安全
文章平均质量分 93
架构师成长营
这个作者很懒,什么都没留下…
展开
-
使用JWT实现Token认证
为什么使用JWT?随着技术的发展,分布式web应用的普及,通过session管理用户登录状态成本越来越高,因此慢慢发展成为token的方式做登录身份校验,然后通过token去取redis中的缓存的用户信息,随着之后jwt的出现,校验方式更加简单便捷化,无需通过redis缓存,而是直接根据token取出保存的用户信息,以及对token可用性校验,单点登录更为简单。JWT架构图JW...转载 2020-04-09 10:26:56 · 181 阅读 · 0 评论 -
什么是 JWT -- JSON WEB TOKEN
什么是JWTJson web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准((RFC 7519).该token被设计为紧凑且安全的,特别适用于分布式站点的单点登录(SSO)场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息,以便于从资源服务器获取资源,也可以增加一些额外的其它业务逻辑所必须的声明信息,该token也可直...转载 2020-04-09 10:12:13 · 131 阅读 · 0 评论 -
[CVE-2015-2080] Jetty web server 远程共享缓冲区信息泄漏漏洞
GDS安全公司发现了一个jetty web server的安全漏洞,该漏洞允许攻击者远程获取其他用户的历史请求信息。简单来说,如果你使用存在漏洞版本的jetty,那么你的密码、请求头、cookie、anti-csrf token等信息都将面临被窃取风险。比如post请求中包含的信息。GDS还发现一个重要的事情就是,此数据泄漏漏洞本身并不局限于request请求,还可以应用在respons...转载 2019-11-29 15:38:04 · 1713 阅读 · 0 评论 -
Metasploit(msf)系列-木马生成
原理:利用msf模块中的msfvenom模块,首先生成.exe木马文件,用靶机打开,攻击成功后,就渗透到了靶机系统中。msfvenom命令行选项如下:Options:-p,--payload<payload>指定需要使用的payload(攻击荷载)。如果需要使用自定义的payload,请使用'-'或者std...转载 2019-11-26 10:29:35 · 1256 阅读 · 0 评论 -
永恒之蓝漏洞(MS17-010)图形化扫描器-Eternal Blues
近期,国外安全研究者针对永恒之蓝漏洞开发出了一款名为Eternal Blues的免费图形化漏洞扫描器,能让你一键上手,快速识别内网存在MS17-010漏洞的主机。近期,国外安全研究者针对永恒之蓝漏洞开发出了一款名为Eternal Blues的免费图形化漏洞扫描器,能让你一键上手,快速识别内网存在MS17-010漏洞的主机。从WannaCry到Petya,永恒之蓝漏洞(MS17-010)的威力持...转载 2019-11-26 10:26:58 · 2578 阅读 · 0 评论 -
ms17-010 利用msf的exp和一个扫描工具的复现
0x01简介永恒之蓝漏洞是方程式组织在其漏洞利用框架中一个针对SMB服务进行攻击的漏洞,该漏洞导致攻击者在目标系统上可以执行任意代码。攻击对象:win7及win7以下的操作系统且开启了445端口smb服务,防火墙关闭状态下且没打补丁0x02攻击思路1.先用nmap扫描整个网段开放的端口,再利用msf的扫描模块儿,扫描开放了445端口的主机ip,扫描出存在ms17-010的话就利用m...转载 2019-11-26 10:26:20 · 1342 阅读 · 0 评论 -
信息安全架构技术关注点-认证与会话管理
