image.png 0x00 PHP安全检查引擎 Xcheck的php引擎支持原生php的安全检查，也支持对国内主流框架编写的web应用进行安全检查，覆盖包括Thinkphp,Laravel,CodeIgniter...覆盖漏洞类别包括但不限于以下: 命令注入 SQL注入 XSS XXE URL跳转 路径穿越 反序列化 代码执行 变量覆盖 ... 0x01 简单聊一下RIPS image.png 说到PHP代码工具化安全审计...RIPS是国外一家专门做代码安全检查的科技公司，凭借PHP代码安全检查出名。...但尽管RIPS在PHP代码安全审计这一领域研究可能超过10年(10年推出开源0.32版本)，还是会在一些地方有疏漏，盲目地迷信权威并不可取。...php $URL = $_GET[1]; $CH = curl_init($URL); curl_setopt($CH, CURLOPT_HEADER, FALSE); curl_setopt($CH,
但是，当他们确实专注于安全性时，通常会想到的就是典型的事情，例如防止SQL注入或访问控制错误，但是对安全性的关注应该远远超过这些。...访问控制 我们还提到了访问控制错误，这些错误在定制开发的应用程序中至关重要。这就像是用户提升自己的特权或访问未经授权访问的内容的能力。应当采取严格访问控制限制来验证执行受限操作和内容的高权限。...不仅是服务器上的root权限，还包括对Git存储库的写访问或云服务器账户中的实例访问权限。审核日志有助于跟踪谁做了什么，但是更重要的是确保合适的人员拥有所需的访问权限。...在授予访问权限时，要考虑的一个重要问题是，所需的最少特权是多少？Web应用程序不需要访问整个文件系统，需要不需要访问数据库，依此类推。...数据存储也不总是安全的，例如使用易破解的MD5或SHA1密码加密哈希算法存储的密码。确保使用加密安全的TLS证书和哈希算法（建议使用加盐的SHA512），可以大大减少未经授权的数据访问的脆弱性。
sudo -u redis //redis-server //redis.conf 2&1>/dev/null & 3.限制redis 配置文件访问权限...描述 因为redis密码明文存储在配置文件中，禁止不相关的用户访问改配置文件是必要的，设置redis配置文件权限为600, 加固建议 执行以下命令修改配置文件权限： chmod 600 /<filepath...要是配置里没有指定bind和密码，开启该参数后，redis只能本地访问，拒绝外部访问。...加固建议 redis.conf安全设置： # 打开保护模式protected-mode yes 7.开启redis密码认证,并设置高复杂度密码 描述 redis在redis.conf配置文件中，设置配置项...检查提示 存在弱密码(配置文件|密码):/usr/local/redis/redis.conf|zh****uo 加固建议 打开redis.conf，找到requirepass所在的地方，修改为指定的密码
1.ZooKeeper未授权访问 描述 ZooKeeper在未设置访问控制情况下，攻击者可通过执行envi命令获得系统大量的敏感信息，任务用户或者客户端不需要认证就可以连上zk的服务端，并且可以对znode...进行增删等操作，非常不安全的，极易被攻击和篡改。...加固建议 可以使用以下方法修复 限制Zookeeper直接暴露在公网，将端口绑定地址改为127.0.0.1 设置访问控制 增加一个认证用户 addauth digest 用户名:密码明文 设置访问控制权限...setAcl /path auth:用户名:密码明文:权限 例如给根目录设置权限：setAcl / auth:user1:password1:cdrwa 设置IP白名单访问控制 如给192.168.0.0.../24网段设置白名单，在设置IP白名单时，将本机ip 127.0.0.1也加上，让本机也可以访问及修改 setAcl / ip:127.0.0.1:cdrwa,ip:192.168.0.1/24:cdrwa
1.jenkins未授权访问 描述 jenkins不当配置可导致未授权访问管理控制台,可以通过脚本命令行执行系统命令。...若使用了安全矩阵，确保anonymous用户不能具有read之外的权限 Jenkins会默认安装一些插件，但是可能还不够，我们需要另外安装一些； 我们需要 确保下面的插件都已经安装，后面需要用到： Ant
1.为svn服务设置高复杂度口令 描述 svn在/conf/svnserve.conf配置文件中，配置密码存储路径，根据password-db的配置可以找到密码...
