前言 云服务器（Cloud Virtual Machine，CVM）是一种较为常见的云服务，为用户提供安全可靠以及高效的计算服务。用户可以灵活的扩展以及缩减计算资源，以适应变化的业务需求。使用云服务器可以极大降低用户的软硬件采购成本以及IT 运维成本。 由于云服务器中承载着用户的业务以及数据，其安全性尤为重要而云服务器的风险往往来自于两方面：云厂商平台侧的风险与用户在使用云服务器时的风险。与用户侧风险相比，平台侧的漏洞往往带来更广泛的影响，例如于2018 披露的AWS LaunchingEC2s did
近年来，网络安全问题变得愈发严峻，企业被黑客攻陷事件层出不穷，企业攻防犹如一道隔绝外界侵扰的屏障，一旦屏障被攻破，信息数据安全便失去保障。随着云计算浪潮到来，越来越多企业开始在云上探索新航线，期望解决应用数据量庞杂、服务器运维成本高、主机运行不稳定、配套资源待完善等问题，而云计算应用的热潮，也让云上安全成为新的命题。
近日，绿盟科技星云实验室与北京豪密科技有限公司联合推出了一项云攻防技术培训课程。该课程旨在根据客户需求，为客户提供专题培训，帮助客户熟悉常见的云安全架构，并提供云攻防技术理解，同时结合模拟攻击实验提升攻防能力。该课程参与学员涵盖了特殊行业的单位、国企等十多家单位。课程共分为六个章节，分别就云计算基础、云上攻击路径、云上资产发现与信息收集、云服务层攻防、云原生安全攻防以及虚拟化安全攻防进行了详细介绍。
课程内容主要包括：1.AWD的概念；2.AWD攻防之加固；3.AWD攻防之攻击；4.AWD攻防之脚本。
前言 对象存储是云厂商提供的一种用来存储海量文件的分布式存储服务，可用于大规模存储非结构化数据。因为其具有高扩展性、低成本、可靠安全等优点，所以成为许多IT产业向云原生的开发和部署模式转变过程中不可或缺的一部分。 随着云上业务的蓬勃发展，作为云原生的一项重要能力，对象存储服务同样也面临着一系列的安全挑战。纵观近些年来的云安全漏洞，与对象存储服务相关的数据泄露事件比比皆是，以2017美国国防部承包商数据泄露为例： “Booz Allen Hamilton公司（提供情报与防御顾问服务）在使用亚马逊S3服务器
孙子兵法中曾讲到“知己知彼，百战不殆”。在攻防实战开始之前，充分了解自身安全状况是防守蓝队在备战前不可或缺的重要一步，从资产梳理、风险排查、安全管理等各方面有序进行，确定公司企业自身的安全防护能力，能够为后续工作提供强有力的支撑。下面就防守蓝队备战前的准备工作进行简要叙述。
纵观云上的攻击事件，以及近期的一些热点事件，大家不难发现，元数据服务攻击事件频繁的发生。在云产业不断发展壮大的当今，元数据服务已经成为了攻击者攻击流程中的一个重要的环节。我们从攻击者的视角来分析攻击流程中元数据服务所面临的风险，也可以更好地迎战元数据服务带来的安全挑战。
②选择自定义配置——计费模式为“按量付费”——地域选择“北京”——可用区选择“随机可用区”——网络选择“默认”即可
简介 渗透测试-地基篇 该篇章目的是重新牢固地基，加强每日训练操作的笔记，在记录地基笔记中会有很多跳跃性思维的操作和方式方法，望大家能共同加油学到东西。 请注意： 本文仅用于技术讨论与研究，对于所有笔记中复现的这些终端或者服务器，都是自行搭建的环境进行渗透的。我将使用Kali Linux作为此次学习的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，本站及作者概不负责。 一、前言 数据库作为业务平台信息技术的核心和基础，承载着越来越多的关键数据，渐渐成为单位公共安全中最具有战略性
近日，2017贵阳大数据及网络安全攻防演练在贵阳经开区成功举行。本次演练活动以“共建安全生态，共享数据未来”为主题，八天时间里，来自全国各地的21支检测队伍、14支应急响应队伍以及36支防守队伍齐聚贵阳大数据安全产业示范区，各方以代码作刀戟，展开激烈角逐，上演了一场“真枪实战”的网络攻击防卫战役。 去年，贵阳市成功举办第一届大数据及网络安全攻防演练。这是全国首次以大城市为范围、在真实网络环境中针对真实目标开展大数据与网络安全攻防演练。直面网络安全问题、摸底网络安全现状，贵阳的创举在全国引起广泛关注。跟去年相
