红蓝对抗之蓝队面试题part 5

OceanSec
273 阅读6分钟

本文已参与「新人创作礼」活动，一起开启掘金创作之路

查看windows进程的方法

  1. 开始 -- 运行 -- 输入msinfo32 命令，依次点击 "软件环境 -- 正在运行任务" 就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期以及启动时间等
  2. 打开D盾_web查杀工具，进程查看，关注没有签名信息的进程
  3. 通过微软官方提供的 Process Explorer 等工具进行排查

查看可疑的进程及其子进程。可以通过观察以下内容：

  • 没有签名验证信息的进程
  • 没有描述信息的进程
  • 进程的属主
  • 进程的路径是否合法
  • CPU 或内存资源占用长时间过高的进程

你能说明文件上传的原理吗？

  • PHP：如果系统中存在可以上传文件的功能点，就可以上传后门脚本文件，通过一些方法绕过上传限制，如果能访问后门的的话，系统存在文件上传漏洞，可以借助后门执行命令

  • Java：上传 jsp 代码

  • Asp/Aspx

  • Python：因为脚本需要译后生成 pyc 字节码文件，所以不存在文件上传

文件上传攻击特征？

能够上传文件的接口，应用程序对用户上传文件类型不校验或者校验不严格可绕过，导致任意类型文件上传，攻击者可上传 webshell 拿到服务器权限，在这个过程中攻击者必然会上传恶意脚本文件

文件上传加固方法？

  1. 后端限制文件上传白名单，头像不允许上传 svg

  2. 上传后文件随机重命名，不要输出保存文件位置

  3. 图片文件可以二次渲染，使用对象存储 oss

  4. 文件目录取消执行权限，PHP 设置 basedir

用过Nmap扫描工具吗

nmap 扫描基础命令

  • -sT TCP (全)连接扫描，准确但留下大量日志记录
  • -sS TCP SYN (半)扫描，速度较快，不会留下日志
  • -sN null 扫描，标志位全为 0，不适用 Windows
  • -sF FIN 扫描，标志位 FIN=1，不适用 Windows
  • -O 查看目标主机系统版本
  • -sV 探测服务版本
  • -A 全面扫描

你做过渗透测试的工作吗？

首先信息收集，收集子域名、Whois、C段、旁站、Web 系统指纹识别，然后测试 web 系统的漏洞

暴力破解加固方法？

  1. 添加强度较高的验证码，不易被破解

  2. 修改密码设置规则，提高用户的密码强度

  3. 同一账号登陆次数锁定，生成锁定日志

  4. 定期排查弱口令

Sql注入加固措施？

对于输入的字符进行过滤

使用 PDO 预编译语句处理

一台主机在内网进行横向攻击，你应该怎么做？

确定攻击来源，是不是员工内部误操作，比如询问运维是否有自动化轮训脚本

如果没有，确定是攻击，结合时间点，根据设备信息，看一下安全事件，进程，流量

找到问题主机，开始应急响应流程：准备、检测、遏制、根除、恢复、跟踪，具体的操作要交给现场运维去处理

你还用过其他态势感知的产品吗？

ips，ids，hids，堡垒机等

命令行工具用的什么比较多？

xshell、xftp、finalshell

你用过微步吗？

微步在线是一个威胁情报中心，可以通过 ip 或域名查询其是不是恶意的，对于判断恶意链接具有一定的参考性，他还有一个插件可以在页面选中就能进行查询，还是一个比较好用的工具

什么是跨域，JSONP与CORS

同源策略

同源策略：域名、协议、端口均相同

浏览器执行 JavaScript 脚本时，会检查这个脚本属于那个页面，如果不是同源页面，就不会被执行

什么是跨域？

跨域：指的是浏览器不能执行其它网站的脚本，它是由浏览器的同源策略造成的，是浏览器的安全限制！

JSONP跨域

利用 js script 标签中 src 属性可以跨域的特性，使用 callback 参数的函数名来接收数据

只支持 GET 请求，不支持 POST 等其它请求，也不支持复杂请求，只支持简单请求

CORS跨域

支持所有的请求，包含 GET、POST、OPTOIN、PUT、DELETE 等既支持复杂请求，也支持简单请求

JSONP 与 CORS 的使用目的相同，并且都需要服务端和客户端同时支持，但 CORS 的功能更加强大

JSONP和CORS的优缺点

  1. JSONP 的主要优势在于对浏览器的支持较好；虽然目前主流浏览器都支持 CORS，但 IE9 及以下不支持 CORS

  2. JSONP 只能用于获取资源（即只读，类似于 GET 请求）；CORS 支持所有类型的 HTTP 请求，功能完善

  3. JSONP 只会发一次请求；而对于复杂请求，CORS 会发两次请求

应用场景

如果需要兼容IE低版本浏览器，无疑，JSONP

如果需要对服务端资源进行操作，无疑，CORS

其他情况的话，根据自己的对需求的分析来决定和使用

http状态与无连接

无连接

  1. 每一个访问都是无连接，服务器挨个处理访问队列里的访问，处理完一个就关闭连接，这事儿就完了，然后处理下一个新的
  2. 无连接的含义是限制每次连接只处理一个请求服务器处理完客户的请求，并收到客户的应答后，即断开连接

无状态

  1. 协议对于事务处理没有记忆能力
  2. 对同一个 url 请求没有上下文关系
  3. 每次的请求都是独立的，它的执行情况和结果与前面的请求和之后的请求是无直接关系的，它不会受前面的请求应答情况直接影响，也不会直接影响后面的请求应答情况
  4. 服务器中没有保存客户端的状态，客户端必须每次带上自己的状态去请求服务器

什么是路由表

在计算机网络中，路由表（routing table）或称路由择域信息库（RIB, Routing Information Base），是一个存储在路由器或者联网计算机中的电子表格（文件）或类数据库路由表存储着指向特定网络地址的路径（在有些情况下，还记录有路径的路由度量值）路由表中含有网络周边的拓扑信息路由表建立的主要目标是为了实现路由协议和静态路由选择

每个路由器中都有一个路由表和 FIB(Forward Information Base) 表：路由表用来决策路由，FIB 用来转发分组路由表中有三类路由：

  1. 链路层协议发现的路由（即是直连路由）
  2. 静态路由
  3. 动态路由协议 RIP、OSRF 发现的路由
avatar
文章
阅读
粉丝