- 博客(59)
- 收藏
- 关注
RSS订阅原创 网络安全（黑客技术）—自学手册
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试”等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如 Web 安全技术，既有 Web 渗透，也有 Web 防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
2024-05-18 13:34:06
582
原创 网络安全（黑客）自学
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。
2023-08-22 15:18:30
7917
46
原创 渗透测试面试题汇总（附答题解析+配套资料）
注：所有的资料都整理成了PDF，面试题和答案将会持续更新，因为无论如何也不可能覆盖所有的面试题。
2023-08-17 14:19:36
2318
1
原创 网络安全（黑客）自学
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。
2023-08-09 14:21:32
11785
127
原创 2023网络安全学习路线 非常详细 推荐学习
又要学习编程，刚才不是说了编程不是学习网络安全的必要条件，不懂自动化渗透也不影响入门和就业，但是会影响职业的发展，且学习 python 不需要掌握很多不需要的模块，也不需要开发成千上万行的代码，仅利用它编写一些工具和脚本，少则 10 几行代码，多则 1-200 行代码，一般代码量相对开发人员已经少得不能再少了，例如一个精简得域名爬虫代码核心代码就 1-20 行而已；有的小白可能会问，去哪里找资料，建议可以直接买一本较为权威的书籍，配合 b 站的免费视频系统学习，然后利用开源的靶场辅助练习即可；
2023-08-03 17:08:45
555
原创 从零开始学习CTF——CTF是什么
中文一般译作夺旗赛（对大部分新手也可以叫签到赛），在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式CTF起源于1996年DEFCON全球黑客大会，以代替之前黑客们通过互相发起真实攻击进行技术比拼的方式一般大型比赛大都是i春秋承办的，以小组的形式比赛，分预选赛和总决赛。预选赛都是线上比赛，比赛形式几乎都是解题模式。进入官方提供的网站，登录账号密码后会到一个页面，题目按类别分类（后续会讲有什么类别），点击后提供题目链接题目信息题目提示和flag（答案）提交，提交后会得到分数。
2023-07-27 16:38:05
1777
2
原创 网络安全必备的10款工具（附安装包）
其目标是通过大数据分析和机器学习提供先进的威胁检测提高对安全威胁的可视性通过用Apache Hadoop实现无限大规模的日志管理和数据存储，用Apache Spark实现机器学习和接近实时的异常检测，各种机构和网络安全APP开发者开启了前所未有的新数据分析功能。MetasploIT是由知名安全研究人员HD Moore创建的渗透测试框架，安全和it专业人员可以确定安全问题、验证漏洞缓解措施、管理和评估专家驱动的安全，以及真正的安全保护目前，Metasploit主要由开源社区和Rapid7进行管理和维护。
2023-07-25 20:25:34
1092
原创 网络安全（黑客）自学
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如 Web 安全技术，既有 Web 渗透，也有 Web 防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
2023-07-19 19:37:51
2531
原创 2023网络安全常见面试题汇总（附答案解析+配套资料）
以下为网络安全各个方向涉及的面试题，星数越多代表问题出现的几率越大，祝各位都能找到满意的工作。注：所有的资料都整理成了PDF，面试题和答案将会持续更新，因为无论如何也不可能覆盖所有的面试题。
2023-07-12 21:20:43
1080
5
原创 网络安全（黑客）自学
本教程的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失。有的创造力可以改变世界，有的创造力可以改变家庭，有的创造力可以改变自己。你需要多大的创造力，取决于你的基因，取决于你希望自己成为怎样的人。不过我还修炼了另两条技能，也许可以让我有个比较有意思的突破，至于是什么，不好意思，没成功之前哪敢放肆呢。对大多数人来说，专注是最难的，毕竟这是一个立竿见影的熵减过程，一个信息的自组织过程。视野是横，专注是纵，这两者需要平衡，因为人的精力有限（能量守恒定律）。
2023-07-05 13:35:12
2292
原创 网络安全学习路线+自学笔记（超详细）
