- 博客(86)
- 资源 (1)
- 收藏
- 关注
RSS订阅原创 《OWASP代码审计》学习——SQL注入漏洞审计
注入攻击允许恶意用户向应用程序添加或注入内容和命令，以修改其行为。这些类型的攻击是常见且广泛的，黑客很容易测试网站是否易受攻击，攻击者也很容易利用这些攻击。如今，它们在尚未更新的遗留应用程序中非常常见。
2023-08-04 21:40:19
739
原创 AES与DES加密解密算法
AES（Advanced Encryption Standard，高级加密标准）的出现，是因为以前使用的DES算法密钥长度较短，已经不适应当今数据加密安 全性的要求，因此2000年10月2日，美国政府宣布将比利时密码学家Joan Daemen和Vincent Rijmen提出的密码算法RIJNDAEL作为高级加密标准。2001年11月26日，美国政府正式颁布AES为美国国家标准（编号为FIST PUBS 197）。这是密码史上的又一个重要事件。
2023-08-04 11:17:37
2654
1
原创 HCIE-Security 安全策略技术——流量处理
是指在某个安全区域内（一个安全区域，通常是指属于某个组织的一系列处理和通信资源），用于所有与安全相关活动的一套规则。这些规则是由此安全区域中所设立的一个安全权力机构建立的，并由安全控制机构来描述、实施或实现的。
2023-08-03 14:37:00
534
原创 HCIE Security——防火墙互联技术
防火墙是一个由计算机硬件和软件组成的系统，部署于网络边界，是内部网络和外部网络之间的连接桥梁，同时对进出网络边界的数据进行保护，防止恶意入侵、恶意代码的传播等，保障内部网络数据的安全 [1] 。防火墙技术是建立在网络技术和信息安全技术基础上的应用性安全技术，几乎所有的企业内部网络与外部网络（如因特网）相连接的边界设都会放置防火墙，防火墙能够起到安全过滤和安全隔离外网攻击、入侵等有害的网络安全信息和行为 [2] 。
2023-07-31 17:17:54
911
原创 渗透测试工程师、网络安全工程师学习目标及计划
这张技术全景图是博主对信息安全专业的了解学习，以及通过多方资料学习整理出来的，也结合了个人的一些学习经验在里面，图里详细列举了渗透测试这门技术应该具备的知识技能以及一些相关的图书的推荐。里面东西均为通过个人经验对渗透测试的了解和学习列举出来的，还请大家多多补充和斧正！！！！由于整张全景图太大，没办法一次性上传，所以博主将图片分成几个板块上传了。如果需要整张全景图可以在文件结尾下载哦！
2023-07-30 13:05:34
768
原创 渗透测试工程师的一些面试题3（同样适合刚入门的小白看哦~~~！）
针对token的攻击，一是对它本身的攻击，重放测试一次性、分析加密规则、校验方式是否正确等，二是结合信息泄露漏洞对它的获取，结合着发起组合攻击信息泄露有可能是缓存、日志、get，也有可能是利用跨站很多跳转登录的都依赖token，有一个跳转漏洞加反射型跨站就可以组合成登录劫持了另外也可以结合着其它业务来描述token的安全性及设计不好怎么被绕过比如抢红包业务之类的。防御：禁止跳转，限制协议，内外网限制，URL限制。绕过：使用不同协议，针对IP，IP格式的绕过，针对URL，恶意URL增添其他字符，@之类的。
2023-07-29 09:01:12
309
原创 渗透测试工程师的一些面试题2（同样适合一些刚入门的小白看哦~~~！）
服务器的相关信息（真实ip，系统类型，版本，开放端口，WAF等）网站指纹识别（包括，cms，cdn，证书等），dns记录whois信息，姓名，备案，邮箱，电话反查（邮箱丢社工库，社工准备等）子域名收集，旁站，C段等google hacking针对化搜索，pdf文件，中间件版本，弱口令扫描等扫描网站目录结构，爆后台，网站banner，测试文件，备份等敏感文件泄漏等传输协议，通用漏洞，exp，github源码等。
2023-07-29 08:43:25
382
原创 渗透测试工程师的一些面试题1（同样适合刚入门的小白看哦~~！）
