- 博客(90)
- 资源 (2)
- 收藏
- 关注
RSS订阅原创 房地产网络安全：主要风险及缓解建议
房地产行业已开始数字化转型，因此极易受到网络犯罪的攻击。潜在风险的清单很长：从客户敏感信息的数据泄露到勒索软件攻击，网络犯罪分子将房地产公司视为其所携带的所有类型敏感信息的高价值目标。在本文中，我们将探讨房地产领域的主要网络安全风险，并给出可行的建议来帮助减轻这些风险。房地产行业的主要网络安全风险。
2024-10-25 12:11:28
806
原创 1024程序员节 | “程”AI之势 为安全加“码“
1024这个数字，在计算机世界可是个“基本单位”，1KB等于1024字节，简直就是程序员们的“信仰”。在程序员的世界里，1024不仅仅是一个数字，还是程序员的“信仰”，蕴含着对精确、效率与计算机世界的深刻理解，更象征着对技术、完美与自我挑战的追求。在数据安全、身份验证、信息加密等领域，程序员们可谓是“八仙过海，各显神通”，以代码的力量，赋能客户数字化转型，守护日益智能化的世界。今天，我们不仅要致敬那些穿梭在代码世界的“程序猿”，更要“程”AI之势，聊聊网络安全，毕竟。《Java代码审计》
2024-10-24 12:21:51
509
原创 1024程序员节，雷军发文：想起无数个通宵
也因为运行程序的硬件进制以1024为基础，1024是2的十次方、二进制计数的基本计量单位之一，针对程序员经常周末加班与工作日熬夜的情况，部分互联网机构倡议每年的10月24日为1024程序员节，在这一天建议程序员拒绝加班。他回忆起，自己上的第一门编程课是《Pascal语言程序设计》，等上大二的时候，有同学来告诉他，他写的Pascal作业被老师编入了新版教材。“程序员就像是一个个1024，以最低调、踏实、核心的功能模块搭建起这个科技世界，1G=1024M，而1G与1级谐音，也有一级棒的意思。
2024-10-24 12:18:17
456
原创 为什么会这样？国内网安行业的特点思考
再比如招投标，招标参数都是功能参数，少有安全能力参数，根据我们以上的分析说明，是不是感觉这事儿挺正常的。最后其实还有一个特点是风险意识的问题，但是展开讲没什么好讲的，就在最后提一下，我们自古就是从实践里摸索道理的民族，祭拜神仙都是选能干活的、灵的，一切以实际出发，那么注定风险意识会略有欠缺，如果风险意识很强，也会意识到网络安全在未来防范风险上产生的价值，但是要我们这样面朝黄土背朝天的人普遍具备很强的风险意识，为“未来”“可能”发生的风险付出很多代价，是反人性的，这也是保险在国外比国内做的好的原因。
2024-10-10 12:16:44
991
原创 DudeSuite Web Security Tools 渗透测试工具集
DudeSuite（Dude Suite Web Security Tools）是一款轻量化集成化的Web渗透测试工具集程序，程序包含了多种常见的渗透测试场景适用的工具除经典的请求重放及爆破、漏洞验证、端口扫描核心功能外其中的安全工具提供一批常用的功能插件如：常见的编码解码加密破解、网络空间资产搜索、域名爆破、JWT解析爆破、SQLMAP注入等。这意味着能够以更灵活的方式重现特定的请求，从而验证目标系统对这些请求的响应，或在重放请求之前，对请求的参数、头信息等进行灵活修改，以模拟不同的攻击场景或测试条件。
2024-09-28 22:46:59
1081
原创 免费好用的靶机渗透测试环境
3、Vulnstack(红队实战靶场，域、横向渗透、多层网络，强烈推荐，目前共7个靶场，网上writeup齐全)7、bWAPP（集成了各种常见漏洞和最新漏洞的开源Web应用程序）1、Vulhub: （各种漏洞环境集合，一键搭建漏洞测试靶场）5、Web For Pentester（web漏洞检测技术。6、VulApps（快速搭建各种漏洞环境与安全工具环境）9、pikachu（一个好玩的Web安全-漏洞测试平台）8、btslab（不同类型的Web应用程序漏洞）4、WebGoat：（WEB漏洞测试和练习）
2024-09-28 22:45:05
665
原创 SIEM之王，能否克服创新者的窘境？
