WEB攻击与防护技术 徐 震 信息安全国家重点实验室 提纲 一、背景概述 二、典型攻击 三、攻防原理 四、防护产品体系 1.1.技术背景 n Web成为主流的网络和应用技术 q CNCERT/CC 网络安全监测系统对流量数据进行的抽样统计 显示，Web 应用流量占整个TCP 流量的81.1% q B/S居统治地位：网上银行、电子商务、电子政务、证劵、 手机上网 3

Group Replication原理解析与实践经验 徐春阳 MGR原理 MGR vs SEMI-SYNC MRG实践经验 • 支持多节点并发执行事务。如何保证从各个节点并发执行 的事务在每个节点以相同的顺序被应用/执行.------paxos协 议的功能。 • 自动地事务冲突检测。节点之间不能”同时”操作主键相同 记录,如果冲突，只有一个节点成功。------冲突检测。

省分公司、北京神州绿盟科技有限公司、北京小佑网络科技有限公司、中兴通讯 股份有限公司 专家顾问： 叶晓煜、张建荣、徐雷、潘松柏、冯强、张曼君、傅瑜、葛然、张小梅、徐 积森、滕开清 编写成员： 丁攀、郭新海、王戈、刘安、蓝鑫冲、牛金乐、李安坤、王琦、汤旭、雷新、 浦明、张小勇、白黎明、左伟震、范璟玮、许秀莉 云原生安全威胁分析与能力建设白皮书 9 一、云原生安全概述 近年来，云计算技术一直

带来非常严重的问题。 震网病毒 我们实验室从 2010 年前就开始做信息物理系统安全方面的研究。当时，有黑客设计 了“震网病毒”，它的目标是伊朗用来提纯铀 235 的离心机。“震网病毒”破坏了伊 朗上千台的离心机，最后对伊朗核计划造成了很大的损害。这也算是一个利用“信息 战”成功带来破坏的一个例子。也是因为这个事情，让我们把信息物理系统的安全问 题迅速提上了日程。 “震网病毒”的例子属于国 使系统没有联网，那么还有一些方式方法，比如像“震网病毒”的例子，是通过 U 盘一层一层带进去的。这些方式都能造成很大的破坏。我觉得比较值得关注的是第二 个问题，一般做控制或者这种背景的研究人员，很多时候对计算机安全并不是特别有 经验，那么开发的系统就可能会存在很多的漏洞。甚至有很多软件的开发者自己都不 知道自己的系统有漏洞，但是黑客就可以发现你的漏洞。比如说像“震网病毒”的例 子，伊朗不知道系统有 错。最后还有一个问题，一个大的系统想要让它更安全，我们到底应该先加固哪个地 方？这都是控制可以提供给我们的一些东西。 检测 接下来，我主要讲一下关于检测的问题，我们也是受到“震网病毒”例子的启发之后 开始做了相关的研究。“震网病毒”是 2010 年被发现的，从计算机的角度来说，它 是一个很复杂的、很难防御的病毒。但是从控制角度来说，它的策略其实相当简单。 离心机本身是一个类似于快速旋转东西，如果想要毁坏离心机，那就需要让它转的比

DeepSeek 图解 10 页 PDF 作者：郭震 2025.2.3 目录 1 本地部署并运行 DeepSeek . . . . . . . . . . . . . . . . . . . . . . 2 1.1 为什么要在本地部署 DeepSeek . . . . . . . . . . . . . . . . . 2 1.2 DeepSeek 本地部署三个步骤 . . . . . ama，下载这个 软件，然后装上，可以拿着手机扫码下图1直达我的公众号： 教程作者：郭震，工作 8 年目前美国 AI 博士在读，公众号：郭震 AI，欢迎关注获取更多原创教程。资 料用心打磨且开源，是为了帮助更多人了解获取 AI 知识，严禁拿此资料引流、出书、等形式的商业活动 图 1: 我的公众号：郭震 AI 安装后，打开命令窗口，输入 ollama，然后就能看到它的相关指令，一共 10 deepseek-r1:1.5b，下载大模型 deepseek- r1 到我们自己的电脑，如下图3所示： 图 3: DeepSeek-r1 下载到本地电脑命令 教程作者：郭震，工作 8 年目前美国 AI 博士在读，公众号：郭震 AI，欢迎关注获取更多原创教程。资 料用心打磨且开源，是为了帮助更多人了解获取 AI 知识，严禁拿此资料引流、出书、等形式的商业活动 至此在我们本地电脑，DeepSeek

