周日晚,某群里突然发布了一则消息,宝塔面板的phpmyadmin存在未授权访问漏洞的紧急漏洞预警,并给出了一大批存在漏洞的URL:
之前使用的是阿里云的php虚拟空间,可以只需要把wordpress包上传后就可以了,但感觉这样不灵活,虚拟空间也只能用来搭博客,不能干其他事。 所以我买了阿里云的ecs,其实就是一个远程linux虚机主机。 为了搭建博客,我必须安装配置php环境、ftp、apache、mysql等东西,踩了一部分坑,为了让大家少踩坑,特意在此记录我在ubuntu搭建workpess的过程,作为大家参考手册。
在安装 AMH4.2 面板之后,我们要开始使用它了。参照宝塔 linux 面板使用教程来看,其实这类面板设置方式无外乎三个地方: 一是添加虚拟主机。 二是添加 ftp 账号密码。 三是添加 Mysql 数据库账号密码。 把这三个地方都添加好了,基本也就完成工作了。下面我们来看一下 AMH4.2 面板添加虚拟主机的设置。 主机标识名:用来标识不同主机和生成 web 文件夹名用的。 绑定域名:加上自己的域名就可以了。 网站根目录和主机日志目录都是根据主机标识名生成的。 Rewirte 规则就默认的吧。 主机日志
本文章适合正在学习提权的朋友,或者准备学习提权的朋友,大佬就可以绕过了,写的比较基础。我也是一个小白,总结一下提权的姿势和利用,也分享一些自己觉得好用的方法给大家,欢迎大家帮我补充,有什么好用的提权的方法也可以分享一下,大家共同进步。本篇有自己的理解,如果有什么不对的或者不好的地方希望大家不要喷我,但是欢迎帮我指正。
“小博客站点没有攻击价值”这个观点,是个很害人的观点,特别是对很多小白站长们来说,因为现在的互联网环境下攻击你的服务器已经不需要“价值”了,攻击你想要的是你的服务器资源,比如:端口、IP、CPU、硬盘、内存这些,用来当做“肉鸡”出售给需要的人、用来当做“挖矿(可以理解为是赚取比特币行为)”客户端等等。甚至可以说攻击你服务器或者网站的仅仅是个自动执行的爬虫代码而已,无人值守型的还是。所以,不要再抱着“小博客站点没有攻击价值”这个观点来蒙蔽自己了,否则那就真的是“麻木不仁”了!
拿到一台 linux 主机普通权限之后,如何获取更高的 root 权限?这是红队成员之必备技能,首先为什么要提权?因为提权之后能看到主机上的所有信息,包括主机管理的账号密码哈希,可以离线破解管理员密码,也许存在通用密码的习惯,那么今天就来测试梳理下 Linux 提权的基本信息收集命令及作用。当然,你也可以直接拿最新或者历史的提权 exp 批量测试,也可满足你的需求,本文旨在学习一些 linux 的基础操作和关键信息收集。
不知道从何时起,qq群邮件就成为了钓鱼软件传播的一个绝佳场所,什么“”萌妹变声器”,“破解UU加速器”。 我偶尔闲的无聊的时候,就会下载下来耗费几分钟逆(ti)向(chuan)一下.发现钓鱼软件总是要把自己服务器的账号密码写到软件里面。 现在我们来一起捋一捋这个事情。
TeamTalk介绍 项目框架 TeamTalk是蘑菇街的开源项目,github维护的最后时间是2015但是仍然是一款值得学习的好项目,麻雀虽小五脏俱全,本项目涉及到多个平台、多种语言,简单关系如下图 image.png 服务端: CppServer:TTCppServer工程,包括IM消息服务器、http服务器、文件传输服务器、文件存储服务器、登陆服务器 java DB Proxy:TTJavaServer工程,承载着后台消息存储、redis等接口 PHP server:TTPhpServer工程,te
说真的,在我印象里关于zblog网站迁移来说是没有什么技术难题的,当然跟别的程序不太一样,别的网站程序,数据迁移可能需要修改很多的配置文件才行或者说某些文件修改比较费劲,那时我就建议用帝国备份是做,zblog本身迁移就很简单,但是最近有几个网友一直在问我关于网站迁移的问题,索性有时间就做一个简单的小教程,老司机请绕行~~~
FinalShell SSH工具,服务器管理,远程桌面加速软件,支持Windows,macOS,Linux,版本3.9.7,更新时间2022.10.26 – SSH工具 SSH客户端 (hostbuf.com)
在网站安全的日常安全检测当中,我们SINE安全公司发现网站的逻辑漏洞占比也是很高的,前段时间某酒店网站被爆出存在高危的逻辑漏洞,该漏洞导致酒店的几亿客户的信息遭泄露,包括手机号,姓名,地址都被泄露,后续带来的损失很大,最近几年用户信息泄露的事件时有发生,给很多企业,酒店都上了一堂生动的安全课。关于网站逻辑漏洞的总结,今天跟大家详细讲解一下。
前言 本帖提供一些渗透测试工程师面试基础题目,有需要的小伙伴可以收藏 1.拿到一个待检测的站,你觉得应该先做什么? 0x01 面试题目 · 收集信息 whois、网站源IP、旁站、C段网站、服务器系统版本、容器版本、程序版本、数据库类型、二级域名、防火墙、维护者信息另说... 2.mysql的网站注入,5.0以上和5.0以下有什么区别? · 5.0以下没有information_schema这个系统表,无法列表名等,只能暴力跑表名。 · 5.0以下是多用户单操作,5.0以上是多用户多操做。 3.在渗透过程
