⽹络安全⾯试题
- SQL 注⼊的⼏种类型
SQL注⼊通常可以分为以下⼏种类型:
⾮盲注 (In-band SQLi) : 攻击者通过相同的通信渠道发送数据和获取结果, 包括错误型 (错误信息透露
出数据库信息) 和联合查询型 (利⽤UNION语句获取数据)。
盲注 (Blind SQLi) : 攻击者⽆法直接看到数据库返回的数据, 需要通过逻辑问题来推断。 这分为布尔盲
注和时间盲注, 通过返回⻚⾯的逻辑变化或响应时间来判断查询结果。
基于时间的盲注 (Time-based Blind SQLi) : 通过观察查询响应时间来推断信息。
堆叠查询 (Stacked Queries) : 通过在同⼀语句中插⼊多条SQL命令, 执⾏额外的SQL语句。
Out-of-band SQLi: 通过数据库服务器使⽤不同的通道 (如HTTP请求或DNS查询) 来传输数据。
- 如何从根本上解决SQL注⼊
从根本上解决SQL注⼊涉及到编码和配置的多个层⾯, 重点措施包括:
使⽤预处理语句 (Prepared Statements) : 这是防⽌SQL注⼊的最有效⽅式。 预处理语句与参数化查询
确保了SQL语句结构的固定, 数据以参数形式传递, 从⽽避免了解释为SQL代码的⻛险。
使⽤ORM框架: 现代的ORM (对象关系映射) 框架通常提供了内置的防注⼊机制。
限制数据库权限: 为应⽤程序数据库账户设置最⼩权限, 仅赋予其完成任务所需的权限。
对输⼊数据进⾏严格验证和过滤: 尽管这不是主要的防御措施, 但它可以作为其他防御措施的补充。
使⽤Web应⽤防⽕墙 (WAF) : 它可以帮助识别和阻⽌SQL注⼊攻击。
- SQL 盲注(Blind SQL Injection)是什么? 它与其他的 SQL 注⼊类型有什么不同?
SQL盲注是⼀种SQL注⼊攻击, 其中攻击者不能直接观察到数据库返回的任何数据。 攻击者需要依靠其他间
接的⽅式来判断注⼊的成功与否, 例如通过⻚⾯返回内容的变化、 ⻚⾯执⾏时间的⻓短等来判断后台数据库
查询的结果。
与其他SQL注⼊的主要区别是盲注不会直接返回数据, ⽽是需要攻击者根据其他指标 (如逻辑响应或时间
延迟) 来推测结果。
- SQL注⼊在MySQL和SQL Ser```er中有什么区别?
SQL注⼊的基本原理在不同的数据库管理系统 (如MySQL和SQL Ser```er) 中是相似的, 都是通过将不当输⼊
插⼊到SQL命令中以欺骗数据库执⾏⾮预期的命令。 然⽽, 由于这些系统的SQL语法和内部功能的差异, 具
体的注⼊技术和有效的利⽤⽅式可能有所不同:
MySQL ⽀持⼀些独特的SQL语法和函数, ⽐如可以利⽤ LOAD_FILE() 来读取服务器⽂件, 如果权限设
置不当的话。
SQL Server 有不同的系统存储过程和功能, 如可以利⽤ xp_cmdshell 来执⾏操作系统命令, 如果该功
能被启⽤且攻击者拥有⾜够权限的话。
- 过滤逗号的SQL注⼊如何绕过
过滤逗号是⼀种常⻅的防御措施, 因为逗号在SQL中⽤于分隔多个SQL语句或函数参数。 要绕过这种过滤,
可以采⽤以下⽅法:
使⽤其他SQL功能或命令, 不需要逗号也能执⾏。 例如, 在没有逗号的情况下使⽤嵌套的查询或使⽤联
合 (UNION) 来提取数据。
利⽤编码或替代字符, 如使⽤URL编码或⼗六进制编码来表示逗号, 如果过滤器没有处理这些编码的话。
- ⽬前防御SQL注⼊的⽅式有哪些?
