whois（读作“Who is”，非缩写）是用来查询域名的IP以及所有者等信息的传输协议。简单说，whois就是一个用来查询域名是否已经被注册，以及注册域名的详细信息的数据库（如域名所有人、域名注册商）。通过whois来实现对域名信息的查询。
wonderkun 撰写 无回复 一组很棒的渗透测试资源，包括工具、书籍、会议、杂志和其他的东西 目录： 在线资源 渗透测试资源 Shell 脚本资源 Linux 资源 Shellcode 开发 Social社工资源 开锁资源 工具 渗透测试系统版本 渗透测试基础工具 漏洞扫描器 网络工具 Hex编辑器 破解 Windows程序 DDoS 工具 社工工具 藏形工具 逆向工具 书籍 渗透测试书籍 黑客手册系列 网络分析书籍 逆向工程书籍 恶意程序分析书籍 Windows书籍 社工书籍 开锁书籍 漏洞库 安全
社会工程学经常被Hacker运用在Web渗透方面，也被称为没有“技术”却比“技术”更强大的渗透方式。 历史上，社会工程学是隶属于社会学，不过其影响他人心理的效果引起了计算机安全专家的注意。
原文链接；https://blog.csdn.net/Eastmount/article/details/100585715
世界第一黑客凯文·米特尼克在《欺骗的艺术》中曾提到，人为因素才是安全的软肋。很多企业、公司在信息安全上投入大量的资金，最终导致数据泄露的原因，往往却是发生在人本身。你们可能永远都想象不到，对于黑客们来说，通过一个用户名、一串数字、一串英文代码，社会工程师就可以通过这么几条的线索，通过社工攻击手段，加以筛选、整理，就能把你的所有个人情况信息、家庭状况、兴趣爱好、婚姻状况、你在网上留下的一切痕迹等个人信息全部掌握得一清二楚。虽然这个可能是最不起眼，而且还是最麻烦的方法。一种无需依托任何黑客软件，更注重研究人性弱点的黑客手法正在兴起，这就是社会工程学黑客技术。
在渗透行动中，目标往往是获得整个内网的控制权，从而发动 APT（高级持续性威胁）攻击。但在更多时候，我们的起点只是一两台通过 0day / 1day 漏洞攻陷的机器。
具体实践中，公安部会组织攻防两方，进攻方会在一个月内对防守方发动网络攻击，检测出防守方（企事业单位）存在的安全漏洞。通过与进攻方的对抗，企事业单位网络、系统以及设备等的安全能力会大大提高。
Rachel Tobac，@RachelTobac，用户体验研究者（UX Researcher）和社工黑客，曾是社会工程安全测试公司SocialProof Security联合创始人兼CEO，现为公益团队“信息安全和隐私界妇女组织”（WISP）负责人和在线教育平台Course Hero高级用户体验专家，擅长社会工程方向的渗透测试，并连续3年在DEFCON活动中获得社工夺旗大赛（SECTF）中获得第二名。
近日，国内各地都陆续发生了一些利用短信验证码冒用身份、窃取银行账户、金融类 APP 财产的案件，受害者甚至莫名其妙“被网贷”，进而遭遇较大经济损失。
完整攻击链大概包括信息搜集、漏洞利用、建立据点、权限提升、权限维持、横向移动、痕迹清除等七步，虽然这个站点只经历了前四步，但也具有较强的代表性，组合利用漏洞形成攻击连，拿下管理权限。
6月26日晚，我国大型聊天软件QQ出现了大规模盗号情况，而且是在QQ号本人在线时出现了被盗情况。
image.png 年度报告摘要 网络黑色产业链已经呈现低成本、高技术、高回报的爆发性增长态势，对网民造成了金融资产和个人信息安全等多方面的危害，成为阻碍互联网发展的重要因素。2014年各种重大网络安全事件显示，网络黑产已经从半公开化的纯攻击模式转化为敛财工具和商业竞争手段，集团化、产业化趋势明显，跨境网络犯罪多发。 由腾讯各大安全平台提供的大数据显示，2014年网络黑产来势汹汹，全国日均54万部手机中毒，支付类病毒增长迅猛；网络社工类欺诈以广东发案量最大，男性及90后最好骗；四成恶意网站以色情网站的幌
此程序是一份仅提供Web编程模仿技术研究，社会工程师水平锻炼，网络防骗流程深入研究的一份程序，并且程序性质不为公开性。
信息搜集对于后续的渗透测试至关重要，信息的完整性决定着能否挖掘出网站漏洞，本篇文章将从几个方面讲解信息搜集的思路及技巧和具体的防范方法。
社会工程学（Social Engineering）,一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段，取得自身利益的手法，近年来已成迅速上升甚至滥用的趋势.那么，什么算是社会工程学呢？它并不能等同于一般的欺骗手法，社会工程学尤其复杂，即使自认为最警惕最小心的人，一样会被高明的社会工程学攻击手段损害利益.
Crunch是一种自定义创建密码字典工具，按照指定的规则生成密码字典，可以针对性的生成字典文件,这在渗透测试过程中就特别有用，用来社工和进行暴力破解攻击其效果尤佳!
