安全项目
基线检查
密码复杂度,有效期,administrator有没有禁用
等保测评
是否举办了安全意识培训,是否有应急响应预案,有没有第一负责人
红蓝对抗
攻击
公安组织人员进行网络攻击演习
防守
各单位自己组织人员进行值守,防火墙,waf,态势感知
红蓝对抗不限制资产
渗透测试限制资产
如 www.1000phone.com 中
渗透测试只可以渗透以下其中的 oa.www.1000phone.com,而红蓝对抗不限
渗透测试
远程:客户提供公网的资产,域名,ip,渗透测试人员在远程进行工作
现场:客户的资产外网不可见,9
攻击网站,尝试自己会的所有漏洞
安全服务
看设备,上架设备
应急响应
服务器失陷,处理病毒,阻断传播,写报告
风险评估
机房有没有灭火器,有没有凭证
主机扫描,web渗透,基线检查
技能树
windows
工具,环境
linux
拿下了一台linux服务器,如何进一步内网渗透
php
一句话木马,代码审计
前端
敏感信息泄露,xss漏洞,小程序渗透
web漏洞
针对web服务的攻击
python
写脚本,tamper
网络
上架设备,
名词
POC
验证漏洞是否存在
POC:全称 ’ Proof of Concept ',中文 ’ 概念验证 ’ ,常指一段漏洞证明的代码。
exp
漏洞利用
EXP:全称 ’ Exploit ',中文 ’ 利用 ',指利用系统漏洞进行攻击的动作。
payload
具有危害的代码
Payload:中文 ’ 有效载荷 ',指成功exploit之后,真正在目标系统执行的代码或指令。
fuzz
模糊测试
在计算机领域, Fuzz Testing (模糊测试)是一种测试方法,即构造一系列无规则的“坏”数据(“坏”数据:非正常数据)插入应用程序,判断程序是否出现异常,以发现潜在的bug。在信息安全领域,也有人尝试引入fuzz testing思想进行安全漏洞挖掘,而且效果不错。
一般涉及生成数据列表,并让程序按数据列表内容请求测试的都可以称为fuzz
SQL 注入流量特征
误报
XSS
验证
输入各种字符查看是否原样回显
文件上传
头像、接收文件的弹框(意见箱等)、上传发票、
文件上传路径:
- 右键打开图片路径
- 查看返回包中的内容
- 审计前端代码
文件包含
识别语言并解析执行,无关后缀
远程文件执行:文件包含函数在哪个主机上,代码在哪执行
CSRF 和 SSRF 区别
-
CSRF 跨站请求伪造
-
SSRF 服务器段的请求伪造(更严重)
- 挖掘:参数值类似 url
文件包含
识别语言并解析执行,无关后缀
远程文件执行:文件包含函数在哪个主机上,代码在哪执行
CSRF 和 SSRF 区别
-
CSRF 跨站请求伪造
-
SSRF 服务器段的请求伪造(更严重)
- 挖掘:参数值类似 url