安全项目【笔记】

安全项目

基线检查

密码复杂度，有效期，administrator有没有禁用

等保测评

是否举办了安全意识培训，是否有应急响应预案，有没有第一负责人

红蓝对抗

攻击

公安组织人员进行网络攻击演习

防守

各单位自己组织人员进行值守，防火墙，waf，态势感知

红蓝对抗不限制资产

渗透测试限制资产

如 www.1000phone.com 中

渗透测试只可以渗透以下其中的 oa.www.1000phone.com，而红蓝对抗不限

渗透测试

远程：客户提供公网的资产，域名，ip，渗透测试人员在远程进行工作

现场：客户的资产外网不可见，9

攻击网站，尝试自己会的所有漏洞

安全服务

看设备，上架设备

应急响应

服务器失陷，处理病毒，阻断传播，写报告

风险评估

机房有没有灭火器，有没有凭证

主机扫描，web渗透，基线检查

技能树

windows

工具，环境

linux

拿下了一台linux服务器，如何进一步内网渗透

php

一句话木马，代码审计

前端

敏感信息泄露，xss漏洞，小程序渗透

web漏洞

针对web服务的攻击

python

写脚本，tamper

网络

上架设备，

名词

POC

验证漏洞是否存在

POC：全称 ’ Proof of Concept '，中文 ’ 概念验证 ’ ，常指一段漏洞证明的代码。

exp

漏洞利用

EXP：全称 ’ Exploit '，中文 ’ 利用 '，指利用系统漏洞进行攻击的动作。

payload

具有危害的代码

Payload：中文 ’ 有效载荷 '，指成功exploit之后，真正在目标系统执行的代码或指令。

fuzz

模糊测试

在计算机领域, Fuzz Testing (模糊测试)是一种测试方法,即构造一系列无规则的“坏”数据（“坏”数据：非正常数据）插入应用程序,判断程序是否出现异常,以发现潜在的bug。在信息安全领域,也有人尝试引入fuzz testing思想进行安全漏洞挖掘,而且效果不错。

一般涉及生成数据列表,并让程序按数据列表内容请求测试的都可以称为fuzz

SQL 注入流量特征

误报

XSS

验证

输入各种字符查看是否原样回显

文件上传

头像、接收文件的弹框（意见箱等）、上传发票、

文件上传路径：

• 右键打开图片路径
• 查看返回包中的内容
• 审计前端代码

文件包含

识别语言并解析执行，无关后缀

远程文件执行：文件包含函数在哪个主机上，代码在哪执行

CSRF 和 SSRF 区别

• CSRF 跨站请求伪造

• SSRF 服务器段的请求伪造（更严重）

  • 挖掘：参数值类似 url

文件包含

识别语言并解析执行，无关后缀

远程文件执行：文件包含函数在哪个主机上，代码在哪执行

CSRF 和 SSRF 区别

• CSRF 跨站请求伪造

• SSRF 服务器段的请求伪造（更严重）

  • 挖掘：参数值类似 url