提示:写完文章后,目录可以自动生成,如何生成可参考右边的帮助文档
文章目录
护网面试基础题
基础漏洞常问
1,sql注入
1,sql注入原理是什么?
用户输入的数据没有经过处理,传入数据库中当成sql语句执行。
2,sql注入种类?
显注,盲注。
3,研判中,如何发现是sql注入攻击/如何判断SQL注入成功?
发现攻击语句,sql注入的函数,200或成功访问数据 判断成功
4,sql注入写入文件条件?
绝对路径,dba权限,gpc
5,sql注入常用函数?
盲注:时间型 sleep 布尔型 length 报错型 updatexml
6,sql注入堆叠注入是什么?
;
7,sql注入没有回显怎么办?
dnslog外带
8,sqlmap --os shell 条件?
就是写入文件,详情看4
9,sql注入防范方法,如何修复?
过滤转移参数化查询
10,sql注入绕过方法?
大小写,双写,编码,内联…
2,xss
1,xss是什么
跨站脚本攻击
2,xss都分为几种
反射,存储,dom
3,xss的危害
偷管理员账号或者cookie;挂马,钓鱼邮件
4,如何防范xss
cookie标记为http only,过滤标签
3,csrf
1,csrf叫什么
跨站请求伪造
2,csrf如何防范
同源,token,双重cookie
4,ssrf
1,ssrf是什么
跨服务器请求伪造:服务端提供了从其他服务器获取数据的功能,但是没有对目标地址进行过滤和限制。比如从指定的URL地址获取网页内容,加载指定地址的图片、数据、下载等等。
2,xss和csrf与ssrf的区别
xss:XSS是服务器对用户输入的数据没有进行足够的过滤,导致客户端浏览器在渲染服务器返回的html页面时,出现了预期值之外的脚本语句被执行。
csrf:CSRF是服务器端没有对用户提交的数据进行随机值校验,且对http请求包内的refer字段校验不严,导致攻击者可以利用用户的Cookie信息伪造用户请求发送至服务器。
ssrf:SSRF是服务器对用户提供的可控URL过于信任,没有对攻击者提供的RUL进行地址限制和足够的检测,导致攻击者可以以此为跳板攻击内网或其他服务器。
3,ssrf如何利用
对外网、服务器所在内网、本地进行端口扫描,攻击运行在内网或本地的应用,或者利用File协议进行读取本地文件 。
4,ssrf常使用的协议
http:探查主机存活状况
file:在有回显的情况下,实现任意文件的读取
dict:通过页面回显内容和时间猜测端口开放情况,探测浏览器版本信息等
5,ssrf 打 6379 的利用
通过header CRLF 注入,通过curl命令和gopher协议远程攻击内网redis,使用dict协议向Redis数据库写shell。
6,ssrf禁止127.0.0.1如何绕过?
进制转换,dns解析,句号和冒号
5,序列化
1,php序列化
魔法函数:serlize unserlize
2,java序列化
readobject writeobject
webshell/后门
1,冰蝎
冰蝎2.0和3.0区别:
1,加密方式不同,一个是RC4加密,一个AES加密。
2,编写语言不同,2.0采用的是c++,3.0采用的是java。
3,冰蝎流量检测,无论是get请求还是post请求,content-type为application/octet-stream。
冰蝎4.0流量分析:
1,十种ua头,可关键字拦截ua头进行匹配拦截。
2,流量特征,Content-type: Application/x-www-form-urlencoded。
3,accept字段:Accept:application/json, text/javascript, /; q=0.01
2,哥斯拉
1,强特征:cookie字段,最后一个Cookie的值出现;(尾值出现分号)
2,paylod特征:jsp会出现xc,pass字符和Java反射,base64加解码等特征,php,asp则为普通的一句话木马。
3,蚁剑
1,payload特征:Php中使用assert,eval执行;asp 使用eval;在jsp使用的是Java类加载(ClassLoader),同时会带有base64编码解码等字符特征。
2,流量特征:每个请求体都在:@ini_set(“diplay_erors”,“0”);@set_time_limit(0)开头。并且后面存在base64等字符
4,菜刀
1,请求包中:ua头为百度,火狐
2,请求体中存在eavl,base64等特征字符
3,请求体中传递的payload为base64编码,并且存在固定的数值
5,msf
1,端口号:msf默认使用4444端口作为反向连接端口
2,数据内容:msf数据包通常包含特定字符串:(“meterpreter”、"revshell"等)
6,cs
1,基础特征:心跳包
2,请求特征:下发的指令,url路径,老版本固定的ua头
