网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。
目录
五、HMAC-SHA256 vs SHA256在签名中的区别
2025年渗透测试面试题总结-拷打题库12
抽象来看，安全评估到底要评什么东西？ 安全评估与渗透测试有什么区别？ 一个应用开放出去API，可能存在哪些风险以及如何应对？ 设计API签名时，随机数使用秒时间戳（timestamp/s）会存在什么风险？ 设计API签名时，HMACSHA256和SHA256区别是什么？ 密码如何加密保存？ 某些场景（登录、注册、修改密码、支付）会存在哪些风险以及如何防范？ 哪些方法可以防止爆破？ 新应用如何评估安全风险？ 需求阶段、系分阶段安全评估的侧重点是什么？ 接口B的参数是从接口A的响应中获取的，会存在什么风险？ 新的API接口上线时，如何设计使其避免出现请求篡改和请求重放？ Docker容器以及K8s有哪些风险？ IPv6和IPv4安全差异？ 三方引入的应用和自研应用评估差异有哪些？ 金融业务有何特色？ mvn源的安全性需要考虑哪些点？ 如何让业务方主动找你评估？ 如何判断评估覆盖范围的优先级？ 如何降低各人检验导致评估不一致？ 如何系统提高安全评估效率？ 安全评估和人工测试以及自动化测试三者差异是什么？ 算法模型的安全风险如何评估？ 区块链安全风险主要有哪些？ 如何理解安全左移？ 安全评估的行业最佳实践是什么？ 如何看待未来安全评估的趋势？ 如何规避绕口令带来的风险？ 硬编码密钥有何风险以及如何系统解决？ 0day漏洞如何防御一、安全评估的核心目标
安全评估本质是系统性风险识别与管理，需覆盖以下维度：
- 资产识别：明确受保护对象（数据、API、服务等）。
- 威胁建模：分析潜在攻击路径（如外部渗透、内部滥用）。
- 漏洞检测：技术漏洞（SQL注入）与逻辑漏洞（业务越权）。
- 合规验证：是否符合GDPR、PCI-DSS等标准。
- 风险量化：通过CVSS评分或业务影响分级（高/中/低）。
示例：金融业务需额外关注交易篡改风险和合规审计要求。
二、安全评估 vs 渗透测试
维度 安全评估 渗透测试 范围 全面覆盖（技术+流程+合规） 聚焦技术漏洞（模拟攻击路径） 方法 文档审查、访谈、工具扫描 黑盒/灰盒实战攻击 输出 风险报告+修复优先级建议 PoC漏洞利用证明+修复建议 目标 系统性风险管理 验证防御体系有效性 关键差异：评估是战略性的风险管理，渗透测试是战术性的漏洞验证。
三、开放API的风险与应对
风险场景：
- 认证失效：Token泄露、OAuth配置错误。
- 数据泄露：敏感信息未脱敏（如手机号明文返回）。
- 重放攻击：缺乏请求签名或时效性校验。
- DoS攻击：接口无速率限制。
应对措施：
- 签名设计：HMAC-SHA256 + 随机数（Nonce）。
- 流量管控：限速（如1000次/分钟/IP）。
- 敏感数据脱敏：返回字段动态掩码（如身份证
510***********1234）。
四、API签名设计中的时间戳风险
问题：使用秒级时间戳作为随机数（Nonce）的风险：
- 预测性：时间戳易被猜测，攻击者可构造时间窗口内重放请求。
- 碰撞风险：同一秒内多次请求导致Nonce重复。
优化方案：
- 高精度时间戳：毫秒级时间戳（13位） + 随机数（如UUID）。
- 服务端校验：存储已用Nonce并拒绝重复请求。
五、HMAC-SHA256 vs SHA256在签名中的区别
算法 安全性 适用场景 HMAC-SHA256 基于密钥的哈希，防篡改+身份验证 API签名、Token生成 SHA256 无密钥哈希，仅防篡改 数据完整性校验（如文件哈希） 核心差异：HMAC需双方共享密钥，安全性更高；SHA256单独使用易被伪造。
六、密码安全存储方案
