写在前面的话接昨天的文章,提纲配图在文末。红蓝对抗演练各团队职能规则确定红蓝对抗和军事演习一样,在确定目标和场景以后,就要确定演练参与团队的职能和规则。虽然要模拟真实的黑客攻击,但也必须要有完善的规则...
DockerApi未授权RCE工具
作为一名网络安全工程师,我们的日常工作几乎都是围绕着各种例行的安全活动,比如hvv、zb和红蓝对抗演练。最近,我们团队正忙于一次针对公司内部 Docker 环境的安全审查。在这个过程中,我发现很多同事...
自动化文件上传安全检测工具
就在这个时候,我发现了一款开源的安全测试工具——Fuxploider。这是特别适合用来检测和利用文件上传表单的安全风险。 在我们的例行安全活动中,我们会审查所有可能被攻击的入口,包括文件上传功能。Fu...
Github信息泄露检测工具Gitxray
日常工作之一就是定期审查和监控代码库,确保没有潜在的安全漏洞或敏感信息泄露。想必大家都知道,在GitHub上手动搜索相关信息,不仅费时,而且容易错过很多细节。 首先,它利用GitHub的公共REST ...
关于内部红蓝对抗演练及个人手机号是否属于敏感信息的探讨| 总第251周
0x1本周话题话题一:哪家组织过内部的红蓝对抗演练呀?怎么搞的呢?A1:我们请的360,用的360的演习环境。请他们提供培训和技术支持做攻防演练,红队蓝队都是内部员工。A2:自己养红队,要求有...