- 博客(671)
- 收藏
- 关注
RSS订阅原创 10、等保测评 -定级详解
适用范围：地市级以上的国家机关、企业、事业单位内部的重要信息系统。跨省或全国联网的重要信息系统，如生产、调度、管理、指挥、控制等。此外，中央各部委、省（区、市）门户网站及重要网站，跨省连接的网络系统也属于此级别。适用范围：国家重要领域、部门中涉及国计民生、国家利益与安全，且影响社会稳定的核心系统。例如，电力生产控制系统、银行核心业务系统、电信核心网络、铁路客票系统及列车指挥调度系统等。例如，非涉密的办公系统和管理系统。适用范围：小型私营企业、个体工商户、中小学、乡镇信息系统、县级单位的一般信息系统。
2024-09-21 23:27:43
322
原创 9、等保测评介绍
评判的过程，即依据信息安全等级保护的国家标准或行业标准，通过特定方法对信息系统的安全保护能力进行科学、公正的综合评判。：根据等级保护建设要求，对信息及信息系统进行网络安全升级，包括技术和管理层面的整改。：评估系统是否符合要求。如果通过测评，则完成；如果未通过，则需返回进行进一步整改。，对未涉及国家秘密的信息系统的安全等级保护状况进行检测评估的活动。：对目标进行安全等级评定。如果评定为自主保护级，则后续步骤可忽略。依据国家信息安全等级保护制度的规定，按照。：将定级信息提交至公安局进行备案。
2024-09-21 22:49:29
195
原创 8、《网络安全法》执法典型案例
该校网站因未落实网络安全等级保护制度，遭到黑客攻击入侵。调查发现，自网站上线以来，未进行网络安全等级保护的定级备案和等级测评，未履行应有的网络安全保护义务。
2024-09-21 22:32:46
373
原创 7、论等保的必要性
目前，金融、电力、广电、医疗、教育等行业已经下发了相关文件。2007年6月发布的《信息安全等级保护管理办法》（公通字[2007]143号）规定了实施该制度的原则、内容、职责分工、基本要求和实施计划，明确了操作办法。梳理不同等级的系统后，应对其进行相应等级的安全防护建设，确保重要信息系统在遭受攻击时能够有效抵御，或在被攻击后快速恢复应用，以避免重大损失或影响。开展等级保护的最重要原因是通过测评工作，发现单位系统内外部的安全风险和脆弱性，整改后提升信息安全防护能力，降低被各种攻击的风险。
2024-09-21 22:16:03
685
原创 6、等级保护政策内容
主机安全、应用安全和数据安全由专业安全厂商根据整改意见提供相关安全产品与部署方案，集成商负责安全产品的部署和现有操作系统、数据库等系统的安全设置。院方应根据预测评整改意见完善管理方面的建设，必要的技术手段由安全厂商提供。，根据技术要求和测评要求提出整改意见和方案。院方根据预测评整改意见进行机房建设与整改。对信息系统中使用的信息安全产品实行。由测评公司和咨询公司提供预测评服务。
2024-09-21 21:11:53
180
原创 1、等保测评介绍
对国家秘密信息、法人或其他组织及公民专有信息以及公开信息，按照其重要程度对信息系统实施分等级安全保护。这包括对使用的安全产品进行等级管理，并对信息安全事件进行分等级响应与处理。等级保护强调，系统的重要性决定其安全保护的力度，既不能保护不足，也不能过度保护。
2024-09-21 14:15:56
147
原创 0x08 MotionEye 视频监控组件 list 信息泄漏洞 CVE-2022-25568
是用Python写的motion的Web前端，它可以监视视频信号并检测运动。它可以与多种类型的摄像机配合使用,也可以与电影文件一起使用,从而使您可以分析录制的视频，其中存在一个信息泄漏漏洞，通过构造特定的URL即可获取服务器敏感信息。使用本博客即表示您同意以上条款。如果有疑问，请联系我。编写脚本进行批量验证复现。这里我就根据原文提供的。
2024-09-20 20:43:25
317
原创 0x07 Nginx越界读取缓存漏洞 CVE-2017-7529 复现
表示“部分内容”（Partial Content），通常是在服务器处理了部分范围请求时返回的。我用这个poc遇到目标进行302重定向没有获取到目标信息，然后我又改了一下。
2024-09-12 01:40:35
559
原创 0x06 记录一次挖src的经历（xss漏洞）
我这里先用灯塔收集一下目标资产我这里改造一下，然后拿到目标的控制台中执行alert('远程连接成功，数据：' + data);})});网速测试,测网速,网站速度测试,卡卡测速网—卡卡网 www.webkaka.com获取真实ip有真实ip后就可以获取ip地址iP地址查询--手机号码查询归属地 | 邮政编码查询 | iP地址归属地查询 | 身份证号码验证在线查询网 (ip138.com)IP/服务器120.77.143.220的信息 - 站长工具 (chinaz.com)
2024-09-07 23:59:58
541
原创 0x05 tomcat AJP文件包含漏洞（CVE-2020-1938）复现（脚本最终没有验证成功）
