堡壘機部署在交換機上，具體部署方式如下：

• 單機部署：堡壘機主要都是旁路部署，旁掛在交換機旁，只要能訪問所有設備即可。

• 異地同步部署：通過在多個數據中心部署多臺堡壘機。堡壘機之間進行配置信息自動同步。

• 集群部署：當要求管理的設備數量很多時，可以將n多臺堡壘機進行集群部署。

滲透測試中端口掃描的收集主機那些服務很重要，常見的端口有：

文件共享服務端口

　　21/22/69：FTP/TFTP文件傳輸協議，利用方向：允許匿名上傳、下載、爆破和嗅探

　　2049：NFS服務，利用方向：配置不當

　　139：Samba服務，利用方向：爆破、未授權訪問、遠程代碼執行

　　389：LDAP目錄訪問協議，利用方向：注入、允許匿名訪問、弱口令

遠程連接服務端口

　　22：SSH遠程連接，利用方向：爆破、SSH隧道及內網代理轉發、文件傳輸

　　23：Telnet，利用方向：爆破、嗅探、弱口令

　　3389：RDP遠程桌面連接，利用方向：Shift后門(Windows Server 2003以下版本)、爆破

　　5900：VNC，利用方向：弱口令爆破

　　5632：PyAnywhere服務，利用方向：抓密碼、代碼執行

Web應用服務端口

　　80/443/8080：常見的Web服務端口，利用方向：Web攻擊、爆破、對應服務器版本漏洞

　　7001/70022：WebLogic控制臺，利用方向：Java反序列化、弱口令

　　8080/8089：Jboos/Resin/Jetty/Jenkins。利用方向：反序列化、控制臺弱口令

　　9090：WebSphere控制臺。利用方向：Java反序列化、弱口令

　　4848：GlassFish控制臺。利用方向：弱口令

數據庫服務端口

　　1433：MSSQL，利用方向：注入、提權、SAP弱口令、爆破

　　1521：Oracle，利用方向：TNS爆破、注入、反彈Shell

　　3306：MySQL，利用方向：注入、提權、爆破

　　5432：PostgreSQL，利用方向：爆破、注入、弱口令

　　27017/27018：MongoDB，利用方向：爆破、未授權訪問

郵件服務端口

　　25：SMTP郵件服務，利用方向：郵件偽造

　　110：POP3，利用方向：爆破、嗅探

　　143：IMAP，利用方向：爆破

為了保護組織的數據庫和數據免受安全漏洞的攻擊，可以使用以下方法：

清點數據庫

除非您知道數據所在的位置，否則保護數據無從談起。這意味著您需要查找和清點組織中的每個數據庫，包括可能在您的安全范圍之外建立的非授權數據庫。執行這種清點工作還需要部署工具，以查找數據庫的異常活動，并結合防止安全漏洞被利用的方法。

優先為高危漏洞和關鍵數據打補丁

理想情況下，您的IT和安全人員有時間給第一時間發現的每個安全漏洞打補丁。然而在實際情形下，由于人手和時間有限，這可能行不通。相反，關鍵在于不僅關注最嚴重的漏洞，還關注最關鍵或最敏感的數據，從而確定打補丁的優先級。為此，您需要使用工具來識別哪些數據庫含有最機密的客戶或用戶信息，比如信用卡號或護照資料。

提防數字化轉型的風險

許多組織在推進數字化轉型項目，以便將數據遷移到云端。然而，暫且不說保護傳輸到云端的數據這個額外挑戰，管理本地安全本身就夠困難的了。遷移數據時，您要有清晰一致的策略來保護數據，無論數據在本地、云端還是在這兩個環境都有。