Serverless简介 Serverless（又称为无服务器）架构是一种全新的云计算模式，它是在容器技术和当前服务模式基础之上发展起来的，它更多的是强调后端服务与函数服务相结合，使开发者无需关注后端服务具体实现，而更侧重关注自己业务逻辑代码的实现。 随着云原生技术的不断发展，应用部署模式已逐渐趋向于“业务逻辑实现与基础设施分离”的设计原则。Serverless架构完美诠释了这种新型的应用部署模式和设计原则。从云原生整体发展路线来看，Serverless模式更趋近于云原生最终的发展方向。 Serverle
CTF全英是'Capture The Flag',中文名是'夺旗赛',起源于1996年DEFCON全球黑客大会，面对所有网络安全技术人员的一项比赛，CTF默认分为两个阶段，第一阶段以在网上答题提交相应的flag获取分值，第二阶段由第一阶段获取到指定名次内的选手队伍参加线下的AWD攻防赛，CTF分为三种模式，分别是 解题模式:一般用于网络拔选 攻防模式:一般用于通过网络拔选之后，成绩靠前的队伍在线下参加，通过攻击别人的服务器夺分，防守自己的服务器防止掉分 混合模式:即解题和攻防混合在一起
云计算已经成了产业企业数字化的核心载体。然而，云上海量的数据和业务正吸引着攻击者的视线，安全的主战场也在往云上转移。
目前网站存在漏洞导致被网警下发整改通知以及限期处理并回执的问题越来越多，云计算等技术极大地促进了服务器资源的分配和系统的部署，但随之而来的是资产管理中的安全风险。有些人没有及时回收资源和更新资产，在网上形成了僵尸主机，很容易成为攻击者的肉机。为有效保障企业工作的发展，相关法律法规明确要求网络管理人员及时处理系统漏洞、病毒、攻击等安全风险。但实际上，部分人员缺乏安全意识，对安全漏洞重视不够，部分企业缺乏足够的技术能力进行修复，导致上述安全风险未及时修复。
近日，腾讯洋葱反入侵系统检测发现 PyPI官方仓库被恶意上传了covd 钓鱼包，并通知官方仓库下架处理。由于国内开源镜像站均同步于PyPI官方仓库，所以该问题不仅会通过官方仓库，还可能通过各个开源镜像站影响广大用户，腾讯安全应急响应中心（TSRC）秉承共建安全生态的原则，TSRC在此建议各开源镜像站以及对开源镜像站有依赖的组织和公司，请尽快自查处理，确保恶意库得到清除，保障用户安全。
在攻防的视角里，进攻方会占据比较多的主动性，而防守方则略显被动，因为作为防守方，你永远也不知道攻击会在什么时候发生。你所能做的是，做好自己该做的一切，准备好自己该准备的一切，耐心等待对手犯错的机会。
漏洞分析和渗透测试是网站安全攻击和防御演习攻击者的常用方法。通过收集目标系统的信息和综合分析，使用适当的攻击工具对目标系统的安全漏洞进行相关分析，验证漏洞的使用方法和难度，并通过各种攻击方法找到潜在漏洞的攻击路径。基于制定的攻击方案，利用漏洞和攻击进行实际作战演习，尝试各种技术手段访问或操作系统、数据库和中间文件，绕过系统安全保护，全面渗透目标系统。通过渗透等方式获得相关关系。
网络安全圈流传着这样一句话：世界上只有两种企业，一种是知道已经被黑客入侵的企业，另一种则是被入侵却浑然不知的企业。
在壹篇中主要讲了弱口令漏洞在攻防演练中的利用，有朋友可能会觉得弱口令漏洞非常简单，为什么还要讲它呢？理由是虽然弱口令漏洞非常简单，但是在攻防演练环境下还是普遍存在的，因此针对未知系统我会优先尝试弱口令。尽管现在随着网络安全意识的普及，大部分单位或公司都使用8位以上且包含各种字符的强口令，但由于使用随机字符的强口令实在反人类，普通人根本无法记住它们，因此为了合规会设置相对好记的口令，比如哥谭市财政局，其系统口令就有可能是gtcz@2022，这种伪强口令其实还是属于弱口令的范畴当中，攻击者配合工具可轻易猜到它们，同时在目标未登记的老资产中也会存在一些默认口令、弱口令，当我们信息收集做的足够好时就能发现它们，从而进入应用获取权限。本文主要介绍我在攻防演练中遇到的两个实战思路，分别是逻辑漏洞和SQL注入的利用。
前言 2021年4月，Kubernetes社区披露了一个编号为CVE-2020-8562的安全漏洞，授权用户可以通过此漏洞访问 Kubernetes 控制组件上的私有网络。 通过查阅此漏洞披露报告可发现，这个漏洞拥有较低的CVSS v3评分，其分值仅有2.2分，与以往披露的Kubernetes高危漏洞相比，这个拥有较低评分的漏洞极其容易被安全研究人员以及运维人员所忽视。但经过研发测试发现，在实际情况中，这个低风险的漏洞却拥有着不同于其风险等级的威胁：在与云上业务结合后，CVE-2020-8562漏洞将会为
