杨宁互联网攻防以及安全团队组建

互联网攻防以及安全团队组建Aboutme安恒安全架构师主要关注风险评估，渗透测试，等级保护，ISMS体系建设,曾为多家银行服务，发现大量安全漏洞。ERP高级安全研究人员主要关注SAPnetweaver平台、ORACLEPeoplesoft安全架构等ERP安全问题。渗透测试资深工程师主要关注系统安全、网络安全、应用安全等评估，关注SDLC、SSECMM以及OWASP代码审计等等。联系方式：QQ:441303228Mail:[e-mail]分享主题国内安全形势互联网攻防实战安全团队组建未来研究方向国内安全形式漏洞涉及厂家腾讯542漏洞漏洞分布:1.XSS2.涉及权限逻辑问题3.敏感信息泄露4.SQL注入漏洞5.应用配置错误我的贡献Django框架漏洞Cacti0dayFreenas漏洞Hudson漏洞Squid漏洞Beanshell漏洞Exchange漏洞等等下面将会一一解析渗透测试趋势Struts大规模爆发XSS络绎不绝SQL依然存在配置问题依然存在逻辑问题得不到解决Thinkphp,zendframework重要安全性问题你关注了吗？WebservicesXML安全问题框架类漏洞分享主题提纲国内安全形势互联网攻防安全团队建设未来研究方向互联网攻防之struts篇越来越多的企业走向了JAVA，走向了SSH框架的怀抱，但是大家是否想过Struts的安全性问题?互联网攻防之Struts漏洞演示他们如何利用struts进入你的服务器??DEMO利用Struts进入某某运营商互联网攻防之thinkphp,zendframework在使用框架开发的同时你注意安全了吗？互联网攻防之thinkphp,zendframeworkZendframework读取任意文件漏洞选择的原因:脚本小子只会读取任意文件，高级黑客能拿来做什么？1.内网端口扫描2.内网服务器攻击3.HTTP攻击4.暴力破解互联网攻防之squidSquid的ACL你注意了吗?互联网攻防之squidDEMO某上市互联网公司SQUIDACL绕过F5漏洞互联网攻防之cacti0day你的cacti安全吗?1.同网段ARP到一个密码2.可猜测的口令3.同服务器上有其他应用互联网攻防之cacti0dayDEMODEMOCacti0day攻防互联网攻防之nagios互联网攻防之nagios某上市互联网公司存在命令执行漏洞,又一次杀入内网!互联网攻防之ganglia互联网攻防之zabbix互联网攻防之hudson1.新建一个任务选择Buildamaven2project2.在build下面的executewindowsshell的executeshell写入命令3.buildnow4.就可以了互联网攻防之jbossJboss认证绕过漏洞Jboss控制台未设置密码漏洞Jboss/invoker/JMXInvokerServlet漏洞互联网攻防之websphere互联网攻防之glassfish互联网攻防之weblogicWeblogicconsole默认密码Weblogicnodemanager绕过漏洞1.找到5556的SSL端口ncat--sslip5556输出HELLO+OKNodemanagerv10.3started2.设置domainDOMAINmy_domain\\ip\c$+OKCurrentdomainsetto'my_domain'3.输入用户你设置的用户密码USERweblogicPASSweblogic4.执行命令EXECSCRIPT1.sh互联网攻防之jetty互联网攻防之解析漏洞IIS6.0解析漏洞Nginx解析漏洞互联网攻防之IIS短文件名猜测漏洞猜测IIS服务器上的所有文件和文件名缺点:只能猜测文件名前6位以及后缀名的前三位互联网攻防之rsync,nfs某上市互联网公司CMS发布漏洞CMS生成html静态文件，然后通过RSYNC上传到NAS存储服务器某上市互联网公司NFS网络规则配错导致财务、点卡、ERP数据库暴露公网NFSDEMO互联网攻防之puppetPuppetnodemanager你上锁了吗互联网攻防之iis短文件名猜测互联网攻防之F5信息泄露漏洞此类型的漏洞我们在很多银行中发现，导致内网信息泄露。互联网攻防之vmwarevcenter互联网攻防之memcachedMemcached互联网攻防之oracle请参考2012年数据库大会中的主题ORACLE攻防与SOX审计下载地址:互联网攻防之其他攻击OWASPTOP101.sql注入2.XSS跨站3.失效的身份验证和会话管理4.不安全的直接对象引用5.CSRF6.安全配置错误7.不安全的加密存储8.没有限制URL访问9.传输层保护不足10.未验证的重定向和转发分享主题国内安全形势互联网攻防安全团队建设未来研究方向安全团队组建原则专业知识团队成员具备应对安全事件处理、应急、恢复、持续监控的能力效率防御安全事件的工作效率主动防御主动发现、主动防御、主动响应、主动恢复安全团队工作分工以及依据-安全运维团队安全运维团队1.系统层面加固2.ITIL流程化安全运维3.一线发现攻击行为4.一线应急能力工作参考依据1.ITIL2.ISO270023.CCE安全配置管理4.CVE漏洞库5.CEE日志表达式安全团队分工以及依据-网络安全团队网络安全团队1.负责网络安全架构2.负责网络设备安全渗透测试以及扫描3.QOS流量分析DDOS，病毒，网络攻击导致的异常4.OSPF,DHCP,STP,VTP,BGP协议通信加密以及防御5.负责防火墙、IDS、IPS等网络设备配置参考依据1.CISCOSAFE安全框架安全团队分工以及依据-安全开发团队安全开发团队1.负责安全开发编码规范2.负责安全开发生命周期安全的实施3.负责代码白盒审计参考依据1.OWASPCLASP安全生命周期开发2.微软SDLC3.OWASP开发指南4.OPENSAMM5.BSIMM安全团队分工以及工作依据-安全测试系统测试WEB测试网络测试参考依据1.ISSAF2.OSSTMM3.OWASPTESTINGGUIDE分享主题国内安全形势互联网攻防安全团队建设未来研究方向未来研究方向之WebservicesSOAP某银行webservices调用可以写入任意文件漏洞XMLXXE高级应用未来研究方向之SSRF如果你的ERP有漏洞，并且存在一个XXE的漏洞那么它通过一个webservices来攻击你的内部核心ERP，恐怖吧！！未来研究方向之ERP安全ORACLEpeoplesoft1.环境克隆导致的问题2.ORACLEERP默认密码3.ORACLEERP权限问题4.ORACLEERPiscript问题5.ORACLEERP中间件问题6.ORACLEERP数据库问题未来研究方向之ERP安全SAP未来研究方向之云安全Hadoopopenstack未来研究方向之框架漏洞SpringStrutsZendframeworkHibernateIbatis未来研究方向之NOSQLMongodbCassandraRedisCouchDBHBASE未来研究方向之业务安全NIST800-53国标18336CC标准Q&A