除了之前提到的预处理语句和输⼊验证之外, 防御SQL注⼊还包括:
使⽤Web应⽤防⽕墙 (WAF) : WAF可以配置规则来识别和阻挡SQL注⼊攻击。
安全编码培训: 教育开发⼈员关于安全编码的最佳实践, 减少编码错误。
定期的代码审查和安全测试: 通过⾃动和⼿动检查来识别潜在的安全漏洞。
使⽤最少权限原则: 确保数据库账户只具有完成其功能所必需的最少权限。
- SQL注⼊绕WAF的⽅式尽可能多说
绕过WAF ( Web应⽤防⽕墙) 可能涉及以下技术:
编码和混淆: 使⽤不同的编码⽅法 (如Base64、 ⼗六进制) 或混淆技术来隐藏恶意输⼊。
使⽤多字节字符和同义替换: 替换SQL语句中的关键字和运算符, 或者使⽤WAF不识别的多字节字符。
逻辑混淆: 改变查询的逻辑结构, 使其在逻辑上等效, 但看起来与原始查询截然不同。
利⽤WAF配置和缺陷: 如果WAF配置不当或存在缺陷, 可能会有绕过的⽅法。
- XSS的⼏种类型及漏洞原理
跨站脚本 (XSS) 主要有三种类型:
反射型XSS: 这种XSS攻击通过⽤户的输⼊ (如通过URL参数) 直接反射到⻚⾯上, 通常需要⽤户的交互
(如点击链接) 来触发。
存储型XSS: 此类攻击将恶意脚本保存在⽬标服务器上 (如数据库、 消息论坛、 访客⽇志等), 当其他⽤
户访问存储这些脚本的⻚⾯时, 脚本会被执⾏。
DOM型XSS: 这种类型的攻击是通过客户端脚本 (如Ja```aScript) 来修改DOM的⽅式实现的, 不涉及服
务器端的脚本处理。
漏洞原理通常是由于Web应⽤程序没有正确地过滤⽤户的输⼊, 允许注⼊未经过滤的HTML或Ja```aScript代
码, 这些代码可以在其他⽤户的浏览器中执⾏。
- XSS 能⽤来做什么
XSS可以⽤于多种恶意⽬的, 包括但不限于:
窃取Cookies: 攻击者可以利⽤XSS窃取其他⽤户的会话Cookies, 进⽽冒⽤这些⽤户的身份。
会话劫持: 通过获取或修改⽤户的会话令牌来控制⽤户的会话。
植⼊恶意软件: 通过XSS植⼊恶意软件或其他恶意代码。
进⾏钓⻥攻击: 修改⻚⾯内容或重定向⽤户到钓⻥⽹站, 诱导⽤户提供敏感信息。
散布虚假信息: 修改⽹站内容, 显示错误或虚假信息。
- CSRF、 SSRF 和重放攻击有什么区别?
CSRF (跨站请求伪造): 攻击者诱使已经认证的⽤户在不知情的情况下发送恶意请求。 例如, 通过隐藏的
图像请求或伪造的表单。
SSRF (服务器端请求伪造): 攻击者利⽤服务器功能发送从服务器发起的请求, ⽤来探测内⽹、 与内部系
统交互或发起恶意请求。
重放攻击: 攻击者拦截合法的数据传输然后重新发送, ⽬的是欺骗系统重复执⾏原来的操作。
- 在linux下, 现在有⼀个拥有⼤量IP地址的txt⽂本⽂档, 但是⾥⾯有很多重复的, 如何
快速去重?
在Linux系统中, 可以使⽤如下命令⾏⼯具快速去重:
sort file.txt | uniq > newfile.txt
这⾥ sort 命令⾸先对⽂件中的IP地址进⾏排序， uniq 命令去除排序后连续的重复⾏。 结果存储在
newfile.txt 中。
- 如何建⽴隐藏⽤户?