- 算法选择：
- 首选：Bcrypt（自适应成本因子）。
- 替代：Argon2（抗GPU破解）。
- 加盐策略：每个密码使用独立随机盐（16字节+）。
- 迭代次数：Bcrypt cost≥12（2025年标准）。
错误实践：使用MD5、SHA家族或固定盐值。
七、典型场景风险与防范
场景 风险 防范措施 登录 密码爆破、撞库 多因素认证（MFA）+ 人机验证 注册 虚假账号、短信轰炸 手机/邮箱验证+IP限频 修改密码 会话劫持、CSRF Token绑定+旧密码校验 支付 金额篡改、重复提交 双重确认+唯一订单号
八、防爆破攻击策略
- 速率限制：基于IP/账号的请求频率控制（如5次/分钟）。
- 渐进锁定：连续失败后增加延迟或临时锁定。
- 动态验证码：失败3次后触发图形/短信验证。
- 行为分析：检测异常登录地点/设备。
技术工具：Redis实现分布式计数器，Nginx限速模块。
九、新应用安全风险评估流程
- 架构审计：检查微服务通信加密（TLS 1.3）、RBAC权限模型。
- 依赖扫描：通过Snyk检测第三方库漏洞（如Log4j2）。
- 数据流分析：敏感数据（如支付信息）是否加密传输/存储。
- 威胁建模：STRIDE模型识别仿冒、信息泄露等风险。
十、需求与系分阶段的安全侧重点
阶段 侧重点 交付物 需求分析 业务逻辑风险（如越权、欺诈） 威胁建模文档+安全需求清单 系统设计 技术实现安全（加密算法、API签名） 安全架构图+详细设计方案
十一、接口参数依赖风险（A→B）
风险：
- 中间人篡改：攻击者拦截接口A响应，修改参数后调用接口B。
- 敏感信息泄露：接口A返回Token或ID被恶意利用。
修复：
- 签名校验：接口B验证参数签名（如HMAC）。
- 短期有效性：参数绑定时效性（如5分钟内有效）。
十二、API防篡改与防重放设计
- 签名机制：
- 参数排序后生成签名（防参数顺序篡改）。
- 签名字段包含Nonce和Timestamp。
- Nonce服务端校验：Redis存储已使用Nonce（过期时间=Timestamp有效期）。
示例：
pythonsign = HMAC-SHA256(secret_key, sorted(params) + nonce + timestamp)
十三、Docker与K8s安全风险
维度 风险 修复方案 镜像 包含漏洞/后门 镜像扫描（Trivy）+ 可信源 配置 特权容器、敏感目录挂载 最小权限原则+AppArmor/SELinux 网络 未隔离Pod网络、暴露Dashboard NetworkPolicy限制通信+认证加固 Secret管理 明文存储密钥 使用K8s Secrets/Vault动态注入
十四、IPv6 vs IPv4安全差异
- 协议栈差异：
- IPv6：强制IPsec支持（但实际部署少）、NDP协议替代ARP。
- IPv4：NAT隐藏内网拓扑，IPv6端到端暴露增加扫描风险。
- 攻击面扩展：IPv6地址空间庞大，但自动化扫描工具已适配。
防御建议：启用IPv6防火墙规则，禁用ICMPv6非必要功能。
十五、三方应用 vs 自研应用评估差异
维度 三方应用 自研应用 代码可控性 无法修改源码，依赖厂商修复 全生命周期可控 漏洞响应 需协调厂商，周期长 内部快速修复+热补丁 评估重点 已知漏洞（CVE）、合规兼容性 逻辑漏洞、架构缺陷
十六、金融业务安全特色
- 合规驱动：需满足PCI-DSS、GDPR、等保四级。
- 交易安全：
- 防篡改：签名+流水号唯一性校验。
- 实时监控：风控系统检测异常交易（如高频大额转账）。
- 数据隐私：客户信息加密存储（如国密SM4）。
十七、Maven源安全考量
- 源可信度：优先使用官方镜像（Maven Central）而非第三方仓库。