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如 Web 安全技术，既有 Web 渗透，也有 Web 防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
2023-06-15 21:15:59
5526
161
原创 2023网络安全工程师面试题汇总（附答案）
又到了毕业季，大四的漂亮学姐即将下架，大一的小学妹还在来的路上，每逢这时候我心中总是有些小惆怅和小激动……作为学长，还是要给这些马上要初出茅庐的学弟学妹们，说说走出校园、走向职场要注意哪些方面。走出校园后的第一步就是面试啦，对于面试方面的技巧和文章网上太多太多了，而安全行业是有别于其他行业的，面试中遇到奇葩面试官和各种稀奇古怪的问题的几率是很高的，作为过来人我要和学弟学妹们说道说道啦，快搬过来小板凳好好听讲。
2023-06-10 16:08:42
8542
107
原创 普通学校计算机毕业生，从事网络安全行业可以吗？
再加上近几年大数据和人工智能的兴起，计算机专业的人才需求量非常大，这也导致了大批量学生，985、211也好，普通本科也好，甚至大专的学生选专业时都随大流、不考虑自己的实际情况选择了计算机。当然，虽然每个人都可以转行做网络安全，但我更建议有学历（最少大专）、有计算机基础的同学来学，因为有基础入行快、提升快，能很快适应节奏，而外行入门并不一定能在程序员的路上坚持住，提升的也慢。也难怪，只要经常看新闻，都知道像华为、腾讯这样的大厂，程序员年薪都是接近百万的，哪怕是体量再小点的企业，程序员工资也是万元起步的。
2023-06-08 16:06:41
472
原创 网络安全面试题大全（整理版）300+面试题附答案详解，最全面详细
SQL注入攻击是指攻击者通过向Web应用程序的输入框中插入恶意SQL语句来执行未经授权的操作。防止SQL注入攻击的方法包括使用参数化查询和输入验证，以及避免使用动态SQL语句。跨站点脚本攻击是指攻击者通过向Web应用程序的输入框中插入恶意脚本来窃取用户数据或执行未经授权的操作。防止XSS攻击的方法包括对输入数据进行验证和转义、使用内容安全策略（CSP）以及限制Cookie的范围。跨站请求伪造攻击是指攻击者利用用户已经通过身份验证的会话执行未经授权的操作。
2023-06-07 14:16:44
519
原创 网络安全学习路线+自学笔记（超详细）
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如 Web 安全技术，既有 Web 渗透，也有 Web 防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
2023-06-05 21:26:26
509
原创 网络安全面试题汇总（附答案）
作为从业多年的网络安全工程师，我深知在面试过程中面试官所关注的重点及考察的技能点。网络安全作为当前信息技术领域中非常重要的一部分，对于每一个从事网络安全工作的人员来说，不仅需要掌握一定的技术能力，更需要具备全面的综合素质。在我职业发展的过程中，我多次参与并负责面试网络安全相关岗位的候选人，同时也自己经历过多次网络安全方面的面试。通过这些经验和总结，我将为大家分享一些常见的网络安全面试题及答案，希望能对各位在网络安全领域的求职和职业发展提供一些实质性的帮助。
2023-05-25 15:09:12
2486
123
原创 零基础如何入门渗透测试
作为一名多年的渗透测试工程师，了解到很多零基础的初学者都面临着学习渗透测试的困难。在这里，我会提供一些指导性的建议和方法，帮助初学者快速入门，开启学习之旅。
2023-05-24 16:27:30
992
2
原创 常见 Web 安全攻防总结
Web 安全地对于 Web 从业人员来说是一个非常重要的课题，所以在这里总结一下 Web 相关的安全攻防知识，希望以后不要再踩雷，也希望对看到这篇文章的同学有所帮助。今天这边文章主要的内容就是分析几种常见的攻击的类型以及防御的方法。也许你对所有的安全问题都有一定的认识，但最主要的还是在编码设计的过程中时刻绷紧安全那根弦，需要反复推敲每个实现细节，安全无小事。本文代码 Demo 都是基于 Node.js 讲解，其他服务端语言同样可以参考。
2023-05-22 16:20:53
1271
原创 为什么网络安全缺口很大，然而招聘却很少？
2020年我国网络空间安全人才数量缺口超过了140万，就业人数却只有10多万，缺口高达了93%。这里就有人会问了：1、网络安全行业为什么这么缺人？2、明明人才那么稀缺，为什么招聘时招安全的人员却没有那么多呢？首先来回答第一个问题，从政策背景、市场需求、行业现状来说。自从斯诺登棱镜门事件曝光之后，网络空间站成为现代战场第一战场，网络安全能力也被各国列为了必要的发展战略。上到政府、下到企业、个人，大家对网络安全的关注迅速提升。公安部推出了网络安全等级保护制度，网信办推出了《网络安全法》等诸多法规。并且对政府网站