服务器的相关信息（真实ip，系统类型，版本，开放端口，WAF等）网站指纹识别（包括，cms，cdn，证书等），dns记录whois信息，姓名，备案，邮箱，电话反查（邮箱丢社工库，社工准备等）子域名收集，旁站，C段等google hacking针对化搜索，pdf文件，中间件版本，弱口令扫描等扫描网站目录结构，爆后台，网站banner，测试文件，备份等敏感文件泄漏等传输协议，通用漏洞，exp，github源码等。
2023-07-29 08:42:18
292
原创 内网渗透——内网信息收集
渗透测试进入内网之后，首先要对所处的内网环境进行判断，有以下三个方面：对当前机器角色进行判断对当前机器所处网络环境及拓扑结构进行判断分析对当前机器所处区域进行判断。
2023-07-22 15:31:10
1529
原创 Windows与Linux取证分析
格式化HFS+文件系统时，生成文件系统卷头（2号扇区），类似FAT和NTFS的DBR，卷头偏移量0X10-0X1F处记录了创建、修改、备份、最后检查时间四个时间信息，创建时间以本地时间保存，其他时间以GMT/UTC时间保存。文件的属性时间是确定文件的创建 、修改和访问的重要标记。注册表被称为Windows操作系统的核心，它的工作原理实质是一个庞大的数据库，存放了关于计算机硬件的配置信息、系统和应用软件的初始化信息、应用软件和文档文件的关联关系、硬件设备的说明以及各种状态信息和数据。
2023-07-18 17:17:57
4560
原创 浅谈逻辑漏洞中的越权访问漏洞
水平越权：通过更换的某个ID之类的身份标识，从而使A账号获得（增删查改）B账号的数据垂直越权：使用低权限身份的账号，发送高权限账号的请求，获得其高权限的操作未授权访问：通过删除请求中的认证信息后重放该请求，依旧可以访问或者完成操作假设用户A和用户B属于同一角色，拥有相同的权限等级，他们能获取自己的私有数据（数据A和数据B），但如果系统只验证了能访问数据的角色，而没有对数据做细分或者校验，导致用户A能访问到用户B的数据（数据B），那么用户A访问数据的这种行为就叫做水平越权访问。
2023-07-02 16:48:31
589
原创 CTF安全竞赛介绍
Web是CTF中最主要的题型，也是大多数人入门CTF的第一类题目，这类题目涉及常见的Web漏洞，例如：SQL注入，XSS，CSRF，文件上传、包含、下载，代码执行，反序列化等等。也有一些关于网络基础知识的考察：TCP/IP协议，数据包内容和构造等等MISC是CTF中综合性最强的一类题目，也是难度略大的一类，主要涉及隐写，流量审查，取证分析，社会工程学，数据分析与统计等包括古典密码学和现代密码学，古典密码学种类多，趣味性较强；现代密码学对数学，算法，编程能力要求高。
2023-07-01 17:35:07
8796
原创 记一次我的漏洞挖掘实战——某公司的SQL注入漏洞
我是在漏洞盒子上提交的漏洞，上面有一个项目叫做公益SRC。公益src是一个白帽子提交随机发现的漏洞的品台，我们可以把我们随机发现或者是主动寻找到的漏洞在漏洞盒子进行提交。在挖掘src的时候不能越红线，一般情况下遇到SQL注入 只获取数据库名字以证明漏洞的存在即可，最好不要再往下获取。而xss漏洞 ，只获取自己的cookie或ip等信息以证明漏洞存在。遇到信息泄露时，如果存在可以下载敏感文件的情况那么在漏洞确认后一定要将文件删除。SQL注入的防御方法很多，也是老生常谈的问题。
2023-05-02 17:17:52
5453
8
原创 Python渗透测试编程基础——线程、进程与协程
python3进程多线程编程的模块有_thread和threading：①_thread 模块：只提供基本的线程和锁定支持，不能很好的控制线程的运行。（不建议使用）②threading 模块：提供了更高级别、功能更全面的线程管理。threading是常用的模块。返回当前进程返回当前活跃的线程数返回当前线程的线程标识符返图当前活动Thed对象列表返回主Tred对象stack_size(size) | 返回线程栈大小;或为后续创建的线程设定栈大小为size返回线程栈大小;或为后续创建的线程设定。
2023-04-29 10:14:43
1613
原创 PIKACHU靶场 ——字符和数字型SQL注入练习
