千寻的博客

原创 [中级等保备考]测评准备

原创 《算法》题目

根据密码分析者所掌握的分析资料的不同，密码分析一般可为四类：唯密文攻击、已知明文攻击、选择明文攻击、选择密文攻击，其中（）是在公开的网络中能获得的最现实的能力。现代密码体制要求密码算法是可以公开评估的，整个密码系统的安全性并不取决对密码算法的保密或者是对密码设备等保护，决定整个密码体制安全性的因素是密钥的保密性。下列哪些密码体制中，采用了置换的处理思想（ ）。对于一个密码系统，若利用已有的最好计算方法，破译它的所需要的代价超出了破译者的破译能力（如时间、空间、资金等资源），那么该密码系统的安全性是（ ）。

原创 《算法SM2》题目

用SM2算法实现一个对1024比特明文的加密，需要（ ）次点乘运算。D.GM/T 0015 基于 SM2密码算法的数字证书格式规范。D.SM9使用时不需要数字证书实现实体与公钥的绑定。C.SM2的私钥产生可以不需要密钥管理中心的参与。D.签名值中，r的最高位为1，s的最高位为 1。A.签名值中，r的最高位为1，s的最高位为 0。B.签名值中，r的最高位为0，s的最高位为 1。C.签名值中，r的最高位为0，s的最高位为 0。SM2算法中的公钥加密算法的公钥是（ ）。B.密文的第一部分是SM2椭圆曲线上的点。

原创 《算法ZUC》题目

ZUC算法的驱动部分采用了带进位的线性反馈移位寄存器。ZUC算法非线性函数F部分使用的两个线性变换 L1，L2的设计与（ ）算法线性扩散层的设计思想相同/类似。ZUC算法非线性函数F部分使用的S-盒其中之一基于有限域逆函数构造，与AES算法的S-盒类似。ZUC算法非线性函数F部分使用的两个线性变换 L1，L2采用（ ）运算设计，降低了实现代价。ZUC算法非线性函数F部分使用的S-盒均具有较低代数免疫度，严重影响算法的安全性。ZUC算法非线性函数F部分使用的两个线性变换 L1，L2的设计采用了（ ）运算。

原创 《算法SM9》题目

D.根据SM9标识密码算法行业标准的规定，SM9密码算法使用的分组密码算法必须是国家密码管理主管部门批准的分组密码算法。B.根据SM9标识密码算法行业标准的规定，SM9密码算法使用的杂凑函数必须是国家密码管理主管部门批准的杂凑函数。根据SM9标识密码算法行业标准的规定，SM9密码算法必须使用国家密码管理主管部门批准的随机数发生器。C.根据SM9标识密码算法行业标准的规定，SM9密码算法使用的分组密码算法必须是AES算法。C.SM9密码算法的用户公钥长度一定为512比特，算法的应用与管理不需要数字证书。

原创 《算法SM4》题目

在量子攻击下，根据Grover算法，采用SM4的分组密码CTR模式抵抗密钥恢复攻击的强度大约是（ ）。根据SM9标识密码算法行业标准的规定，SM9密码算法使用的分组密码算法必须是SM4算法。SM4分组密码的解密算法与加密算法结构相同，只是解密轮密钥是加密轮密钥的逆序。SM4是我国提出的商用密码算法，SM4算法进行密钥扩展时的迭代次数是（ ）。不同于DES算法，SM4算法的密钥是128位，其中密钥有效位也是128位。SM4是我国提出的商用密码算法，SM4算法进行加解密时的迭代次数是（ ）。

原创 GM_T 0008《安全芯片密码检测准则》题目

GM/T 0008《安全芯片密码检测准则》中，达到安全等级1级的安全芯片可应用于安全芯片所部署的外部运行环境能够保障安全芯片自身物理安全和输入输出信息安全的应用场合。GM/T 0008《安全芯片密码检测准则》中，下列内容不属于安全等级2的安全芯片对公钥密码算法的要求的是（）。GM/T 0008《安全芯片密码检测准则》中，下列内容不属于安全等级2的安全芯片对固件存储的要求的是（）。GM/T 0008《安全芯片密码检测准则》中，下列内容不属于安全等级1的安全芯片对密钥生成的要求的是（）。

