分类目录归档：安全加固

HTTPS连接过程以及中间人攻击劫持

一 、HTTPS连接过程及中间人攻击原理

https协议就是http+ssl协议，如下图所示为其连接过程：
这里写图片描述
1.https请求
客户端向服务端发送https请求；
2.生成公钥和私钥
服务端收到请求之后，生成公钥和私钥。公钥相当于是锁，私钥相当于是钥匙，只有私钥才能够打开公钥锁住的内容；
3.返回公钥
服务端将公钥（证书）返回给客户端，公钥里面包含有很多信息，比如证书的颁发机构、过期时间等等；
4.客户端验证公钥
客户端收到公钥之后，首先会验证其是否有效，如颁发机构或者过期时间等，如果发现有问题就会抛出异常，提示证书存在问题。如果没有问题，那么就生成一个随机值，作为客户端的密钥，然后用服务端的公钥加密；
5.发送客户端密钥
客户端用服务端的公钥加密密钥，然后发送给服务端。
6.服务端收取密钥，对称加密内容
服务端收到经过加密的密钥，然后用私钥将其解密，得到客户端的密钥，然后服务端把要传输的内容和客户端的密钥进行对称加密，这样除非知道密钥，否则无法知道传输的内容。
7.加密传输
服务端将经过加密的内容传输给客户端。
8.获取加密内容，解密
客户端获取加密内容后，用之前生成的密钥对其进行解密，获取到内容。 继续阅读 →

动态ARP检测原理及应用

在一个局域网中，网络安全可以通过多种方式来实现，而采取DHCP snooping（DHCP 防护）及DAI 检测（ARP 防护）这种技术，保护接入交换机的每个端口，可以让网络更加安全，更加稳定，尽可能的减小中毒范围，不因病毒或木马导致全网的瘫痪。 下面将详细的对这种技术的原理和应用做出解释。 继续阅读 →

Mikrotik路由安全防范设置

  1. 将默认用户名admin更改为其他名称
    /user set 0 name=superrootman
  2. 设置高强度的密码
    /user set 0 password=”zhegemimahenchanghenchang!@#”
  3. 通过IP地址访问
    /user set 0 allowed-address=xxxx/yy
  4. 只保留安全的服务
    /ip service disable telnet,f​​tp,www,api,api-ssl
    注意：该操作会禁用Telnet，FTP，WWW，API，API-SSL
  5. 更改默认端口，这将立即停止大多数随机SSH暴力登录尝试
    /ip service set ssh port=220
  6. 设置Winbox允许登陆的网段
    /ip service set winbox address=192.168.0.0/16
  7. 禁用mac-telnet服务
    /tool mac-server set allowed-interface-list=none
  8. 禁用mac-winbox服务
    /tool mac-server mac-winbox set allowed-interface-list=none
  9. 禁用mac-ping服务
    /tool mac-server ping set enabled=no
  10. 邻居发现
    MikroTik邻居发现协议用于显示和识别网络中的其他MikroTik设备，禁用所有接口上的邻居发现
    禁用IPv4 的邻居发现协议
    /ip neighbor discovery-settings set discover-interface-list=none
    禁用IPv6 的邻居发现协议
    /ipv6 nd set [find] disabled=yes
  11. 带宽服务器用于测试两个MikroTik路由器之间的吞吐量，请在测试后禁用它。
    /tool bandwidth-server set enabled=no
  12. DNS缓存
    /ip dns set allow-remote-requests=no
  13. 设置更安全的SSH访问，打开SSH强加密
    /ip ssh set strong-crypto=yes
  14. 关闭 Proxy，Socks代理
    /ip proxy set enabled=no
    /ip socks set enabled=no
  15. MikroTik UPnP服务（通用即插即用协议）
    /ip upnp set enabled=no
  16. MikroTik自带的DDNS服务器（动态域名解析）
    如果不是使用的话请用以下命令禁用
    /ip cloud set ddns-enabled=no update-time=no
  17. 某些型号的RouterBOARD有LCD模块用于信息显示。
    /lcd set enabled=no
  18. 如果你的路由器不提供VPN服务，请用以下命令关闭VPN
    /interface l2tp-server server set enabled=no
    /interface pptp-server server set enabled=no
    /interface sstp-server server set enabled=no
    /interface ovpn-server server set enabled=no
  19. 禁用在设备上使用Radius进行授权
    /user aaa set use-radius=no
  20. 禁ping

