hvv蓝队初中级部分题目

应急处置 ：

1.是否有异常进程、用户

2.敏感端口开放情况

3.密码强度

4.日志分析

5.异常启动项、服务、计划任务

6.注册表信息

7.其它

进程信息

根据CPU占用率、内存占用率、启动的事件来初步判断异常信息，根据PID找到异常进程。执行此命令查看进程名，路径，pid 再配合使用find或findstr就可以查到pid对应的路径了wmic process get name,executablepath,processid|findstr pid，如果查到对应的可疑文件后，可以通过多引擎查杀看一下是否有异常进程。也可以利用D盾来检测一下主机中的异常信息，需要注意的是没有签名验证信息的进程、没有描述信息的进程、进程的属主、进程的路径是否合法CPU或内存资源占用长时间过高的进程等方面。提示一下，D盾是需要在联网的状态下进行的。一般管理员建立临时账号是不会建立隐藏账号的，所以一旦查出来有隐藏账号，那么就顺藤摸瓜查一下这个账户的操作日志(日志完好的情况下，这里重点提示了不仅主机要开启日志记录的功能，还要有日志审计服务器)。隐藏账号用命令是查询不到的，只能去注册表查看是否有隐藏账号。

敏感端口开放情况

敏感端口如3389、445、135、139、1433、1521、3306等，查询敏感端口是否向外网开放、是否开启地址白名单限制、密码是否弱口令等，再看服务器日志记录，结合日志分析攻击者是否有座密码破解的攻击。即使管理员修改3389端口，也是可以通过端口扫描扫出来，可以采用白名单策略、绑定mac地址、设置登录次数限制等策略限制爆破。

主机加固

主机加固是对系统做安全标记、访问控制等多层立体式防护措施，弥补操作系统缺陷。重新定义操作系统各模块的功能，构建独立的身份鉴别体系，在当杀毒软件、防火墙都不起作用时，仍然能对主机进行保护，防止病毒木马入侵，防止核心数据被偷窥、被破坏、被篡改、被偷走！通过防范外部的攻击，预防内部的主动泄密，解决越权访问等异常行为，弥补传统信息安全解决方案在主机层的安全短板，提升操作系统整体的安全保护的能力。

主机加固核心要点

1、系统加固：将调试好的系统锁定，变成可信系统

2、程序加固：采用可信签名方式对可执行程序、脚本的启动进行实时的hash值校验，校验不通过拒绝启动，并且可信程序无法被伪装

3、文件加固：保护指定类型的文件不被篡改

4、磁盘加密：创建安全沙盒，沙盒对外隔离，对沙盒内的数据进行加密，确保数据只能在授权管理有效前提下，才能被解密。如果没有授权，即使管理员也无法拷贝使用这些数据，即使系统克隆也无效

5、数据库加固（结构化数据）

第一层：数据库文件禁止陌生程序访问和篡改。确保数据库文件级安全。

第二层：数据库端口访问可信过滤，只允许业务程序进行数据库端口通信连接，在连接字符串的IP+端口+账号密码中，追加进程身份识别。

第三层：数据库连接SQL文进行智能过滤，防止关键数据被检索和访问，防止数据库内数据被非法访问，防止数据库表单的危险操作行为。

linux加固

1.修改ssh的配置文件，禁止root直接登录

2.修改密码策略配置文件，确保密码最小长度为8位

3.确保错误登录3次，锁定此账户5分钟

4.禁止su非法提权，只允许root和wheel组用户su到root

5.不响应ICMP请求

6.设置登陆超时时间为10分钟

7结束非法登录用户

windows加固

1.修改3389端口

2.设置安全策略，不允许SAM账户的匿名枚举，不允许SAM账户和共享的匿名枚举

3.在组策略中设置阻止访问注册表编辑工具

4.开启审核对象访问，开启审核目录服务访问，开启审核系统事件

5.禁止445端口漏洞

6.设置屏幕保护在恢复时使用密码保护

7.设置Windows密码策略：设密码必须满足复杂性，设置密码长度最小值为8位，最长存留期为30天

8.开启Windows防火墙，关闭ping服务，打开3389、80等服务

9.关闭系统默认共享

溯源下手

思路：看对方的目的时做什么，根据渗透经验，逆推需要什么操作

下手的几个点：网站源码分析、日志分析、系统存储分析、分析端口进程

xss

1、反射型xss（攻击代码在数据库里，输出在HTTP响应中）

存储型XSS，持久化，代码是存储在服务器中的，如在个人信息或发表文章等地方，插入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，用户访问该页面的时候触发代码执行。这种XSS比较危险，容易造成蠕虫，盗窃cookie

