企业官网建设流程全解析

中国免费网站服务器主机域名,十大app黄皮软件排行榜,酒店网站建设的需求分析报告,监控做斗鱼直播网站struts2原理特征 原理:默认的content-type解析器会把用户传来的数据直接当成代码执行#xff0c;造成rce特征:ognl表达式#xff0c;memberaccess字段#xff0c;可以通过catalina日志过滤关键信息查找攻击特征ongl表达式可以被当作代码执行#xff0c;其中的类为defaulta…struts2原理特征原理: 默认的content-type解析器会把用户传来的数据直接当成代码执行造成rce 特征:ognl表达式memberaccess字段可以通过catalina日志过滤关键信息查找攻击特征 ongl表达式可以被当作代码执行其中的类为defaultactionmapper支持的redirecraction方法 特征同上Java反序列化的特征一段数据以 rO0AB 开头你基本可以确定这串就是 JAVA 序列化 base64 加密的数据。 或者如果以 aced 开头那么他就是这一段 java 序列化的 16 进制。如何反制CS反制Server爆破密码针对后门没有采用隐匿C2地址的技术导致的反制后门样本被溯源到C2地址可以使用火绒剑等软件对红队IP进行溯源 伪造流量批量上线欺骗防御无法反制但是会让红队摸不着头脑 CS漏洞CVE-2022-39197基本通杀CS版本4.7 XSS溯源反制回答蜜罐xss盲打蚁剑rcecs端口爆破口令有web可以进行反打。EDR如何绕过回答:改协议绕过污染数据ddos通过hook协议并发提交工具流量特征冰蝎2.0 强特征是accept里面有个q.2 冰蝎3.0 Content-Type: application/octet-stream 冰蝎4.0 referer头js文件 UA头随机 Accept: application/json, text/javascript, /; g0.01 在建立连接时可能会导致49000左右的端口号开启 蚁剑 是ua有answord 蚁剑的加密特征是以 0x.....开头 哥斯拉 pass字段 菜刀 流量存在一些特征字 eval base64 AWVS 主要是看请求包中是否含有acunetix wvs 字段 Nessus nessus字段OWAPTop10SQL注入 失效的身份认证和会话管理 跨站脚本攻击XSS 直接引用不安全的对象 安全配置错误 敏感信息泄露 缺少功能级的访问控制 跨站请求伪造CSRF 使用含有已知漏洞的组件 未验证的重定向和转发shiro550和721的区别721是需要有效的登录才可以 550不用登录就可以直接跑keylog4j-Rce原理log4j是一款通用日志记录工具log4j有个lookup接口通过JNDI注入触发日志在{}里面调用jndi服务反弹shell到指定的服务器除了jndi还可以调用rmi还有一点就是log4j设置的日志等级在触发lookup方法前会对设置的level等级做验证fastjson原理漏洞处理json对象的时候没有对type字段进行过滤导致可以加载恶意类从而进行攻击。应急思路首先通过安全设备拦截攻击包体和日志分析了解攻击者具体进行了什么样的攻击通过黑白结合模拟方法进一步判断攻击者的攻击方式。复现之后对漏洞进行修复对攻击者进行溯源。 首先查看安全设备上报警的事件看看具体报文具体日志判断攻击类型攻击方式什么的例如上次护vv的时候通过深信服的态势感知设备拦截了一个文件上传查看包体是一个文件名应该是123.php的类型是img图片格式内容是123456判断应该是一个黑客的测试文件查看日志发现这是第一次上传首先封锁ip然后自己复现一遍并修复漏洞Windows应急流程第一步检查系统账号安全(查看服务器是否有弱口令Netstat查看网络连接对应的进程,再通过tasklist进行进程定位)- 第二步查看系统登录日志筛查4776、4624(登录成功)事件进行分析- 第三步使用命令lusrmgr.msc查看服务器是否存在可疑账号、新增账户- 第四步使用compmgmt.msc查看本地用户组有没有隐藏账户- 第五步:导出日志利用Log Parser查看管理员登录时间、用户是否存在异常- 第六步运行taskschd.msc排查有无可疑的计划任务- 第七步输入%UserProfile%\Recent分析最近打开过的可疑文件- 第八步分析中间件日志如tomcat的logs文件夹localhost_access_log日志文件Appace的access.log日志文件。