在Linux系统中建⽴⼀个对普通⽤户不可⻅的隐藏⽤户, 可以通过修改 /etc/passwd ⽂件实现。 可以将⽤户
的登录shell设置为 /sbin/nologin 或 /bin/false , 这样⽤户就不能登录到系统。 但为了进⼀步隐藏, 可
以将⽤户ID设置为负数或极⾼的值 (通常不会检查这些范围的UID), 这样在⼤多数系统⼯具中⽤户将不会显
示。 这种⽅法的安全性有限, 可能会被有经验的⽤户或管理员发现。
- 给你⼀个内⽹Windows你如何渗透
内⽹渗透通常依赖于多种技术和⼯具, 步骤可能包括:
1. 信息收集: 使⽤如NetBIOS、 SNMP等⼯具收集⽹络结构、 主机名、 IP地址等信息。
2. 漏洞扫描: 使⽤漏洞扫描⼯具如Nessus或Open```AS扫描内部系统的已知漏洞。
3. 利⽤漏洞: 针对发现的漏洞, 使⽤Exploit⼯具 (如Metasploit) 进⾏利⽤, 尝试获得系统访问权限。
4. 提权: 获取初步的权限后, 尝试通过各种提权技术获得更⾼级别的权限。
5. 横向移动: 在内⽹中移动, 寻找更多的⽬标机器进⾏攻击, 使⽤如Pass-the-Hash、 Kerberoasting等技
术。
- 给你⼀个内⽹Linux你如何渗透
内⽹Linux系统的渗透步骤与Windows类似, 不同之处在于利⽤的⼯具和技术:
1. 信息收集: 通过⽹络扫描⼯具如Nmap收集开放的服务和运⾏的应⽤程序。
2. 漏洞扫描和利⽤: 利⽤⼯具如Open```AS进⾏漏洞扫描, 利⽤具体漏洞 (如SSH、 FTP服务漏洞) 尝试获取
访问权限。
3. 提权: ⼀旦进⼊系统, 通过查找sudo权限配置不当、 过时软件、 内核漏洞等⽅法尝试提升权限。
4. 横向移动: 利⽤SSH密钥、 Kerberos票据等进⾏内⽹其他系统的横向移动。
- MySQL的⽤户名密码是存放在哪张表⾥⾯? MySQL密码采⽤哪种加密⽅式?
MySQL数据库的⽤户名和密码存储在 mysql.user 表中。 从MySQL 5.7及更⾼版本开始, 密码采⽤
SHA-256加密算法, 具体实现为 caching_sha2_password 。 在⼀些旧版本中, 密码使⽤
mysql_nati```e_password 插件, 该插件基于SHA-1。
- 熟悉的语⾔, ⽤Python写过什么脚本, 使⽤过的Python库
我可以编写多种类型的Python脚本, 例如⾃动化脚本、 数据分析、 ⽹络请求处理等。 我熟悉的Python库包
括:
Pandas: 数据分析和操作。
NumPy: 数值计算。
Requests: HTTP请求处理。
BeautifulSoup: ⽹⻚解析。
Scikit-learn: 机器学习。
Matplotlib: 数据可视化。
- 如果⼀台服务器被⼊侵后, 你会如何做应急响应?
应对服务器⼊侵的应急响应步骤通常包括以下⼏个关键部分:
1. 隔离: ⾸先要隔离受影响的服务器, 防⽌攻击者进⼀步扩散到⽹络中的其他部分。
2. 记录和采集证据: 在保证不破坏证据的情况下, 记录所有相关⽇志和系统信息, 包括内存、 硬盘镜像、
登录记录和⽹络流量。
3. 分析: 分析⽇志⽂件和系统信息, 确定攻击者的⼊侵路径及其可能进⾏的活动。
4. 清除和恢复: 根据分析结果, 清除系统中的恶意软件和后⻔, 然后开始恢复数据和服务。
5. 安全加固: 对系统进⾏安全加固, 修复⼊侵漏洞, 更新安全策略, 以防⽌未来的⼊侵。
- 怎么溯源攻击, 举⼀个溯源攻击的例⼦
溯源攻击通常涉及以下⼏个步骤:
收集信息: 从⽹络⽇志、 系统⽇志、 IDS/IPS系统等收集关于攻击的所有信息。
分析攻击模式: 识别攻击的模式、 使⽤的⼯具、 产⽣的流量特征等。
追踪IP地址: 分析攻击流量中的IP地址, 可能涉及到与ISP合作以确定IP地址的具体归属。
合作调查: 与其他组织或执法机构合作, 分享信息, 提⾼追踪成功率。
例⼦: 如果⼀个公司的服务被DDoS攻击, 安全团队可以从防⽕墙和流量监控系统中提取攻击流量数据, 识
别出主要的攻击源IP地址, 然后与互联⽹服务提供商合作, 追踪这些IP地址的实际⽤户和地理位置。
- 挖矿病毒判断, 中了挖矿病毒会有哪些特征?
