- 博客(564)
- 资源 (15)
- 收藏
- 关注
RSS订阅
原创 oscp练习目录
0x00 前言这里将oscp所做的练习进行一个总结，并且将每一个题所需要的内容以及可以练习学习到的东西进行汇总。0x01 vulnhub总览题目链接文章链接Me and My Girlfriend 1https://www.vulnhub.com/entry/me-and-my-girlfriend-1,409/https://blog.youkuaiyun.com/qq_36...
2020-01-25 18:06:41
13370
1
原创 python实用手册
python命令行执行https://blog.youkuaiyun.com/qq_36869808/article/details/87935350python开多线程https://blog.youkuaiyun.com/qq_36869808/article/details/88114543python爬虫随机head头https://blog.youkuaiyun.com/qq_36869808/article/d...
2019-03-25 15:16:59
39357
1
原创 CTF合集
0x00 前言总计记录我在CTF的道路0x01 练习1.Bugku1.1 杂项Bugku-闪的好快 601.2 webBugku-we5 60Bugku-头等舱Bugku-网站被黑Bugku-管理员系统Bugku-web40x02 资源在线编码字母url编码...
2018-10-25 11:48:50
3369
原创 企业安全——FIPs
先来看一道题目。这道题目涉及到的就是道德规范和互联网相关内容，本文会对相关内容进行描述和整理。正确答案是：D 注意FIPs的主要目的是为了限制，也就是针对数据的守则。
2025-04-04 17:33:15
85
原创 企业安全之——消息身份认证码（HMAC）
先来看一道题目：在哈希消息认证码(HMAC)中用于密钥分发？答案选A：HMAC可以理解为是一种更简易的对称加密，也可以；理解为是盐。本文会对HMAC进行一个简单的阐述，从而得到最终的结果。
2025-04-04 17:08:38
347
原创 企业建设——访问控制模型
有一个比较简单的逻辑需要先了解一下，什么是访问控制，其实就是控制访问的方式和方法，将这些方式和方法汇总起来就是我们说的访问控制模型。访问控制模型分为自主访问控制（DAC）和非自主访问控制。DAC允许客体所有者等控制访问，如个人文件管理。非自主访问控制由管理员集中管理，包含多种模型：RBAC基于角色和权限组；基于规则的访问控制使用规则过滤操作，如防火墙；ABAC以属性为依据，如设备类型；MAC通过标签匹配控制访问；基于风险的访问控制根据环境和状态变化触发校验，如账号异常登录时的双因子认证。
2025-03-24 22:54:55
369
原创 QEMU11安装以及启动arm Debian
QEMU 是一款开源的虚拟机软件，由 Fabrice Bellard 开发，能够模拟多种硬件设备，从而在一台计算机上运行不同操作系统的虚拟机实例。它支持系统级模拟和用户级模拟，为用户提供了一个灵活且强大的平台，用于测试软件、运行不同系统环境下的应用程序以及进行系统开发和调试。
2025-03-20 00:44:49
546
原创 企业安全——密码学基础
密码学的内容一直都是零零散散的，学一遍忘一遍，对于这些很少用到的内容，只能这样子去进行重复，效率低从此没有效率会稍微好一点。总会比说出base64是一种加密方式贻笑大方的好一点。
2025-03-17 22:34:55
365
原创 企业安全—对数据和资产进行识别和分类
NIST SP 800-122的定义：(1)任何可用于识别或追踪个人身份的信息，如姓名、社会保险账号、出生日期、出生地点、姓名或生物识别记录(2)与个人有关联或有指向性的其他信息，如医疗、教育、财务和就业信息。最重要的是，组织有责任保护 PII，包括与员工和客户相关的PII。许多法律要求，当数据泄露导致 PII 丢失时，组织要通知个人。
2025-03-11 22:52:28
406
原创 企业安全——公司产权保护
本篇将会全面介绍公司资产保护相关的法律知识，涵盖知识产权、进出口限制、隐私法及合规等方面。如存在任何问题，还请见谅并指出。
2025-03-09 10:18:36
833
原创 企业安全—— 法律,法规和合规
法律,法规和合规是一个企业在发展到一定程度上一定是面对的一个事情，在你小的时候没有管你，但是当你出现在公众面前的时候，盯着你的人就有很多了。所以组织一定要满足营业当地的法律，法规，以及合规要求。这些内容如同达尔摩斯之剑高悬头顶，随时落下。以下内容主要以美国为主，如果是国内的还请跳过。
2025-03-05 22:21:10
802
原创 企业建设——业务持续性
业务持续(Business Continuity，BC)是组织在发生风险并导致中断的情况下，维持业务功能或快速恢复业务功能的能力。灾难恢复(Disaster Recovery，DR)是将灾难或重大中断的影响降至最低的流程。灾难恢复意味着采取必要的措施，确保资源、人员和业务流程安全，并能够及时恢复运营。