2、存储型xss（攻击代码在url里，输出在HTTP响应中）

非持久化，需要欺骗用户自己去点击链接才能触发XSS代码（服务器中没有这样的页面和内容），一般容易出现在搜索页面。反射型XSS大多数是用来盗取用户的Cookie信息。

3、DOM型xss（攻击代码在url里，输出在DOM节点中）

不经过后端，DOM-XSS漏洞是基于文档对象模型(Document Objeet Model,DOM)的一种漏洞，DOM-XSS是通过url传入参数去控制触发的，其实也属于反射型XSS

Java反序列化漏洞

Java的反射机制为Java开发工程师提供了许多便利，同样也带来了潜在的安全风险，反射机制的存在使得我们可以越过Java本身的静态检查和类型约束，在运行期直接访问和修改目标对象的属性和状态。

Java反射的四大核心：Class，Constructor，Field，Method

Java反序列化漏洞中目前只能传输一个对象的属性与状态，而不是字节码，因此需要使用Java的反射技术将代码的意图进行掩盖，以确保恶意代码能传输到目标服务器上，依托Java本身的特性，将恶意代码包装到一个正常的调用流程里，使得在被触发的时候执行恶意的代码逻辑。

xxe漏洞

XXE漏洞全称XML External Entity Injection即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害。xxe漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件。此类攻击可能包括使用file：方案或系统标识符中的本地路径公开本地文件，其中可能包含敏感数据，例如密码或私人用户数据。由于此类攻击是相对于处理XML文档的应用程序而发生的，因此攻击者可能会使用此受信任的应用程序转到其他内部系统，可能通过http(s)请求公开其他内部内容或启动CSRF攻击任何不受保护的内部服务。在某些情况下，可以通过取消引用恶意URI来利用容易受到客户端内存损坏问题影响的XML处理器库，从而可能允许在应用程序帐户下执行任意代码。其他攻击可以访问可能不会停止返回数据的本地资源，如果未释放太多线程或进程，也可能会影响应用程序的可用性。

该应用程序无需显式将响应返回给攻击者，因为它很容易受到信息泄露的影响。攻击者可以利用DNS信息通过子域名将数据泄漏到他们控制的DNS服务器。

登录框测试

外部实体注入漏洞，通过构造外部实体来进行对内网的探测，文件读取等。

翻js文件，js目录fuzz，注入，xss，找目录，找旁站，sql注入，xss盲打，或者注册用户，查看是非存在任意用户注册，越权，如果有验证码得话就试试验证码爆破，验证码是非可以重复利用。或者是二次注入，万能密码这些。，实在不行就转旁站

SQL注入

报错注入、盲注、时间盲注、二次注入，宽字节,堆叠注入，http header的注入，xff，cookie注入

修复

1.采用预编译绑定的方法

2.检测id数据类型

3.过滤用户的输入

数字型不需要单引号来闭合，而字符串一般需要通过单引号来闭合的。

SQL注入是什么，如何避免SQL注入？(biancheng.net)

SQL注入详解 - myseries - 博客园 (cnblogs.com)

CSRF （客户端请求伪造）

构造html表单，用户访问后会用自己的浏览器提交表单，造成利用

防御：加token，判断header

SSRF （服务端请求伪造）

大都是因为服务端提供了从其他服务器获取数据功能并且没有对目标地址做过滤和限制才造成的

修复方法：

采取白名单,限制内网Ip。对返回内容进行识别禁用一些不必要的协议统一错误信息，避免用户可以根据错误信息来判断远端服务器的端口状态过滤函数，file_get_contents fsockopen() curl_exec()

