API 应用程序编程接口 用户开放API，在API网关录入API，以提供接口的方式对外提供服务或者数据。Group API Group API分组 一组API。用户开放API，首先需要创建API分组 每个API分组拥有一个二级域名，两个Stage 用户需要将已经备案且解析至...
DNS DDoS攻击 DNS DDoS攻击主要包括DNS Request Flood、DNS Response Flood、虚假源+真实源DNS Query Flood、权威服务器攻击和Local服务器攻击等。以DNS Query Flood攻击为例，其本质上执行的是真实的Query请求，属于正常业务行为。但如果...
SQL注入攻击 漏洞描述 SQL注入攻击（SQL Injection，简称注入攻击）是一种发生在应用程序的数据库层上的安全漏洞，被广泛用于非法获取网站控制权。如果应用程序中没有针对输入字符串中夹带的SQL指令的检查，攻击者提交的恶意SQL指令会被...
本文介绍在远程连接轻量应用服务器过程中可能存在的问题、排查思路和相应的解决方案。排查思路 如果无法远程连接轻量应用服务器时，阿里云推荐您按照以下思路排查问题。以下排查思路根据原因的出现概率进行排序，建议您从高频率原因往低...
NSS验证证书的方式中存在一个远程代码执行缺陷，该缺陷允许冒充TLS/SSL服务器的攻击者对使用NSS编译的客户端触发堆溢出的问题，此外，在使用NSS编译的服务器应用程序中处理客户端证书时也会触发堆溢出的问题。漏洞信息 漏洞编号：CVE-2021-...
本地提权 本地提权漏洞是指攻击者在实施网络攻击时获得了系统最高权限，从而取得对网站服务器的控制权。黑客利用该漏洞可突破安全防御系统，直接威胁用户的系统和数据安全。代码执行 代码执行是指攻击者可能会利用漏洞，在服务器上执行恶意...
应用层攻击主要是针对服务器的攻击，通过恶意请求导致服务器的内存被耗尽，或者CPU被内核及应用程序耗尽而导致服务器无法响应业务正常访问请求。流量清洗 流量清洗是指通过专业的防DDoS设备或者服务对流量进行分析和过滤，将其中的正常流量...
分布式拒绝服务攻击（DDoS攻击）是一种针对目标系统的恶意网络攻击行为，DDoS攻击经常会导致被攻击者的业务无法正常访问，也就是所谓的拒绝服务。常见的DDoS攻击包括以下几类：网络层攻击 比较典型的攻击类型是UDP反射攻击，例如NTP Flood...
建议使用静态代码扫描检查应用程序源码的常见问题。可以定期对重要业务系统聘请外部专家和技术人员对核心系统进行外部渗透测试。漏洞评估标准 漏洞自身的评分可以参考CVE的说明；除此之外漏洞在当前系统环境下的影响评估可以结合漏洞公开的...
本文列举了阿里云DDoS防护产品的售前常见问题。阿里云DDoS防护是否提供免费服务？提供。阿里云默认为每个阿里云用户开启免费的DDoS原生...所有流量经过DDoS高防（中国内地）清洗后，正常的业务流量转发到您的源站服务器，攻击流量被直接拦截。
本文列举了阿里云DDoS防护产品的售前常见问题。阿里云DDoS防护是否提供免费服务？提供。阿里云默认为每个阿里云用户开启免费的DDoS原生...所有流量经过DDoS高防（中国内地）清洗后，正常的业务流量转发到您的源站服务器，攻击流量被直接拦截。
使用 Web应用防火墙（Web Application Firewall，简称WAF）防护您的Web业务前，您必须将要防护的网站接入WAF。本文介绍如何接入WAF。接入方式 WAF支持使用CNAME接入和透明接入两种方式，默认支持HTTP1.0、HTTP 1.1和HTTP 2.0。您可以根据...
阿里云默认为 轻量应用服务器 免费开通DDoS原生防护基础版服务（也称基础防护），有效防止实例受到恶意攻击，提高 轻量应用服务器 的防御能力和安全。背景信息 阿里云DDoS基础防护默认为 轻量应用服务器 实例免费提供不超过5 Gbps的DDoS...