虽然我无法引用这一具体数据的来源，但我的经验是，向云的转变导致典型环境的日志数据量增加了3倍。此外，如果您的用户并不特别在意性能，那么您可能会摄取更多的数据，但使用这种许可证模式的系统性能会差很多。Splunk为联邦搜索增加了一个额外的成本组件，该组件根据查询数据的多少来计算。该许可基于"数据扫描单位"，被描述为使用针对Amazon S3的联邦搜索的所有搜索在客户的Amazon S3存储桶中扫描的数据总量。在传输过程中丢弃垃圾日志是一种快速瘦身的方法，但在安全团队抓狂之前，丢弃的数据量是有限的。
2024-09-27 21:42:50
1117
原创 边裁员边收购，思科逐渐变身软件并购之王
尽管 WebEx 的主要工程师 Eric Yuan 后来离开了公司，并创立了 Zoom，但 WebEx 仍然是思科的旗下的一款成功的产品。这次收购对思科来说是一次关键的举措，它使思科能够深化其软件专业知识，并获得在日益复杂的分布式 IT 环境中监控和优化性能的关键工具。如今，WebEx 每月为超过 6 亿用户提供服务 ，每天提供 30 亿分钟的会议 ，此举牢固确立了思科在企业通信市场中的主导地位，为企业提供了统一语音、视频和在线会议的全面解决方案。，以巩固其在视频传输和内容安全市场的地位。
2024-09-27 21:41:21
1320
原创 港真：网络安全没有“门槛”， 初级岗位前途未卜
吉祥知识星球http://mp.weixin.qq.com/s?__biz=MzkwNjY1Mzc0Nw==&mid=2247485367&idx=1&sn=837891059c360ad60db7e9ac980a3321&chksm=c0e47eebf793f7fdb8fcd7eed8ce29160cf79ba303b59858ba3a6660c6dac536774afb2a6330&scene=21#wechat_redirect《网安面试指南》http://
2024-09-27 21:38:54
828
原创 50道渗透测试面试题，全懂绝对是高手
此外，随着云计算、物联网等新兴技术的广泛应用，渗透测试也将面临更多的挑战和机遇，需要不断探索和创新以适应不断变化的安全威胁环境。然而，需要注意的是，这些技术的应用需要依赖于高质量的训练数据和合理的算法设计，以确保测试结果的准确性和可靠性。有效的信息收集通常包括多个方面，如使用搜索引擎（如Google Hacking）查找与目标相关的敏感信息，利用网络扫描工具（如Nmap）探测目标网络的IP地址、开放端口和服务，通过社交媒体、公开数据库（如Shodan）等渠道获取目标系统的配置和漏洞信息。
2024-09-27 21:37:29
1161
原创 基于AI的智能化渗透测试技术研究
在渗透攻击阶段，通过知识推理，根据目标的网络环境，智能化选择攻击目标，优先攻击具备高渗透价值的目标，智能化选择最合适的攻击载荷，减少渗透尝试的次数，提高渗透测试的效率。通过不断地变化环境，迭代式地实施攻击尝试，实现攻击智能体的进化。在LSTM模型中，LSTM构造的特征向量携带了整个句子的整体依赖关系［9］，在给定输入条件下，将文本序列映射成初始特征向量，将这种向量表示输入LSTM网络，并将LSTM网络的输出作为CNN网络的输入，进一步提取序列的特征向量，最后通过Softmax层，输出模型预测的资源类别。
2024-09-24 14:32:27
1349
原创 多融合的信息收集工具--Mitan
搜索引擎语法自动生成（FOFA,Hunter,Quake,ZoomEye,google,github），资产测绘（FOFA，hunter，Quake，ZoomEye 的查询及结果导出），指纹识别、敏感信息（暴露接口并可以自动探测未授权），文件扫描（包含目录，备份文件，spring信息泄漏，自定义字典等）、渗透技能路线备忘录，常用网络安全网站导航等功能。密探-主要包含资产信息收集，IP端口查询，备案信息查询，子域名爆破（支持多级递归）。《Java代码审计》
2024-09-24 14:29:05
752
原创 金融类渗透测试
