安全测试

【今日推荐】：为什么一到面试就懵逼！>>> Web 安全趋势与核心防御机制 孟飞阳 2012年1月16日 一． WEB 安全技术产生原因 早期：万维网（World Wide Web）仅有Web站点构成，这些站点基本上是包含静态文档的信息库。这种信息流仅由服务器向浏览器单向传送。多数站点并不验证用户的合法性。 如今：已与早期的万维网已经完全不同，Web上的大多数站点实际上是应用程序。他们功能强大，在服务器和浏览器之间进行双向信息传送。他们处理的许多信息属于私密和高度敏感信息。因此，安全问题至关重要，Web安全技术也应运而生。 二． Web 程序常见漏洞 （1）不完善的身份验证措施：这类漏洞包括应用程序登陆机制中的各种缺陷，可能会使攻击者攻破保密性不强的密码，发动蛮力攻击或者完全避开登陆。 （2）不完善的访问控制措施：这一问题涉及的情况包括：应用程序无法为数据和功能提供全面保护，攻击者可以查看其他用户保存在服务器中的敏感信息，或者执行特权操作。 （3）SQL注入：攻击者可通过这一漏洞提交专门设计的输入，干扰应用程序与后端数据库的交互活动。攻击者能够从应用程序中提取任何数据、破坏逻辑结构，或者在数据库服务器上执行命令。 （4）跨站点脚本：攻击者可利用该漏洞攻击应用程序的其他用户、访问其信息、代表他们执行未授权操作，或者向其发动其他攻击。 （5）信息泄露：这一问题包括应用程序泄露敏感信息

摘要： 0x00 索引说明 6.30在OWASP的分享，关于业务安全的漏洞检测模型。进一步的延伸科普。 0x01 身份认证安全 1 暴力破解 在没有验证码限制或者一次验证码可以多次使用的地方，使用已知用户对密码进行暴力破解或者用一个通用密码对用户进行暴力破解。 简单的验证码爆破。URL: http:/... 0x00 索引说明 6.30在OWASP的分享，关于业务安全的漏洞检测模型。进一步的延伸科普。 0x01 身份认证安全 1 暴力破解 在没有验证码限制或者一次验证码可以多次使用的地方，使用已知用户对密码进行暴力破解或者用一个通用密码对用户进行暴力破解。 简单的验证码爆破。URL: http://zone.wooyun.org/content/20839 一些工具及脚本 Burpsuite htpwdScan 撞库爆破必备 URL: https://github.com/lijiejie/htpwdScan hydra 源码安装xhydra支持更多的协议去爆破 (可破WEB，其他协议不属于业务安全的范畴) 2 session & cookie类 会话固定攻击：利用服务器的session不变机制，借他人之手获得认证和授权，冒充他人。案例： WooYun: 新浪广东美食后台验证逻辑漏洞，直接登录后台，566764名用户资料暴露！ Cookie仿冒

（第91期） 安全动态： [安全动态] 网站被黑客攻击后，这家企业被罚钱了 https://mp.weixin.qq.com/s/0c84FC0iKxgXnm8Yu6VNXQ [安全动态] 关于漏洞挖掘的一些感想 https://mp.weixin.qq.com/s/pasGT9igsh8mT9_nEGpNaQ [安全动态] 一次面试经历有感而写的经验总结 https://mp.weixin.qq.com/s/cZU9t_k01bORo-EEfpooGw [安全动态] 推荐一些优秀的甲方安全开源项目 https://mp.weixin.qq.com/s/bviX7hXd3qvZPrlS0U1PYg [安全动态] Apache axis远程命令执行漏洞 https://mp.weixin.qq.com/s/QYS8k7O0cXRnaMPIQm5vOg [安全动态] 工信部发布《电信和互联网行业提升网络数据安全保护能力专项行动方案》 https://mp.weixin.qq.com/s/-gX-WpLuZXjiCIcXD0dumA [安全动态] 公安机关网络安全等级保护监督检查工作内容 https://mp.weixin.qq.com/s/lEMy_xrTRZUNVM7AAbp8Pg [安全动态] 判刑相关汇总 https://mp.weixin.qq.com/s