感染了挖矿病毒的系统通常会表现出以下特征:
CPU或GPU使⽤率异常⾼: 即使在系统空闲时, 也会看到持续的⾼资源使⽤。
系统响应变慢: 由于病毒占⽤⼤量处理能⼒, 正常操作变得迟缓。
电⼒消耗增加: 因为病毒增加了处理负荷, 电⼒消耗会明显上升。
4
⽹络流量异常: 病毒需要与外部控制服务器通信以及提交挖矿数据, 可能会看到未知的⽹络连接或流量
增加。
未知进程运⾏: 在任务管理器中可能会发现未知的或可疑的进程活动。
- 是否有⽇志分析经验, 如果拿到⼀个⽐较⼤的⽇志⽂件, 应该如何分析处理?
具备⽇志分析经验, 可以使⽤多种⽅法处理⼤型⽇志⽂件:
使⽤⽇志管理⼯具: 如ELK栈 (Elasticsearch, Logstash, Kibana) 或Splunk等⼯具, 它们可以有效地导
⼊、 索引和分析⼤量⽇志数据。
⽇志分割: 对⼤型⽇志⽂件进⾏时间或⼤⼩上的分割, 便于管理和分析。
⾃动化脚本: 编写脚本 (如使⽤Python的Pandas库) 来解析、 过滤和统计⽇志数据。
关键字搜索和模式匹配: 使⽤正则表达式或其他搜索技术, 根据需要检索特定事件或错误。
- DDoS如何防护
防护DDoS攻击可以采取以下措施:
增加带宽: 增加带宽可以在⼀定程度上抵御攻击, 使⽹络能够处理更多流量。
配置⽹络设备: 正确配置边界路由器和防⽕墙, 设置速率限制和流量过滤规则。
使⽤DDoS保护服务: 如Cloudflare、 Akamai等, 这些服务可以帮助分散和吸收攻击流量。
建⽴冗余和分布式系统: 多节点和地理分布的系统可以提⾼容错性, 减轻单点故障的⻛险。
- 对安全服务是怎么理解的
安全服务是指那些提供数据保护、 防⽌未授权访问、 确保数据完整性和隐私保护的服务。 这些服务可以包括
但不限于:
⽹络安全监控: 持续监控⽹络活动, 及时发现并应对安全威胁。
防病毒和反恶意软件解决⽅案: 保护系统不受病毒和其他恶意软件的侵害。
⼊侵检测和预防系统 (IDS/IPS) : 监测⽹络和系统活动, 识别潜在的攻击⾏为。
数据加密服务: 对存储和传输的数据进⾏加密, 保护数据不被未授权访问。
安全审计和合规性评估: 评估组织的安全措施是否符合相关安全标准和法规要求。
应急响应和事故处理: 在安全事件发⽣时, 提供快速响应和恢复服务。
23.渗透测试流程通常包括:
1. 规划与侦查: 定义测试范围和⽬标, 收集⽬标系统的前期信息, 如域名、 IP地址、 应⽤程序功能等。
2. 扫描: 使⽤⾃动化⼯具扫描⽬标的⽹络和系统, 发现开放的端⼝和服务, 确定可能的⼊侵点。
3. 获得访问: 尝试利⽤发现的漏洞, 如SQL注⼊、 XSS、 系统配置错误等, 来获取系统访问权限。
4. 维持访问: 尝试在系统中维持访问, 模拟恶意⽤户安装后⻔或其他恶意软件的⾏为。
5. 分析和报告: 分析渗透测试过程中发现的漏洞和⼊侵⽅法, 提供详细的测试报告, 包括如何修复和预防
这些漏洞的建议。
24.渗透测试的类型:
⿊盒测试: 测试⼈员没有任何系统信息, 完全从外部攻击者的⻆度进⾏测试。
⽩盒测试: 测试⼈员具有完整的系统信息, 包括架构图、 源代码等, 可以进⾏更深⼊的测试。
灰盒测试: 介于⿊盒和⽩盒之间, 测试⼈员拥有部分系统信息。
- Burp Suite的功能
Burp Suite 是⼀个集成的⽹络应⽤安全测试平台, 具有多种功能:
拦截代理: 允许⽤户拦截、 检查和修改HTTP/HTTPS通信。
爬⾍: ⾃动映射应⽤程序的内容和功能。
扫描器: ⾃动检测安全漏洞。
重放器: ⽤于⼿动测试应⽤程序中处理输⼊的⽅式。
⼊侵测试⼯具: 允许⾃动化定制攻击以识别潜在的漏洞。
