网络安全工程师毕业答辩杂记
目錄
01 數(shù)通技術(shù)知識(shí)要點(diǎn)... 1
02 滲透測(cè)試基礎(chǔ)... 1
03 滲透測(cè)試環(huán)境搭建與工具使用... 1
04 信息收集... 1
05 web安全... 2
06 不定性拓展內(nèi)容... 2
07 應(yīng)急響應(yīng)... 2
08 安全基線... 3
09 操作系統(tǒng)要點(diǎn)... 3
01 數(shù)通技術(shù)知識(shí)要點(diǎn)
主流園區(qū)網(wǎng)絡(luò)架構(gòu)有哪些層次（區(qū)域），每個(gè)層次（區(qū)域）的主要功能是什么？
02 滲透測(cè)試基礎(chǔ)
1.什么是滲透測(cè)試？
2.滲透測(cè)試的目的是什么？
3.滲透測(cè)試方法分類？
4.滲透測(cè)試執(zhí)行流程？
5.滲透測(cè)試報(bào)告如何撰寫？有比較好的自動(dòng)化生成工具嗎？
6.滲透測(cè)試的對(duì)象包含哪些？
7.可以說(shuō)一下都了解什么應(yīng)用系統(tǒng)框架嗎？
03 滲透測(cè)試環(huán)境搭建與工具使用
04 信息收集
瀏覽網(wǎng)站，看看網(wǎng)站規(guī)模，功能，特點(diǎn)等
端口，弱口令，目錄等掃描,對(duì)響應(yīng)的端口進(jìn)行漏洞探測(cè)，比如 rsync,心臟出血，mysql,ftp,ssh弱口令等。XSS，SQL注入，上傳，命令注入，CSRF，cookie安全檢測(cè)，敏感信息，通信數(shù)據(jù)傳輸，暴力破解，任意文件上傳，越權(quán)訪問(wèn)，未授權(quán)訪問(wèn)，目錄遍歷，文件 包含，重放攻擊（短信轟炸），服務(wù)器漏洞檢測(cè)，最后使用漏掃工具等
1) 信息收集：獲取域名的whois信息,獲取注冊(cè)者郵箱姓名電話等，丟社工庫(kù)里看看有沒(méi)有泄露密碼，然后嘗試用泄露的密碼進(jìn)行登錄后臺(tái)。 用郵箱做關(guān)鍵詞進(jìn)行丟進(jìn)搜索引擎。 利用搜索到的關(guān)聯(lián)信息找出其他郵箱進(jìn)而得到常用社交賬號(hào)。 社工找出社交賬號(hào)，里面或許會(huì)找出管理員設(shè)置密碼的習(xí)慣 。 利用已有信息生成專用字典。查詢服務(wù)器旁站以及子域名站點(diǎn)，因?yàn)橹髡疽话惚容^難，所以先看看旁站有沒(méi)有通用性的cms或者其他漏洞。查看服務(wù)器操作系統(tǒng)版本，web中間件，看看是否存在已知的漏洞，比如IIAPACHE,NGINX的解析漏洞查看IP，進(jìn)行IP地址端口掃描，對(duì)響應(yīng)的端口進(jìn)行漏洞探測(cè)，比如 rsync,心臟出血，mysql,ftp,ssh弱口令等。掃描網(wǎng)站目錄結(jié)構(gòu)，看看是否可以遍歷目錄，或者敏感文件泄漏，比如php探針， google hack 進(jìn)一步探測(cè)網(wǎng)站的信息，后臺(tái)，敏感文件
? 2) 漏洞掃描：開始檢測(cè)漏洞，如XSS,XSRF,sql注入，代碼執(zhí)行，命令執(zhí)行，越權(quán)訪問(wèn)，目錄讀取，任意文件讀取，下載，文件包含，? 遠(yuǎn)程命令執(zhí)行，弱口令，上傳，編輯器漏洞，暴力破解等
? 3) 漏洞利用：利用以上的方式拿到webshell，或者其他權(quán)限
? 4) 權(quán)限提升：提權(quán)服務(wù)器，比如windows下mysql的udf提權(quán)，serv-u提權(quán)，windows低版本的漏洞，如iis6,pr,巴西烤肉，linux臟牛漏洞，linux內(nèi)核版本漏洞提權(quán)，linux下的mysql system提權(quán)以及oracle低權(quán)限提權(quán)
? 5) 日志清理
? 6) 總結(jié)報(bào)告及修復(fù)方案
05 web安全
06 不定性拓展內(nèi)容
?續(xù)：
"1.拿到一個(gè)待檢測(cè)的站，你覺(jué)得應(yīng)該先做什么？",
????收集信息：?whois、網(wǎng)站源IP、旁站、C段網(wǎng)站、服務(wù)器系統(tǒng)版本、容器版本、程序版本、數(shù)據(jù)庫(kù)類型、二級(jí)域名、防火墻、維護(hù)者信息...
"2.mysql的網(wǎng)站注入，5.0以上和5.0以下有什么區(qū)別？",
?? 5.0以下沒(méi)有information_schema這個(gè)系統(tǒng)表，無(wú)法列表名等，只能暴力跑表名。
"3.在滲透過(guò)程中，收集目標(biāo)站注冊(cè)人郵箱對(duì)我們有什么價(jià)值？",
????丟社工庫(kù)里看看有沒(méi)有泄露密碼，然后嘗試用泄露的密碼進(jìn)行登錄后臺(tái)。用郵箱做關(guān)鍵詞進(jìn)行丟進(jìn)搜索引擎。利用搜索到的關(guān)聯(lián)信息找出其他郵箱進(jìn)而得到常用社交賬號(hào)。
社工找出社交賬號(hào)，里面或許會(huì)找出管理員設(shè)置密碼的習(xí)慣 。利用已有信息生成專用字典。觀察管理員常逛哪些非大眾性網(wǎng)站，拿下它。直接發(fā)送釣魚文件鏈接等
"4.判斷出網(wǎng)站的CMS對(duì)滲透有什么意義？",
????查找網(wǎng)上已曝光的程序漏洞。如果開源，還能下載相對(duì)應(yīng)的源碼進(jìn)行代碼審計(jì)。
"5.目前已知哪些版本的容器有解析漏洞，具體舉例。",
?IIS 6.0
????/xx.asp/xx.jpg "xx.asp"是文件夾名
????IIS 7.0/7.5
????默認(rèn)Fast-CGI開啟，直接在url中圖片地址后面輸入/1.php，會(huì)把正常圖片當(dāng)成php解析
????Nginx
????版本小于等于0.8.37，利用方法和IIS 7.0/7.5一樣，Fast-CGI關(guān)閉情況下也可利用。
????空字節(jié)代碼 xxx.jpg.php
????Apache
????上傳的文件命名為：test.php.x1.x2.x3，Apache是從右往左判斷后綴
"6.目標(biāo)站發(fā)現(xiàn)某txt的下載地址為\
http://www.test.com/down/down.php?file=/upwdown/1.txt，\
你有什么思路？",
????這就是傳說(shuō)中的下載漏洞！在file=后面嘗試輸入index.php下載他的首頁(yè)文件，然后在首頁(yè)文件里繼續(xù)查找其他網(wǎng)站的配置文件，可以找出網(wǎng)站的數(shù)據(jù)庫(kù)密碼和數(shù)據(jù)庫(kù)的地址。
"7.發(fā)現(xiàn) demo.jsp?uid=110 注入點(diǎn)，你有哪幾種思路獲取 webshell，哪種是優(yōu)選？",
有寫入權(quán)限的，構(gòu)造聯(lián)合查詢語(yǔ)句使用using INTO OUTFILE，可以將查詢的輸出重定向到系統(tǒng)的文件中，