通过抓包工具的代理模块抓包，查看有关文件名、文件编号的字段是否为明文，如果是明文，则将其修改为其他平行用户的文件名、文件编号的信息；通过抓包工具的代理模块拦截报文，篡改金额、积分、运费优惠券等购买时消耗的资源的字段为任意其他数值（包括合法数值与非法数值）并提交，验证订单取消后能否返还篡改后的金额、积分、运费、优惠券等。通过抓包工具的代理模块拦截报文，篡改金额、积分、运费优惠券等购买时消耗的资源的字段为任意其他数值（包括合法数值与非法数值）并提交，验证退货退款后能否返还篡改后的金额、积分、运费、优惠券等。
2024-09-24 14:13:50
911
原创 思科安全网络解决方案
随着计算机技术、网络技术、通信技术的快速发展，基于网络的应用已无孔不入地渗透到了社会的每一个角落,信息网络技术是一把双刃剑， 它在促进国民经济建设、丰富人民物质文化生活的同时，也对传统的国家安全体系、政府安全体系、企业安全体系提出了严峻的挑战，使得国家的机密、政府敏感信息、企业商业机密、企业生产运行等面临巨大的安全威胁。从目前安全技术的总体发展水平与诸种因素情况来看，绝对安全是不可能的，需要在系统的可用性和性能、投资以及安全保障程度之间形成-定的平衡，通过相应安全措施的实施把风险降低到可接受的程度。
2024-09-23 17:36:09
2219
原创 网安开发：杭州某科技银行面经和答案
顺序IO（Sequential Input/Output），是一种数据访问模式，指的是按照数据存储的顺序，连续地进行读写操作。在顺序IO中，数据被顺序地写入或读出，与它们在存储介质上的物理或逻辑存储顺序相匹配。这与随机IO（Random Input/Output）形成对比，随机IO是指访问存储介质上任意位置数据的过程，不按特定顺序进行。顺序IO是一种按照存储顺序进行数据读写的访问模式，它在处理大量连续数据时具有高效的性能优势。
2024-09-21 12:23:30
1423
原创 网络安全：腾讯云智、绿盟、美团、联想的面经
网安面试指南》《Java代码审计》《Web安全》我从4月份找到现在一共面了四家公司，来和大家分享一下我的面试经历（本文来自一位朋友的面试经历）。
2024-09-21 12:21:57
1593
原创 24年秋招，网安面试三十道题
# 登录A用户时，正常更改或者是查看A用户信息，然后抓取数据包，将传参ID修改为其他用户，如果成功查看或者修改了同权限其他用户的信息就属于水平越权测试。先判断内网IP，还是外网IP，IP有没有报备过等，看请求头信息分析有没有恶意的攻击代码，看看响应体有没有回显，如果该IP报备过应该是内部测试导致的误报，如果是没有报备的外网IP，真的存在攻击payload，那就是攻击行为，应该立即屏蔽该IP，内网IP有类似的情况，也有可能是来自已经被控制电脑的攻击行为，也应该立即进项排查。利用的是服务端的请求伪造。
2024-09-19 13:58:49
1087
原创 网络安全面试题整理 - 甲方类
这个问题真的非常***钻，需要很强的体系知识以及在企业中的实践经历，甚至对于企业的体系和组织架构有一定的了解，因此是一个20分的大题；必须要对目前的知识进行拆分；什么是企业的安全运营，安全运营的概念：安全运营被定义为：以资产为核心、以安全事件管理为关键流程，采用安全域的划分思想，建立一套实时的资产风险模型，协助管理员进行事件分析、风险分析、预警管理和应急响应处理的集中安全管理系统；安全运营以用户网络的最终安全为目的，实现运营过程上的统筹管理；
2024-09-18 12:23:23
1656
原创 超全网络安全面试题汇总（2024版）
CSRF 和 XSS 和 XXE 有什么区别，以及修复方式？owasp 漏洞都有哪些？sql 注入的几种类型？信息收集。漏洞挖掘。《Java代码审计》常见的网站服务器容器。
2024-09-17 19:12:02
1766
原创 月薪14K的网安公司，来做一下笔试题呀~
什么是 CIA 三元组？○ A. 认证、身份、授权○ B. 机密性、完整性、可用性○ C. 加密、解密、签名○ D. 安全性、隐私性、合规性网络安全中“威胁”指的是？○ A. 系统中的漏洞○ B. 可能的攻击者○ C. 潜在的危害来源○ D. 防护措施以下哪种类型的攻击最能破坏数据的机密性？○ A. 拒绝服务攻击○ B. 恶意软件攻击○ C. 中间人攻击○ D. SQL 注入攻击网络安全策略主要不包括下列哪一项？○ A. 安全策略的制定。