Linux应急流程第一步分析安全日志 /var/log/secure查看是否有IP爆破成功- 第二步查看/etc/passwd分析是否存在攻击者创建的恶意用户- 第三步查看命令执行记录 ~/.bash_history分析近期是否有账户执行过恶意操作系统命令- 第四步分析/var/spool/mail/root Root邮箱当日志被删除可查询本文件- 第五步分析中间件、Web日志如access_log文件- 第六步调用命令last/lastb翻阅登录日志- 第七步分析/var/log/cron文件查看历史计划任务 第八步-分析history日志分析操作命令记录- 最后一步分析redis、sql server、mysql、oracle等日志文件Web日志分析应急流程第一步找到WebShell分析文件内容中的恶意函数、Web日志中的webshell特征、Web日志中的webshell特征、每天新增的动态脚本文件低频访问的脚本文件- 第二步确定攻击者IP 第三步回溯攻击者操作- 第四步梳理攻击过程内存马如何排查如果发现了一些内存webshell的痕迹需要有一个排查的思路来进行跟踪和分析也是根据各类型的原理 列出一个排查思路—— 1、如果是jsp注入日志中排查可以jsp的访问请求。 2、如果是代码执行漏洞排查中间件的error.log,查看是否有可疑的报错判断注入时间和方法。 3、根据业务使用的组件排查可能存在的java代码执行漏洞spring的controller类型的话根据上报webshell的url查找日志filter或者listener类型可能会有较多的404但是带有参数的请求。如何分析报文根据数据包利用平台或者wireshark分析攻击payload是哪种攻击 攻击的路径或者接口在哪进程排查思路(火绒剑都可查看到)没有签名验证信息的进程 没有描述信息的进程 进程的启动用户 进程的路径是否合法 CPU或内存资源占用长时间过高的进程命令执行PHP命令执行函数System()、exec()、shell_exec、passthru()、pcntl_exec()、popen()、proc_open()以及反引号等函数执行系统命令。 system shell_exec passthru exec popen proc_open putenv assert | 直接执行后面的语句 || 前面为假执行后面的语句。如ping 2 || whoami 可真可假 前面只能为真PHP代码执行的危险函数call_user_func() call_user_func_array() create_function() array_map()命令执行常见绕过思路空格过滤绕过$IFS、、%09(要求php环境) 管道符绕过分号; 消除后缀%20%23 黑名单绕过字符拼接、单双引号、反斜杠、通配符 cat命令绕过more、less、head、tac、tail、nl、od、vi、vim、sort、uniq、file-f、grep文件包含常用协议php://filter data协议 php://input filephar://协议Sql注入产生原因参数用户可以控制并且能带入数据库查询。种类报错、盲注、联合注入、堆叠注入、宽字节注入、二次注入等。防护使用安全的API 过滤危险字符 使用预编译语句使用PDO预编译语句时采用占位符进行数据库的增删改查。报错注入函数Updatexml()、extractvalue()、polygon()、floor()、exp()、GeometryCollection()、multipoint()、multilinestring()、multipolygon()、linestring()宽字节产生的原因PHP发送请求到MySql时使用了语句 SET NAMES gbk 或是SET character_set_client gbk 进行了一次编码但是又由于一些不经意的字符集转换导致了宽字节注入。 通过添加%df吃掉%5c绕过magic_quotes_gpc。解决办法统一数据库、Web应用、操作系统所使用的字符集避免解析产生差异最好都设置为UTF-8。或对数据进行正确的转义如mysql_real_escape_stringmysql_set_charset的使用。mysql的网站注入5.0以上和5.0以下有什么区别5.0以下没有information_schema这个系统表不能查表名只能暴力跑表。 5.0以下是多用户单操作5.0以上是多用户多操做。宽字节注入防御将mysql设置为gbk即可SQL注入绕过方法通用绕过大小写绕过、双关键字绕过、编码绕过、内联注释绕过等价函数绕过常见替换空格绕过两个空格替代一个空格tap代替空格%a0代替空格括号绕过空格/* */ 注释绕过空格浮点数绕过空格引号绕过0x十六进制编码后的字符绕过逗号绕过substr()和mid()这两个子句方法可以使用from tojoinlike绕过对于limit子句可以使用offset来绕过比较符号绕过使用greatest()、least前者返回最大值后者返回最小值 绕过or and xor not绕过and or|| xor| not!