原创 《算法SM3》题目

SM3密码杂凑算法的输入消息为“abcd”，填充后的消息中，一共有（ ）个非“0”32比特字。SM3密码杂凑算法的输入消息为“abc”，填充后的消息中，一共有（ ）个全“0”消息字。根据SM9标识密码算法行业标准的规定，SM9密码算法使用的Hash函数必须是SM3算法。输入消息“abcd”， 经过SM3 密码杂凑算法填充后，消息的最后32比特是（ ）。对输入为448比特的消息，SM3密码杂凑算法生成杂凑值时需要调用（ ）次压缩函数。SM3密码杂凑算法的杂凑值长度和SHA-256的杂凑值长度相等。

原创 GM_T 0039《密码模块安全检测要求》题目

根据GM/T 0039《密码模块安全检测要求》，密码模块应当采用物理安全机制以限制对模块内容的非授权物理访问，并阻止对已安装模块的非授权使用或修改，检测人员应核实模块（）的物理安全保护机制。根据密码模块相关标准，如果密码模块支持核准和非核准的工作模式，密码模块的安全策略文档中应为模块所包括的核准的工作模式定义完整的服务集合，不需要为非核准的工作模式定义服务集合。根据密码模块相关标准，用于核准的工作模式的非安全相关的算法、安全功能、过程和部件的实现应当不干扰或破坏密码模块核准的工作模式的运行。

原创 《PCI密码卡技术规范》题目

B.在PCI密码卡正常工作时，敏感安全参数（CSP）不能以明文形式出现在硬件设备外部。C.驱动程序必须支持透明传输上位机和下位机的能力，不得截获、解析应用系统中的数据。A.PCI密码卡需具备足够强的物理保护能力，防止底层代码被监听、盗取。A.密码卡的密钥或密钥对的私钥由物理噪声源产生，并通过随机性检测。C.选择支持RSA算法时，应具备2048比特及以上的模长。D.选择支持ECC算法时，应具备256比特及以上的模长。D.硬件存储的私钥必须支持私钥访问控制码的安全访问。A.非对称密码算法应至少支持两种及以上。

原创 GM/T 0012《可信计算可信密码模块接口规范》题目

_单选在GM/T 0012《可信计算可信密码模块接口规范》中,以下（ ）不是该规范中支持的算法。 A.SM2B.SM3C.SM4D.SM9正确答案：D单选在GM/T 0012《可信计算可信密码模块接口规范》中,可信密码模块是（ ）的集合。 A.软件B.硬件C.硬件和固件D.固件正确答案：B单选在GM/T 0012《可信计算可信密码模块接口规范》中,以下（ ）不是可信密码模块内部的引擎。 A.对称算法引擎B.非对称算法引擎C.杂凑算法引擎D.管理引擎正确答

原创 GM/T 0028《密码模块安全技术要求》题目

根据GM/T 0028《密码模块安全技术要求》，如果密码模块使用了知识拆分过程，模块应当使用（）的操作员鉴别，分别鉴别每个密钥分量的输入或输出，而且应至少需要（）密钥分量来重建原来的密钥。GM/T 0028 《密码模块安全技术要求》中，密码边界是明确定义的连续边线，该边线建立了密码模块的物理和/或逻辑边界，并包括了密码模块的所有（）。GM/T 0028 《密码模块安全技术要求》中，密码主管是由个体或代表个体操作的进程所担任的角色，该角色负责执行密码模块的密码初始化或管理功能。关于角色的描述正确的是（）。

原创 GB_T 38636 《信息安全技术 传输层密码协议（TLCP）》题目

GB/T 38636 《信息安全技术 传输层密码协议（TLCP）》中规定，主密钥（master_secret）由（）参数组成，并计算生成的48字节密钥素材，用于生成工作密钥。GB/T 38636 《信息安全技术 传输层密码协议（TLCP）》中规定，TLCP包括记录层协议和握手协议族，握手协议族包含密码规格变更协议、报警协议及握手协议。握手协议的消息通过记录层协议传输。GB/T 38636 《信息安全技术 传输层密码协议（TLCP）》中规定，TLCP包括记录层协议和握手协议族，记录层协议族包括（）类型。

原创 信息安全技术信息系统密码应⽤基本要求39786-多选题

根据GB/T 39786《信息安全技术 信息系统密码应用基本要求》，哪些密码应用等级信息系统责任单位，在密码应用安全事件处置完成后，不强制要求向信息系统主管部门或归属的密码管理部门报告事件发生情况及处置情况（）。GB/T 39786《信息安全技术 信息系统密码应用基本要求》规定，密码应用第三级的信息系统，在应用和数据安全层面，哪些密码机制的实现应使用GB/T 37092二级及以上密码产品（）。

