240228 等保+安服

标准文档看一遍，再自己开发小的测试工具

等级定义

	公民法人组织	社会秩序公共利益	国家安全	备案测评	参考实例
自主保护级（一级）	一般损害	无	无	无需	私营、中小学、县乡单位
指导保护级（二级）	一般损害	一般损害	无	建议两年一次	县市
监督保护级（三级）	特别严重损害	严重损害	或损害	要求每年一次	市级国家机关、企业内部信息系统、门户网站（防反动势力）
强制保护级（四级）		特别严重损害	或严重损害	半年一次	电力生产控制系统、银行核心业务系统、电信核心网络、铁路客票系统、列车调度系统
专控保护级（五级）			特别严重损害	依需求

关键信息基础设施（关基）>=三级

到等保测评机构入职后才能去考、

几大安全

网络安全：

结构安全主要设备冗余空间、安全路径控制、整体网络带宽、带宽优先级、重要网段部署
设备防护组合鉴别技术、特权用户权限分离
恶意代码防范记录、报警、阻断
入侵防范
边界安全检查非授权设备接入联出
安全审计审计记录、报表、保护记录
访问控制端口控制、防地址欺骗、协议过滤、会话控制、最大流量数、连接数

需要了解需要部署什么设备；看起来复杂，实践一次即可

主机安全：

身份鉴别组合鉴别技术
资源控制监控重要服务器、最小化服务、检测告警
访问控制管理用户权限分离、敏感标记的设置
恶意代码防范记录、报警、阻断、与网络恶意代码库分离
入侵防范
剩余信息保护空间释放、信息清除
安全审计同前