该功能扩展了应用程序的吞吐能力，并且可以消除服务器的单点故障，提升应用程序的可用性。2021-07-28 轻量应用负载均衡概述 2021年04月 功能名称 功能描述 发布时间 相关文档 地域 中国站新增2个地域：华南3（广州）、西南1（成都）2021-04...
虚拟服务器组 API 标题 API概述 CreateVServerGroup 创建虚拟服务器组并添加后端服务器 创建虚拟服务器组并向指定的服务器组中添加后端服务器。DeleteVServerGroup 删除虚拟服务器组 删除虚拟服务器组。SetVServerGroupAttribute 修改虚拟...
我们已经为开发者封装了常见编程语言的SDK，开发者可通过 下载SDK 直接调用本产品OpenAPI而无需关心技术细节。如果现有SDK不能满足使用需求，可通过签名机制进行自签名对接。由于自签名细节非常复杂，需花费 5个工作日左右。因此建议加入...
它是一种为开发者提供的软件开发工具集合，包含了一系列的API、工具、示例代码、文档等资源，可以帮助开发者快速、高效地开发出各种应用程序。服务器迁移中心SMC SDK封装了2019-06-01版本API，以访问密钥（AccessKey）识别调用者身份，提供...
任意文件删除 对于网站提供的文件删除功能，文件删除的接口如果没有对文件路径进行限制，攻击者就可以通过绝对路径或目录穿越符对任意文件进行删除操作，从而对服务器进行攻击。请检查文件删除操作是否正常。如果异常，请检查函数的代码，...
我的ECS服务器被20 Mbps的流量攻击了，DDoS基础防护怎么不防护？DDoS基础防护是公共的DDoS防护服务，不对很小的流量攻击（小于100 MB）进行防护。如果云服务带宽低于系统可设置的最低清洗阈值，而攻击流量大于带宽小于清洗阈值，可能造成...
本产品（应用型负载均衡/2020-06-16）的OpenAPI采用 RPC 签名风格，签名细节参见 签名机制说明。我们已经为开发者封装了常见编程语言的SDK，开发者可通过 下载SDK 直接调用本产品OpenAPI而无需关心技术细节。如果现有SDK不能满足使用需求，...
场景一：阿里云跨region内网VPC调用API网关 场景二：本地数据中心IDC机房内网调用APi网关 场景三：API网关内网访问部署在IDC机房的后端服务 场景一 阿里云跨region内网VPC调用API网关 本场景的客户端为北京vpc-3专有网络下的ecs-3服务器；...
基础版（DDoS基础防护）我的ECS服务器被20 Mb的流量攻击了，DDoS原生防护基础版怎么不防护？为什么使用DDoS基础防护时，黑洞不能立即取消？是否可以通过访问控制策略（ACL）屏蔽DDoS攻击及预防黑洞？为什么云监控、云产品流量监控中的流量...
域名劫持 域名劫持是互联网攻击的一种方式，通过攻击域名解析服务器，或伪造域名解析服务器的方法，把目标网站域名解析到错误的IP地址从而实现用户无法访问目标网站的目的或蓄意或恶意要求用户访问指定IP地址的目的。根域名服务器 英文：...
API网关能够集成Nacos实现服务发现的功能，从而与微服务架构深入融合，降低系统的耦合度并提高程序的可管理性。网关可作为微服务系统的请求入口，负责所有客户端的接入、请求的路由和转发、以及保证微服务应用的安全和稳定。本文主要介绍...
防火墙是一种虚拟防火墙，通过防火墙规则控制轻量应用服务器的入流量，保障轻量应用服务器的安全。本文介绍如何为轻量应用服务器添加、修改、禁用、启用和删除防火墙规则，同时提供防火墙功能预设的端口信息、常见问题以及相关文档。使用...
DDoS高防（Anti-DDoS）是阿里云提供的DDoS攻击代理防护服务，可以抵御流量型和资源耗尽型DDoS攻击，支持防护阿里云、非阿里云或云外的服务器。业务接入DDoS高防后，当遭受大流量DDoS攻击时，DDoS高防通过DNS解析将流量调度到高防机房进行...