内网报警 （应急响应->加固->溯源）

具体定位到哪台机器，报警说明知道具体漏洞类型，打相应补丁。利用webshell或者是shell查杀工具查杀，查看tmp目录下是非有带有免杀的木马。彻底清除。再到全流量分析的机子上看，是非有经过其他的机器。拿到攻击ip之后到线上的一些网站查看主机类型，比如360或者微步上，查看是否是傀儡机，vps跳板，或者是国内个人云主机。如果是个人云主机，就可以通过whois查看是非有最近绑定的域名，或者绑定者的邮箱。知道邮箱之后就可以反查询出qq号说多少，再利用社工查询到手机号，到一个知名的网站或知名软件上查询这个手机号有没有注册过什么网站，可以去这些网站通过撞库的方法登入，这样就可以拿到这个攻击者的身份证，学校，地址这些了。

黄金票据

黄金票据也被称为认证票据，与域控制器没有AS-REQ或AS-REP通信。由于黄金票据是伪造的TGT，它作为TGS-REQ的一部分被发送到域控制器以获得服务票据。Kerberos黄金票据是有效的TGT Kerberos票据，因为它是由域Kerberos帐户（KRBTGT）加密和签名的 。TGT仅用于向域控制器上的KDC服务证明用户已被其他域控制器认证。TGT被KRBTGT密码散列加密并且可以被域中的任何KDC服务解密的。

黄金票据的特点：

1.域控制器中的KDC服务不验证TGT中的用户帐户，直到TGT超过20分钟，这意味着攻击者可以使用禁用和删除的帐户，甚至是在Active Directory中不存在的虚拟帐户。

微软的MS-KILE解释：

Kerberos V5不提供对TGS请求的帐户撤销检查，只要TGT有效，即使该帐户已被删除，TGT更新和服务票据也可以发布。KILE提供了一个可以将利用时间限制在较短的时间内（20分内）。当TGT大于20分钟时，KILE KDC需要在域中检查账户。

2.由于在域控制器上由KDC服务生成的域设置了Kerberos策略，如果提供票据，则系统信任票据的有效性。这意味着，即使域策略声明Kerberos登录票据（TGT）只有10小时有效，如果票据声明有效期为10 年，那么也会信任票据的有效性期为10年。

3.该KRBTGT帐户密码从不更改*和直到KRBTGT密码被更改（两次），攻击者可以创建黄金票据。请注意，即使伪造用户更改其密码，创建用于模拟用户的Golden Ticket仍然存在。

4.它绕过了SmartCard身份验证要求，因为它绕过了DC在创建TGT之前执行的常规验证。

5.这个精心创建的TGT要求攻击者拥有Active Directory域的KRBTGT密码哈希值（通常从域控制器转储）。

6.KRBTGT NTLM哈希可用于生成一个有效的TGT（使用RC4）模拟任何用户访问Active Directory中的任何资源。

7.在主机上都可以生成和使用黄金票据（TGT），即使没有加入域也是如此。只要网络可以访问域。

8.用于从AD森林中的DC获取有效的TGS票据，并提供一个坚持在一切域访问所有的主机的好办法。

黄金票据的条件要求 ：

1.域名称[AD PowerShell模块：（Get-ADDomain）.DNSRoot] 2.域的SID 值[AD PowerShell模块：（Get-ADDomain）.DomainSID.Value] 3.域的KRBTGT账户NTLM密码哈希4.伪造用户名

一但攻击者拥有管理员访问域控制器的权限，就可以使用mimikatz来提取KRBTGT账户密码哈希值

黄金票据的局限性：

黄金票据 “欺骗”了当前域的管理权限，当KRBTGT帐户密码哈希显示在作为多域AD的林一部分的子域中时存在此局限性。因为是根（root）域包含全森林管理组Enterprise Admins。由于Mimikatz通过相对标识符（RID）向票据添加了组成员资格，因此Kerberos票据中的519（企业管理）RID在其创建的域中（基于KRBTGT帐户域）被标识为本地。如果通过获取域SID和附加RID创建的域安全标识符（SID）不存在，那么Kerberos票据的持有者不会收到该级别的访问权限。**换句话说，在一个多域AD森林中，如果创建的Golden Ticket域不包含Enterprise Admins组，则Golden Ticket不会向林中的其他域提供管理权限。在单个域Active Directory林中，由于Enterprise Admins组驻留在此域中，这时创建Golden Ticket不存在局限性。
**