这是作者2月27日学习i春秋YOU老师直播分享的渗透技术知识，本次分享的主题是《小白的渗透技术成长之路》。主讲人YOU老师，干货满满，全面剖析了渗透测试的工作、知识体系、学习路径。确实让我受益匪浅，非常感谢老师，也推荐大家去i春秋学习相关的视频。
红队是一种全范围的多层攻击模拟，旨在衡量公司的人员和网络、应用程序和物理安全控制，用以抵御现实对手的攻击。
黑客技术并不是我们想象的那样，专门用来搞事情的。想要在网络安全行业立足，必须知已知彼。
近期由于工作中的遇到的问题，在研究代理池，其实代理池应该说已经是比较成熟的技术，而且在飞速发展，比如现在主流的“秒拨”技术，给企业在风险IP识别和判定上带来极大的难度。代理池技术目前被广泛用于爬虫、灰黑产、SEO、网络攻击、刷单、薅羊毛等等领域。
本人有幸参加了一些线下的攻防演练，比较熟悉攻防对抗的流程和手法，和很多师傅们在线下也有过深入学习交流，同时也产生了一些自己的想法。
善攻者，敌不知其所守；善守者，敌不知其所攻——《孙子兵法》 网络安全圈流传着这样一句话：世界上只有两种企业，一种是知道已经被黑客入侵的企业，另一种则是被入侵却浑然不知的企业。 尽管这样的说法可能言过其实，但不可否认的是，潜藏在暗中的黑客无时不刻都在伺机发动攻击，窃取企业数据资产、破坏生产系统；而看不见的交易，在暗网上每分每秒都在进行。 2014年2月，在世界上最早的比特币交易平台——日本的Mt. Gox网站，85万个比特币被盗，价值约4.5亿美元，交易所因此破产清算。 2014年夏天，美国摩根大通银行7
溯源案例：利用ID从技术论坛追溯邮箱，继续通过邮箱反追踪真实姓名，通过姓名找到相关简历信息
大家好，我是风起，最近一直在做安全研究及Kunyu的开发维护，已经好久没有写红队攻防相关的文章了，那么近期将带来 “红队实战攻防技术” 系列的文章。
北京时间8月10日早晨，2020 DEF CONCTF全球总决赛正式落下帷幕。由于疫情原因，今年的DEF CON CTF总决赛改为线上比赛，在经历了三天三夜的鏖战之后，腾讯A*0*E联合战队以970分的成绩从16支战队中脱颖而出，斩获全球顶级CTF赛事总冠军，刷新了中国战队在DEF CON CTF的最好纪录。
疫情催化之下，在线业务按下发展“快进键”，刷直播、短视频逐渐成为大众的生活常态，不断增大的流量一定程度上也让黑灰产看到了更大的“商机”。如何有效预防黑灰产带来的内容风险与威胁，成为直播行业健康持续发展的重要基石。
Web渗透测试大家都耳熟能详，但是针对应用虚拟化的渗透测试或许大家比较少接触，而且网上也没有相关的资料。作为前沿攻防团队，本期技术专题将结合过往的项目经验，针对应用虚拟化技术给大家介绍一下相关的攻防技术。 首先介绍一下什么是应用虚拟化，其实应用虚拟化是指应用/服务器计算A/S架构，采用类似虚拟终端的技术，把应用程序的人机交互逻辑（应用程序界面、键盘及鼠标的操作等）与计算逻辑隔离开来，服务器端为用户开设独立的会话空间，应用程序的计算逻辑在这个会话空间中运行，把变化后的人机交互逻辑传送给客户端，并且在客户端相应
前言 对象存储是云厂商提供的一种用来存储海量文件的分布式存储服务，可用于大规模存储非结构化数据。因为其具有高扩展性、低成本、可靠安全等优点，所以成为许多IT产业向云原生的开发和部署模式转变过程中不可或缺的一部分。 随着云上业务的蓬勃发展，作为云原生的一项重要能力，对象存储服务面临着一系列的安全挑战。纵观近些年来的云安全漏洞，与对象存储服务相关的数据泄露事件比比皆是，以2017美国国防部承包商数据泄露为例： “Booz Allen Hamilton公司（提供情报与防御顾问服务）在使用亚马逊S3服务器存储政
受重保防护时间和保障需求特殊性的影响，企业在重保的关键时期，往往面临着准备期难以控制、防护任务重、安全要求高的三大挑战。随着互联网新技术的发展，各种高级网络攻击不断迭代演化，攻击手法复杂多样。黑客会准备大量的兵器库以及全方位攻击手段，包括攻击情报库、0day库、敏感信息库等，以至于企业在重要时期保障中难以一已之力对抗庞大的黑产组织。 在此背景下，腾讯安全联合腾讯云开发者社区、腾讯产业互联网学堂、安全媒体FreeBuf举办了《原引擎：重保特辑》系列产业安全公开课，通过三期直播课程邀请多位安全专家进行经验分享
受重保防护时间和保障需求特殊性的影响，企业在重保的关键时期，往往面临着准备期难以控制、防护任务重、安全要求高的三大挑战。随着互联网新技术的发展，各种高级网络攻击不断迭代演化，攻击手法复杂多样。黑客会准备大量的兵器库以及全方位攻击手段，包括攻击情报库、0day库、敏感信息库等，以至于企业在重要时期保障中难以一已之力对抗庞大的黑产组织。
