Web / CTF · Blue

本目录收录 96 篇技术文档。

• Red
• 共享方法
• 防御网

技术文档

• 人机验证与 CAPTCHA 防绕过加固
• CDN / Cloudflare 源站隐藏与防直连加固
• 公网资产收敛与测绘暴露面防御
• 路由解析一致性与反向代理头信任加固
• 技术栈指纹最小化与运行态错误收敛
• Host Header 注入与路由越权防御
• JWT 安全架构与防御全景
• JWT alg:none 无签名绕过防御
• JWT 非对称/对称算法混淆防御
• JWT HMAC 弱密钥与泄露防御
• JWT kid 参数注入防御
• JWT jku / x5u / x5c 密钥源劫持防御
• JWT Claim 校验与 Token 类型隔离防御
• JWT 凭证窃取、重放与持久化防御
• JWT 依赖库 CVE 治理与安全调用防御
• JWT 防御验证流水线、CI 门禁与结果矩阵
• LDAP 过滤器注入与匿名绑定防御
• OAuth 2.0 / OIDC 单点登录安全防御
• SAML 2.0 XML 签名包装与解析器差异防御
• WebAuthn 与 Passkey 防御：Ceremony 绑定、凭据归属与恢复流程
• GraphQL 防御与安全架构加固
• HPP 与 CRLF 响应头注入防御
• Prototype Pollution (原型链污染) 纵深防御
• ReDoS 正则回溯与时序侧信道防御
• SQLi 与 NoSQLi 纵深防御及账本隔离
• SSTI (服务器端模板注入) 与多引擎沙盒加固
• 开放重定向与 URL 解析差分防御
• SSRF 纵深防御：协议封堵、DNS Pinning 与云元数据隔离
• 多语言反序列化安全防御与类型约束
• 文件上传隔离、XXE 禁用与路径穿越防御
• Admin Bot 与 XSS 跨站脚本纵深防御
• CORS 跨域策略与 CSRF 请求伪造防御
• PostMessage 跨域消息通信纵深防御
• WebSocket / Socket.IO / MQTT 实时通道纵深防御
• HTTP/2 协议栈防御：HPACK 限额、CONTINUATION 封堵与 H2C 禁用
• 并发竞态原子化、缓存键隔离与 HTTP 走私防御
• Web Cache Deception 防御与 CDN/源站路径一致性加固
• Blink UAF 防御：CSSFontFeatureValuesMap 迭代器生命周期与浏览器沙箱加固（CVE-2026-2441）
• Redis/Valkey RESTORE 防御：zipmap 规范编码校验与 ACL 隔离（CVE-2026-25243）
• cPanel CalDAV 路径穿越与权限降级加固（CVE-2026-29205）
• Nezha Monitoring 防御：Go 路径段匹配加固与 JWT 密钥隔离（CVE-2026-53519）
• LiteLLM 权限提升防御：RBAC 路由边界与 API Key 授权隔离（CVE-2026-47101）
• NGINX rewrite 模块堆溢出防御：版本升级、指令安全重构与运行缓解（CVE-2026-42945）
• AWS IAM 最小权限与提权路径防御
• CI/CD Pipeline 防御：上下文注入消除、Runner 隔离与供应链签名
• 容器运行时逃逸防御：Docker Socket 隔离、Capabilities 收敛与 LSM 加固
• GitHub Actions 滥用路径防御：Token 最小权限、触发器隔离与 Action 固定
• Kubernetes RBAC 最小权限防御与高危权限边阻断
• Kubernetes 与容器逃逸纵深防御：Pod Security、控制面隔离与网络策略
• 对象存储预签名防御：签发授权、上传隔离与版本绑定
• Serverless / Lambda 防御：最小角色、事件源校验与执行隔离
• Terraform State 与 IaC 凭证防御：加密远端状态、零密钥输出与暴露阻断