這樣去寫入 WebShell 使用 sqlmap –os-shell 原理和上面一種相同，來(lái)直接獲得一個(gè) Shell，
這樣效率更高 通過(guò)構(gòu)造聯(lián)合查詢語(yǔ)句得到網(wǎng)站管理員的賬戶和密碼，然后掃后臺(tái)登錄后臺(tái)，再在后臺(tái)通過(guò)改包上傳等方法上傳 Shell
"8.如何利用Google Hacking快速查找URL中含有/admin/login.php的網(wǎng)站，\
并列舉其他常用的Google Hacking高級(jí)操作參數(shù)。",
cache:url查看指定URL快照
"9.例如www.baidu.com 存在DNS域傳送漏洞，\
寫出利用方法(Windows和Linux任意一種即可)",
dig @存在域傳送漏洞服務(wù)器ip地址 axfr 查詢內(nèi)容【域名，不要帶www】
nslookup
set type=ns
ls -d url >url.txt
區(qū)域傳送是DNS常用的功能，區(qū)域傳送的漏洞也不是沒(méi)有辦法解決的，嚴(yán)格限制允許區(qū)域傳送的主機(jī)即可
"10.sql注入分為哪幾種？這幾種在注入的時(shí)候有什么分別？",
字符型，數(shù)字型，搜索型，注入方法為聯(lián)合查詢注入，報(bào)錯(cuò)注入，布爾盲注，時(shí)間盲注，對(duì)查詢
"11.XSS分為幾種？簡(jiǎn)單描述cookie和session",
dom型，反射型，存儲(chǔ)型
cookies文件的內(nèi)容大致上包括了諸如用戶名、密碼、設(shè)置等信息。保存在客戶端
session中主要保存用戶的登錄信息、操作信息等等。此 session將在用戶訪問(wèn)結(jié)束后自動(dòng)消失
存儲(chǔ)數(shù)據(jù)的大小不同，一個(gè) cookie存儲(chǔ)的數(shù)據(jù)不超過(guò)3 K; session存儲(chǔ)在服務(wù)器上可以任意存儲(chǔ)數(shù)據(jù)，但是，當(dāng) session存儲(chǔ)數(shù)據(jù)太多時(shí)，服務(wù)器可選擇進(jìn)行清理。
"12.請(qǐng)列舉常見的可以對(duì)網(wǎng)站進(jìn)行自動(dòng)化的web掃描工具",
awvs web站點(diǎn)掃描
Nikto這是一個(gè)開源的Web服務(wù)器掃描程序，它可以對(duì)Web服務(wù)器的多種項(xiàng)目(包括3500個(gè)潛在的危險(xiǎn)文件/CGI，以及超過(guò)900個(gè)服務(wù)器版本，還有250多個(gè)服務(wù)器上的版本特定問(wèn)題)進(jìn)行全面的測(cè)試。
其掃描項(xiàng)目和插件經(jīng)常更新并且可以自動(dòng)更新(如果需要的話)。
Nikto可以在盡可能短的周期內(nèi)測(cè)試你的Web服務(wù)器，這在其日志文件中相當(dāng)明顯。不過(guò)，如果你想試驗(yàn)一下(或者測(cè)試你的IDS系統(tǒng))，它也可以支持LibWhisker的反IDS方法。
"13.甲方重要網(wǎng)站被黑客上傳了WEBSHELL并截圖證明，\
身為乙方安全工程師的你負(fù)責(zé)處理此事，\
請(qǐng)思考，你需要做些什么？如果需要應(yīng)急，請(qǐng)從Windows和Linux兩個(gè)\
服務(wù)器方面入手，分別寫出你的應(yīng)急思路",
Windows 檢查系統(tǒng)賬號(hào)安全 檢查異常端口、進(jìn)程 檢查啟動(dòng)項(xiàng)、計(jì)劃任務(wù)、服務(wù) 日志分析
Linux? 賬號(hào)安全 歷史命令 檢查異常端口 檢查異常進(jìn)程? 檢查開機(jī)啟動(dòng)項(xiàng) 檢查定時(shí)任務(wù) 檢查服務(wù) 檢查異常文件 檢查系統(tǒng)日志
"14.你常用的滲透工具有哪些，最常用的是哪個(gè)？",
bp nmap cs metasploit? bp
"15.windows 權(quán)限控制，種后門有哪幾種方式？",
服務(wù)，啟動(dòng)目錄，注冊(cè)表，計(jì)劃任務(wù)，鏡像劫持，shift
"16.php文件包含有哪些函數(shù)？ ",
include? include_once require? require_once
"17.php命令執(zhí)行有哪些函數(shù)？",
system、exec、popen 、passthru、shell_exec eval() assert() preg_replace() call_user_func() $a($b)
"18.mysql的網(wǎng)站注入，5.0以上和5.0以下有什么區(qū)別？",
5.0以下不存在Information_schema，數(shù)據(jù)庫(kù)表，字段需要盲猜
"19.mysql注入點(diǎn)，對(duì)目標(biāo)站直接寫入一句話\
需要具備哪些條件？\
讀文件函數(shù)是什么?寫shell函數(shù)是什么？",
1、首先判斷當(dāng)前用戶是否具備file權(quán)限，其次需要判斷是否web和數(shù)據(jù)庫(kù)分離，未分離情況可尋找網(wǎng)站報(bào)錯(cuò)或者phpinfo信息得到絕對(duì)路徑寫shell。
2、load_file() into outfile? dumpfile
eval
"20.phpmyadmin 如何滲透？",
Phpmyadmin可嘗試爆破，老版本直接輸入用戶名不輸入密碼登錄，低權(quán)限可讀文件，獲取web配置繼續(xù)以root身份getshell。
高權(quán)限可以利用文件包含，或者直接out file寫shell。
還可以利用日志文件getshell。
"21.sqlmap查詢當(dāng)前數(shù)據(jù)庫(kù)參數(shù)是啥？",
--current
"22.如何判斷web服務(wù)器是linux還是windows？",
TTL值判斷。
文件大小寫，但是不準(zhǔn)確有些windows下web服務(wù)器自身區(qū)分大小寫。
http請(qǐng)求返回頭。
Web報(bào)錯(cuò)或者404頁(yè)面分析判斷。
"23.CSRF、XSS 、XXE、Ssrf 分別是什么？以及修復(fù)方式？",
Csrf 跨站請(qǐng)求偽造? 增加token 增加Referer 新增 HTTP Header
XSS 跨站腳本攻擊，一般可獲取cookie，掛馬釣魚等操作。 對(duì)用戶的輸入(和URL參數(shù))進(jìn)行過(guò)濾，對(duì)輸出進(jìn)行html編碼
XXE? xml實(shí)體注入，讀取文件等，特殊情況下可直接獲取權(quán)限。 過(guò)濾用戶提交的XML數(shù)據(jù) 使用開發(fā)語(yǔ)言提供的禁用外部實(shí)體的方法
SSRF? 服務(wù)器端請(qǐng)求偽造，通常在web加載資源圖片地方容易產(chǎn)生，可探測(cè)內(nèi)網(wǎng)，如果有redis可以嘗試getshell????
