大数据安全和网络安全基础知识

不要把自己的努力看的太重，毕竟大家都在努力

商业扫描器

appscan
IBM security

命令执行

一句话木马

#@eval不要报错，会把里面字符串当做木马执行
<?php @eval($_POST['pw'];?)>

超全局变量

$_POST
$_POST[‘pw’]

用post方法去接收pw变量

get ，post
www.xxx.com/text.php?id=1

SQL注入

分为显注和盲注

UserID项输入1则返回正常，如果加一个’，则报错,盲注中不会返回数值

git安装

sudo apt -get install git
git config --global user.name "Your name"
git config --global user.email
cd /
sudo mkidir test_git
sudo git init
ls -a
sudo vim lnnan.txt
cat lnnan.txt
git status
sudo git add xiaoye.txt
sudo git commit -m "xiaoye"

git与github

github是git仓库托管的神奇网站,github和git就可以通过ssh 通信,github开源优秀渗透工具
查看公钥文件内容，复制到github上
pentestdb
下载到本地
sudo git clone 地址
因为项目pentestd依赖lxm文件

查看隐藏的目录和文件夹

ls -a
进入到目录中
cd .目录名字
查看目录下的文件
ll

三款系统扫描器

openavs

创建用户
openvasmd --create-user=farmsec
修改密码
openvasmd --user=farmsec --new-password=123456

nessus

32IP 限制，可以在本机或服务器扫描了漏洞

nexpose

32IP 限制

登录界面

DVWA，一个渗透测试靶机，需要搭建LAMP环境，然后部署DVWA

用BUrp抓登录页面包

1、没有验证码的时候可以暴力破解
2、SQL注入
3、完成密码（约等于SQL注入）
4、逻辑漏洞，任意密码重置，任意用户注册
5、四位数的短信验证码，30s内可以抓取3000个包
6、反馈过于详细

登录界面防御

1、使用https,加密post包的密码
2、使用验证码
3、错误尝试5次后，锁定账户30分钟
4、高强度密码

引申;报错信息不要过于详细

csrf及其总结

吃了我的饭就是我的人
点击链接就会修改密码。
http：//192.168.0.104/dvwa/vulnerabilities/csrf/?password_new=123456&password_conf=123456&change=change
服务器为什么不处理？
cookie,链接都是对的，服务器处理请求，认为是一个合理的操作

安全工具篇

arp欺骗：address resolution protocol

是根据IP地址获取物理地址（MAC）的一个TCP/IP 协议。
IARP：MAC–》IP

ARP协议的原理过程

主机A的Ip地址为192.168.1.1，MAC地址为OA-11-22-33-44-01
主机B的Ip地址为192.168.1.2.MAC地址是OA-11-22-33-44-02
当主机A和主机B进行通信时，地址解析协议可以将主机B的IP地址解析成主机B的MAC地址
第一步：根据主机A上的路由表内容，IP确定用于访问主机B 的转发IP地址是192.168.1.2,然后A主机在自己的本地ARP缓存中检查主机B的匹配MAC地址
第二步：如果主机A在ARP缓存中没有找到映射，它将询问192.168.1.2的硬件地址，从而将ARP请求帧广播到本地网络上的所有主机，源主机A的IP地址和MAC地址都包括在ARP请求中，本地网络上的每台主机都接受到ARP请求并且检查是否与自己的IP 地址匹配，如果主机发现请求的IP地址与自己的IP地址不匹配，它将丢弃ARP请求。
第三步：主机B确定ARP请求中IP地址与自己的IP地址匹配，则将主机A的IP地址和MAC地址映射添加在本地ARP缓存中。
第四步：主机B的将包含其MAC地址的ARP回复消息直接发送回主机A
第五步：当主机A收到从主机B发来的ARP回复消息的时候，会用主机B的IP地址和MAC地址映射更新ARP缓存，本地缓存是有生存期的，生存期结束之后，将重复上面的过程，主机B的MAC地址一旦确定，主机A就能向主机B发送IP通信了。