认证与会话管理建立用户账号,用户标识为唯一。 至少通过密码的身份鉴别技术,密码需强制具备一定的长度、复杂度,采用加密(加盐)保存,密码需强制定期修改。 禁止用户重新注册。 专用的登录模块对用户身份进行校验;通过证书登录;限制登录失败次数;登录超时限制。单因素认证 强密码规则及校验 密码存储采用不可逆的加密算法(MD5、SHA-1)+ S alt,使用方法如MD5(username...原创 2019-10-21 19:22:10 · 244 阅读 · 0 评论 -
信息安全架构技术关注点-访问控制
图 安全架构关注点《系统信息安全等级保护基本要求》中规定的二级要求:访问控制系统由授权用户配置其他用户的访问控制策略,新增用户能够控制其权限,且新用户登录后权限符合其应有的权限。 系统如果有默认账户,该用户不能进行权限变更、用户增删等操作过期的、多余的账户需要删除(自动)。 为用户设置能满足其业务操作的最小权限。 不同帐户的权限分离(如管理员不能审计、审计员不能管理、安全员不能...原创 2019-10-21 19:17:20 · 769 阅读 · 0 评论 -
安全架构设计思想
安全三要素- 机密性机密性(Confidentiality)要求保护数据内容不能泄露,加密是实现机密性要求的常见手段。- 完整性完整性(Integrity)要求保护数据内容是完整、没有被篡改的。常见的保证一致性的技术手段是数字签名。- 可用性可用性(Availabity)要求资源是“随需而得”。设计原则Security by default原则设计安全方案中最基...原创 2019-10-21 19:13:12 · 1036 阅读 · 0 评论 -
信息安全各类术语说明
信息安全等级保护信息安全等级保护,是对信息和信息载体按照重要性等级分级别进行保护的一种工作,在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国,信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作;狭义上一般指信息系统安全等级保护。等级划分:《信息安全等级保护管理办法》规定,国家信息安全等级保护坚持自主定级、自主保护的原则。信息系统的...原创 2019-10-21 19:11:22 · 1323 阅读 · 0 评论 -
使用JWT实现Token认证
为什么使用JWT?随着技术的发展,分布式web应用的普及,通过session管理用户登录状态成本越来越高,因此慢慢发展成为token的方式做登录身份校验,然后通过token去取redis中的缓存的用户信息,随着之后jwt的出现,校验方式更加简单便捷化,无需通过redis缓存,而是直接根据token取出保存的用户信息,以及对token可用性校验,单点登录更为简单。JWT架构图JW...转载 2019-10-21 09:31:18 · 151 阅读 · 0 评论 -
Shiro RememberMe 1.2.4 反序列化漏洞详细复现
0|10x00 前言0|10x01 环境搭建漏洞版本<=1.2.4,使用docker搭建docker pull medicean/vulapps:s_shiro_1docker run -d -p 80:8080 medicean/vulapps:s_shiro_1访问80端口即可访问漏洞环境0|10x02 工具准备1、生成payload的脚...转载 2019-08-30 15:08:31 · 692 阅读 · 0 评论 -
Apache Shiro 1.2.4反序列化漏洞分析
*本文中涉及到的相关漏洞已报送厂商并得到修复,本文仅限技术研究与讨论,严禁用于非法用途,否则产生的一切后果自行承担。0×00 Apache Shiro这个组件的漏洞很久之前就爆出来了,但是最近工作中又遇到了,刚好最近也在看Java反序列化的东西,所以决定拿出来再分析一下,期间也遇到了一些奇怪的问题。网上的分析文章中大部分都是手动添加了commons-collections4-4.0的依...转载 2019-08-30 14:57:06 · 3686 阅读 · 0 评论 -
关于Shiro反序列化漏洞的延伸—升级shiro也能被shell
