在我们作为开发人员的工作中，我们经常处理密码等机密数据。必须使用正确的密码加密和隐藏方法来保护这些敏感数据。Python 中许多可访问的技术和模块可以帮助我们实现这一目标。...通过对可用实现的基本思想和示例的解释，本文研究了在 Python 中隐藏和加密密码的最佳技术和方法。 密码安全的重要性 为了保护用户帐户和敏感信息，密码充当第一道保护线。...隐藏密码：使用获取通行证模块 保护密码的第一步是防止用户输入密码时它们显示在屏幕上。Python 中的 getpass 模块提供了一种简单有效的方法来实现这一目标。...在保存密码时使用安全程序以避免不必要的访问至关重要。一些优秀的做法包括使用强数据库凭据、加密密码哈希和限制对数据库的访问。...通过在 Python 中实现有效的密码隐藏和加密技术，我们可以显著增强应用程序的安全性并保护用户凭据。从在输入过程中隐藏密码到散列、加盐和采用安全加密算法，有多种方法可用于保护密码。
Steganographer Steganographer是一款功能强大的隐写工具，该工具基于Python编程语言开发，能够帮助广大研究人员在一张图片中实现数据或文件的隐写。...这个Python模块可以将文件隐藏在一张图片之中（当前版本仅支持PNG文件），并将包含了隐写数据的文件导出至磁盘中存储。可隐写的最大文件大小取决于图片的尺寸。...工具效果展示 原始图片： 修改后的图片： 没错，我们的文件已经成功隐藏在了这张图片里面，大家能看得出区别吗工作机制 该工具的实现原理非常简单，如果我们改变每一个像素的LSB（最低有效位算法），那么这个修改变化在图片上是不会产生很大区别的...像素的最大变化单位可以是4个单位，并且在PNG图像中值得变化范围是（0, 255），所以这种变化在图片上并不显著。 在PNG图像中，每个像素有3个通道，即红、绿、蓝。...changed this time a_pixel = (0b10010, 0b100001, 0b1011) # pixel wasn't modified this time 这样一来，我们就成功地在一个像素中隐藏了六位数据了
在Python中，当我们有两个字典需要合并的时候，可以使用字典的 update方法，例如： a = {'a': 1, 'b': 2}b = {'x': 3, 'y': 4}a.update(b)print...在使用它之前，你一定要理解它的运行原理。...第四个问题，如果这个Key只在一个源字典中存在，那么这个Key会被从源字典中删除。如果这个Key在多个字典中都存在，那么Key会被从第一个字典中删除。
由于Torpig的文件隐藏和日志加密特性，我们要检测它是很困难的。一旦Torpig获取了电脑的权限，它会扫描受感染的电脑里面的电子银行和金融类的账户数据和登录凭据。...这种新型木马的独特特性，能通过调整自身来隐藏自身欺诈的外部表现。 5、Bebloh： Bebloh能有针对性地窃取受害人的登录凭据，拦截电子银行交易，渗透金融系统。...通常黑客会通过它窃取受害者的登录凭据，从他们的账户里窃取一定数量的金钱。黑客通过这种方式，能持续不断从受害的冤大头手里在线提款。...6、Shylock： Shylock是一个通过浏览器截取数据包，窃取欧洲银行用户登录凭据的恶意软件。它至少感染了全球6万台Windows主机。...Dyre感染电脑后，会取得受害者的银行账号和其他在线服务的登录凭据。
RDP会话 曾经登录过的用户 自动登录凭据 主文件夹 密码策略 本地用户详细信息 登录会话 流程信息 有趣的过程(非Microsoft)...SQL Developer 配置文件检查 Slack 文件搜索 Outlook 下载 机器和用户证书文件 Office最近的文件 隐藏的文件和文件夹 具有写入权限的非默认文件夹中的可执行文件...WSL检查 事件信息 登录+显式登录事件 进程创建事件 PowerShell事件 电源开/关的事件 附加(慢)检查 LOLBAS 搜索 在默认WSL...python3 peas2json.py result.txt peass.json 最后将 json 格式文件转化为 html 或者 pdf 格式报告。...python3 json2html.py peass.json peass.html python3 json2pdf.py peass.json peass.pdf pdf 报告效果如下： html
