土麻豆Hero的博客_网络安全

欢迎

基础网络安全-K8S及容器安全总结

一、前言Docker作为一种容器化技术，在提供高效部署和资源利用的同时，也伴随着一系列安全风险，而K8S作为流行的容器编排工具，为容器的运行、服务发布、弹性伸缩提供了便捷的功能，但是由于K8S的复杂性，其也带来了一定的安全风险。经过一段时间的努力，博主对Docker、Docker安全、k8s基础知识、K8S安全相关知识以系列的方式进行了学习及说明，相关的博客及链接如下：1、Docker 安全学习之

Docker安全

K8S安全

容器安全

kube-bench

RBAC

原创 25天前 34 阅读

基础网络安全-K8S之资源隔离

一、资源配额ResourceQuota默认情况下K8S未对pod可以使用的资源（cpu、memory、storage、pod、deployment、service等）进行限制，可以通过ResouceQuota对命名空间可以使用的资源总量进行限制，该功能使用准入控制的插件进行控制。官网介绍文档：https://kubernetes.io/docs/reference/kubernetes-api/p

ResourceQuota

LimitRange

AppArmor

Seccomp

K8S

原创 26天前 77 阅读

基础网络安全-K8S之网络策略Network policy与RBAC

一、网络策略Network Policy 默认情况下，k8s集群网络没有任何网络限制，Pod可以与任何其他Pod通信，此时为了减少网络风险暴露面，防止Pod被失陷后进行横向的移动，可通过网络策略（NetworkPolicy）进行控制，网络策略是K8S的一个资源，可用于限制Pod出入流量，提供pod级别和Namespace级别网络访问控制。类似于在路由器上配置

Network Policy

RBAC

Adminssion Control

K8S认证

原创 1月前 84 阅读

基础网络安全-K8S之安全漏洞扫描

一、前言在之前的文章《Docker安全学习之——Docker 安全总结》中介绍了docker搭建后使用工具进行漏洞扫描，本篇则是介绍的在K8S搭建后需要开展的扫描工作，包括K8S自身的组件以及docker镜像等，这里介绍的是trivy这一款工具。二、工具简要介绍Trivy工具的GITHUB地址为：https://github.com/aquasecurity/trivy，讨论社区地址为：https

trivy

k8s

oras

trivydb

k8s扫描

原创 1月前 118 阅读

基础网络安全-K8S 配置Ingress-controller 通过HTTPS处理服务请求

一、前言在K8S中可以通过service对外暴露服务，由service代表一组pod对外提供服务，同时也提供了通过Ingress-controller组件对外提供服务的方式，Ingress-controller类似于一个反向代理，前端向用户侧提供服务，后端将服务请求转发到每一个service上。而Ingress则在Ingress-controller的基础之上提供了一个用户配置规则的入口。K8S通

k8s

ingress

ingress-controller

https

ingress-nginx

原创 1月前 125 阅读

基础网络安全-使用kube-bench进行K8S安全基线检查

一、说明 K8S涉及非常多的组件，在完成安装部署后需要对配置进行安全性检查，这是确保K8S基础架构安全的重要组成部分，我们可以参考互联网安全中心CIS（https://www.cisecurity.org/benchmark/kubernetes/）提供的安全基线进行逐项检查。由于检查项众多，可以使用kube-bench工具进行检查，Kube-b

基线

cis

kube-bench

K8S安全基线

原创精选 1月前 547 阅读

基础网络安全-K8S关键概念及搭建过程中遇到的问题补充

一、K8S集群基本概念 k8s是一组服务器集群，是一个分布式的容器编排系统，对运行在集群上的容器进行管理，K8S集群包括控制平面（Control Plane）以及1个或者多个工作节点（worker node），而控制平面包括mast

k8s

kubenetes

基础安全

flannel

原创 1月前 158 阅读

基础网络安全-K8S部署初体验

说明：由于最近计划开展K8S及容器的安全评估，但是对于K8S的组件、规划及部署不是很清楚，对于K8S的安全评估存在更多的知识盲区，因此我从网络中找了相关的视频进行了学习，并同步进行了实验学习。本篇是一个K8S的简单部署学习笔记，在网上能够找到更加详细、类似的文章，在学习实验的过程中也遇到一些问题，在这个过程中通过各种方法进行了解决，增加了对相应知识点的理解。笔者计划先跟着老师将实验完成，先实操一遍

k8s

docker

原创 1月前 36 阅读

SpringBoot Actuator API接口信息泄露

一、SpringBoot ActuatorSpringBoot Actuator是SpringBoot项目中的一个监控机制，用于提供了一系列对SpringBoot项目的状态监控，有助于监控项目上线后的运行状态、组件状态等。这些监控项称之为端点（endpoint），可以通过API接口进行访问，但是配置不当可能出现敏感信息泄露，导致一系列严重的后果。二、环境搭建1、SpringBoot：2.3.2.R