首先感谢白帽子木板凳,本篇文章是对他提交的一个poc引发的思考。0x00 概述第一次接触shiro反序列化漏洞还是16年8月份,距离现在已经很久了,那时候只知道拿着个POC到处打,原理大致看过一下,也没太在意。但是这次遇到一个问题——某些应用“将shiro升级到1.2.4之后的版本,还存在反序列化漏洞”0x01 事件过程:开始:收到到一个漏洞和一段POC,发现是shiro反...转载 2019-08-30 14:55:33 · 8201 阅读 · 0 评论 -
Spring framework deserialization RCE漏洞分析以及利用
11月初爆发的JAVA反序列漏洞已经过去几个月了,各大安全研究人员对该漏洞的利用技巧也是五花八门,JAVA反序列化漏洞的爆发引起了很多漏洞研究者的注意,国外安全研究人员( zerothoughts )最近在Spring框架中同样也发现关于序列化的一些问题,本文主要是讨论在Spring框架中序列化漏洞成因以及一些利用方式。漏洞原理分析上一次的漏洞成因是Apache CommonsColl...转载 2019-08-30 14:07:20 · 1774 阅读 · 0 评论 -
可信平台模块
可信平台模块(Trusted Platform Module)是一种植于计算机内部为计算机提供可信根的芯片。该芯片的规格由可信计算组(Trusted Computing Group)来制定。 中国国内研究的TCM(trusted cryptography module,可信密码模块),与之对应。中文名可信平台模块外文名Trusted Platform Module用途...转载 2019-07-11 20:58:38 · 1580 阅读 · 0 评论 -
揭秘TPM安全芯片技术及加密应用
首页 手机 手机频道 4G频道 整机 笔记本 超级本 一体电脑 台式机 平板电脑 游戏外设频道 DIY硬件 CPU 主板 显卡 键盘鼠标 机箱电源 内存硬盘 摄影 数码相机 单电之家 DV相机 消费数码 平板 耳机 显示器 音频 汽车科技 数字家电 数字家电 生活家电 智能电视...转载 2019-07-11 20:57:24 · 454 阅读 · 0 评论 -
等保2.0 | 两分钟读懂等保标准新变化
2017年10月15-19日,全国信息安全标准化技术委员会2017年第二次会议周在厦门召开,16日上午WG5工作组191个成员单位中121家单位的231位专家参加了工作会议,深信服作为成员单位之一派代表参与会议并积极和专家进行讨论。会上公安部三所马力老师对 《信息安全技术 网络安全等级保护基本要求》( GB/T 22239—XXXX 代替 GB/T 22239-2008)送审稿进行了解读。...转载 2019-05-26 15:05:32 · 14386 阅读 · 0 评论 -
全面解读“等保2.0”系列(一):第一级安全通用要求
今天,互联网发展“一日千里”。无论是底层的IT基础设施和新技术,还是我们每天使用的互联网应用,变化快速发生,变革日新月异。与此同时,网络安全日益重要。但是,一直以来,我国在网络安全方面主要依据的是,2007年和2008年颁布实施的《信息安全等级保护管理办法》和《信息安全等级保护基本要求》。这部法规被称为等保1.0。 但是,等保1.0”不仅缺乏对一些新技术和新应用的等级保护规范,比如云计算、大...转载 2019-05-26 15:07:58 · 2929 阅读 · 0 评论 -
全面解读“等保2.0”系列(二):云计算安全扩展要求
编者按:今天,互联网发展“一日千里”。无论是底层的IT基础设施和新技术,还是我们每天使用的互联网应用,变化快速发生,变革日新月异。与此同时,网络安全日益重要。但是,一直以来,我国在网络安全方面主要依据的是,2007年和2008年颁布实施的《信息安全等级保护管理办法》和《信息安全等级保护基本要求》。这两部法规被称为等保1.0。但是,等保1.0”不仅缺乏对一些新技术和新应用的等级保护规范,比如...转载 2019-05-26 15:15:19 · 9028 阅读 · 0 评论 -
等保2.0正式发布,如何做到标准合规?