知道了原理，想实现隐藏就有以下几个思路： 命令替换 直接替换系统中的ps、top命令工具。可以从GitHub上下载它们的源码，加入对应的过滤逻辑，在遍历进程的时候，剔除挖矿进程，实现隐藏的目的。...内核级隐藏 模块注入的方式是在应用层执行函数HOOK，隐藏挖矿进程，更进一步，可以通过加载驱动程序的方式在内核空间HOOK相应的系统调用来实现隐藏。...按照这个思路，我编写了一个Python脚本发给这位朋友，执行后果然发现了隐藏的进程： ?...脱壳后，在IDA中现出了原形，不禁倒吸了一口凉气，居然悄悄修改/root/.ssh/authorized_keys文件，添加了RSA密钥登录方式，留下这么一个后门，随时都能远程登录进来。 ? ?...清除建议 开启SELinux 杀掉挖矿进程 删除病毒程序（注意rm命令是否被替换） 删除病毒驱动程序（注意rm命令是否被替换） 删除病毒添加的登录凭据 防火墙封禁IP、端口 这个病毒到底是怎么植入进来的呢
上一篇中我们介绍了凭据的加载和代码中函数的调用顺序，接下来我们就要了解一下一些关键函数在代码中起到什么作用了。了解清楚这些以后我们才能定制出我们自己需要功能。...CSampleProvider::SetUsageScenario 这个函数非常重要，在凭据被加载起来以后，由微软调用，我们实现这个函数里面的功能，微软调用时会给函数传递两个参数，如下所示： HRESULT...如果你需要区分登录和锁屏，那么在这里做区分创建不同的凭据对象，或者在凭据对象中判断 _cpus 的值（这个值被用作第一个参数传递到凭据对象中了）来显示不同的控件。...同时，在调用这个方法时传递了三个参数，第一个参数就是我们刚才说的 _cpus，第二个参数描述了要创建的控件类型及控件初始化文字，第三个参数描述了创建的这些控件的初始状态，是显示、隐藏、还是具备焦点等。...而如果是登录或切换用户而调用的凭据，那么我们要显示用户名和密码的输入框。当然这只是一个简单的业务场景描述，大家根据自己业务需求的不同即可在这个函数对控件的显示和隐藏做手脚。
PyKEK 是一个 Python 脚本，只要它可以与未打补丁的 DC 通信，它就可以在网络上任何位置的任何支持 Python 的系统（Raspberry Pi？）上运行。...使用被盗的域管理员凭据，没有什么可以阻止攻击者转储所有域凭据并保留. 笔记： 使用域管理员帐户登录计算机会将凭据放置在 LSASS（受保护的内存空间）中。...使用用户帐户登录计算机并通过在 RDP 凭据窗口中键入域管理员凭据打开与服务器的 RDP 会话，会将域管理员凭据暴露给在系统上运行键盘记录器的任何人（这可能是先前危害用户的攻击者帐户和/或计算机） 如果有服务部署到在具有域管理员权限的服务帐户的上下文下运行的所有工作站或所有服务器...那么，当一个帐户被委派给域控制器的登录权限时会发生什么？ 如果该帐户在域控制器上具有管理员权限，则在 DC 上转储凭据很简单。...一旦攻击者从注册表和 NTDS.dit 文件中获得系统配置单元，他们就拥有所有 AD 凭据！此屏幕截图来自安装了 Impacket python 工具的 Kali 盒子。
RedSnarf通过OpSec技术，从Windows工作站，服务器和域控制器中检索散列和凭据。...在远程机器上启用/禁用RDP。 将RDP端口从3389更改为远程计算机上的443。 在远程机器上启用/禁用NLA。 查找用户在远程计算机上登录的位置。...Windows登录界面后门 在远程机器上启用/禁用UAC。 mimikatz添加隐藏。...解析域哈希 能够确定哪些帐户被启用/禁用 抓取远程登录的活动用户桌面屏幕截图 记录远程登录活动用户桌面 解密Windows密码 解密WinSCP密码 获取用户的SPN 从远程机器检索WIFI密码 开发与依赖...RedSnarf是在以下环境开发的： Kali Linux python 2.7.9 termcolor (1.1.0) 依赖： Impacket v0.9.16-dev – https://github.com
这些用户可能需要使用每个应用程序的特定（和不同）的凭据。 这可能： 导致用户体验不连贯。 当用户拥有许多不同的凭据时，他们常常会忘记登录凭据。 暴露安全漏洞。...在大型组织中尤为容易忽略这一点。 使用户管理复杂化。 管理员必须管理所有用户的凭据，并执行其他任务，例如提供密码提醒。 用户通常喜欢对所有这些应用程序使用同一凭据。...这增加了安全性，因为它可避免访问多个不同应用程序所需的凭据创建，并且它还对除原始标识提供者外的所有标识提供者隐藏用户凭据。 应用程序仅可查看令牌中包含的已经过身份验证的标识信息。...在以后的访问中，STS 可以使用 cookie 来指示最后的登录使用的是 Microsoft 帐户。...用户体验与使用本地应用程序时的用户体验相同，在登录到公司网络时进行身份验证，此后即可访问所有相关应用程序，无需再次登录。 与多个合作伙伴的联合身份。
