Web及移动安全实战教学文档

一、应急响应实战

1.1 Web应急响应实战要点

• 日志分析：重点检查access.log、error.log及安全设备日志
• 后门排查：查找可疑的webshell文件（如.php、.jsp、.asp等）
• 进程检查：使用ps -aux或netstat -antp查找异常连接
• 时间线分析：通过文件修改时间确定入侵时间窗口

1.2 安全工程师自我修养

• 持续学习：跟踪CVE漏洞（如CVE-2019-0708）
• 工具熟练：掌握Burpsuite、Nmap等核心工具
• 报告能力：清晰记录攻击路径和修复建议

二、Web安全核心漏洞

2.1 SSRF漏洞

• 实验环境：使用vulhub或DVWA搭建测试环境
• 利用方式：
  • 内网服务探测
  • 云服务元数据获取
  • 结合gopher协议实现RCE
• 防御：白名单校验、禁用危险协议

2.2 XXE漏洞

• 攻击载荷：

<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>
<foo>&xxe;</foo>

• 利用场景：
  • 文件读取
  • 内网探测
  • 拒绝服务攻击
• 修复：禁用外部实体解析

2.3 CSRF漏洞

• 挖掘方法：
  • 检查表单是否缺少CSRF Token
  • 验证Referer是否可绕过
• 防御：
  • 添加随机Token
  • 双重Cookie验证
  • 关键操作二次认证

三、渗透测试技术

3.1 内网渗透技术

• 横向移动：
  • IPC$共享利用
  • DCOM组件攻击（ShellWindows/ShellBrowserWindow）
  • 密码喷射攻击
• 信息收集：
  • SCF文件钓鱼
  • 子域名爆破（推荐ubDomainsBrute工具）

3.2 权限提升

• Linux提权：
  • sudo -l检查
  • SUID文件利用
  • 内核漏洞利用
• Windows提权：
  • 服务权限滥用
  • Token窃取
  • DLL劫持

3.3 隐蔽隧道

• HTTP隧道：
  • ReDuh搭建
  • DNS隐蔽通道
  • ICMP隧道
• 工具选择：
  • Httpscan用于CIDR扫描
  • PeekABoo用于RDP启用

四、代码审计要点

4.1 Java反序列化

• 漏洞案例：
  • Weblogic CVE-2019-2725
  • Jackson-databind CVE-2017-17485
• 利用链：
  • TemplatesImpl链
  • JdbcRowSetImpl链
• 防御：
  • 升级依赖库
  • 禁用危险类

4.2 文件读取漏洞

• Spring Cloud Config：
  • 路径遍历导致任意文件读取
  • 修复：配置路径校验
• 修复方案：
  • 规范化路径
  • 权限最小化

五、安全工具集

六、防御体系建设

6.1 等级保护实施

1. 备案阶段：确定系统等级
2. 建设整改：对照基本要求
3. 等级测评：第三方验证

6.2 甲方安全建设

• 基础安全：
  • 网络分区
  • 访问控制
  • 日志集中
• 纵深防御：
  • WAF部署
  • HIDS安装
  • 蜜罐诱捕

七、漏洞利用实例

7.1 CVE-2019-0708 (BlueKeep)

• 影响范围：Windows RDP服务
• 利用步骤：
  1. 扫描开放3389端口主机
  2. 发送特殊构造的RDP包
  3. 触发内存越界实现RCE
• 修复：安装微软补丁KB4499175

7.2 Numpy反序列化(CVE-2019-6446)

• 利用条件：可控的pickle数据
• POC构造：

import numpy
import os
class Exploit(object):
    def __reduce__(self):
        return (os.system, ('whoami',))
numpy.load('exploit.npy', allow_pickle=True)

八、实战技巧

1. 图片木马制作：

   • 使用copy /b normal.jpg + shell.php trojan.jpg
   • 配合文件包含漏洞执行

2. 浏览器密码提取：

   • Chrome密码存储位置：
     • Windows: %LocalAppData%\Google\Chrome\User Data\Default\Login Data
     • Linux: ~/.config/google-chrome/Default/Login Data

3. Fuzz字典选择：

   • 路径字典：包含常见后台路径
   • 参数字典：包含敏感参数名
   • 扩展名字典：覆盖各种语言后缀

附录：推荐学习路径

1. Web安全基础：OWASP Top 10
2. 工具掌握：Burpsuite → Nmap → Metasploit
3. 代码审计：PHP → Java → Python
4. 内网渗透：横向移动 → 权限维持
5. 防御建设：等级保护 → 安全运维

注：所有技术仅限合法授权测试使用，未经授权测试属于违法行为。