MikroTik路由器升级以及安全加固

最近<<20万台MikroTik路由器沦为挖矿帮凶>>,近日安全研究人员再次发现有20万台未更新固件的MikroTik路由器遭到挖矿恶意软件攻击。其中主要是CVE-2018-7445 MikroTik路由器系统缓冲区溢出漏洞。

漏洞概述

CVE-2018-7445 MikroTik RouterOS SMB 缓冲区溢出

参考信息：https://www.coresecurity.com/advisories/mikrotik-routeros-smb-buffer-overflow

路由器漏洞分析

http://www.freebuf.com/articles/wireless/168063.html

oday 工具地址

https://github.com/mrmtwoj/0day-mikrotik

Name Project :0day Mikrotik

Last version :1.0.0

Last updated : 25/07/2018

Programming language : Python

youtube : https://youtu.be/h6JSNFhQUN8

Company name : acyber (IT Security Lab Iran)

ros1

ros2
.我们今天来进行ros的升级和一些安全加固设置。

继续阅读 →

如何防止CSRF攻击

背景

随着互联网的高速发展，信息安全问题已经成为企业最为关注的焦点之一，而前端又是引发企业安全问题的高危据点。在移动互联网时代，前端人员除了传统的 XSS、CSRF 等安全问题之外，又时常遭遇网络劫持、非法调用 Hybrid API 等新型安全问题。当然，浏览器自身也在不断在进化和发展，不断引入 CSP、Same-Site Cookies 等新技术来增强安全性，但是仍存在很多潜在的威胁，这需要前端技术人员不断进行“查漏补缺”。

前端安全

近几年，美团业务高速发展，前端随之面临很多安全挑战，因此积累了大量的实践经验。我们梳理了常见的前端安全问题以及对应的解决方案，将会做成一个系列，希望可以帮助前端同学在日常开发中不断预防和修复安全漏洞。本文是该系列的第二篇。

今天我们讲解一下 CSRF，其实相比XSS，CSRF的名气似乎并不是那么大，很多人都认为“CSRF不具备那么大的破坏性”。真的是这样吗？接下来，我们还是有请小明同学再次“闪亮”登场。

CSRF攻击

CSRF漏洞的发生

相比XSS，CSRF的名气似乎并不是那么大，很多人都认为CSRF“不那么有破坏性”。真的是这样吗？ 继续阅读 →

Nginx 上配置 HTTP2

为什么需要http2背景

 

前言

从 2015 年 5 月 14 日 HTTP/2 协议正式版的发布到现在已经快有一年了，越来越多的网站部署了 HTTP2，HTTP2 的广泛应用带来了更好的浏览体验，只要是 Modern 浏览器都支持，所以部署 HTTP2 并不会带来太多困扰。

虽然 h2 有 h2c （HTTP/2 Cleartext） 可以通过非加密通道传输，但是支持的浏览器初期还是比较少的，所以目前部署 h2 还是需要走加密的，不过由于 Let’s Encrypt 大力推行免费证书和证书的廉价化，部署 h2 的成本并不高。

介绍

HTTP 2.0即超文本传输协议 2.0，是下一代HTTP协议。是由互联网工程任务组（IETF）的Hypertext Transfer Protocol Bis (httpbis)工作小组进行开发。是自1999年http1.1发布后的首个更新。

HTTP/2 协议是从 SPDY 演变而来，SPDY 已经完成了使命并很快就会退出历史舞台（例如 Chrome 将在「2016 年初结束对 SPDY 的支持」；Nginx、Apache 也已经全面支持 HTTP/2 ，并也不再支持 SPDY）。

一般的大家把 HTTP2 简称为 h2，尽管有些朋友可能不怎么愿意，但是这个简称已经默认化了，特别是体现在浏览器对 HTTP2 都是这个简写的。

 

配置

普通的 HTTPS 网站浏览会比 HTTP 网站稍微慢一些，因为需要处理加密任务，而配置了 h2 的 HTTPS，在低延时的情况下速度会比 HTTP 更快更稳定！

现在电信劫持事件频发，网站部署了 HTTPS 加密后可以杜绝大部分劫持，但不是完全。像电子商务行业对 HTTPS 加密可是标配啊，因此部署 h2 更是势在必行。 继续阅读 →

iptables中hashlimit模块介绍

iptables中用hashlimit来限速

   hashlimit是iptables的一个匹配模块，用它结合iptables的其它命令可以实现限速的功能（注意，单独hashlimit模块是无法限速的）。
不过首先必须明确，hashlimit本身只是一个“匹配”模块。我们知道，iptables的基本原理是“匹配–处理”，hashlimit在这个工作过程中只能起到匹配的作用，它本身是无法对网络数据包进行任何处理的。

