你的服务器还安全吗-用户数据是否面临泄露风险--CSDN博客

本文链接：https://blog.csdn.net/Karka_/article/details/138245099

一系列严重的网络安全事件引起了广泛关注，多家知名公司的服务器遭到黑客挟持，用户的个人数据和敏感信息面临泄露的风险。这些事件揭示了网络安全的脆弱性和黑客攻击的威胁性，提醒着企业和个人加强对网络安全的重视。

一、入侵案例
```
* 1.1 蔚来数据泄露
```
- 1.2 特斯拉、波音、SpaceX供应商拒付赎金遭机密泄露
二、入侵常见方式
```
* 2.1 弱密码攻击
```
- 2.2 Web应用程序漏洞
- ```
  * SQL注入
```
- 2.3 操作系统漏洞
- ```
  * 被动植入
```
  - 主动植入
- 2.4 邮件垃圾和不明链接
- ```
  * 邮件附件
```
  - 不明链接
- 2.5 暴力攻击
三、如何防御?
```
* 3.1 使用强密码
```
- 3.2 及时更新软件&系统
- 3.3 防火墙设置
- 3.4 程序优化

[](https://blog.csdn.net/weixin_42794881/article/details/131470215?spm=1001.2100.3001.7377&utm_medium=distribute.pc_feed_blog_category.none-
task-blog-classify_tag-7-131470215-null-
null.nonecase&depth_1-utm_source=distribute.pc_feed_blog_category.none-task-
blog-classify_tag-7-131470215-null-null.nonecase)一、入侵案例

蔚来数据泄露，被勒索225万美元等额比特币，创始人致歉并表态

在这里插入图片描述

因未收到勒索赎金，勒索软件DoppelPaymer在网上公开了SpaceX、特斯拉、波音等公司的机密信息，包括军事装备细节、账单和付款表格、供应商信息、数据分析报告、法律文书以及供应商保密协议等。

在这里插入图片描述

攻击者尝试使用暴力破解等方式来猜解账户密码，很多用户在设置密码或者进行初始化操作的时候都将其设置的比较简单，很容易被攻击者获取。

在这里插入图片描述

攻击者可以通过利用Web应用程序的漏洞，比如SQL注入、跨站脚本等攻击方式，来获取服务器的敏感信息或进行远程执行命令。

SQL注入攻击是通过操作输入来修改SQL语句，用以达到执行代码对WEB服务器进行攻击的方法。简单的说就是在post/getweb表单、输入域名或页面请求的查询字符串中插入SQL命令，最终使web服务器执行恶意命令的过程；

在这里插入图片描述

探测SQL注入点是关键的一步，通过适当的分析应用程序，可以判断什么地方存在SQL注入点。例如登录场景，使用动态构造SQL语句访问数据库。

SELECT * FROM User WHERE 1=1 AND UserName='' AND Pwd=''

不同数据库的注入方法、函数都不尽相同，因此在注入之前需要先获取数据库的类型，可以输入特殊字符，如单引号，让程序返回错误信息再进行判断；还可以输入一些特殊函数，比如输入“1
and
version（）>0”，程序返回正常，说明version（）函数被数据库识别并执行，而version（）函数是MySQL特有的函数，因此可以推断后台数据库为MySQL。

SELECT * FROM User WHERE 1=1 AND UserName='' AND Pwd='' and version()>0

操作系统漏洞是指未修补或已知的漏洞，攻击者可以利用这些漏洞来获取系统权限或访问敏感数据，通过网络植入木马、病毒等方式来攻击或控制整个电脑，窃取电脑中的重要资料和信息，甚至破坏系统。

被动植入:指通过人工干预方式才能将木马程序安装到目标系统中，植入过程必须依赖于受害用户的手工操作，实际案例就是通过电子邮件附件执行来实现木马植入，如My.DOOM
的木马程序植入。

在这里插入图片描述

主动植入:指主动攻击方法，将木马程序通过程序自动安装到目标系统中，植入过程无须受害用户的操作，研究攻击目标系统的脆弱性，然后利用其漏洞，通过程序来自动完成木马的植入。典型的方法是利用目标系统的程序系统漏洞植入木马，如“红色代码”利用
IIS Server 上 Indexing Service 的缓冲区溢出漏洞完成木马植入。

木马设计者将木马程序伪装成邮件附件，然后发送给目标用户，若用户执行邮件附件就将木马植入该系统中。

通过链接泄露个人信息可参考另外一篇文章：点了下链接信息就泄露了，ta们是怎么做到的？

攻击者可以通过大量的请求、DDoS攻击等方式来消耗服务器的资源，利用网络协议和操作系统的一些缺陷，采用欺骗和伪装的策略来进行网络攻击，使网站服务器充斥大量要求回复的信息，消耗网络带宽或系统资源。

在这里插入图片描述

拒绝一个密码走天下，谨防一个密码用于多个账号，只要有一个平台泄露了你的密码，黑客就可以用它来登录你其他的平台服务。直到今天，撞库攻击仍然是互联网泄密最大的威胁之一。可以使用多重加密的方式设置密码：