??? 過(guò)濾格式為ip的鏈接
??? 設(shè)置url白名單或限制內(nèi)網(wǎng)IP
??? 響應(yīng)處理，任何情況都不建議直接返回服務(wù)器響應(yīng)內(nèi)容給客戶端。
??? 禁用不必要的URL協(xié)議（HTTP之外的，不必要的）
??? 內(nèi)網(wǎng)認(rèn)證授權(quán)
"24.常見的不同web服務(wù)器解析漏洞？ IIS apache nginx 等怎么利用",
IIS 5 6 /a.asp/a.jpg a.asp;x.jpg 對(duì)于IIS服務(wù)器5版本和6版本存在兩個(gè)解析漏洞,分別為目錄解析和文件解析
目錄解析
簡(jiǎn)介:在網(wǎng)站下建立文件夾的名稱中以.asp或.asa等作為后綴的文件夾,其目錄內(nèi)任何擴(kuò)展名的文件都被IIS當(dāng)作asp可執(zhí)行文件去解析并執(zhí)行.
文件解析/后綴解析
簡(jiǎn)介:在IIS6.0下,分號(hào)后面的內(nèi)容不被解析,舉個(gè)栗子,xx.asp;.jpg將會(huì)當(dāng)作xx.asp去解析執(zhí)行.
IIS7 fast-cgi模式 a.jpg/x.php
IIS7/7.5在Fast-CGI運(yùn)行模式下,在一個(gè)文件路徑(/xx.jpg)后面加上/xx.php會(huì)將/xx.jpg/xx.php 解析為 php 文件。
該解析漏洞利用需兩個(gè)條件：
1.??????? php.ini里cgi.fix_pathinfo=1(默認(rèn)為1)? 2.在”Handler Mapping”中取消勾選以下內(nèi)容：php-5.3.8>Request Restrictions>Invoke handler only if request is mapped to:
Apache aaa.php.jpg
配置如下：
AddHandler application/x-httpd-php .php
或者
<FilesMatch ".+\.ph(ar|p|tml)">
??? SetHandler application/x-httpd-php
</FilesMatch>
Nginx? a.jpg/x.php?
當(dāng)訪問(wèn)路徑為test.png/noexist.php時(shí)。
fastcgi在處理’.php’文件時(shí)發(fā)現(xiàn)文件并不存在,這時(shí)php.ini配置文件中cgi.fix_pathinfo=1 發(fā)揮作用,這項(xiàng)配置用于修復(fù)路徑,如果當(dāng)前路徑不存在則采用上層路徑。
為此這里交由fastcgi處理的文件就變成了’/test.png’。 上傳圖片馬，然后訪問(wèn)時(shí)加上php后綴 就成功解析成php文件
"25.linux 和windows應(yīng)急分別從哪些方面下手？",
Windows 檢查系統(tǒng)賬號(hào)安全 檢查異常端口、進(jìn)程 檢查啟動(dòng)項(xiàng)、計(jì)劃任務(wù)、服務(wù) 日志分析
Linux? 賬號(hào)安全 歷史命令 檢查異常端口 檢查異常進(jìn)程? 檢查開機(jī)啟動(dòng)項(xiàng) 檢查定時(shí)任務(wù) 檢查服務(wù) 檢查異常文件 檢查系統(tǒng)日志
"26.http返回頭里面有哪些項(xiàng)？能說(shuō)出來(lái)幾個(gè) 分別什么作用？",
Content-Type：text/html;charset=UTF-8 告訴客戶端，資源文件的類型，還有字符編碼，客戶端通過(guò)utf-8對(duì)資源進(jìn)行解碼，然后對(duì)資源進(jìn)行html解析。
Content-Encoding:gzip 告訴客戶端，服務(wù)端發(fā)送的資源是采用gzip編碼的，客戶端看到這個(gè)信息后，應(yīng)該采用gzip對(duì)資源進(jìn)行解碼。
Date: Tue, 03 Apr 2018 03:52:28 GMT 這個(gè)是服務(wù)端發(fā)送資源時(shí)的服務(wù)器時(shí)間，GMT是格林尼治所在地的標(biāo)準(zhǔn)時(shí)間。
Server：Tengine/1.4.6 這個(gè)是服務(wù)器和相對(duì)應(yīng)的版本，只是告訴客戶端服務(wù)器信息。
Transfer-Encoding：chunked 這個(gè)響應(yīng)頭告訴客戶端，服務(wù)器發(fā)送的資源的方式是分塊發(fā)送的。
Last-Modified: Dec, 26 Dec 2015 17:30:00 GMT 所請(qǐng)求的對(duì)象的最后修改日期(按照 RFC 7231 中定義的“超文本傳輸協(xié)議日期”格式來(lái)表示)
Connection：keep-alive 這個(gè)字段作為回應(yīng)客戶端的Connection：keep-alive，告訴客戶端服務(wù)器的tcp連接也是一個(gè)長(zhǎng)連接，客戶端可以繼續(xù)使用這個(gè)tcp連接發(fā)送http請(qǐng)求。
ETag: “737060cd8c284d8af7ad3082f209582d” 就是一個(gè)對(duì)象（比如URL）的標(biāo)志值，就一個(gè)對(duì)象而言，比如一個(gè)html文件，如果被修改了，其Etag也會(huì)別修改，所以，ETag的作用跟Last-Modified的作用差不多，主要供WEB服務(wù)器判斷一個(gè)對(duì)象是否改變了
"27.redis 未授權(quán)在滲透中如何利用？",
尋找web目錄，嘗試寫shell。Linux嘗試寫啟動(dòng)項(xiàng)，加sshkey遠(yuǎn)程登錄。
"28.滲透測(cè)試執(zhí)行流程？",
前期交互階段：確定滲透的范圍、目標(biāo)、限制條件以及服務(wù)合同細(xì)節(jié)。
信息收集階段：信息收集是滲透攻擊的前提，可以有針對(duì)性地制定模擬攻擊測(cè)試計(jì)劃，提高模擬攻擊的成功率
威協(xié)建模階段：使用獲取到的信息,來(lái)標(biāo)識(shí)出目標(biāo)系統(tǒng)上可能存在的安全漏洞與弱點(diǎn)
漏洞分析階段：從獲取的信息中分析和理解那些攻擊途徑會(huì)是可行的
滲透攻擊階段：針對(duì)目標(biāo)系統(tǒng)實(shí)施深入研究和測(cè)試的滲透攻擊
后滲透攻擊階段：尋找客戶組織最具價(jià)值和嘗試進(jìn)行安全保護(hù)的信息和資產(chǎn)
報(bào)告階段：使用報(bào)告文檔來(lái)表明在滲透測(cè)試過(guò)程中做了那些
"29.簡(jiǎn)單介紹一下nmap工具及使用？",
網(wǎng)絡(luò)發(fā)現(xiàn)和安全審計(jì)工具
主機(jī)發(fā)現(xiàn)
端口掃描
應(yīng)用程序和版本探測(cè)
操作系統(tǒng)探測(cè)
-p 指定端口掃描
-sT tcp掃描
-sP ping掃描
-Pn 不進(jìn)行ping掃描
"30.nmap在掃描過(guò)程中如何規(guī)避安全設(shè)備？",
-T限制掃描速度
-Pn不進(jìn)行ping掃描
--spoof-mac源mac欺騙
--source-port 源地址欺扁
-D使用誘餌進(jìn)行源地址欺騙
-sl 空閑掃描
-f 報(bào)文分段
--mtu 指定偏移量大小（必須是8的倍數(shù)）
--data-length 指定發(fā)包長(zhǎng)度
"31.簡(jiǎn)單介紹一下metasploit工具？",
是一個(gè)漏洞利用工具?? Metasploit是一款開源的安全漏洞檢測(cè)工具，可以幫助安全和IT專業(yè)人士識(shí)別安全性問(wèn)題，驗(yàn)證漏洞的緩解措施，并管理專家驅(qū)動(dòng)的安全性進(jìn)行評(píng)估，提供真正的安全風(fēng)險(xiǎn)情報(bào)。
"32.metasploit中有哪些模塊？",
滲透攻擊/漏洞利用模塊：利用發(fā)現(xiàn)的安全漏洞或配置弱點(diǎn)對(duì)遠(yuǎn)程目標(biāo)進(jìn)行攻擊
攻擊載荷模塊：目標(biāo)系統(tǒng)在被滲透攻擊之后在目標(biāo)系統(tǒng)上運(yùn)行任意命令或者執(zhí)行特定代碼。
輔助模塊：負(fù)責(zé)執(zhí)行掃描、嗅探、指紋識(shí)別等相關(guān)功能以輔助滲透測(cè)試
空指令模塊：是一些對(duì)程序運(yùn)行狀態(tài)不會(huì)造成任何實(shí)質(zhì)性影響的空操作或無(wú)關(guān)操作指令
編譯器模塊：對(duì)攻擊載荷進(jìn)行各種不同形式的編碼
后滲透攻擊模塊：主要用于在滲透攻擊取得目標(biāo)系統(tǒng)遠(yuǎn)程控制權(quán)之后，在受控系統(tǒng)中進(jìn)行各式各樣的后滲透攻擊動(dòng)作
規(guī)避模塊：主要用于規(guī)避Windows Defender防火墻、Windows應(yīng)用程序控制策略(applocker)等的檢查。
"33.cs有接觸過(guò)嗎？介紹一下cs的功能吧？",
滲透測(cè)試軟件,分為客戶端與服務(wù)端，可以進(jìn)行團(tuán)隊(duì)分布式操作
功能
端口轉(zhuǎn)發(fā).