3,源码特征:checksum8 (92L 93L)
框架/组件/中间件/端口
1,apache/shiro/log4j
apache:文件解析,目标遍利,rce
文件解析:夏小芸.php.nb.666.yyds 从最右解析,解析到正确的。
shiro:550 和 721
流量特征:remberme=delectme
区别:550不需要remembercookie,721需要
log4j:
原理:jndi下载攻击机上的class文件造成getshell。
流量特征:数据包里面有{jndi:ldap/}字段
2,nginx
文件解析:任意文件名后面添加/xxx.php 将文件作为php解析
目标遍历
crlf注入
3,iis
任意文件上传
文件解析:**.asp;.jpg此类格式的文件名,当成asp解析*,*.asp目录下
也默认为asp解析。
短文件名
4,struts2
1,URL中存在特定的Struts2命名空间(namespace)和操作名(action)
2,HTTP请求中包含特定的Struts2参数名称。
5,Fastjson
原理:Fastjson 是一个 Java 序列化/反序列化框架,可以将 Java 对象转换成 JSON 格式的字符串,并将 JSON 字符串转换为 Java 对象。
利用时候怎么发现是fastjson站点:
1,查看网站源代码搜索关键词。
2,开发者工具,查看请求代码是否存在fastjson"或"com.alibaba.fastjson
6,weblogic
weblogic存在:反序列化漏洞,远程代码执行漏洞,未授权访问,ddos共环节等。
weblogic原理:比如CVE-2021-2109,远程代码执行漏洞,攻击者可以通过构造恶意的HTTP请求,触发WebLogic Server的漏洞,从而实现远程代码执行。
weblogic端口:7001
weblogic反序列化原理:Weblogic控制台的7001端口,默认会开启T3协议服务,T3协议触发的Weblogic Server WLS Core Components中存在反序列化漏洞,攻击者可以发送构造的恶意T3协议数据,获取目标服务器权限。
xml反序列化流量特征:wls-wsat
弱口令:上传war包造成getshell
7,tomact
弱口令-上传war包
文件上传-put-直接写后门
文件包含
8,redis
1,redis默认端口为6379
2,redis存在哪些漏洞:远程代码执行,未授权访问,ddos,缓冲区溢出漏洞等
应急响应
1,内存马
重启,工具:河马查杀,阿尔萨斯。
不用工具如何排杀:查看日志是否执行相关命令,注入流量特征我那个,可疑jsp请求,是否落地等。
2,后门
1,首先及时隔离机器,断网,防止攻击者利用该台机器继续攻击。
2,其次,确定被攻击范围,是否通过内网渗透了更多机器。
3,保留样本,分析攻击者是怎么攻击进来的,通过哪里攻击进来的,看看流量包,及时对攻击者ip进行封锁和反制,成功反制后得分。
4,恢复机器,清理干净后门,重新安装系统及其应用,保证一切正常运转。
5,及时更改密码,防止攻击者已获得多种密码,进行下一步攻击。
6,加强安全教育~未知链接不要点,陌生邮件不要信等。
3,挖矿病毒
1,首先询问状况,什么时候发现的
2,寻找攻击遗迹,看看cpu占用,进程,计划任务,可疑用户等,
3,备份样本分析,上传沙箱获取行为并尝试朔源加分。
4,及时清理根除后门,删除可疑计划任务,进程,启动项,文件等。5,提出修改建议。
4,勒索病毒
1,首先分析家族,根据加密格式后缀分析,桌面样式分析,勒索信内容分析,各大平台分析。
2,根据特征寻找相应工具,(这个一般找不到工具就只能gg了)
3,咸鱼求助,GitHub找开源工具等等。
5,钓鱼邮件
1、看指纹信息(什么发送工具平台)
2、看发送IP地址(服务器IP或攻击IP)
3、根据域名寻找邮件服务器地址(利用红队手段渗透获取信息)
4、可能存在个人的ID昵称用户名(利用社工的技术手段进行画像)
溯源反制
1,溯源流程
1,通过设备,查询到IP,进行反查,微步查网站框架,域名信息查注册人,天眼查,站长之家,ip地址定位,🐍工库等手段。
2,反制篇章
1,攻击者画像(溯源加分)
虚拟身份:ID、昵称、网名
真实身份:姓名、物理位置
联系方式:手机号、qq/微信、邮箱
组织情况:单位名称、职位信息
2,cs反制
伪造流量上线,小于4.7 xss反弹
3,goby反制
扫描分析反制,构造好存在漏洞网页,让对方点击以反制
4,蚁剑反制
修改后门代码进行反制,xss
5,sqlmap反制
命令管道符
6,蜜罐反制
获取攻击者的P(真实IP,代理IP等)、ID、操作系统、设备信息等,也可通过诱饵进行钓鱼反制。
模拟真景
1,如果出现大量的id4625日志怎么办
4624:成功登录,不是自己登录,可能遭受密码泄露
4625:登陆失败,可能遭受暴力破解,口令爆破事件
2,攻击IP和目的IP反了是什么情况?
