理语句来防止SQL注入：




<?php
// 假设已经连接到数据库
$db = new PDO('mysql:host=localhost;dbname=your_database', 'username', 'password');
 
// 用户输入
$id = $_GET['id'];
 
// 准备预处理语句
$stmt = $db->prepare("SELECT * FROM users WHERE id = :id");
 
// 绑定参数
$stmt->bindParam(':id', $id, PDO::PARAM_INT);
 
// 执行查询
$stmt->execute();
 
// 获取结果
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);
 
// 处理结果...
?>

在这个例子中，我们使用了PDO（PHP数据对象）的预处理语句来构建SQL查询。通过使用参数绑定，:id被视作参数，而不是直接将用户输入拼接到SQL查询中，这样可以防止SQL注入攻击。使用PDO的bindParam方法，我们将$id变量与查询中的参数:id绑定起来，并指定参数的类型为整数。这种方式是现代编程实践中推荐的防护SQL注入的方法。

- 阅读更多 -

Oracle SQL中的DECODE函数与NVL函数：区别与应用场景详析

System

2024-09-06

所有,数据库

DECODE 函数和 NVL 函数在 Oracle SQL 中都被用于处理空值(NULL)和条件判断。

DECODE 函数:

DECODE 函数是 Oracle 提供的一个功能强大的函数，它用于条件判断并返回不同的值。它的语法如下：




DECODE(expression, search1, result1, search2, result2, ..., default)

其中，expression 是要检查的表达式，search1 是要搜索的值，result1 是返回的值，如果 expression 等于 search1，那么就返回 result1。以此类推，如果 expression 等于 searchN，那么就返回 resultN。如果没有任何匹配，那么就返回 default。

例如，假设我们有一个名为 "score" 的字段，我们可以使用 DECODE 函数来将分数转换为等级：




SELECT name, score, 
DECODE(score, 
   10, 'A', 
   9, 'A', 
   8, 'B', 
   7, 'C', 
   'D') as grade 
FROM students;

NVL 函数:

NVL 函数用于将 NULL 值替换为另一个值。它的语法如下：




NVL(expression1, expression2)

其中，expression1 是要检查的表达式，expression2 是如果 expression1 为 NULL 时要返回的值。

例如，假设我们有一个名为 "phone\_number" 的字段，我们可以使用 NVL 函数来替换空的电话号码：




SELECT name, phone_number, NVL(phone_number, 'Unknown') as display_phone FROM customers;

在这个例子中，如果 "phone\_number" 是 NULL，那么 "display\_phone" 就会显示为 'Unknown'。

应用场景:

DECODE 函数通常用于需要根据某个值进行条件判断并返回不同结果的场景，例如，根据分数的不同来转换成等级，根据员工的不同状态来确定工资的调整等。

NVL 函数通常用于需要将 NULL 值替换为其他值的场景，例如，将 NULL 的电话号码替换为 'Unknown'，将 NULL 的地址替换为 'N/A' 等。

区别:

DECODE 函数和 NVL 函数的主要区别在于它们的应用场景和它们的语法。DECODE 函数可以进行多个条件的判断，而 NVL 函数只能进行 NULL 值的替换。另外，DECODE 函数的条件判断是逐个检查的，而 NVL 函数只能进行两个表达式的比较。

- 阅读更多 -

Spring Cloud Alibaba项目创建

System

2024-09-06

所有,java

创建一个Spring Cloud Alibaba项目，你可以使用Spring Initializr（https://start.spring.io/）进行快速生成。以下是使用Maven的方法：

访问Spring Initializr网站：https://start.spring.io/
选择需要的选项，例如Java、Spring Cloud Alibaba、Maven等。
点击“GENERATE”按钮生成项目。
解压或下载生成的ZIP文件。
使用Maven导入项目，例如：




mvn clean install

启动项目：




mvn spring-boot:run

如果你使用的是Gradle，可以在命令行中运行以下命令来启动项目：




./gradlew build
java -jar build/libs/your-project-name.jar

确保你的开发环境中已经安装了Maven或Gradle，并且配置了正确的Spring Cloud Alibaba依赖。

System

2024-09-06

所有,redis

要实现多个Redis连接间指定key的数据同步，可以使用Redis的发布/订阅(pub/sub)功能或者使用Redis Data Migration (RDM) 工具来同步数据。

以下是使用Redis发布/订阅的简单示例：

在源Redis服务器上发布数据变更。
在目标Redis服务器上订阅相同的频道。




import redis
 
# 连接到源Redis服务器
source_redis = redis.StrictRedis(host='source_host', port=6379, db=0)
 
# 连接到目标Redis服务器
target_redis = redis.StrictRedis(host='target_host', port=6379, db=0)
 
# 定义一个订阅处理器
def handle_message(message):
    # 当接收到消息时，将数据同步到目标Redis
    target_redis.set(message.get('data'), message.get('channel'))
 
