网络安全技术周刊（第261期）教学文档

一、安全资讯

1. RSAC2019创新沙盒大赛深度解读

• 创新沙盒是RSA会议上的重要活动，展示最具创新性的安全初创公司
• 2019年参赛公司重点关注领域：
  • 云安全
  • 开发安全
  • 威胁检测
  • 身份认证
• 获胜公司特点：解决新兴威胁、技术创新、市场潜力大

2. 数字化时代与美国情报部门的开源信息利用

• 情报机构越来越依赖开源情报(OSINT)
• 主要信息来源：
  • 社交媒体数据
  • 公开数据库
  • 网络论坛和博客
  • 商业数据源
• 技术挑战：
  • 大数据处理
  • 信息验证
  • 隐私与法律问题

二、Web安全技术

1. 渗透实战：漏洞组合利用

• 漏洞组合是高级渗透测试的关键
• 典型组合：
  • 信息泄露 + 认证绕过
  • XSS + CSRF
  • 文件上传 + 目录遍历
• 案例中使用的技术：
  • 敏感文件扫描
  • 弱密码爆破
  • 权限提升

2. 安全测试Checklist

• 完整测试清单可确保测试覆盖率
• 包含项目：
  • 信息收集
  • 认证测试
  • 会话管理
  • 输入验证
  • 业务逻辑
  • 客户端测试
  • API安全

3. %00截断配合反序列化利用

• 空字节截断(%00)可绕过文件扩展名检查
• 与反序列化漏洞结合可实现RCE
• 防御措施：
  • 严格校验文件类型
  • 禁用危险反序列化
  • 更新框架补丁

4. Windows文件命名规则的特殊利用

• Windows保留名称可导致安全问题：
  • CON, PRN, AUX等设备名
  • 特殊字符如: * ? < >
• 利用场景：
  • 绕过文件上传限制
  • 导致服务崩溃
  • 创建隐藏文件

5. Jenkins远程代码执行漏洞(CVE-2019-1003000)

• 影响范围：Jenkins核心和插件
• 漏洞原理：Groovy沙箱绕过
• 利用条件：具有"扩展读取"权限
• 修复方案：升级到最新版本

6. WordPress远程代码执行漏洞(CVE-2019-8942/8943)

• 影响对象：WordPress 5.0及之前版本
• 漏洞类型：图片元数据注入
• 利用方式：通过特制图片文件
• 根本原因：未充分过滤EXIF数据

7. 缓存欺骗获取敏感信息

• Web缓存投毒攻击技术
• 利用方式：
  • 诱导用户访问特定URL
  • 利用缓存机制存储敏感响应
  • 攻击者获取缓存内容
• 防御：禁用敏感页面的缓存

8. DuckDuckGo上的Blind XXE防护绕过

• XXE漏洞在搜索引擎中的特殊利用
• 绕过技术：
  • 使用非常规实体
  • 多层实体嵌套
  • 外部DTD引用
• 影响：可能导致服务器端请求伪造(SSRF)

9. Facebook支付漏洞($10,000赏金)

• 漏洞类型：业务逻辑缺陷
• 利用方式：
  • 修改支付参数
  • 绕过金额验证
  • 重复支付利用
• 关键点：前端验证不可信

10. 从文件读取到后端敏感数据挖掘

• 文件读取漏洞的深入利用
• 技术路线：
  • 读取配置文件
  • 获取数据库凭证
  • 连接内部数据库
  • 导出敏感数据
• 防御：最小权限原则

11. 从SSRF到AWS S3 Bucket访问

• SSRF漏洞的升级利用
• 攻击步骤：
  • 发现SSRF漏洞
  • 探测内部服务
  • 访问元数据服务
  • 获取临时凭证
  • 访问云存储
• AWS防护：限制实例元数据访问

三、移动安全

1. APP安全测试指南

• 移动应用测试关键点：
  • 数据存储安全
  • 通信安全
  • 认证授权
  • 反逆向保护
  • 业务逻辑
• 测试工具：
  • MobSF
  • Frida
  • Objection