许多客户在网站,以及APP上线的同时,都会提前的对网站进行全面的渗透测试以及安全检测,提前检测出存在的网站漏洞,以免后期网站发展过程中出现重大的经济损失,前段时间有客户找到我们SINE安全公司做渗透测试服务,在此我们将把对客户的整个渗透测试过程以及安全测试,发现的漏洞都记录下来,分享给大家,也希望大家更深的去了解渗透测试。
MySQL这么多章节了,前前后后20多篇了,我看了下自己本地的目录,已经可以说是很全了,但是有一点我发现很关键但是我还没提过,那就是安全。
安装包:mysql_rpm_用作Linux复习资料-Linux文档类资源-CSDN下载
正月里来是新年,刚开始上班我们SINE安全团队,首次挖掘发现了一种新的挖矿木马,感染性极强,穿透内网,自动尝试攻击服务器以及其他网站,通过我们一系列的追踪,发现了攻击者的特征,首先使用thinkphp远程代码执行漏洞,以及ecshop getshell漏洞,phpcms缓存写入漏洞来进行攻击网站,通过网站权限来提权拿到服务器管理员权限,利用其中一台服务器作为中转,来给其他服务器下达命令,执行攻击脚本,注入挖矿木马,对一些服务器的远程管理员账号密码,mysql数据库的账号密码进行暴力猜解。
Linux命令行登录系统,MySQL时,输入的密码看不到的,怎么在执行Python脚本时,密码等敏感信息也不让它出现呢?
WordPress是使用PHP语言开发的博客平台,用户可以在支持PHP和MySQL数据库的服务器上架设属于自己的网站。也可以把 WordPress当作一个内容管理系统(CMS)来使用。
Wireshark(前称Ethereal)是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包,并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口,直接与网卡进行数据报文交换。
题目来自:https://www.vulnhub.com/entry/me-and-my-girlfriend-1,409/
经常玩服务器上的mysql数据库,但是基于linux操作Mysql多有不便,于是就想着使用GUI工具来远程操作mysql数据库。已经不是三次使用navicat-for-mysql了,但是每次连接远程服务器的Mysql数据库都会遇到问题,烦,索性这次就记下来,下次再使用navicat for mysql就方便了。
Lepus数据库监控系统是简洁、直观、强大的开源数据库监控产品,支持MySQL/Oracle/PostgreSQL/GreatSQL/MongoDB/Redis一站式性能监控,让数据库监控更加简单和专业。
这天风和日丽,我正在摸鱼,忽然QQ群弹出一条消息,我打开一看,我感觉不简单。如下图:
作为程序员每天的开发工作都离不开跟数据库打交道,而且我们的应用程序往往都会配置数据库的链接,那你有没有想过,任何一个能接触到我们项目代码的人员,都可以看到配置文件里面的账号秘密?
上个月5月9号发了两个HW红方弹药库的,今天再来发一个红队作战人员手册,我大概看了看手册里面的exp零组文档包含了很多,
2、登陆后,左边是管理栏目,右边就是显示的系统状态,可以很清楚的看到当前服务器的系统各项信息,如图:
EspoCRM是一个开源免费的轻量级客户关系管理(CRM)系统,采用响应式设计,界面非常美观大方,能够自动适应PC、平板和手机访问。功能非常全面,包括销售自动化、市场、销售过程、文档、产品、合同、知识库和工作流等功能。如果你对CRM系统有需求,EspoCRM不失为一个不错的选择。
25.1 MySQL数据库 /* 但是我在虚拟机上安装的时候居然不提示输入密码。 这个可以参考http://blog.csdn.net/sinat_21302587/article/details/7
jira是Atlassian公司出品的项目与事务跟踪工具,被广泛应用于缺陷跟踪(bug管理)、客户服务、需求收集、流程审批、任务跟踪、项目跟踪和敏捷管理等工作领域。
题目来自:https://www.[vulnhub.com/entry/me\-and\-my\-girlfriend\-1,409/](http://vulnhub.com/entry/me-and-my-girlfriend-1,409/)
树莓派配置:4B 8G 版本(2020.6.1 淘宝 609 入手),具体功能说明
近日某客户网站被黑,导致网站首页被篡改并跳转到赌博网站,网站在百度的收录也收录了一些什么彩票内容的快照,网站首页快照也被修改成赌博内容,并被百度直接红色风险拦截提示,百度网址安全中心提醒您:该站点可能受到黑客攻击,部分页面已被非法篡改!我们SINE安全公司根据以上客户被黑的情况,立即进行了全面的网站安全检测,针对网站被黑的情况制定了详细的安全部署方案。
渗透测试就是利用我们所掌握的渗透知识,对网站进行一步一步的渗透,发现其中存在的漏洞和隐藏的风险,然后撰写一篇测试报告,提供给我们的客户。客户根据我们撰写的测试报告,对网站进行漏洞修补,以防止黑客的入侵!
