k3448的博客

原创 渗透测试应聘须知

渗透测试流程信息收集域名信息：whois敏感信息：Google语法子域名信息：工具端口服务：nmap、御剑指纹识别：服务器信息（大小写判断法）真实ip：CDN目录敏感文件：御剑后台waf:nmap sqlmap漏洞发现弱口令、SQL注入、xss、csrf、文件包含、逻辑漏洞、webshell漏洞验证和利用后渗透测试报告撰写七层结构应用层、表示层、会话层、传输层、网络层、数据链路层、物理层表单加密POST传输采用https前端\后端加密：公钥、私钥、RSA加密非对称的

原创 HTML协议

HTTP（超文本传输协议）是一种无状态的协议，无状态是指web浏览器与web服务器之间不需要建立持久的连接。curl+urlHTTP遵循请求（request）/应答（response）模型。HTTP请求请求行（请求方法）、请求头（消息报头）、请求正文HTTP响应状态码...

原创 Google语法

原创 信息安全技术（三级）第三章系统安全

系统安全操作系统基本实现机制计算机的组成：应用程序、操作系统、基本输入输出系统（BIOS）、底层硬件设备在标准的模型中，将CPU模式从用户模式转到内核模式的唯一方法是触发一个特定的硬件自陷：中断；异常；显式的执行自陷指令。基本安全实现机制：CPU模式和保护环0环：操作系统内核1环：操作系统的其他部分2环：I/O驱动程序和实用工具。（文件系统驱动程序、操作系统应用程序）3环：应用程序和用户活动。（文字处理器、Web浏览器、数据库、图片编辑器）进程隔离进程隔离要求不同的进程拥有不同的虚拟

原创 信息安全技术（三级）第二章信息安全基础技术与原理

信息安全基础技术与原理密码编码学与密码分析学的概念研究各种加密方案的学科称为密码编码学（Cryptography），加密方案称为密码体制或密码。研究破译密码获得消息的学科称为密码分析学（Cryptoanalysis）密码体制的分类对称密钥密码体制、非对称密钥密码体制密码体制的安全应依赖于密钥的保密而非算法的保密对称加密算法的特点加解密处理速度快密钥管理和分发复杂、代价高。N人两两通信，需密钥数为N(N-1)/2不能提供抗抵赖性服务扩散和混淆是对称密码设计的主要思想举例：DES、IDEA

原创 《Web安全攻防渗透测试实战指南》学习（一）渗透测试之信息收集

收集域名信息知道目标的域名后，第一件事就是获取域名的注册信息，包括该域名的DNS服务器信息和注册人的联系信息等。域名信息收集的常用方法：Whois查询whois + 域名备案信息查询常用的网站：ICP备案查询（www.beianbeian.com）,天眼查（www.tianyancha.com）收集敏感信息使用Google语法键字说明ite制定域名nurlURL中存在关键字的网页ntext网页正文中的关键字iletype指定文件类型..