hvv蓝队面试题收集

分析研判属于护网蓝队的中级岗位，需要进一步分析判断流量包是否为攻击，为何种攻击，并执行IP封禁协助溯源等工作，在实际的工作中安全服务/安全运维岗基本也需要会这一块的内容，分析研判大部分内容是分析告警流量特征，学习的内容包括常见的攻击流量特征、攻击工具流量特征、框架及中间件流量特征、Webshell管理工具流量特征等，面试题一般也是问这些流量特征！

1、常见的攻击流量特征

（1）SQL注入流量特征

• SQL语句关键字：select、where、order by、union、update、delete

• 系统函数：user()、@@version、database()

• 特定的数据库函数或者特性：information_schema库（用来获取数据库库名、表名、字段名）、报错注入三大函数（updatexml、extractvalue、floor）

• 编码和转义：URL编码（%27代表单引号...）、十六进制编码（char(39)...）、ASCII编码（0x27...）等、注释语句--或者#或者/**/

• 多个或者错误的SQL语句：在一个请求中插入多条查询语句，或者插入格式错误的查询语句

（2）XSS流量特征

• 请求包中包含各种形式的HTML或者JavaScript标签（如<script>、<img>、<iframe>等）以及弹窗函数（如alert()、confirm()、prompt()），返回包中返回了对应的未被正确过滤的前端脚本语句

（3）RCE流量特征

• 请求头或者URL中可能会有危险的函数：比如PHP中的命令执行函数如system()、exec()、shell_exec()、passthru()函数、文件操作函数如popen()函数、代码执行函数如eval()、assert()函数，Java中的命令执行函数runtime.getruntime.exec函数等

• 流量中包含特殊的字符：比如|、||、&、&&、反单引号、>、>>、<、<<等

• 流量中包含系统命令或敏感文件路径：命令如ls、cat、rm，敏感文件路径如/etc/passwd、/etc/shadow、/var/log等

（4）SSRF流量特征

• URL参数异常：URL参数指向内网地址或者不应该访问的地址，参数值是内网IP或127.0.0.1或者使用了伪协议（file://、ftp://、dict://、gopher://）

• 参数值后面存在特殊的字符或者使用编码绕过：特殊字符比如点号、冒号、空格，编码比如URL编码、Base64编码、16进制编码等隐藏或混淆IP地址或者域名

2、攻击工具流量特征

（1）Cobalt Strike流量特征

• HTTP请求特征：默认使用GET方法向特定URL地址（比如/load、/dpixel、/pix