进入靶场可以看见一个输入框，所以现在里面判断注入点类型，在输入框中输入了1'后，报错，并且显示到URL中，判断参数提交方式为GET传参在URL栏中输入了一下语句，判断为字符型SQL注入漏洞1' #报错1'and'1'='1 #未报错1'and'1'='2 #未报错综上为字符型SQL注入漏洞。
2023-04-03 16:27:37
1032
原创 Python渗透测试编程基础——Socket网络编程
Socket通信是基于客户端/服务器结构（C/S），可隐藏复杂的TCP/IP协议族，只要遵循Socket的规定就可以进行网络程序开发，简单且开发效率高。Python中的socket模块，提供了套接字编程的大部分功能。支持使用UDP和TCP协议进行网络通信。UDP属于无连接协议，在向接收方发送信息时不需要建立连接，而是直接发送即可。Socket又称"套接字"，是计算机间进行网络通信的一套程序接口。UDP的应用：域名系统；socket模块方法如图所示。一、socket编程简介。UDP编程流程及常用的。
2023-03-24 09:23:31
2667
3
原创 【linux】剖析底层——带你详细了解Linux内核源码的构成及其作用
以及Linux系统调用，字符设备的和文件系统的指南，还有某些编程相关的内容;它是一种低功耗的RISC处理器，由Tensilica公司开发，具有高可配置性，包括可自定义的指令集，硬件加速器，多处理器，高容量存储，以及多个安全等级的支持。它是一种RISC处理器体系结构，其中包含多款不同的处理器产品，包括针对低成本，大容量存储，虚拟化，图形处理，以及应用程序指令优化的设计。它是一种IBM的架构，用于构建极高性能的RISC处理器，其具有多项必备的硬件功能，可支持指令集向后兼容性，以及低能耗和高可靠性。
2023-02-01 12:07:20
3699
原创 思科与华为设备中DHCP配置命令（超详细~~！！）
DHCP(Dynamic Host Configuration Protocol)，动态主机配置协议：计算机用来获得配置信息的协议。DHCP容许给某一计算机赋以IP地址而不需要管理者在服务器数据中配置有关该计算机信息。DHCP作用就是给PC分配一个IP。在一个局域网里面，你的路由有这个功能的话，那它就会把PC的MC地址记住，然后给这个PC分配一个IP地址，然后这个MC地址的PC以后就用这个IP地址上网，作用就是可以防止外来PC上网，和避免IP地址重复使用造成的错误。
2023-01-29 10:34:17
13708
3
原创 思科与华为设备中的OSFP配置命令以及部分实例（超详细~~！！）
OSPF路由协议是用于网际协议（IP）网络的链路状态路由协议。该协议使用链路状态路由算法的内部网关协议（IGP），在单一自治系统（AS）内部工作。适用于IPv4的OSPFv2协议定义于RFC 2328，RFC 5340定义了适用于IPv6的OSPFv3。
2023-01-20 15:47:16
5355
原创 Linux应用基础——控制服务与守护进程
service扩展名，代表系统服务。这种单元用于启动经常访问的守护进程。守护进程是执行各种任务的后台等待或运行的进程，一般情况下，守护进程在系统引导时自动启动并持续运行至关机或被手动停止，Linux中许多守护进程的名称以字母d结尾并行化功能，提高系统的启动速度按需启动守护进程，而不需要单独的服务自动服务依赖关系管理，可以防止长时间超市利用Linux控制组一起追踪相关进程的方式
2023-01-19 15:39:01
2965
原创 Linux应用基础——监控与管理进程
现有的父进程复制自己的地址空间（fork）来创建一个新的子进程结构，每个新进程分配有一个唯一进程ID（PID），满足跟踪和安全性需求，PID和父进程ID（PPID）是新进程环境的元素，任何进程可创建子进程，所有进程都是第一个系统进程的后代。进程是已启动的可执行程序的运行中的实例。分配的系统资源，如文件描述符合网络端口。安全属性，包括所有凭证和特权。程序代码的一个或多个执行线程。已分配的内存的地址空间。
2023-01-13 16:05:55
1487
2