# 创建一个发布/订阅对象
pubsub = source_redis.pubsub()
 
# 订阅指定频道
pubsub.subscribe(**{'mychannel': handle_message})
 
# 开始监听订阅的消息
pubsub.run_in_thread(sleep_time=0.01)

使用RDM工具的话，可以通过配置文件来设置需要同步的key，RDM会自动处理数据的同步。

以下是RDM的基本使用方法：

安装RDM工具。
配置RDM的配置文件。
启动RDM进行数据同步。




# 安装RDM
pip install rdm
 
# 创建配置文件redis.conf
[source]
type: redis
host: source_host
port: 6379
 
[target]
type: redis
host: target_host
port: 6379
 
[rule]
start: __keyevent@0__:set
end: __keyevent@0__:set
 
# 使用RDM进行数据同步
rdm -c redis.conf

RDM会监听源Redis服务器上的set事件，并自动将数据同步到目标Redis服务器。这种方法更为简单和高效，推荐在可能的情况下使用。

- 阅读更多 -

权限提升之数据库——Redis和PostgreSQL提权方式

System

2024-09-06

所有,数据库

在实际的安全测试中，当发现Redis或PostgreSQL的数据库服务存在未授权访问漏洞时，可以尝试以下提权方法：

Redis未授权访问提权：
尝试使用默认配置或者未授权的Redis实例，尝试读取或者写入敏感信息。
PostgreSQL未授权访问提权：
尝试使用默认用户postgres登录，如果可以登录，尝试读取或者写入敏感信息。

以下是实际的提权代码示例：

Redis未授权访问提权示例代码：




import redis
 
# 尝试连接到Redis服务
r = redis.StrictRedis(host='your_redis_host', port=6379, db=0)
 
# 尝试获取或设置一个key
r.set('test_key', 'test_value')
value = r.get('test_key')
print(value)

PostgreSQL未授权访问提权示例代码：




import psycopg2
 
# 尝试连接到PostgreSQL数据库
conn = psycopg2.connect(
    dbname="postgres",
    user="postgres",
    password="",  # 如果没有密码，则留空
    host="your_postgresql_host"
)
 
# 创建一个cursor对象以执行SQL语句
cur = conn.cursor()
 
# 尝试执行一个查询或者修改数据的SQL语句
cur.execute("SELECT version();")
version = cur.fetchone()
print(version)
 
# 关闭连接
cur.close()
conn.close()

注意：在实际的渗透测试中，请确保您的操作不违反计算机犯罪法律法规，并在完成测试后删除或清除所有被入侵系统上的痕迹。

System

2024-09-06

所有,java




import org.springframework.http.MediaType;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;
import org.springframework.http.ResponseEntity;
import org.springframework.http.concurrent.PushStreamHttpHeaders;
 
import javax.servlet.http.PushBuilder;
import java.io.PrintWriter;
import java.util.concurrent.ExecutorService;
import java.util.concurrent.Executors;
 
@RestController
public class ServerSentEventsController {
 
    @GetMapping(path = "/subscribe", produces = MediaType.TEXT_EVENT_STREAM_VALUE)
    public ResponseEntity<PushStreamHttpHeaders> subscribe(PushBuilder pushBuilder) {
        PushStreamHttpHeaders headers = new PushStreamHttpHeaders();
        ExecutorService executorService = Executors.newSingleThreadExecutor();
 
        executorService.execute(() -> {
            try {
                PrintWriter writer = pushBuilder.pushToTarget("/queue/events")
                        .setContentType(MediaType.TEXT_EVENT_STREAM)
                        .getWriter();
                writer.printf("data: %s%n%n", "Initializing connection...");
                writer.flush();
 
                // 模拟发送事件
                for (int i = 0; i < 5; i++) {
                    writer.printf("data: %s%n%n", "Event " + i);
                    writer.flush();
                    Thread.sleep(1000);
                }
 
                writer.close();
            } catch (Exception e) {
                e.printStackTrace();
            }
        });
 
        return ResponseEntity.ok().headers(headers).build();
    }
}

这段代码示例展示了如何在Spring Boot应用中使用PushBuilder来推送Server-Sent Events。它定义了一个简单的REST接口/subscribe，当被调用时，它会启动一个新线程来发送事件。每个事件都以"data: "开头，并以换行符结束，然后通过PushBuilder的pushToTarget方法推送到客户端的/queue/events路径。这个例子提供了一个简单的模型，用于理解如何在实际应用中实现SSE。

- 阅读更多 -

【Java 进阶篇】Jedis 操作 List：Redis中的列表类型

System

2024-09-06

所有,redis

在Redis中，列表是一种常见的数据类型，可以从两端进行插入和删除操作。在Java中，我们可以使用Jedis库来操作Redis中的列表。

以下是使用Jedis操作Redis列表的一些常见方法：

添加元素到列表中




Jedis jedis = new Jedis("localhost");
jedis.lpush("mylist", "element1"); // 在列表头部添加元素
jedis.rpush("mylist", "element2"); // 在列表尾部添加元素

获取列表中的元素




Jedis jedis = new Jedis("localhost");
List<String> mylist = jedis.lrange("mylist", 0, -1); // 获取列表所有元素

