![](https://img-blog.csdnimg.cn/20201014180756919.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
网络安全
文章平均质量分 90
网络安全
亦风亦尘
Where there is a will,there is a way!
展开
-
Web应用安全测试-专项漏洞(一)
专项漏洞部分注重测试方法论,每个专项列举一个例子。分别有Web组件(SSL/WebDAV)漏洞、中间件相关漏洞、第三方应用相关漏洞、第三方插件相关漏洞、开发框架漏洞等原创 2024-06-27 12:42:21 · 977 阅读 · 0 评论 -
Web应用安全测试-综合利用(三)
XML注入、XXE、XPATH 注入、命令注入、任意文件上传、反序列化漏洞等综合利用的漏洞描述、渗透测试方法、风险分析、风险等级判定、修复建议等原创 2024-06-18 16:20:56 · 1264 阅读 · 0 评论 -
Web应用安全测试-综合利用(二)
Host头攻击、SQL注入、NoSQL注入、LDAP注入等综合利用的漏洞描述、渗透测试方法、风险分析、风险等级判定、修复建议等原创 2024-06-18 16:11:48 · 1013 阅读 · 0 评论 -
Web应用安全测试-综合利用(一)
跨站脚本攻击(XSS)、FLASH跨站脚本攻击、HTTP响应分割、HTTP参数污染等综合利用的漏洞描述、渗透测试方法、风险分析、风险等级判定、修复建议等原创 2024-06-17 17:20:56 · 1056 阅读 · 0 评论 -
Web应用安全测试-权限篡改
任意用户密码修改/重置、SSO认证缺陷、越权、Cookies伪造、会话变量可控、跨站请求伪造(CSRF)等各种权限篡改的漏洞描述、渗透测试方法、风险分析、风险等级判定、修复建议等原创 2024-06-17 12:27:44 · 1194 阅读 · 1 评论 -
Web应用安全测试-权限缺失
Flash跨域访问、jsonp跨域请求、未授权访问等各种权限缺失的漏洞描述、渗透测试方法、风险分析、风险等级判定、修复建议等原创 2024-06-17 12:10:03 · 834 阅读 · 0 评论 -
Web应用安全测试-防护功能缺失
Cookie属性问题、会话重用、会话失效时间过长等各种防护功能缺失的漏洞描述、渗透测试方法、风险分析、风险等级判定、修复建议等原创 2024-06-14 16:04:46 · 1367 阅读 · 0 评论 -
Web应用安全测试-防护功能滥用
恶意锁定问题、短信炸弹、邮件炸弹等各种防护功能滥用的漏洞描述、渗透测试方法、风险分析、风险等级判定、修复建议等原创 2024-06-14 15:55:30 · 418 阅读 · 0 评论 -
Web应用安全测试-防护功能失效
账号弱锁定机制、图形验证码可自动获取、图形验证码绕过、短信验证码绕过、短信验证码可暴力破解、参数覆盖、关键逻辑判断前端验证等各种防护功能时效的漏洞描述、渗透测试方法、风险分析、风险等级判定、修复建议等原创 2024-06-14 15:35:10 · 869 阅读 · 0 评论 -
Web应用安全测试-业务功能滥用(二)
未验证的URL跳转、服务器端请求伪造(SSRF)、短信内容可控、邮件内容可控、请求重放攻击、批量提交等各种业务功能滥用的漏洞描述、渗透测试方法、风险分析、风险等级判定、修复建议等原创 2024-06-14 15:23:44 · 1102 阅读 · 0 评论 -
Web应用安全测试-业务功能滥用(一)
短信定向转发、邮件可走向转发、业务接口调用缺陷、IMAP/SMTP注入、引用第三方不可控脚本/URL、开启危险接口等各种业务功能滥用的漏洞描述、渗透测试方法、风险分析、风险等级判定、修复建议等原创 2024-06-14 15:06:42 · 857 阅读 · 0 评论 -
Web应用安全测试-业务逻辑缺陷
业务功能渗透测试业务逻辑篡改、业务功能失效等各种业务功能缺陷的漏洞描述、渗透测试方法、风险分析、风险等级判定、修复建议等的几种场景、原创 2024-06-14 14:56:55 · 635 阅读 · 0 评论 -
Web应用安全测试-认证功能缺陷
认证登录环节允许空口令、系统允许多点认证、IP地址伪造、Oauth认证缺陷、能够绕过应用认证直接登录系统等缺陷的测试方案及修复方法原创 2024-06-13 16:44:16 · 895 阅读 · 0 评论 -
Web应用安全测试-爆破猜解