用數據庫代理防止攻擊

數據庫代理或網關代理介于應用程序和數據庫之間，接收來自應用程序的鏈接，然后代表這些應用程序連接到數據庫。

建立審計和日志

審計和日志記錄相互關聯，但是審計日志比一般日志復雜得多。審計日志給你所有的信息，你需要調查可疑活動，并進行根本原因分析，如果你確實經歷了違反。

加密應用程序中的敏感數據

我們保存了最不常用的最后實現的實踐。許多組織忽視加密文件，但它可以是相當有價值的。畢竟如果在訪問之后試圖破解密碼，那么就減少了黑客的動機。

在數據到達數據庫之前，第一階段的加密發生在應用程序中。如果數據在應用程序中被加密，那么破壞數據庫的黑客就看不到數據是什么(這只適用于那些不是密鑰的數據)。

vlan滲透指的是不同的vlan的網段實現通信，簡單來說就是打通兩個虛擬局域網之間的通信，vlan中文名叫虛擬局域網，是一組邏輯上的設備和用戶，這些設備和用戶并不受物理位置的限制，可以根據功能、部門及應用等因素將它們組織起來，相互之間的通信就好像它們在同一個網段中一樣。

常用方法如下：

1. 是屬于vlan1的設備和連接另一臺交換機的端口access vlan1，屬于vlan2 的設備和連接另一臺交換機的端口access vlan2 (access vlan2出來的數據會往屬于同個vlan的端口發送，發過另外一個交換機后，原理亦然) ;

2. 是通過修改兩臺交換機的native vlan號，實現vlan滲透(原理是vlan1到trunk往外傳時，因為這個交換機的native vlan是vlan1。所以出去的時候不打標簽;到了另一端,那個交換機發現傳過來的數據不打標簽,因為這個交換機的native vlan是vlan2，所以把這個數據往vlan2傳，從vlan2回來時亦然)

http 最大的作用就是確定了請求和響應數據的格式。常見的請求方式：

• get 方法

發送一個請求來取得服務器上的某一資源。

• post 方法

向 url 指定的資源提交數據或附加新的數據。

• put 方法

put 方法跟 post 方法很像，也是向服務器提交數據，但是 put 方法指向了資源在服務器上的位置，而 post 方法沒有。

• head 方法

只請求頁面的首部。

• delete 方法

刪除服務器上的某資源。

• options 方法

options 方法用于獲取當前 url 所支持的方法。如果請求成功，會有一個 allow 的頭包含類似 get、post 這樣的信息。

• trace 方法

trace 方法被用于激發一個遠程的，應用層的請求消息回路。

• connect 方法

把請求連接轉換到透明的 tcp/ip 通道。

mimikatz免殺方法有：

• 源碼免殺：在有源碼的情況下，可以定位特征碼、加花指令、多層跳轉、加無效指令、替換api、重寫api、API偽調用等。

• 無源碼免殺：在源碼不好修改需要對exe進行免殺時，可以加資源、替換資源、加殼、加簽名、PE優化、增加節數據等等。

• powershell免殺：因為mimikatz有powershell版或者使用powershell可以加載，所以對powershell的腳本免殺也是一種方式。

• 加載器分離免殺：加載器就是利用了ShellCode和PE分離的方式來達到免殺的效果，很多只能加載基于RAW格式或固定格式的shellcode，對exe程序就無能無力了。

• 白名單免殺：白名單主要是使用了rundll32、msbuild、mshta、cscript等多個白名單程序來加載嵌入了mimikatz的jscript腳本實現免殺。

linux防火墻在配置時如果沒有加“-p”則這次配置的所有設置將會在下次重啟或者關機后失效，如果要防火墻的配置不失效可以在后面加“-p”，還可以執行“iptables-save”來講防火墻配置保存，“iptables-save”這個是一個整體，中間不需要加空格是一個命令不是參數。若你用的是 RedHat 系列，應該使用“ service iptables save ”保存。

inux防火墻管理工具有以下三種：

• IPtables

  iptables是與Linux內核集成的IP信息包過濾系統。如果Linux系統連接到因特網或LAN、服務器或連接LAN和因特網的代理服務器，則該系統有利于在Linux系統上更好地控制IP信息包過濾和防火墻配置。