原创 信息安全技术信息系统密码应⽤基本要求39786-单选题

52.GB/T 39786《信息安全技术 信息系统密码应用基本要求》规定，信息系统第三级密码应用要求应用和数据安全层面，在可能涉及法律责任认定的应用中，（）采用密码技术提供数据原发证据和数据接收证据，实现数据原发行为的不可否认性和数据接收行为的不可否认性。50.GB/T 39786《信息安全技术 信息系统密码应用基本要求》规定，信息系统第三级密码应用要求应用和数据安全层面（）采用密码技术保证信息系统应用的重要数据在传输过程中的完整性。

原创 密码法判断题整理

30.根据《密码法》规定，关键信息基础设施的运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应当按照《中华人民共和国行政许可法》的规定，通过国家网信部门会同国家密码管理部门等有关部门组织的国家安全审查。18.根据《密码法》，国家鼓励商用密码技术的研究开发、学术交流、成果转化和推广应用，健全统一、开放、竞争、有序的商用密码市场体系，鼓励和促进商用密码产业发展。36.根据《密码法》，商用密码领域的行业协会等组织依照法律、行政法规及其章程的规定，为商用密码从业单位提供信息、技术、培训等服务。

原创 密码法多选题整理

60.甲机构依法取得商用密码检测机构资质，但在开展检测工作中恶意将A公司有关商用密码产品的源代码泄露给B公司， 帮助其获取市场竞争优势，依据《密码法》，针对该行为，下列说法正确的是（ ）。70.某地密码管理部门贾某因与邻居季某素有矛盾，遂在对季某经营的商用密码产品生产企业进行检查的过程中，恶意刁难，严重影响了企业的正常经营，针对贾某的行为，该地密码管理部门应当（ ）。18.根据《密码法》的规定，国家鼓励商用密码从业单位提升商用密码的防护能力，维护用户的合法权益，采用的标准有（ ）。

原创 密码法单选题整理

37.根据《密码法》，关键信息基础设施的运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应当按照（ ）的规定，通过国家网信部门会同国家密码管理部门等有关部门组织的国家安全审查。20.根据《密码法》，密码管理部门根据工作需要会同有关部门建立核心密码、普通密码的（ ）和应急处置等协作机制，确保核心密码、普通密码安全管理的协同联动和有序高效。25.根据《密码法》，国家鼓励商用密码技术的研究开发、学术交流、成果转化和推广应用，健全（）的商用密码市场体系，鼓励和促进商用密码产业发展。

原创 《中华人民共和国密码法》

中华人民共和国密码法》已由中华人民共和国第十四次会议于2019年10月26日通过，现予公布，自2020年1月1日起施行。

原创 GM/T0116-2021 信息系统密码应用测评过程指南(二)

密评报告应符合信息系统密码应 用安全性评估报告模板要求，包括但不限于以下内容：测评项目概述、被测系统情况、测评范围与方法、 单元测评、整体测评、量化评估、风险分析、评估结论、总体评价、安全问题及改进建议等。a) 按 照GM/T 0115的规定，针对各测评单元涉及的各个测评对象，将实际获得的多个测评结果 与预期的测评结果相比较，分别判断每个测评结果与预期结果之间的符合性，综合判定该测评 对象的测评结果，从而得到每个测评对象对应的测评结果，包括符合、不符合、部分符合和不适 用四种情况。

原创 GM/T0116-2021 信息系统密码应用测评过程指南(一)

GB/T 25069—2010和 GM/Z 4001界定的以及下列术语和定义适用于本文件。测评方对信息系统开展密码应用安全性评估时，应遵循以下原则。a) 客观公正性原则测评实施过程中，测评方应保证在符合国家密码管理部门要求及最小主观判断情形下，按照与被测 单位共同认可的密评方案，基于明确定义的测评方式和解释，实施测评活动。b) 可重用性原则测评工作可重用已有测评结果，包括商用密码检测认证结果和密码应用安全性评估的测评结果等。

原创 GB/T 43206—2023信息安全技术信息系统密码应用测评要求（二）

第五章-第六章节

原创 记一次js泄露pass获取核心业务

* 系统存在js泄露口令信息，获取系统超级管理员权限。* 系统为核心数据研发平台可管控22个数据库，可获取数据库密码等信息，对数据库表等可操作；* 获取root权限主机，为双网卡内网主机，进入逻辑隔离内网。

