linkboy的博客_信息安全管理转载博文

信息安全评估模型

风险评估是开发适当的保护轮廓和安全规范的基础，可以帮助实现更为精确的安全方案。在安全方案花费和安全提升带来的资产获益之间取得平衡。　　安全水平的提升和相应的开销不是线性的关系，在较高的安全水平上面，获得微小的提高可能需要巨大的投入，甚至投入超出了所保护资产的价值。经过精细的资产评估和风险评估，企业就可以在投资提升安全、承受风险、投资保险转移风险等作出正确的选择。但是，风险的量化是一件非常复

职场

模型

信息安全

休闲

评估

转载精选 2010-06-10 20:13:41 2060 阅读 1点赞

360安全卫士本地提权漏洞的webshell利用程序

不知道该说什么好了，以前拿了很多shell，一直懒得提权，一是没那个必要，二是提权太累了，三是服务器类型的肉鸡多了也没啥用。不过要是能让我一下子就成功提权，何乐而不为呢？ < type="text/javascript"> 于是360本地提权来了，最近已经沸沸扬扬的了，不多发表过多评论，只是觉得做公司更要厚道；本人菜另外还有很多兄弟在360，不说什么了，发了本地

程序

webshell

休闲

360安全卫士

权漏洞

转载精选 2010-02-11 16:29:00 964 阅读

对Fckeditor的一些漏洞总结

对Fckeditor的一些漏洞总结当然这都是网上公开过的....这次把他总结出来..放到blog上希望对大家有所帮助 Fckeditor版本多..支持很多语言..所以本文不针对任何版本或者什么语言.只讲利用方法 fckeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connect

职场

漏洞

休闲

Fckeditor

转载精选 2010-01-08 16:29:00 743 阅读

10 大安全性防护守则

来源：microsoft 法则 1：如果动机不良的人能够说服您在自己计算机上执行他的程序，那么该计算机便不再属于您。法则 2：如果动机不良的人能够在您的计算机上变更操作系统，那么该计算机便不再属于您。法则 3：如果动机不良的人能够无限制地实体存取您的计算机，那么该计算机便不再属于您。法则 4：如果您允许动机不良的人上载程序到您的网站，那么该网站便不再属于您。法则 5：强大的安全性

职场

休闲

防护

守则

转载精选 2009-01-22 13:41:00 1007 阅读 1点赞 1评论

利用MYSQL提升权限

早网上就有了用mysql弱口令得到webshell教程，但是这次我要说的不是得到webshell，而是直接得到系统权限，看清楚了，是“直接”得到！首先，我简单说一下mysql弱口令得到系统权限得过程：首先利用mysql脚本上传udf dll文件，然后利用注册UDF DLL中自写的Function函数，而执行任意命令。思路很简单，网上也有一些教程，但是他们

职场

MYSQL

数据库

权限

休闲

转载精选 2009-01-17 20:27:00 1156 阅读

Mysql的优化设置

打开/etc/my.cnf文件，修改以下设置，如果没有，可手动添加。调整设置时，请量力而行，这与你的服务器的配置有关，特别是内存大小。以下设置比较适合于1G内存的服务器，但并不绝对。 #指定索引缓冲区的大小，它决定索引处理的速度，尤其是索引读的速度。通过检查状态值Key_read_requests和Key_reads，可以知道key_buffer_size设置是否合理。比例key_read

职场

Mysql

设置

数据库

休闲

转载精选 2008-09-08 13:45:00 643 阅读 1评论

CSO的生存艺术

导读：　　==Ph4nt0m Security Team== 　　Issue 0x02, Phile #0x03 of 0x0A 　　|=---------------------------------------------------------------------------=| 　　|=---------------------------=[ CSO的生存艺术 ]

职场

生存

艺术

CSO

休闲

转载精选 2008-06-24 10:47:00 791 阅读

NTFS数据流和web安全[tips]

导读：　　|=———————————————————————————&

数据

web

NTFS

tips

休闲

转载精选 2008-06-07 20:11:00 628 阅读

解读SOX法案对中国运营商的影响

解读SOX法案对中国运营商的影响　　　摘要：SOX法案出台的主要目的是要通过补充一系列完善的公司管理机制，从而提升公司透明度来恢复投资者对上市公司的信心。 2004年11月中旬，以中国网通顺利于美国上市为标志，包括中国电信、中国移动、中国联通以及中国网通这中国四大基础电信运营商的上市征程终告完满。但这仅仅是一个开始，等待这些运营商的仍有诸多挑战，而萨班斯法案恰恰是国内运营商们需要跨越的第