应用安全：类似前面

数据安全：完整性、保密性、备份回复

华为等保拓扑案例讲解 BV1zK411S7VE

互联网出口

出口网关：出口网关这个路由器有时可被取代，但多区域组网、多分支、较大单位，一定是要有路由器的，∵虽然防火墙携带路由器功能，但路由选用转发策略路由选择路径选择不如

沙箱（华为称FireHunter）：流量镜像，模拟环境里先运行；内到外的流量也一样，测试的是可执行文件

SSL VPN：放在出口一侧，即DMZ区（貌似是该意思▲），这样登陆用户不能直接访问内网，需要检验和匹配防火墙策略才能进

出口防火墙：防下四层，即到传输层，∵是基于mac ip 端口号应用来识别的

入侵防御系统：防更高层

上网行为管理：要求部署该系统，对访问行为做审计

服务器区域

冗余拓扑

AV反病毒(Anti Virus)、IPS入侵防御、行为检测等设备：或是集成在防火墙里的安全功能，来做访问控制安全限制

管理区域

态势感知CIS、漏洞扫描系统、日志审计系统、堡垒机、数据库审计、网管平台、Agile Controller转入平台、交换机、防火墙

长沙分区

分区与主区网关做了IPsec SSLVPN，即隧道▲

一样有边界防火墙、路由器

数据中心区

一样有边界防火墙、路由器、防火墙、AV反病毒(Anti Virus)、IPS入侵防御等设备

隔离区

对象是新加入的终端/服务器；是在生产网区域部署的一个逻辑区域

除了一样有边界防火墙、路由器、防火墙、AV反病毒(Anti Virus)、IPS入侵防御等设备

还有交换机、沙箱、诱捕系统即蜜罐、流量探针即流量审计，传递到态势感知上

生产核心交换机区域

一样有FW/IPS/AV设备

沙箱、流量探针

生产网区域

FW/IPS/AV是旁挂（并联）到了交换机上▲

划分子网VLAN，减少广播域，并形成围栏隔离▲

办公网

旁挂FW/IPS/AV

特点

双份，高冗余
访问控制隔离、各区域有防火墙
VPN用于外部接入，为通信传输加密上的要求
有管理区域

等保2.0前没有冗余设计要求，但设计关键设备时一定要有；也可通过将线做堆叠，做'ischainke（不知道啥）'，提高带宽

排错（未讲）▲

华为np认证即hcip认证
思科（一个网络设备制造商）建立的培训-职称体系：CCNA 初级网络工程师 CCNP 高级

有没做过协议分析、抓包分析？

常见的几种网络抓包及协议分析工具

wireshark 抓包的范围是：本机的网卡上流经的数据包，网卡包括以太网网卡、wifi 无线网卡
带抓包功能的路由器：如华为 P20 型号路由器，可通过网页登陆后台-开发者选项，生成.cap文件
抓包网卡：一种特殊的网卡，用在通信双方既不能安装wireshark，也不是带抓包的路由器时。通常用于网络嗅探、网络扫描。e.g. 通信双方是两个 wifi 模组，指没有屏幕、键盘、windows/linux 系统，抓包网卡 Omnipeek 便类似于一个“雷达”可取得无线通信的流量。
常见的网络分析工具还有 Wirelessmon、Inssider、ixia chariot和 iperf 等工具

使用过滤器输入“udp”以筛选出udp报文。但是为什么输入udp之后出现那么多种协议呢? 原因就是 oicq 以及 dns 都是基于 udp 的传输层之上的协议

下一代防火墙NGFW 设置对象

5个发展；统一威胁管理UTM 集中管理缺点：串行；NGFW：做了应用层防护

通信控制出入口边界（不同安全级别）

内部流量还可用网闸

出口NGFW TSRNGFW 首次连接操作如下

导入证书软件升级修改默认管理端地址直连它去操作而不要改网络上把电脑设置成静态ip连上再改改完再接入交换机▲

登录web 将电脑与MGT管理口（admin口）互联，出厂时192.168.1.1 admin adminadmin

2.系统维护里导入许可【系统管理-系统维护-授权管理】

业务口（日志审计）

（功能分配）
升级软件、特征库（什么str 打bang）bbs.dbappsecurity,com.cn 看具体内容就要登录了【系统管理-系统维护-系统升级】上传前要做什么呢 “确认” 比对md5值（md5.ah）
修改地址【网络-接口】▲[物理接口](javascript:😉 子接口网桥接口聚合接口隧道接口无线接口安全域虚拟网线

ge0、ge1（千兆以太网口敲过华为模拟器吗敲过）

修改时注意算子网、端口

设定日志服务器、日志保存期限【系统管理-日志设定-...】收集到一台服务器上审计、联动基线（最低标准）要配几个月就配几个月端口：514：sislog服务的接收端口▲ 值不知道时也要提问日志过滤
设定时间服务器【系统管理-时间设定-NTP服务▲】都跟这台设备同步内部同步方便分析攻击先后；

添加到时间服务器的静态路由，让下一跳地址为本场网关地址（不要设为默认路由，避免网关识别不必要流量▲）

下一跳？节点可以配置出接口也可以配置成下一跳的连接接口

设置安全域域内环境能相互访问比如某条（入）接口不是域内而其余几条是 untrust▲(大概是指外部)和trust区可作为大的规则不能仅依靠这个
病毒防护【安全中心-入侵防御-】防病毒设定压缩的病毒：最多支持20层解压的扫描 “如果压缩更多” 因为这一种去做不现实因为这个防护先做一层过滤内部还有检测
设定网桥接口虚接口把不同接口添加到一个接口
关闭转发表的同步命令（也不知道是干啥的读：出口防火墙在设置主-主的情况下（即备一台）会出现连路丢包需配置使用console 或ssh▲
```
enable 
configure terminal
tcp loose enable
ha-config
fdb auto_sync disable
end 
save confg
```
其它防护出口NGFW主控设定高可用性（HA:若挂掉放两台）【高可用-HA全局配置】里面有个【通讯接口】心跳接口,以保持二者连接主主主备（不过主主里也有主控备控的区别配完之后不同的话做检查点同步
最终要配的 按照申请单添加控制策略