actuator

springboot

/actuator

信息泄露

API接口信息泄露

原创精选 3月前 747 阅读

使用OpenDLP进行敏感数据分析

一、背景在我们的网络中存在不同的安全区域，各个安全区域进行了逻辑隔离，不能直接互通，但是又存在数据传输的需求，因此我们建设了文件摆渡系统，可以实现将文件从一个区域单向的摆渡至另外一个区域。在这个过程中我们也发现存在的问题，比如用户可以将敏感信息从高安全级别的区域传输至低安全级别的区域，这样势必会造成敏感数据泄露的风险。二、openDLP简介GitHub地址：https://github.com/h

敏感数据

正则表达式

opendlp

敏感数据扫描

原创 6月前 448 阅读

办公网络安全管理实践杂谈

一、网络安全（一）网络区域划分办公网络通常用于承载公司员工日常办公的服务以更好的支撑业务开展，如OA系统、知识管理、项目管理、邮件系统等，其由办公相关的服务器、接入网络、终端构成。在办公网络架构设计上首先要遵循“纵深防御”的理念，通过“纵深防御”可以使网络拥有更高的安全韧性。为了使“纵深防御”有效，必须站在恶意人员的视角，在访问路径上应用多层或者多级安全性

网络安全

终端安全

数据安全

纵深防御

访问控制

原创 9月前 106 阅读

安全运营之Zeek配合Graylog进行流量分析

一、简介在前一篇博客中安装了zeek流量分析工具，并且使用zeek工作捕获了流量以日志的方式进行了展示，在本篇博客中我们将安装Graylog，将zeek流量分析结果以图形的方式展示，并结合Elasticsearch提供的搜索引擎完成日志的存储及检索。 Graylog的官方网站见https:

elasticsearch

zeek

安全运营

graylog

流量分析

原创 2023-11-05 21:31:00 609 阅读

安全运营之Zeek开源网络流量分析工具安装部署

一、zeek简要介绍 Zeek官方网站为https://zeek.org/，官网将其定义为一款开源的网络安全流量分析工具，其前身为Bro，在其官方网站可以找到详细的文档说明，zeek可以以单节点部署，也可以以集群的方式部署。Zeek的架构如下：其中有两个关键的组件，Event Engine以及Policy Script Interpreter：E

Zeek

流量分析

原创精选 2023-11-04 20:38:02 3689 阅读

靶机Scriptkiddie Funbox11 学习总结

一、信息收集：1、扫描ARP信息：└─# arp-scan –l2、使用nmap扫描端口，-sC使用默认脚本进行漏洞扫描：└─# nmap -sC -sV -oA nmap/funbox 192.168.2.23再扫描一下版本：通过上面的信息可以看到：(1) 系统为ubuntu，但是具体的版本不确定(2) 系统开放了21端口，运行的软件为prof

scriptkiddie

funbox11

proftpd

原创 2023-09-17 21:31:15 351 阅读

靶机Morphues学习总结

一、安装下载地址：https://www.vulnhub.com/entry/matrix-breakout-2-morpheus,757/ 直接导入虚拟机，可能出现获取不到IP地址的情况，我折腾了好久，不知怎么的，又有地址了。二、信息收集1. ARP探测，看一下靶机获取的IP地址─# arp-scan -l2. 使用nmap探测端口及服务└─# nmap -sC -sV -

靶机Morphues

SUID

Dirty-Pipe

CVE-2022-0847

原创 2023-09-06 22:11:36 171 阅读

靶机jangow学习总结

一、安装靶机下载：https://www.vulnhub.com/entry/jangow-101,754/下载后直接VMware打开启动，不过可能会出现没有获取到IP地址，导致后面扫半天也扫不出来信息的情况，可以百度一下，有很多解决办法。二、信息收集1. ARP探测，看一下靶机获取的IP地址：# arp-scan -l2. &

jangow

蚁剑

原创 2023-08-27 21:17:11 520 阅读 2收藏

随记：记几个查看图片及其隐藏信息的命令

记几个查看图片及其隐藏信息的命令：1.Exiftool: 查看图片的元数据信息安装：apt-get install exiftool使用：exiftool picname 2.Steghide 查看、合并或者分离图片中的信息安装：apt-get install steghide使用：Echo "hello,world" > 1.txt //准备一

exiftool

steghide

strings

hexeditor

binwalk

原创 2023-08-20 14:54:25 427 阅读

安全运营之区域间文件摆渡系统建设

一、需求通常企业的网络会划分为生产网络、办公网络、开发测试网络、互联网络，各个区域之间会因为安全要求而进行严格的隔离，但是在隔离的同时也会带来文件交互的需求，即跨区域间的文件摆渡的业务需求。如下：在这种业务需求下，我们作为安全管理人员提供的解决方案需要考虑多种因素，如文件是否涉及敏感信息