E10ADC3949BA59ABBE56E057F20F883E

从信息量的角度计算，16个大小写字母和数字组合，和12个字母、数字、符号组合强度差不多。从暴力破解的角度来看，如果黑客不知道你的密码长度，通常会按照密码长度递增的方式尝试破解。所以越长的密码，暴力破解浪费的计算资源也就越多，增加了破解成本，也就越安全了。

在这里插入图片描述

及时对操作系统以及安全防护软件进行更新维护

在这里插入图片描述

通过设置服务器防火墙的方式进行防护

在这里插入图片描述

合理规范的网页代码可以减少不必要的注入漏洞，防止SQL注入、XSS攻击等。开发人员应提高代码规范性，注意过滤和转义输入输出的漏洞风险，确保服务器、数据库、代码的安全性，同时利用网站防火墙和SSL证书保障整个网站的安全。

黑客学习资源推荐

最后给大家分享一份全套的网络安全学习资料，给那些想学习网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

😝朋友们如果有需要的话，可以V扫描下方二维码联系领取~

![](https://img-
blog.csdnimg.cn/img_convert/3cc49faf6da269169b6f55bb3180daa6.png)

1️⃣零基础入门

①
学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的 学习成长路线图 。可以说是 最科学最系统的学习路线
，大家跟着这个大的方向学习准没问题。

![image](https://img-
blog.csdnimg.cn/img_convert/acb3c4714e29498573a58a3c79c775da.gif#pic_center)

需要详细路线图的，下面获取

![](https://img-
blog.csdnimg.cn/img_convert/3cc49faf6da269169b6f55bb3180daa6.png)

②
路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

![image-20231025112050764](https://img-
blog.csdnimg.cn/874ad4fd3dbe4f6bb3bff17885655014.png#pic_center)

2️⃣视频配套工具&国内外网安书籍、文档

①
工具

![](https://img-
blog.csdnimg.cn/img_convert/d3f08d9a26927e48b1332a38401b3369.png#pic_center)

②
视频

![image1](https://img-
blog.csdnimg.cn/img_convert/f18acc028dc224b7ace77f2e260ba222.png#pic_center)

③
书籍

![image2](https://img-
blog.csdnimg.cn/img_convert/769b7e13b39771b3a6e4397753dab12e.png#pic_center)

资源较为敏感，未展示全面，需要的下面获取

![](https://img-
blog.csdnimg.cn/img_convert/3cc49faf6da269169b6f55bb3180daa6.png) ###
3️⃣Python面试集锦

①
面试资料

![在这里插入图片描述](https://img-
blog.csdnimg.cn/e4f9ac066e8c485f8407a99619f9c5b5.png#pic_center)![在这里插入图片描述](https://img-
blog.csdnimg.cn/111f5462e7df433b981dc2430bb9ad39.png#pic_center)

②
简历模板

![在这里插入图片描述](https://img-
blog.csdnimg.cn/504b8be96bfa4dfb8befc2af49aabfa2.png#pic_center)

![](https://img-
blog.csdnimg.cn/img_convert/3cc49faf6da269169b6f55bb3180daa6.png)

因篇幅有限，资料较为敏感仅展示部分资料，添加上方即可获取👆

------ 🙇‍♂️ 本文转自网络，如有侵权，请联系删除 🙇‍♂️ ------

学习网络安全技术的方法无非三种:

第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。

第二种是自学，就是在网上找资源、找教程，或者是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

第三种就是去找培训。

接下来，我会教你零基础入门快速入门上手网络安全。

网络安全入门到底是先学编程还是先学计算机基础？这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说，学习编程或者计算机基础对他们来说都有一定的难度，并且花费时间太长。

第一阶段：基础准备 4周~6周

这个阶段是所有准备进入安全行业必学的部分，俗话说：基础不劳，地动山摇

第二阶段：web渗透

学习基础时间：1周 ~ 2周：

① 了解基本概念：（SQL注入、XSS、上传、CSRF、一句话木马、等）为之后的WEB渗透测试打下基础。
② 查看一些论坛的一些Web渗透，学一学案例的思路，每一个站点都不一样，所以思路是主要的。
③ 学会提问的艺术，如果遇到不懂得要善于提问。

配置渗透环境时间：3周 ~ 4周：

① 了解渗透测试常用的工具，例如（AWVS、SQLMAP、NMAP、BURP、中国菜刀等）。
② 下载这些工具无后门版本并且安装到计算机上。
③ 了解这些工具的使用场景，懂得基本的使用，推荐在Google上查找。

渗透实战操作时间：约6周：

① 在网上搜索渗透实战案例，深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。
② 自己搭建漏洞环境测试，推荐DWVA，SQLi-labs，Upload-labs，bWAPP。
③ 懂得渗透测试的阶段，每一个阶段需要做那些动作：例如PTES渗透测试执行标准。
④ 深入研究手工SQL注入，寻找绕过waf的方法，制作自己的脚本。
⑤ 研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，参照：上传攻击框架。
⑥ 了解XSS形成原理和种类，在DWVA中进行实践，使用一个含有XSS漏洞的cms，安装安全狗等进行测试。
⑦ 了解一句话木马，并尝试编写过狗一句话。
⑧ 研究在Windows和Linux下的提升权限，Google关键词：提权

以上就是入门阶段