首先你可以编写个搜索fofa的脚本，用来收集目标ip。这个脚本就在上面的poc脚本的基础上进行编写。到github上面下载poc脚本进行验证。尝试读取 webapp 目录下的文件。
2024-09-07 22:56:04
478
原创 0x04 用友 U8 OA SQL注入漏洞（CNVD-2024-33023）
产品：U8 Cloud（用友推出的新一代云ERP）公开日期漏洞编号危害等级：高危漏洞描述：U8 Cloud 存在 SQL 注入漏洞，攻击者可利用此漏洞获取数据库中的敏感信息。受影响产品：U8 Cloud漏洞处置建议修复程序。
2024-09-01 19:17:20
383
原创 0x03 ShowDoc 文件上传漏洞（CNVD-2020-26585）复现
如果能成功访问就说明有可能存在漏洞，是否存在漏洞还需要后续进行上传测试。首先你可以编写个搜索fofa的脚本，用来收集目标ip。然后就可以编写ip验证脚本。
2024-08-22 22:20:50
1004
原创 0x02 CVE-2021-3019：Lanproxy 任意文件读取漏洞复现
这里我们就分享如何在fofa上搜索存在该漏洞的网站，并编写脚本验证漏洞是否存在。
2024-08-19 18:24:46
887
原创 0x7 安全设备布防
安全设备设备特点部署特点入侵监测系统 (IDS)审计类产品、不具备拦截威胁的能力旁路部署方式、通过交换机的监听口进行网络报文采样、在需要监听的网络线路上放置侦听探针。
2024-08-17 14:48:15
1020
原创 0x6 风险评估
加强信息安全保障：信息安全风险评估是信息安全体系建设和管理的关键环节。通过评估，能够发现系统的主要问题和矛盾，并找到解决关键问题的办法。认清安全环境与状况：评估旨在了解信息安全环境和现状，有助于达成共识，明确责任，采取和完善经济有效的安全保障措施，确保信息安全策略的一致性和持续性。同时，为系统建设和改造提供科学依据，帮助判断风险与漏洞并采取补救措施。科学分析系统安全性：风险评估可以科学分析信息系统在保密性、完整性和可用性方面的表现。
2024-08-13 21:40:22
600
原创 0x5 等级保护
信息系统受到破坏后对公民、法人及其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。: 信息系统的安全保护等级应根据其在国家安全、经济建设、社会生活中的重要程度以及系统遭到破坏后对国家安全、社会秩序、公共利益和合法权益的危害程度确定。: 信息系统受到破坏后对公民、法人及其他组织的合法权益产生严重损害，或对社会秩序和公共利益造成损害，但不损害国家安全。: 信息系统受到破坏后对社会秩序和公共利益造成特别严重损害，或对国家安全造成严重损害。: 信息系统受到破坏后对国家安全造成特别严重损害。
2024-08-12 20:45:51
362
转载 应急响应实战笔记
导语我在GitHub上看到了这大佬的笔记。考虑到GitHub在某些地区访问速度慢或者无法打开的问题，我决定转载这些笔记，以便更方便地获取。原项目地址GitHub 地址：https://github.com/Bypass007/Emergency-Response-Notes GitBook 地址：https://bypass007.github.io/Emergency-Response-Notes/ 项目介绍面对各种各样的安全事件，我们该怎么处理？这是一
2024-08-08 17:15:40
117
原创 网络安全 - 应急响应检查表
本项目旨在为应急响应提供全方位辅助，以便快速解决问题。结合自身经验和网络资料，形成检查清单，期待大家提供更多技巧，共同完善本项目。愿大家在应急之路一帆风顺。图片皆来源于网络，如有侵权请联系删除。
2024-08-06 19:24:54
992
原创 “八股文”在实际工作中是助力、阻力还是空谈？
首先，我们需要明确“八股文”的含义。因此，“八股文”在筛选候选人时，可以作为一个有用的工具，帮助面试官快速评估候选人的基础技能，从而提高面试效率和通过率。为了改进“八股文”的学习和评估方法，可以探讨如何在面试中更注重候选人的解决问题能力和实际项目经验，而不仅仅是理论知识的掌握。尤其是在复杂系统的维护和优化过程中，“八股文”提供了一种共享的语言和理解框架，有助于提高团队的协作效率和工作质量。因此，如何平衡“八股文”与实际编程能力、创新思维之间的关系，是当前面试和培养技术人才过程中需要深入思考和改进的问题。
2024-08-01 18:05:24
318
原创 0x4 渗透测试 - 攻击思路与手段、工具分享
最近我回到广州参加了一场网络安全工作面试，与面试官深入交流了半个多小时。这次经历让我意识到了自己在渗透测试思路方面的一些不足。我意识到，尽管我在CSDN写了许多博客，却很少详细探讨过渗透测试的思路。因此，我决定填补这个空白，希望能为更多读者提供帮助和启发。我在CSDN已经活跃了6年，对于IT初学者来说，这是国内最好的平台之一。虽然有人对这个平台有所批评，但我个人认为它有其独特的优势。
