关于一次安全相声表演的剧本

admin 2019年12月9日01:42:31评论182 views字数 3657阅读12分11秒阅读模式

前段时间与我师兄rasca1(后来改名叫鬼麦子的人),协助他完成了一次对外的授课,拖更了一段时间,今天趁有时间把公众号"Timeline Sec"整理的发出来。


前言


首先很抱歉,昨天我们准备得不够细致,由于使用QQ直播导致视频直接卡崩,后来毁三观大人急中生智,直接变身主持,将视频分享变成了文字直播...不过在大家的努力下,最终还算挽救了此次的翻车事故。


由于全程打字,几位直播大佬手都打麻了,为了不让他们的这次辛苦白费,我将他们昨天的文字整理了出来,希望能对大家有帮助。


问答


Q1:以前的安全人员现在的情况

鬼麦子:大多数大佬有的继续做安全、成为一代宗师级大佬,有的去创业了(比如主持大佬),有的改行了,各有各的选择,有人选择安稳,有人选择搏一把,反正钱是赚不够的,生活总是如此,但是当你有更多的钱时就有能力有更多的选择余地。


Q2:业余可赚钱的方式

鬼麦子:挖洞、炒股、炒币、接私活等等,很多大佬都是这样,下班了挖洞炒股,比如袁哥 职业炒股选手 还做数学题,或者朋友介绍做些项目,我个人还有个选择 跑滴滴,送外卖现在貌似是全职 没办法选择 不然我也想体验一下....当然技术出身改行肯定想往更高难度的技术去,金融行业是个不错的选择。


Q3:关于挖洞,白帽子对于个人发展该如何进步呢

鬼麦子:我挖了七年漏洞,细心、坚持,选择一个方向,刻苦钻研下去,切合实际的方向,根据自身的情况做选择。


Q4:有人说渗透测试的过程中,最核心的是信息收集,src挖掘也是这样吗

鬼麦子:是的,但是还是有些区别。大多数帽子刷国内src都是用web相关的漏洞来刷,也就是辅助渗透测试的漏洞,和可以被黑产利用的漏洞,我个人衡量漏洞的标准是,这个漏洞是否有价值被黑灰产所利用,客户端漏洞很少有,都是xsssql逻辑越权偏多,而这些也是厂商派重兵把守的地方,其实每家厂商都有自己的扫描器和风控系统。

泳少:其实挖src 保持名列前茅最主要还是经验累积,比如你会挖web就专门收集这个src的web资产(包括端口,ip,子域名,框架版本等等信息) 做个资产收集平台,能让自己更好管理的。之前鬼麦子大佬也做过类似的,大家可以去github上搜。除了信息搜集还需要靠经验累积,挖多了就知道哪些点出现哪些类型的漏洞了。

鬼麦子推荐工具

https://github.com/guimaizi/get_domain(子域名监控)

泳少:有的时候也可以不从网站上去发现问题,也可以跟进黑色产业链,看看别人怎么从这个厂商谋利的,以及黑色产业链中的人员如何做到比甲方内部安全人员更快获悉活动业务。大家可以学习下这种思路,摸清门路,对挖漏洞或者威胁情报有一定的帮助。这里要着重提醒下并不是提倡大家去做黑色产业链相关的事。


Q5:可以讲讲子域名监控的思路嘛

鬼麦子


关于一次安全相声表演的剧本


鬼麦子:从职业刷src的角度,过一遍收集的子域名,已经发现了所有漏洞并已经提交后修复,或者用当前漏洞测试方法并没发现有漏洞,这样业务是安全的,但这个安全是在当下时间的,企业要发展、要解决当前问题,就会出新业务、或者不断的修复更新旧问题,这就是业务的变化,通过持续性监控子域名就会发现业务的变化,最快速度的发现变化,对变化进行安全测试、漏洞挖掘。有经验的刷src的同学都知道,新业务发现漏洞概率都很高。


Q6:可以讲讲相关案例嘛

鬼麦子:案例很多,我挖的%90的漏洞都是通过我的这个工具搞到的


Q7:新手如何挖SRC,挖SRC有哪些技巧

鬼麦子

1、白帽子主要是寻找扫描器和风控系统覆盖不到的地方
2、比如domxss、越权漏洞和逻辑漏洞
3、开发运维人员的一些疏忽的点
4、还有因为厂商毕竟是赚钱是第一要务,因双十一、游戏活动之类紧急上线的业务并没有被安全部门测试过,这些通常会出现问题。
5、漏洞主要还是存在于交互处,也就是需要表单填写多的地方,这种场景大家应该会时常遇到。
6、漏洞利用,这是厂商和当前法律明令禁止的....请参考国外博客,和自己私下测试,还有纯刷src角度,我个人觉得别用扫描器扫厂商业务,他们一个payload打过去,封ip封账号不说,爬虫爬过去说不定你就收到一张传票或者被查水表,就进去了.......


Q8:有没有试过一段时间挖掘了一段时间,仍然没有输出,请问如何面对和解决这种状态?

鬼麦子:那你需要作出改变了,多和朋友聊聊,找新的挖掘思路、姿势。


Q9:你喜欢自动化 ,还是每个检查点去检查?

