十大网络黑客技术菜鸟教程_网络基础入门

十大网络黑客技术菜鸟教程

“   通过社区投票将51个提名减少到15个决赛入围者之后,由NicolasGrégoire,Soroush Dalili,Filedescriptor和我本人组成的专家小组授予,投票并选择了2019年的十大新的网络黑客技术。 

十大网络黑客技术菜鸟教程_网络基础入门

每年,专业研究人员,经验丰富的测试者,赏金猎人和学者发布大量博客文章,演示文稿,视频和白皮书。无论他们是建议新的攻击技术,重新混合旧的技术还是记录发现,这些技术中许多都包含可以在其他地方应用的新颖思想。

但是,在如今这些带有徽标和营销团队的漏洞不断涌现的时代,创新技术和创意很容易被噪声所遗漏,这仅仅是因为它们的声音不够大。因此,我们每年都会与社区合作,寻找并奉献十种我们认为经得起时间考验的技术。

我们认为这十项是去年发布的最具创新性的Web安全性研究的关键。每个条目都包含有抱负的研究人员,测试人员,漏洞赏金猎人以及对Web安全的最新发展感兴趣的其他人的见解。

社区最受欢迎的-HTTP异步攻击

社区投票最多的条目是HTTP异步攻击,在该条目中,我恢复了人们长期以来遗忘的HTTP请求走私技术,从而获得了超过9万美元的错误赏金,两次入侵PayPal的登录页面,并启动了一系列调查结果为更广泛的社区。我认为这是迄今为止我最好的研究,但是我做出了战术决定,将其排除在官方的前十名之外,因为我不可能写一篇文章来宣布我自己的研究是最好的。

10.利用Null Byte缓冲区溢出获得$40,000的赏金

排名第十的是Sam Curry和他的朋友们,我们有一个令人心碎的安全漏洞 记忆 。 这一关键但容易被忽视的漏洞几乎肯定会影响到其他网站,并提醒我们,即使你是一个专家,仍然有一个地方可以仅仅进行模糊测试并留意任何意外情况。

9.Microsoft Edge(Chromium)-EoP到潜在的RCE

在这篇文章中,Abdulrhman Alqabandi使用web和二进制攻击的混合体,对任何使用微软新的Chromium-Powered Edge(又名Edgium)访问其网站的人进行攻击。

现已提供40,000美元的赏金,现在已进行了修补,但这仍然是漏洞利用链的一个很好的例子,该漏洞利用链结合了多个低严重度漏洞以实现关键影响,还很好地展示了网络漏洞如何通过特权来源渗透到您的桌面上。 它启发了我们更多的可攻击性,以通过扫描chrome对象来检测它何时位于特权来源上。

要进一步了解浏览器战场中的网络漏洞混乱情况,请查看Firefox中的远程代码执行(内存破坏除外)。

8.像NSA一样渗透企业内部网: 领先的SSL VPN的预认证RCE

现任得奖者Orange Tsai与Meh Chang一起首次露面,并揭露了在SSL VPN中出现了多个未经身份验证的RCE 漏洞。

VPN在互联网上享有的特权地位意味着,就纯粹的影响力而言,这是最好的选择。 尽管所使用的技术在很大程度上是经典技术,但它们使用了一些创造性的技巧。 这项研究有助于引发针对SSL VPN的审核浪潮,从而得出了许多发现,包括上周发布的一系列SonicWall漏洞。

7.探索CI服务作为漏洞赏金猎人

现代网站是由众多依靠相互识别的服务拼凑而成的, 当这些漏洞泄漏时,信任之网就会瓦解。 持续集成存储库/日志中泄露的机密很常见,而通过自动化查找它们的机率甚至更高。