掃描多模式端口Listener
Windows exe程序生成
Windows dll動(dòng)態(tài)鏈接庫(kù)生成
java程序生成
office宏代碼生成
"34.什么是Xray？有什么功能？如何使用？",
web安全評(píng)估工具
功能：xray支持主動(dòng)、被動(dòng)多種掃描方式，可以靈活定義Poc
如何使用：可以與burpsuite聯(lián)動(dòng)進(jìn)行對(duì)網(wǎng)頁(yè)的漏洞掃描
"35.介紹一下burpsuite工具及其常用模塊有哪些？",
是由多個(gè)不同的小工具(功能模塊)組成的集合，工具與工具之間可以聯(lián)動(dòng)
Target:顯示目標(biāo)目錄結(jié)構(gòu)的-個(gè)功能
Proxy:攔截HTTP HTTPs的代理服務(wù)器，作為一個(gè)在瀏覽器和目標(biāo)應(yīng)用程序之間的中間人，允許攔截、查看修改在兩個(gè)方向上的原始數(shù)據(jù)流（攔截代理模塊）
Intruder: -一個(gè)定制的高度可配置的工具，對(duì)Web應(yīng)用程序進(jìn)行自動(dòng)化攻擊，如:枚舉標(biāo)識(shí)符、收集有用的數(shù)據(jù)以及使用fuzzing技術(shù)探測(cè)常規(guī)漏洞（攻擊模塊）
Repeater: -個(gè)靠手動(dòng)操作來(lái)觸發(fā)單獨(dú)的HTTP請(qǐng)求，并分析應(yīng)用程序響應(yīng)的工具（重放）
Sequencer:用來(lái)分析那些不可預(yù)知的應(yīng)用程序會(huì)話令牌和重要數(shù)據(jù)項(xiàng)的隨機(jī)性的工具Decoder:進(jìn)行手動(dòng)執(zhí)行或?qū)?yīng)用程序數(shù)據(jù)者智能解碼編碼的工具（編碼模塊）
Comparer:通常是通過(guò)一些相關(guān)的請(qǐng)求和響應(yīng)得到兩項(xiàng)數(shù)據(jù)的—-個(gè)可視化的"差異"（對(duì)比模塊）
"36.Webshell管理工具有哪些？有什么不同之處？",
蟻劍：shell不再進(jìn)行免殺，觸發(fā)流量有特定的規(guī)則庫(kù)，在菜刀的基礎(chǔ)上做了界面優(yōu)化
冰蝎：要使用jdk環(huán)境，功能更加完善，流量加密，難以被檢測(cè)
哥斯拉? 哥斯拉全部類型的shell均過(guò)市面所有靜態(tài)查殺
哥斯拉流量加密能過(guò)市面全部流量waf
菜刀
"37.什么是OWASP TOP 10？OWASP top10都有哪些漏洞？",
在?開放Web應(yīng)用基金會(huì)致力于創(chuàng)造一個(gè)更安全的網(wǎng)絡(luò)應(yīng)用環(huán)境。它免費(fèi)提供文章、工具、技術(shù)和論壇，讓每個(gè)開發(fā)人員都能創(chuàng)建安全的代碼
OWASP Top 10包括：注入、失效身份驗(yàn)證和會(huì)話管理、敏感信息泄露、XML外部實(shí)體注入攻擊（XXE）、存取控制中斷、安全性錯(cuò)誤配置、跨站腳本攻擊（XSS）、不安全的反序列化、使用具有已知漏洞的組件、日志記錄和監(jiān)控不足。
"38.數(shù)據(jù)庫(kù)類型？常見的端口？什么是SQL注入？ \
SQL注入的類型有哪些？\
關(guān)系型和非關(guān)系型
關(guān)系型 1、MySql數(shù)據(jù)庫(kù)，默認(rèn)揣口是:3306;
????? 2、Oracle數(shù)據(jù)庫(kù)，默認(rèn)端口號(hào)為:1521;
????? 3、Sql Server數(shù)據(jù)庫(kù)，默認(rèn)端口號(hào)為:1433;
非關(guān)系型
???????? 2.Memcache d數(shù)據(jù)庫(kù)，默認(rèn)端口號(hào):11211 ;
???????? 3.M ongoDB數(shù)據(jù)庫(kù)，默認(rèn)端口號(hào):27017;
攻擊者利用Web應(yīng)用程序?qū)τ脩糨斎腧?yàn)證上的疏忽，在輸入的數(shù)據(jù)中包含對(duì)某些數(shù)據(jù)庫(kù)系統(tǒng)有特殊意義的符號(hào)或命令，讓攻擊者有機(jī)會(huì)直接對(duì)后臺(tái)數(shù)據(jù)庫(kù)系統(tǒng)下達(dá)指令，進(jìn)而實(shí)現(xiàn)對(duì)后臺(tái)數(shù)據(jù)庫(kù)乃至整個(gè)應(yīng)用系統(tǒng)的入侵。
SQL注入的類型有哪些？\
數(shù)字型
字符型
搜索型
SQL注入自動(dòng)化注入工具有哪些？SQLmap常用的參數(shù)？\
如何繞過(guò)WAF？\
sqlmap
-u? 直接輸入目標(biāo)url
-r? 從文本文件中獲取http請(qǐng)求
如何繞過(guò)WAF？\
1大小寫繞過(guò)
2編碼繞過(guò)
3利用注釋符
4重寫繞過(guò)
5二階注入
6寬字節(jié)注入
什么是堆疊注入？mysql提權(quán)方式有哪些？\
??Stacked injections(堆疊注入)從名詞的含義就可以看到應(yīng)該是一堆?sql?語(yǔ)句(多條)一起執(zhí)行。而在真實(shí)的運(yùn)用中也是這樣的,?我們知道在 mysql 中, 主要是命令行中,?每一條語(yǔ)句結(jié)尾加; 表示語(yǔ)句結(jié)束。這樣我們就想到了是不是可以多句一起使用。這個(gè)叫做?stacked? injection。
udf提權(quán)
反彈shell提權(quán)
mysql提權(quán)之后可以執(zhí)行命令嗎？\
可以
如何突破注入時(shí)字符被轉(zhuǎn)義？SQL注入如何防御？",
利用寬字節(jié)注入
適用于數(shù)據(jù)庫(kù)使用雙字節(jié)編碼方式（如GBK）WAF利用AddSlashes()等函數(shù)對(duì)敏感字符進(jìn)行轉(zhuǎn)義的場(chǎng)景
1分級(jí)管理
2參數(shù)傳值
3使用安全參數(shù)
4漏洞掃描
5多層驗(yàn)證
6數(shù)據(jù)庫(kù)信息加密
"39.什么是XSS？XSS類型有哪些？XSS漏洞有哪些危害？\
XSS漏洞如何防御？",
xss跨站腳本攻擊?
