信息安全如何入坑挖洞?
2020-07-17 12:12:07 Author: www.secpulse.com(查看原文) 阅读量:578 收藏

大家对于信息安全或网络安全比较熟悉的词应该就是“黑客”了吧,事实上从事网络安全的人在技能上确实让你说一句“我擦,这也可以”。信息安全领域的内容比较杂,很多大学是信息安全专业的同学发现毕业时好像什么也没学到,又有一些非信息安全专业却此次很有兴趣想要自学的,该如何走好第一步,或者要经过几步才能真正入坑?

学习·理论

首先肯定要学一些技术方法论了,这个阶段就是入门,C、C++、汇编都是基础中的基础,还有例如软件逆向以及软件调试等初级知识需要掌握,有了这些打底之后,才能深入操作系统内核去了解些操作系统的真正原理。

Web安全的技能点同样多的数不过来,因为要搞Web方向的安全,意味初学者要对Web开发技术有所了解,例如能通过前后端技术做一个Web网站出来,好比要搞[网络安全],首先要懂如何搭建一个网络出来。那么,Web技术就涉及到以下内容:

通信协议:TCP、HTTP、HTTPs

操作系统:Linux、Windows

服务架设:Apache、Nginx、LAMP、LNMP、MVC架构

数据库:MySQL、SQL Server、Oracle

编程语言:前端语言(HTML/CSS/JavaScript)、后端语言(PHP/Java/ASP/Python)

如果按照上面的技能全部学完,不仅时间周期非常长,估计大部分人连学后面安全的兴趣都没有了。所以,这就说到Web安全这个行业另外一个常态了:大部分做Web安全的,并不是刚开始就对Web开发技术非常熟悉的,很多都是半路杀出来了,甚至连Web网站都没有架设过的,这种大有人在。因此有更加狭义的Web安全技术点:

安全理论:OWASP TOP 10 、PETS、ISO 27001…

后端安全:SQL注入、文件上传、Webshell(木马)、文件包含、命令执行…

前端安全:XSS跨站脚本攻击、CSRF跨站请求伪造…

安全产品:Web漏洞扫描(Burp/WVS/Appscan)、WAF(Web应用防火墙)、IDS/IPS(Web入侵防御)、Web主机防护

因此,Web开发技术和Web安全技术其实是相辅相成的,如果对Web开发比较熟悉,意味着研究Web安全时能够更加底层,而不止于安全工具和脚本层面。

>>>.学习 Web 安全方向需要有一定的编程基础<<<<

推荐书单:

《白帽子讲Web安全》

《Hacking the Hacker》

《黑客大曝光》

分享一点知识图谱:

web安全脑图.jpg

内网安全.png加密威胁.jpg

应急响应.jpgwire.jpg

比如一些前辈的分享:

https://zhuanlan.zhihu.com/p/35753603

https://zhuanlan.zhihu.com/p/24698829

https://www.zhihu.com/question/23190460/answer/555364236

网盘资料:

【汇总篇】工具及教程分享链接:

链接:https://pan.baidu.com/s/1uzVqksn44fP2iba5qrJLVA 密码:u8p4

【其他 1】linux下无限制版nessus,重新更新链接: https://pan.baidu.com/s/1byuxNOacLhIgwijAqW6NWg提取码: 2333

最新更新包,部署和密码看图链接:

https://pan.baidu.com/s/1OHQJcy1I6fVJGXh-BAG_eA提取码: 23g8

【其他2】Linux版awvs最新版v_190325161破解

链接: https://pan.baidu.com/s/1L_X8DdtSGGmtddaaK7MT1Q提取码: v463

【其他3】Burpsuite和Metasploit基础教程

链接: https://pan.baidu.com/s/13jHPIXPWFl5tZShtQjiEwQ提取码: 4a65

链接:https://pan.baidu.com/s/1pVp8aG0m_qFSuPs1MZvhyA提取码:risd

链接:https://pan.baidu.com/s/1f5jIASYksUSR76CcT-I0xQ 密码:jdux

以上是告诉你怎么学,接下来说学会了怎么去动手啊?“没病你就出来走两步”,实践是检验真理的唯一办法——挖洞,有很多漏洞安全提交平台可以让你去挖洞,又或者参加一些CTF比赛,如何参加,可以看我之前的一篇内容:https://www.zhihu.com/question/321053471/answer/745274731

实践 · 挖洞

去SRC厂商挖洞,比如这些,我这里就不一一赘述了:

SRC平台截图.png

挖洞流程:

  • 利用搜集好的域名

Github搜索“src 域名”

https://github.com/search?q=src+域名

  • SRC基础信息收集

微信公众号、xxsrc微信群。主要关注双倍积分活动、奖励大小、技术交流群里的信息。

  • 通过公开信息掌握基础漏洞

在公开了漏洞标题的平台找最近活跃的漏洞类型是什么,然后找相关的实例学习。

  • 通过公开信息掌握赏金较高的业务系统

通过某些公开了的漏洞标题找到业务系统,然后找同类型业务系统测试

https://sec.ly.com/bugs

https://hackerone.com/hacktivity?sort_type=latest_disclosable_activity_at&filter=type%3Aall&page=1&range=forever

https://dvpnet.io/lddt

  • 大量的漏洞提交

不同的应急响应中心对业务漏洞的关注度不同,多提交才能知道哪些漏洞是能够高危的

1.不通过是因为写的不够详细,审核复现太麻烦,没有url,

2.教育和政府类发现xss不收,高危漏洞类型收的快

3.getshell评分高

  • 漏洞新玩法

1.代码审计白盒挖掘传统漏洞

2.传统漏洞比较少(更多是业务逻辑,越权,资源耗尽导致的拒绝服务,多个漏洞的组合拳(xss+csrf))

3.需要更深层的资产搜集(比如阿里18周年,app搜集)

4.跟踪最新业务(京东618之前,上线了京东保租业务,近期上线了京东房产)

5.大数据分析(采集白帽子们提交的漏洞标题,分析挖洞行为)

6.业务和漏洞威胁情报

7.app漏洞挖掘

8.c/s架构漏洞挖掘/lot设备漏洞挖掘

9.hacker0ne公开的漏洞姿势学习和twitter上的分享

  • 漏洞扫描器收集

Scanners Box是一个集合github平台上的安全行业从业者自研开源扫描器的仓库

https://github.com/We5ter/Scanners-Box

原博客地址:https://www.cnblogs.com/17bdw/p/11816373.html

一旦你入门信息安全了,请严格遵守法律,树立正确价值观,以上的分享大部分来自网络整理。

本文作者:牛油果 1472301220

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/135438.html


文章来源: https://www.secpulse.com/archives/135438.html
如有侵权请联系:admin#unsafe.sh