然而,EdOverflow等人的这项研究系统地为被忽视的案例和潜在的未来研究领域提供了新的思路。 这也很可能是热闹的站点/工具SSHGit的灵感来源。

6.来自.NET附带的XSS

关注新颖的研究是我工作的核心部分,但是当这篇文章首次发布时,我仍然完全错过了这篇文章。 幸运的是,社区中的某人拥有更敏锐的眼睛并获得提名。

PawełHałdrzyński 继承了.NET框架的鲜为人知的旧功能,并展示了如何使用它来向任意端点上的URL路径添加任意内容,当我们意识到甚至我们自己的网站都支持它时,我们感到有些恐慌。

这让人联想到“相对路径覆盖”攻击,这是一个可能会触发漏洞攻击链的奥秘。 在该帖子中,它已用于XSS,但我们强烈怀疑将来还会出现其他滥用情况。

5.Google搜索XSS

Google搜索框可能是地球上经过最严格测试的输入,因此Masato Kinugawa是如何做到XSS的,这是无法理解的,直到他通过与同事LiveOverflow的合作揭示了漏洞信息。

这两个视频提供了一个关于如何通过阅读文档和模糊化来发现DOM解析错误的可靠介绍,同时也罕见地展示了这一伟大漏洞利用背后的创造力。

4.针对未经身份验证的RCE滥用元编程

Orange Tsai在两篇文章中进行了介绍了Jenkins具有预认证的RCE。 在绕过身份验证是好的,但我们最喜欢的创新是使用元编程来创建一个后门,在编译时执行,在众多环境的约束。 我们希望将来会再次看到元编程。

这也是研究持续发展的一个很好的例子,因为后来该漏洞利用被多个研究人员所改进。

3.通过服务器端请求伪造来拥有影响力

该演讲由本Sadeghipour和Cody Brocious概述了现有的SSRF技术,展示了如何将它们应用到服务器端的PDF生成器,然后将DNS重新绑定引入到组合中以获得良好的效果。

针对PDF生成器的工作是对功能类的深刻见解,而这些功能类太容易被忽略了。 我们第一次看到服务器端浏览器上的DNS重新绑定出现在2018年提名列表中,并且HTTPRebind的发布应有助于使此攻击比以往更易于攻击。

最后,我对此可能是错的,但是我怀疑这个演示文稿可能值得赞扬,因为它最终说服了亚马逊考虑保护其EC2元数据终结点。

2.跨站泄漏

跨站泄漏已经持续了很长时间,最早在10年前就被记录下来,并在去年跻身我们的前十名,直到2019年,人们才开始意识到这种攻击类别及其庞大的疯狂变种。

如此规模的信用很难分摊,但我们显然要感谢Eduardo Vela用一种新技术简洁地介绍了这一概念,共同努力建立已知的XS-Leak向量的公开清单,以及研究人员将XS-Leak技术应用的效果很好。

XS-Leaks已经对Web安全领域产生了持久影响,因为它们在浏览器XSS过滤器的消失中发挥了重要作用。 块模式XSS过滤是XS-Leak向量的主要来源,这与更糟糕的过滤模式问题相结合,以说服Edge和后来的Chrome放弃过滤器,这是web安全的胜利,也是web安全研究人员的灾难一样。

1.缓存和困惑: 狂野中的Web缓存欺骗

在这篇学术白皮书中,Sajjad Arshad等人采用了Omer Gil的Web缓存欺骗技术(该技术在2017年我们的前10名中排名第二),并在Alexa Top 5000网站上共享了对Web缓存欺骗漏洞的系统研究。

出于法律原因,大多数攻击性安全研究是在专业审核期间或在有漏洞赏金计划的网站上进行的,但是通过认真的道德操守,这项研究可以使您更广泛地了解网络上的安全状态。 借助精心设计的方法(可以轻松地适用于其他技术),他们证明了Web缓存欺骗仍然是普遍存在的威胁。

除了方法论外,另一个关键创新是引入了五种新颖的路径混淆技术,这些技术扩大了易受攻击的网站的数量。 与许多提供程序本身相比,它们在记录Web缓存提供程序的缓存行为方面也做得更好。 总体而言,这是社区将现有研究朝着新的方向发展的极好例子,也是当之无愧的第一!

