Web及移动安全实战教学文档

一、安全动态分析

1.1 近期重大安全事件

• GitHub DDoS攻击：史上最大规模1.35 Tbps流量攻击，攻击者利用memcached服务器放大攻击流量
• 勒索病毒分析：GlobeImposter勒索病毒技术分析，重点关注其加密方式和传播途径
• APT攻击案例：
  • 朝鲜黑客组织的攻击能力发展历程
  • 德国外交内政部门遭APT28入侵事件分析
• 4G网络漏洞：新型漏洞可导致用户信息泄露、位置跟踪及虚假警报发送

1.2 漏洞通告

• Adobe Acrobat Reader：远程代码注入漏洞(CVE-2018-4878)，攻击者可构造恶意PDF文件执行任意代码
• 印度电信运营商：内网被入侵导致4.7万员工信息泄露，暴露内部系统安全缺陷

1.3 政策法规

• 《网络安全法》在个人信息保护方面的实施要点：
  • 个人信息收集使用规范
  • 数据泄露通知义务
  • 跨境数据传输限制

二、安全技术实战

2.1 Web安全技术

2.1.1 SQL注入进阶

• Bypass技巧：
  • 注释符使用：/**/、-- -、#
  • 等价函数替换：mid()→substring()、concat()→group_concat()
  • 编码绕过：十六进制、URL编码、Unicode编码
  • 空白符替代：%09、%0A、%0D

2.1.2 验证码破解

• Python+Tesseract方案：

  import pytesseract
  from PIL import Image
  
  def crack_captcha(image_path):
      image = Image.open(image_path)
      image = image.convert('L')  # 灰度处理
      threshold = 140
      table = []
      for i in range(256):
          if i < threshold:
              table.append(0)
          else:
              table.append(1)
      image = image.point(table, '1')
      result = pytesseract.image_to_string(image)
      return result
  

2.1.3 图片隐写术

• 常见隐写方式：
  • LSB隐写（最低有效位）
  • EXIF信息隐藏
  • 文件尾追加数据
  • 加密压缩包伪装
• 检测工具：
  • Stegsolve
  • Binwalk
  • Foremost

2.2 移动安全技术

2.2.1 Android安全分析

• 物理按键监听：

  @Override
  public boolean onKeyDown(int keyCode, KeyEvent event) {
      // 记录按键日志
      Log.d("KeyLogger", "KeyCode: " + keyCode);
      return super.onKeyDown(keyCode, event);
  }
  

• 恶意代码特征：
  • 敏感权限请求（READ_SMS、ACCESS_FINE_LOCATION）
  • 动态加载dex
  • 反射调用敏感API
  • 无界面服务

2.2.2 路由器攻击

• PPPoE嗅探：
  • 使用tcpdump捕获PPPoE认证流量
  • 分析PAP/CHAP认证协议弱点
• 后门植入：
  • 利用固件升级漏洞
  • 修改iptables规则建立隐蔽通道

三、安全工具详解

3.1 渗透测试工具集

3.2 信息收集工具

• Gryffin：大规模Web安全扫描框架
  • 分布式爬虫架构
  • 支持XSS/SQLi自动检测
• Harpoon：威胁情报收集工具
  • 集成多个威胁情报源
  • 自动化IOC提取
• ESD：子域名枚举工具
  • 基于字典爆破
  • 支持API查询（Virustotal等）

3.3 密码破解工具

• Cupp：智能字典生成

  python3 cupp.py -i  # 交互式生成
  

• Cewl：网站关键词提取生成字典

  cewl -d 3 -m 5 -w dict.txt https://target.com
  

四、区块链安全专题

4.1 智能合约审计要点

• 常见漏洞类型：
  • 重入攻击（Reentrancy）
  • 整数溢出/下溢
  • 未检查call返回值
  • 时间戳依赖
• 审计工具：
  • Mythril
  • Oyente
  • Securify

4.2 前端攻击手法

• Web3.js注入：
  • 篡改Metamask请求
  • 钓鱼网站伪装DApp
• 钱包安全：
  • 私钥存储风险
  • 交易签名劫持

五、防御体系建设

5.1 入侵检测系统(IDS)

• 部署建议：
  • 网络层IDS（Suricata/Snort）
  • 主机层HIDS（OSSEC/Wazuh）
  • 日志集中分析（ELK Stack）
• 规则优化：
  • 减少误报率
  • 威胁情报集成

5.2 企业安全实践

• 漏洞管理流程：
  1. 资产发现
  2. 漏洞扫描
  3. 风险评估
  4. 修复验证
• 应急响应：
  • 事件分类分级
  • 证据保全方法
  • 溯源分析技术

六、学习资源推荐

6.1 技术文档

• 《Web应用安全测试指南》- OWASP
• 《Metasploit渗透测试指南》
• 《Android安全架构深析》

6.2 实验环境

• Webug靶场：基础Web漏洞练习
• DVHMA：自带漏洞的Android应用
• Vulnhub：综合渗透测试虚拟机

6.3 持续学习建议

1. 关注CVE/NVD漏洞数据库
2. 参与CTF比赛实践
3. 搭建个人实验环境
4. 跟踪安全厂商技术博客

本教学文档基于红日安全团队和FreeBuf社区的安全研究成果整理而成，涵盖Web安全、移动安全、工具使用、区块链安全等多个领域的关键知识点。建议读者结合实际环境进行实践，并持续关注安全社区的最新动态。