鬼麦子:自动化  我就擅长写爬虫   可以关注我的博客。

http://www.guimaizi.com/


Q10:web安全作为辅助渗透测试挖SRC,那么是否可以进一步认为,渗透测试的过程就是挖洞的核心思维。请问,对于挖洞来说,最推荐学的语言是什么?

鬼麦子:我认为市面上的语言都需要大概了解,但是要精通一到三个,html+css+javascript+php+mysql+mongodb,linux/win的基本操作,安全机制。


Q11:你的fuzz方式是?

鬼麦子:比如一个sql,我就是靠单引号返回值  '    ''  来模糊判断下,比如xss,我不会直接打攻击payload <script>之类关键词,只是xss1判断返回。


Q12:为什么大佬们不挖h1的国外的站呢,奖励比国内高得多

鬼麦子


关于一次安全相声表演的剧本


泳少

1、之前我接受过一次蚂蚁金服的采访。对于海外平台的一些解释。我个人而言基本上就是微软、苹果还有一些其他小厂商的。有的时候在内部安全测试中由于遇到其他厂商的服务也会顺手研究并提交给厂商。

2、对于语言这块一开始是靠翻译去维持的,提交漏洞之前都是把自己中文利用翻译软件去翻译英文提交的。久而久之有些邮件也大概能不借助翻译就能看懂大概意思。平常也会去学习下英语提高这个障碍吧。

3、挖掘海外的漏洞比国内的相对艰难,毕竟他们功能上的语言都是英文而且翻译有的时候也不是特别准,导致有些时候无法知道这些功能点究竟是干嘛的,还有就是他们也非全域名有奖励,试过挖到这样的漏洞,但没办法规则就是规则,能挖到已经不容易了。中间也有放弃过,毕竟需要投入的资源比较多,一个是网络等因素,一个是语言的障碍。所以海外并不是首选的平台。


Q13:学习路径

泳少:关于学习路径这块,大家可以看看这篇文章

https://mp.weixin.qq.com/s/nE8a4Z-qCXwOrvZXE-gLFg

之前我在青岛大学做过演讲,讲述我个人是如何从小白演变成微软安全响应中心top100安全研究员的,里面包括了漏洞低质量到高质量,还有那些知识点需要学习的,其实大家都从小白到技术大牛,就看大家愿意付出多少 其实它是成正比的


Q14:请大佬解惑 ssrf

泳少:就我个人而言 今年内试过一个月挖了二三十个ssrf……但要怎么找,需要怎么bypass,我都会慢慢给大家讲。首先挖ssrf需要在像网络请求的点去尝试请求自己服务器或dnslog。(注重是要从服务器端发起才行),今年在挖ssrf中总结了下无回显的挖掘方法,大家可以看下

https://mp.weixin.qq.com/s/R-N9e0PfrWY2GluLrjLlww

基本上useragent是来自容器的,都很大程度上存在这个漏洞,这个漏洞最简单的挖掘方法就是先尝试一遍外网,判断是否服务器端发起的,再去找该厂商的内网ip或者内网域名,找到后需要遍历它内网有什么端口,如果想把它当作内网一样访问资产,可以利用fiddler配置一下就可以了。

如果它存在不让请求内网的怎么办?

可以买一个域名,将域名A解析到它内网ip再做请求,或者利用302跳转,短链接等方式,这是我去年总结的一些bypass技巧 大家可以看一下。

https://mp.weixin.qq.com/s/zIOH1nMe-Ekeo4ga2wDRgw


Q15:关于考证,考什么证,考证有用嘛

Dm:如果是搞渗透测试方向的话,入门建议OSCP,这是公认的全球最强渗透测试认证资质。考完了也就相当于拥有了渗透测试中级水平,完全可以应对国内大多数渗透测试岗位工作;cisp可以帮助大家更加全面的认真整个信息安全,从宏观上了解我国对于信息安全的政策和相关知识。


此次分享的内容就这些了,希望大家看完都能有所收获,我们也承诺下次不会再出现直播翻车的事件了。




最后为大家推荐一套线上的直播课程,由Dm主讲的内网渗透系列课程。


Dm介绍:现就职于国内某安全公司大区红队队长。DeadEye安全团队创始人、破晓核心成员。主导参与《内网安全攻防:渗透测试实战指南》编写。前期从事于Web渗透领域,擅长渗透测试,有大量渗透测试经验。近年主要研究方向为内网渗透,沉迷于红蓝对抗领域,主要为Red Team方向。


课程目录如图


关于一次安全相声表演的剧本


课程介绍


课程共计12课时,1课时/次

每周五、六、日培训

总价3899,转发集赞可减

1赞抵10元,封顶减399

本活动最终解释权归DeadEye团队所有


本周五就要开课了!!!

感兴趣的小伙伴还在等什么

赶紧扫描下面二维码报名吧


关于一次安全相声表演的剧本

本文始发于微信公众号(逢人斗智斗勇):关于一次安全相声表演的剧本

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2019年12月9日01:42:31
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   关于一次安全相声表演的剧本https://cn-sec.com/archives/343467.html

发表评论

匿名网友 填写信息