序列分析器: 分析应⽤程序中的会话令牌和Cookies。
- 如何绕过CDN查真实IP
绕过CDN以找到服务器的真实IP地址通常涉及以下策略:
历史DNS记录查询: 使⽤⼯具如SecurityTrails、 ```iewDNS.info查看历史DNS记录, 可能发现原始的IP地
址。
⼦域名探测: 有时候某些⼦域名没有使⽤CDN, 可以通过探测这些⼦域名找到真实IP。
SSL证书信息: 检查SSL证书的详细信息, 有时候会包含原始IP地址信息。
- 对⽹站信息收集的内容和⼯具
⽹站信息收集包括:
域名信息: 注册⼈、 注册⽇期、 DNS服务器。
服务器信息: IP地址、 服务器类型、 开放端⼝。
技术栈信息: 使⽤的Web服务器、 编程语⾔、 框架。
邮件服务器: ⽤于确定邮件服务的配置和⽤途。
常⽤⼯具和插件包括:
Whois查询⼯具: ⽤于获取域名注册信息。
Nmap: ⽤于端⼝扫描和服务识别。
BuiltWith 和 Wappalyzer: 识别⽹站使⽤的技术。
- Nmap命令
使⽤Nmap进⾏SYN扫描, 不进⾏DNS查找, 不ping主机, 只返回tcp/139和tcp/445的开放端⼝的命令如
下:
nmap -Pn -p139,445 -sS --open -n [⽬标IP或域名]
这⾥ -Pn 选项禁⽌ping主机， -sS 为SYN扫描， --open 仅显示开放的端⼝， -n 防⽌DNS解析。
- ARP欺骗攻击原理及解决⽅案
原理: ARP (地址解析协议) 欺骗是⼀种攻击类型, 其中攻击者发送虚假的ARP消息到局域⽹内。 这些消息可
以让攻击者将⾃⼰的MAC地址与⽹络中另⼀台机器的IP地址关联起来, 从⽽拦截到该机器的数据包。 解决
⽅案:
静态ARP表: 在关键设备上使⽤静态ARP记录, 不依赖动态ARP响应。
使⽤ARP防护⼯具: 如ArpON ( ARP handler inspection) 来保护⽹络不受ARP欺骗。
⽹络隔离和访问控制: 通过```LAN等技术隔离敏感⽹络, 控制⽹络访问。
- SYN Flood攻击原理及解决⽅案
原理: SYN Flood 是⼀种DoS攻击, 攻击者发送⼤量的SYN请求给⽬标服务器, 但故意不完成TCP三次握⼿
过程。 这会消耗服务器的资源, 导致合法⽤户⽆法连接。 解决⽅案:
SYN cookies: ⼀种技术, 服务器不⽴即分配资源, ⽽是通过特殊的初次响应 (SYN-ACK) 计算得出
cookie, 仅当客户端响应时才分配资源。
防⽕墙和WAF配置: 配置规则以限制SYN请求的速率。
增加后备资源: 扩展服务器能⼒以处理⾼量的请求。
- HTTPS 证书机制介绍
HTTPS 证书是基于SSL/TLS协议的, ⽤于在服务器与客户端之间建⽴加密连接。 它包含:
公钥: ⽤于加密发送到服务器的数据。
证书颁发机构 (CA) 签名: 确保证书的真实性和信任。
证书持有者信息: 包括域名和组织信息。 证书通过这些元素保证了数据传输的安全性和完整性。
- Nmap 的基本操作
Nmap (⽹络映射器) 是⼀个强⼤的⽹络扫描和安全审核⼯具。 基本操作包括:
端⼝扫描： nmap -p 1-65535 [⽬标IP] 扫描所有端⼝。
操作系统识别： nmap -O [⽬标IP] 推测⽬标操作系统类型。
服务版本检测： nmap -s``` [⽬标IP] 探测开放端⼝上运⾏的服务版本。
- DNS 解析的流程
DNS解析流程如下:
1. 浏览器缓存检查: ⾸先检查是否有缓存的DNS记录。
2. 本地DNS服务器: 如果缓存中没有, 请求发送到配置的本地DNS服务器。