等级保护制度是我国在网络安全领域的基本制度、基本国策,是国家网络安全意志的体现。《网络安全法》出台后,等级保护制度更是提升到了法律层面,等保2.0在1.0的基础上,更加注重全方位主动防御、动态防御、整体防控和精准防护,除了基本要求外,还增加了对云计算、移动互联、物联网、工业控制和大数据等对象全覆盖。等保2.0标准的发布,对加强中国网络安全保障工作,提升网络安全保护能力具有重要意义。从等保基本要...转载 2019-05-26 15:40:58 · 3589 阅读 · 1 评论 -
等保2.0基本要求框架—GB/T 22239-2019解读
GB/T 22239是等级保护中,包含技术防护和管理要求的基本要求标准。核心内容编排上按照1+5,即安全通用要求+5个新技术新领域的安全扩展要求组合而成。整个标准原文按照内容大类,可分为三大部分:引言及网络安全等级保护概述、第一级至第四级安全要求、附录表述。下面按照三部分进行解读。前言及网络安全等级保护概述在前言部分,概要介绍了等保2.0的GB/T 22239—2019与等保1.0的GB/T 2...转载 2019-05-26 15:52:09 · 8759 阅读 · 0 评论 -
《网络安全等级保护基本要求》(GB/T 22239-2019)标准解读
关键词: 等级保护对象; 安全通用要求; 安全扩展要求中图分类号:TP309 文献标志码:A 文章编号:1671-1122(2019)02-0077-08Baseline for Classified Protection of Cybersecurity (GB/T 22239-2019) Standard InterpretationMA Li1, ZHU Guobang2, LU...转载 2019-05-26 16:09:49 · 63499 阅读 · 1 评论 -
[文献]等级保护基本要求GB/T22239-2019与1.0对比学习
网络安全等级保护基本要求通用要求技术部分与信息安全等级保护基本要求技术部分的对比(以三级S3A3G3为例)网络安全等级保护基本要求通用要求技术部分与信息安全等级保护基本要求技术部分结构由原来的五个层面:物理安全、网络安全、主机安全、应用安全、数据安全,调整为五个层面:安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心;技术要求“从面到点”提出安全要求,“安全物理环境”主要对机...转载 2019-05-26 16:30:29 · 4724 阅读 · 0 评论 -
系统安全相关资料贴
HackLiu'Blog 技术文章|安全工具|标准文献http://www.hackliu.com/HTTPS协议详解(二):TLS/SSL工作原理https://blog.csdn.net/hherima/article/details/52469360转载 2019-05-26 16:32:58 · 159 阅读 · 0 评论 -
使用nmap 验证多种漏洞
0x00前言 大家都知道在平时的漏扫中,AWVS、APPSCAN、Netspark、webspectort等漏扫工具扫描出来的漏洞问题往往存在误报,这时我们就需要进行人工手动验证漏洞,这里我们有两种思路:一是在漏洞工具中,进行多次的重复测试,AWVS、APPSCAN、Netspark、webspectort中都有重复测试漏洞问题的功能),将得出的多次结果进行分析和统计,确认漏洞是...转载 2019-07-02 17:36:51 · 648 阅读 · 0 评论 -
SSL/TLS协议详解(上):密码套件,哈希,加密,密钥交换算法
作为一名安全爱好者,我一向很喜欢SSL(目前是TLS)的运作原理。理解这个复杂协议的基本原理花了我好几天的时间,但只要你理解了底层的概念和算法,就会感觉整个协议其实很简单。在学习SSL运作原理的过程中,我获益匪浅。回想起在大学期间学到的密码学,那段时间学习它们可是一件很无聊的事。现在,我开始明白老师为什么要让我学习加密的算法,因为密码学可以让我们的生活变得更加轻松。在这里,我想分享我所学到的一切,...转载 2019-07-02 22:33:11 · 1728 阅读 · 0 评论 -
ciphers(1) - Linux man page
Nameciphers - SSL cipher display and cipher list tool.Synopsisopenssl ciphers [-v] [-V] [-ssl2] [-ssl3] [-tls1] [cipherlist]DescriptionThe ciphers command converts textual OpenSSL cipher lis...转载 2019-07-03 16:21:56 · 651 阅读 · 0 评论 -
TPM安全芯片
TPM(Trusted Platform Module)安全芯片,是指符合TPM(可信赖平台模块)标准的安全芯片,它能有效地保护PC、防止非法用户访问。了数据安全的考虑,不少笔记本都集成了安全芯片,可实现数据加密、密码保护等安全功能。目录用途 主要厂商 硬件集成原理 测试中FLASH数据下载方法用途 TPM安全芯片用途十分广泛,配合专用软件可以实现以下用途: ...转载 2019-07-11 20:55:24 · 10778 阅读 · 0 评论 -
渗透测试工具Burp Suite Pro破解
百度网盘下载(H大会一直更新):链接: https://pan.baidu.com/s/1brjPKM7 密码: 9v4r爱盘下载:https://down.52pojie.cn/Tools/Network_Analyzer/Burp_Suite_Pro_v1.7.32_Loader_Keygen.zip 具体破解使用过程如下。。。。。java -jar burp-loader...转载 2019-02-21 11:29:01 · 2326 阅读 · 0 评论