5 煜铭2011

尚未进行身份认证

我要认证

Some day when I think back my pass years, there are something to call back my memory in my favorite. there are something about my work, my life and other things. Additionally,my Github address is https://github.com/ym2011

等级
TA的排名 1k+

26种未授权访问漏洞总结

0x00背景0x01 常见应用的未授权访问1.Redis 未授权访问漏洞漏洞描述redis端口对外开放并且没有配置认证选项,未授权用户可直接获取数据库中所有信息,造成严重的信息泄露。解决方法方法一: 可以修改绑定的IP、端口和指定访问者IP。默认情况下,Redis 监听 127.0.0.1。如果仅仅是本地通信,请确保监听在本地,这种方式可以在一定程度上缓解 Redis 未授权访问的风险(例外情况下,如果 Redis 以 root 用户运行,攻击者借助已有的 webshel..

2020-09-04 18:02:18

Python 执行文件编译为Windows的exe或者Linux的sh文件

0x00前言Python 执行文件编译为Windows的exe或者Linux的sh文件,pyinstaller参数介绍,常用的主要是-F、-p、-i、-w这几个参数:-a:不包含编码.在支持Unicode的python版本上默认包含所有的编码-c:使用控制台子系统执行(默认)(只对Windows有效)-d:产生debug版本的可执行文件-i :指定打包程序使用的图标(icon)文件-F:打包成可执行程序-h:查看帮助-p:添加使用的第三方库路径-v:查看 PyInstaller 版本.

2020-09-04 09:05:05

信息安全工程师参考试题

一、选择题与答案1、《中华人民共和国网络安全法》第五十八条明确规定,因维护国家安全和社会公共秩序,处置重大突发社会安全事件的需要,经( )决定或者批准,可以在特定区域对网络通信采取限制等临时措施。A、国务院B、国家网信部门C、省级以上人民政府D、网络服务提供商参考答案:A2、2018年10月,含有我国SM3杂凑算法的IS0/IEC10118-3: 2018《信息安全技术...

2019-07-22 16:49:36

network phishing风险评估方案

0x00背景 网络钓鱼风险评估是APT攻击的主要攻击方式,模拟网络钓鱼训练是测试员工信息安全意识的最有效评估手段。通过实战实训实践,让员工进行体验式、参与式、实战性的网络钓鱼,从而得出公司内部员工整体的信息安全​意识水平。​0x01 国内网络钓鱼风险评估360,网络安全意识培训:https://university.360.cn/class4.html红山瑞达,防网络钓...

2019-10-08 13:55:25

使用grep分析web攻击日志

0x00前言 当企业发生web应用发生网络异常、可能存在web攻击的时候,需要排查分析web服务器和相关web日志,确认web应用是否被黑客攻击了,攻击类型有哪些类型、攻击IP是多少、是否可能被植入webshell、甚至控制系统等一系列溯源分析。 如果无法提取web日志到本地或者上传到日志分析系统,只能手工检测。可以提供以下方法0x01检测web是否存在攻击日志根据web攻击特征,检索分析日志是否包含攻击特征,如果检索结果里面包含攻击日志,证明web正在遭受攻击。1.SQ...

2020-07-10 09:11:33

Web日志安全分析

0x00前言当企业发生web应用发生网络异常、可能存在web攻击的时候,需要排查分析web服务器和相关web日志,确认web应用是否被黑客攻击了,攻击类型有哪些类型、攻击IP是多少、是否可能被植入webshell、甚至控制系统等一系列溯源分析。0x01排查思路1. 应急响应的原则3W1H原则:3W即Who、What、Why,1H即How,做应急响应要带着疑问来做事,一定要收集清楚这些信息。 易失性原则:免不了要做信息收集和取证的,但这里是有一定的先后顺序的,即最容易丢失的据,应该最先...

2020-07-10 09:03:18

越权漏洞修复参考

0x00 背景https://www.xx.com/service/order.do?orderid=2280582085200280582上图,选择orderid作为参数, 越权遍历爬取其他人的信息,类似选择某个参数或者某个接口,通过拼接或者篡改数据的ID进行请求其他ID的内容,并且返回的数据存在敏感信息,简称为越权漏洞。恶意攻击者可以利用漏洞攻击做到:水平越权,可以访问同级用户的身份证、手机号码、纳税信息等 垂直越权,可以访问管理员的敏感信息等。 修复思路1、针对具有不同权限.