3. 根DNS服务器: 如果本地DNS服务器没有记录, 查询将发送到根DNS服务器。
4. 顶级域DNS服务器: 根服务器指向对应的顶级域 (如.com或.net) 的DNS服务器。
5. 权威DNS服务器: 最后, 顶级域服务器指向权威DNS服务器, 它存储具体的域名信息。
- 密码学的对称密码和⾮对称密码
对称密码: 使⽤相同的密钥进⾏数据的加密和解密, 例如AES和DES。 ⾮对称密码: 使⽤⼀对密钥, 即公钥
和私钥。 公钥⽤于加密数据, 私钥⽤于解密。 常⻅的⾮对称加密算法包括RSA和ECDSA。
- 在浏览器中输⼊⼀个域名去访问时, 浏览器做了什么
当在浏览器中输⼊域名并访问时:
1. DNS解析: 将域名转换为IP地址。
2. TCP连接: 使⽤得到的IP地址, 浏览器与服务器建⽴TCP连接。
3. 发送HTTP请求: 浏览器向服务器发送⼀个HTTP请求。
4. 处理服务器响应: 服务器响应请求并返回数据, 浏览器接收并处理数据, 显示⽹⻚内容。
- 对钓⻥邮件的了解
钓⻥邮件是⼀种社会⼯程技巧, ⽤于诱导邮件接收者点击恶意链接、 下载附件或提供敏感信息, 如⽤户名、
密码和银⾏账号等。 这些邮件通常伪装成来⾃可信来源的正式通信, 以诱骗⽤户执⾏上述危险操作。
- 什么叫CC攻击
CC攻击 ( Challenge Collapsar攻击) 通常指的是⼀种分布式拒绝服务攻击 (DDoS), 其中攻击者利⽤多个被控
制的系统同时向⽬标发送⼤量请求, ⽬的是消耗⽬标资源⾄崩溃。 CC攻击主要是通过⼤量并发连接请求来实
现。
- ⼗⼤漏洞讲讲
参照OWASP (开放⽹络应⽤安全项⽬) 公布的最常⻅的⼗⼤⽹络应⽤安全⻛险:
1. 注⼊: 如SQL注⼊、 命令注⼊等。
2. 失效的身份认证: 系统未能正确实施⽤户身份认证, 导致攻击者可绕过身份认证。
3. 敏感数据泄露: 敏感信息如信⽤卡数据、 健康记录未经加密或不当保护。
4. XML外部实体 (XXE) 攻击: 对含有外部实体引⽤的XML输⼊处理不当。
5. 失效的访问控制: 访问控制不当使得未授权⽤户可以访问应该受限的数据。
6. 安全配置错误: 错误配置的服务器、 数据库和平台安全设置。
7. 跨站脚本 (XSS) : 攻击者通过将恶意脚本注⼊⽹⻚, 攻击浏览该⽹⻚的⽤户。
8. 不安全的反序列化: 导致远程代码执⾏、 注⼊攻击等。
9. 使⽤含有已知漏洞的组件: 软件组件含有未修复的安全漏洞。
10. 不⾜的⽇志与监控: 缺乏⾜够的⽇志记录和监控使得攻击检测和响应变得困难。
- 遇到⽬标有IDS IPS怎么对抗
对抗⼊侵检测系统 (IDS) 和⼊侵防御系统 (IPS) 的策略包括:
分割攻击: 将攻击分成多个较⼩、 较难检测的部分。
加密通道: 使⽤SSL/TLS等加密⼿段来隐藏攻击流量。
混淆和编码: 使⽤不同的编码或混淆技术使攻击⾏为难以被签名识别。
流量模仿: 模仿正常的⽤户流量, 避免产⽣异常模式。
- CSRF、 XSS和SSRF之间的区别
CSRF (跨站请求伪造): 攻击者诱导⽤户执⾏⾮预期的⽹站操作, 如发送邮件或更改密码。
XSS (跨站脚本): 攻击者在⽬标⽹站注⼊恶意脚本, 直接影响⽤户浏览器。
SSRF (服务器端请求伪造): 攻击者诱导服务器对外部系统进⾏意外的请求。
- 拿到win权限后, 权限维持
拿到Windows系统权限后, 维持访问通常包括:
植⼊后⻔: 安装后⻔程序或使⽤现有的远程管理⼯具。
替换合法⽂件: ⽤恶意⽂件替换系统中的合法⽂件。
注册表修改: 修改注册表来保持恶意代码的启动。
- 清理⽇志要清理哪些
清理系统⽇志时应注意:
安全⽇志: 如登录尝试、 账户更改等。