DNS查询攻击采用的方法是向被攻击域名的DNS服务器发送大量的域名解析请求，DNS查询攻击会给被攻击域名的DNS服务器瞬间带来很大的查询负载，每秒钟域名解析请求超过一定的数量就会造成DNS服务器解析域名超时，甚至是DNS服务器崩溃。...
云安全中心客户端是安装在服务器中的软件程序，用于收集和分析多种日志和数据，以监控和检测服务器中潜在的安全威胁。建议您及时关注云安全中心客户端的在线情况，避免因为云安全中心客户端离线导致安全防护失效。在 主机资产 页面，可查看...
漏洞利用程序 检测模型发现您的服务器上运行了漏洞利用程序，漏洞利用程序用于攻击或尝试攻击操作系统、应用程序的已知漏洞，用于实现提权、逃逸、任意代码执行等目的。木马程序 检测模型发现您的服务器上存在木马程序，木马程序是专门用于...
云防火墙默认的入侵防御IPS（Intrusion Prevention System）能力可以实时主动检测和拦截黑客恶意攻击、漏洞利用、暴力破解、蠕虫病毒、挖矿程序、后门木马、DoS等恶意流量，保护云上企业信息系统和网络架构免受侵害，防止业务被未授权访问...
本文介绍轻量应用服务器网速较慢与预期带宽不符的问题描述、问题原因及其解决方案。问题描述 访问阿里云轻量应用服务器中的网站或应用，出现网络访问过慢的情况，与设置的预期带宽不符。问题原因 服务器的地域为中国香港。中国内地访问中国...
请检查应用程序在解析XML时是否需要加载外部实体。如果不需要，请在XML解析配置中禁用外部实体。XSS 跨站脚本攻击是指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意...
API 本规范中“API”指：阿里云向您提供的应用程序编程接口（Application Programming Interface,简称API），您编程后通过该应用程序编程接口，可获取阿里云提供的弹性计算服务（ECS）、关系数据库服务（RDS）和对象存储服务（OSS）等阿里...
Web应用安全防护 常见Web应用攻击防护 防御OWASP常见威胁：SQL注入、XSS跨站、WebShell上传、后门攻击、命令注入、非法HTTP协议请求、常见Web服务器漏洞攻击、CSRF、核心文件非授权访问、路径穿越、网站被扫描等。网站隐身：不对攻击者暴露...
应用防护 RASP和Web应用防火墙的关系 应用防护RASP（Runtime Application Self-Protection）是一种运行在应用程序内部的安全保护机制，它能够在应用运行时检测攻击并进行自我保护。更多详情，请参见 应用防护。RASP和Web应用防火墙并不是...
攻击者利用网络监听或者其他方式盗取API请求，进行一定的处理后，再把它重新发给认证服务器，是黑客常用的攻击方式之一。HTTPS数据加密是否可以防止重放攻击？否，加密可以有效防止明文数据被监听，但是却防止不了重放攻击。使用签名防止重...
检查该服务器内应用程序是否有大量的磁盘访问、网络访问行为或高计算需求。通过尝试升配实例规格的方式，使用更多核数或内存的规格来解决资源瓶颈问题。更多信息，请参见 升级配置。若自身服务器配置较高，再去升级配置已无太大意义。架构...
鉴权流程 具体流程如下：用户应用服务器调用OpenAPI接口向MQTT服务器发起请求，预先为用户客户端申请设备访问凭证。MQTT服务器验证申请设备访问凭证的请求，判断合法之后下发对应的设备访问凭证。应用服务器将返回的设备访问凭证持久化到...
轻量应用服务器 轻量应用服务器（Simple Application Server）是可以快速搭建且易于管理的轻量级云服务器，面向单台服务器提供了一键部署应用、一站式域名解析、安全管理以及运维监控等服务。轻量应用服务器操作简单便捷，能让您快速上手...
所有服务器访问目标服务器均存在异常 如果所有服务器访问目标服务器均存在异常，则推断是目标服务器归属安全组或服务器内部自身存在异常所致，需要做进一步排查分析查看服务器内部访问是否正常，即通过 使用管理终端连接Linux实例 登录...