攻擊者往web頁(yè)面或url里插入惡意JavaScript腳本代碼且應(yīng)用程序?qū)τ脩糨斎氲膬?nèi)容沒(méi)有過(guò)濾，那么當(dāng)正常用戶瀏覽該頁(yè)面時(shí)，嵌入在web頁(yè)面的惡意JavaScript腳本代碼會(huì)被執(zhí)行，從而達(dá)到惡意攻擊正常用戶的目的。
反射性xss：它是非持久型，參數(shù)型的跨站腳本。
存儲(chǔ)型xss：它是將腳本代碼寫進(jìn)數(shù)據(jù)庫(kù)可以永久保存數(shù)據(jù)，危害最大
DOM型xss：與反射性相似，但是DOM是樹形結(jié)構(gòu)，利用DOM標(biāo)簽
獲取用戶cookie、鍵盤記錄、xss gets hell、刷流量，執(zhí)行彈窗廣告、傳播蠕蟲病毒。
使用htmlspecialchars函數(shù)進(jìn)行實(shí)體編碼
使用http only對(duì)cookie進(jìn)行限制
對(duì)用戶輸入的內(nèi)容進(jìn)行過(guò)濾
"40.文件上傳都有哪些繞過(guò)方式？文件上傳漏洞應(yīng)該如何防御？\
.htacees文件有什么作用？\
拿到一個(gè)webshell發(fā)現(xiàn)網(wǎng)站根目錄下有.htaccess文件，\
我們能做什么？",
繞過(guò)方式
1前端js繞過(guò)
2黑白名單繞過(guò)
3針對(duì)文件類型繞過(guò)
4路徑截?cái)嗬@過(guò)與普通截?cái)嗬@過(guò)
5win系統(tǒng)解析漏洞繞過(guò)
如何防御
1文件上傳的目錄設(shè)置為不可執(zhí)行
2判斷文件類型
3使用隨機(jī)數(shù)改寫文件名和文件路徑
4單獨(dú)設(shè)置文件服務(wù)器的域名
5使用安全設(shè)備
作用
1URL重寫、自定義錯(cuò)誤頁(yè)面
2MIME類型配置
3訪問(wèn)權(quán)限控制等
4主要體現(xiàn)在偽靜態(tài)的應(yīng)用
5自定義404錯(cuò)誤頁(yè)面
6禁止訪問(wèn)指定文件類型
7圖片防盜鏈
8文件密碼保護(hù)
9阻止/允許特定IP/IP段
10目錄瀏覽與主頁(yè)
11將內(nèi)容符合php語(yǔ)法規(guī)則的文件當(dāng)作PHP文件解析
12匹配文件名中的關(guān)鍵字
13匹配文件名
拿到htaccess文件可以做什么
插入<FilesMatch "xxx.jpg"> SetHandler application/x-httpd-php .jpg文件會(huì)被解析成.php文件
"41.什么是文件包含？文件包含分類？\
在php當(dāng)中包含的函數(shù)有哪些？\
php偽協(xié)議有哪些？如何利用？文件包含漏洞如何防御？",
把可重復(fù)使用的函數(shù)寫入到單文件中，在使用該函數(shù)時(shí)，直接調(diào)用此文件，無(wú)需再次編寫函數(shù),這一調(diào)用文件的過(guò)程被稱為包含。
本地文件包含
遠(yuǎn)程文件包含
在php當(dāng)中包含的函數(shù)有哪些？\
Include
Include_ once
Require
Require_once
php偽協(xié)議有
php://input?? 可以獲取POST的數(shù)據(jù)流
php://filter?? 可以獲取指定文件的源碼
zip://??? 可以訪問(wèn)壓縮包里的文件
phar://?? 和zip://類似絕對(duì)路徑和相對(duì)路徑都可以
data://?? 同樣類似于php://input
"42.什么是命令執(zhí)行？命令執(zhí)行的分類？\
導(dǎo)致遠(yuǎn)程代碼執(zhí)行、系統(tǒng)命令執(zhí)行的函數(shù)有哪些？\
命令執(zhí)行漏洞如何防御？",
命令執(zhí)行漏洞是指攻擊者可以隨意執(zhí)行系統(tǒng)命令，分為遠(yuǎn)程代碼執(zhí)行，系統(tǒng)命令執(zhí)行兩類
遠(yuǎn)程代碼執(zhí)行? 函數(shù): evval（） assert（）preg_replace() cal user_func() $a($b)
系統(tǒng)命令執(zhí)行? 函數(shù): system() exe c()shell_exec()passthru() popen()反引號(hào)
命令執(zhí)行漏洞如何防御？",
1禁用部分系統(tǒng)函數(shù)
2嚴(yán)格過(guò)濾關(guān)鍵字符
3嚴(yán)格限制允許的參數(shù)類型
4使用escapeshellarg函數(shù)來(lái)處理命令函數(shù)
5使用safe_mode_exec_dir指定可執(zhí)行文件的路徑（php.ini）
"43.什么是dos、ddos攻擊？如何防御？",
DDoS攻擊就是分布式拒絕服務(wù)攻擊，指借助于客戶/服務(wù)器技術(shù)，將多個(gè)計(jì)算機(jī)聯(lián)合起來(lái)作為攻擊平臺(tái)，對(duì)一個(gè)或多個(gè)目標(biāo)發(fā)動(dòng)DDoS攻擊，可使目標(biāo)服務(wù)器進(jìn)入癱瘓狀態(tài)。
DoS,拒絕服務(wù)(Denial of Service)指的是通過(guò)各種手段,最終導(dǎo)致目標(biāo)系統(tǒng)崩潰、失去響應(yīng),從而無(wú)法正常提供資源或服務(wù)的情況。
"44.抓包工具用過(guò)哪些？如何使用？",
WireShark
使用步驟：
1.點(diǎn)擊菜單“Capture” -> “Options...” 便會(huì)打開抓取配置界面
2.在“Capture”里，選擇與外網(wǎng)連接的網(wǎng)卡，不知道選擇哪一個(gè)，可以點(diǎn)擊全部選擇
3.在“Capture Filter”中寫入過(guò)濾條件。這里是用來(lái)篩選所抓取報(bào)文的。對(duì)于AS2端口來(lái)說(shuō)，錄入“Port 8080”就是“僅僅抓取端口是8080”的所有通信報(bào)文，也可以根據(jù)真實(shí)使用的端口來(lái)選擇