设置地址对象 ABC组可能成千个机器【策略配置-对象管理-地址对象】e.g. 场馆大屏子网地址 192.168.100.1/24 或xxx-xxx 某某某不该被某访问；e.g. 中控设备 Host 主机地址不用加子网掩码了】后台批量导入

设置服务对象 e.g. 一台叫web3的，TCP，目的端口8088，源端口设为0-65535

设置时间对象允许时间、定时任务

【策略配置-新增策略】匹配条件很多：用户、接口、源目的地、应用、服务对于一种精确的流量

眼飘乏

可设置是否日志、内向外的访问过滤、发邮件（不过业务也不会那么复杂）

【策略配置-控制策略】可配置默认规则：拒绝的话,则配置白名单

设置密码过期策略基线【系统管理-管理设定-密码】账号锁60s
设定仅堡垒机的管理地址访问（设定运维对机器的权力,通过堡垒机对设备访问） e.g. 设置设备成只有堡垒机能访问
重启后会丢掉保存配置后再重启

后面还有台web 172.16.3.10 现在修改配置使自己能访问web 直连要想访问上它首先得保证机器起来、网通 fw和web通不通要配置成同端 ∴改成web网关地址172.16.3.1
通过抓包工具
最后写规则
新建地址对象 ip 服务、设置允许源目的的策略

【规则库】

网络配置-ge1改成网关：172.16.3.1/24（不能Ip冲突）

添加策略：目的地址ge1中的172.16.3.10/24（自己设得很宽也行）应设为源ge0目的ge1（192.168.1.254/24 172.16.3.1/24）

宁波的子公司 “跟我说尽量去9k▲” “正因为长期的所以更不好过了啊”

连接security方法：D:\迅雷下载\239782759\Wujwen 输入密码AhDs@2019#11 运行该配置文件 win+R输mstsc 用户administrator+Aa123456

堡垒机

https://183.129.189.62:20019/ bumen1-4 Dbapp@2020 （360browser当前网站安全证书不受信任；chrome则显示您的连接不是私密连接-高级-继续访问）

初次使用本系统，请先修改密码 123123123

能运维某到某台但做得更深刻一点

添加主机信息、主机权限、主机账户administrator、运维授权(为管理员) 才能在【运维】里看到该行，人员可以用客户端/H5登录管理端能看到行为 win采取录屏记录 linux记录历史命令

多种角色

40-10.3.4.43 尝试新建48

上一层授权了

现在创建并授权所属机器：创建资产、创建资产下用户（登录模式选择自动登录可以不用输密码；主机ip、登录名、密码填给的）（禁用背景等设置）（这里协议选择rdp 设置是不是要选特权用户呢）、创建授权规则【授权-运维规则】、检验（进入【运维-主机运维】）

协议 telnet ftp rdp3389 ssh安全shell连接,一般用来连linux

还能做一些权限控制，自行研究

EDR 策略爆破防护

类似火绒主机层面安全；和NGFW的区别：

不仅是有些只能在主机层面识别；
网站服务器前面一般加什么设备 WAF，这么做与前一行原理相同，虽然应用上冲突，但前一层让waf压力变小（以前打waf最有效方式就是给大流量）

初次登陆：

导入许可、记录机器码（申请许可时要给机器码去申请许可）和网卡什么的绑定可能会变的
升级【系统管理-xxx升级】（场馆里的设备基本上不会出网的都是离线升级）
修改默认地址、设定业务地址网关地址（意味着真正接入网络）：初次通过默认地址不知道地址的话连接console口或ssh(前提是开启了ssh服务) 不是网线口只是做成了rj45的样子另一端可能是usb或typec 不设置地址，设置波特率9600 115200、数据位8，就可以进入console界面(shell)
修改设备管理口地址 7 IP gateway 也可以设置telnet远程登录后台