从列表中移除元素




Jedis jedis = new Jedis("localhost");
jedis.lpop("mylist"); // 从列表头部移除元素
jedis.rpop("mylist"); // 从列表尾部移除元素

获取列表长度




Jedis jedis = new Jedis("localhost");
long length = jedis.llen("mylist"); // 获取列表长度

修剪列表




Jedis jedis = new Jedis("localhost");
jedis.ltrim("mylist", 0, 1); // 保留列表指定范围内的元素

获取列表指定位置的元素




Jedis jedis = new Jedis("localhost");
String element = jedis.lindex("mylist", 0); // 获取列表指定位置的元素

在列表中插入元素




Jedis jedis = new Jedis("localhost");
jedis.linsert("mylist", BinaryClient.LIST_POSITION.BEFORE, "element1", "element0"); // 在element1前面插入element0

更新列表中的元素




Jedis jedis = new Jedis("localhost");
jedis.lset("mylist", 0, "newElement"); // 更新列表指定位置的元素

以上就是使用Jedis操作Redis列表的常见方法。在实际应用中，你可以根据需要选择合适的方法来操作Redis列表。

System

2024-09-06

所有,python

zipimport 模块用于从 ZIP 文件中导入 Python 模块。这个模块通常不需要手动使用，因为当 Python 解释器尝试导入一个 ZIP 文件中的模块时，会自动使用它。

如果你需要手动使用 zipimport 来导入模块，可以参考以下示例代码：




import zipimport
 
# 假设有一个名为 'my_module.zip' 的 ZIP 文件，其中包含 Python 代码
# 可以是一个包含 __init__.py 的包，或者是一个模块 my_module.py
 
# 打开 ZIP 文件
zip_file = open('my_module.zip', 'r')
 
# 创建一个 zipimporter 对象
zip_importer = zipimport.zipimporter(zip_file)
 
# 使用 'my_module.py' 中定义的名称来导入模块
# 这里 'my_module' 是假设 ZIP 文件中的模块名称（不包括.py 扩展名）
my_module = zip_importer.load_module('my_module')
 
# 使用导入的模块
print(my_module.some_function())  # 假设 my_module 有一个函数 some_function

请注意，在实际应用中，通常不需要手动创建 zipimporter 对象，Python 会自动处理 ZIP 文件中的模块导入。这个例子仅用于演示如何使用 zipimport 模块。

- 阅读更多 -

SpringBoot项目-手动构建

System

2024-09-06

所有,java

在Spring Boot中，可以手动构建项目而不使用Spring Initializr（即不通过Spring Boot提供的自动化工具）。以下是手动构建Spring Boot项目的基本步骤：

创建一个新的Maven项目或Gradle项目。
添加Spring Boot的依赖管理部分到你的pom.xml或build.gradle文件中。
添加Spring Boot的核心依赖项到你的pom.xml中的<dependencies>部分。
创建一个启动类，它将包含@SpringBootApplication注解。
在src/main/resources目录下创建application.properties或application.yml配置文件（如果需要）。

以下是使用Maven的例子：

pom.xml 文件：




<project>
    <!-- ... other elements ... -->
 
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.x.x.RELEASE</version>
    </parent>
 
    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter</artifactId>
        </dependency>
        <!-- 其他依赖项 -->
    </dependencies>
 
    <!-- ... other elements ... -->
</project>

src/main/java/com/example/MyApplication.java 文件：




package com.example;
 
import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
 
@SpringBootApplication
public class MyApplication {
 
    public static void main(String[] args) {
        SpringApplication.run(MyApplication.class, args);
    }
 
}

src/main/resources/application.properties 文件（如果需要）：




# 应用配置属性

确保你的项目结构符合Maven或Gradle的标准，这样它们才能正确地构建和管理你的项目。

这只是一个基础示例，根据你的具体需求，你可能需要添加更多的依赖项和配置。

- 阅读更多 -

ORACLE 23AI的新特性，看数据库可能前进的方向

System

2024-09-06

所有,数据库

Oracle 23c (23AI) 是 Oracle 数据库软件的最新版本，这里的 "AI" 代表人工智能（Artificial Intelligence），因为 Oracle 正在将更多的人工智能功能集成到其产品中。

Oracle 23c 的新特性可能包括但不限于以下几点：

机器学习和人工智能（AI）增强功能：包括自动机器学习、SQL AI、深度学习等。
数据库内部的自动化和优化：通过 AI 进行工作负载预测和自动调优。
安全性和隐私增强：AI 辅助安全和数据保护。
物联网和空间数据支持：增强对大量 IoT 和 GIS 数据的处理能力。
自动化数据管理：自动化的数据保护、压缩和生命周期管理。
自适应数据库：根据工作负载变化自动调整数据库配置。

要看数据库可能前进的方向，你可以查看 Oracle 的官方文档，或者参考最近的 Oracle OpenWorld 大会上发布的信息。

由于新特性会随着版本的发布而变化，具体细节请参考 Oracle 23c 官方文档或发布会的信息。

- 阅读更多 -