2024-07-26 22:04:26
882
原创 订阅前必读：网络安全专栏的重要提示，转行者必看
然而，通过这种方式找到的工作可能不太稳定，有可能在一个月甚至一个星期内被解雇。但不要气馁，这段经历也算是积累工作经验。下次找工作会更容易，直到你积累足够实战经验，工作才会变得更加稳定。对于转行网络安全，我认为至少需要专科学历（很多岗位要求本科学历），并具备挖掘原创漏洞的能力（有工作经验者则要求不那么严格）。若你已开始转行网络安全并投入学费，且不想放弃，那么寻找网络安全工作时，你需要精心包装和美化简历，准备面试题。本专栏的文章内容主要面向在校生或应届生，适合有学习需求的读者。如果你是其他行业想转向网络安全，
2024-07-19 16:16:57
98
原创 渗透测试/安全服务初级面试题
可以直接通过 order by 来检测是否存在注入点，而不需要用 and/or/xor 条件来判断。例子：比如 CVE-2017-11191，涉及 Office 的 DDE 漏洞。： 利用漏洞获取权限，比如 Webshell、服务器提权等。、90sec、先知社区、安全客、FreeBuf 等。： 检测漏洞如 XSS、SQL 注入、命令执行等。： 清理测试痕迹，并输出渗透测试报告和修复建议。
2024-07-16 12:38:46
815
原创 53-5 内网代理7 - CS上线不出网主机
这里就用之前内网代理的靶场，把web服务器这台虚拟机关闭掉，用剩下的3台加kali。内网代理7、CS上线不出网主机。
2024-07-10 15:02:48
177
原创 53-3 内网代理5 - frp搭建二级代理
在Windows Server 2012上执行以下命令，启动FRP客户端并连接到VPS服务器，同时将本地的10808端口转发到VPS的1080端口。同时，提供了启动FRP服务端的命令示例。在获得DMZ区域的FTP服务器控制权后，进行了信息收集，使用FRP在DMZ区和办公区之间建立了一个二级网络的SOCKS5代理。xshell7 中连接腾讯云，运行下面的命令。为了继续深入渗透并登录办公电脑的远程桌面，这样可以通过代理访问办公区内部的办公电脑。这意味着FRP服务端将监听并处理发送到。
2024-07-09 17:59:44
204
原创 53-2 内网代理4 - frp搭建socks一级代理
FRP是一款专注于内网穿透的高性能反向代理应用，支持多种协议如TCP、UDP、HTTP、HTTPS等，能够安全、便捷地将内网服务通过具有公网IP的中转节点暴露到公网。在网络渗透和远程访问管理中，FRP是一个常用的代理工具之一。此外，FRP还支持搭建SOCKS5代理应用。功能特点多协议支持：支持TCP、UDP、HTTP、HTTPS等多种网络协议。安全性：提供安全的数据传输和访问控制。跨平台：提供了适用于Windows和Linux系统的两个版本。简易部署：通过简单的配置即可实现内网服务的公网访问。
2024-07-09 00:44:43
192
原创 53-1 内网代理3 - Netsh端口转发（推荐）
这样，只需访问Windows Server 2012的 8080 端口，就可以间接访问Windows Server 2008的3389端口。在一个典型的场景中，如果我们位于公网无法直接访问内网的Web服务器，可以利用中间的跳板机通过Netsh建立端口映射，使得通过访问跳板机公网地址的指定端口，等同于访问内网Web服务器的80端口。我这里就改成访问内网的3389端口，这里跳板机ip就是windows2012的ip，内网ip就是windows2008。，实现了内外网的端口转发功能。
2024-07-07 22:34:30
168
Acunetix是一款专业的Web安全测试工具，可帮助企业识别和解决Web应用程序中的各种漏洞和安全问题 它采用自动化测试技术
2023-05-23
UShenDu-UEFI-gw：全面保护您的计算机，您不可或缺的硬件安全工具
2023-05-23
LogParser：预测和预防黑客攻击的有力武器
2023-05-23
AutorunsChs：高效日志查看工具助力您的网络安全
2023-05-23
中国蚁剑：安全评估常用工具，加强您的信息安全
2023-05-23
超级弱口令检查工具：保障您的网络安全
2023-05-23
Fortify源码审计、Seay源代码审计系统
2023-05-23
Xshell 7 + Xftp 7 跨平台最佳选择
2023-05-23
Struts2漏洞扫描器：智能检测和防护漏洞
2023-05-23
系统哈希值解密工具：帮助您解密系统哈希值
2023-05-23
网络调试工具（netAssist）：快速定位网络故障
2023-05-23
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人