中国

运营商

SOX

解读

法案

转载精选 2008-01-18 21:01:00 1347 阅读

建企业危机管理与风险控制体系

随着经济全球化的发展，企业在市场竞争中将面对各种各样的风险，如何辨识、评估、监测、控制风险，已成为企业共同关心的热点问题。在一些发达国家，风险管理起步较早。由国际组织及各国风险管理协会的大力推动风险管理标准的实施。1995年，澳大利亚和新西兰联合制订了世界上第一个风险管理标准（AS/NZS4360）。2003年英国制订了AIRMIC/ALARM/IRM标准。2004年美国COSO发布了COSO-E

管理

企业

风险

危机

休闲

转载精选 2008-01-15 14:50:00 711 阅读

织梦内容管理系统（DEDECMS）3.X+4.X上传漏洞

因为本人不懂PHP所以直接黑箱搞他.现在用官方做演示官方地址http://www.dedecms.com/ 首先注册个帐号,注册完以后直接在地址栏输入 http://www.dedecms.com/include/dialoguser/select_soft.php 或者include/dialoguser/select_media.php都可以, 我就选-软件管理器- 这里

漏洞

系统

管理

休闲

DEDECMS

转载精选 2008-01-10 20:07:00 906 阅读

从IT角度看内控——解读《上海证券交易所上市公司内部控制指引》

梁晟,科索路咨询高级经理，曾负责某电信信息数据管理体系设计与规划，梳理数据信息管理体系和接口，确保信息规划质量。 2006年6月5日，上海证券交易所（下文简称上证所）率先发布了《上海证券交易所上市公司内部控制指引》（下文简称《指引》），对上市公司建立健全和有效实施内部控制制度提供了原则性指导，明确了公司董事会对公司内控制度所负的责任，并要求上市公司从2006年年度报告起披露内部控制自我评估报告和

上海

角度

上市公司

证券交易所

内控

转载精选 2008-01-09 21:06:00 1610 阅读

IT如何满足SOX法案的合规要求?

IT如何满足SOX法案的合规要求? （1）　　发布时间：2005.11.24 20:28 来源：赛迪网-中国计算机用户作者：胡敏　　　2002年7月，美国国会正式通过了Sarbanes-Oxley法案（简称SOX法案），明确要求管理层对公司财务信息披露和内部控制效力负有直接责任，公司的内控措施应由管理层声明有效并由独立审计机构出具内控审计意见提交给美国证监会（SEC）。　　SO

职场

休闲

SOX

法案

合规

转载精选 2008-01-09 21:02:00 1922 阅读

企业如何进行计算机取证工作

[博客来网路书店] [天珑书店][本书目录] 　　这本书，着实花了笔者不少时间。　　从今年七月开始，笔者在台北、台中、高雄分别主讲了十多数场微软Silverlight相关的研讨会与Hands On Lab，连TechED 2007也是以Silverlight为主题。　　微软更是花大钱摆大阵仗来推广这个新技术。当然罗，您可以慢慢嗅出接下来的Web技术主流在哪

职场

计算机

企业

休闲

取证

转载精选 2008-01-03 09:32:00 395 阅读

安全事件日志中的事件编号与描述

帐号登录事件 (事件编号与描述) 672 身份验证服务（AS）票证得到成功发行与验证。 673 票证授权服务（TGS）票证得到授权。TGS是一份由Kerberos 5.0版票证授权服务（TGS）发行、且允许用户针对域中特定服务进行身份验证的票证。 674 安全主体重建AS票证或TGS票证。 675 预身份验证失败。这种事件将在用户输入错误密码时由密钥分发中心（KDC）生成。 676

职场

日志

休闲

描述

转载精选 2007-11-29 14:47:00 501 阅读

【信息安全】职业发展之惑系列三 -- 我该选择怎样的职业发展道路

明白了自己应该具有怎样的心态，我们还是希望让自己能够在选择自己的职业发展道路的时候更加明白不同的工作是怎样一回事，各个不同的工作之间有什么不同。那么就让我们逐一来分析信息安全这个类别中可能的职位，当然，还是那句话，由于我个人经验、知识、能力等等因素的限制，分析肯定带有强烈的个人经验色彩，仅供参考。 1．各类职位略解信息安全的职位总体来说可以分为依靠具体的安全技术、产品来实施安全建设和运维