2025-03-04 23:10:51
293
原创 企业建设——控制措施类型
一般我们常见的都是出现问题之后进行的补救措施，但这往往是不够的，我们需要从多个方面进行防护和预防，这涉及到攻击者通常是通过点进行攻击，而防护这需要通过面来进行防护，所以这就导致，防护的成本会特别的高。本篇会介绍一些常见的安全措施的内容。
2025-03-02 23:10:25
688
原创 企业安全—定量风险分析
定量风险分析的本质就是通过金钱去衡量每种威胁发生的可能性，以及发生威胁所付出的成功，从而进行区分，将重要资源划分到重要的位置，让钱花在刀刃上。
2025-02-27 23:11:08
363
原创 HTB—OnlyHacks
立了Flag，今年要完成12台Lab，避免将一些内容遗弃或者放下。此为今年第一台，在开机前，我也不知道难易程度，只能说当做老年恢复训练，尔尔。
2025-02-18 23:41:02
437
原创 安全问答—评估和应用安全治理原则相关
安全职能需依业务战略等调整，通过有效安全管理计划及组织流程等保障，参考安全控制框架并秉持应尽关心态度，各角色明确责任协同保障安全，同时关注收购等特殊业务场景安全风险及应对措施。
2025-02-18 22:30:00
1000
原创 安全问答—安全的基本架构
定义：为保障数据、客体或资源保密状态采取的措施。目标：阻止或最小化未经授权的数据访问。（如果组织成功的话，那对应的效果就是防止了非必要的泄露）PS：这里的访问实际上说的是数据的流动，数据只能流向有权限的目标。未授权越权定义：保护数据的可靠性和正确性的概念目标：防止了未经授权的数据更改。PS：完整性其实就是数据在流动的过程中，不能被修改，最常见的就是数据加密数据签名权限校验完整性和保密性实际上是相互依赖的关系，二者有一没有做好，基本上都会出现问题。
2025-02-17 23:00:00
552
原创 云安全之云计算基础
一种新的运作模式和一组用于管理计算资源共享池的技术。云计算是一种颠覆性的技术，它可以增强协作，提高敏捷性，可扩展性以及可用性，还可以通过优化资源分配，提高计算效率来降低成本。云计算模式构想了一个全新的世界，组件可以迅速调配、置备、部署和回收，还可以迅速地扩充或缩减，以提供按需的，类似于效用计算的分配和消费模式。NIST云计算定义：云计算是一个模式，它是一种无处不在的，便捷的，按需的，基于网络访问的，共享使用，可配置的计算资源，可以通过最少的管理工作或与服务提供商的互动来快速置备并发布。
2024-11-14 23:15:00
2134
原创 CISSP—实现安全治理和原则的策略
首先拿到这个标题会想到什么内容呢， 实现安全治理和原则的策略，简要的拆分成问题就是其实这个就是当我们看到这个标题的时候应该想到的事情。若果这一章节学完，没有理解这些问题就可以考虑重新思考答案。
2024-06-07 15:22:16
1244
1
原创 IP路由基础
就是路由表里没有的情况下就走缺省路由通过路由表进行路由递归查找的过程来源相同，开销相同的路由会形成等价路由，等价路由相当于做了一个负载分担的操作浮动路由实际上就是备份路由，当正式路由出现问题的时候就走浮动路由出接口是Null0那么就是黑洞路由，出接口是0的数据包就会被直接丢弃。
2024-01-31 20:00:00
2174
原创 业务连续性计划
disaster recovery planning 灾难恢复计划业务影响分析（business impact analysis）最大允许中断时间 （maximum tolerable downtime）最大容忍中断时间中断发生后实际回复业务所需的时间 recovery time objective恢复点目标 recovery point objective恢复的时间节点BCP（Business Continuity Planning）是指企业持续运营计划，是一种灾难恢复计划。
2024-01-29 20:45:00
1570
原创 人员安全和风险管理的概念
合规是符合或遵守规则、策略、法规、标准或要求的行为。风险管理是一个详细的过程，包括识别可能造成资产损坏或泄露的原因，根据资产价值和控制措施的成本评估这些因素，并且实施具有成本效应的解决方案来减轻风险。检查环境中的风险，评估每个威胁事件发生的可能性和实际发生后造成的损失。使用成本效益去评估风险措施，保护措施和安全控制。实际上就是对风险的后续解决方案。因威胁而容易遭受资产损失，存在可以或将要被利用脆弱性的可能性。风险=威胁脆弱性风险= 损害的可能性损害的严重程度。
2024-01-29 20:30:00
1546
原创 实验：eNSP AR通过telnet远程登录另外一台AR
通用路由平台VRP(versatile Routing Platform) 数据通信产品的通用操作平台。其实就是相当于路由器交换器的独有操作系统。一组古话到设备内主板上的ROM芯片中的程序，保存着设备的基本输入输出陈姑息。
2024-01-26 19:30:00
1680
原创 eNSP 实验 两台AR配置同网段
通用路由平台VRP(versatile Routing Platform) 数据通信产品的通用操作平台。其实就是相当于路由器交换器的独有操作系统。一组古话到设备内主板上的ROM芯片中的程序，保存着设备的基本输入输出陈姑息。