绕过黄金票据局限性：

在迁移方案中，从DomainA迁移到DomainB的用户将原始DomainA用户SID值添加到新的DomainB的 SID History属性中。当用户使用新帐户登录DomainB时，DomainA SID将与确定访问的DomainB用户组一起验证。这意味着可以将SID添加到SID历史记录以扩展访问。

一旦Mimikatz支持Golden Ticket（和Silver Tickets）中的SID History，事情会变得更加有趣，因为AD Forest中的任何组都可以被包含并用于授权访问。使用最新版本的Mimikatz，我们现在可以将SID历史记录添加到Forest Enterprise Admins组的Golden Ticket中。一旦单个域名的KRBTGT帐户密码哈希被获取到，通过黄金票据可伪造用户登录到整个森林中。 总而言之，一旦一个域名受到威胁。黄金门票现在可以用来微机AD森林中的任何域

黄金票据防御：

1**.**限制域管理员登录到除域控制器和少数管理服务器以外的任何其他计算机（不要让其他管理员登录到这些服务器）将所有其他权限委派给自定义管理员组。这大大降低了攻击者访问域控制器的Active Directory的ntds.dit。如果攻击者无法访问AD数据库（ntds.dit文件），则无法获取到KRBTGT帐户密码。

2. 禁用KRBTGT帐户，并保存当前的密码以及以前的密码。KRBTGT密码哈希用于在Kerberos票据上签署PAC并对TGT（身份验证票据）进行加密。如果使用不同的密钥（密码）对证书进行签名和加密，则DC（KDC）通过检查KRBTGT以前的密码来验证。

3.建议定期更改KRBTGT密码（毕竟这是一个管理员帐户）。更改一次，然后让AD备份，并在12到24小时后再次更改它。这个过程应该对系统环境没有影响。这个过程应该是确保KRBTGT密码每年至少更改一次的标准方法。

4.一旦攻击者获得了KRBTGT帐号密码哈希的访问权限，就可以随意创建黄金票据。通过快速更改KRBTGT密码两次，使任何现有的黄金票据（以及所有活动的Kerberos票据）失效。这将使所有Kerberos票据无效，并消除攻击者使用其KRBTGT创建有效金票的能力。

关于我

笔者本人 17 年就读于一所普通的本科学校，20 年 6 月在三年经验的时候顺利通过校招实习面试进入大厂，现就职于某大厂安全联合实验室。

如何自学黑客&网络安全

黑客零基础入门学习路线&规划

初级黑客
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

感兴趣的可以访问我的往期文章：
VMware17.0安装教程【附安装包】

Nessus工具安装激活教程，三分钟手把手教会，非常简单
漏洞扫描工具AWVS介绍及安装教程
【2023最新版】超详细Burp Suite安装保姆级教程，Burp Suite的基本介绍及使用，收藏这一篇就够了

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

如果你想要入坑黑客&网络安全，笔者给大家准备了一份：282G全网最全的网络安全资料包需要保存下方图片，微信扫码即可前往获取!

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

[2024最新优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享]

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

如果你零基础入门，笔者建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime；·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；·用Python编写漏洞的exp,然后写一个简单的网络爬虫；·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)；·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，附上学习路线。

网络安全工程师企业级学习路线

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

视频配套资料&国内外网安书籍、文档&工具

当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

一些笔者自己买的、其他平台白嫖不到的视频教程。

如果你想要入坑黑客&网络安全，笔者给大家准备了一份：282G全网最全的网络安全资料包免费领取！

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

[2024最新优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享]

工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

[2024最新优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享]

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

[2024最新优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享]

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。

特别声明：

此教程为纯技术分享！本教程的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本教程的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失。！！！