绕过注释符号#--(后面跟一个空格过滤绕过使用like 、rlike 、regexp绕过unionselectwhere等大小写注释符内联注释绕过 双关键字绕过等价函数绕过hex()、bin() ascii() sleep() benchmark() concat_ws()group_concat() mid()、substr() substring() user user() datadir datadir()CSRF跨站请求伪造通过伪装来自受信任用户的请求来利用受信任的网站。 防护 添加token 验证请求的referer token安全等级更高因为并不是任何服务器都可以取得referer如果从HTTPS跳到HTTP也不会发送referer。并且FLASH一些版本中可以自定义referer。但是token的话要保证其足够随机且不可泄露。(不可预测性原则)SSRF服务器请求伪造。由攻击者构造请求有服务端发起请求的安全漏洞。 修复 限制请求的端口只能为Web端口HTTP和HTTPS协议。 限制不能访问内网ip. 屏蔽返回详细信息。文件上传成因 由于程序员在对用户文件上传部分的控制不足或者处理缺陷而导致用户可以越过其本身权限向服务器上传可执行的动态脚本文件常例1. 未过滤、本地过滤。 抓包该包。 2. 黑名单。 ASPcdx、asa、cer php (ph3\4\5) 3. 文件头、content-type GIF89a image/ipg 图片马 4. 条件竞争 先上传后删除 5. %00截断 post时改Hex 00 %00相当于空 6. Windows特性 NTFS php.自动去掉.文件上传常见绕过思路.htaccess或者.user.ini文件、MiME绕过、%00截断、php大小写、php3、php4、phtml、空格绕过、pht、phps、条件竞争绕过XSS反射型XSS用户提交的数据中可以构造代码来执行从而实现窃取用户信息等攻击。需要诱使用户“点击”一个恶意链接才能攻击成功攻击方式往往具有一次性。存储型XSS存储型XSS会把用户输入的数据“存储”在服务器端。这种XSS具有很强的稳定性。DOM型XSS通过修改页面的DOM节点形成的XSS称之为DOM Based XSS。 DOM型XSS只有HTML代码并不存在服务器代码所以此程序并没有与服务器交互。XSS修复建议过滤输入的数据包括“ ‘ ” “ “ ”“ ” “ ”“ on* ”等非法字符。 对输出到页面的数据进行相应的编码转换包括HTML实体化编码、JavaScript编码等。XSS蠕虫正常情况下一个是产生XSS点的页面不属于self页面用户之间产生交互行为的页面都可能造成XSS Worm的产生。 不一定需要存储型XSS解析漏洞IIS6.0 后缀解析 /xx.asp;.jpg /xx.asp/xx.jpg/xx.asp;.jpg /xx.asp/xx.jpg 默认解析 xx.asa xx.cer xx.cdx Windows iis .net 短文件 猜解前6位以及后缀前三位IIS 7.0-7.5 / Nginx 0.8.37Fast-cgi 开启状态下在文件路径后加上/xx.php则xx.jpg/xx.php会被解析为php文件Apache 从右往左判断后缀 test.php.x1.x2.x3Htaccess 当Allow Override被启用时上传启用解析规则·的.htaccess AddType application/x-http-php.jpgApache 2.4 %0A绕过 修改Hex 0A 之后访问/1.php%0A即可。lighttpd xx.jpg/xx.phpIIS 6.0—— /xx.asp/xx.jpg IIS 7.0—— 默认Fast-cgi开启直接在图片地址后面输入/.php就会将图片当做php解析 Nginx——版本小于0.8.37 利用方法和IIS7.0一样 Apache—— 上传文件名为test.php.x1.x2.x3, Apache是从右往左判断 Lighttpd—— XX.jpg/xx.php常见的中间件漏洞IIS PUT漏洞、短文件名猜解、远程代码执行、解析漏洞 Apache 解析漏洞、目录遍历 Nginx 文件解析、目录遍历、CRLF注入、目录穿越 Tomcat 远程代码执行、war后门文件部署 JBoss 反序列化漏洞、war后门文件部署 WebLogic 反序列化漏洞 SSRF 任意文件上传 war 后门文件部署 Apache Shiro 反序列化漏洞 Shiro rememberMeShiro-550 Shiro Padding Oracle Attack(Shiro-721)redis非授权访问redis绑定在0.0.0.0:6379且没有进行添加防火墙规则避免其他非信任来源ip访问相关安全策略直接暴露在公网。 