攻击流量的源IP地址(攻击者)伪装成目标IP地址(受害者),或者攻击流量的目标IP地址(受害者)被伪装成源IP地址(攻击者)。这种情况也称为IP欺骗或IP伪造。
3,客户找到你:安全设备联到网络里了,影响到客户业务的网络环境了,你有什么分析思路呢
4,如果有1w条告警怎么办:
看200,找寻找外联,打看命令执行,看ip,看流量信息。
5,被攻击后设备没报警怎么办?
1,及时更新设备
2,手动检查,检查设备并查看是否存在异常行为或文件。观察网络流量、查看系统日志、执行漏洞扫描和安全审计
6,加固怎么加固?
配置防火墙和安全策略,加强密码策略,禁用不必要的服务和端口,配置安全审计和日志监控。
设备
IDS
入侵检测系统,只检测警告
IPS
入侵防御系统,实时检查和阻止入侵
WAF
Web应用防护系统,WEB攻击防护和防止WEB信息泄露
EDR
终端安全管理系统:检测和响应来自终端设备的安全事件和威胁,包括恶意软件、未经授权的访问、数据泄露等
蜜罐
1,你用过蜜罐吗?蜜罐是什么干什么用的
通过模拟一个或多个易受攻击的主机或服务来吸引攻击者,捕获攻击流量与样本,发现网络威胁、提取威胁特征
2,低,中,高交互蜜罐的区别?
低交互蜜罐最大的特点就是模拟,它的服务都是模拟的行为,数据不够真实。
中交互蜜罐是对真正的操作系统的各种行为的模拟,它提供了更多的交互信息,同时也可以从攻击者的行为中获取更多的信息
高交互蜜罐具有一个真实的操作系统,更加仿真。
模拟的场景越来越真实,数据越来越真实。
天眼
天眼主要是进行流量分析和流量监控,并且可以用他的日志检索模块进行溯源。
天眼日志检索常用的语法:
dip–受害者的ip(被攻击的ip)
dport–受害者的端口 (被攻击的端口)
sip–源ip
sport–源端口
url–请求的url地址
data–请求包的正文内容
status–响应包的状态码
host–域名
杂七杂八
1,awvs和xray有什么区别?
awvs主动扫描
xray被动扫描
2,Linux护网过程中常用命令:
进程资源占用:top
如何查看进程:ps -aux
查看网络连接:netstat -antpl
查看开放端口:lsof
3,状态码:
200成功
302移动
400语法错误
401身份验证
402保留
403懂请求,禁止访问
404找不到资源
4,渗透思路:
先进行信息收集,收集渗透目标的资产,比如天眼查查该家公司的备案域名,利用灯塔等工具,确保详细资产
扫完资产,扫目录,扫完目录扫端口
扫描器扫漏洞,查看渗透目标什么框架,什么架构,有什么功能点,可能存在哪些漏洞
验证阶段:验证漏洞是否存在,存在漏洞的话
信息收集—漏洞扫描–漏洞验证–提权—权限维持–内网
5,权限提升:
windos:cs,msf提权,版本号,数据库mysql:udf,mof;sqlserver_xpcmd,第三方,teamviver,todsk,向日葵
Linux:suid,sudo,扫面器内核,定时任务等
6,常见端口:
3306 端口:MySQL 数据库服务的默认端口。
6379:redis
7001:weblogic
3389:远程桌面服务端口,可以通过这个端口远程连接服务器。
22 端口:SSH(Secure Shell)服务的默认端口,用于远程登录和管理 Linux 系统。
7,win计划任务在哪里看:
任务计划程序