2020-07-07 18:33:24

短信轰炸漏洞修复

0x00 漏洞背景短信轰炸攻击时常见的一种攻击,攻击者通过网站页面中所提供的发送短信验证码的功能处,通过对其发送数据包的获取后,进行重放,如果服务器短信平台未做校验的情况时,系统会一直去发送短信,这样就造成了短信轰炸的漏洞。攻击者通过填写他人的手机号,使用软件burpsuite的intruder功能重复提交发送短信的请求包,达到短时间内向他人的手机上发送大量垃圾短信的目的。恶意攻击者可以利用漏洞攻击做到:可对任意手机号轰炸 只可对当前手机号轰炸0x01 修复思路1、合理配置后台短信.

2020-07-07 18:32:09

任意用户密码修改重置漏洞修复

0x00 背景密码修改功能常采用分步骤方式来实现,攻击者在未知原始密码的情况下绕过某些检验步骤修改用户密码。重置密码过程一般是首先验证注册的邮箱或者手机号,获取重置密码的链接(一般会包含一串唯一的字符串)或者验证码,然后访问重置密码链接或者输入验证码,最后输入新密码。密码重置机制绕过攻击是指在未知他人的重置密码链接或手机验证码的情况下,通过构造重置密码链接或穷举手机验证码的方式直接重置他人的密码。恶意攻击者可以利用漏洞攻击做到:重置他人的密码; 利用他人的账号和密码进行恶意操作,如偷取金钱

2020-07-01 19:47:49

挖矿病毒攻击的排查处置手册

一、背景在用户不知情或未经允许的情况下,占用系统资源和网络资源进行挖矿,影响用户的网络和资源,从而获取虚拟币牟利。为了帮助应对恶意挖矿程序攻击,发现和清除恶意挖矿程序,防护和避免感染恶意挖矿程序,整理了如下针对挖矿活动相关的现状分析和检测处置建议。二、为什么会感染恶意挖矿程序通常遇到企业内网主机感染恶意挖矿程序,或者网站、服务器以及使用的云服务被植入恶意挖矿程序的时候,都不免提出“为什么会感染恶意挖矿程序,以及是如何感染的”诸如此类的问题,目前感染恶意挖矿程序的主要方式:2.1.利用类似其他病毒木

2020-07-01 19:46:58

常见运维安全漏洞

0x00背景 常见的不安全的运维意识与运维漏洞,前车之鉴,后者可鉴。0x01 常见薄弱的安全意识敏感端口对外开放数据库或者缓存应用属于敏感应用,通常部署在内网,但是如果部署的机器有内外网ip,且默认监听地址为0.0.0.0的话,则敏感端口会对外开放。如mysql/mongodb/redis/rsync/docker daemon api等端口对外开放。敏感应用无认证、空口令或者弱口令如果敏感应用使用默认配置,则不会开启认证,mysql/mongodb/redis/rsync...

2020-07-01 19:46:16

Cookie 缺失secure漏洞修复

0x00 漏洞背景Cookie Secure,是设置COOKIE时,可以设置的一个属性,设置了这个属性后,只有在https访问时,浏览器才会发送该COOKIE。浏览器默认只要使用http请求一个站点,就会发送明文cookie,如果网络中有监控,可能被截获。如果web应用网站全站是https的,可以设置cookie加上Secure属性,这样浏览器就只会在https访问时,发送cookie。攻击者即使窃听网络,也无法获取用户明文cookie。0x01 修复思路设置cookie时,加入属性

2020-06-27 11:36:02

XML注入漏洞修复参考

XML注入漏洞修复参考1. 漏洞背景可扩展标记语言 (Extensible Markup Language, XML) ,用于标记电子文件使其具有结构性的标记语言,可以用来标记数据、定义数据类型,是一种允许用户对自己的标记语言进行定义的源语言。 XML是标准通用标记语言 (SGML) 的子集,非常适合 Web传输。XML 提供统一的方法来描述和交换独立于应用程序或供应商的结构化数据。发现目前一些普遍使用xml的场景中都存在一种古老的XML实体注入漏洞,这可能导致较为严重的安全问题,使得攻击者可能可

2020-06-20 10:30:17

Fastjson漏洞修复参考

Fastjson漏洞修复参考1. 漏洞背景​ Fastjson是阿里巴巴的开源JSON解析库,它可以解析JSON格式的字符串,支持将Java Bean序列化为JSON字符串,也可以从JSON字符串反序列化到JavaBean。Fastjson多处补丁修补出现纰漏,Fastjson在1.2.68版本以下,无需Autotype开启,或者可绕过autoType限制,攻击者即可通过精心构造的请求包在使用Fastjson的服务器上进行远程代码执行。受影响的版本:fastjson <=1.2.68fas