2024-09-17 19:04:44
587
原创 小米,B站网络安全岗位笔试题目+答案
4.(单选题) 在教学管理系统中，有教师关系 T(T ＃， NAME)， 学生关系 S(S ＃， NAME)，学生成绩关系 S(S ＃， NU)。答案：extract()，parse_str()，import_request_variables()答案：客户端所连接的服务器是受信的，所加载的页面不会被篡改，传输数据不会被中间人窃取。答案：floor()，updatxml()，exractvalue()，exp()答案：栈的插入操作时间复杂度都是o(1)，队列的插入操作时间复杂度是o(n)
2024-09-16 21:10:21
2506
原创 阿里员工爆料：阿里前CTO张建峰，也是中专毕业的！之前觉得大专生做到 P9已经很牛了，现在看来，原来中专生也能成为合伙人
阿里没发展大的时候，行业处于野蛮生长时期，各显本事，今时不同往日了，不要看过去，行业发展规范了，业务发展也稳定了，那么企业对人才的要求自然是高起来了。大家回顾一下前些年的行业发展，很多商业机构，经常借助低学历的学员，拿到高薪酬去宣传做广告，现在这几年你再看商业机构，会发现对学历都有要求了，并不是随便能去学习，有学历的门槛。对于阿里元老的过往履历，没啥参考性，现在你学历不够，确实进不去阿里，行业萌芽期的时候，你学历一般，也很容易去到大公司。同样的公司，不同的时期，招聘的门槛不一样。《Java代码审计》
2024-09-16 21:08:19
856
原创 2024最全网络安全工程师面试题（附答案），金九银十找工作必看！
答：DDoS 攻击是指利用大量的计算机或者其他网络设备，同时向目标网络或者服务器发送大量的数据流量，以致其无法正常工作，从而导致网络瘫痪或者服务器宕机的攻击行为。防范措施包括：增加带宽，使用防火墙，安装 IPS 和 IDS，以及限制连接速率等措施。答：黑客攻击是指利用各种手段，如网络钓鱼、木马病毒、暴力破解等方式，对网络或者计算机进行攻击的行为。预防措施包括：加强安全管理、定期备份数据、加强密码安全、及时更新软件和系统补丁、使用网络防火墙和安全软件等。
2024-09-15 22:46:07
1609
原创 海外VS国内：网安上市公司人均创收对比
根据统计，2023年海外28家网络安全公司的人均收入42万美元，人均毛利31.5万元美元，人均净利3.1万元美元。二级市场分析章节中分析了中国网络网络安全上市公司人均创收63.2万、人均毛利37.6万，人均创利-1.6万。我们统计了在海外上市的28家主要网络安全公司的2023年的人均情况，如图所示。有网友问了：海外网络安全公司的人均情况如何？那么让我们一起看看吧。
2024-09-15 22:42:27
271
原创 14份网络安全意识培训ppt
网络安全周就要来了，培训材料已经准备好了，文末领取吧。里还有14份各种行业的ppt呢。14份网络安全意识培训ppt。
2024-09-07 21:20:03
713
原创 120张网络安全等保拓扑大全
安全意识培训不是一个ppt通吃，不同的场景应该用不同的培训方式和内容。120张网络安全等保拓扑大全已更新至。🔗哦，有兴趣的领取吧。
2024-09-07 21:18:21
354
原创 各网安上市公司的现金还能撑多久？
2023年网安上市公司的整体应收账款及票据达到242.2亿元，同比增长12.3%，较2022年的增速26.9%有所收窄，但仍远高于营收的增速；11家企业的经营性现金流净额实现增长，较2022年仅2家增长的情况有明显改善。年报里发布的数据以2023年年底各上市公司在手现金为准，实际上并非现在（2024年8月）的在手现金，今年到现在各网安上市公司的经营情况并不乐观，可以猜测实际情况可能会更差，但没有具体数据也无法拿出来做分析，只能用2023年底的在手现金为大家进行解读（数据来源于2023年企业年度财报。
2024-09-06 10:01:18
444
原创 常见的网络安全服务大全（汇总详解）