Etcd简介 Etcd是CoreOS团队于2013年6月发起的开源项目，它的目标是构建一个高可用的分布式键值(key-value)数据库, 用于服务发现、共享配置以及一致性保障等。目前已广泛应用在kubernetes、ROOK、CoreDNS、M3以及openstack等领域。 Etcd内部采用raft协议作为一致性算法，基于Go语言实现。从组成上来看，Etcd主要由四个部分组成：HTTP Server、Store、Raft以及WAL。我们可以通过Etcd架构图来更好的了解Etcd，Etcd架构图可见下图
各位FreeBufer周末好~以下是本周的「FreeBuf周报」，我们总结推荐了本周的热点资讯、优质文章和省心工具，保证大家不错过本周的每一个重点！
129.226.xxx.xxx在5月30日早上4点43分尝试对192.168.128.4进行SQL注入攻击，目录遍历等攻击行为。窃取数据库信息，网页篡改，远程控制等。
云上身份和访问管理功能简介 身份和访问管理是什么？关于这个问题，Gartner Information Technology Glossary中给出了关于IAM的定义：“Identity and access management (IAM) is the discipline that enables the right individuals to access the right resources at the right times for the right reasons”。与之类似，云上身份
由腾讯安全云鼎实验室联合GeekPwn发起的 全球首个基于真实通用云环境的云安全挑战赛 今天下午正式结束。 来自紫荆花、复旦白泽、0ops、AAA、Nu1L、r3kapig 六支国内安全强队，在为期8小时的紧张攻防对抗后，最终0ops战队率先突破9道赛题，累计得到2210分，拿下云安全挑战赛一等奖，复旦白泽、r3kapig分列二、三位。 集结“攻坚力量”，对决云端安全 参加此次云安全挑战赛的战队成员来自清华大学、复旦大学、上海交通大学、浙江大学、京东、盘古等高校及企业，几乎集结了学术圈与产业界的“攻坚
EVE-NG（全称EmulatedVirtual Environment），这款模拟器已经不仅可以模拟网络设备，也可以运行一切虚拟机。理论上，只要能将虚拟机的虚拟磁盘格式转换为qcow2都可以在EVE-NG上运行。所以，EVE-NG可以算打造成最佳的网络安全攻防虚拟环境。
CTF（夺旗赛）有助提升安全技术，可为公司企业和组织机构发现安全人才。运用这些工具和框架设计并举行自己的CTF活动吧！
腾讯安全云鼎实验室专注于云领域前沿安全技术研究与创新、安全漏洞研究和处置、云架构和解决方案规划设计、云标准化和合规体系建设等工作，拥有国内先进的研究环境和技术储备。
近日，腾讯洋葱反入侵系统检测发现 NPM官方仓库被上传了radar-cms 恶意包，并通知官方仓库下架处理。由于国内开源镜像站均同步于NPM官方仓库，所以该问题不仅会通过官方仓库，还可能通过各个开源镜像站影响广大用户。
声明：本人坚决反对利用文章内容进行恶意攻击行为，一切错误行为必将受到惩罚，绿色网络需要靠我们共同维护，推荐大家在了解技术原理的前提下，更好的维护个人信息安全、企业安全、国家安全。
在重大活动保障期间，企业不仅要面对愈发灵活隐蔽的新型攻击挑战，还要在人员、精力有限的情况下应对不分昼夜的高强度安全运维任务。如何在这种多重压力下，从“疲于应付”迈向“胸有成竹”呢？
CTF（Capture The Flag）中文一般译作夺旗赛，在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式。CTF起源于1996年DEFCON全球大会，以代替之前们通过互相发起真实***进行技术比拼的方式。发展至今，已经成为全球范围网络安全圈流行的竞赛形式。
继联合发布主机安全产品之后，腾讯安全和青藤云安全近期合作再次升级。此次合作，将以腾讯安全提供的年度大型攻防实战方案为基础，以青藤全方位客户服务为支撑，助力行业客户更好地完成大型攻防实战演练。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
