护网蓝队面试常见问题（百题斩第二弹）

如何查看系统内存 shell

我们可以通过使用一些命令来查看系统内存的使用情况。以下是一些常用的命令：

1. free：用于显示当前系统的内存使用情况，包括已用内存、空闲内存、缓冲区内存和交换分区内存等。

​
$ free -h
          total       used       free     shared buff/cache   available
Mem:           7.8G       3.4G       289M         88M       4.1G       4.0G
Swap:         2.0G       895M       1.1G

1. top：用于实时监视进程的运行状态，包括CPU和内存的使用情况。在 top 命令中，我们可以按 M 键排序以查看占用内存较多的进程。

2. ps：用于列出正在运行的进程，可以结合其他的选项来查看进程的详细信息，例如：

​
$ ps aux --sort=-%mem | head
USER       PID %CPU %MEM   VSZ   RSS TTY     STAT START   TIME COMMAND
root         1 0.0 0.1 225804 11356 ?       Ss   05:30   0:01 /sbin/init splash
...

以上命令都是在命令行环境下执行的。如果要图形化地查看系统内存使用情况，可以使用 GNOME 系统监视器（gnome-system-monitor）或 KDE 系统监视器（ksysguard）等工具，在图形化界面中方便地查看系统内存的使用情况和进程信息。

需要注意的是，当我们在 shell 中查看内存使用情况时，不要随意终止或杀死系统进程，否则可能会导致不可预估的后果。

不安全的第三方组件的漏洞如何做前置规避？

以下是一些规避不安全的第三方组件漏洞的前置方法：

1. 筛选可靠的第三方组件：在选择和采用第三方组件时，应该尽量选择那些经过广泛使用和审查、开源社区活跃、有明确维护计划等因素使人们信任的组件。此外还可以参考其他用户反馈、评测结果等对第三方组件进行评估。

2. 定期更新组件版本：及时更新第三方组件以修复已知漏洞是很重要的。因此，需要定期检查并更新使用的第三方组件。

3. 加强访问控制：为了防止黑客攻击通过不安全的第三方组件进入系统，需要加强访问控制，例如限制只有授权用户才能访问系统。

4. 实施安全策略：实施相关的安全策略，如深度防御、安全审计等，以提高系统的安全性。

5. 停用不必要的功能：如果某个第三方组件包含多个功能，但仅有部分功能被系统所用到，建议将未使用的功能关闭或移除，从而减少系统被攻击的风险。

6. 使用漏洞扫描工具进行检测：使用漏洞扫描工具对系统中的第三方组件进行定期检测，及时发现已知漏洞并修复。

需要注意的是，在前置规避不安全的第三方组件漏洞时，不能完全依赖于单一的措施。相反，应该采用多种手段来提高系统的安全性，从而避免被攻击者利用不安全的第三方组件漏洞进行攻击。

Java 内存马排查有了解吗

Java内存马，也称为Java远程代码执行漏洞，是一种利用Java反序列化漏洞的攻击方式。攻击者可以通过构造恶意的序列化对象，将其发送给目标服务器并触发反序列化操作，从而在目标服务器上执行任意代码。以下是几种排查Java内存马的方法：

1. 追踪日志文件：如果系统已经被攻击，应该首先检查系统的日志文件，查找异常的请求或响应内容，并结合其他的信息确定是否存在Java内存马。

2. 检查网络流量：可以使用Wireshark等网络抓包工具来监视服务器的网络流量，并分析报文中的数据内容，查找是否存在异常的Java序列化数据。

3. 检查反序列化漏洞：Java内存马利用了Java反序列化漏洞，因此我们可以使用一些反序列化漏洞扫描工具（如 ysoserial）来检测系统是否受到这类漏洞的影响，并及时修补漏洞。