对于爱好黑客技术的朋友来说，很多人都遇到过类似的问题：你会盗号吗？ 你能盗Q吗？怎么样盗别人的QQ号？
近年来，企业级安全建设面临混合云、DevSecOps、零信任体系、敏捷开发要求等综合复杂场景引入，安全问题出现了不同于以往的新形态。如何在新形态下做好IPO等关键时刻的重点防护，全局性提升企业安全，成为很多行业面临的问题。
如果你每天都关注 FreeBuf 报道的安全资讯，对于全球范围内全年的网络犯罪趋势应该是大致心里有数的，毕竟那些黑客攻击大事件都相当轰动，比如像是 WannaCry 和 NotPetya 一类在很大一片国家地区爆发的勒索软件。如果你也关注网络犯罪动态，那么或许可以来看看欧洲刑警组织（Europol）最近发布的《互联网组织犯罪威胁评估 2017（Internet Organised Crime Treat Assessment 2017）》报告。这份报告相对偏向于欧洲地区，不过也可以从中窥见全球网络犯罪的趋势
关于“人肉”的技术，大致可以分为三步来做。当然了我这个只是提供思路（学习用的），若用于犯罪
弱密码一直是广大安全人员的痛。web管理页面、公网服务连接密码（如邮件、sql等）、内网终端、服务器登录等都是弱密码的重灾区。一旦被人利用成功，损失巨大。
“用指尖改变世界” 📷 加拿大当局已经逮捕了一名安大略省男子，指控他经营一个网站，该网站从大约三十亿个在线账户中收集“被盗”的个人身份记录和证件，并将通过出售以非法盈利。 据加拿大皇家骑警(RCMP)称，现年27岁的Jordan Evan Bloom是臭名昭著的社工库网站LeakedSource的背后运营者。它是一个专门收集数据库的网站，这些数据通常来自公共数据泄露事件。 根据加拿大皇家骑警的说法，该网站收集的数据库超过了几百个，密码数量超过31亿。 LeakedSource 原本是一个合法的网站，但最终走
随着安全技术的不断开发，利用技术弱点进行攻击变得越来越困难，攻击者更多地转向利用人的弱点。
0x00 开头照例扯淡 自从各种脱裤门事件开始层出不穷，在下就学乖了，各个地方的密码全都改成不一样的，重要帐号的密码定期更换，生怕被人社出祖宗十八代的我，甚至开始用起了假名字，我给自己起一新网名”兴才
穷则社工钓鱼，达则0day炸场-微步在线，借用微步公众号的一句话，没有后端资源支持的情况下，社工钓鱼必学技能，毕竟正面打不动，代码审不动，0day又没有是日常，下文讲解自己对于社工钓鱼的思路。
一个人在网络上行走，难免要在各种不同的网站上注册不同的账号，而有些你注册过的网站在被黑客入侵并获取数据库之后，黑客会根据你的密码使用习惯生成字典，或直接使用数据库内的密码，去尝试登陆你的其他平台的用户中心，获取你的更多信息。 如淘宝、卡盟、JD、各大论坛等网站，都会涉及到你的更多信息。
“人肉搜索”简称人肉，是一种以互联网为媒介，部分基于人工方式对搜索引擎所提供信息逐个辨别真伪，部分又基于通过匿名知情人提供数据的方式去搜集关于特定的人或者事的信息，以查找人物身份或者事件真相的群众运动。
二、网络黑产数据研究与分析 1. 疯狂病毒：日均54万手机中毒，支付病毒猛增 数据来源：腾讯手机管家、腾讯电脑管家 2014年腾讯管家安全软件在PC端上发现超过1.3亿个新增病毒，移动端上发现超过
一，背景： 用户数据泄露一直是如今互联网世界的一个焦点，从最近的京东撞库抹黑事件，到之前的CSDN，如家用户数据的泄露，服务商和黑客之间在用户数据这个舞台上一直在进行着旷日持久的攻防战。 对于大多数用户而言，撞库可能是一个很专业的名词，但是理解起来却比较简单，撞库是黑客无聊的“恶作剧”，黑客通过收集互联网已泄露的用户+密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登陆的用户。 以京东之前的撞库举例，首先京东的数据库并没有泄漏。黑客只不过通过“撞库”的手法，“凑巧”获取到了一些京东用户的
资产收集则更偏向于针对一个网站，一个公司，一个域名全方面的信息收集，信息资产包括但不限于子域名，app，小程序等。
三、查找上传，一些能上传的页面，比如申请友链、会员头像、和一些敏感页面等等，注意查看验证方式是否能绕过，注意结合服务器的解析特性，比如典型的IIS6.0、阿帕奇等。
本章主要介绍的是渗透测试前期准备工作-信息收集，将从IP资源，域名发现，服务器信息收集，网站关键信息识别，社会工程学几个方面谈谈如何最大化收集信息。
三、查找上传，一些能上传的页面，比如申请友链、会员头像、和一些敏感页面等等，注意查看验证方式是否能绕过，注意结合服务器的解析特性，比如典型的IIS6.0、Apache等。
BEEF (The Browser Exploitation Framework)：一款浏览器攻击框架，用Ruby语言开发的，Kali中默认安装的一个模块，用于实现对XSS漏洞的攻击和利用。
