一个人的蓝队......真是无奈。一句话:尽一切可能限制攻击队获得操作系统管理员权限。攻防演练是人和人的对抗,攻心为上。攻防演练的时间是有限的,只要攻击队发现被拖住了,就会去寻找下一个更加容易得分的目...
实战 | 从SpringBoot 未授权访问到Getshell
点击蓝字 关注我们免责声明本文发布的工具和脚本,仅用作测试和学习研究,禁止用于商业用途,不能保证其合法性,准确性,完整性和有效性,请根据情况自行判断。如果任何单位或个人认为该项目的脚本可能涉嫌侵犯其权...
天降神兵-狙击供应链(一)
免责声明本公众号致力于安全研究和红队攻防技术分享等内容,本文中所有涉及的内容均不针对任何厂商或个人,同时由于传播、利用本公众号所发布的技术或工具造成的任何直接或者间接的后果及损失,均由使用者本人承担。...
关于企业邮件客户端安全防护方案、应用系统日志记录基线要求的探讨 | 总第194周
0x1本周话题TOP2话题1:邮件客户端双因素,如何解决邮件账号被盗问题?A1:动态令牌+邮箱密码双重校验;或者不对互联网开放,邮件放在vpn后面,如果涉及邮件外发,走审批流程。Exchange参...
云攻防课程系列(三):云上资产发现与信息收集
一. 概述近日,绿盟科技星云实验室与北京豪密科技有限公司联合推出了一项云攻防技术培训课程。该课程旨在根据客户需求,为客户提供专题培训,帮助客户熟悉常见的云安全架构,并提供云攻防技术理解,同时...
跨网日志审计及用户行为溯源研究
摘 要传统安全日志审计系统功能日趋完善,可通过标准协议或安装代理软件的方式收集系统和设备的日志进行分析处理并综合展示。但传统日志审计也存在一些短板,如在跨应用域、跨网络域场景下,传统日志审计系统无法以...
聊聊白帽子与审核的对立面
白帽子与审核是安全圈矛盾最多的群体,俗话说,屁股决定脑袋,因为白帽子和漏洞审核人员所处的位置不同,从而导致针对漏洞危害的评估无法达成一致,从而造成大量矛盾。我之前从事过几年甲方安全工作,也做过短期的漏...
一位网络渗透测试专家给企业的5条忠告
Nick Merritt是Halo Security公司主管安全产品和服务的副总裁,他已经负责并领导开展了超过300次的网络安全渗透测试工作。通过在各类企业中的大量安全性测试实践,Nick Merri...
实战|记一次女友学校漏洞挖掘(水到一张证书并成功通杀)
警示:本文章仅用于信息安全防御技术分享,因用于其他用途而产生不良后果,作者不承担任何法律责任,请严格遵循我国法律法规。该漏洞已上报edusrc 并已修复,请勿打再次复现的主意。本文章完全是为了水证书,...
某站点SIgn值逆向
随着网络安全的发展,如何保护API接口的数据安全性成了一个很重要的问题:请求身份来源是否合法?请求参数是否被篡改?请求的唯一性面临以上一些问题,Sign(签名)也被设计出来保护API接口数据的安全。更...
如何应对网络安全中的配置漂移问题?
众所周知,确保网络设备与应用系统的安全运行是减少基础架构攻击面的基础和前提,为此,国际互联网安全中心(CIS)等组织陆续颁布了相关工作指南,明确规定了所有部署的应用系统都应安全配置,并且这些配置应受到...
谈谈数据泄露的排查方法
序言数据泄露对于企业和个人来说都是致命性的影响,企业在运营过程中,对数据的保护是至关重要的,如果企业的数据因内外部原因而出现数据泄露的情况,那么这必将对企业的正常运营发展带来风险和影响。下面就谈谈针对...
5