• Firewalld

  Firewalld提供動態管理的防火墻，支持定義網絡連接或接口信任級別的網絡/防火墻區域。它支持IPv4、IPv6防火墻設置、以太網橋和IP集。運行時和永久配置選項是分開的。它還為服務或應用程序提供了直接添加防火墻規則的接口。

• TCP_Wrappers

  TCP_Wrappers是一個工作在第四層（傳輸層）的的安全工具，對有狀態連接的特定服務進行安全檢測并實現訪問控制，凡是包含有libwrap.so庫文件的的程序就可以受TCP_Wrappers的安全控制。它的主要功能就是控制誰可以訪問，常見的程序有rpcbind、vsftpd、sshd，telnet。TCP_Wrappers有一個TCP的守護進程叫作tcpd。以ssh為例，每當有ssh的連接請求時，tcpd即會截獲請求，先讀取系統管理員所設置的訪問控制文件，符合要求，則會把這次連接原封不動的轉給真正的ssh進程，由ssh完成后續工作；如果這次連接發起的ip不符合訪問控制文件中的設置，則會中斷連接請求，拒絕提供ssh服務。

檢測網絡攻擊行為方法如下：

• 使用任務管理器和性能監測器發現服務器異常；

• 使用TCP/IP工具和網絡監視器檢查網絡通信；

• 使用事件察看器檢查異常的帳號活動利用Web服務器或防火墻日志找出攻擊來源；

• 利用第三方工具；

• 判斷網絡數據包的源地址和目標地址是否相同；

• 檢測單位時間內收到的SYN連接是否超過系統設定的值。

1. 保持Windows升級

第一時間及時地更新所有的升級，并為系統打好所有補丁。考慮將所有的更新下載到你網絡上的一個專用的服務器上，并在該機器上以Web的形式將文件發布出來。通過這些工作，你可以防止你的Web服務器接受直接的Internet訪問。

2. 使用IIS防范工具

這個工具有許多實用的優點，然而，請慎重的使用這個工具。如果你的Web服務器和其他服務器相互作用，請首先測試一下防范工具，以確定它已經被正確的配置，保證其不會影響Web服務器與其他服務器之間的通訊。

3. 移除缺省的Web站點

很多攻擊者瞄準inetpub這個文件夾，并在里面放置一些偷襲工具，從而造成服務器的癱瘓。防止這種攻擊最簡單的方法就是在IIS里將缺省的站點禁用。然后，因為網蟲們都是通過IP地址訪問你的網站的 (他們一天可能要訪問成千上萬個IP地址)，他們的請求可能遇到麻煩。將你真實的Web站點指向一個背部分區的文件夾，且必須包含安全的NTFS權限 (將在后面NTFS的部分詳細闡述)。

4. 如果你并不需要FTP和SMTP服務，請卸載它們

進入計算機的最簡單途徑就是通過FTP訪問。FTP本身就是被設計滿足簡單讀/寫訪問的，如果你執行身份認證，你會發現你的用戶名和密碼都是通過明文的形式在網絡上傳播的。SMTP是另一種允許到文件夾的寫權限的服務。通過禁用這兩項服務，你能避免更多的黑客攻擊。

5. 有規則地檢查你的管理員組和服務

有一天我進入我們的教室，發現在管理員組里多了一個用戶。這意味著這時某個人已經成功地進入了你的系統，他或她可能冷不丁地將炸彈扔到你的系統里，這將會突然摧毀你的整個系統，或者占用大量的帶寬以便黑客使用。黑客同樣趨向于留下一個幫助服務，一旦這發生了，采取任何措施可能都太晚了，你只能重新格式化你的磁盤，從備份服務器恢復你每天備份的文件。因此，檢查IIS服務器上的服務列表并保持盡量少的服務必須成為你每天的任務。

你應該記住哪個服務應該存在，哪個服務不應該存在。Windows 2000 Resource Kit帶給我們一個有用的程序，叫作tlist.exe，它能列出每種情況運行在svchost 之下的服務。運行這個程序可以尋找到一些你想要知道的隱藏服務。給你一個提示：任何含有daemon幾個字的服務可能不是Windows本身包含的服務，都不應該存在于IIS服務器上。