结论

年复一年,我们看到伟大的研究源于其他人的想法,因此,我们要感谢所有花时间发表他们的发现的人,无论是否提名。

海计划公众号
(0)
上一篇 2020/03/20 04:05
下一篇 2020/03/20 04:05

您可能感兴趣的内容

  • pigcms使用帮助_一个基于php+mysql的多用户微信营销源码程序

    pigcms使用帮助 官方网址:http://www.pigcms.com/ 简介描述:一个基于php+mysql的多用户微信营销源码程序 PigCms(又称小猪CMS)是一个基于…

    2020/03/11
  • 玩转HTML5 下 WebGL 的 3D 模型交并补新手入门_WebGL小白入门

    建设性的立体几何具有许多实际用途,它用于需要简单几何对象的情况下,或者数学精度很重要的地方,几乎所有的工程 CAD 软件包都使用 CSG(可以用于表示刀具切削,以及零件必须配合在一起的特征)。CSG 是 Constructive Solid Geometry 建模技术的简称,通过裁剪 subtract、融合 union 和相交 intersect 的运算,组

    2020/04/06
  • 优化网站性能规则菜鸟教程网前端性能优化策略【网络加载、页面渲染】_性能基础入门

    网络加载类减少 HTTP 资源请求次数合并静态资源图片、JavaScript 或 CSS 代码,减少页面请求数和资源请求消耗避免重复的资源,防止增加多余请求减小 HTTP 请求大小减少没必要的图片、JavaScript、CSS 及 HTML 代码对文件进行压缩优化使用 gzip 等方式压缩传输文件将 CSS 或 JavaScript 放到外部文件中,避免使用

    2020/04/05
  • Vue.js 自定义指令使用场景及案例小白入门_指令小白知识

    1. 使用场景代码复用和抽象的主要形式是组件当需要对普通 DOM 元素进行底层操作,此时就会用到自定义指令但是,对于大幅度的 DOM 变动,还是应该使用组件2. 钩子函数一个指令定义对象可以提供如下几个钩子函数 (均为可选):bind:只调用一次,指令第一次绑定到元素时调用。在这里可以进行一次性的初始化设置。 inserted:被绑定元素插入父节点时调用 (

    2020/03/29
  • jQueryRotate.js教程视频一款跨浏览器控制图片旋转jquery插件

    jQueryRotate.js基础入门 官方网址:http://jqueryrotate.com GitHub:https://github.com/wilq32/jqueryro…

    2020/03/05
  • Mac谷歌(chrome)浏览器快捷键入门攻略_快捷键基础指南

    1. 标签页和窗口快捷键⌘-N打开新窗口。⌘-T打开新标签页。⌘-Shift-N在隐身模式下打开新窗口。按 ⌘-O,然后选择文件。在 Chrome 浏览器中打开计算机中的文件。按住 ⌘ 的同时点击链接。或用鼠标中键(或鼠标滚轮)点击链接。从后台在新标签页中打开链接。按住 ⌘-Shift 的同时点击链接。或按住 Shift 键的同时用鼠标中键(或鼠标滚轮)点击

    2020/03/29
  • 拒绝服务(DoS)攻击:成也矿工,败也矿工入门基础教程_攻击小白帮助

    摘要:我们发现了一种针对类似比特币区块链的拒绝服务攻击,这种攻击模式比之前的攻击模式成本要低得多(只需全网20%算力)。区块链依赖于激励机制来保证系统安全。我们展示了攻击者如何破坏这些激励机制,从而导致理性的挖矿者停止挖矿。自互联网诞生以来,拒绝服务(DoS)攻击问题(也称为洪水攻击)就一直在困扰着互联网。DoS攻击者以各种服务为目标,旨在获取乐趣和利润。最