可以手动修改管理地址 eth0口-（电口光口光模块通过插拔得知是哪个电口）

ubuntu还是centos centos▲EDR基于centos 修改网卡的基本设置一样

vim? ifcfg-

这一台NGFW ge0设为管理口

安全运维靶场从0到1

添加一台设备网络拓补里要做的事得知道

vim /etc/hosts.allow
内容sshd:10.xx.xx.xx:allow
i shift+: wq保存退出
vim /etc/hosts.deny

重启服务 systemctl restart sshd
设置时间服务器timedatectl set-timezone Asia/shagnhai 检查时间同步状态为什么这里不需设置静态路由

∵设置了gateway，都发给网关，而网关一般是NGFW/路由器，他们有默认路由
设置日志保留【系统管理-更多-日志保留】
设置租户（不同管理员）账号【用户认证-新增-租户管理员-账密-分配账户(pc)数-登录】登录:https://10.3.4.38 （edge 继续访问(不安全)）bumen4 Dbapp@2020
资产分类【终端管理(讲课时版本无)】资产管理-更多-分组标签、资产管理-编辑-分组
设定策略管理：edr可以下发扫描任务给资产、统一修复【资产管理-策略管理-】(策略继承)、含一些防护设置（系统、网页防篡改、网络、web应用、护网高级威胁、外设管控）
- 新建策略后，让资产用上它
- 检验暴力连接几次后，短时间根据设置不再弹出登陆框，同时在【日志检索】里发现威胁提示
【系统管理-下载-安装资产就上线到管控端设置卸载时需要输密码
设定微隔离如关闭SMB(137 138 139 445)关服务比较麻烦-永恒之蓝栈溢出但可直接关端口 ftp(20 21)-为什么会有两个端口-主动模式被动模式、工作流程▲ nfs(2049) rdp 3389 ssh 22 dns 53 telnet 23 smtp 25 tomcat端口8080 weblogic 7001

【资产管理-微隔离】* 445 都阻止
```
检验：nc -nv 10.3.4.xx:445 不通了▲
```

瑞士军刀NC

nmap命令举例

日志上传 syslog 514 是udp协议的端口记录日志的协议现在用得多的是rsyslog

【系统管理-告警配置-syslog】

尤其是对外服务，都不要开在默认端口上，以免给人知道开放服务信息

【响应处置-定期巡检-快速查杀-资产-每天12:00】

具体实践以看可设置的策略：

win-edr 26MB

C:\Program Files (x86)\DBAppSecurity\EDR 安装配置:10.3.4.38:10571 资产名称：DESKTOP-A7A4TLQ 管理员识别码：安装后自动建立管理关系

看到可以对特定ip范围拦截、有针对常见sql、xss、应用漏洞的防护选项

“对于中间件漏洞十分了解”▲

和必须在同一网段否则白搭

【资产管理-终端详情-绑定ip mac】

web新建隐私窗口

设置仅堡垒机访问【系统管理-该版本无】

NAC 终端准入控制系统

是否允许终端与内部通信 e.g. 未准入、下线后是169地址准入才能访问10.xxx；要上外网还要通过一次管控

e.g. ip:8088 刚搭的

用户名+密码+上传license文件

（登入了vmware esxi后台?页面查看是否错误

开始排错

su
rm -rf /etc/localtime
cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
时间还是对不上 和本地时间差了5min 说明时间同步出了问题
date -s 15:42:30
:重新登录 还是报错 找到产品组 求解决 立刻就回了 不熟时 打400找客服帮忙协调人

“之前没遇到过这也正常这就是人生吧”

看到幕布app

wappalyzer插件自己怎么装

（最后不知道怎么进去的无痕模式看下可以了是某个插件的问题

首次登录：

导入许可
升级【系统设置-系统升级】
修改默认管理地址、业务地址（收集信息的口子）、网关地址【全局信息-网络设置-】ip可改

EDR上可设置终端准入可设置地址（需要本来连通）

设置日志外发syslog【后台服务状态-】设置停止-运行UniAuto...syslog服务
设定时间服务器【服务器时间同步设置】time.nist.gov
设置【组织架构】e.g. guest登录不了wifi
设定【接入场景配置】即场景、安全字、场馆的AGIS专网接入重点配置

