- 博客(11)
- 收藏
- 关注
RSS订阅原创 网安毕业实习——Day 8
RCE（远程代码执行）漏洞的原理在于攻击者能够向目标系统发送恶意输入，这些输入被目标系统不当处理或未进行充分验证，导致系统执行了攻击者指定的代码。这通常发生在应用程序需要从用户那里接收输入，并将其作为代码或命令的一部分来执行时。如果应用程序没有对这些输入进行严格的验证和过滤，攻击者就可以构造恶意输入，从而控制目标系统。系统命令注入：在Web应用中，如果应用程序在执行系统命令时使用了用户输入的数据且未进行充分过滤，就可能出现命令注入漏洞。攻击者可以通过注入恶意命令来执行任意代码。代码注入。
2024-09-12 21:47:02
424
原创 网安毕业实习——Day 10
1、内网信息收集确定目标系统：确定要攻击的目标系统，包括其IP地址、操作系统类型等。收集系统信息：使用各种命令和工具收集目标系统的详细信息，包括操作系统版本、内核版本等。常用的命令有uname -a（查看系统全部信息）、uname -r（查看内核版本）、cat /etc/issue（查看系统版本）等。搜索已知漏洞：根据收集到的内核版本信息，使用漏洞搜索工具（如Kali Linux中的searchsploit）搜索可能存在的内核漏洞及其对应的exploit（漏洞利用代码）。
2024-09-12 20:34:33
575
原创 网安毕业实习——Day 9
示例：net user将显示系统中所有用户的用户名、全名、注释、用户是否已被禁用等信息。提供系统的详细信息，包括操作系统版本、安装日期、系统类型、处理器信息、内存大小等。kali关闭防火墙：Kali之——关闭防火墙_kali关闭防火墙-优快云博客。显示网络配置信息，包括 IP 地址、子网掩码、默认网关、DNS 服务器等。提供更详细的用户账户信息，包括用户名、SID、描述、密码过期时间等。列出所有逻辑磁盘的信息，包括盘符、文件系统类型、容量等。1.信息收集:收集系统信息，补丁信息，杀软等。
2024-09-12 20:24:29
565
原创 网安毕业实习——Day 11
立即响应：收到安全事件报告后，立即启动应急响应流程。事件评估：初步判断事件的性质、影响范围及严重程度。组建应急团队：根据事件类型，组建包含技术、法务、公关等成员的应急响应团队。事件复盘：对事件进行复盘，总结经验教训。优化预案：根据事件处理过程中发现的问题，优化应急响应预案。培训演练：加强应急响应培训，定期组织应急演练，提高团队应对能力。
2024-09-12 20:14:39
245
原创 网安毕业实习——Day 7
文件上传漏洞是指由于程序员在对用户文件上传部分的控制不足或者处理缺陷，而导致的用户可以越过其本身权限向服务器上上传可执行的动态脚本文件。这里上传的文件可以是木马，病毒，恶意脚本或者WebShell等。（1）客户端校验js前端校验文件类型：通过JavaScript在客户端检查文件扩展名，不过客户端校验易被绕过，只能作为初步防御（2）服务端校验校验上传文件类型：使用白名单机制，仅允许特定类型的文件上传，并结合文件签名（magic number）等技术准确判断文件类型。校验上传文件内容。
2024-09-09 09:54:06
1959
原创 网安实习记录——Day6
CSRF攻击的流程用户C打开浏览器，访问受信任网站A，输入用户名和密码请求登录网站A；在用户信息通过验证后，网站A产生Cookie信息并返回给浏览器，此时用户登录网站A成功，可以正常发送请求到网站A；用户未退出网站A之前，在同一浏览器中，打开一个TAB页访问网站B；网站B接收到用户请求后，返回一些攻击性代码，并发出一个请求要求访问第三方站点A；浏览器在接收到这些攻击性代码后，根据网站B的请求，在用户不知情的情况下携带Cookie信息，向网站A发出请求。
2024-09-03 11:32:44
1029
原创 网安毕业实训——Day5
1. 判断有无注入点输入测试：在应用程序的输入字段（如URL参数、表单输入等）中尝试输入特殊字符（如单引号、双引号、注释符--等），观察应用程序的反应。逻辑判断：使用and 1=1和and 1=2等逻辑判断语句，观察应用程序返回的结果是否发生变化。如果变化，则可能存在注入点。
2024-09-03 01:24:18
2165
原创 网安毕业实习——Day 4
html的解析器类似于一个状态机，会获取字符并按照转换规则转换到另一种状态，在解析的过程中，遇到了 < 就会进入标签开始的状态，然后就到了标签名状态。在xss中我们很多页面都把 < > 等符号进行了html实体化的操作，这样就可以防护xss。因为当解析器遇到 & 的时候，它知道这是数据状态的字符引用，所以会消耗一个字符引用，把 html 实体编码，变成对应的字符。但是这时候在解析这个字符时，不会转换到标签的开始状态的，所以用户输入的数据只能解析成数据了。
2024-09-02 09:54:02
1694
原创 网安毕业实习——Day 3
主动扫描：指用户输入目标域名或URL后，Xray基于爬虫模式自动爬取网站上的所有链接，并对这些链接进行深入的漏洞扫描。在这个过程中，Xray会对GET、POST等请求进行参数变形和污染，进行重放测试，然后依据返回信息中的状态码、数据大小、数据内容关键字等去判断该请求是否含有相应的漏洞。在这个过程中，Xray不会对网站进行大规模的爬虫爬取行为，而是通过分析实际的请求和响应数据来识别潜在的漏洞。解决方法为生成 ca 证书。安装软件，注册并登录账号，新建扫描，输入扫描ip，选择端口范围，点击开始，进行扫描。
2024-08-30 11:19:41
896
原创 毕业实习作业——Day1
该模式所有变量同时替换，但是各自变量替换各自的字典，同时进行，但是互不相干。替换时第一个变量的第一替换值对应第二个变量的第一个替换值，不进行排列组合，就是1对1，2对2。三个密码中第二个长度不同，检查其响应包。修改配置文件config.inc.php， 修改用户名为 root ，密码为 123456，用户名密码与上一步保持一致。随便输入用户名和密码，可看到BP将登陆包拦截下来，在请求体中可看到登录的用户名和密码。1）启动Nginx时，可能提示端口80被占用，可以选择打开配置，端口改为83，便可启动成功。
2024-08-28 00:06:04
973
1
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人