系统⽇志: 系统启动、 运⾏错误等。
应⽤⽇志: 具体应⽤产⽣的⽇志, 可能包含操作记录。
⽹络⽇志: 如防⽕墙、 路由器⽇志。
- 什么是⼿机"越狱"? 如何root Android设备或越狱iOS设备。
⼿机越狱和root是指获取⼿机操作系统的最⾼权限。
越狱 (iOS) : 通过越狱, ⽤户可以安装未经苹果官⽅App Store批准的应⽤程序, ⾃定义系统界⾯和功能。
Root ( Android) : Rooting则允许⽤户访问Android设备的root权限, 可以删除预装应⽤, 安装特殊权限
应⽤等。
如何进⾏:
iOS越狱: 使⽤如Checkra1n或Unc0```er等越狱⼯具, 这些⼯具通常利⽤iOS系统漏洞进⾏越狱。
Android Root: 使⽤如Magisk或SuperSU等⼯具进⾏Root, 这些⼯具提供了管理Root权限的界⾯和功
能。
- Frida和Xposed框架?
Frida: 是⼀个动态代码插桩⼯具, ⽤于在运⾏时检查和修改应⽤和进程。 Frida适⽤于Android、 iOS、
Windows、 Mac和Linux, ⾮常适合进⾏应⽤的逆向⼯程和安全测试。
Xposed: 是⼀个框架, ⽤于在Android设备上修改系统和应⽤程序的⾏为, 不需要修改APK。 这使得⽤
户可以安装模块来实现定制功能和修补漏洞。
- 如何降低逻辑漏洞的出现率?
降低逻辑漏洞的出现率可以采取以下措施:
彻底的需求和设计审查: 确保在开发前彻底理解需求, 避免逻辑错误。
代码审查和对等编程: 定期进⾏代码审查, 促进开发团队成员之间的知识分享。
使⽤静态和动态代码分析⼯具: ⾃动检测潜在的逻辑错误。
实施安全开发周期 (SDL) : 将安全措施整合到软件开发过程中的每⼀个阶段。
- Windows/Linux环境下的抓包⼯具及基本的抓包分析⼿法
Windows: Wireshark, Tcpdump (通过WSL), Microsoft Network Monitor, Fiddler。
Linux: Wireshark, Tcpdump, SSLSplit。
基本的抓包分析⼿法:
过滤和搜索: 使⽤⼯具的过滤功能来定位特定类型的包。
分析协议层: 检查各个⽹络层的数据, 查看是否存在异常。
跟踪会话流: 分析TCP会话的建⽴、 数据传输和结束过程。
- Windows常⽤的命令
ipconfig : 显示⽹络配置信息。
ping : 检测⽹络连接。
tracert : 追踪数据包的路由。
netstat : 显示⽹络连接、 路由表、 接⼝统计等信息。
tasklist : 显示当前运⾏的进程。
net user : 管理⽤户账户。
48. Linux常⽤的命令
ifconfig / ip a : 查看或配置⽹络接⼝。
ping : 测试⽹络连通性。
grep : 搜索⽂本或⽂件。
netstat : 显示⽹络连接信息。
ps : 查看当前运⾏的进程。
top : 显示实时系统状态。
49. Windows中查看进程的命令
tasklist : 显示当前运⾏的所有进程信息。
Get-Process : 在PowerShell中使⽤, 功能同 tasklist 。
- 判断系统是否存在后⻔的⼯具
Antivirus/Anti-malware软件: 如Kaspersky, Norton, Malwarebytes。
⽹络监控⼯具: 如Wireshark, 可以监控异常的⽹络流量。
系统监控⼯具: 如Sysinternals Suite中的Process Explorer和Autoruns, 可以检测⾮正常的系统⾏为和⾃
启动项。