土麻豆Hero的博客_网络安全

欢迎

基础网络安全-使用kube-bench进行K8S安全基线检查

一、说明 K8S涉及非常多的组件，在完成安装部署后需要对配置进行安全性检查，这是确保K8S基础架构安全的重要组成部分，我们可以参考互联网安全中心CIS（https://www.cisecurity.org/benchmark/kubernetes/）提供的安全基线进行逐项检查。由于检查项众多，可以使用kube-bench工具进行检查，Kube-b

基线

cis

kube-bench

K8S安全基线

原创精选 1月前 547 阅读

SpringBoot Actuator API接口信息泄露

一、SpringBoot ActuatorSpringBoot Actuator是SpringBoot项目中的一个监控机制，用于提供了一系列对SpringBoot项目的状态监控，有助于监控项目上线后的运行状态、组件状态等。这些监控项称之为端点（endpoint），可以通过API接口进行访问，但是配置不当可能出现敏感信息泄露，导致一系列严重的后果。二、环境搭建1、SpringBoot：2.3.2.R

actuator

springboot

/actuator

信息泄露

API接口信息泄露

原创精选 3月前 747 阅读

安全运营之Zeek开源网络流量分析工具安装部署

一、zeek简要介绍 Zeek官方网站为https://zeek.org/，官网将其定义为一款开源的网络安全流量分析工具，其前身为Bro，在其官方网站可以找到详细的文档说明，zeek可以以单节点部署，也可以以集群的方式部署。Zeek的架构如下：其中有两个关键的组件，Event Engine以及Policy Script Interpreter：E

Zeek

流量分析

原创精选 2023-11-04 20:38:02 3689 阅读

Docker 安全扫描

一、 Anchore engineAnchore engine是一款Docker漏洞扫描工具，该工具可从仓库下载镜像，然后对镜像进行安全扫描、分析。其分为社区版本和商业版本，社区版本只提供CLI接口，商业版本还提供WEB页面及更多的支持。相关介绍说明：https://github.com/anchore/anchore-engine。1、工具安装。该工具有几种不同的安装方式sudo cur

anchore

grype

Docker Bench for

docker bench

原创推荐 2022-10-07 18:48:05 2972 阅读

BURP使用技巧——对经MD5哈希的密码进行暴破

一、在GITHUB上下载了一套源代码，对其进行代码审计，在用户登录处：二、于是对其进行暴力猜解，通过BURP截包，如下：通过观察发现Password字段并不是明文，并且同时把loginTime通过POST方法携带到了服务器。三、在前端查看源码，可以看到将密码与时间戳拼接后，进行了MD5加密。四、进入BURP的Intruder模块，选择变量如下：通过多次测试可以发现后台对时间戳进行了校验

BURP

MD5

登录密码

原创推荐 2022-10-06 22:31:41 6542 阅读

Docker安全学习之——Docker 安全总结

一、概述在前一篇主要讲述了如何从0开始构建一个包括nginx服务的镜像，并且如何启动该镜像，随后使用nginx官方镜像启动了容器服务，最后简单列举了相关的命令。但是，并没有提到关于容器安全相关的部分，从目前容器所暴发出来的漏洞来看，容器还是存在一些高危漏洞，虽然容器本身的属性决定了能够适应业务的快速发展，但是不可忽略的是其仍然存在大量的安全问题，因此在本篇中将着重讨论Docker容器安全相关的问

docker

docker安全

原创精选 2022-10-03 20:48:29 843 阅读

Docker 安全学习之——Docker基础知识

前言：本篇以Nginx镜像的制作过程为例，介绍了Docker容器的基础知识。一、手工制作一个包含nginx服务的镜像并启动容器我使用的centos7.6，目前提供的docker版本为1.13.1，版本是比较老的，因此我从互联上下载了比较新的20.10.9相关的文件到本地，然后在本地进行安装，下载地址：https://download.docker.com/。具体下载的文件如下：1、 do

docker

nginx

Docker安全

原创推荐 2022-10-03 14:27:14 530 阅读 1收藏

小程序抓包方法总结

本篇博客记录的是两种抓包方法，在安全测试的过程中会经常使用到，进行简单的记录。一、通过Proxifier、BURP进行抓包，流量模型：用户——小程序（本地电脑）——Proxifier（转发）——BURP（一）首先配置BURP，这一步比较简单，我这里配置监听在所有IP的8081端口上：（二）配置Proxifier1、启动Proxif

Proxifier

小程序

BURP

原创精选 2022-09-17 14:53:42 10000+阅读 1点赞 1收藏

靶机SickOS1.2学习

申明：本文为靶机SickOS1.2学习笔记，相关操作仅在测试环境中进行，严禁任何危害网络安全的恶意行为。一、环境准备靶机名称：SickOS1.2靶机下载链接：http://www.vulnhub.com/entry/sickos-12,144/启动：下载靶机解压后是OVF文件，直接双击使用VMware启动，启动后系统会自动获得IP地址。二、信息收集（一）存活主机扫描：由于靶机

