标签：安全

admin 8年前（2018-12-20） 6747浏览

OpenVPN 安全限制 前面我们介绍了 OpenVPN 使用 Google 两步认证 ，虽然实现动态密码的验证， 但三层、四层安全限制还不支持, 最后结果链接进来之后，可以扫描内网任何资源。 本篇文章介绍如何针对不同用户使用不同安全规则。 修改服务...

admin 8年前（2018-10-11） 18018浏览

为什么添加 Google 两步认证 OpenVPN 认证支持多种类型，授权可以从数据库、文本以及API接口获取，但都有一个问题就是密码都是唯一固定的，如果密码泄露会有很大安全风险，所以我们添加 Google 两步认证，实现如下授权，每次密码都不同。 ...

admin 9年前（2018-01-10） 5176浏览

一．背景 对于2018年1月3日Intel CPU被Google Project Zero团队爆出的漏洞Spectre和Meltdown，影响Intel、AMD以及ARM等多个厂商的产品，受影响的操作系统平台有Windows、Linux、Androi...

admin 9年前（2017-08-05） 3750浏览

前几天 Supervisord 出现了一个需认证的远程命令执行漏洞（CVE-2017-11610），在对其进行分析以后，将靶场加入了 Vulhub 豪华套餐。 Supervisord Supervisord 是一款 Python 开发，用于管理后台应...

admin 9年前（2017-06-19） 2977浏览

为什么需要https HTTP是明文传输的，也就意味着，介于发送端、接收端中间的任意节点都可以知道你们传输的内容是什么。这些节点可能是路由器、代理等。 举个最常见的例子，用户登陆。用户输入账号，密码，采用HTTP的话，只要在代理服务器上做点手脚就可以...

admin 9年前（2017-06-19） 3341浏览

互联网的通信安全，建立在SSL/TLS协议之上。 本文简要介绍SSL/TLS协议的运行机制。文章的重点是设计思想和运行过程，不涉及具体的实现细节。如果想了解这方面的内容，请参阅RFC文档。 一、作用 不使用SSL/TLS的HTTP通信，就是不加密的通...

admin 9年前（2017-06-11） 4172浏览

ssh-agent的manual写得倒是挺详细，可看了好几次都没怎么搞明白。08年在网上找到了非常好的一篇文章，An Illustrated Guide to SSH Agent Forwarding (后文简称agent guide), 将ssh的...

admin 9年前（2017-06-06） 6119浏览

SSH Agent Forwarding原理讲了ssh认证以及agent forwarding的基本原理， 但没有讲具体该怎么做。下面就讲讲最佳实践 (Best Practice). Using ssh-agent with ssh一文讲得很清楚，这...

admin 10年前（2016-03-24） 5647浏览

本文将给出25个iptables常用规则示例，这些例子为您提供了些基本的模板，您可以根据特定需求对其进行修改调整以达到期望。 格式 iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型] 参数 -P 设置默认策略:iptabl...

admin 11年前（2016-01-30） 6374浏览

0x00 前言 ​早几天的时候VPS突然锁住了, 联系服务商之后说存在被攻击的迹象, 影响到了其他用户的使用, 稀里糊涂说了一番好话解封之后把用不到的服务该关的都关了之后一直没查原因, 今天看去看时偶尔发现DNS日志大小有5G左右…… 0x01 简介...

admin 11年前（2015-06-06） 3964浏览

FLUSHALL FLUSHDB 命令会清空数据，而且从不失败，对于线上集群非常危险。 KEYS * 命令，当数据规模较大时使用，会严重影响Redis性能，也非常危险。 如果从根本上规避这些风险呢？ Redis提供了非常简单且有效的方法，直接在配置文...

admin 11年前（2015-05-12） 4173浏览

OAuth是一个关于授权（authorization）的开放网络标准，在全世界得到广泛应用，目前的版本是2.0版。 本文对OAuth 2.0的设计思路和运行流程，做一个简明通俗的解释，主要参考材料为RFC 6749。 一、应用场景 为了理解OAuth...

admin 11年前（2015-04-27） 3582浏览

虚拟私有服务器 （VPS）上启用 SSH 服务使得该服务器暴露到互联网中，为黑客攻击提供了机会，尤其是当 VPS 还允许root 直接访问时。VPS 应该为每次 SSH 登录成功尝试配置一个自动的 email 警告。 VPS 服务器的所有者会得到各种...

admin 12年前（2015-03-22） 46浏览

文中首先解释了加密解密的一些基础知识和概念，然后通过一个加密通信过程的例子说明了加密算法的作用，以及数字证书的出现所起的作用。接着对数字证书做一个详细的解释，并讨论一下windows中数字证书的管理，最后演示使用makecert生成数字证书。如果发现...

admin 12年前（2015-03-17） 1958浏览

Nginx location /upload/ { location ~ .*.(php)?$ { deny all; } } location ~* ^/(upload|images)/.*.(php|php5)$ { deny all; } Ap...

