網(wǎng)絡(luò)攻防基礎(chǔ)知識(shí)-在線瀏覽
2024-09-25 20:45本頁面
【正文】 系統(tǒng) 交互系統(tǒng) 旁站系統(tǒng) 源代碼 管理平臺(tái) 環(huán)境權(quán)限 認(rèn)證關(guān)聯(lián) 帳戶關(guān)聯(lián) 密碼關(guān)聯(lián) 用戶關(guān)聯(lián) 特權(quán)帳戶 用戶組織 內(nèi)外用戶 內(nèi)外組織 32 控制目標(biāo)：入侵環(huán)境和嗅探踩點(diǎn) 嗅探踩點(diǎn) 側(cè)重點(diǎn)在于鎖定范圍 是入侵開始偵查階段 為實(shí)施入侵建立條件 重在偵查，程度廣淺 入侵環(huán)境 側(cè)重點(diǎn)在于鎖定目標(biāo) 是實(shí)施全面入侵階段 為鎖目標(biāo)的建立條件 重在突破，程度窄深 33 控制目標(biāo)：精確打擊 突破提權(quán) 控制目標(biāo) ? 入侵突破 ? 訪問權(quán)限 ? 控制權(quán)限 ? 目標(biāo)權(quán)限 ? 目標(biāo)數(shù)據(jù) 34 控制目標(biāo)：漏洞利用 — 不同層面的安全漏洞 人員 技術(shù) 管理 35 控制目標(biāo)：漏洞利用 — 技術(shù)層面常見的漏洞對(duì)象 網(wǎng)絡(luò)漏洞 操作系統(tǒng)漏洞 應(yīng)用漏洞 數(shù)據(jù)庫漏洞 中間件漏洞 36 控制目標(biāo)：漏洞利用 — 技術(shù)層面 — 應(yīng)用程序安全漏洞 ? 應(yīng)用程序安全漏洞： ? 攻擊者可以通過應(yīng)用程序中許多不同的路徑方法去危害您的業(yè)務(wù)或者企業(yè)組織。 37 控制 目標(biāo)：漏洞利用 — 技術(shù)層面 — 應(yīng)用程序安全漏洞 ? OWASP TOP 10 ? 注入 ? 失效的身份認(rèn)證和會(huì)話管理 ? 跨站腳本（ XSS） ? 不安全的直接對(duì)象引用 ? 安全配置錯(cuò)誤 ? 敏感信息泄漏 ? 功能級(jí)訪問控制缺失 ? 跨站請(qǐng)求偽造（ CSRF） ? 使用含有已知漏洞的組件 ? 未驗(yàn)證的重定向和轉(zhuǎn)發(fā) ? 了解： ? OWASP： ? OWASP中國(guó)： 38 控制目標(biāo)：漏洞利用 — 技術(shù)層面 — 網(wǎng)絡(luò)漏洞 ? 網(wǎng)絡(luò)漏洞：指網(wǎng)絡(luò)架構(gòu)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等企業(yè)網(wǎng)絡(luò)存在的安全漏洞，導(dǎo)致網(wǎng)絡(luò)防護(hù)措施失效。 ? 危害 ： ? 整改網(wǎng)絡(luò)被控制，網(wǎng)絡(luò)防護(hù)措施失效。 ? 在使用方面指未識(shí)別和啟用操作系統(tǒng)的安全機(jī)制或者不正確的使用，如：口令策略、匿名共享。 ? 危害： ? 獲取敏感數(shù)據(jù) ? 以此為跳板攻擊系統(tǒng)其他應(yīng)用 ? 通過插入數(shù)據(jù)獲取應(yīng)用或系統(tǒng)后門 ? 修改關(guān)鍵數(shù)據(jù)對(duì)數(shù)據(jù)擁有者造成 損失 41 控制目標(biāo)：漏洞利用 — 技術(shù)層面 — 中間件漏洞 ? 中間件漏洞：中間件自身存在的漏洞以及運(yùn)維開發(fā)過程遺留的漏洞。 ? 在使用方面：加固不足、使用不當(dāng)，如：管理控制臺(tái)的默認(rèn)配置，弱口令。 42 控制目標(biāo)：漏洞利用 — 人員層面 — 意識(shí)漏洞 ? 意識(shí)漏洞：指用戶、運(yùn)維人員、開發(fā)人員等在設(shè)計(jì)、開發(fā)、運(yùn)維、使用信息系統(tǒng)時(shí)，因安全意識(shí)薄弱而給信息系統(tǒng)造成的漏洞。 ? 例子： ? 使用弱口令； ? 信息泄漏：將密碼寫于便簽上、使用弱口令、自行解除安全措施； ? 被社會(huì)工程學(xué)攻擊：移動(dòng)以及網(wǎng)絡(luò)釣魚； ? 配置文件泄漏。 44 收割撤退 收割戰(zhàn)果 ?既得戰(zhàn)果 ?擴(kuò)大戰(zhàn)果 ?伏擊未來 撤退清痕 ?清除痕跡 ?清除權(quán)限 ?清除裝備 45 收割撤退：收割戰(zhàn)果 既得戰(zhàn)果 ? 收割轉(zhuǎn)移 擴(kuò)大戰(zhàn)果 ? 明確目標(biāo) ? 進(jìn)入新一輪的行為軌跡 伏擊未來 ? 掩蹤潛伏 ? 監(jiān)候目標(biāo) 46 收割撤退：收割戰(zhàn)果 — 既
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號(hào)-1