6. 嚴格控制服務器的寫訪問權限

這聽起來很容易，然而，在大學校園里，一個Web服務器實際上是有很多”作者”的。教職人員都希望讓他們的課堂信息能被遠程學生訪問。職員們則希望與其他的職員共享他們的工作信息。服務器上的文件夾可能出現極其危險的訪問權限。將這些信息共享或是傳播出去的一個途徑是安裝第2個服務器以提供專門的共享和存儲目的，然后配置你的Web服務器來指向共享服務器。這個步驟能讓網絡管理員將Web服務器本身的寫權限僅僅限制給管理員組。

7. 設置復雜的密碼

我最近進入到教室，從事件察看器里發現了很多可能的黑客。他或她進入了實驗室的域結構足夠深，以至于能夠對任何用戶運行密碼破解工具。如果有用戶使用弱密碼 (例如”password”或是 changeme”或者任何字典單詞)，那么黑客能快速并簡單的入侵這些用戶的賬號。

8. 減少/排除Web服務器上的共享

如果網絡管理員是唯一擁有Web服務器寫權限的人，就沒有理由讓任何共享存在。共享是對黑客最大的誘惑。此外，通過運行一個簡單的循環批處理文件，黑客能夠察看一個IP地址列表，利用命令尋找Everyone/完全控制權限的共享。

9. 禁用TCP/IP協議中的NetBIOS

這是殘忍的。很多用戶希望通過UNC路徑名訪問Web服務器。隨著NETBIOS被禁用，他們便不能這么做了。另一方面，隨著NETBIOS被禁用，黑客就不能看到你局域網上的資源了。這是一把雙刃劍，如果網絡管理員部署了這個工具，下一步便是如何教育Web用戶如何在NETBIOS失效的情況下發布信息。

10. 使用TCP端口阻塞

這是另一個殘忍的工具。如果你熟悉每個通過合法原因訪問你服務器的TCP端口，那么你可以進入你網絡接口卡的屬性選項卡，選擇綁定的TCP/IP協議，阻塞所有你不需要的端口。你必須小心的使用這一工具，因為你并不希望將自己鎖在Web服務器之外，特別是在當你需要遠程登陸服務器的情況下。要得到TCP端口的詳細細節，點擊這里。

11. 仔細檢查.bat和.exe 文件: 每周搜索一次*.bat

和.exe文件，檢查服務器上是否存在黑客最喜歡，而對你來說將是一場惡夢的可執行文件。在這些破壞性的文件中，也許有一些是.reg文件。如果你右擊并選擇編輯，你可以發現黑客已經制造并能讓他們能進入你系統的注冊表文件。你可以刪除這些沒任何意義但卻會給入侵者帶來便利的主鍵。

12. 管理IIS目錄安全

IIS目錄安全允許你拒絕特定的IP地址、子網甚至是域名。作為選擇，我選擇了一個被稱作WhosOn的軟件，它讓我能夠了解哪些IP地址正在試圖訪問服務器上的特定文件。WhosOn列出了一系列的異常。如果你發現一個家伙正在試圖訪問你的cmd.exe，你可以選擇拒絕這個用戶訪問Web服務器。當然，在一個繁忙的Web站點，這可能需要一個全職的員工！然而，在內部網，這真的是一個非常有用的工具。你可以對所有局域網內部用戶提供資源，也可以對特定的用戶提供。

13. 使用NTFS安全

缺省地，你的NTFS驅動器使用的是EVERYONE/完全控制權限，除非你手工關掉它們。關鍵是不要把自己鎖定在外，不同的人需要不同的權限，管理員需要完全控制，后臺管理賬戶也需要完全控制，系統和服務各自需要一種級別的訪問權限，取決于不同的文件。最重要的文件夾是System32，這個文件夾的訪問權限越小越好。在Web服務器上使用NTFS權限能幫助你保護重要的文件和應用程序。