admin 12年前（2015-03-16） 39浏览

（此图摘自《Web脚本攻击与防御技术核心剖析》一书，作者：郝永清先生） DDoS,即 Distributed Denial of Service ,可译为分散式阻断服务攻击。 上图与DDoS的字面已经清楚的表述出了此类攻击的原理，勿需多言。这类攻击泛...

admin 12年前（2015-03-16） 39浏览

盗号木马相信大家都不陌生。随着网络越来越普及，网上的账号密码越来越重要，盗号木马的生命力也就越发的顽强了。 随着与杀毒软件的对抗，盗号木马也在不断的更新换代。QQ粘虫就是一个很典型的例子，这类木马的特点可以参考我们之前写过的博文《“神奇”的qq粘虫之...

admin 12年前（2015-03-16） 42浏览

from:https://blog.veracode.com/2014/03/guidelines-for-setting-security-headers/ 0x00 背景 在统计了Alexa top 100万网站的header安全分析之后（201...

admin 12年前（2015-03-16） 4367浏览

一切的工程都要从实用的角度出发，排除 GLSB 在外，目前主流的开放的前端无非就那几种: 1. 最简单的就是 DNS RR，上手很快，缺点也很明显 2. web server + keepalived，相对智能些，依然有缺点，没有 health ch...

admin 12年前（2015-03-16） 3858浏览

Docker成功的为1.02亿小伙伴刷微博，抢红包提供了可靠的服务。接着上一篇文章《大规模Docker集群助力微博迎接春晚峰值挑战》，这里给大家分享Docker在春晚实战中的实际表现，以及对于后续发展的的思路，由于篇幅有限这里仅点到为止，如果大家希望...

admin 12年前（2015-03-16） 4180浏览

一般来说，自动化通过 ssh 执行操作或者通过 scp 传文件首先得过 ssh 认证这一关。采用公钥认证是最方便安全的方式。但是有时候不得不使用密码认证。而 ssh 默认是直接读写终端来输出提示信息和读入密码的，所以没法直接用echo passwor...

admin 12年前（2015-03-15） 2878浏览

0x00 前言 早前发现boooom在乌云上发了很多个任意文件读取的漏洞，都是形如 http://target/../../../../etc/passwd 这样。当时感觉很新奇，因为正常情况下，通常的服务器中间件是不允许直接读取web目录以外的文件...

admin 12年前（2015-03-15） 5555浏览

1.创建用户审计文件存放目录和审计日志文件 ； mkdir -p /var/log/aikaiyuan/ 2.创建用户审计日志文件； echo usermonitor >/var/log/aikaiyuan/aikaiyuan.log 3.将日...

admin 12年前（2015-03-15） 4815浏览

1，xen是什么? XEN是一个基于X86平台的虚拟机系统，它支持多个操作系统共用系统硬件，而且更重要的是，它不会导致操作系统的功能性和性能性的劣化。它可以支持多种操作系统的虚拟化，比如Linux，BSD，Windows XP等等。 2，为什么使用x...

admin 12年前（2015-03-15） 3734浏览

今天一个朋友向我咨询怎么去优化 MySQL，我按着思维整理了一下，大概粗的可以分为21个方向。 还有一些细节东西（table cache, 表设计，索引设计，程序端缓存之类的）先不列了，对一个系统，初期能把下面做完也是一个不错的系统。 1. 要确保有...

admin 12年前（2015-03-15） 9256浏览

File 通常做法是使用msfpayload生成一个backdoor.exe然后上传到目标机器执行。本地监听即可获得meterpreter shell。 <code>reverse_tcp/http/https =&gt; exe...

admin 12年前（2015-03-06） 3749浏览

近来很多知名企业都出现了密码泄露，业内对多重认证的呼声也越来越高。在这种多重认证的系统中，用户需要通过两种不同的认证程序：提供他们知道的信息（如 用户名/密码），再借助其他工具提供用户所不知道的信息（如 用手机生成的一次性密码）。这种组合方式常叫做双...

admin 12年前（2015-02-04） 3502浏览

在一次测试中，我碰到了一个sql注入的问题，在网上没有搜到解决办法，当时的注入点是在limit关键字后面，数据库是MySQL5.x,SQL语句类似下面这样： SELECT field FROM table WHERE id > 0 ORDER ...

admin 12年前（2014-08-14） 3768浏览

此文源于近日公司安全部门给我们的一次分享，之前我一直以为会有类似于0day之类的东东（我自作多情了-_-!），结果分享的重头戏却是演示HTTP Slow Header 和 HTTP Slow POST 攻击。 第一次看到这个攻击方式是去年在刺的博客，...

admin 12年前（2014-08-11） 3714浏览

渗透测试从互联网找到了入侵内网的入口点之后剩下的就内网渗透测试了。 有人说到了内网还不容易，随便拿个hscan一抓一大把弱口令。我同意这个看法，但是在我看来，内网环境复杂得多，要想精确获取自己想要的目标，要处理的内容要多得多，只有获得了必要的信息，才...