Apache样例文件泄漏 测试方法   在链接的根目录中添加examples或者docs目录进行访问判断！ 漏洞描述  apache一些样例文件没有删除，可能存在cookie、session伪造，进行后台登录操作 修复建议  1、删除样例文件  2、对apache中web.xml进行相关设置 弱口令 测试方法   先手工尝试一些最基本的弱口令，如admin/admin、admin/123456、admin/888888等，如果不行，使用暴力破解工具进行暴力破解，如使用burpsuite，另外推荐一个小技巧，使用暴力破解的时候，弱口令使用2到3个常见的，然后用户名使用人名拼音top500！ 漏洞描述   由于系统中存在有弱口令，导致***者通过弱口令可轻松登录系统中，从而进行下一步的***，如上传webshell，获取敏感数据！   另外***者利用弱口令登录网站管理后台，可任意增删改等操作，从而造成负面影响！ 修复建议   1、 建议强制用户首次登录时修改默认口令，或是使用用户自定义初始密码的策略；   2、 完善密码策略，信息安全最佳实践的密码策略为8位（包括）以上字符，包含数字、大小写字母、特殊字符中的至少3种。   3、对管理后台进行访问控制，修改后台弱口令，加强口令强度并定期修改。   4、增加验证机制，防爆破机制，限制ip＋cookie访问次数。 明文传输登录口令

俗话说：“ 工欲善其事，必先利其器 ”。 对于白帽子Hacker而言，装备 / 工具 / 软件等资源集合就好比我们的「 军火库 」，是否 配备完善且得心顺手 ，直接决定了后续战斗中能否 更快更准 拿下目标。 作为一名 资深工具控 和 强迫症患者 ，我在这里不仅提供工具清单，还想跟你分享： 如何定义一款好的工具？ 在不同发展阶段，应该选择怎么样的工作装备？ 在不同工作阶段，有哪些必备的“神兵利器”？ 知识管理方法论，为何能够升级我们的“军火库”？ 接下来，我们将围绕下面这张图展开 => 我想告诉大家，如何通过 工作装备、安全测试、知识管理 等 3 大类工具来武装自己，打造属于自己的「 网络安全军火库 」。 1. 工作装备类 工作装备指的是电脑、硬盘、显示屏等硬件设备，这些代表着我们 计算、存储、显示 等硬件资源的上限。在我看来，这套装备的好坏，直接决定了整个军火库的 输出火力 ，其重要性不言而喻。 如果我们刚入门学习，采用一台普通电脑这样「 All in One 」的策略，前期完全没问题。而随着学习和工作的逐渐深入，会有以下这些情况陆续出现： 电脑正在进行密码爆破等工作，CPU 指数爆满干不了其他活儿… 虚拟环境用着用着，体积从原先安装的 10G 到现在 50G… 对目标站点进行测试时，边测边查资料时，需要频繁切换窗口… 项目资料既多又杂，跟个人和学习资料混在一起…

3 月，跳不动了？>>> http://bobao.360.cn/news/detail/1132.html 在线资源 渗透测试资源 Metasploit Unleashed - 免费的metasploit教程 PTES - 渗透测试执行标准 OWASP - 开放式Web应用程序安全项目 OSSTMM - 开源安全测试方法手册 Shell 脚本资源 LSST - linux shell脚本教程 Linux 资源 Kernelnewbies - 一个出色的Linux内核资源的社区 Shellcode 开发 Shellcode Tutorials - 如何编写shellcode的教程 Shellcode examples - Shellcodes 的库 社工资源 Social Engineering Framework - 一些社工的资源 开锁资源 Schuyler Towne channel - 开锁视频和安全沙龙 工具 渗透测试系统版本 Kali - 一个Linux发行版，用来做数字取证和渗透测试。 NST - 网络安全工具包发行版 Pentoo - 着眼于安全的基于Gentoo的 LiveCD BackBox - 基于Ubuntu的发行版，用于渗透测试及安全评估 渗透测试基础工具 Metasploit - 应用最广的渗透测试软件 Burp - 抓包工具，针对Web应用执行安全检测

本文由红日安全成员： ruanruan 编写，如有不当，还望斧正。 大家好，我们是红日安全-Web安全攻防小组。此项目是关于Web安全的系列文章分享，还包含一个HTB靶场供大家练习，我们给这个项目起了一个名字叫 Web安全实战 ，希望对想要学习Web安全的朋友们有所帮助。每一篇文章都是于基于漏洞简介-漏洞原理-漏洞危害-测试方法（手工测试，工具测试）-靶场测试（分为PHP靶场、JAVA靶场、Python靶场基本上三种靶场全部涵盖）-实战演练（主要选择相应CMS或者是Vulnhub进行实战演练)，如果对大家有帮助请Star鼓励我们创作更好文章。如果你愿意加入我们，一起完善这个项目，欢迎通过邮件形式（sec-redclub@qq.com）联系我们。 1.会话安全概述 1.1 什么是会话 session会话机制是一种服务器端机制，它使用类似于哈希表（可能还有哈希表）的结构来保存信息。当程序需要为客户端的请求创建会话时，服务器首先检查客户端的请求是否包含会话标识符（称为会话ID）。如果包含它，它先前已为此客户端创建了一个会话。服务器根据会话ID检索会话（无法检索，将创建新会话），如果客户端请求不包含会话ID，则为客户端创建会话并生成与会话关联的会话ID。 session id应该是一个既不重复也不容易被复制的字符串。会话ID将返回给客户端以保存此响应。 1.2常见会话问题 1.2