4.然后，點(diǎn)擊“Start”按鈕就可以了。接下來(lái)，WireShark會(huì)在主界面顯示出已經(jīng)抓取的通訊報(bào)文。如果沒(méi)有任何數(shù)據(jù)，請(qǐng)檢查你的配置是否正確
5.在抓取到數(shù)據(jù)之后，可以使用菜單“Capture” -> “Stop”來(lái)停止抓取，然后使用“File” -> “Save”將抓取到的內(nèi)容保存在磁盤上，保存之后的文件擴(kuò)展名一般為“pcapng”文件。這個(gè)文件就可以用來(lái)分析底層的網(wǎng)絡(luò)通訊問(wèn)題。
"45.文件權(quán)限修改用什么命令？格式是怎么樣的？",
chmod
字母法：chmod? (u g o a)?? (+ - =)?? (r w x)?? (文件名)
數(shù)字法：chmod? 777?? 文件名
第一個(gè)數(shù)字7：代表用戶 u 的權(quán)限 rwx， 4 (r) + 2 (w) + 1 (x) =? 7
第二個(gè)數(shù)字7：代表用戶 g 的權(quán)限 rwx,??? 4 (r) + 2 (w) + 1 (x) =? 7
第三個(gè)數(shù)字7：代表用戶 o 的權(quán)限 rwx,??? 4 (r) + 2 (w) + 1 (x) =? 7
[u g o a]?? 含義
u?????? user 表示該文件的所有者
g?????? group 表示與該文件的所有者屬于同一組( group )者，即用戶組
o?????? other 表示其它用戶組
a?????? all 表示這三者皆是
46.復(fù)制文件用哪個(gè)命令，如果需要連同文件夾一塊復(fù)制呢？",
cp
cp -r
{
cp doc1/a.c doc2 表示將doc1下的a.d文件復(fù)制到doc2目錄下；
cp -r doc1 doc2 表示將doc1及其doc1下所包含的文件復(fù)制到doc2下；
cp -r doc1/. doc2 表示將doc1下的文件復(fù)制到doc2,不包括doc1目錄；
說(shuō)明：cp參數(shù) -i：詢問(wèn)，如果目標(biāo)文件已經(jīng)存在，則會(huì)詢問(wèn)是否覆蓋；
}
"47.終止進(jìn)程用什么命令? 帶什么參數(shù)?",
kill 命令的基本語(yǔ)法格式如下：
[root@bogon ~]# kill [信號(hào)或參數(shù)] PID
注意，kill 命令是按照 PID 來(lái)確定進(jìn)程的，所以 kill 命令只能識(shí)別 PID，而不能識(shí)別進(jìn)程名。在使用 kill 命令終止一個(gè)進(jìn)程之前，必須知道該進(jìn)程的 PID，可以通過(guò)在一個(gè)命令行上輸入多個(gè) PIDs 的方法，一次終止多個(gè)進(jìn)程。
參數(shù)：
-l：信號(hào)，如果不加信號(hào)的編號(hào)參數(shù)，則使用“-l”參數(shù)會(huì)列出全部的信號(hào)名稱
-a：當(dāng)處理當(dāng)前進(jìn)程時(shí)，不限制命令名和進(jìn)程號(hào)的對(duì)應(yīng)關(guān)系
-p：指定 kill 命令只打印相關(guān)進(jìn)程的進(jìn)程號(hào)，而不發(fā)送任何信號(hào)
-s：指定發(fā)送信號(hào)
-u：指定用戶
"48.移動(dòng)文件用哪個(gè)命令？改名用哪個(gè)命令？",
mv [選項(xiàng)] 源文件或目錄 目標(biāo)文件或目錄
. mv命令選項(xiàng)
-b ：若需覆蓋文件，則覆蓋前先行備份。
-f ：force 強(qiáng)制的意思，如果目標(biāo)文件已經(jīng)存在，不提示直接覆蓋；
-i ：若目標(biāo)文件 (destination) 已經(jīng)存在時(shí)，就會(huì)詢問(wèn)是否覆蓋！
-u ：若目標(biāo)文件已經(jīng)存在，且 source 比較新，才會(huì)更新(update)
-t ： --target-directory=DIRECTORY move all SOURCE arguments into DIRECTORY，即指定mv的目標(biāo)目錄，該選項(xiàng)適用于移動(dòng)多個(gè)源文件到一個(gè)目錄的情況，此時(shí)目標(biāo)目錄在前，源文件在后。
改名：mv 原名字 修改的名字（修改目錄名字同理）
把123.txt重命名為456.txt
[root@zcwyou zcwyou]# mv 123.txt 456.txt
"49.Windows入侵排查思路?",
一.檢查系統(tǒng)賬號(hào)安全
1.查看服務(wù)器是否有弱口令，遠(yuǎn)程管理端口是否對(duì)公網(wǎng)開放（使用netstat -ano命令、或者問(wèn)服務(wù)器管理員）
2.lusrmgr.msc命令查看服務(wù)器是否存在可疑賬號(hào)、新增賬號(hào)，如有管理員群組的（Administrators）里的新增賬戶，如有，請(qǐng)立即禁用或刪除掉
3.用 D 盾或者注冊(cè)表中查看服務(wù)器是否存在隱藏賬號(hào)、克隆賬號(hào)
4.結(jié)合日志，查看管理員登錄時(shí)間、用戶名是否存在異常
檢查方法：Win+R 打開運(yùn)行，輸入“eventvwr.msc”，回車運(yùn)行，打開“事件查看器”，導(dǎo)出 Windows 日志–安全，利用 Log Parser 進(jìn)行分析
二.檢查異常端口、進(jìn)程
1.netstat -ano檢查端口連接情況，是否有遠(yuǎn)程連接、可疑連接
2.任務(wù)管理器-進(jìn)程
3.檢查啟動(dòng)項(xiàng)、計(jì)劃任務(wù)、服務(wù)
4.檢查系統(tǒng)相關(guān)信息
查看系統(tǒng)版本以及補(bǔ)丁信息
查找可疑目錄及文件
5.日志分析
50.Linux入侵排查思路?