    2020/03/20
  • sketchswap基础知识入门_一画换一画

    sketchswap基础知识入门 官方网址:http://www.sketchswap.com/ 简介描述:一画换一画 在这个网站你可以自由涂鸦。自由涂鸦的网站不少,但是这个网站好…

    2020/03/11
  • Rickshaw小白基础一个用于绘制时序图的简单 jS 库

    Rickshaw基础入门 官方网址:https://shutterstock.github.io/rickshaw GitHub:https://github.com/shutte…

    2020/03/05
  • 人是怎么废掉的?第一条就戳中了 90% 的年轻人入门知识_年轻人小白入门

    人是怎么废掉的?0 1沉溺于「轻易获得高成就感」的事情有意无意地寻求用很小付出获得很大「回报」的偏方,哪怕回报是虚拟的。这种行为会提升自己的「兴奋阈值」,让人越来越不容易拥有成就感,从而越来越依赖虚拟的成就感,陷入恶性循环。症状轻的 :沉溺游戏 (在虚拟世界中加快时间流逝的速度,使得「成功」来得更快)、 种马小说 (意淫人能轻易获得想要的东西);症状重甚至犯

    2020/03/26
  • 为什么区块链是不可篡改的?菜鸟指南_区块链入门基础

    区块链的数据结构是由包含事务信息的块按远近顺序排列的。块按远近顺序在这个链中链接,每个块都指向前面的块。区块链通常被视为一个垂直堆栈,第一个块是堆栈底部的第一个块,然后将每个块放在前一个块的顶部。使用堆栈将块依次堆叠的概念可视化之后,我们可以使用一些术语,如“高度”来表示块与第一个块之间的距离;和“top”或“top”表示新添加的块。每个块头生成一个SHA2

    2020/03/23
  • 加密货币领域的 12 个关键问题攻略教程_加密小白常识

    在加密货币领域,哪些问题至关重要而又至今没有确切的答案?哪些问题对加密货币格局的最终形态和最佳公司的前景能产生最重大的影响?我想试着一一指出!用 12 条推文提出以下 12 个问题。1/ 去中心化问题就像生活和工程中所有美好的事物一样,去中心化不是免费的。去中心化在何时何地最为重要?新形成的加密技术堆栈的哪些部分应该去中心化,哪些部分并不需要?2/ 多元主义

    2020/03/23
  • 实现一个美化原生拖拽的draggable-polyfill基础教程_拖拽菜鸟指南

    拖拽的实现在HTML5还未普及之前,实现元素的拖拽还算是一件比较麻烦的事,大概思路就是监听鼠标移动相关事件,下面是伪代码oDiv.onmousedown = function(ev){//记录起始位置
    }
    document.onmousemove = function(ev){//移动目标元素
    }
    document.onmouseup = function(

    2020/03/23
  • MarkOne入门攻略_基于浏览器视频笔记扩展插件

    MarkOne入门攻略 官方网址:http://markonenote.com/ 简介描述:基于浏览器视频笔记扩展插件 Mark One是一款基于谷歌浏览器的扩展插件,其功能是帮助…

    2020/03/11
  • dsa.js使用说明_数据结构和算法在JavaScript中解释和实现

    dsa.js使用说明 官方网址:https://books.adrianmejia.com GitHub:https://github.com/amejiarosario/dsa….

    2020/03/10
  • 提高 Js性能的 12 个技巧小白入门_技巧入门基础教程

    在创建 Web 应用程序时应始终考虑性能。为了帮助你开始,本文列举了有效提高应用程序性能的 12 种方法。性能是创建网页或应用程序时最重要的一个方面。没有人想要应用程序崩溃或者网页无法加载,或者用户的等待时间很长。根据 Kissmetrics,47%的访问者希望网站在不到 2 秒的时间内加载,如果加载过程需要 3 秒以上,则有 40%的访问者会离开网站。考虑

    2020/03/26