第一种就是弱口令，很多系统拥有学生或者管理员默认密码或者初始密码，可以通过该方法进入系统进行深度挖掘，毕竟给个登录框也搞不点啥样。
网站备案是域名+主机的一体化过程，而域名是网站备案的载体。一般网站备案的展现形式是在域名上的。所以域名对网站备案是很重要的哦！
(1) 百度信息收集：“id” （双引号为英文） (2) 谷歌信息收集 (3) src信息收集（各大src排行榜） (4) 微博搜索（如果发现有微博记录，可使用tg查询weibo泄露数据） (5) 微信ID收集：微信进行ID搜索（直接发钉钉群一起查） (6) 如果获得手机号（可直接搜索支付宝、社交账户等） 注：获取手机号如信息不多，直接上报钉钉群（利用共享渠道对其进行二次工作） (7) 豆瓣/贴吧/知乎/脉脉 你能知道的所有社交平台，进行信息收集 (8) 其他补充 在github，gitee，开源中国中查找 在社交平台上查找，（微信/微博/linkedin/twitter） 技术博客（csdn，博客园），src平台（补天） 在安全群/安全圈子里询问。
最近网上盛传两千万酒店用户数据泄漏，出于好奇，我也从网上下载了一份下来。本次下载纯粹是出于学习和研究用，不会做什么坏事，不要问本人要下载地址，大家自己找。由于本人并不是学统计和数据挖掘方面的，所以只能浅显的做做统计分析，下面开始我们的学习和研究。
2. WhatWeb：WhatWeb – Next generation web scanner.
为了防止在网上从事非法的网站经营活动，打击不良互联网信息的传播，根据国家法律法规需要网站的所有者向国家有关部门申请的备案，公安局备案是其中一种。如果不到公安局备案平台做信息登记，有可能查处以后关停。
在某次值守看告警中，态势感知系统监测到我市某政府单位的网站遭到来着IP：112.xx.xx.xx（上海）Apache shiro反序列化攻击，且告警中的攻击结果为成功，但后续经人工验证使用shiro反序列化利用工具未能成功利用该漏洞，利用不成功的原因后面也得到确认是因为其在攻击时数据包中存在较为容易猜解key命中了特征库的规则从而触发了告警，进一步确认需要人工核验，心中暗暗自喜还好不是安全事件不然又得出去应急了，随后并对攻击IP进行溯源分析。
一、基本情况 昨天连续收到两封欺骗邮件，分别是凌晨和下午，邮件的主题、内容都是一样的，主要 是发送人的信息不同，两份邮件截图如下所示： 第一封： 第二封： 邮件内容中，欺骗用户连接的URL地址也是一样的，都是：http://xiangwangshenghuo.cn/page.php。 因此，可认定为同一个组织/个人实施的邮件欺骗攻击。唉，怎么一不小心就成为攻击目标了，还一天两封，晕。今天在outlook直接点击访问，发现360已经会进行拦阻，显示如下： 直接复制url：http://xiang
很久以前（大概今年3月还是去年12月），曾经想过写一套建站教程，奈何要做的事情太多了一直没啥空。最近帮助了某一个群员建好了自己的博客，其中诸多曲折，相信新人肯定会踩很多坑。虽然我也是一路踩坑积累的经验，但是还是希望新人少踩点坑比较好。
《京东又双叒叕有动作 推出生鲜超市拿域名》近日，京东悄然拿下了7fresh.com和7fresh.cn域名。7Fresh是一家新概念生鲜食品超市，将与盒马鲜生模式类似，实现店仓一体化的配送模式。京东预计2017年内将在北京开设两家7Fresh门店，明年将扩展到全国市场。
3、上机排查木马文件，找了好久没找到木马文件，一个个打开文件查看，终于找到了木马，哥斯拉的jsp木马
【导读】：开发项目的时，为了测试常需要造假数据，经常要尽量的模拟真实环境，通常要费大量手工而且造出来的数据，而且通常手工造出来的看起来也很别扭，费时又费事，有没有更好的办法？有，这里给大家介绍一个“专业造数“库Faker，满足你对模拟数据的所有需求。
打开天眼查，输入公司名称—>进入公司主页—>找到知识产权部分。即可看到很多知识产权信息，点击详情即可看到发明人姓名
