2020年第3周微信公众号精选安全技术文章总览

洞见网安 2020-1-20

0x1 渗透测试信息枚举

ListSec 2020-01-25T19:37:36 © 凉城

本文详细介绍了渗透测试中的信息枚举过程，强调了其在安全测试中的重要性。文章指出，虽然很多公司对渗透测试的理解停留在扫描和漏洞验证阶段，但经验丰富的工程师会通过更细致的信息枚举来发现隐藏资产和不同类型的漏洞。文中提到了收集子域名、解析IP、端口扫描、目录遍历等步骤，并推荐了一些工具和方法。作者还强调了不断学习和积累经验的重要性，以及通过编写脚本来自动化渗透测试流程的实践。

渗透测试信息枚举漏洞扫描安全工具脚本自动化网络安全职业

本文深入探讨了XSS攻击中的伪造Cookie技术。文章首先介绍了XSS盲打和XSS公开平台的使用方法，提供了靶场地址和操作步骤。通过在特定的input框中输入代码并提交，文章展示了如何通过XSS盲打发现存储性XSS漏洞。接着，文章详细说明了如何使用XSS公开平台生成漏洞利用代码，并给出了具体的插入脚本示例。此外，文章还介绍了恶意代码执行后的信息收集过程，包括用户cookie、IP地址和用户代理等信息。最后，文章简要提及了社会工程学攻击的相关内容，并提供了一个博客链接以供进一步学习。

XSS攻击 Web安全漏洞利用社会工程学网络安全靶场恶意代码分析

0x3 从CTF题中学习PHP反序列化漏洞

Medi0cr1ty 2020-01-21T19:00:22 © BAI

很久没有更新啦，这篇文章之前就已经写好了，没来得及整理，之后还会写java的反序列化漏洞，请期待吧。\x0a2020快乐！给大家拜个晚年|ू･ω･` )

0x4 I2P匿名通信流量特征分析与识别

信息安全与通信保密杂志社 2020-01-21T11:01:42 © Cismag

本文深入探讨了匿名通信网络，尤其是I2P网络的流量识别问题。随着匿名通信网络匿名性的增强，其被用于发布违法信息的问题日益严重，给监管带来了巨大挑战。文章首先分析了I2P网络的运行原理，包括隧道建立、转发过程以及SSU、NTCP和NTCP2等传输层协议。接着，通过对I2P数据流的特征进行分析，包括载荷长度特征、载荷长度序列特征、载荷特征、首部标志特征、端口号和确认到达时间差等，揭示了I2P流量的独特性。在此基础上，设计并实现了一套I2P流量识别算法，该算法通过端口号、首部特征、载荷特征等多个维度对流量进行识别。实验结果表明，该算法具有较高的精确度和召回率。最后，文章总结了I2P流量识别的研究现状和未来方向，提出了进一步优化的建议。

匿名通信网络安全监管 I2P网络分析流量识别算法网络攻击防范数据隐私保护协议分析网络安全技术研究加密技术网络流量分析

0x5 CentOS7下部署Cobbler实现PXE+Kickstart自动化安装

WalkingCloud 2020-01-20T21:11:29 ©

本文详细介绍了在CentOS7系统下部署Cobbler来实现PXE+Kickstart自动化安装的步骤。首先介绍了如何下载并配置EPEL镜像源，然后安装了Cobbler和相关组件。接着，文章描述了启动和配置Cobbler服务、DHCP、TFTP和rsync等服务的具体操作。在配置完成后，文章指导如何挂载ISO镜像、导入镜像并设置Kickstart文件以实现自动化安装。最后，文章提供了一个详细的Kickstart配置示例，并说明了如何编辑profile以定制安装过程。整个过程涵盖了从环境搭建到自动化安装的各个步骤，对于想要实现自动化部署的读者来说，是一份实用的指南。

服务器安全自动化安装 PXE网络安装 Kickstart自动化配置管理镜像管理网络安全配置

0x6 CVE-2019-15039 | JetBrains TeamCity 远程命令执行分析

安恒信息CERT 2020-01-20T16:32:23

本文分析了CVE-2019-15039漏洞，该漏洞存在于JetBrains TeamCity持续集成工具的2018.2.4版本中。漏洞允许攻击者通过RMI远程对象访问SMB服务器或本地路径中的pom.xml文件，并利用Maven的exec:exec参数执行任意代码。文章详细描述了漏洞的原理、环境搭建、漏洞复现过程，并通过POC分析展示了漏洞的利用方法。文章还讨论了漏洞成因和修复建议，包括更新官方补丁和阻止匿名IP请求RMI端口。同时，文章强调了该漏洞的研究和讨论仅限于技术领域，禁止用于非法用途，并指出使用者本人需对使用该信息造成的后果负责。

漏洞分析远程命令执行持续集成工具安全 Maven安全 RMI服务安全安全漏洞修复

本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。