1.ES未授权访问 描述 ElasticSearch是一款Java编写的企业级搜索服务，未加固情况下启动服务存在未授权访问风险，可被非法查询或操作数据，需立即修复加固。...检查提示 主目录:/usr/local/alibaba/es/es/elasticsearch | /usr/local/alibaba/es/es/elasticsearch | /usr/local.../alibaba/es/es/elasticsearch 加固建议 限制http端口的IP访问，不对公网开放 修改主目录下 config/elasticsearch.yml 配置文件，将network.host...配置为内网地址或者127.0.0.1 network.host: 127.0.0.1 使用x-pack插件为Elasticsearch访问增加登录验证 在主目录下运行 bin/elasticsearch-plugin
Some key security features include: MongoD提供了各种各样的功能让你安全地部署MongoDB，诸如：身份认证、访问控制、加密。...验证 LDAP 代理验证 静态加密 审计 客户端字段级加密 Security Checklist 安全检查列表 MongoDB also provides the Security Checklist...MongoDB还为如何保护MongoDB部署提供了一个建议的操作列表即安全检查列表 Last updated: 2019-12-05 最后更新于：2019-12-05 This documents provides...定期检查MongoDB产品通用漏洞披露并且更新你的产品。...定期对你的设备打补丁并且检查操作指南 检查策略及流程变更，尤其是网络规则的更改，以防无意中将MongoDB暴露在互联网。 检查MongoDB数据库用户并定期进行轮换。
docker服务 systemctl daemon-reload systemctl restart docker 12.确认docker相关的文件具有合适的权限 描述 确保可能包含敏感参数的文件和目录的安全对确保...Docker守护程序的正确和安全运行至关重要 加固建议 执行以下命令为docker相关文件配置权限： chown root:root /usr/lib/systemd/system/docker.service...例如 service auditd restart 14.Docker未授权访问 描述 docker swarm 是一个将docker集群变成单一虚拟的docker host工具，使用标准的Docker...如果端口开放公网访问且未设置认证，会导致代码泄露、获取服务器root权限的等漏洞。...加固建议 可以使用以下方法修复 限制Docker Remote API端口的公网访问，将端口绑定地址改为127.0.0.1 开启TLS，参照官方文档配置 Remote API 的认证措施
禁止使用root用户启动 | 访问控制 描述 使用root权限去运行网络服务是比较有风险的（nginx和apache都是有独立的work用户，而redis没有）。...redis sudo -u redis //redis-server //redis.conf 操作时建议做好记录或备份 禁止监听在公网 | 访问控制...加固建议 在redis的配置文件redis.conf中配置如下：bind 127.0.0.1或者内网IP，然后重启redis 操作时建议做好记录或备份 打开保护模式 | 访问控制 描述 redis默认开启保护模式...要是配置里没有指定bind和密码，开启该参数后，redis只能本地访问，拒绝外部访问。...加固建议 redis.conf安全设置： # 打开保护模式protected-mode yes 操作时建议做好记录或备份 限制redis 配置文件访问权限 | 文件权限 描述 因为redis密码明文存储在配置文件中
控制台弱密码检查 | 身份鉴别 描述 tomcat-manger是Tomcat提供的web应用热部署功能，该功能具有较高权限，会直接控制Tomcat应用，应尽量避免使用此功能。...如果host的deployOnStartup属性(如没有deployOnStartup配置可以忽略)为“true”，则也将其更改为“false” 操作时建议做好记录或备份 Tomcat目录权限检测 | 访问控制...> 修改tomcat目录文件所有者，如chown -R tomcat:tomcat /usr/local/tomcat 操作时建议做好记录或备份 Tomcat进程运行权限检测 | 访问控制...描述 Tomcat需要保存输出日志，以便于排除错误和发生安全事件时，进行分析和定位 加固建议 1、修改Tomcat根目录下的conf/server.xml文件。...listings false 操作时建议做好记录或备份 删除项目无关文件和目录 | 访问控制 描述
编辑/my.cnf文件，[mysqld] 段落中配置新的端口参数，并重启MySQL服务： port=3506 7.禁用symbolic-links选项 描述 禁用符号链接以防止各种安全风险...log_path>代表存放日志文件路径，如：/var/log/mysqld.log，并重启mysql服务： log-error= 10.删除’test’数据库 描述 测试数据库可供所有用户访问
加固建议 删除系统环境变量中MySQL密码(MYSQL_PWD)配置 2.匿名登录检查 描述 检查MySQL服务是否允许匿名登录 加固建议 登录MySQL数据库，执行以下命令删除匿名账户： delete...from user where user=''; flush privileges; 3.确保log-raw选项没有配置为ON 描述 当log-raw记录启用时，有权访问日志文件的人可能会看到纯文本密码...conf_path>/my.cnf，删除log-raw参数，并重启mysql服务 4.禁止使用–skip-grant-tables选项启动MySQL服务 描述 使用此选项，会导致所有客户端都对所有数据库具有不受限制的访问权限...受限账户将无法访问与MySQL无关的资源，例如操作系统配置。 加固建议 使用非root和非sudo权限用户启动MySQL服务