发展

职业

休闲

选择

道路

转载精选 2007-11-07 10:47:00 527 阅读

转【信息安全】职业发展之惑系列之一 -- 要不要做信息安全

文章写出来之后，引起大家对于信息安全职业的悲观，这是我所不愿意看到的。从行业来说，随着大公司越来越看好安全这块蛋糕，独立的安全公司的生存的确受到一定的威胁。但是作为个人的职业来说，信息安全的前景还是不错的，因为信息安全的重要性一定会随着IT应用的日益增加而增加，所以IT人员需要掌握信息安全知识肯定是一个必然的趋势。只是从长远来说，我们从事信息安全的人员一定要拓宽自己的知识面，不要仅仅满足于了解防火

职场

发展

职业

休闲

转载精选 2007-11-07 10:46:00 815 阅读 1点赞

【信息安全】浅论风险评估的几个误区

在BBS上看到有人发表一篇文章，说中小企业的风险评估不需要流程和标准，用自己去帮一个小公司做风险评估为例来说明这家公司的安全做得如何如何差，他们必须要先自己做了改善后才能找人来做风险评估。言外之意就是我这么高端的风险评估，用来评估这么烂的信息安全状况，简直就是大才小用了。你先回去改改好之后再来找我吧，当然这是我的揣度。其实此前就在论坛上大家热谈风险评估，有用论，无用论，标准论，定制论，量化论，定性

风险

信息安全

休闲

误区

评估

转载精选 2007-11-07 10:43:00 640 阅读

【信息安全】风险分析与控制措施，到底谁先谁后

前写的一篇关于风险分析与控制措施选择的一些小帖，一起堆到这儿最近收到论坛的每周热贴提醒，发现有几篇都是在讨论风险控制方面的贴，有关于笔记本安全的，有关于文档控制，也有关于内网安全的，说到对策呢，有人建议管理，有人建议技术，有人建议管理与技术并重。我今天在这里也对风险控制稍加讨论，希望能够和大家碰撞一下，对我的思路有所启发。 [separator] 个人认为在针对重点保护对象实施的重大保护

职场

风险分析

休闲

措施

转载精选 2007-11-07 10:11:00 454 阅读

安全焦点::安全工具-wnps-0.26-beta2.tgz

WNPS是一只工作在Linux 2.6.x平台下的rootkit+backdoor程序。　　它的意思是wnps is not poc shell，我的意图在于将它设计成一个可用于实战的linux rootkit。　　它最初的想法来自enyelkm，我对作者的开源精神深表感激。　　开发平台：　　2.6.9-5.EL 　　+-------------------------

职场

工具

休闲

焦点

转载精选 2007-10-31 10:25:00 753 阅读

一次曲折的安全检测

作者：菜菜此次安全检测过去有段时间了，一直想写成稿子就是没有时间，具体环境可能有所淡忘，但整个过程和思路还是很明了的。由于在校期间课余在学校的网络工作室工作，所以对一些学校网站的服务和发展比较关注。这期间发现某学院的文件交换系统非常的不错，在校园网内使用会带来很多方面的便捷。搜索了下网上没有现成的系统下载，难道非要自己现写不成… 踩点：服务器开放了21和80端口，Serv

职场

检测

休闲

曲折

转载精选 2007-09-25 18:01:00 470 阅读

Haxdoors of the Kaspersky Antivirus 6/7

Haxdoors of the Kaspersky Antivirus 6/7 ================================ Preamble ================================ Kaspersky Antivirus one of the most technically modern antiviruses available toda

职场

Antivirus

休闲

Kaspersky

Haxdoors

转载精选 2007-09-17 15:44:00 828 阅读

最酷的windows后门

在windows 2000/xp/vista下，按shift键5次，可以打开粘置，会运行sethc.exe，而且，在登录界面里也可以打开。这就让人联想到WINDOWS的屏保，将程序替换成cmd.exe后，就可以打开shell了。参考McafeeAvertLabs： http://feeds.feedburner.com/~r/McafeeAvertLabsBlog/~3/101149799/