其中也有许多功能会被滥用，被滥用时这些功能没有看起来那么好了： 键盘记录 使用浏览器 User-Agent 伪装网络流量 捕获屏幕截图 在 Web 浏览器中访问凭据 Netwire 允许通过代理转发流量...详细分析 我们在 VirusTotal 上查看了 Netwire 的样本，我们将其下载下来进行详细地分析。 执行样本后，注意到样本将自身复制到一个隐藏文件夹中，并从该隐藏文件夹中启动。 ?...这是将自己隐藏起来的第一步，用以将 RAT 的副本安装到本地文件夹以便长期潜伏。接下来现实了 Netwire 使用 .desktop 进行持久化的机制与其他两个文件的创建。 ?...Netwire 使用伪造或无效的数字证书 启动代理（T1159） 防御逃避 Netwire 包含启动代理的 macOS 启动选项 可在编译时进行配置 登录（T1162） 持久化 Netwire 包含用于登录的...macOS 启动项 可在编译时进行配置 Web 浏览器凭据（T1503） 凭据访问 Netwire 从众多 Web 浏览器检索密码 支持的浏览器包括 Mozilla Firefox、Internet
但是在实践中，网站可能还需要邮箱、手机号、身份证号等进行登录，这就需要我们自己写一个认证后台，用于验证用户输入的用户信息是否正确，从而对拥有正确凭据的用户进行登录认证。...这个类是一个普通的 Python 类，它有一个 authenticate 方法，接收登录用户提供的凭据（如用户名或者邮箱以及密码）作为参数，并根据这些凭据判断用户是否合法（即是否是已注册用户，密码是否正确等...可以定义多个认证后台，Django 内部会逐一调用这些后台的 authenticate 方法来验证用户提供登录凭据的合法性，一旦通过某个后台的验证，表明用户提供的凭据合法，从而允许登录该用户。...Email Backend 在本示例项目中，用户注册时需要填写邮箱。因为 Django auth 应用内置只支持用户名和密码的认证方式，所以目前用户是无法使用 Email 进行登录的。...测试 在登录界面输入注册时的邮箱和正确的密码，可以发现也可以登录成功了，说明我们自定义的 Backend 是有效的。大功告成！
Netskope 的研究人员正在跟踪一个使用恶意 Python 脚本窃取 Facebook 用户凭据与浏览器数据的攻击行动。...2023 年 1 月，Meta 发现了名为 NodeStealer 的基于 JavaScript 开发的恶意软件，该恶意软件旨在窃取 Facebook 账户的 Cookie 与登录凭据。...被窃的凭据与浏览器 Cookie 启动文件夹中的恶意 Python 脚本将嵌入的十六进制编码数据转换为二进制。这部分数据被压缩了多次，可能是为了逃避检测。...恶意脚本会收集 Chrome 浏览器多方面的数据，例如登录数据、Cookie 与本地状态等。所有复制的文件都会被放置在临时文件夹中，以用户的 IP 地址与国家/地区代码作为文件夹名称。...由于恶意批处理文件被放置在启动文件夹中，用户凭据与其他浏览器数据将会不断被收集回传。
Mimikatz Part 1 - Wdigest SSP 你并不懂 Mimikatz Part 2 - MSCACHE mscash，或者叫 domain cached credentials、域缓存票据，与用户在成功登录后将缓存的域凭据存储在系统本地...具体存储在系统哪里，保存在注册表中，结构未域凭据+域授权信息，后面就直接用 “凭据” 来代表 “凭据信息” + “授权信息”。...不知道什么原因，我这里字符显示有点奇怪 网络与交互式登录 请理解这一小节，理解在Windows各种登录下何时丢弃凭据，换句话说，怎样登录才会保存凭据在内存中。...\Protect\S-1-5-18\User（隐藏属性） Master Key File 使用用户的密码加密。...注：笔者域环境，所以在域控下发组策略，配置之后请gpupdate 几个凭据很容易弄混，解释下这里出现的3种凭据： 默认凭据是首次登录 Windows 时要使用的凭据 保存的凭据是指凭据管理中保存的凭据
