weixin_43263566的博客

导语我在GitHub上看到了这大佬的笔记。考虑到GitHub在某些地区访问速度慢或者无法打开的问题，我决定转载这些笔记，以便更方便地获取。原项目地址GitHub 地址：https://github.com/Bypass007/Emergency-Response-Notes GitBook 地址：https://bypass007.github.io/Emergency-Response-Notes/ 项目介绍面对各种各样的安全事件，我们该怎么处理？这是一

本项目旨在为应急响应提供全方位辅助，以便快速解决问题。结合自身经验和网络资料，形成检查清单，期待大家提供更多技巧，共同完善本项目。愿大家在应急之路一帆风顺。图片皆来源于网络，如有侵权请联系删除。

最近我回到广州参加了一场网络安全工作面试，与面试官深入交流了半个多小时。这次经历让我意识到了自己在渗透测试思路方面的一些不足。我意识到，尽管我在CSDN写了许多博客，却很少详细探讨过渗透测试的思路。因此，我决定填补这个空白，希望能为更多读者提供帮助和启发。我在CSDN已经活跃了6年，对于IT初学者来说，这是国内最好的平台之一。虽然有人对这个平台有所批评，但我个人认为它有其独特的优势。

可以直接通过 order by 来检测是否存在注入点，而不需要用 and/or/xor 条件来判断。例子：比如 CVE-2017-11191，涉及 Office 的 DDE 漏洞。： 利用漏洞获取权限，比如 Webshell、服务器提权等。、90sec、先知社区、安全客、FreeBuf 等。： 检测漏洞如 XSS、SQL 注入、命令执行等。： 清理测试痕迹，并输出渗透测试报告和修复建议。

这个过程，因为域名是私人的所以无法公开

对过去一天或一周内发生的安全事件进行总结，包括攻击尝试、恶意行为等。总结发现的漏洞和弱点，并提供相应的建议和解决方案，以改进系统的安全性。

命令执行漏洞指攻击者可以随意执行系统命令的漏洞。当攻击成功后，攻击者可以继承Web服务程序的权限，执行任意代码、读写文件，甚至控制整个网站或服务器，甚至进一步进行内网渗透。内网攻击莫忽视：在流量分析过程中，不要忽视内网的攻击行为。内网攻击可能是来自恶意软件、僵尸网络或内部威胁等，及时发现和响应内网攻击至关重要。企图告警需排查：当发出告警信号时，需要仔细排查可能的企图行为。不仅要关注被攻击的目标，还要查看攻击者的来源、攻击方法和可能的目的，以便更好地理解攻击行为。

DNS欺骗、ARP攻击及钓鱼网站制作

暴力破解。。

常见漏洞之 Redis

Java反序列化之 Shiro

常见漏洞之 Fastjson

在windows下载安装netcat（nc）命令

常见漏洞之 struts2+ jboss

常见的历史漏洞之 weblogic+ Thinkphp5

漏洞扫描器之AWVS

渗透测试 -- 网站信息收集

渗透测试一|P端口信息收集

信息收集-架构搭建，WAF等

服务端请求伪造-SSRF

XXE概述

XXE-XML外部实体注入攻击漏洞（XML基础、DTD基础）

逻辑漏洞 - 挖掘

逻辑漏洞- 讲解

逻辑漏洞-基础篇

社会工程学

XSS - 进阶篇（蓝莲花的基本使用）

CSRF漏洞简介、类型、攻击方式

命令执行利用

命令执行简介、命令执行函数

文件包含

Unsafe Fileupload（文件上传绕过技巧与upload-labs靶场）

Webshell（网页后门）

SQL注入篇 - 布尔盲注及延时注入

SQL注入之联合查询注入与报错注入

SQL注入简介与原理

MySQL基础

跨站脚本攻击漏洞-基础篇

Cookie/ Session简介

HTTP/HTTPS协议介绍