2023-05-20 16:38:57
254
2
原创 为什么说网络安全行业是IT行业最后的红利？
2023年网络安全行业的前景看起来非常乐观。5G技术的普及将会使互联网的速度更快，同时也将带来更多的网络威胁和安全挑战。网络安全专家需要开发和实现新的技术和解决方案来确保5G网络的安全性。物联网将改变我们生活的方方面面，但它也将增加网络威胁的数量。网络安全专家需要制定安全策略和技术，以确保物联网设备和网络的安全性。随着人工智能和机器学习技术的进一步发展和应用，网络安全将变得更加复杂。网络安全专家需要开发和实现新的安全方案来应对这些新的挑战。加密货币和区块链技术的广泛应用将为网络安全行业提供新的机遇和挑战。
2023-05-19 17:38:38
139
原创 网络安全之社工攻击的防护
靠人工实现的检测流程是繁琐的，自动化流程在整个方案过程中能起到锦上添花的作用，也能大幅度降低重复性的工作，但也并不是说一定要有SOAR才可以对微信社工攻击进行防范。我们在不具备完整自动化平台的情况下，利用SYSMON+Powershell+TaskSchedule+反病毒沙箱已经可以很大程度上实现本文所说的攻击防护，能有效地减小和缓解微信社工攻击所带来的危害。
2023-05-18 22:02:50
956
原创 SRC漏洞-从零到1的历程记录
最近在挖各大src，主要以逻辑漏洞为主，想着总结一下我所知道的一些逻辑漏洞分享一下以及举部分实际的案例展示一下，方便大家理解。主要从两个方面看，业务方面与漏洞方面。（接下来就从拿到网站的挖掘步骤进行逐一介绍各个逻辑漏洞）
2023-05-18 16:47:47
316
原创 164道网络安全工程师面试题（附答案）
最近有不少小伙伴跑来咨询：想找网络安全工作，应该要怎么进行技术面试准备？工作不到 2 年，想跳槽看下机会，有没有相关的面试题呢？马上要面试了，有没有常见的面试题？为了更好地帮助大家高薪就业，整理了上百道网络安全工程师面试题，希望它们能够帮助大家在面试中，少走一些弯路、更快拿到offer！
2023-05-17 15:48:10
2919
原创 WEB安全：深入反射式dll注入技术
通过调用CreateRemoteThread()/NtCreateThread()/RtlCreateUserThread()函数在被注入进程创建线程进行dll注入。通过调用QueueUserAPC()/SetThreadContext()函数来劫持被注入进程已存在的线程加载dll。通过调用SetWindowsHookEx()函数来设置拦截事件，在发生对应的事件时，被注入进程执行拦截事件函数加载dll。获取被注入进程PID。在注入进程的访问令牌中开启SE_DEBUG_NAME权限。
2023-05-16 14:55:09
895
原创 【渗透攻防Web篇】SQL注入攻击高级
Web应用为了防御包括SQL注入在内的攻击，常常使用输入过滤器，这些过滤器可以在应用的代码中，也可以通过外部实现，比如Web应用防火墙和入侵防御系统。前面我们学习了如何寻找，确认，利用SQL注入漏洞的技术，本篇文章我将介绍一些更高级的技术，避开过滤，绕开防御。这是一个个人信息应用程序，我们可以更新我们的用户名，也可以查看我们的个人信息。
2023-05-15 14:30:16
222
原创 「网络安全渗透」如果你还不懂CSRF？这一篇让你彻底掌握
小明由于刚刚就登陆了Gmail，所以这个请求发送时，携带着小明的登录凭证（Cookie），Gmail的后台接收到请求，验证了确实有小明的登录凭证，于是成功给小明配置了过滤器。小明由于刚刚就登陆了Gmail，所以这个请求发送时，携带着小明的登录凭证（Cookie），Gmail的后台接收到请求，验证了确实有小明的登录凭证，于是成功给小明配置了过滤器。果然，这只是一个什么都没有的空白页面，小明失望的关闭了页面。小明仔细查了下域名的转让，对方是拥有自己的验证码的，而域名的验证码只存在于自己的邮箱里面。
2023-05-12 15:45:04
319
原创 144道网络安全常见面试题合集（附答案解析+配套资料）
有不少小伙伴面临跳槽或者找工作，本文总结了常见的安全岗位面试题，方便各位复习。祝各位事业顺利，财运亨通。在网络安全的道路上越走越远！。
2023-05-10 15:06:07
459
原创 网络安全必学渗透测试流程
这个靶场是一个对渗透新手很友好的靶场。而且，该靶场包含了渗透测试的信息收集，漏洞利用和权限提升的全过程，对新手理解渗透测试的流程有很好的帮助。靶场地址：vm=Hundred靶场基本情况：KALI靶机：192.168.1.3/24主机：192.168.1.146/24目标：普通用户flag和管理员flag。
2023-05-09 16:23:19
108
原创 实战SRC漏洞挖掘全过程，流程详细【网络安全】