危害 攻击者无需认证访问到内部数据。如果redis以root身份运行黑客可以给root账号写入ssh公钥文件直接通过ssh登录服务器。 生成rsa空秘钥 -公钥、私钥-上传公钥-利用私钥连接TCP/IPTCP三次握手的过程以及对应的状态转换 客户端向服务器端发送一个SYN包包含客户端使用的端口号和初始序列号x; 服务器端收到客户端发送来的SYN包后向客户端发送一个SYN和ACK都置位的TCP报文包含确认号xx1和服务器端的初始序列号y; 客户端收到服务器端返回的SYNSACK报文后向服务器端返回一个确认号为yy1、序号为xx1的ACK报文一个标准的TCP连接完成。 TCP和UDP协议区别 tcp面向连接,udp面向报文 tcp对系统资源的要求多 udp结构简单 tcp保证数据完整性和顺序udp不保证OSI七层模型物理层、数据链路层、网络层、传输层、会话层、表示层、应用层。MySQL写WebShell有几种方式union select 后写入、利用分隔符写入类似于SQLMAP的 --os-shell命令、Mysql log写入有读写的权限root权限gpc关闭、绝对路径mysql两种提权方式Mysql_UDF提权UDF提权利用了root 高权限创建有cmd函数的udf.dll动态库导出 那个文件后就可以框输入 cmdmof系统会创建一个临时文件创建的时候用的是system把cmd命令放在mof上执行要求:目标系统是Windows(Win2000,XP,Win2003) 拥有MYSQL的某个用户账号此账号必须有对mysql的insert和delete权限以创建和抛弃函数 有root账号密码 导出udf: MYSQL 5.1以上版本必须要把udf.dll文件放到MYSQL安装目录下的lib\plugin文件夹下才能创建自定义函数 可以再mysql里输入select basedirshow variables like ‘%plugins%’ 寻找mysql安装路径提权:使用SQL语句创建功能函数。语法Create Function 函数名函数名只能为下面列表中的其中之一returns string soname ‘导出的DLL路径’ create function cmdshell returns string soname ‘udf.dll’select cmdshell(‘net user arsch arsch /add’); select cmdshell(‘net localgroup administrators arsch /add’); drop function cmdshell; 该目录默认是不存在的这就需要我们使用webshell找到MYSQL的安装目录并在安装目录下创建lib\plugin文件夹然后将udf.dll文件导出到该目录即可。Mysql mof提权#pragma namespace(\\\\.\\root\\subscription) instance of __EventFilter as $EventFilter{EventNamespace Root\\Cimv2;Name filtP2;Query Select * From __InstanceModificationEvent Where TargetInstance Isa \Win32_LocalTime\ And TargetInstance.Second 5;QueryLanguage WQL;}; instance of ActiveScriptEventConsumer as $Consumer{Name consPCSV2;ScriptingEngine JScript;ScriptText var WSH new ActiveXObject(\WScript.Shell\)\nWSH.run(\net.exe user waitalone waitalone.cn /add\);}; instance of __FilterToConsumerBinding{Consumer $Consumer;Filter $EventFilter;}; 其中的第18行的命令上传前请自己更改。2、执行load_file及into dumpfile把文件导出到正确的位置即可。 