原创 Nginx web服务器入门及其在Linux中的搭建
Nginx (engine x) 是一个高性能的HTTP和反向代理web服务器 [13]，同时也提供了IMAP/POP3/SMTP服务。Nginx是由伊戈尔·赛索耶夫为俄罗斯访问量第二的Rambler.ru站点（俄文：Рамблер）开发的，公开版本1.19.6发布于2020年12月15日。 [11]其将源代码以类BSD许可证的形式发布，因它的稳定性、丰富的功能集、简单的配置文件和低系统资源的消耗而闻名。2022年01月25日，nginx 1.21.6发布。 [12]Nginx是一款轻量级的Web 服务
2023-01-10 11:28:32
2431
原创 Kali Linux渗透测试小实践——Metasploit与后门木马
Metasploit是一款开源的安全漏洞检测工具，可以帮助安全和IT专业人士识别安全性问题，验证漏洞的缓解措施，并管理专家驱动的安全性进行评估，提供真正的安全风险情报。这些功能包括智能开发，代码审计，Web应用程序扫描，社会工程。团队合作，在Metasploit和综合报告提出了他们的发现。
2023-01-08 11:29:06
3108
原创 高可用Keepalived在Linux中的应用
VRRP协议叫虚拟路由器冗余协议，是由IETF提出的解决局域网中配置静态网关出现单点失效现象的路由协议基于VRRP协议实现，原生设计是为了高可用LVS服务。（1）通过VRRP协议，可以完成地址漂移技术（2）为VIP地址所在节点生成IPVS规则（需要在配置文件中预先定义）（3）为IPVS集群的RS节点做健康状态检测通常 master 服务故障后 backup 会变成 master,但是当 master 服务恢复后，master会抢占VIP，这样就会发生两次切换;对业务繁忙的网站来说并不是太友好;
2023-01-06 15:21:35
2773
1
原创 Linux中的Rsync备份服务
push推送：rsync 选项 远程主机模块（不是目录） 远程主机用户（虚拟机用户） 远程主机地址 将远程主机模块备份至本地的位置。数据很重要，减少数据的几率，便于快速恢复，一般对于用户录入数据这些重要数据可以选择录入，对于一般的软件、配置文件来讲可以不做备份。pull拉取：rsync 选项 远程主机用户（虚拟用户） 远程主机地址 远程主机模块（不是目录） 将远程主机数据备份至本地的位置。（1）创建rsync账户，不允许登录不创建家目录（用于运行rsync服务的用户身份）
2022-12-21 17:20:07
3009
原创 Linux中的Chrony时间同步服务
chrony 是基于NPT协议的实现时间同步服务，它既可以当做服务端，也可以充当客户端。chrony是ntp的代替品，能更精确的时间和更快的速度同步时钟，chrony 占用系统资源少，只有被唤起时才占用少部分CPU，chrony兼容ntpdate，chrony允许本地网络其他主机像本地进行时间同步。
2022-12-18 20:37:35
4100
原创 Kali Linux渗透测试小实践——DNS欺骗
DNS欺骗也称为DNS劫持或重定向，是一种DNS攻击，其中DNS查询被错误地解析，从而意外地将用户重定向到恶意站点。为了进行攻击，犯罪者要么在用户计算机上安装恶意软件，接管路由器，要么拦截或破坏DNS通信。DNS劫持可用于欺骗在这种情况下，攻击者通常显示不需要的广告以产生收入;或用于网络钓鱼，显示用户访问的虚假网站版本并窃取数据或凭据。
2022-12-17 14:33:42
4149
9
原创 思科设备中STP生成树协议及其配置
STP可以通过阻断冗余链路来消除网络中可能存在的环路，还能在活动路劲发声故障是，激活备份链路，及时恢复网络连通性。BPDU是运行STP功能的交换机之间交换的数据帧，包含两种类型：一种是配置BPDU，用于生成树计算，另一种是拓扑变化通知BPDU（TCN BPDU），用于通知网络拓扑的的变化协议ID该总值为0版本STP的版本BPDU类型配置BPDU=00，TCN BPDU=80标志802.1D只使用8个比特中的最高位和最低位，最低位1是TC标志，最高位1是TCA标志根桥ID根桥的ID。