下配置proxy_hide_header项； 增加或修改为 proxy_hide_header X-Powered-By; proxy_hide_header Server; 操作时建议做好记录或备份 检查是否配置...4、 修改配置文件中的nginx启动用户修改为nginx或nobody 如： user nobody; 如果您是docker用户，可忽略该项（或添加白名单） 操作时建议做好记录或备份 检查Nginx进程启动账号...操作时建议做好记录或备份 Nginx的WEB访问日志记录状态 | 服务配置 描述 应为每个核心站点启用access_log指令。默认情况下启用。...加固建议 开启Nginx的WEB访问日志记录： 1、打开conf/nginx.conf配置文件； 2、在http下配置access_log项access_log logs/host.access.log...为配置文件的路径，如默认/安装目录/conf/nginx.conf或者/etc/nginx/nginx.conf，或用户自定义，请 自行查找) 操作时建议做好记录或备份 针对Nginx SSL协议进行安全加固
1.确保docker.sock不被挂载 描述 docker.sock挂载的容器容易被获取特殊权限，一旦危险进入到docker中，严重影响了宿主机的安全 加固建议 按照提示<container...有权访问容器的人最终可以知道主机系统上正在运行的所有进程，甚至可以从容器内部杀死主机系统进程。 这可能是灾难性的。 因此，请勿与容器共享主机的进程名称空间。...这些更改可能会降低安全隐患或不必要的更改，这些更改可能会使Docker主机处于受损状态。 如果您是k8s或其他容器编排软件编排的容器，请依照相应的安全策略配置或忽略。
5.允许Docker对iptables进行更改 描述 iptables用于在Linux内核中设置，维护和检查IP数据包过滤器规则表。 允许Docker守护程序对iptables进行更改。...read-only --volume 如果您是k8s或其他容器编排软件编排的容器，请按照相应的安全策略配置或忽略
PASS_MIN_DAYS 参数设置为7-14之间,建议为7： PASS_MIN_DAYS 7 需同时执行命令为root用户设置： chage --mindays 7 root 操作时建议做好记录或备份 密码复杂度检查...| 身份鉴别 描述 检查密码长度和密码是否使用多种字符类型 加固建议 1、安装PAM的cracklib模块，执行命令： apt-get update&&apt-get install libpam-cracklib...success=1 default=ignore] pam_unix.so开头的这一行增加配置remember设置为5-24之间，建议为5，即在行末尾加上参数remember=5 操作时建议做好记录或备份 检查系统空密码账户...| 身份鉴别 描述 检查系统空密码账户 加固建议 为用户设置一个非空密码，或者执行passwd -l 锁定用户 操作时建议做好记录或备份 确保SSH MaxAuthTries...PermitEmptyPasswords配置为no: PermitEmptyPasswords no 操作时建议做好记录或备份 设置SSH空闲超时退出时间 | 服务配置 描述 设置SSH空闲超时退出时间，可降低未授权用户访问其他用户
0x01 介绍 最近在做安全基线检查相关的，网上有一些代码比较零散；也有一些比较完整的项目，比如owasp中的安全基线检查项目，但是收费；还有一些开源且完整的，比如lynis，但是不符合我的要求。...最好能够达到阿里云里的安全基线检查的样子，差一点的话也没关系啦。本篇文章是代码中在centos7和win2012系统中将要检查的项目，参考CIS标准而来。...客户端基线搜集与检查代码在SecurityBaselineCheck现在完成了Centos和Windows2012基线检查的编写，脚本(简称agent)只在要检查的服务器上运行并显示检查结果。...将Agent拖到要进行基线检查的服务器上，以管理员权限运行agent 4. 访问后端服务器可视化展示界面：http://112.112.112.112:8888), 点击基线检查，查看扫描记录 ?...点击Click Me查看检查结果 ? 该页面会显示进行检查的每一项的扫描结果与检查结果，并根据相应计算得出相应的分数。
二、安全检查内容是什么（what） 安全检查的主要内容包括对企业的安全合规情况、安全保障情况（技术和管理）进行检查。...四、安全检查周期（when） 建立常态化安全检查机制。...六、如何做安全检查（how） （一）安全检查的工作流程 安全检查的工作流程及各阶段任务活动如下图： （二）安全检查的工作方式 安全检查小组在现场实施安全检查工作时一般包括安全访谈、安全核查和技术测试三种主要的方式...4、检查结果输出 安全检查小组根据合规检查、技术检查和分析评估得到的结果，输出正式的安全检查报告。...、安全缺陷、业务数据等； 2、在安全检查活动实施之前，安全检查小组应彻底清理安全检查工具（包括移动存储介质、电脑等）中的风险隐患（如恶意程序、漏洞等），确保安全检查工作所用到的工具绝对安全； 3、注意安全检查过程中风险的规避
定期的来检查电脑的安全系统，以及一些其他的系统安全问题，可以有效的预防电脑漏洞的出现以及安全隐患的出现。现在来了解一下linux主机安全基线检查脚本怎么做？...linux主机安全基线检查脚本 linux主机安全基线检查脚本是Linux主机安全维护当中重要的一环。通过主机安全基线检查脚本可以有效的防止和提前发现一些主机问题。...安全基线检查脚本里面包含多项内容，所以在进行安全检查的时候，应当对每一项细致的内容都进行安全检查。这个可以从网上搜索一些教程来自己检查，也可以让专业的it服务人员来帮助电脑进行系统检查。...安全基线的检查内容 上面已经提到linux主机安全基线检查脚本是非常重要的一件事情，那么在安全基线的检查当中，都有哪些内容需要检查呢？首先是要进行共享账号的检查。还有多余账户锁定策略检查。...除此之外，安全基线的检查内容还有好多，在进行专业的脚本检查时，应当全部检查毫无遗漏。并且定期进行检查，防止其他的漏洞出现。 以上就是linux主机安全基线检查脚本怎么做的相关内容。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