• Valkey RESP 协议状态机 DoS 防御：版本升级、状态重置补丁与边界接入控制（CVE-2026-27623）
• 构建制品来源防御：签名身份、Provenance 策略与消费绑定
• Dependency Confusion 与供应链投毒防御：私有源隔离、锁文件校验与脚本禁用
• 支付绕过纵深防御 — 服务端权威计价、状态机与精度控制
• 支付回调与异步链路防御 — 验签、幂等锁、Anti-SSRF 与事件因果保护
• 虚拟商品与内购 (IAP) 防御 — 收据服务端直验、防重放与铸币防护
• 退信泄露与订单越权防御 — 最小化 NDR 回执与所有权强鉴权
• 支付业务逻辑纵深防御 — 多账本一致性、防注入与闭环校验
• PHP 支付系统纵深防御 — 严格类型比较、反序列化禁用与 BCMath 计价
• 余额扣减丢失更新 (Lost Update) 防御 — 条件原子更新、行锁与复式账本
• 订阅与周期计费防御 — 试用反滥用、Proration 校验与 Seat 强绑定
• IDOR 纵深防御 — 对象级授权 (BOLA)、多租户隔离与不可预测标识
• 功能级访问控制 (BAC) 防御 — 默认拒绝、防方法覆写与流程状态锁
• 批量赋值与属性注入防御 — DTO 白名单绑定、禁危险函数与 GraphQL 类型收敛
• 参数篡改与优惠券竞态防御 — 契约校验、不可变折扣账本与防 TOCTOU
• 速率限制绕过防御 — 可信代理链、规范化键、原子令牌桶与验证码强绑定
• 高级暴力破解防御 — 反凭证喷洒、抗 MFA 疲劳、恒定时间认证与哈希加固
• API 发现与信息泄露防御 — 生产文档收敛、GraphQL 内省禁用、Source Map 隔离与版本治理
• API 密钥泄露防御 — 前后端密钥隔离、最小权限作用域、CI 密钥门禁与云规则锁定
• CSP 绕过防御 — Strict-Dynamic、单次 Nonce、Trusted Types 与无脚本外带阻断
• XS-Leaks 浏览器侧信道防御 — Fetch Metadata、CORP/COOP 跨源隔离与恒定响应防线
• 子域名接管防御 — DNS 生命周期治理、悬空记录核销、托管域认领锁定与 CAA 收敛
• 邮件伪造防御 — SPF/DKIM/DMARC 严格对齐、显示名同形字过滤与 SMTP/iCal 注入阻断
• OAuth 2.0 攻击全链防御 — 强制 PKCE S256、精确 redirect_uri 匹配、State 绑定与授权码单次核销
• Session 固定与 SSO 劫持防御 — 认证会话轮换、Cookie 主机锁定、JWT 吊销与命名空间隔离
• 应用层拒绝服务防御与协议弹性加固
• 资源耗尽与算法复杂度攻击防御
• UDP 反射与放大攻击（DRDoS）防御
• ReDoS 正则表达式拒绝服务防御
• HTTP/2 CONTINUATION Flood 与 H2/H3 协议弹性防御
• TCP 协议栈状态耗尽防御与内核调优
• DNS 拒绝服务与缓存投毒防御
• TLS/SSL 握手耗尽防御与密码学优化
• 缓存穿透、源站暴露与 CDN 拒绝服务防御
• API 滥用拒绝服务防御与配额治理解析
• 云原生、Kubernetes 与 Serverless 拒绝服务防御
• SSRF 驱动的拒绝服务防御与出站隔离
• 数据库层拒绝服务防御与查询资源治理
• SQL Injection Core Defense — SQL 注入基础防御与参数化体系
• Advanced SQLi & Second-Order Defense — 高级注入、二阶与 OOB 防御
• NoSQL Injection Defense — MongoDB/Redis/ES/CouchDB/Memcached 全栈防御
• Database Config Exposure Defense — 数据库配置与凭证防泄露
• Database Backup & Log Leak Defense — 数据库备份、日志与运维残留防护
• Leak Containment & Anti-Extraction Defense — 泄露遏制、凭证轮换与数据掩码体系