普通人学 AI 指南 作者：郭震 日期：2024 年 6 月 8 日 Contents 1 AI 大模型基础 4 1.1 AIGC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 1.2 AGI . . . . . . . . . . . . . . . . . . . . . . . . . . . 2.5.1 FlowGPT 网址：https://flowgpt.com/ Figure 8: FlowGPT 包括各种工具提示词 2.5.2 ChatGPT 指令大全 在作者的公众号（郭震 AI）回复消息：gpt，获取这份 GPT 指令大全。 11 2.5.3 SD 提示词手册 为 Stability Diffusion (SD) 提供的提示词手册，旨在帮助用户更有效地使用该 模型。 可以简单理解为客户端，实现和大模型的交互。ollama 软件 win 和 mac 都包括，如图 11 所示。 13 Figure 11: Ollama 下载 在这里已经为大家准备好，只需要在我的微信公众号郭震 AI，回复消息： ollama，就能下载到软件。 下载之后打开，直接点击 Next 以及 Install 安装 ollama，安装步骤非常简 单。 3.1.2 步骤 2：安装 Llama 下载

Fiddler可以查看的saz包，下载到本地进行查 看和重放调试。 TSW抓包原理解析 1. 工具的背景和诉求 2. 染色体系建立 3. 请求包体记录 4. 打包下载查看 jackqqxu(徐杰) 徐杰，腾讯Web前端高级工程师，QQ空间个性 化商城主要开发者 2011年入职腾讯，期间负责flash游戏，支付官 网和内部运营系统等web系统开发，PHP爱好 者； 2014年进入空间，先后负责QQ空间触屏版部 回收的ListView组件应用， 包括React->web和web- >React自动化转化； （3）ReactNative开发调试 中jsbundle打包优化； （4）空间商城自动化； huarongxu(徐华 荣) 徐华荣，QQ浏览器高级工程师，从事过编译器 优化，Javascript引擎JIT开发工作， 目前负责 桌面QQ浏览器内核研究和开发，TBS（腾讯浏 览服务）组件负责人； Javascript引擎的技术

用作公益用途，请务必注明：内容转载自美团技术团队。任何商用行为，请发送邮件至 tech@ meituan.com 申请授权。 36 > 2021年美团技术年货 FlutterWeb 性能优化探索与实践 作者：典胜 海阔 徐亮 一、背景 1.1 关于 FlutterWeb 时间回拨到 2018 年，Google 首次公开 FlutterWeb Beta 版，表露出要实现一份 代码、多端运行的愿景。经过无数工程师两年多的努力，在今年年初（2021 工程师，欢迎有兴趣的同学投简历至 tech@meituan.com（备注：美团平台终端业务研发 团队）。 74 > 2021年美团技术年货 美团外卖终端容器无关化研发框架 作者：正浩 宝石 彭震 | 终端容器无关化（Containerless）：与服务无关化（Serverless）的概念类似，即 在保持顶层业务研发语言不变更的情况下，在下层可以兼容性地升级、替换终端容器 的能力，让用户 有参与者日以继夜的投入和贡献，我们会持续基于 R2X 在终端容器领域进行更多探 索。如果大家觉得 R2X 还不错，或者对美团的 R2X 框架比较感兴趣，欢迎跟我们一 起交流探讨。 作者简介 正浩、宝石、彭震，均为美团外卖终端团队研发工程师。 招聘信息 美团外卖长期招聘 Android、iOS、FE、Java 高级 / 资深工程师和技术专家，欢迎有兴趣的同 学投递简历到 lizhenghao@meituan

RAG 实践者之一，杭州萌嘉网络科技 CEO，公司主要研发 TorchV 品牌的大模型应用和知识库产品。公众号：土猛的员外。 50 / 111 大模型训练中的开源数据和算法：机遇及挑战 文/苏震巍 随着人工智能（AI）技术的迅猛发展，尤其是大模型（如 GPT、OpenAI o1、Llama 等） 的崛起，开源数据和算法在大模型训练中的重要性愈发显著。开源数据集和算法不仅推动了 AI 研 潜在的风险，推动 AI 技术的健康发展。 相信在未来，随着技术的不断进步和相关政策的完善，开源数据和算法将在大模型训练中发 挥更加重要的作用，为 AI 及大模型的研究和应用带来更多的创新和机遇。 苏震巍 苏州盛派网络科技有限公司创始人兼首席架构师，微软 AI 和开发方向 最有价值专家（MVP）、微软 Regional Director（RD）、腾讯云最 具价值专家（TVP）、微软技术俱乐部（苏州）主席，苏州市人工智能

你敢随时重构代码吗？ ▸ 你是如何确保重构的代码依然保持正确性？ ▸ 你是否有⾜足够信⼼心在没有测试的情况下随时发布你的代码？ ▸ 如果答案都⽐比较犹豫，那么就证明我们⾮非常需要单元测试。 传送⻔门：五个震⽿耳欲聋的问题 死马：不写测试 跟咸鱼有什么区别？ 单元测试很重要 // test/app/service/github.test.js const { app, assert } = re