跟步骤走准入方式选择，网络设备与Radius间共用的安全字xxxxx，save
设置检测设备、交换机准入逃生策略是否生效免检设备(白名单) 检测：ping不通网关、加入白名单可ping通、再删除并清楚忍着给你信息 ping不通、业务口网线拔出（无认证阶段）可ping通

逃生策略的作用 gpt总结
设定仅堡垒机地址访问

能进去之后读word 现场也不止一个人交流反馈

APT预警平台日志审计审计工具se啥

“讲一下你对apt攻击的了解印象”“有一位同学简历有写”

高级可持续组合一些0day1day 时间长一次可能10年

设备怎么知道是sql注入 union select order by / * sleep update contat▲+（复习）前提是知道是什么样的形式匹配

本质还是入侵检测检测原理：基于规则、基于学习建模生成的阈值当然误报率高

apt内还内置沙箱,占点资源提问 “隔离应急” 虚拟机微步云沙箱,可对运行上传文件并分析其行为感觉挺有用还可看到其在虚拟机里的行为最后到了 C:\Windows\system32 在win里最高权限

在干嘛

一般打开cmd C:\Users\Administrator

右键以管理员运行后 C:\Windows\system32>whoami

net user test123 /add拒绝访问->允许

日志审计-收集到一起集中管控

直接问大家一点问题

linux

d-dir目录 -普通文件 l一个链接 root root所属组其它用户

文件属性-权限、所属用户、所属组、其它组

u g o(other)

746

umask 027
日志文件auth.log 想看拥有192.168.1.1的行

cat auth.log | grep 192.168.1.1

调

Q:管道符的作用是什么 过滤输出当成输入

4.编辑 vim 1.txt i esc :wq 写入并退出 :q! 能不能写大写Q 不能

文件里匹配时/root 从上往下 ?root▲是向上查找查找下一个 n 查找上一个 shift+n

跳到最后 shift+G gg 某行 :行数

查看后几行 tail auth.log

监控该文件 -f▲ 排错时用到

ubuntu 的网卡文件 /etc/network/interfaces

所有位置都执行不了该文件 /tmp/

linux基础一定要掌握、要了解常规漏洞原理

问sql注入 owasptop10 不能答不上来

考完后模拟面试再改一遍面一轮

隐隐约约忘了考40min 不会超时吧……

9:53左右你都答不上来
简历没有大问题就是简历上写的答不上来

因没项目经验不找改简历真是错误

常见的面试问题

自我介绍
渗透测试流程★
项目经历

Gemini算法进行一点改进：ACFG属性控制流图，Structure2vec 算法进行图嵌入，输入到一个网络

简历相关问题

1）熟悉常见Web漏洞的原理及其攻击防御方法，如：暴力破解、逻辑漏洞、SQL注入、XSS攻击、CSRF攻击、文件上传、文件包含、反序列化、XXE等；靶场练习：sqli-labs，pikachu，vulhub.

sqlliabs 实际60多(65)关
pikachu 15关，都是web漏洞
vulhub 共DC1-10

1.扫描主机 nmap -p- -sV -sC -O -oN nmap.out 192.168.1.112

2.dirb目录爆破

3.用sqlmap尝试注入

通过ssh登录服务器 ssh webmaster@192.168.1.106

/开启nc监听端口：nc,netcat命令

e.g. 攻击端(监听8080端口并将数据输出到logfile.txt):nc -l -p 8080 > logfile.txt
靶机（192.168.2.2）上测试端口是否畅通:nc -vz 192.168.2.1 8080
或
curl 192.168.2.1:8080
或
wget 192.168.2.1:8080