赛门铁克2017年互联网安全威胁报告中提出在他们今年扫描的网站中，有76%都含有恶意软件。如果你在用WordPress，SUCURI的另一份报告也显示，超过70％的被扫描网站也都存在一个或多个漏洞。 如果你刚好是某个网络应用程序的所有者，怎样才能保证你的网站是安全的、不会泄露敏感信息？ 如果是基于云的安全解决方案，那么可能只需要进行常规漏扫。但如果不是，我们就必须执行例行扫描，采取必要的行动降低安全风险。 当然很多付费扫描器功能会更加全面、严谨，包含报表输出、警报、详细的应急指南等等附加功能。 开源工具最大的缺点是漏洞库可能没有付费软件那么全面。 1. Arachni Arachni是一款基于Ruby框架搭建的高性能安全扫描程序，适用于现代Web应用程序。可用于Mac、Windows及Linux系统的可移植二进制文件。 Arachni不仅能对基本的静态或CMS网站进行扫描，还能够做到对以下平台指纹信息（(硬盘序列号和网卡物理地址)）的识别。且同时支持主动检查和被动检查。 Windows、Solaris、Linux、BSD、Unix Nginx、Apache、Tomcat、IIS、Jetty Java、Ruby、Python、ASP、PHP Django、Rails、CherryPy、CakePHP、ASP.NET MVC、Symfony 一般检测的漏洞类型包括： NoSQL

这几天在2020RSAC安全行业盛会上听了一名渗透大佬的经验分享，感觉得益匪浅。 一、渗透测试服务中的常见问题 1、对客户网站系统，之前在其他几家安全公司做过 渗透测试服务 ，那么我们接手的话要如何进行？深入深入分析客户程序，认真细致发现程序全方位、深层次漏洞。 2、如果客户的程序，部署了环境waf防火墙服务，我们要如何进行？还可以绕过web防火墙采取渗透测试，比如还可以通过内部局域网的技术手段去测试等。客户现有的网站安全防护，未必安全，非常容易被绕过。 3、客户程序，使用ukey硬件设备登录认证，还需要安全渗透测试吗？ Ukey硬件设备的安全性也需要验证安全测试，之前有过此设备发送一个验证后，随后这个验证还可以重复使用的情况。 4、客户程序，网络层协议是用的SSL证书加密传输的，传输数据这里也做了rsa加密导致截取不到数据包，接下来该怎么办？ 试着一些常用到的破解方式，比如对https证书伪造，协议重置，对授权程序采取渗透测试时，千万不要去测试没有经过授权的系统哦. 5、客户网站程序，似乎是静态网页，无法进入渗透测试。我该怎么办？ 网站中不断的去抓数据包分析，然后去寻找有动态脚本交互功能的地方查找问题。 6、客户的系统程序，我们需不需要上网站漏洞扫描器采取扫描？ 尽量不要用漏洞扫描器，降低对客户现有正在运行系统的伤害，特别是比较敏感关键程序，也别内网渗透。比较敏感程序采取测试

本文由红日安全成员： ruanruan 编写，如有不当，还望斧正。 大家好，我们是 红日安全-Web安全攻防小组 。此项目是关于Web安全的系列文章分享，还包含一个HTB靶场供大家练习，我们给这个项目起了一个名字叫 Web安全实战 ，希望对想要学习Web安全的朋友们有所帮助。每一篇文章都是于基于漏洞简介-漏洞原理-漏洞危害-测试方法（手工测试，工具测试）-靶场测试（分为PHP靶场、JAVA靶场、Python靶场基本上三种靶场全部涵盖）-实战演练（主要选择相应CMS或者是Vulnhub进行实战演练)，如果对大家有帮助请 Star 鼓励我们创作更好文章。如果你愿意加入我们，一起完善这个项目，欢迎通过邮件形式（ sec-redclub@qq.com ）联系我们。 1. XXE概述 XXE（XML External Entity Injection）即XML外部实体注入。漏洞是在对非安全的外部实体数据进行处理时引发的安全问题。 下面我们主要介绍PHP语言下的XXE攻击. 1.1 XML基础 XML是可扩展的标记语言（eXtensible Markup Language），设计用来进行数据的传输和存储。 1.1.1文档结构 XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。 <!--XML声明--> <?xml version="1.0"?> <!--文档类型定义--> <