—针对系统所在网络层进行网络拓扑的探测、路由测试、防火墙规则试探、规避测试、入侵检测规则试探、规避测试、无线网安全、不同网段 VLAN 之间的渗透、端口扫描等发现存在的漏洞，并通过漏洞利用来验证此种威胁可能带来的损失或后果，并提供避免或防范此类威胁、风险或漏洞的具体改进或加固措施。——通过采用适当的测试手段，发现测试目标在系统识别、服务识别、身份认证、数据库接口模块、系统漏洞检测以及验证等方面存在的安全隐患，并给出该种隐患可能带来的损失或后果，并提供避免或防范此类 威胁、风险或漏洞的具体改进或加固措施。
2024-09-06 09:59:42
1289
原创 Offer不难拿：面试官推荐的30题网络安全面试题
在渗透测试中，测试人员可能会使用类似的技术来模拟中间人攻击，例如使用中间人代理软件（如 Burp Suite 或 OWASP ZAP）来监听 HTTP/HTTPS 流量，并分析或修改传输中的数据。- 答案: Metasploit 框架中的 `msfvenom` 工具可以生成带有恶意负载的文件（如 Word 文档或 PDF 文件），用于社会工程学攻击。19. 请描述一下什么是 CVE-2021-42287 和 CVE-2021-42278（EternalSilence），以及如何修复。
2024-09-05 15:18:29
977
原创 Hvv结束了，裁员提上日程
吉祥知识星球《网安面试指南》《Java代码审计》Hvv陆陆续续结束了，群里陆陆续续出现了各种裁员的讨论，按照网安业务的阶段性来看年底项目交付会逐渐变少，交付人员慢慢空闲下来了。各大网安公司的半年财报也都已经出来了，只能用不理想来表达，半年27家上市公司半年财报总营收才144亿，亏损高达36.36亿，几乎没有盈利的。
2024-09-05 15:15:31
685
原创 一文教你学会java代码审计
在这种情况下，没有指定具体的条件来限制删除操作，因此这个删除语句会删除整个表中的数据，而不管 id 参数是否为空。发现了是controller层的page调用了，访问的接口为emps,即http://127.0.0.1/emps,而且name参数可控。漏洞示例：文件名file可控而且没有对后缀进行过滤，存在文件上传漏洞，文件操作类型漏洞在白盒中还是挺多的，大多都是文件上传目录穿越。xxe漏洞现在已经不多了，遇到的次数也很少，一般出现在支持xml文件导入或者csv，xslx文件导入（POI组件）的地方。
2024-09-04 20:50:40
2080
原创 记一次代码审计之nbcio-boot从信息泄露到Getshell
NBCIO 亿事达企业管理平台后端代码，基于jeecgboot3.0和flowable6.7.2，初步完成了集流程设计、流程管理、流程执行、任务办理、流程监控于一体的开源工作流开发平台，同时增加了聊天功能、大屏设计器、网盘功能和项目管理。项目地址：https://gitee.com/nbacheng/nbcio-boot。
2024-09-04 20:46:54
1558
原创 《云原生安全攻防》-- K8s攻击案例：高权限Service Account接管集群
假设攻击者成功入侵了一个容器内的web应用，并获得了这个Pod的shell权限，这个时候，如果Pod关联的Service Account拥有创建Pod的权限，攻击者就可以利用污点容忍的方式，将一个恶意Pod调度到Master节点上，通过在恶意Pod中挂载根目录，攻击者就可以获取到Master节点上的 kubeconfig 文件，从而直接接管整个K8s集群。攻击者可能会尝试获取有效的Service account凭证，并利用这些凭据来访问集群中的敏感资源，执行特权操作，甚至在集群中创建、修改或删除资源。
2024-09-03 09:31:05
1018
原创 Wireshark 4.4 重磅发布！具有重大增强功能
用户可以编写 Lua 脚本来解析自定义协议或尚未被 Wireshark 原生支持的协议。
2024-09-02 13:11:38
1459
4
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人