在我们的生活中,有各种网站、应用都需要注册和登录。这些网络访问通常需要 「账户」 + 「密码」 的认证方式,于是几乎我们每个人手上都有几十个甚至上百个账号。
当公司的网站服务器被黑,被入侵导致整个网站,以及业务系统瘫痪,给企业带来的损失无法估量,但是当发生服务器被攻击的情况,作为服务器的维护人员应当在第一时间做好安全响应,对服务器以及网站应以最快的时间恢复正常运行,让损失减少到最低,针对于黑客攻击的痕迹应该如何去查找溯源,还原服务器被攻击的现场,SINE安全公司制定了详细的服务器被黑自查方案。
环境说明: Oracle: 12.1.0.2.0 OS: CentOS Linux release 7.9.2009 MySQL: 5.7.38 Oracle 字符集:AMERICAN_AMERICA.AL32UTF8 MySQL 字符集:utf8
上一章:使用的是github免费搭建自己的个人网站:,但是没有连接数据库,这一章我将使用自己的笔记本作为服务器,搭建一个可以连接数据库的项目网站,不过数据库没有在linux系统配置搭建,用的是云数据库。如果有想法想自己全套都配置在linux上给连接(八到十章):https://blog.csdn.net/java_wxid/article/category/8600719
让我吐槽一下先,坑爹啊。。我只是想换个换个win7&linux双系统而已啊,之前换过几百台都没出错,怎么这次装了一下午都失败啊,,各种硬盘错误,各种内存出错,要么是装上系统,看着下一步,鼠标键盘没法点,我++。。算了,没法吐槽。反正最后只装上了ubuntu。。
提权,顾名思义就是提升权限,当我们 getshell ⼀个⽹站之后,⼤部分情况下我们的权限是⾮常低的,这时就需要利⽤提权,让原本的低权限(如只允许列⽬录)→ ⾼权限(拥有修改⽂件的能⼒),权限提升后,对接下来的渗透有很⼤帮助
可以配置 FQDN,AdminEmial,Organization,LogModule,Default language,CheckMXRecord
还不会在局域网申请 ssl 及配置的可以参考之前的文章 前后端都用得上的 Nginx 日常使用经验
本来,我是在看一篇科普文章的,做着提到了safe3这个漏扫工具,我就向想试一下这个工具如何,利用google hacking找了一个php的站,扫描完提示有可能存在sql注入,那还等什么就直接开始操练了。
数据是企业核心资产,数据对企业而言是最重要的工作之一。稍有不慎,极有可能发生数据无意泄露,甚至被黑客恶意窃取的风险。每年业界都会传出几起大事件,某知名或不知名的公司被脱裤(拖库的谐音,意思是整个数据库被黑客盗取)之类的。
drupal是目前网站系统使用较多一个开源PHP管理系统,架构使用的是php环境+mysql数据库的环境配置,drupal的代码开发较为严谨,安全性较高,但是再安全的网站系统,也会出现网站漏洞,drupal是网站运行访问必不可少的一个分支,为了网站的安全,不被攻击者攻击,我们要对网站以及服务器进行全面的安全加固与安全设置,包括我们服务器安全设置,web安全设置,php环境安全设置,msyql数据库安全设置,都要详细的安全加固好,才能保障整个网站的安全稳定运行。
当你安装 WDCP 面板之后,就要开始用来添加和管理网站了。使用面板的好处就是可视化的管理网站,不用像 lnmp 那样使用命令行来操作。点几下按钮就可以创建一个功能完整的 php 网站了。下面我们来讲
uptime 1 5 15 分钟 平均负载是单位时间内,处于可运行状态和不可中断状态的进程数。 平均负载可能是CPU密集进程导致 也可能是IO导致。 Watch -d uptime 高亮显示变化的数字 mpstat -P ALL 5 1 监听所有CPU 5秒输出1组数据 Pidstat -u 5 1 间隔5秒输出一组数据 Pidstat -d 1 进程io Perf top -g -p 进程号 -g开启调用关系分析 -p指定进程号 查看进程内部调用的情况 Pstree -p|grep php-fpm 查找某个进程的进程数 父进程 dStat 1 10 间隔1秒 输出10组 观察CPU和IO使用情况
年底了,你的数据库是不是该巡检了?一般巡检都会关心密码安全问题,比如密码复杂度设置,是否有定期修改等。特别是进行等保评测时,评测机构会要求具备密码安全策略。其实 MySQL 系统本身可以设置密码复杂度及自动过期策略的,可能比较少用,大多数同学并未详细去了解。本篇文章我们一起来学习下如何设置数据库账号密码复杂度及自动过期策略。
领取专属 10元无门槛券
手把手带您无忧上云