2. 金融行业移动App安全标准化

• 金融App特殊要求：
  • 强认证机制
  • 交易安全
  • 防篡改
  • 隐私保护
  • 合规要求
• 标准化框架：
  • 安全开发
  • 安全测试
  • 安全运营

四、漏洞分析与利用

1. 使用x64dbg分析微信获取联系人

• 逆向工程技术应用
• 分析步骤：
  • 内存dump
  • 字符串分析
  • 数据结构定位
  • 编写提取脚本
• 法律风险：可能违反用户协议

2. PDF签名攻击

• 数字签名伪造技术
• 攻击类型：
  • 签名包装
  • 哈希碰撞
  • 时间戳滥用
• 验证要点：完整签名链检查

3. Edge自定义URI滥用(CVE-2018-8495)

• URI协议处理漏洞
• 利用方式：
  • 注册恶意协议处理器
  • 诱导用户点击链接
  • 执行任意命令
• 修复：严格协议验证

五、恶意软件分析

1. 对抗APT10的编译器级混淆

• 高级混淆技术分析：
  • 控制流平坦化
  • 虚假分支
  • 不透明谓词
• 反混淆方法：
  • 符号执行
  • 动态分析
  • 模式识别

2. Elasticsearch集群攻击趋势

• 暴露数据库攻击增长
• 主要攻击方式：
  • 未授权访问
  • RCE漏洞
  • 数据加密勒索
• 防护建议：
  • 网络隔离
  • 访问控制
  • 定期审计

六、工业安全

1. 2018工控安全态势白皮书

• 工控系统威胁趋势：
  • 针对性攻击增加
  • 勒索软件转向工控
  • 供应链风险突出
• 防护重点：
  • 网络分段
  • 协议过滤
  • 异常检测

2. 基于ONVIF协议的DDoS反射攻击

• 物联网协议滥用
• ONVIF协议特点：
  • UDP协议
  • 无认证
  • 大响应包
• 缓解措施：
  • 禁用公开发现服务
  • 启用协议认证

七、数据安全

1. Kerberos协议扫描与爆破

• Kerberos安全分析
• 攻击技术：
  • 用户枚举
  • AS-REP爆破
  • 黄金票据
  • 白银票据
• 防御：强密码策略、票据生命周期管理

2. 同态加密数据分析方案

• 隐私保护计算技术
• Duality方案特点：
  • 支持加密数据运算
  • 保持数据机密性
  • 可验证计算
• 应用场景：医疗、金融数据分析

八、防御技术

1. HTTP同源策略与CORS

• 跨域安全机制详解
• 同源策略限制：
  • DOM访问
  • 网络请求
  • 存储访问
• CORS实现：
  • 简单请求
  • 预检请求
  • 凭证请求

2. 报警聚类算法实践

• 安全运营自动化
• 根因分析技术：
  • 时间相关性
  • 拓扑关系
  • 日志模式
• 实施要点：减少误报、提高可操作性

九、运维安全

1. Supervisor管理frp服务

• 服务持久化方案
• 配置要点：
  • 启动脚本
  • 日志管理
  • 自动重启
  • 权限控制
• 安全考虑：最小权限原则

2. WireWheel数据隐私平台

• SaaS数据保护方案
• 核心功能：
  • 数据发现
  • 分类分级
  • 访问控制
  • 合规报告
• 适用场景：多团队协作环境

十、CTF技术

1. Python格式化字符串漏洞

• 格式化字符串攻击
• CTF案例解析：
  • 内存泄露
  • 任意地址写
  • ROP链构造
• 防御：避免用户控制格式字符串

2. npm生态系统安全研究

• 软件供应链风险
• 主要问题：
  • 恶意包
  • 依赖混淆
  • 权限过度
  • 过期依赖
• 解决方案：依赖审计、SBOM

总结

本期周刊涵盖了网络安全多个领域的前沿技术和实践案例，从Web应用到移动安全，从漏洞利用到防御技术，从恶意软件分析到数据保护，为安全从业人员提供了全面的技术参考。重点需要关注的是各种漏洞的组合利用技术、云环境下的新型攻击手法、以及日益重要的数据隐私保护方案。