- 依赖验证：PGP签名校验+SCM源码溯源。
- 漏洞监控：集成OWASP Dependency-Check扫描链式依赖。
风险：恶意包投毒（如typosquatting攻击）。
十八、推动业务方主动评估
- 价值传递：通过案例展示安全评估如何避免损失（如罚款、停服）。
- 流程绑定：将安全评估纳入上线前强制环节（如流水线门禁）。
- 简化协作：提供自动化工具（如API扫描脚本）+ 可视化报告。
十九、评估优先级判定
核心因素：
- 业务影响：核心营收接口 > 内部管理功能。
- 利用概率：暴露在公网的API > 内网服务。
- 修复成本：配置错误 > 代码重构需求。
工具辅助：通过DREAD模型量化风险（Damage/Reproducibility/Exploitability/Affected Users/Discoverability）。
二十、降低评估不一致性
- 标准化流程：制定Checklist（如OWASP ASVS）。
- 工具统一：使用相同扫描工具（Burp Suite、Nessus）。
- 交叉评审：多人独立评估后合并结果。
二十一、提升安全评估效率
- 自动化集成：CI/CD流水线嵌入SAST/DAST工具。
- 知识库沉淀：历史漏洞库+修复方案快速复用。
- 并行评估：分模块同步进行（如API+前端+架构）。
二十二、安全评估 vs 人工测试 vs 自动化测试
维度 安全评估 人工测试 自动化测试 覆盖深度 全面（技术+流程） 高（复杂逻辑） 中（模式化漏洞） 速度 中 低 高 成本 高（专家资源） 高 低 适用场景 新系统/合规审计 深度渗透/逻辑漏洞 回归测试/高频扫描
二十三、算法模型安全风险评估
- 数据风险：训练数据投毒（如标注篡改）。
- 模型风险：对抗样本攻击（如图像分类误导）。
- 隐私风险：模型逆向泄露训练数据。
防御：数据清洗、对抗训练、模型水印。
二十四、区块链安全风险
- 智能合约：重入漏洞（如The DAO事件）、整数溢出。
- 共识机制：51%攻击（PoW链）。
- 隐私保护：交易图分析去匿名化。
工具：Mythril合约扫描、链上监控系统。
二十五、安全左移（Shift Left）
核心理念：在开发早期（需求/设计阶段）介入安全，而非上线前补救。
实践：
- 威胁建模（如Microsoft SDL）。
- 开发人员安全培训（如安全编码规范）。
二十六、行业最佳实践
- 标准框架：OWASP Top 10、NIST CSF。
- 工具链：SAST（SonarQube）+ DAST（Burp Suite）+ SCA（Black Duck）。
- 流程整合：DevSecOps流水线（安全门禁+自动化审计）。
二十七、未来安全评估趋势
- AI驱动：LLM辅助漏洞挖掘（如生成Payload）。
- 云原生：K8s动态策略评估（如实时Pod安全监控）。
- 合规自动化：智能合约审计工具链。
二十八、绕口令（逻辑漏洞）防御
典型场景：条件竞争（如抢购超卖）、状态机绕过（如未支付完成发货）。
检测方法：
- 代码审计：检查关键逻辑原子性（如数据库锁）。
- 模糊测试：并发请求压测接口。
二十九、硬编码密钥风险与解决
风险：密钥泄露导致全线系统沦陷（如Git历史记录扫描）。
解决：
- 动态管理：使用KMS（如AWS KMS、HashiCorp Vault）。
- 最小化暴露：环境变量注入替代代码明文存储。
三十、0day漏洞防御
- 分层防护：WAF（规则更新）+ EDR（行为监控）。
- 威胁情报：订阅CVE预警（如Zero Day Initiative）。
- 漏洞缓解：禁用高危功能（如Office宏）、权限最小化。
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