ARP缓存表

是用来存储IP地址和MAC地址的缓冲区，其本质就是一个IP地址–》MAC地址的对应表，表中每一个条目分别记录了网络上其他主机的IP地址和对应的MAC地址，每一个以太网或令牌环网络适配器都有自己单独的表，当地址解析协议被询问一个已知地址节点的MAC地址时，先在ARP缓存中查看，若存在，就直接返回与之对应的MAC地址，若不存在，才发送ARP请求向局域网查询。

ARP欺骗

在网络中发送虚假的ARP respones就是ARP欺骗，由于ARP协议是一种无状态协议，当收到一条ARP应答报文的时候，它就会更新ARP应答缓存表，不管它之前是否发送了ARP请求报文，ARP欺骗就是利用ARP协议的无状态性，通过捏造不存在的MAC地址更新操作系统ARP路由缓存表

kali中有关ARP欺骗的工具

ettercap

arpspoof

乌云案例：去wooyun官网可以找到很多漏洞案例

注入点
http：//vip.jiayuan.com/broker/tag=1
xss盲打
nmap和masscan
nmap
网络发现和安全审计的网络安全工具
主机发现
端口发现或枚举
服务发现
检测操作系统、硬件地址以及软件版本
nmap -p 22 192.168.0.1/24
TCP 扫描
nmap -sT 192.168.0.1
nmap -sU 192.168.0.1
主机扫描
nmap -sL 192.168.0.1/24
操作系统检测
nmap -O 192.168.0.1/24
扫描所有的
nmap -A -Pn 192.168.0.1/24
nmap --help
masscan
开源无状态扫描项目，支持应用层采用了异步传输的方式，不仅仅只是测试端口是否开放，它还能在完成TCP连接的同时获取目标应用程序到的banner信息
masscan -p 80 60.195.252.0/24 >>text.txt
cat test.tx
masscan -p 80 10.0.0.0/8 --banners
对于扫描较多的的地址用masscan速度很快

安全防御篇

开源入侵检测snort

snort安装

1设置网卡
本机设置两个网卡，虚拟机四个网口
2，导入发行版securityonion
3.下一步

snort配置

根据入侵检测系统
1、基于主机
在主机上装一个插件
2、基于网络
检测网络流量

snort入侵检测在技术上分为两个类型

1.基于标志
有明显特征值
2、基于异常情况

splunk --大数据

centusos
安装

modsecurity—waf的事实上的标准并且开源

waf误报和漏报
modsecurity是一个入侵侦测和防护引擎，它主要是用于web应用程序，所以被称为 应用程序防火墙，可以作为apache web 服务器的模块或是单独的应用程序来运作
配置环境
安装包
启动apache
如果访问不了就说明起作用
1、处理误报，看日志
2、配置阀值的模式

查看是否有误报

等级保护-客观要求和发展规律

介绍和物理管理
分级，分类分阶段
分为5级
1.自主保护
2、指导
3.监督检查
4强制监督检查
5专门监督检查
定级，对国家，社会和人民的威胁程度

物理管理

是否是人为因素
对机房有二次防御，和其他报警器，防水，防火，防潮，防静电，有备用电，电磁防护，

下载

介质管理
硬盘销毁
主机和数据库测评
windows
身份鉴别，口令复杂度，定期更换，登录失败多次账户锁定，访问控制，看是否有默认共享，最小授权，
安全审计

网络和应用

网络分为网络整体和网络设备
保证网络带宽满足需要
路由控制
检查网络拓扑
访问完整
入侵检测
安全审计

三级检查

key值表明身份

Linux系统安全加固

1、ssh默认端口22
用nmap查看开启了哪些端口
vi /etc/ssh/sshd_config
看是否允许root登录
2、禁止ping
开启防火墙
查看iptables
3、使用sudo来限制用户权限
4、使用系统自带