一．賬號(hào)安全
who???? 查看當(dāng)前登錄用戶（tty本地登陸 pts遠(yuǎn)程登錄）
w ????? 查看系統(tǒng)信息，想知道某一時(shí)刻用戶的行為
uptime? 查看登陸多久、多少用戶，負(fù)載
1、用戶信息文件/etc/passwd
root:x:0:0:root:/root:/bin/bash
account:password:UID:GID:GECOS:directory:shell
用戶名：密碼：用戶ID：組ID：用戶說(shuō)明：家目錄：登陸之后shell
注意：無(wú)密碼只允許本機(jī)登陸，遠(yuǎn)程不允許登陸
2、影子文件/etc/shadow
root:$6$oGs1PqhL2p3ZetrE$X7o7bzoouHQVSEmSgsYN5UD4.kMHx6qgbTqwNVC5oOAouXvcjQSt.Ft7ql1WpkopY0UV9ajBwUt1DpYxTCVvI/:16809:0:99999:7:::
用戶名：加密密碼：密碼最后一次修改日期：兩次密碼的修改時(shí)間間隔：密碼有效期：密碼修改到期到的警告天數(shù)：密碼過(guò)期之后的寬限天數(shù)：賬號(hào)失效時(shí)間：保留
/etc/passwd 存儲(chǔ)一般的用戶信息，任何人都可以訪問(wèn)；/etc/shadow 存儲(chǔ)用戶的密碼信息，只有 root 用戶可以訪問(wèn)
二．歷史命令
通過(guò) .bash_history 查看帳號(hào)執(zhí)行過(guò)的系統(tǒng)命令
1、root的歷史命令 histroy
2、打開 /home 各帳號(hào)目錄下的 .bash_history，查看普通帳號(hào)歷史命令
歷史操作命令的清除：history -c
但此命令并不會(huì)清除保存在文件中的記錄，因此需要手動(dòng)刪除.bash_profile文件中的記錄
三．檢查異常端口
netstat -antlp|more
查看下pid所對(duì)應(yīng)的進(jìn)程文件路徑，
運(yùn)行l(wèi)s -l /proc/$PID/exe或file /proc/$PID/exe（$PID 為對(duì)應(yīng)的pid 號(hào)）
四．檢查異常進(jìn)程
ps aux | grep pid
- 檢查開機(jī)啟動(dòng)項(xiàng)
- 開機(jī)啟動(dòng)配置文件
/etc/rc.local
/etc/rc.d/rc[0~6].d
六．檢查定時(shí)任務(wù)
crontab -l 列出某個(gè)用戶cron服務(wù)的詳細(xì)內(nèi)容
Tips：默認(rèn)編寫的crontab文件會(huì)保存在 (/var/spool/cron/用戶名 例如: /var/spool/cron/root
crontab -r 刪除每個(gè)用戶cront任務(wù)(謹(jǐn)慎：刪除所有的計(jì)劃任務(wù))
crontab -e 使用編輯器編輯當(dāng)前的crontab文件
如：*/1 * * * * echo "hello world" >> /tmp/test.txt 每分鐘寫入文件
2、利用anacron實(shí)現(xiàn)異步定時(shí)任務(wù)調(diào)度
重點(diǎn)關(guān)注
/var/spool/cron/*
/etc/crontab
/etc/cron.d/*
/etc/cron.daily/*
/etc/cron.hourly/*
/etc/cron.monthly/*
/etc/cron.weekly/
/etc/anacrontab
/var/spool/anacron/*
七．檢查服務(wù)
chkconfig --list 命令，可以查看系統(tǒng)運(yùn)行的服務(wù)
八．檢查異常文件
九.檢查系統(tǒng)日志
Linux的登錄日志查看文件
日志默認(rèn)存放位置：/var/log/
查看可登錄的賬戶 cat/etc/passwd|grep ‘/bin/bash’
查看所有用戶最后的登錄信息 lastlog
查看用戶最近登錄信息 last 其中，/var/log/wtmp 存儲(chǔ)登錄成功的信息、btmp 存儲(chǔ)登錄失敗的信息、utmp 存儲(chǔ)當(dāng)前正在登錄的信息
查看當(dāng)前用戶登錄系統(tǒng)情況 who
"51.介紹一下Linux安全加固？",
2.更改 SSH 默認(rèn)端口
3.禁止 root 用戶遠(yuǎn)程ssh 登錄
4.限制用戶使用su命令切換 root
5.密碼復(fù)雜度策略
6.檢查密碼重復(fù)使用次數(shù)限制
7.檢查是否存在空口令賬號(hào)
8.禁止同時(shí)按下ctrl+alt+del重啟
9.禁用telnet服務(wù)
"52.介紹一下windows安全加固？",
1.保持 Windows 升級(jí)
2.使用 IIS 防范工具
3.移除缺省的 Web 站點(diǎn)
4.如果你并不需要 FTP 和 SMTP 服務(wù)，請(qǐng)卸載它們
5.有規(guī)則地檢查你的管理員組和服務(wù):
6.嚴(yán)格控制服務(wù)器的寫訪問(wèn)權(quán)限
7.設(shè)置復(fù)雜的密碼
8.減少/排除 Web 服務(wù)器上的共享
9.禁用 TCP/IP 協(xié)議中的 NetBIOS
10.使用 TCP 端口阻塞
11.仔細(xì)檢查 .bat 和 .exe 文件：每周搜索一次 .bat
12.管理 IIS 目錄安全
13.使用 NTFS 安全
14.管理用戶賬戶
15.審計(jì)你的 Web 服務(wù)器
"53.接觸過(guò)哪些安全設(shè)備?分別介紹一下功能？",
1、防火墻
防火墻技術(shù)的功能主要在于及時(shí)發(fā)現(xiàn)并處理計(jì)算機(jī)網(wǎng)絡(luò)運(yùn)行時(shí)可能存在的安全風(fēng)險(xiǎn)、數(shù)據(jù)傳輸?shù)葐?wèn)題，其中處理措施包括隔離與保護(hù)。
同時(shí)可對(duì)計(jì)算機(jī)網(wǎng)絡(luò)安全當(dāng)中的各項(xiàng)操作實(shí)施記錄與檢測(cè)，以確保計(jì)算機(jī)網(wǎng)絡(luò)運(yùn)行的安全性，保障用戶資料與信息的完整性，為用戶提供更好、更安全的計(jì)算機(jī)網(wǎng)絡(luò)使用體驗(yàn)。
2、防毒墻
相對(duì)于防火墻來(lái)說(shuō)，一般都具有防火墻的功能，防御的對(duì)象更具有針對(duì)性，那就是病毒。
功能同防火墻，并增加病毒特征庫(kù)，對(duì)數(shù)據(jù)進(jìn)行與病毒特征庫(kù)進(jìn)行比對(duì)，進(jìn)行查殺病毒。
部署方式同防火墻，大多數(shù)時(shí)候使用透明模式部署在防火墻或路由器后或部署在服務(wù)器之前，進(jìn)行病毒防范與查殺。
3、入侵防御（IPS）
相對(duì)于防火墻來(lái)說(shuō)，一般都具有防火墻的功能，防御的對(duì)象更具有針對(duì)性，那就是攻擊。
防火墻是通過(guò)對(duì)五元組進(jìn)行控制，達(dá)到包過(guò)濾的效果，而入侵防御IPS，則是將數(shù)據(jù)包進(jìn)行檢測(cè)（深度包檢測(cè)DPI）對(duì)蠕蟲、病毒、木馬、拒絕服務(wù)等攻擊進(jìn)行查殺。
功能同防火墻，并增加IPS特征庫(kù)，對(duì)攻擊行為進(jìn)行防御。
4、統(tǒng)一威脅安全網(wǎng)關(guān)（UTM）