2024-01-26 14:07:34
1383
原创 STP生成树
相当于在环形中，大家不停的反复进行泛洪广播，从而导致出现广播风暴耗尽所有资源的情况。因为二层环路导致一个mac地址有两个接口互相竞争，导致出现MAC地址漂移。Spanning tree Protocol 生成树协议在STP中，每一台交换机都有一个标识符就是桥ID或者叫做BID。在STP交换网络中的树根，桥ID最小的设备会被选举为根桥。根路径开销（ROOT path cost）。一台设备从某个几口到达根的RPC等于根桥到该设备的所有方向的COst累加。
2024-01-22 20:00:00
1370
原创 VLAN原理与配置
Virtual Local Area NetWork 虚拟局域网技术。Access接口，交换机上用来连接终端的接口，只收发无标记帧，Access接口只能加入一个VLAN。允许多个VLAN数据帧通过，就是VLAN划分使用的接口同时兼容Access接口和Trunk接口的功能。
2024-01-10 19:30:00
1724
原创 安全基础知识
保密性是指为保障数据、客体或资源保密状态而采取的措施。就是正常数据里填充一些无用的信息，其实用混淆这个词来形容会更好一点。敏感性是指信息的特征，这些特征的数据一旦泄露就会导致伤害或者损失。比如一些比较重要的数据，身份id，password，生物特征等，实际上对应的就是密级，针对不同的密级有不同的处理手段和方法。判断力是一种决策行为，操作者可影响或控制信息泄露，以将伤害或损失程度降到最低。
2024-01-09 20:00:00
1795
原创 以太网交换基础
以太网是一种局域网技术，用于链接终端，进行网络通信。冲突域是指连接在同一公共介质上的所有节点的集合。就像冲突域的名字，同一公共介质上的所有节点都是相互竞争的，并且在这条介质上的报文，其他节点都可以进行接收。其实也就是混杂模式下可以监听数据包的原因。在同一时间只能允许一台计算机发送数据帧。载波监听多点接入/碰撞检测 协议广播报文能到达的整个访问范围称为二层广播域。Media Access Control 在网络中唯一标识一个网卡，每个网卡都有并且拥有唯一的一个MAC地址。
2024-01-08 22:00:00
2474
原创 OSPF基础
基于距离矢量算法修改后的算法形成协议，被称为路径矢量路由协议典型的链路状态路由协议。OSPF Area用于表示一个OSPF的区域，通过逻辑上将设备分为不同的组。用于在一个OSPF域中唯一的标识一条路由器，相当于路由器的名字。（通常用ip来进行命名）OSPF使用cost作为路由的度量值，默认cost=100mbit/s 除以接口宽带。cost的值为一条链路上所有的cost的和。用来保存OSPF邻居状态的表保存自己产生的从邻居收到的LSA信息。路由表包含Destination、cost以及nextHop内容。
2024-01-08 15:17:14
1458
原创 网络层协议及IP编址
协议栈逐层向下传递数据，并添加报头和报尾的过程称为封装。将报文分割成多个片段的过程叫做分片TTL是生存时间，没经过一台三层设备TTL减1，如果TTL降为0，报文会被抛弃，主要是为了避免出现环路。IPV4中默认是64，v6 128在特定的情况下，当路由器检测到一台机器使用的非最优路由的时候就会发送ICMP重定向报文。
2024-01-07 10:59:53
2023
原创 VRP系统
通用路由平台VRP(versatile Routing Platform) 数据通信产品的通用操作平台。其实就是相当于路由器交换器的独有操作系统。
2024-01-05 14:26:03
1490
原创 企业安全—从头开始做等保
系统定级系统备案系统整改等级评测监督检查想要了解详情的话，建议还是能从头到晚等保跟一遍，有能力的话还需要请外部等保公司来辅助等保的评定会相对好很多。中国电信股份有限公司中国联通股份有限公司中国移动通信集团有限公司中移动互联网有限公司中移信通安全技术有限公司中国信息安全测评中心北京神州绿盟科技有限公司超盾网络科技有限公司北京四维图新科技股份有限公司360企业安全集团有限公司还是需要一个可靠的公司来进行辅助会好一点。
2023-11-14 16:20:13
1218
原创 代码审计—SpringBoot Filter加载顺序
代码审计中，如果遇到了SpringBoot，Filter的执行顺序肯定是至关重要的，所以本节来看一下SpringBoot的Filter加载顺序。
2023-11-12 11:43:46
1449
SDL安全建设流程落地方法方案
2023-03-05
CVE-2016-3720
2023-02-22
CVE-2022-22963 复现Demo
2022-04-14
marshalsec.jar.7z
2021-12-03
vulhub-master.zip
2019-12-03
Dex文件头结构解析器
2018-03-05
Android逆向-java代码基础（1）
2018-01-06
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人