想必大家一定过了一个红包满满的春节了，或许也有人利用这几天的时间继续学习提升，最近就会有群里的朋友问我，渗透一个网站怎么做，我说我在公众号里给大家一起说一说，部分内容借用网上的一些资源，大致的说一下我们的思路。
近日在网上愉快的冲着浪，误打误撞的点开了某链接直接跳转到某游戏私服的网站，刚想关掉背景音乐吸引住了我，别说还蛮好听的，用听歌识曲识别是许美静唱的《边界1999》一代人的回忆啊，既然你的背景音乐那么动听那就别怪我不客气了。
字典破解就是通过比较合理的条件，筛选或者过滤掉一些全字符组合的内容，大幅降低爆破的成本。
现在MD5加密的应用范围可谓是极其广泛，绝大部分的网站存储账号密码的数据库都采用的是MD5加密方式，只有极少数的是明文密码——毕竟多一层加密就多一层安全。标准的MD5密码是16位和32位的，有不少网站系统为了“更加安全”而采用20位MD5密码（比如DEDECMS系统）、34位MD5密码（比如Serv．U）或是40位的MD5密码（详见危险漫步“唬人的40位MD5加密”一文），其实这些都是障眼法而已，真正的内容还是16/32位MD5核心密码。想必大家在平时的入侵检测过程中都遇到过拿到了管理员账号的MD5密码却无法破解的情况，要么就是被提示“Found!这是一条收费记录”，非常郁闷，这将直接导致入侵检测的失败。那几个比较著名的MD5在线破解网站也越来越不厚道，有的MD5密码明明非常简单竟然也要收费，强烈BS这种做法！在此危险漫步就提供一个破解MD5密码的小技巧来热热身先！
1 什么是社工诈骗？ 人为因素才是安全的软肋，有意、无意的行为可造成潜在的威胁或者一连串的后果。2021年DBIR数据泄露报告（Data Breach Investigations Report）中提到85%的数据泄露涉及人的因素。社工攻击正是利用人的因素，引导操纵人们采取行动或泄露机密信息，以达到收集信息、欺诈或访问系统等目的的“骗局”。 “社会工程诈骗”（SEF）是指诈骗者利用社工手段，获得个人的信任，并“欺骗”他们分享机密信息，甚至将资金直接转移给攻击者。SEF严重依赖于人际互动，受害者通常不知道发
网贷谈嘉宾：比太钱包创始人文浩：今天和大家交流的内容是《比特币存储与资产安全》。目前，越来越多的人将比特币作为资产储藏，抵抗通胀膨胀。不论是企业还是个人，都越发关注比特币资产安全问题。 在过去几年我们遇到多次由于保存不当，导致比特币丢失的遗憾案例。所以了解比特币的基础知识与原理成为必要。只有如此，才能更好更安全的保护我们的资产。 第一个需要了解的基础概念：什么是比特币私钥？ 对于比特币用户来讲，保管私钥是最为重要的事情。到底什么是私钥呢？简单来讲：私钥就是个随机数。 以掷骰子为例，每投掷一次，产生的数字
不了解注入的可以看看我之前的文章今年十八，喜欢SQL注入_迷雾安全-红中的博客-CSDN博客
本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途。
社工搜索 [手机号注册过哪些网站](https://www.reg007.com/) [搜索用户名](https://www.usersearch.org/) [搜索邮箱](https://hunter.io/) [验证邮箱是否存在](https://tools.verifyemailaddress.io/) [查看泄漏记录](https://haveibeenpwned.com/) [ip定位工具](https://www.opengps.cn/Default.aspx) [临时手机号](ht
据说今年的攻防演练马上又要开始了，很多企业都开始了前期的准备工作。资产的梳理，暴露面收敛是前期必须做且要做好的工作。
一般来说直接whois就可以查到域名的注册商 如果域名商难搞定的话，大家可以试试下面的思路
很多应用或者系统存在默认口令。比如 phpstudy 的 mysql 数据库默认账密[root/root],
也是社工第二课 在十年面前社过不下百个人的资料！ 在很多兄弟面前用到了社工 好了不贫了 有可能社工让我在网络上混到现在
人是安全管理中最大的安全隐患。不记得这句话从哪里看到的了。不过我们经常会看到类似于从一个司机邮箱渗透到企业重要系统的案例（参考资料1），越来越热的apt攻击也选择人作为突破口。比如针对Google的极光攻击就是因为一个员工点击了聊天消息的链接从而导致被渗透的（参考资料2）。 所以当防火墙配置恰当，数据已经加密，防病毒升级到最新，所有的措施都安排妥当之后，不要忘记人也是一个很大的风险来源。本文会先介绍企业员工可能导致的安全风险以及常用的防御方法。最后会从SIEM的角度尝试一种可能的解决方案。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