原创 MacOS安装BurpSuite

7、返回到Contents目录，编辑。1、安装burp，直接双击安装。2、在应用程序中找到burp。，然后就会看到我们熟悉的。3、右键点击显示包内容。

原创 BurpSuit插件HaE - 信息高亮与提取者

HaE是基于插件API 开发的请求高亮标记与信息提取的辅助型框架式插件，该插件可以通过自定义正则的方式匹配响应报文或请求报文，并对满足正则匹配的报文进行信息高亮与提取。现代化Web应用走上前后端分离开发模式，这就导致在日常测试时候会有许多的流量，如果你想要尽可能全面的对一个Web应用进行测试评估，将花费大量精力浪费在无用的报文上；HaE的出现正是为了解决这一类似场景，借助HaE你可以有效的减少测试的时间，将更多的精力放在有价值、有意义的报文上，提高漏洞挖掘效率。主要功能。

原创 《信息安全技术 网络数据处理安全要求》第六部分 数据处理安全管理要求

`《GB/T 41479—2022 信息安全技术 网络数据处理安全要求》`

原创 《信息安全技术 网络数据处理安全要求》第五部分 数据处理安全技术要求

`《GB/T 41479—2022 信息安全技术 网络数据处理安全要求》`

原创 《信息安全技术 网络数据处理安全要求》第四部分 数据处理安全总体要求

《GB/T 41479—2022 信息安全技术 网络数据处理安全要求》

原创 《信息安全技术 网络数据处理安全要求》第一章-第三章

《信息安全技术 网络数据处理安全要求》第一章-第三章

原创 某智慧校园信息管理系统存在任意文件上传漏洞

某智慧校园信息管理系统PSE`存在任意文件上传漏洞，攻击者可通过该漏洞获取服务器权限。

原创 BurpSuit的intruder模块结果进行筛选和导出

BurpSuit的intruder模块结果进行筛选和导出想要把页面的用户名和手机号进行过滤保存

原创 某心理健康测评系统-账号密码泄露漏洞复现

京师心智心理测评健康管理系统》由京师心智与北京师范大学心理学院联合研发，秉承精准测量的研发理念，为用户提供各种专业化的测评服务.系统主要包含人员信息管理、心理测评、危机预警、心理档案等8大核心功能，涵盖心理健康、情绪、个性、社会和学习适应性、压力状态、职业、家庭、心理能力等多方面的测量工具，能够满足广大心理健康工作者，对成员心理状况全面评估与诊断、快速筛选和及时干预的需求。

原创 某联达OA任意用户登录漏洞复现

由于`/WebService/Lk6SyncService/DirectToOthers/GetSSOStamp.asm`j接口未作限制，导致可以通过该接口调用`admin`的`cookie`值，通过对`LoginCredence`和`LoginTimestamp`的参数修改，进而实现任意登录进去系统.

原创 CVE-2020-1472域渗透 NetLogon 权限提升漏洞

模拟环境：获取了一个加入了域的计算机权限，在system账号权限的情况下，将域管密码置空，导出域管hash，然后进行连接

原创 勒索病毒搜索引擎

https://lesuobingdu.360.cn/https://guanjia.qq.com/pr/ls/https://lesuo.venuseye.com.cn/https://lesuobingdu.qianxin.com/index/getFilehttps://edr.sangfor.com.cn/#/information/ransom_searchhttps://id-ransomware.malwarehunterteam.com/https://noransom.kaspe

原创 SQL Server数据库xp_cmdshell提权笔记

SQL Server数据库xp_cmdshell提权

原创 密码安全宣传教育知识题

一些密码安全的知识题库

原创 mac电脑解决无法打开软件

打开系统偏好设置>安全性与隐私>通用，这个时候有个按钮，“仍然允许”点击即可。按住Control键点按应用, 然后打开，这样会把应用增加到白名单中许可执行。macOS无法验证此App是否包含恶意软件。临时关闭安全检查，执行如下命令。

原创 RuoYi 若依后台管理系统存在SQL注入漏洞CVE-2023-49371

RuoYi是中国若依（RuoYi）个人开发者的一款后台管理系统。该漏洞源于通过/system/dept/edit存在SQL注入漏洞在系统管理–部门控制–进行修改，抓取数据包，在在status参数追加发现存在SQL注入漏洞。

原创 ⻜企互联loginService任意登录

飞企互联-FE企业运营管理平台多处接口处存在登录绕过，未授权的攻击者可构造恶意的url访问页面，可直接进入后台管理页面，获取敏感信息。