2020-06-20 10:27:52

HTML表单没有CSRF保护漏洞

0x00 背景CSRF(Cross-site request forgery),中文名称:跨站请求伪造,也被称为:one click attack/session riding,缩写为:CSRF/XSRF。恶意攻击者可以利用漏洞攻击做到:攻击者盗用了你的身份,以你的名义发送恶意请求。CSRF能够做的事情包括:以你名义发送邮件,发消息,盗取你的账号,甚至于购买商品,虚拟货币转账……造成的问题包括:个人隐私泄露以及财产安全。0x01 修复思路CSRF的防御可以从服务端和客户端两方面着手,防御

2020-06-20 10:22:56

X-Frame-Options未配置漏洞修复

0x00 背景X-Frame-Options HTTP响应头是用来确认是否浏览器可以在frame或iframe标签中渲染一个页面,网站可以用这个头来保证他们的内容不会被嵌入到其它网站中,以来避免点击劫持。恶意攻击者可以利用漏洞攻击做到:击者可以使用一个透明的、不可见的iframe,覆盖在目标网页上,然后诱使用户在该网页上进行操作,此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置,可以诱使用户恰好点击iframe页面的一些功能性按钮上,导致被劫持。0x01

2020-06-20 10:20:56

Web容器版本泄露漏洞修复

0x00 背景恶意攻击者可以根据版本信息寻找相关漏洞,进行利用漏洞攻击0x01 修复思路通过修改配置或者配置错误提示页面,隐藏 web容器的版本号及其它敏感信息。0x02 代码修复Apache 版本号隐藏 Apache 的版本号及其它敏感信息,配置操作,修改 httpd.conf 配置文件:在Apache配置文件中添加ServerTokens ProductOnly#ServerTokens OS # 注释掉改行Servertoke...

2020-06-20 10:17:51

XSS-Protection未配置漏洞

0x00 背景HTTP XSS-Protection响应标头是Internet Explorer,Chrome和Safari的功能,当页面检测到反射的跨站点脚本(XSS)攻击时,该页面将阻止加载页面。 尽管当站点实施强大的Content-Security-Policy禁止使用内JavaScript(“不安全内联”)时。在现代浏览器中这些保护在很大程度上是不必要的,但它们仍可以为尚未使用旧版Web浏览器的用户提供保护 支持CSP。0x01 修复思路配置XSS-Protection响应标头值

2020-06-20 10:16:56

Github代码安全监控

0x00背景 Github 类的代码平台是个研发和安全人员的大宝库,阿里云效平台的代码权限事件历历在目,密码泄露到公开代码平台的事件层出不穷,为企业内外部的各种源代码管理系统(gitlab\stash\github\gitee)做好合理配置是新生事物。开发各种 github 敏感信息监控工具均属于事后管理,做好安全配置和培养员工良好的习惯才是安全管理的重中之重。Unit 42研究人员(以下简称我们)使用eth0izzle开发的shhgit来近实时读取GitHub事件,研究人员发现了一些潜在的敏感数据..

2020-06-19 19:54:36

docker容器安全漏洞扫描

0x00背景 镜像是容器的最基础的载体,docker作为最流行的容器runtime,其最大的贡献就是把镜像作为容器应用的标准交付方式,镜像包含了容器运行的所有基础文件,可以说镜像的安全就决定了容器安全。 但现实不乐观,在docker官方镜像中有超过30%的镜像有高危漏洞,平均每一个镜像有127个中危漏洞,几乎没有镜像没有漏洞。镜像在构建过程中会安装依赖组件,这些组件存在大量漏洞,而这仅仅是基础运行环境的软件漏洞。对于镜像的安全控制可以在三个地方:1、构建时,在使用持续集成平台自动...

2020-06-19 19:21:47

查看更多

勋章 我的勋章
  • GitHub
    GitHub
    绑定GitHub第三方账户获取
  • 持之以恒
    持之以恒
    授予每个自然月内发布4篇或4篇以上原创或翻译IT博文的用户。不积跬步无以至千里,不积小流无以成江海,程序人生的精彩需要坚持不懈地积累!
  • 勤写标兵Lv3
    勤写标兵Lv3
    授予每个自然周发布7篇到8篇原创IT博文的用户。本勋章将于次周周三上午根据用户上周的博文发布情况由系统自动颁发。
  • 分享王者
    分享王者
    成功上传51个资源即可获取