在测试的过程中，我们经常需要造一些测试数据，比如姓名，手机号，身份证，地址，以及公司信息等测试数据。 就拿姓名来说，我们平常想到的姓名就是张三，李四，王五这些简单的名字。 如果领导让我们想一百个姓名，还不能重复，估计得抓掉不少头发了，给自己娃取个名字都得想好几天呢，更别说 100个 了。 为了让小伙伴门的头发更加茂密，给大家介绍一个造测试数据的利器 Faker 库，可以帮我们随机生成伪数据。
前言 很多小伙伴溯源一般只追查到whois信息，但个人认为该信息未必是真实有效的，挖掘背后的信息才是正章。 起因 今天在朋友圈，看到朋友发了一条信息，说收到带病毒短信。 分析 直接通过上述地址下载该安
在目标路径（我这里选的路径为【G:/hexo-blog】）打开cmd命令窗口，执行hexo init初始化项目。
工作中，有时候我们需要伪造一些假数据，如何使用 Python 伪造这些看起来一点也不假的假数据呢？
4月1日凌晨，火绒安全团队发出警报，部分“2345导航站”首页的弹窗广告携带盗号木马，该病毒会偷取QQ、游戏平台（steam、WeGame）、知名游戏（地下城与勇士、英雄联盟、穿越火线）的账号。这是一次设计精巧、组织周密的大规模盗号行动，利用周末时间突然发起攻击，主要目标是网吧游戏用户。
PKI（公钥设施基础，Public Key Infrastructure）是一种标准化的密钥管理平台，能为网络应用提供加密和数字签名，以及密钥和证书管理体系的服务。在几乎所有介绍PKI的书籍或文章上，我们都能看到类似于这样的一句话：使用PKI就能保证网络应用的安全。那么，PKI体系的安全性到底怎样呢？就让我们来逐一列出PKI体系的十大安全隐患：
在域名市场，有一句话叫“坚持价值投资”。然而什么才叫价值投资，投资域名时该如何选择合适域名？下面就和大家谈谈什么类型的域名才是好域名，值得投资！
WinServer2012配置AD域 一、修改域控主机网卡IP，配置为静态IP，DNS配置为本机，并修改计算机名
这篇文章由“潇湘信安技术交流群”@嘞萌师傅投稿，@3h整理发布，记录的是他在无意中发现的一个新型钓鱼诈骗方式，从技术层面简单分析了下。
按照工信部《非经营性互联网信息服务备案管理办法》的规定，企业或个人在中国国内开设网站的话，需要进行网站备案。很多个人在开设网站的
WHOIS是一个标准的互联网协议，可用于收集网络注册信息、注册域名﹑IP地址等信息。简单来说，WHOIS就是一个用于查询域名是否已被注册及注册域名详细信息的数据库（如域名所有人、域名注册商）。
前两天登录了一下防守方报告提交平台，看了一下提交报告模版并整理给下面各子公司方便整理上报(毕竟只能上报50个事件，还要整合筛选)，发现比去年最大的区别就是追踪溯源类提交及分数的变化。
因为某个项目需要构造数亿级别的数据，而且要求数据必须符合一定的业务属性，比如 用户数据，姓名，地址，手机号(唯一索引)，年龄 ；商品数据 商品名称，价格，商品id 等待。另外数据内容要具有一定的随机性。
方法一: 描述: 使用各种多地 ping 的服务，查看对应 IP 地址是否唯一，如果不唯一多半是使用了CDN，多地 Ping 网站有：
另外，随着企业内部业务的不断壮大，各种业务平台和管理系统越来越多，很多单位往往存在着“隐形资产”，这些“隐形资产”通常被管理员所遗忘，长时间无人维护，导致存在较多的已知漏洞。
第五步：查找 DirectoryIndex ,将其值设置为自己站点首页文件的文件名。这里假设为：index.html
129.226.xxx.xxx在5月30日早上4点43分尝试对192.168.128.4进行SQL注入攻击，目录遍历等攻击行为。窃取数据库信息，网页篡改，远程控制等。
