面试官:网络安全了解多少,简单说说?(一)
写在前面
近年来,随着互联网以及数字化的不断发展,互联网已经成为了我们生活中无处不在的 基建 ,而随着网络相关技术的发展,网络安全也逐渐受到广泛关注,由于数字化程度的不断加深,接入网络的设备丰繁多样,面对各式各样的网络使用者,网络应用的脆弱性逐渐显现出来。
对于接入网络的相关应用而已,网络攻击成了大家心头的一个疙瘩,开放式的网络中,无时无刻存在这被恶意攻击者盯上的隐患,因此,如何在应用开发期间主动规避设计缺陷,降低网络攻击风险成了如今产品开发越来越重视的问题
XSS 攻击
XSS 即跨站脚本攻击XSS(Cross Site Scripting),为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码,当用户浏览该页面时,嵌入Web里面的Script代码会被执行,从而达到恶意攻击用户的目的。
反射型 XSS
又称非持久型XSS,这种攻击方式具有一次性,只在用户单击时触发。跨站代码一般存在链接中,当受害者请求这样的链接时,跨站代码经过服务端反射回来,这类跨站的代码通常不存储服务端。
攻击过程
反射型 XSS 的形成主要依靠恶意链接和网页将恶意链接参数插入到DOM中执行而触发,简单举个例子,有个网站有这样的功能,输入框输入内容,然后通过 get 请求提交到服务器,而服务器会将该内容返回给客户端,客户端回显到 DOM 中,当存在这样子的功能时,我们就可以尝试进行 XSS 攻击了。
1、构造链接
首先我们构造一个携带恶意尝试的该网站的链接,如 http://api.xxx.org?input=<script>alert("Yimwu is coming!")<script>
2、诱导点击
我们可以通过发送钓鱼邮件或者在钓鱼网站植入链接,诱导用户进行点击,当用户点击恶意链接后将对目标网站进行访问
3、网站反射 XSS
当网站服务器接收到携带恶意代码的参数后,将恶意代码返回给用户端,用户端执行恶意代码,XSS 攻击成功
存储型 XSS
存储型XSS,持久化,代码是存储在服务器中的,如在个人信息或发表文章等地方,插入代码,如果没有过滤或过滤不严,那么这些代码将储存到服务器中,用户访问该页面的时候触发代码执行。
攻击过程
1、上传恶意脚本
存储型攻击的第一步是构造恶意脚本,通过构造恶意脚本,然后嵌入到网站允许上传的内容中,提交到服务器,然后服务器将其存入数据库中
2、用户访问网站
当用户通过正常请求,发送请求到该被攻击的网站,由于请求的网页包含恶意脚本的内容,因此网站会从数据库中提取存在恶意脚本的内容,返回给用户
3、执行恶意代码
当服务器返回了包含恶意脚本的内容给用户后,用户端自动执行,发送 XSS 攻击,将用户敏感信息发送到恶意服务器,至此攻击成功
XSS 攻击防范措施
永远不要相信用户输入的任何东西,永远不要,永远不要!!! 当用户输入的信息提交到服务器的过程中,我们有两个防范关卡,第一个是前端,第二个是后端。作为前端或者后端,我们应该都知道,日常工作中,除了敲代码,我们还要在前端、后端间相互甩锅中度日!!!所以,在这种情况下, XSS 攻击到底在哪端做限制好呢,我的建议是,你做哪端,就在哪端做,不要天真的认为对方做了就行,安全问题永远是无孔不入的,当发生了安全攻击的时候,如果两端都做了限制,那么会极大地给攻击者增加攻击的难度,另外,当攻击发生时,如果你已经做了充分的限制,那么,甩锅侠乱战中,你将不会是其中一员了!!!
击的难度,另外,当攻击发生时,如果你已经做了充分的限制,那么,甩锅侠乱战中,你将不会是其中一员了!!!
学习网络安全技术的方法无非三种:
第一种是报网络安全专业,现在叫网络空间安全专业,主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、 计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习,多媒体技术,信息检索、舆情分析等。
第二种是自学,就是在网上找资源、找教程,或者是想办法认识一-些大佬,抱紧大腿,不过这种方法很耗时间,而且学习没有规划,可能很长一段时间感觉自己没有进步,容易劝退。
如果你对网络安全入门感兴趣,那么你需要的话可以点击这里👉网络安全重磅福利:入门&进阶全套282G学习资源包免费分享!
第三种就是去找培训。
接下来,我会教你零基础入门快速入门上手网络安全。
网络安全入门到底是先学编程还是先学计算机基础?这是一个争议比较大的问题,有的人会建议先学编程,而有的人会建议先学计算机基础,其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说,学习编程或者计算机基础对他们来说都有一定的难度,并且花费时间太长。
第一阶段:基础准备 4周~6周
这个阶段是所有准备进入安全行业必学的部分,俗话说:基础不劳,地动山摇
第二阶段:web渗透
学习基础 时间:1周 ~ 2周:
① 了解基本概念:(SQL注入、XSS、上传、CSRF、一句话木马、等)为之后的WEB渗透测试打下基础。
② 查看一些论坛的一些Web渗透,学一学案例的思路,每一个站点都不一样,所以思路是主要的。
③ 学会提问的艺术,如果遇到不懂得要善于提问。
配置渗透环境 时间:3周 ~ 4周:
① 了解渗透测试常用的工具,例如(AWVS、SQLMAP、NMAP、BURP、中国菜刀等)。
② 下载这些工具无后门版本并且安装到计算机上。
③ 了解这些工具的使用场景,懂得基本的使用,推荐在Google上查找。
渗透实战操作 时间:约6周:
① 在网上搜索渗透实战案例,深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。
② 自己搭建漏洞环境测试,推荐DWVA,SQLi-labs,Upload-labs,bWAPP。
③ 懂得渗透测试的阶段,每一个阶段需要做那些动作:例如PTES渗透测试执行标准。
④ 深入研究手工SQL注入,寻找绕过waf的方法,制作自己的脚本。
⑤ 研究文件上传的原理,如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用(IIS、Nignix、Apache)等,参照:上传攻击框架。
⑥ 了解XSS形成原理和种类,在DWVA中进行实践,使用一个含有XSS漏洞的cms,安装安全狗等进行测试。
⑦ 了解一句话木马,并尝试编写过狗一句话。
⑧ 研究在Windows和Linux下的提升权限,Google关键词:提权
以上就是入门阶段
第三阶段:进阶
已经入门并且找到工作之后又该怎么进阶?详情看下图
给新手小白的入门建议:
新手入门学习最好还是从视频入手进行学习,视频的浅显易懂相比起晦涩的文字而言更容易吸收,这里我给大家准备了一套网络安全从入门到精通的视频学习资料包免费领取哦!
如果你对网络安全入门感兴趣,那么你需要的话可以点击这里👉网络安全重磅福利:入门&进阶全套282G学习资源包免费分享!
# 学习计划安排
我一共划分了六个阶段,但并不是说你得学完全部才能上手工作,对于一些初级岗位,学到第三四个阶段就足矣~
这里我整合并且整理成了一份【282G】的网络安全从零基础入门到进阶资料包,需要的小伙伴可以扫描下方CSDN官方合作二维码免费领取哦,无偿分享!!!
如果你对网络安全入门感兴趣,那么你需要的话可以
点击这里👉网络安全重磅福利:入门&进阶全套282G学习资源包免费分享!
①网络安全学习路线
②上百份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥HW护网行动经验总结
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析