字面意思就是把威脅都統(tǒng)一了，其實(shí)就是把上面三個(gè)設(shè)備整合到一起了。功能同時(shí)具備防火墻、防毒墻、入侵防護(hù)三個(gè)設(shè)備的功能。
5、安全隔離網(wǎng)閘
安全隔離網(wǎng)閘是一種由帶有多種控制功能專用硬件在電路上切斷網(wǎng)絡(luò)之間的鏈路層連接，并能夠在網(wǎng)絡(luò)間進(jìn)行安全適度的應(yīng)用數(shù)據(jù)交換的網(wǎng)絡(luò)安全設(shè)備
"54.如何排除設(shè)備誤報(bào)？",
修改報(bào)警規(guī)則，從源頭上減少誤報(bào)
"55.拿shell了如何處理？",
Window
盡一切可能搜集該主機(jī)的信息，該主機(jī)上各種服務(wù)的用戶名和密碼。為接下來(lái)的內(nèi)網(wǎng)滲透弱口令爆破做準(zhǔn)備。
Linux
第一步，我們要做的就是讓我們接下來(lái)操作的所有命令不在主機(jī)上留下任何痕跡。我們可以執(zhí)行下面的命令，這樣我們接下來(lái)執(zhí)行的所有命令都不會(huì)在 .bash_history中看到了。這條命令只對(duì)當(dāng)前終端有效！
export HISTFILE=/dev/null export HISTSIZE=0先查看當(dāng)前用戶身份，是否是root權(quán)限身份，如果不是的話，查看系統(tǒng)版本，是否可以利用已知漏洞提權(quán)的，比如 CVE-2016-5195?。?Linux下用SUID提權(quán)
然后要做的自然就是維持權(quán)限了，傳送門——>??Linux獲取權(quán)限
whoami?????? #查看當(dāng)前用戶身份
uname -a???? #查看系統(tǒng)信息
history????? #查看命令歷史，有可能可以查看到管理員的一些重要命令，包括密碼等
last???????? #查看登錄歷史
cat /etc/passwd? #查看用戶
cat /etc/shadow? #查看密碼
"56.如何溯源攻擊？",
1、攻擊源捕獲
安全設(shè)備報(bào)警，如掃描IP、威脅阻斷、病毒木馬、入侵事件等
? 日志與流量分析，異常的通訊流量、攻擊源與攻擊目標(biāo)等
? 服務(wù)器資源異常，異常的文件、賬號(hào)、進(jìn)程、端口，啟動(dòng)項(xiàng)、計(jì)劃任務(wù)和服務(wù)等
? 郵件釣魚，獲取惡意文件樣本、釣魚網(wǎng)站URL等
? 蜜罐系統(tǒng)，獲取攻擊者行為、意圖的相關(guān)信息
2、溯源反制手段
IP定位技術(shù)
根據(jù)IP定位物理地址—代理IP
? 溯源案例：通過(guò)IP端口掃描，反向滲透服務(wù)器進(jìn)行分析，最終定位到攻擊者相關(guān)信息
ID追蹤術(shù)
? ID追蹤術(shù)，搜索引擎、社交平臺(tái)、技術(shù)論壇、社工庫(kù)匹配
? 溯源案例：利用ID從技術(shù)論壇追溯郵箱，繼續(xù)通過(guò)郵箱反追蹤真實(shí)姓名，通過(guò)姓名找到相關(guān)簡(jiǎn)歷信息
網(wǎng)站url
域名Whois查詢—注冊(cè)人姓名、地址、電話和郵箱。—域名隱私保護(hù)
? 溯源案例：通過(guò)攻擊IP歷史解析記錄/域名，對(duì)域名注冊(cè)信息進(jìn)行溯源分析
?惡意樣本
? 提取樣本特征、用戶名、ID、郵箱、C2服務(wù)器等信息—同源分析
? 溯源案例：樣本分析過(guò)程中，發(fā)現(xiàn)攻擊者的個(gè)人ID和QQ，成功定位到攻擊者。
?社交賬號(hào)
基于JSONP跨域，獲取攻擊者的主機(jī)信息、瀏覽器信息、真實(shí) IP及社交信息等
? 利用條件：可以找到相關(guān)社交網(wǎng)站的jsonp接口泄露敏感信息，相關(guān)網(wǎng)站登錄未注銷
3、攻擊者畫像
攻擊路徑
攻擊目的：拿到權(quán)限、竊取數(shù)據(jù)、獲取利益、DDOS等
?網(wǎng)絡(luò)代理：代理IP、跳板機(jī)、C2服務(wù)器等
?攻擊手法：魚叉式郵件釣魚、Web滲透、水坑攻擊、近源滲透、社會(huì)工程等
?攻擊者身份畫像
? 虛擬身份：ID、昵稱、網(wǎng)名
? 真實(shí)身份：姓名、物理位置
? 聯(lián)系方式：手機(jī)號(hào)、qq/微信、郵箱
? 組織情況：單位名稱、職位信息
"57.你用過(guò)微步嗎？介紹下？",
微步云沙箱提供完整的多維檢測(cè)服務(wù)，通過(guò)模擬文件執(zhí)行環(huán)境來(lái)分析和收集文件的靜態(tài)和動(dòng)態(tài)行為數(shù)據(jù)，結(jié)合微步威脅情報(bào)云，分鐘級(jí)發(fā)現(xiàn)未知威脅。
"58.遇到.exe文件如何處理？",
出現(xiàn)exe文件夾解決辦法如下:
1、重啟電腦，進(jìn)入安全模式中全盤殺毒，使用頑固木馬清除軟件清除和通過(guò)系統(tǒng)急救箱清除；
2、在系統(tǒng)中直接啟動(dòng)殺毒軟件的全盤殺毒功能，同時(shí)啟用頑固木馬清除；
3、清除之后隱藏的文件夾無(wú)法顯示，在文件夾選項(xiàng)里設(shè)置顯示所有隱藏文件；
4、顯示被隱藏的文件夾；
5、在運(yùn)行欄里輸入“regedit”打開注冊(cè)表編輯器即可。
"59.如何查看當(dāng)前進(jìn)程？",
Linux：ps或者netstat
Windows：netstat
"60.介紹一下常見的web應(yīng)用組件端口（比如mysql、tomcat）？",
Mysql ：3306
https： 443?
http：80
tomcat：8080
Telnet：23
ftp：21
TFTP：69
SSH：22
"61.windwos如何查看本地的端口連接狀況？",
依次點(diǎn)擊“開始→運(yùn)行”，鍵入“cmd”并回車，打開命令提示符窗口。在命令提示符狀態(tài)下鍵入“netstat -a -n”，按下回車鍵后就可以看到以數(shù)字形式顯示的TCP和UDP連接的端口號(hào)及狀態(tài)。
Netstat命令用法
命令格式：Netstat -a -e -n -o -s－an
-a 表示顯示所有活動(dòng)的TCP連接以及計(jì)算機(jī)監(jiān)聽的TCP和UDP端口。
-e 表示顯示以太網(wǎng)發(fā)送和接收的字節(jié)數(shù)、數(shù)據(jù)包數(shù)等。
-n 表示只以數(shù)字形式顯示所有活動(dòng)的TCP連接的地址和端口號(hào)。
-o 表示顯示活動(dòng)的TCP連接并包括每個(gè)連接的進(jìn)程ID（PID）。
-s 表示按協(xié)議顯示各種連接的統(tǒng)計(jì)信息，包括端口號(hào)。
-an 查看所有開放的端口
"62.Windows和Linux的日志文件放在哪里？",
Windows系統(tǒng)日志：事件查看器
具體步驟如下：
我的電腦 - 右鍵單擊 - 管理 - 計(jì)算機(jī)管理 - 系統(tǒng)工具 - 事件查看器 -? Windows日志；
Linux系統(tǒng)日志：/var/log
"63.服務(wù)器存在webshell，如何處理？",
開啟防火墻,殺毒軟件等,關(guān)閉遠(yuǎn)程桌面這些功能,定期更新服務(wù)器補(bǔ)丁和殺毒軟件。
?
總結(jié)
以上是生活随笔為你收集整理的网络安全工程师毕业答辩杂记的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。