我看到网上有些hashlimit的例子里面说只 用一条包含hashlimit匹配规则的iptables语句就可以实现限速，那是错误的。

实际上，利用hashlimit来限速需要包括两个步骤:

1.对符合hashlimit匹配规则包放行
2.丢弃/拒绝未放行的包

下面是一个简单的例子：
iptables -A INPUT -p tcp –dport 22 -m hashlimit –hashlimit-name ssh –hashlimit 5/sec –hashlimit-burst 10 –hashlimit-mode srcip –hashlimit-htable-expire 90000 -j ACCEPT
iptables -A INPUT -p tcp –dport 22 -j DROP

然后，我们来着重讲讲hashlimit模块具体是如何工作的。 继续阅读 →

关于DEDECMS SQL注入高危漏洞被利用发起大规模攻击的情况通报

近日，国家信息安全漏洞共享平台（CNVD）对国内应用广泛的网站内容管理软件DEDECMS（又称“织梦”CMS） 存在的一个SQL注入高危漏洞进行监测后发现，针对该漏洞的攻击近期呈现大规模爆发趋势，对网站运行安全和用户个人信息安全构成较为严重的威胁。具体情况通报如下：

   一、漏洞情况分析

DEDECMS是由上海卓卓网络科技有限公司生产的一款网站建站系统软件，在国内政府、高校、企事业单位以及个人用户网站中应用较为广泛。2014年2月25日，该软件被披露存在一个高危漏洞（CNVD收录编号：CNVD-2014-01382)。至2月28日，针对该漏洞的攻击利用代码和相关利用工具在互联网上已经被公开传播。漏洞存在于/plus/recommend.php页面，由于页面参数未进行严格过滤，存在SQL注入漏洞。

攻击者可利用漏洞直接获得网站数据库信息（包括后台管理员账号和口令信息），进而取得网站后台管理权限，后续可进一步渗透取得网站服务控制权。

      二、漏洞影响范围

CNVD对漏洞的综合评级为“高危”。受漏洞影响的DEDECMS 版本包括V 5.7 SP1及以下版本。由于漏洞危害大且易于利用，CNVD联合上海交通大学组织开展对该漏洞攻击情况的监测，并加大对存在漏洞的政府和高校网站的处置通报力度。

根据CNVD抽样监测结果，3月3日至9日，互联网上有2668个攻击源IP发起漏洞攻击，其中境外攻击源IP占22%（589个）, 境外攻击源IP中自中国香港地区和美国的较多，分别有163个和155个。上述2668个攻击源IP共尝试扫描了48661个网站IP主机，其中474个网站IP因存在漏洞被攻击成功。从时间周期看，如下图所示，在一周之内被尝试攻击的网站数量呈现上升趋势并保持在高位，在3月8日达到峰值，被攻击成功的网站IP达到286个。

        根据CNVD成员单位——上海交通大学网络信息中心在华东地区教育网内的监测结果，共有1903个攻击源IP对9972个网站IP发起尝试攻击。如下图所示，从2月26日至3月8日，被攻击网站IP数量总体呈现递增趋势。

针对黑客发起大规模漏洞攻击的情况，CNCERT组织协调全国分中心以及教育网应急组织（CCERT）加大漏洞通报和处置力度， 3月3日至13日共计通报政府、高校和电信行业网站存在DEDECMS漏洞事件超过100起。

  三、漏洞处置建议

目前，DEDECMS软件生产厂商已经发布了针对该漏洞的相关补丁。建议用户及时到生产厂商官方网站下载补丁程序及时升级。同时，建议禁止外部无关IP或用户访问网站后台管理地址。

相关安全公告链接参考如下：

http://www.cnvd.org.cn/flaw/show/CNVD-2014-01382

http://www.freebuf.com/tools/27206.html

http://paper.wooyun.org/bugs/wooyun-2014-051950

提权后获取敏感信息的一些方法

文中的每行为一条命令，文中有的命令可能在你的主机上敲不出来，因为它可能是在其他版本的linux中所使用的命令。

（Linux）的提权是怎么一回事：

 收集 – 枚举，枚举和一些更多的枚举。
 过程 – 通过数据排序，分析和确定优先次序。
 搜索 – 知道搜索什么和在哪里可以找到漏洞代码。
 适应 – 自定义的漏洞，所以它适合。每个系统的工作并不是每一个漏洞“都固定不变”。
 尝试 – 做好准备,试验和错误。

系统类型 继续阅读 →