2022-12-09 15:55:27
11330
原创 Linux实战案例——使用LNMP+WordPress搭建个人博客网站
LNMP是指一组通常一起使用来运行动态网站或者服务器的自由软件名称首字母缩写。L指Linux，N指Nginx，M一般指MySQL，也可以指MariaDB，P一般指PHP，也可以指Perl或Python。
2022-11-16 20:33:41
1653
3
原创 Linux中SAMBA服务管理与搭建
SAMBA最先在Linux和Windows两个平台之间架起了一座桥梁，并且提供不同系统间的共享服务，还能拥有强大的打印服务功能。SAMBA是一组软件包，依赖于SMB（消息块协议）
2022-11-04 15:05:46
1832
原创 《CTF特训营》——APK逆向基础
一般由4层，Linux内核层，系统运行层，应用框架层和应用层，从开发人员的角度来讲，一个Android应用可以分为两个部分：一部分使用java来实现，也称为Dalvik虚拟机层，一部分使用C/C++实现，也称为Native层。
2022-10-27 21:11:13
3117
原创 一篇文章，带你详细了解CSS基础知识
层叠样式表(英文全称：Cascading Style Sheets)是一种用来表现HTML（标准通用标记语言的一个应用）或XML（标准通用标记语言的一个子集）等文件样式的计算机语言。CSS不仅可以静态地修饰网页，还可以配合各种脚本语言动态地对网页各元素进行格式化。 [1] CSS 能够对网页中元素位置的排版进行像素级精确控制，支持几乎所有的字体字号样式，拥有对网页对象和模型样式编辑的能力。 [2]
2022-10-25 08:35:10
3794
原创 一篇文章，带你详细了解HTML基础知识
HTML是用来描述网页的一种语言，中文名称叫做超文本标记语言（HyperTEXT Markup Language)HTML不是一门编程语言，是一种标记语言，本身有一套完整的标记标签通过这些标签标记来描述网页，完整标签组成的文档称为HTML文档，包含了文本和标签，是一个完整的HTML文档也叫Web页面。
2022-10-23 10:56:17
1991
原创 NFS服务器搭建与管理
file1,file2具体的目录文件。块级别数据共享共享存储空间块，1G，500MFTP和NFS应用场景不一样NFS实现的是NFS-server的多个不同目录下需求的文件共享实现方式不一样FTP通过类似于VSFTP数据包工具来实现；通过上传与下载实现FTP数据共享，NFS是文件系统挂载的方式共享文件数据。相当于在客户端本地访问数据一样。可以节省磁盘空间，可以节省客户端磁盘空间。
2022-10-22 08:25:19
1178
原创 Linux系统中的FTP服务配置与管理
FTP（文件传输协议）是用于在上进行文件传输的一套标准协议，它工作在 OSI 模型的第七层， TCP 模型的第四层， 即应用层， 使用 TCP 传输，客户在和服务器建立连接前要经过一个“三次握手”的过程， 保证客户与服务器之间的连接是可靠的， 而且是面向连接， 为数据传输提供可靠保证。FTP在文件传输的一个重要特定是支持断点续传。
2022-10-13 21:27:23
5244
原创 思科设备中DHCP 服务的配置
DHCP全称动态主机配置协议，它能动态分配IP地址给网络中的主机使用，从而减少管理员的工作量，并提高工作灵活性。
2022-10-12 15:45:25
10332
1
Python实现凯撒密码加密解密
2023-11-18
一个简单的卷积神经网络Python代码
2023-11-18
渗透测试技术详细全景图
2023-07-30
DVWA-DVWA渗透测试平台文件
2023-03-07
Log4j2漏洞检测工具
2023-02-06
eNSP——华为模拟器
2022-10-03
Sublime Text ——万能编辑、编程软件
2022-10-03
IDA Pro——逆向工程，二进制分析必备软件
2022-02-12
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人