文件摆渡

HFS

安全运营

原创 2023-07-17 23:05:27 1047 阅读

安全运营之暴露资产探测

一、背景在安全运营中一个重要的工作就是对资产进行管理，尤其是面向互联网的资产，每一个安全管理人员都需要知道具体有哪些资产暴露在了互联网上，或者说哪些资产成为了高风险资产。接下来，我们问自己几个问题，这些资产是根据我们的业务需求而开放的吗？是因为业务或者系统下线后没有及时关闭造成的吗？是临时测试或者运维人员随意开放的吗？抑或是系统或者说边界设备默认开放的吗？

scapy

EASM

CAASM

网络空间测绘

资产扫描

原创 2023-06-23 21:39:23 606 阅读指尖人生

Docker 安全扫描

一、 Anchore engineAnchore engine是一款Docker漏洞扫描工具，该工具可从仓库下载镜像，然后对镜像进行安全扫描、分析。其分为社区版本和商业版本，社区版本只提供CLI接口，商业版本还提供WEB页面及更多的支持。相关介绍说明：https://github.com/anchore/anchore-engine。1、工具安装。该工具有几种不同的安装方式sudo cur

anchore

grype

Docker Bench for

docker bench

原创推荐 2022-10-07 18:48:05 2972 阅读

BURP使用技巧——对经MD5哈希的密码进行暴破

一、在GITHUB上下载了一套源代码，对其进行代码审计，在用户登录处：二、于是对其进行暴力猜解，通过BURP截包，如下：通过观察发现Password字段并不是明文，并且同时把loginTime通过POST方法携带到了服务器。三、在前端查看源码，可以看到将密码与时间戳拼接后，进行了MD5加密。四、进入BURP的Intruder模块，选择变量如下：通过多次测试可以发现后台对时间戳进行了校验

BURP

MD5

登录密码

原创推荐 2022-10-06 22:31:41 6542 阅读

Empire Breakout学习体会

申明：本文为靶机EMPIRE:BREAKOUT学习笔记，相关操作仅在测试环境中进行，严禁任何危害网络安全的恶意行为。本文主要记录了一些关键知识点，仅供学习！一、安装说明靶机在https://www.vulnhub.com/上面直接下载后通过虚拟机启动就可以了。二、信息收集信息收集部署仍然是存活主机检查、开放端口及操作系统检测，检测到开放端口后，可以逐个对端口进行访问，观察返回的内容，这里记录一

empire breakout

getcap

原创 2022-10-05 14:26:22 351 阅读

Docker安全学习之——Docker 安全总结

一、概述在前一篇主要讲述了如何从0开始构建一个包括nginx服务的镜像，并且如何启动该镜像，随后使用nginx官方镜像启动了容器服务，最后简单列举了相关的命令。但是，并没有提到关于容器安全相关的部分，从目前容器所暴发出来的漏洞来看，容器还是存在一些高危漏洞，虽然容器本身的属性决定了能够适应业务的快速发展，但是不可忽略的是其仍然存在大量的安全问题，因此在本篇中将着重讨论Docker容器安全相关的问

docker

docker安全

原创精选 2022-10-03 20:48:29 843 阅读

Docker 安全学习之——Docker基础知识

前言：本篇以Nginx镜像的制作过程为例，介绍了Docker容器的基础知识。一、手工制作一个包含nginx服务的镜像并启动容器我使用的centos7.6，目前提供的docker版本为1.13.1，版本是比较老的，因此我从互联上下载了比较新的20.10.9相关的文件到本地，然后在本地进行安装，下载地址：https://download.docker.com/。具体下载的文件如下：1、 do

docker

nginx

Docker安全

原创推荐 2022-10-03 14:27:14 530 阅读 1收藏

小程序抓包方法总结

本篇博客记录的是两种抓包方法，在安全测试的过程中会经常使用到，进行简单的记录。一、通过Proxifier、BURP进行抓包，流量模型：用户——小程序（本地电脑）——Proxifier（转发）——BURP（一）首先配置BURP，这一步比较简单，我这里配置监听在所有IP的8081端口上：（二）配置Proxifier1、启动Proxif

