第4-5天：30余种加密编码和资产架构&端口&应用&CDN&WAF&站库分离&负载均衡

---

前言

• 在安全测试中常见的敏感信息密码等会采用加密方式，因此作为一名安全人员要了解常见加密。

知识点

• 主要有存储加密（Web&数据库&系统），传输数据编码（各类组合传输参数值），代码特性（JS&PHP&NET&JAVA），数据显示编码（字符串数据显示编码）

常见加密编码等算法解析

MD5，SHA，ASC，进制，时间戳，URL，BASE64，Unescape，AES，DES等

• MD5（不可逆）16位和32位，加密密文字符串由A-Z,0-9随机分配，80%网站管理员或用户密码加采取MD5加密。(不可逆)
• 时间戳
  网站或者服务器脚本语言里经常会使用，会在数据库里用户登录和注销，注册里会使用
• unescape
  %u+4位数字，对应两位字符，主要应用WEB应用上
• AES（重点）ctf中常考
  高级加密标准(AES,Advanced Encryption Standard)为最常见的对称加密算法(微信小程序加密传输就是用这个加密算法的)。对称加密算法也就是加密和解密用相同的密钥，具体的加密流程如下图

• 下面简单介绍下各个部分的作用与意义：

• 明文P
  没有经过加密的数据。

• 密钥K

  用来加密明文的密码，在对称加密算法中，加密与解密的密钥是相同的。密钥为接收方与发送方协商产生，但不可以直接在网络上传输，否则会导致密钥泄漏，通常是通过非对称加密算法加密密钥，然后再通过网络传输给对方，或者直接面对面商量密钥。密钥是绝对不可以泄漏的，否则会被攻击者还原密文，窃取机密数据。

• 墨者学院CTF（SQL注入漏洞测试(参数加密)）

资产架构&端口&应用&CDN&WAF&站库分离&负载均衡

资产架构

• EB单个源码指向安全
  通常指代一个主机一个web网站 例如 220.16.31.25 里面就一个joomla站点 这就交web单个源码。
• WEB多个目录源码安全
  多目录源码安全指的是 一个主机下面有多个网站站点 可能是220.16.31.25/joomla ，然后再这个joomla下面还存在一个博客网站 或者 再joomla同目录下有另一套的CMS 。
• WEB多个端口源码安全
  指的是将不同网站分别架设再一个IP上的不同端口。
  服务器架设多个站点安全
• 架设第三方插件接口安全
  第三方插件接口指的是CMS下面的一些插件，能提高网站的性能，这些插件就可能存在安全隐患
  服务器架设多个应用安全
  指的是例如phpmyadmin这一类的便于管理员管理网站的web应用，这些应用就可能存在漏洞

番外安全

基于域名解析安全

基于服务器本身安全

基于服务商信息安全

基于管理个人的安全

考虑阻碍

阻碍-站库分离

阻碍-CDN加速服务

阻碍-负载均衡服务

阻碍-WAF应用防火墙

阻碍-主机防护防火墙