你的服务器还安全吗-用户数据是否面临泄露风险-

python-qing

于 2024-07-20 10:00:00 发布

阅读量1k

点赞数 23

文章标签：服务器安全网络

本文链接：https://blog.csdn.net/m0_61869253/article/details/140558612

版权

一系列严重的网络安全事件引起了广泛关注，多家知名公司的服务器遭到黑客挟持，用户的个人数据和敏感信息面临泄露的风险。这些事件揭示了网络安全的脆弱性和黑客攻击的威胁性，提醒着企业和个人加强对网络安全的重视。

一、入侵案例
```
* 1.1 蔚来数据泄露
```
- 1.2 特斯拉、波音、SpaceX供应商拒付赎金遭机密泄露
二、入侵常见方式
```
* 2.1 弱密码攻击
```
- 2.2 Web应用程序漏洞
- ```
  * SQL注入
```
- 2.3 操作系统漏洞
- ```
  * 被动植入
```
  - 主动植入
- 2.4 邮件垃圾和不明链接
- ```
  * 邮件附件
```
  - 不明链接
- 2.5 暴力攻击
三、如何防御?
```
* 3.1 使用强密码
```
- 3.2 及时更新软件&系统
- 3.3 防火墙设置
- 3.4 程序优化

一、入侵案例

1.1 蔚来数据泄露

蔚来数据泄露，被勒索225万美元等额比特币，创始人致歉并表态

在这里插入图片描述

1.2 特斯拉、波音、SpaceX供应商拒付赎金遭机密泄露

因未收到勒索赎金，勒索软件DoppelPaymer在网上公开了SpaceX、特斯拉、波音等公司的机密信息，包括军事装备细节、账单和付款表格、供应商信息、数据分析报告、法律文书以及供应商保密协议等。

在这里插入图片描述

二、入侵常见方式

2.1 弱密码攻击

攻击者尝试使用暴力破解等方式来猜解账户密码，很多用户在设置密码或者进行初始化操作的时候都将其设置的比较简单，很容易被攻击者获取。

在这里插入图片描述

2.2 Web应用程序漏洞

攻击者可以通过利用Web应用程序的漏洞，比如SQL注入、跨站脚本等攻击方式，来获取服务器的敏感信息或进行远程执行命令。

SQL注入

SQL注入攻击是通过操作输入来修改SQL语句，用以达到执行代码对WEB服务器进行攻击的方法。简单的说就是在post/getweb表单、输入域名或页面请求的查询字符串中插入SQL命令，最终使web服务器执行恶意命令的过程；

在这里插入图片描述

探测SQL注入点是关键的一步，通过适当的分析应用程序，可以判断什么地方存在SQL注入点。例如登录场景，使用动态构造SQL语句访问数据库。

SELECT * FROM User WHERE 1=1 AND UserName='' AND Pwd=''

不同数据库的注入方法、函数都不尽相同，因此在注入之前需要先获取数据库的类型，可以输入特殊字符，如单引号，让程序返回错误信息再进行判断；还可以输入一些特殊函数，比如输入“1
and
version（）>0”，程序返回正常，说明version（）函数被数据库识别并执行，而version（）函数是MySQL特有的函数，因此可以推断后台数据库为MySQL。

SELECT * FROM User WHERE 1=1 AND UserName='' AND Pwd='' and version()>0

2.3 操作系统漏洞

操作系统漏洞是指未修补或已知的漏洞，攻击者可以利用这些漏洞来获取系统权限或访问敏感数据，通过网络植入木马、病毒等方式来攻击或控制整个电脑，窃取电脑中的重要资料和信息，甚至破坏系统。

被动植入

被动植入:指通过人工干预方式才能将木马程序安装到目标系统中，植入过程必须依赖于受害用户的手工操作，实际案例就是通过电子邮件附件执行来实现木马植入，如My.DOOM
的木马程序植入。

在这里插入图片描述

主动植入

主动植入:指主动攻击方法，将木马程序通过程序自动安装到目标系统中，植入过程无须受害用户的操作，研究攻击目标系统的脆弱性，然后利用其漏洞，通过程序来自动完成木马的植入。典型的方法是利用目标系统的程序系统漏洞植入木马，如“红色代码”利用
IIS Server 上 Indexing Service 的缓冲区溢出漏洞完成木马植入。

2.4 邮件垃圾和不明链接

邮件附件

木马设计者将木马程序伪装成邮件附件，然后发送给目标用户，若用户执行邮件附件就将木马植入该系统中。

不明链接

通过链接泄露个人信息可参考另外一篇文章：点了下链接信息就泄露了，ta们是怎么做到的？

2.5 暴力攻击

攻击者可以通过大量的请求、DDoS攻击等方式来消耗服务器的资源，利用网络协议和操作系统的一些缺陷，采用欺骗和伪装的策略来进行网络攻击，使网站服务器充斥大量要求回复的信息，消耗网络带宽或系统资源。

在这里插入图片描述

三、如何防御?

3.1 使用强密码

拒绝一个密码走天下，谨防一个密码用于多个账号，只要有一个平台泄露了你的密码，黑客就可以用它来登录你其他的平台服务。直到今天，撞库攻击仍然是互联网泄密最大的威胁之一。可以使用多重加密的方式设置密码：

E10ADC3949BA59ABBE56E057F20F883E

从信息量的角度计算，16个大小写字母和数字组合，和12个字母、数字、符号组合强度差不多。从暴力破解的角度来看，如果黑客不知道你的密码长度，通常会按照密码长度递增的方式尝试破解。所以越长的密码，暴力破解浪费的计算资源也就越多，增加了破解成本，也就越安全了。

在这里插入图片描述

3.2 及时更新软件&系统

及时对操作系统以及安全防护软件进行更新维护

在这里插入图片描述

3.3 防火墙设置

通过设置服务器防火墙的方式进行防护

在这里插入图片描述

3.4 程序优化

合理规范的网页代码可以减少不必要的注入漏洞，防止SQL注入、XSS攻击等。开发人员应提高代码规范性，注意过滤和转义输入输出的漏洞风险，确保服务器、数据库、代码的安全性，同时利用网站防火墙和SSL证书保障整个网站的安全。

接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。