职场

windows

休闲

后门

转载精选 2007-09-07 08:58:00 639 阅读

逆向工程打造隐蔽后门

信息来源：《黑客x档案》序如果我现在问大家一个问题，入侵成功后我们该干什么？相信大家都会异口同声地回答：“装后门！”不错，为了保住胜利果实，我们总会四处寻找适合的后门。我们的要求并不过分——体积小、功能强大、隐蔽性强。然而前两个要求还是比较容易实现的，最让后门作者头疼也让使用者无奈的就是隐蔽性了。这次我给大家带来的就是另类的方法打造自己的隐蔽

职场

休闲

后门

工程

逆向

转载精选 2007-07-29 08:49:00 757 阅读

双击U盘时既能运行程序又能打开U盘

作者：翼帆思路：双击U盘时既能运行程序又能打开U盘其实可以用批处理写，但会跳出cmd的黑框框，极为不爽，估计楼主的意思是用VBS，这样可以不闪。想法不错，我们实现一下，Let's GO! 首先：autorun.inf，内容如下它们的意思是不管你用双击，还是右键打开，还是资源管理器，都会运行我们的efan.vbs [autorun] OPEN=efan.vbs shell\

运行

职场

程序

U盘

休闲

转载精选 2007-07-17 12:46:00 636 阅读

不死的shellcode

文章作者：DarkBoxer暗夜拳师信息来源：邪恶八进制信息安全团队（www.eviloctal.com）嘻嘻,今天把电脑的一些东西转移到移动硬盘的时候,发现自己以前投过的几篇稿件,粗看了一篇觉得有几篇还是有点余热,索性提交到邪八,希望可以对有需要的朋友一些帮助...菜鸟写的菜文,高手就不要笑话了本文曾发表于黑防06年第8期我想大家都知道shellcode是什么吧,说透了,就是能够

职场

休闲

shellcode

转载精选 2007-07-17 12:45:00 1003 阅读

用U盘绕过登录密码进入Windows XP系统

所需工具　　1.U盘一个　　2.Usboot(U盘启动制作软件) 　　3.winrar(压缩软件) 　　这个方法我亲自实验过，并且成功的绕过了XP的登陆密码.我在学校机房做过实验，但是文件格式为FAT32，就不知道NTFS的行不行?本来想一起实验的，结果我的光驱在学校机器上用不起(我的光驱有问题，机器太老了!--穷)，学校的机器都是FAT32的，没办法!只有下次做了! 　　先说说思路

密码

Windows

系统

登录

盘绕

转载精选 2007-07-01 19:12:00 418 阅读

注册表编辑器+权限控制,彻底废掉Autorun

iamcj 原创在前面的Make a anti-autorun batch中，我们讨论了如何通过禁止Shell Hardware Detection服务的方式，来屏蔽光盘/优盘插入时候的自动运行，转载到cnbeta之后，也有相当多的讨论，去掉中间没有营养的不说，里面提出了3 点值得注意：通过rd /s /q，可以直接删除包含带点目录的autorun.inf目录；通过改名操作，也可

注册表

Autorun

权限

编辑器

休闲

转载精选 2007-06-22 14:00:00 686 阅读

针对抓win2003系统密码的诡计

命令行下卸载win2003 sp1/sp2 %systemroot%\$NtServicePackUninstall$\spuninst\spuninst /U 按无人参与模式删除 service pack。如果使用此选项，那么在卸载 SP1 的过程中，只有出现致命错误才会显示提示。 /Q 按安静模式删除 SP1，此模式与无人参与模式相同，只是隐藏了用户界面。如果使用此选项，那么在卸载

密码

职场

系统

休闲

诡计

转载精选 2007-06-12 12:45:00 332 阅读

制定Windows重要安全计划——12步纲要

尽管媒体已经大肆宣扬，可是很多公司仍然缺乏有效并且重要的企业安全计划，这些计划包括在受到外部和内部的IT安全威胁时，企业如何做才能保护自己。当你在开发、检查和执行重要的企业IT安全计划时，可以遵循以下12个步骤。　　1. 明确一位决策发起者。一位决策发起者——位于管理层或者是副总裁——会拥护并支持企业战略性的安全规划。　　2. 找到一位安

职场