暴力破解的基本思想是根据题目的部分条件确定答案的大致范围,并在此范围内对所有可能的情况逐一验证,直到全部情况验证完毕。若某个情况验证符合题目的全部条件,则为本问题的一个解;若全部情况验证后都不符合题目的全部条件,则本题无解。常常存在于网站的登录系统中,通过对已知的管理员用户名,进行对其登录口令的大量尝试。原创 2024-06-13 15:10:52 · 1031 阅读 · 0 评论 -
Web应用安全测试-信息泄漏
Web应用安全测试-信息泄漏,列举常见漏洞描述、测试方法、风险等级级修复建议原创 2024-06-07 17:47:13 · 1374 阅读 · 1 评论 -
ARL资产侦察灯塔系统使用记录
旨在快速侦察与目标关联的互联网资产,构建基础资产信息库。协助甲方安全团队或者渗透测试人员有效侦察和检索资产,发现存在的薄弱点和攻击面。原创 2024-06-07 16:24:43 · 1332 阅读 · 0 评论 -
f8x使用简介
一款红/蓝队环境自动化部署工具,支持多种场景,渗透,开发,代理环境,服务可选项等大多数场景下,在不同的云购买一些 vps 服务器用于部署红 / 蓝队设施,不能做到开箱即用,使用 f8x 可以快速部署所需要的各类服务。原创 2024-06-06 18:00:32 · 1293 阅读 · 0 评论 -
Kali linux学习入门
Kali Linux是专门用于渗透测试linux操作系统,它由BackTrack发展而来,在整合了IWHAX、WHOPPIX和Auditor这三种渗透测试专用Live linux之后,BackTrack正式改名为Kali Linux。特点:基于Debian的linux发行版、集成300多个渗透测试程序、支持绝大多数的无线网卡、修改了内核以支持数据包注入、支持基于ARM的硬件系统等等。原创 2024-06-06 17:48:51 · 920 阅读 · 1 评论 -
PentestBox教程(五)
Windows渗透利器之PentestBOX原创 2024-06-04 15:55:58 · 428 阅读 · 0 评论 -
PentestBox教程(四)
Pentest Box:渗透测试盒子,是一款Windows平台下预配置的便携式开源渗透测试环境,而它也是著名黑客Kapustkiy常用的工具之一。Kali Linux上面的常用的很多工具这里面也都集成了。原创 2024-06-04 15:45:17 · 1126 阅读 · 0 评论 -
PentestBOX教程(三)
一款Windows平台下预配置的便携式开源渗透测试环境,而它也是著名黑客Kapustkiy常用的工具之一。这里集成的大都是Linux下的工具,Kali Linux上面的常用的很多工具这里面也都集成了。它打包了所有的安全工具,并且可以在Windows系统中原生地运行,有效地降低了对虚拟机或者双启动环境的需求。PentestBox官网:https://pentestbox.org/zh/原创 2024-05-31 18:12:17 · 817 阅读 · 0 评论 -
PentestBOX教程(二)
PentestBox是一个渗透工具包,但是不同于绝大多数国内 xx 工具包的是,这里集成的大都是 Linux 下的工具,Kali Linux 上面的常用的很多工具这里面也都集成了。PentestBox 是一款 Windows 平台下预配置的便携式开源渗透测试环境。 它打包了所有的安全工具,并且可以在 Windows 系统中原生地运行,有效地降低了对虚拟机或者双启动环境的需求。原创 2024-05-31 18:07:53 · 410 阅读 · 0 评论 -
PentestBOX教程(一)
顾名思义,这是一个渗透工具包,但是不同于绝大多数国内 xx 工具包的是,这里集成的大都是 Linux 下的工具,Kali Linux 上面的常用的很多工具这里面也都集成了。PentestBox 是一款 Windows 平台下预配置的便携式开源渗透测试环境。 它打包了所有的安全工具,并且可以在 Windows 系统中原生地运行,有效地降低了对虚拟机或者双启动环境的需求。原创 2024-05-31 18:01:48 · 513 阅读 · 0 评论 -
网络安全、信息安全、数据安全的定义与区别
网络安全、信息安全、数据安全的定义与区别信息安全顾名思义,主要是注重信息自身的安全。信息安全以信息的机密性、完整性、可用性三种基本的属性为保护核心,以不可否认性(抗抵赖性)、真实性、可控性等扩展属性为辅助。信息安全的意义在于保护信息自身的安全以及信息贮存载体即信息系统的安全。数据安全3.0时代进入到体系化数据安全治理时代,数据上升到资产,基础设施层面。原创 2024-05-24 17:11:47 · 711 阅读 · 0 评论 -
网络安全架构之零信任安全
