Web及移动安全综合教学文档

一、Web安全核心知识

1.1 PHP反序列化漏洞

• 原理：PHP反序列化操作将存储的数据重新转换为PHP值，攻击者可构造恶意序列化数据执行任意代码
• 利用场景：
  • 用户可控的序列化数据输入
  • 存在魔法方法(__wakeup, __destruct等)的类
• 防御措施：
  • 避免反序列化用户输入
  • 使用签名验证序列化数据完整性
  • 限制反序列化类白名单

1.2 XXE (XML外部实体注入)攻击

• 攻击方式：
  • 通过XML文档类型定义(DTD)引用外部实体
  • 利用方式：文件读取、SSRF、拒绝服务等
• 漏洞代码示例：

  <!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>
  <foo>&xxe;</foo>
  

• 防护方案：
  • 禁用外部实体解析
  • 使用安全的XML解析器配置
  • 输入验证和过滤

1.3 业务逻辑漏洞

• 常见类型：
  • 验证码绕过
  • 订单金额篡改
  • 权限绕过
  • 并发竞争条件
• 检测方法：
  • 业务流程逆向分析
  • 参数篡改测试
  • 时序攻击测试

二、渗透测试技术

2.1 WAF绕过技术

• 双WAF(Getshell)绕过案例：
  • 混淆技术：注释分割、等价替换、编码转换
  • 特性利用：协议层绕过、边界条件利用
  • 时间延迟攻击
• 具体方法：
  • 大小写混合
  • 内联注释/*!*/
  • 空白符变异
  • 参数污染

2.2 Linux提权技术

• 提权路径：
  • 内核漏洞利用(dirtycow等)
  • SUID/SGID滥用
  • 环境变量劫持
  • 计划任务漏洞
  • 服务配置错误
• 信息收集命令：

  find / -perm -4000 2>/dev/null
  uname -a
  cat /etc/crontab
  

2.3 内网渗透技术

• SSRF漏洞利用：
  • 端口扫描
  • 云服务元数据API访问
  • 内网应用攻击
  • 协议处理漏洞(如gopher协议)
• 防御措施：
  • 输入目标白名单
  • 禁用危险协议
  • 网络层隔离

三、安全工具使用

3.1 pMap被动扫描工具

• 功能特点：
  • 被动网络流量分析
  • 自动识别设备指纹
  • 服务发现与识别
• 应用场景：
  • 内网资产发现
  • 未知设备识别
  • 隐蔽信息收集

3.2 安卓黑客工具集

• 常用工具分类：
  • 网络分析：Packet Capture, Wireshark
  • 逆向工程：JADX, Frida
  • 漏洞利用：Metasploit(Android版)
  • 无线安全：WifiAnalyzer, Kismet

四、代码审计方法

4.1 CMS审计流程

1. 入口点分析：识别所有用户输入点
2. 数据流追踪：跟踪输入数据的处理流程
3. 危险函数定位：查找敏感操作函数
4. 上下文分析：验证过滤和校验完整性

4.2 XSS漏洞审计

• 关键点检查：
  • 输出编码缺失
  • innerHTML/dynamic HTML使用
  • location.hash处理
  • postMessage实现
• 修复方案：
  • 实施内容安全策略(CSP)
  • 输出编码(HTML, JS, URL等上下文)
  • 输入验证和过滤

五、防御体系建设

5.1 企业安全架构

• 关键组件：
  • 边界防护：WAF、防火墙、IDS/IPS
  • 终端安全：EDR、DLP
  • 日志审计：SIEM系统
  • 身份认证：MFA、IAM

5.2 ISO27001实施要点

• 核心控制措施：
  • A.12.6 技术漏洞管理
  • A.13.2 网络安全
  • A.14.2 系统开发安全
  • A.16.1 信息安全事件管理
• 认证流程：
  • 差距分析
  • 文档体系建立
  • 内部审核
  • 认证审核

六、新兴威胁防护

6.1 勒索病毒防护

• 防御策略：
  • 数据备份3-2-1原则
  • 邮件附件沙箱检测
  • 最小权限原则
  • 漏洞及时修补
• 应急响应：
  • 网络隔离
  • 样本采集分析
  • 解密工具尝试
  • 系统重建

6.2 AI安全风险

• 攻击面：
  • 训练数据投毒
  • 模型逆向工程
  • 对抗样本攻击
  • API滥用
• 防护措施：
  • 输入验证和过滤
  • 模型监控
  • 访问控制
  • 日志审计

本教学文档涵盖了Web及移动安全的核心知识点，从基础漏洞原理到高级渗透技术，再到企业级防御体系建设，形成了完整的安全知识体系。实际应用中需结合具体场景灵活运用，并遵守法律法规和道德规范。