14. 管理用戶賬戶

如果你已經安裝IIS，你可能產生了一個TSInternetUser賬戶。除非你真正需要這個賬戶，否則你應該禁用它。這個用戶很容易被滲透，是黑客們的顯著目標。為了幫助管理用戶賬戶，確定你的本地安全策略沒有問題。IUSR用戶的權限也應該盡可能的小。

15. 審計你的Web服務器

審計對你計算機的性能有著較大的影響，因此如果你不經常察看的話，還是不要做審計了。如果你真的能用到它，請審計系統事件并在你需要的時候加入審計工具。如果你正在使用前面提到的WhosOn工具，審計就不那么重要了。缺省地，IIS總是紀錄訪問， WhosOn 會將這些紀錄放置在一個非常容易易讀的數據庫中，你可以通過Access或是 Excel打開它。如果你經常察看異常數據庫，你能在任何時候找到服務器的脆弱點。

運營商在移動應用領域包含多種類型的客戶端，包括：游戲資費、視頻、網上繳費、內部辦公、內部協同等多種類型。移動客戶端目前安全風險較為嚴重，各運營商都出現過不同的破解、刷量及攻擊問題。運營商移動應用常見風險如下：

• 用戶隱私竊取。通過病毒、木馬、補丁庫收集、字典破解性猜測等方式，非法獲得用戶賬號及密碼。

• 漏洞利用。黑客及非法利益團體，通過系統漏洞侵入運營商服務器。

• 惡意代碼注入。將病毒、木馬、邏輯炸彈、惡意扣費等惡意代碼捆綁在移動應用上，通過運營商網絡向普通用戶擴散。

• 數據竊取。利用非法手段竊取、盜用運營商用戶重要數據。

• 惡意刷量、刷單。利用運營商用戶數據監管漏洞，偽造大量虛假身份／盜用真實用戶身份進行自動化大批量的刷單、刷量。

• 拒絕服務攻擊。非法用戶利用拒絕服務手段攻擊系統。

• 計費SDK 破解。通過反編譯、破解等手段，屏蔽、破解運營商的移動應用計費SDK。

• 釣魚攻擊。通過仿冒正版的釣魚移動應用程序，截獲、捕捉用戶輸入數據，非法入侵用戶互聯網賬戶系統。

• 社工庫詐騙。通過盜版、高仿應用收集用戶信息，以及泄露的其他社工庫，對用戶實施詐騙。

四大主流CPU架構如下：

• x86架構：x86架構的處理器采用了CISC指令集（復雜指令集計算機），x86架構的CPU分為x86和x86-64兩類，目前主流的是x86-64，即64位的處理器。我們使用的電腦以及公司的服務器，大部分采用了x86架構的處理器，以intel和AMD的處理器為主。

• ARM架構：ARM架構，曾稱進階精簡指令集機器（Advanced RISC Machine）更早稱作Acorn RISC Machine，是一個32位精簡指令集（RISC）處理器架構。還有基于ARM設計的派生產品，重要產品包括Marvell的XScale架構和德州儀器的OMAP系列。

• MIPS架構：是一種采取精簡指令集（RISC）的處理器架構，1981年出現，由MIPS科技公司開發并授權，廣泛被使用在許多電子產品、網絡設備、個人娛樂裝置與商業裝置上。最早的MIPS架構是32位，最新的版本已經變成64位。MIPS架構20多年前由斯坦福大學開發，是一種簡潔、優化、具有高度擴展性的RISC架構。它的基本特點是：包含大量的寄存器、指令數和字符、可視的管道延時時隙，這些特性使MIPS架構能夠提供最高的每平方毫米性能和當今SoC設計中最低的能耗。