随着云计算、大数据等技术广泛应用,远程办公、移动互联等业务快速发展,企业IT技术设施变得越来越多样化,业务系统访问需求越来越复杂,内部员工、供应商人员、外部合作伙伴等可以通过多种方式灵活接入系统,系统之间的互联互通也将被更多的终端访问,企业原有的网络边界逐渐模糊。零信任安全架构的核心基于现代身份管理技术进行构建,增强的身份管理能力具备敏捷、安全、智能的优势。基于敏捷的身份生命周期管理机制,满足企业对内部、外部、客户等不同身份的管理;同时基于智能身份分析和动态访问控制技术,具备对未知风险的防护能力。原创 2024-05-24 16:37:12 · 1640 阅读 · 0 评论 -
网络空间资产梳理
网络安全建设的实质是对风险的管理,古人云:知己知彼百战不殆。所谓知己,就是要了解自己的资产以及这些资产的脆弱性,知彼就是了解外部威胁及威胁所使用的手段。要做到知己,首先就要对自身的资产进行梳理。原创 2024-05-20 17:56:19 · 1072 阅读 · 0 评论 -
网络空间资产测绘网站
网络空间资产搜索引擎是对全球互联网暴露资产进行周期性不间断且深度地扫描与探测,融合多种资产检索方式,全面发现互联网暴露资产,对资产进行画像管理。他类似于行军打仗中使用的作战地图,类似于信息化战争中的卫星导航系统,为网络安全防护提供资产的态势感知数据,不至于没有目标和方向。目前,常用四种网络空间资产搜索引擎包括:FOFA、ZoomEye、360Quake、Shodan,以SAAS方式提供数据服务。各个产品的详细差异可以登录产品对应的官网进行对比。原创 2024-05-20 17:50:11 · 2085 阅读 · 0 评论 -
信创基础软件之信创云介绍
信创云,是指在信息技术应用创新的背景下,以国产化的CPU、操作系统为底座的自主研发的云平台,统筹利用计算、存储、网络、安全、应用支撑、信息资源等软硬件资源,发挥云计算虚拟化、高可靠性、高通用性、高可扩展性及快速、弹性、按需自助服务等特征,提供可信的计算、网络和存储能力。原创 2024-05-08 17:59:42 · 413 阅读 · 0 评论 -
信创基础硬件之芯片
历经数十年的艰辛探索,国产CPU产业已经初具规模。当前阶段,国内主流的CPU厂商有兆芯、飞腾、海光、龙芯、申威、海思六家,从授权的角度看,主要分为交叉授权、架构授权和IP内核授权三类。国产CPU市场呈现架构多元化发展格局,市场上x86、ARM,alpha、MIPS等架构并行,市场百花齐放。从性能、功耗、应用、生态以及及市场化角度来看,各个架构都有自己的代表产品和应用生态。原创 2024-05-08 17:52:07 · 1467 阅读 · 0 评论 -
网络安全审计
①日志审计产品集中采集信息系统中的系统安全事件、用户访问记录、系统运行日志、系统运行状态等各类信息,经过规范化、过滤、归并和告警分析等处理后,以统一格式的日志形式进行集中存储和管理,结合丰富的日志统计汇总及关联分析功能,实现对信息系统日志的全面审计。网络安全审计是按照一定的安全策略,利用记录、系统活动和用户活动等信息,检查、审查和检验操作时间的环境及活动,从而发现系统漏洞、入侵行为或改善系统性能的过程,它是提高系统安全性的重要手段。此外,所有针对审计产品的访问和操作也要记录日志,并且能够被审计。原创 2024-05-03 20:26:45 · 1159 阅读 · 1 评论 -
五一节前的信息系统的安全保障工作
五一将近,为了能安心度假,节前做好安全保障室非常有必要的。保障流程可以全面、有效地保障网络信息系统的安全性,提高系统的可靠性和稳定性。同时,还需要加强安全管理,完善内部控制机制,提高人员的安全意识和技能水平,以更好地保障网络信息系统的安全性。保障内容确保通过对网络信息系统的安全保障检查,可以有效地提高系统的安全性,防范潜在的安全威胁和风险。在执行关闭网络信息系统的流程时,需要确保操作人员具备相关的技能和经验,以及对系统关闭过程中可能出现的问题有充分的准备和应对措施。原创 2024-04-26 17:25:25 · 952 阅读 · 2 评论 -
董事长又收到钓鱼邮件了
钓鱼邮件的防范手册及2024年网络钓鱼攻击的趋势预测原创 2024-04-25 17:05:28 · 1094 阅读 · 5 评论 -
勒索软件安全防护手册
如今勒索攻击呈现出持续高发态势。勒索攻击已经成为未来一段时期网络安全的主要威胁之一,如何有效防范勒索攻击成为当前网络安全领域关注和讨论的焦点。本文探讨勒索软件防护问题。原创 2024-04-25 16:14:49 · 1668 阅读 · 2 评论 -
CTF练习-BUUCTF(1~25)
BUUCTF练习 密码题1-25原创 2024-04-22 15:10:57 · 882 阅读 · 0 评论