select load file(c:/wmpub/nullevt.mof) into dumpfile c:/windows/system32/wbem/mof/nullevt.mov 执行成功后即可添加一个普通用户然后你可以更改命令再上传导出执行把用户提升到管理员权限然后3389连接之就ok了Windows常用的提权方法系统内核溢出漏洞提权 数据库提权 错误的系统配置提权 组策略首选项提权 WEB中间件漏洞提权 DLL劫持提权 滥用高危权限令牌提权 第三方软件/服务提权等Linux提权有哪些方法Linux内核漏洞提权 低权限用户目录下可被Root权限用户调用的脚本提权SUID 环境变量劫持高权限程序提权 sudo配置文件错误提权正向SHELL和反向SHELL的区别正向shell攻击者连接被攻击者机器 反向shell被攻击者主动连接攻击者 正向代理客户端代理服务器不知道实际发起请求的客户端 反向代理服务器代理客户端不知道实际提供服务的服务端常见端口| 端口/服务 | 22 SSH | 23 telnet | | ------------- | ----------- | -------------------- | | 25 smtp | 53 DNS | 80/443/8080 web | | 110 POP3 | 123 NTP | 137/139 samba | | 143 imap | 152 loracle | 389 Idap | | 443 Https | 445 SMB | 873 rsync | | 1098 JAVARMI | 1433 mssql | 1521 oracle | | 3306 mysql | 3389 RDP | 5422/5432 postgreSQL | | 5900 vnc | 6379 redis | 7001 WebLogic | | mongoDB 27017 | 67/68 dhcp | 21/69 ftp/tftp |内网黄金票据跟白银票据区别和利用方式白银票据,只能访问指定的目标机器中指定的服务而黄金票据是针对所有机器的所有服务可以访问所有服务。制作黄金票据的前提条件域名称、域的 SID 3、域的 KRBTGT 账户的密码 hash 值、伪造的用户名可以是任意用户甚至是不存在的用户 黄金票据攻击其实是一种后门的形式属于第二次进行攻击的方法第一次拿到域管权限之后需要将krbtgt hash进行保存当第二次再来进行渗透攻击时我们就可以使用krbtgt hash制作黄金票据从而获得管理员权限。伪造白银票据的前提条件域名称、域的 SID 、域的服务账号的密码 hash 、伪造的用户名可以是任意的IDS和IPS区别IDS类(入侵检测系统(IDS: Intrusion Detection Systems))此类产品基本上以旁路为主特点是不阻断任何网络访问主要以提供对网络和系统运行状况的监控和报告为主少量的类似产品还提供TCP阻断等功能但少有使用。IPS类(入侵防御系统(IPS: Intrusion Prevention System))基本上以在线模式为主解决了IDS无法阻断入侵的问题 不仅可以检测到入侵还可以对入侵进行拦截其工作原理类似防病毒系统定义N种已知的攻击模式然后通过模式匹配去阻断非法访问一样。区别IDS相当于监控当发现异常行为时发出警告 IPS相当于大厦的保安不仅可以检测到入侵还可以对入侵进行拦截。 防火墙是网络层面的防护**IDS和IPS主要防护应用层。** 防火墙是网络边界控制设备主要通过策略实现对网络的访问控制。 IDS无法防护加密的数据流且对于UDP协议会话误报较高。Windows系统日志事件查看器Windows系统日志都是在“事件查看器”下面的。 具体步骤如下 我的电脑 - 右键单击 - 管理 - 计算机管理 - 系统工具 - 事件查看器 - Windows日志Linux系统日志/var/logLinux系统日志都是放在“/var/log”下面的下面给大家简单介绍一下各个日志文件 /var/log/messages — 包括整体系统信息其中也包含系统启动期间的日志。此外mailcrondaemonkern和auth等内容也记录在var/log/messages日志中。 /var/log/dmesg — 包含内核缓冲信息(kernel ring buffer)。在系统启动时会在屏幕上显示许多与硬件有关的信息。可以用dmesg查看它们。 /var/log/auth.log — 包含系统授权信息包括用户登录和使用的权限机制等。 /var/log/boot.log — 包含系统启动时的日志。 /var/log/daemon.log — 包含各种系统后台守护进程日志信息。 /var/log/dpkg.log – 包括安装或dpkg命令清除软件包的日志。 /var/log/kern.log – 包含内核产生的日志有助于在定制内核时解决问题。 /var/log/lastlog — 记录所有用户的最近信息。这不是一个ASCII文件因此需要用lastlog命令查看内容。 /var/log/maillog /var/log/mail.log — 包含来着系统运行电子邮件服务器的日志信息。例如sendmail日志信息就全部送到这个文件中。 /var/log/user.log — 记录所有等级用户信息的日志。 /var/log/Xorg.x.log — 来自X的日志信息。 /var/log/alternatives.log – 更新替代信息都记录在这个文件中。 /var/log/btmp – 记录所有失败登录信息。使用last命令可以查看btmp文件。例如”last -f /var/log/btmp | more“。 /var/log/cups — 涉及所有打印信息的日志。 /var/log/anaconda.log — 在安装Linux时所有安装信息都储存在这个文件中。 /var/log/yum.log — 包含使用yum安装的软件包信息。 /var/log/cron — 每当cron进程开始一个工作时就会将相关信息记录在这个文件中。 /var/log/secure — 包含验证和授权方面信息。例如sshd会将所有信息记录(其中包括失败登录)在这里。 /var/log/wtmp或/var/log/utmp — 包含登录信息。使用wtmp可以找出谁正在登陆进入系统谁使用命令显示这个文件或信息等。 /var/log/faillog – 包含用户登录失败信息。此外错误登录命令也会记录在本文件中。 注意以上这些日志文件或许有的没有甚至日志表现的形式可能略有不同这都没什么关系得要的是我们要先明白原理。学习资源如果你是也准备转行学习网络安全黑客或者正在学习这里开源一份360智榜样学习中心独家出品《网络攻防知识库》,希望能够帮助到你知识库由360智榜样学习中心独家打造出品旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力熟练掌握基础攻防到深度对抗。1、知识库价值深度 本知识库超越常规工具手册深入剖析攻击技术的底层原理与高级防御策略并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等提供了独到的技术视角和实战验证过的对抗方案。广度 面向企业安全建设的核心场景渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点是应对复杂攻防挑战的实用指南。实战性 知识库内容源于真实攻防对抗和大型演练实践通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。2、 部分核心内容展示360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式既夯实基础技能更深入高阶对抗技术。360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式既夯实基础技能更深入高阶对抗技术。内容组织紧密结合攻防场景辅以大量真实环境复现案例、自动化工具脚本及配置解析。通过策略讲解、原理剖析、实战演示相结合是你学习过程中好帮手。1、网络安全意识2、Linux操作系统3、WEB架构基础与HTTP协议4、Web渗透测试5、渗透测试案例分享6、渗透测试实战技巧7、攻防对战实战8、CTF之MISC实战讲解3、适合学习的人群‌一、基础适配人群‌‌零基础转型者‌适合计算机零基础但愿意系统学习的人群资料覆盖从网络协议、操作系统到渗透测试的完整知识链‌‌开发/运维人员‌具备编程或运维基础者可通过资料快速掌握安全防护与漏洞修复技能实现职业方向拓展‌或者转行就业‌应届毕业生‌计算机相关专业学生可通过资料构建完整的网络安全知识体系缩短企业用人适应期‌‌二、能力提升适配‌1、‌技术爱好者‌适合对攻防技术有强烈兴趣希望掌握漏洞挖掘、渗透测试等实战技能的学习者‌2、安全从业者‌帮助初级安全工程师系统化提升Web安全、逆向工程等专项能力‌3、‌合规需求者‌包含等保规范、安全策略制定等内容适合需要应对合规审计的企业人员‌因篇幅有限仅展示部分资料完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以在下方CSDN官方认证二维码免费领取【保证100%免费】