在软件需求、开发、测试过程中，有时候需要使用一些测试数据，针对这种情况，我们一般要么使用已有的系统数据，要么需要手动制造一些数据。由于现在的业务系统数据多种多样，千变万化。在手动制造数据的过程中，可能需要花费大量精力和工作量，此项工作既繁复又容易出错，比如要构造一批用户三要素(姓名、手机号、身份证)、构造一批银行卡数据、或构造一批地址通讯录等。
腾讯云网站备案时，关于网站信息的相关问题不少。此类问题围绕着网站备案、准备资料、备案过程这几个核心，老魏陆续汇总了一些相关问题答案，分享给大家。
在文件中找到1400多名学生的敏感信息文件，其中存在手机号、身份证号、学号，可以组合密码本进行统一身份认证系统的爆破登录，默认密码为身份证后六位
本文将介绍一款由埃森哲安全实验室Vincent Yiu开发的，针对中国某职场社交应用的开源信息自动化收集测试工具-MaiInt（Github下载）。MaiInt 能基于这款应用平台，执行公开资源情报（OSINT）操作，收集该应用注册用户信息，进一步分类，可实现对中国各大公司在该应用平台注册雇员姓名和可能的电子邮箱收集，最终收集结果会以HTML和CSV报告格式呈现。作者在本文讲述了自己开发MaiInt的一些相关过程和延伸利用。
溯源分析就是在通过现象去发掘恶意攻击者背后的故事，没有固定的套路可循，在分析过程中，要像侦探破案一样，大胆心细，不放过任何细枝末节，是一场人与人之间斗智斗勇的过程。
以下笔记总结于B站硬件茶谈：https://www.bilibili.com/video/BV1DD4y127r4
上个月接到了我公司年会系统的需求，觉得做起来有些困难。后来硬着头皮接下来了。年会1月6号顺利举办结束，整体上还算是成功，但是最后的摇一摇比赛出了些问题。在这里记录下用到的技术，遇到的困难和选择，以及做的处理和不足。希望对于大家有些参考。
创建自签名根根证书过程：生成CA私钥（.key）-->生成CA证书请求（.csr）-->自签名得到根证书（.crt）（CA给自已颁发的证书）
Web 是使应用程序可以与平台和编程语言无关的方式进行相互通信的一项技术。Web 服务是一个软件接口，它描述了一组可以在网络上通过标准化的 XML 消息传递访问的操作。它使用基于 XML 语言的协议来描述要执行的操作或者要与另一个 Web 服务交换的数据。一组以这种方式交互的 Web 服务在面向服务的体系结构（Service-Oriented Architecture，SOA）中定义了特殊的 Web 服务应用程序。
收集渗透目标的情报是最重要的阶段。如果收集到有用的情报资料的话，可以大大提高对渗透测试的成功性。收集渗透目标的情报一般是对目标系统的分析，扫描探测，服务查点，扫描对方漏洞，查找对方系统IP等，有时候渗透测试者也会用上“社会工程学”。渗透测试者会尽力搜集目标系统的配置与安全防御以及防火墙等等。
腾讯云网站备案域名要求都是按照管局的规则来的。大家在腾讯云备案域名时要先看清楚了下列规则，然后在框架内部去曹组，这样才能顺利通过审核，拿到备案号。
这天风和日丽，我正在摸鱼，忽然QQ群弹出一条消息，我打开一看，我感觉不简单。如下图：
开发或者测试过程中，我们常常需要构造数据进行功能验证，但手动创建数据比较费时，并且数据不够规范。而Python提供了一个超级好用的伪造数据的开源库--Faker。
社会工程学是黑客米特尼克悔改后在《欺骗的艺术》中所提出的，是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段。
有时我们想从网络上的某台主机上下载文件，能够是又不知道那台主机是否开着。就须要使用ping命令查看。
进行渗透测试之前，最重要的一步就是信息收集，在这个阶段，我们要尽可能地收集目标组织的信息。所谓”知己知彼，百战不殆“我们越是了解测试目标，测试的工作就越容易，在信息收集汇总中，我们要收集的有服务器的配置信息，网站的，敏感信息，其中包括域名
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