一句话，柿子要挑软的捏。渗透测试思路最重要，每个人在做渗透测试时的思路都不同，有思路有想法才能进行下去。
2023-05-06 15:30:42
1811
1
原创 HTTPS：网络安全攻坚战
摘要算法主要用于保证信息的完整性，相当于信息的指纹信息。常见的散列函数，哈希函数，MD5算法都属于这类算法，其特点是单向性，无法反推原文。为了保证安全性，目前TLS推荐使用SHA-2摘要算法，禁止使用MD5和SHA-1。有了摘要算法就能保证完整性了吗？假如黑客截取了信息，改动了信息之后，重新生成了摘要，那么，这个时候就判断不出来消息是被篡改过了。为了避免这类消息发生，我们需要给摘要也通过会话密钥进行加密，这样就看不到摘要明文信息了，能更好的保证信息的安全性了。可见，离开了机密性，完整性也就无从说起了。
2023-05-05 16:43:38
434
原创 坚持学网络安全，手把手教从入门到进阶
是一种面向对象、直译式电脑编程语言，具有近二十年的发展历史，成熟且稳定。它包含了一组完善而且容易理解的标准库，能够轻松完成很多常见的任务。它的语法简捷和清晰，尽量使用无异义的英语单词，与其它大多数程序设计语言使用大括号不一样，它使用缩进来定义语句块。与Scheme、Ruby、Perl、Tcl等动态语言一样，Python具备垃圾回收功能，能够自动管理内存使用。它经常被当作脚本语言用于处理系统管理任务和网络程序编写，然而它也非常适合完成各种高级任务。Python虚拟机本身几乎可以在所有的作业系统中运行。
2023-05-04 16:41:50
84
原创 自学黑客/网络渗透，一般人我劝你还是算了
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。此教程为纯技术分享！本书的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！
2023-05-03 14:43:54
151
原创 Web安全最详细学习路线指南，从入门到进阶（含书籍、工具包）
在这个圈子技术门类中，工作岗位主要有以下三个方向：安全研发安全研究：二进制方向安全研究：网络渗透方向下面逐一说明一下.
2023-04-28 14:07:31
676
原创 2023最新版网络安全指南，手把手从0基础进阶网络攻防
建议在学习网络安全的过程中，哪里不会补哪里，这样更有目的性且耗时更少。很多人觉得报班就是浪费钱财，觉得自己自学就很好了，但其实自学也是需要一定的天赋和理解能力，且自学的周期较长，一些急躁的学习者或者急于找到工作的学习者，还是报班学的比较轻松，学习周期不长，学到的东西也不会少，建议学习者根据自己的自身条件选择是否报班。挖SRC的目的主要是讲技能落在实处，学习网络安全最大的幻觉就是觉得自己什么都懂了，但是到了真的挖漏洞的时候却一筹莫展，更多的还是要进行实操，把理论知识运用到实践中，确保更好的掌握知识点。
2023-04-27 13:53:43
289
原创 前端安全之XSS
XSS, 即为（Cross Site Scripting）, 中文名为跨站脚本, 是发生在目标用户的浏览器层面上的，当渲染DOM树的过程成发生了不在预期内执行的JS代码时，就发生了XSS攻击。跨站脚本的重点不在‘跨站’上，而在于‘脚本’上。大多数XSS攻击的主要方式是嵌入一段远程或者第三方域上的JS代码。实际上是在目标网站的作用域下执行了这段js代码。
2023-04-26 14:30:28
385
原创 Shodan在渗透测试及漏洞挖掘中的一些用法
因为我试过，但是因为有反爬虫并没有成功，当发现为爬虫时，会限制你的搜索到最多20页，不管你是不是会员。我们想要的是美国的ElasticSearch服务器，可以看到左边的统计中已经对一些常用字段进行了分类统计，有国家、组织、操作系统及产品，这里已经看到了我们所需要的字段，只需要点击相应的标签，即可进行进一步的细化搜索。主意我框起来的地方，这个位置显示的就是他的所属组织，那么根据我们上面讲的，这里我们点击Alibaba，然后将我们刚才输入的alibaba删掉，然后只看中国的服务器，再次搜索，看会得到什么。
2023-04-25 14:50:43
6553
原创 最全的渗透测试具体详细检测方法
Docker是一个开放源代码软件项目，让应用程序布署在软件容器下的工作可以自动化进行，借此在Linux操作系统上，提供一个额外的软件抽象层，以及操作系统层虚拟化的自动管理机制[1]。Hadoop=HDFS（文件系统，数据存储技术相关）+ Mapreduce（数据处理），Hadoop的数据来源可以是任何形式，在处理半结构化和非结构化数据上与关系型数据库相比有更好的性能，具有更灵活的处理能力，不管任何数据形式最终会转化为key/value，key/value是基本数据单元。由于它是代码，整个过程易于重复。
2023-04-24 14:34:37
1491
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人