提权方法：使用linpeas来进行提权漏洞扫描。linpeas可以从github下载。攻击机nc -lvp 8888 < linpeas.sh

DC-9提权方法1：sudoer提权；提权方法2：创建一个和root组的用户

e.g. DC9：发现下面有个file does not exist，参考DC5，发现存在文件包含漏洞。另一方面，利用burp的intruder看看有无敏感文件，发现一个knock

将服务器隐藏起来、不让黑客看见的一种方法是使用knockd。knockd是一种端口试探服务器工具。要想在指定的IP地址处打开端口22，请在计算机上使用下列命令。(你还需要在计算机上安装knockd)：knock -v my-server-ip 7000 8000 9000；关闭则把端口号倒过来写。具体是nmap -p 端口号 ip；写3次，最后22验证，发现状态是open

或

经过百度进行敲门
sudo nc 10.9.11.26 7469
sudo nc 10.9.11.26 8475
sudo nc 10.9.11.26 9842

2）了解信息搜集工具Google Hacking、Shadon、Zoomeye，漏洞扫描工具nessus、avws、wireshark、appscans.

nmap的参数

wireshark

ip.src eq xxx
tcp.dstport == 80
过滤目标MAC：eth.dst == A0:00:00:04:C5:84
frame.len <= 119
响应包：http contains “HTTP/1.1 200 OK” && http contains "Content-Type: "
http.host contains baidu.com

googlehacking

inurl:.php?id=、inurl:wp-login.php?action=register
intitle:后台管理、intitle:"Index of /" .htaccess、intitle:"index of" "powered by apache" "port 80"
intext：Powered by wordpress、site:*/wp-admin/install.php intitle:WordPress Installation
intext:"powered by discuz! 7.2" inurl:faq.php intitle:论坛
ext:xml、php、log

3）了解ARP、IP、ICMP、UDP、TCP、DNS、HTTP、HTTPS等协议，了解ARP欺骗、IP欺骗、DOS攻击、UDP泛洪、DNS劫持等.

4）了解前端语言如HTML、CSS、JavaScript；了解Python、PHP等后端编程语言，了解Python web框架Flask、Django，了解MVC架构，能使用hexo搭建博客网站.

5）熟悉渗透测试方法论，Web的渗透流程.

渗透测试流程：

明确目标

情报搜集

威胁建模

漏洞挖掘

漏洞验证

提升权限

痕迹清除

编写报告

6）能使用Python编写简单的脚本工具，编写Pocsuite框架的插件.

用Python的requests库和BeautifulSoup库写一个简单脚本
用pocsuite3/pocs/ 里面提供的demo_poc.py，编写了关于Redis的未授权访问漏洞的漏洞验证脚本
redis数据库，不需密码即可访问数据库；
那么该PoC的attack()函数就通过命令生成公钥ssh-rsa写入Redis文件，运行后可在服务器/root/.ssh/生成公钥

7）了解代码审计工具seay，与php代码审计方法.

8）了解等保合规框架.

9）有C/C++与python编程基础.

10）有一定信息整合、文书编辑能力.

11）有一定团队组织、互助能力.

mysql5.5后innoDB引擎可通过show engine 查看

1、InnoDB支持事务，MyISAM不支持；
2、InnoDB支持外键，而MyISAM不支持；
3、InnoDB是聚集索引，而MyISAM是非聚集索引；
4、Innodb不支持全文索引，而MyISAM支持全文索引；5、InnoDB支持表、行级锁，而MyISAM支持表级锁；6、InnoDB表必须有唯一索引，而Myisam可以没有；7、存储文件不同。

对于InnoDB每一条SQL语言都默认封装成事务，自动提交，这样会影响速度，所以最好把多条SQL语言放在begin和commit之间，组成一个事务；▲

“没问工资呃他应该不知道吧”

SSRF绕过

代码审计怎么审

PHP安全变量覆盖漏洞

PHP反序列化的防御

posted on 2024-02-29 07:49 蠢的刘龙阅读(96) 评论(0) 编辑收藏举报

刷新页面返回顶部