SickOS1.2

靶机

原创精选 2022-09-12 15:35:43 1699 阅读

记一处json格式数据传输的SQL注入测试

提示：本文所有操作仅为作者的学习记录，严禁用于非法测试！一、背景在对某小程序进行安全测试的时候发现其所有的数据传输都是以Json的形式进行的，在小程序前台通过不同的标签展示信息，不太容易看到反馈到前台的具体内容，只好借助BURP进行分析测试。二、SQL发现过程1、在对报文进行分析的时候看到”type”:1，感觉这里可能存在注入点，如下：2、使用

sql注入

小程序

json格式

sqlmap

原创精选 2022-09-01 23:03:41 2840 阅读

Spring Actuator信息泄露HeapDump

一、说明 HeapDump文件是JVM虚拟机运行时内存的一个快照，通常用于性能分析等，但是因为其保存了对象、类等相关的信息，如果被泄露也会造成信息泄露。有多种方式可以获取到HeapDump信息，如使用jmap、jconsole可以主动获取到信息，在JAVA开发中引入Spring Actuator后，如果配置不当可以通过前台访问下载HeapDum

actuator

actuator/heapdump

Java VisualVM

原创推荐 2022-07-24 17:01:44 10000+阅读 1收藏

Vsftp 与SSL协作部署更加安全的FTP服务器

一、说明在上一篇VSFTP服务器搭建及安全性配置中介绍了Linux下VSFTP的配置，在本篇文章中，将Vsftpd及ssl两者相结合以便部署更加安全的FTP服务器，主要解决VSFTP部署在互联网时的数据安全传输的问题。FTP与SSL相结合时，有TLS/SSL 显示加密以及TLS/SSL隐式加密两种方式。TLS/SSL显示加密时，服

VSFTP

TLS/SS

FTP服务器

vsftpd.conf

原创精选 2022-02-05 17:32:31 4621 阅读

VSFTP服务器搭建及安全性配置

一、前言FTP是什么在网上已经有很多的文章进行了详细的介绍，这里就不再特别说明，简单复习一下FTP服务器的关键知识点。FTP服务基于TCP协议，服务器监听在21端口，一个FTP文件传输过程由命令控制进程以及数据传输进程共同完成，基于通信双方谁来发起，可以分为主动模式（PORT）和被动模式（PASV），主动模式下服务器主动打开20端口进行数据传输，而被动模式下服

服务器

ftp服务器

vsftpd

原创精选 2022-01-08 16:07:34 1424 阅读

网络安全学习笔记工具篇（五） ——使用OpenSCAP 命令行进行基线扫描与修复

一、前言在《OpenSCAP简介》及《使用OpenSCAP Workbench进行基线扫描与修复》两篇中分别对OpenSCAP相关的术语、策略及使用图形化的工具OpenSCAP Workbench进行扫描、修复及基线裁剪的内容进行了相关介绍说明。在本篇中将介绍如何使用OpenSCAP命令行工具OpenSCAP Base及OpenSCAP Daemon进行基线扫描与修复。二、测试环境

openscap

基线扫描

SCAP

openscap-scanner

原创推荐 2021-12-04 15:16:33 6489 阅读

网络安全学习笔记工具篇（四）——使用OpenSCAP Workbench进行基线扫描与修复

一、前言在前一篇“OpenSCAP简介”中对OpenSCAP相关的概念、术语、工具等进行了相关的介绍说明，相关的概念都附上了参考链接。在本文中将介绍安装Scap-Workbench、如何使用SCAP Workbench图形界面进行安全基线扫描、修复以及使用该工具如何对已有的安全基线进行裁剪以适应自身企业的需要。二、测试环境说明

centos

基线

openscap

OSCAP

原创精选 2021-11-13 10:06:14 4713 阅读

网络安全学习笔记工具篇（二）——GSIL GITHUB敏感信息泄露检测工具

本文说明了GITHUB上的敏感信息泄露工具GSIL的使用方法。通过该工具可以对GITHUB上自己关心的敏感信息进行检测分析，主要是公司的敏感开发代码、测试代码等，同时也可以发现一些泄露到GITHUB的账号密码等信息。GSIL通过提前设置的关键字分析，当检测到敏感的关键字后，将发现的敏感信息通过邮件发送到指定的接收邮箱中。

GSIL

敏感信息泄露检查工具

GSIL工具

原创推荐 2021-09-01 10:42:48 4261 阅读

数据安全风险评估总结（一）——基于数据生命周期进行安全风险评估

一、前言 2021年6月10日，第十三届全国人民代表大会常务委员会第二十九次会议通过了《中华人民共和国数据安全法》，自2021年9月1日起施行。《数据安全法》的通过意味着数据安全正式上升到法律的地位，将促使各行业企业投入更多的人财物对数据安全建设进行支撑。在进行数据安全建设的同时，我们会对数据安全现状进行风险评估以更好的了解现状，并且提出建设的方向，或者对数据安全建设路线进行修正。

数据安全

风险评估

数据安全风险评估

原创精选 2021-08-01 16:39:50 10000+阅读 1收藏

官方博客	全部文章	热门标签	班级博客
了解我们	网站地图	意见反馈

鸿蒙开发者社区	51CTO学堂
51CTO	软考资讯

51CTO博客

土豆笔记

欢迎