• RISC-V架構：RISC-V 是一個基于精簡指令集（RISC）原則的開源、免費指令集架構，RISC-V的不同尋常不僅在于它是一個最近誕生的指令集架構（它誕生于最近十年，2011年推出，而大多數其他指令集都誕生于20世紀70到80年代），而且在于它是一個開源的指令集架構。RISC-V基金會（開放的，非營利性質的）的目標是保持RISC-V的穩定性，僅僅出于技術原因緩慢而謹慎地發展它，并力圖讓它之于硬件如同Linux之于操作系統一樣受歡迎。

入侵檢測系統主要可以防止或減輕以下四種網絡威脅：

• 識別黑客常用的入侵與攻擊手段：入侵檢測系統產品通過分析各種攻擊的特征，可以全面快速地識別探測攻擊、拒絕服務攻擊、緩沖區溢出攻擊、電子郵件攻擊、瀏覽器攻擊等各種常用攻擊手段，并做出相應的防范。一般來說，黑客在進行入侵的第一步探測、收集網絡及系統信息時，就會被入侵檢測系統捕獲。

• 監控網絡異常通信：入侵檢測系統會對網絡中不正常的通信連接做出反應，保證網絡通信的合法性；任何不符合網絡安全策略的網絡數據都會被入侵檢測系統偵測到并警告。

• 鑒別對系統漏洞及后門的利用：入侵檢測系統一般帶有系統漏洞及后門的詳細信息，通過對網絡數據包連接的方式、連接端口及連接中特定的內容等特征進行分析，有效地發現網絡通信中針對系統漏洞進行的非法行為。

• 完善網絡安全管理：入侵檢測系統通過對攻擊或入侵的檢測及反應，可以有效地發現和防止大部分的網絡犯罪行為，給網絡安全管理提供了一個集中、方便、有效的工具。使用入侵檢測系統的數據監測、主動掃描、網絡審計、統計分析功能，可以進一步監控網絡故障，完善網絡管理。

檢測計算機是否存在病毒可以檢測以下位置：

• 檢查磁盤文件：有些網絡病毒會在磁盤上留下自己的文件，如木馬病毒Netbus；有些修改或覆蓋原有系統的文件，如外殼型病毒；有些則以系統文件的命名方式來命名自己，以迷惑用戶。

• 檢查共享文件夾：為實現遠程訪問的目的，病毒可將服務程序放在共享目錄中。

• 檢查進程：網絡病毒在發作時會占用系統資源，自動產生正常系統運行時沒有的進程，甚至關閉一些正常系統運行的進程。

• 檢查端口：網絡病毒要與外界進行聯系或傳播病毒，必然要開啟通訊端口，自動發送垃圾信息，感染其他系統或接受遠程控制，竊取系統資料。

• 其他異常癥狀：如系統性能下降、瀏覽器被修改、出現亂碼、無法正常使用郵件系統等。

根據以下因素來選擇漏掃設備：

1. 底層技術，比如，是被動掃描還是主動掃描，是基于主機掃描還是基于網絡掃描；

2. 特性；

3. 漏洞庫中的漏洞數量；

4. 易用性和易操作性；

5. 生成報告的特性，內容是否全面、是否可配置、是否可定制、報告的格式、輸出方式等；

6. 對于漏洞修復行為的分析和建議，是否只報告存在哪些問題、是否會告訴您應該如何修補這些漏洞；

7. 安全性，由于有些掃描工具不僅僅只是發現漏洞，而且還進一步自動利用這些漏洞，掃描工具自身是否會帶來安全風險；

8. 性能；

9. 價格。

個人信息安全的重點是個人隱私防護，主要防護方法如下：

• 管理好含有隱私的物品；

• 不隨意向別人泄露自己的秘密；

• 機警面對別人監聽、窺探自己的隱私；

• 盡量不參加涉及含有個人隱私的活動，必要時要約定好保密；

• 掌握網上安全運行知識，避免個人隱私泄露；

• 敢于同侵犯個人隱私權的人作斗爭；

• 增強自我保護，加強防范意識；

• 適當保管好自己的隱私；

• 不要輕信別人而透露自己的隱私；

• 不要故意侵犯別人的隱私。