通过将 URL 值修改为恶意站点，攻击者可能会成功发起网络钓鱼诈骗并窃取用户凭据。由于修改后的链接中的服务器名称与原始站点相同，因此网络钓鱼尝试具有更可信的外观。 如何找到它？...大多数情况下，它可以在应用程序 URL 的登录页面上找到，例如“http://example.com/login.php?...redirect=http://example.com/page” 接受 URL 值的隐藏参数。...您可以使用hakrawler和x8或这个python 脚本来运行这两个工具 基本有效载荷：- 您可以尝试使用这些基本有效负载来测试任何应用程序上的开放重定向漏洞 https://example.com
该脚本可以与预定义的攻击一起使用，这些攻击可以在中继连接时触发（例如，通过LDAP创建用户），也可以在SOCKS模式下执行。...netview.py：获取在远程主机上打开的会话列表，并跟踪这些会话在找到的主机上循环，并跟踪从远程服务器登录/退出的用户 reg.py：通过[ms-rrp]msrpc接口远程注册表操作工具。...此脚本提供了一个用于浏览和提取NTFS卷的功能小的反弹shell，包括隐藏/锁定的内容 registry-read.py：Windows注册表文件格式实现。...它还将包括有关上次登录和上次密码设置属性的一些额外信息。 mqtt_check.py：简单的MQTT示例，旨在使用不同的登录选项。可以很容易地转换成帐户/密码暴力工具。...此示例测试帐户在目标主机上是否有效。 sniff.py：简单的数据包嗅探器，使用pcapy库来监听在指定接口上传输的包。
list ---查看邮件数量 retr 1 ---查看邮件内容 邮件消息说，为我们提供了更多登录凭据以登录到应用程序...让我们尝试使用这些凭据登录。 用户名：dr_doak 密码：4England!...7、使用新的账户密码登录CMS 登录doak获得的用户名密码信息后在：Home / ▶ My home 右边发现：s3cret.txt文本信息，下载查看： 另外发现这是Moodle使用的2.2.3...版本 Something juicy is located here: /dir007key/for-007.jpg txt文件指出管理员凭据已隐藏在映像文件中，让我们在浏览器中打开图像以查看其内容。...http服务： python -m SimpleHTTPServer 8081 这时候该37292.c攻击提权脚本就在本目录的HTTP底下，在项目环境执行wget下载文件并CC编译就行。
与任何 SaaS 应用程序一样，用户在提交付款后会获得许可证与登录凭据。首先，用户会被引导至管理面板，在其中输入密码就可以登录平台。 【登录表单】 登录后，主页会显示仪表盘。...页面中，网络钓鱼攻击的运营方可以在此看到已窃取到的各种凭据，更便捷地衡量在 Greatness 上的投资回报。...生成的 HTML 文件看起来是一个模糊的办公文档，上面覆盖着微软登录表单，要求用户提供凭据才能查看。...攻击者可以通过该页面配置控制面板的名称与密码，更重要的是配置恢复被窃凭据的替代方法。...攻击者还会通过混淆配置文件的方式来隐藏中央服务器地址，对其进行编码使其难以被发现。
虽然代码示例和资源适用于 Python 开发人员，但每种身份验证方法的实际说明适用于所有 Web 开发人员。 身份验证与授权 身份验证是验证尝试访问受限系统的用户或设备的凭据的过程。...它不要求用户在每个请求中提供用户名或密码。相反，在登录后，服务器将验证凭据。如果有效，它将生成一个会话，将其存储在会话存储中，然后将会话 ID 发送回浏览器。...流程 实施OTP的传统方式： 客户端发送用户名和密码 凭据验证后，服务器生成随机代码，将其存储在服务器端，并将代码发送到受信任的系统 用户在受信任的系统上获取代码，然后将其输入回 Web 应用 服务器根据存储的代码验证代码...，并相应地授予访问权限 TOTP的工作原理： 客户端发送用户名和密码 凭据验证后，服务器使用随机生成的种子生成随机代码，将种子存储在服务器端，并将代码发送到受信任的系统 用户在受信任的系统上获取代码，然后将其输入回...包 想要实施社交登录？ 自用 Python Social Auth 烧瓶舞 django-allauth 想要运行自己的 OAuth 或 OpenID 服务？
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