4. 检查系统进程：Java内存马通常会在目标服务器上启动一个新的进程来执行恶意代码，因此可以通过检查系统进程列表，查找是否存在不明确的、异常的进程。

5. 安装安全软件：为了更好地保障系统的安全性，可以安装一些专业的安全软件，如杀毒软件、入侵检测系统（IDS）等，并定期进行扫描和审计。

需要注意的是，在排查Java内存马时，应该综合使用多种方法来确定是否存在此类攻击。同时也要及时修补系统漏洞，加强访问控制，并采取其他措施提高系统的安全性。

如何修改 WEB 端口？如果不能修改端口还有什么利用方法？

要修改 WEB 端口，需要在 Web 服务器的配置文件中修改端口号。以下是一些常见的 Web 服务器的端口修改方式：

1. Apache：找到 Apache 的 httpd.conf 配置文件，编辑 Listen 指令即可。

​
Listen 8080

1. Nginx：找到 Nginx 的 nginx.conf 配置文件，编辑 http 模块下的 listen 指令即可。

​
http {
...
server {
    listen 8080;
}
...
}

1. Tomcat：找到 Tomcat 的 server.xml 配置文件，编辑 Connector 指令中的 port 属性即可。

​
<Connector port="8080" protocol="HTTP/1.1"
        connectionTimeout="20000"
        redirectPort="8443" />

如果不能修改端口，攻击者可能会尝试其他利用方法，如：

1. 尝试使用默认或者弱口令登录：许多 web 应用程序都有默认的用户名和密码，或者用户使用简单的密码。攻击者可以通过爆破等方式，尝试使用这些凭据登录系统。

2. 利用已知漏洞进行攻击：攻击者可以通过利用已知的漏洞来攻击目标系统，例如，注入攻击、文件上传漏洞、跨站点脚本（XSS）漏洞等。

3. 利用社工攻击：攻击者可以使用钓鱼邮件、欺诈电话等方式进行社交工程攻击，从而获得目标系统的访问凭据或者其他重要信息。

为了防止这些攻击，我们应该采取一系列措施来加强系统安全。例如：

1. 使用复杂的密码和多因素身份验证，提高登录安全性。

2. 及时更新软件版本和安全补丁，修复已知的漏洞。

3. 限制访问权限，仅允许授权用户访问系统，并对不明来源的流量进行阻拦或监测。

4. 部署入侵检测系统（IDS）或入侵防御系统（IPS），对入侵行为进行实时监测和防范。

5. 定期进行漏洞扫描、安全审计等工作，及时发现并修补系统中存在的漏洞。

获得文件读取漏洞，通常会读哪些文件，Linux 和 windows 都谈谈

获得文件读取漏洞后，攻击者通常会尝试读取一些敏感信息，例如系统配置文件、数据库凭据、应用程序源代码等。以下是在 Linux 和 Windows 操作系统上，攻击者可能会尝试读取的一些文件：

1. Linux

• /etc/passwd：包含本地用户的账户信息。

• /etc/group：包含用户组的信息。

• /etc/shadow：保存本地用户密码哈希值的文件。

• /etc/sudoers：保存 sudo 命令权限的文件。

• /proc/net/tcp：包含当前正在运行的 TCP 连接信息。

• /var/log/auth.log：包含系统中用户认证和授权的日志信息。

• 应用程序配置文件：攻击者可能会尝试读取应用程序的配置文件，以获取数据库连接字符串等信息。

1. Windows

• C:\Windows\system32\config\SAM：包含本地账户的哈希密码值。

• C:\Windows\system32\config\SYSTEM：包含系统的配置信息。

• C:\inetpub\wwwroot\web.config：包含 IIS 网站的配置信息。

• C:\Program Files (x86)\MySQL\MySQL Server 5.7\my.ini：包含 MySQL 数据库的配置信息。

• C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys：包含机器级别的 RSA 密钥。

• Event log 文件：攻击者可能会尝试读取操作系统事件日志文件，以查看系统的历史记录信息。