Proxifier

小程序

BURP

原创精选 2022-09-17 14:53:42 10000+阅读 1点赞 1收藏

靶机SickOS1.2学习

申明：本文为靶机SickOS1.2学习笔记，相关操作仅在测试环境中进行，严禁任何危害网络安全的恶意行为。一、环境准备靶机名称：SickOS1.2靶机下载链接：http://www.vulnhub.com/entry/sickos-12,144/启动：下载靶机解压后是OVF文件，直接双击使用VMware启动，启动后系统会自动获得IP地址。二、信息收集（一）存活主机扫描：由于靶机

SickOS1.2

靶机

原创精选 2022-09-12 15:35:43 1699 阅读

以消金行业为起点聊一聊关键信息基础设施安全保护建设

一、背景《关键信息基础设施安全保护条例》（以下简称“条例“）自2021年9月1日实施以来，已经走过了一个完整的年度，过去的一年在条例的指引下，相关行业主管部门、监管管理部门已经将相关的要求融入到了监管要求工作中，并且有一些明确的要求或者指南出台，各运营者也在相关要求下逐步开展关键信息基础设施的安全保护工作。消费金融属于金融行业下的一个细分领域，与银行机构一样受到监管机构的强监管，但是也存在其特殊性

基础设施

关键基础设施安全保护

原创 2022-09-04 17:23:57 382 阅读

记一处json格式数据传输的SQL注入测试

提示：本文所有操作仅为作者的学习记录，严禁用于非法测试！一、背景在对某小程序进行安全测试的时候发现其所有的数据传输都是以Json的形式进行的，在小程序前台通过不同的标签展示信息，不太容易看到反馈到前台的具体内容，只好借助BURP进行分析测试。二、SQL发现过程1、在对报文进行分析的时候看到”type”:1，感觉这里可能存在注入点，如下：2、使用

sql注入

小程序

json格式

sqlmap

原创精选 2022-09-01 23:03:41 2839 阅读

Spring Actuator信息泄露HeapDump

一、说明 HeapDump文件是JVM虚拟机运行时内存的一个快照，通常用于性能分析等，但是因为其保存了对象、类等相关的信息，如果被泄露也会造成信息泄露。有多种方式可以获取到HeapDump信息，如使用jmap、jconsole可以主动获取到信息，在JAVA开发中引入Spring Actuator后，如果配置不当可以通过前台访问下载HeapDum

actuator

actuator/heapdump

Java VisualVM

原创推荐 2022-07-24 17:01:44 10000+阅读 1收藏

Vsftp 与SSL协作部署更加安全的FTP服务器

一、说明在上一篇VSFTP服务器搭建及安全性配置中介绍了Linux下VSFTP的配置，在本篇文章中，将Vsftpd及ssl两者相结合以便部署更加安全的FTP服务器，主要解决VSFTP部署在互联网时的数据安全传输的问题。FTP与SSL相结合时，有TLS/SSL 显示加密以及TLS/SSL隐式加密两种方式。TLS/SSL显示加密时，服

VSFTP

TLS/SS

FTP服务器

vsftpd.conf

原创精选 2022-02-05 17:32:31 4621 阅读

官方博客	全部文章	热门标签	班级博客
了解我们	网站地图	意见反馈

鸿蒙开发者社区	51CTO学堂
51CTO	软考资讯

51CTO博客

土豆笔记

欢迎

基础网络安全-K8S及容器安全总结

基础网络安全-K8S之资源隔离

基础网络安全-K8S之网络策略Network policy与RBAC

基础网络安全-K8S之安全漏洞扫描

基础网络安全-K8S 配置Ingress-controller 通过HTTPS处理服务请求

基础网络安全-使用kube-bench进行K8S安全基线检查

基础网络安全-K8S关键概念及搭建过程中遇到的问题补充

基础网络安全-K8S部署初体验

SpringBoot Actuator API接口信息泄露

使用OpenDLP进行敏感数据分析

办公网络安全管理实践杂谈

安全运营之Zeek配合Graylog进行流量分析

安全运营之Zeek开源网络流量分析工具安装部署

靶机Scriptkiddie Funbox11 学习总结

靶机Morphues学习总结

靶机jangow学习总结

随记：记几个查看图片及其隐藏信息的命令

安全运营之区域间文件摆渡系统建设

安全运营之暴露资产探测

Docker 安全扫描

BURP使用技巧——对经MD5哈希的密码进行暴破

Empire Breakout学习体会

Docker安全学习之——Docker 安全总结

Docker 安全学习之——Docker基础知识

小程序抓包方法总结

靶机SickOS1.2学习

以消金行业为起点聊一聊关键信息基础设施安全保护建设

记一处json格式数据传输的SQL注入测试

Spring Actuator信息泄露HeapDump

Vsftp 与SSL协作部署更加安全的FTP服务器