网络安全实战基础——实战工具与攻防环境介绍

一、实战集成工具

1. 虚拟机

  1. VMware Workstation:大家熟知的虚拟机

  2. Virtual Box:开源免费、轻量级

2. Kali Linux

工具集

  1. 信息收集
  • Nmap:免费开放的网络扫描和嗅探包,可探测主机是否在线,扫描主机端口和嗅探网络服务、推断主机所用的操作系统。
  • Recon-NG:用Python编写的开源Web侦查信息收集框架。
  1. 扫描类
  • Nessus:世界上最流行的漏洞扫描程序,可同时在本机或远端上遥控,支持自定义插件
  • BurpSuite:为其它工具提供一个能处理并显示HTTP消息、持久性、认证、代理、日志、警报的强大的可扩展的框架
  1. 渗透类
  • Subterfuge:Python编写的中间人攻击框架,集成代码注入、隧道模块、网络视图控制接口功能
  • Metasploit:免费、可下载的框架,内含大量渗透攻击工具
  1. 密码类
  • mimikatz:密码抓取破解神器
  • Hydra:暴力密码破解工具
  1. 无线网络
  • aircrack-ng:无线网络破解工具
  • Gerix Wifi Cracker:嗅探无线网络数据
  1. 取证类
  • Wireshark:网络封包分析软件。可对网络上的数据分组截取并分析。
  • Maltego:具有优秀的开源情报搜集能力,可深入挖掘域名信息、收集相关新闻报道等

3. BlackArch Linux

基于Arch Linux的发行版,服务于系统渗透测试人员及安全研究人员

4. Metasploit

集成在Kali Linux系统中
基本模块如下:

  • 渗透模块
  • 辅助模块
  • 攻击载荷模块
  • Shellcode模块

二、其他渗透工具集成系统

  • BackBox
    基于Ubuntu,被开发用于网络渗透测试安全评估,同时包含了一些最常用的Linux安全及分析工具,使用群体十分广泛:Web 应用程序分析、网络分析、压力测试、嗅探,漏洞评估、计算机取证分析以及漏洞利用。快捷易于使用。
  • Parrot Security
    -基于 Debian GNU/Linux 的操作系统,混合了 Frozenbox OS 和Kali Linux,提供最优质的渗透测试体验。
  • DEFT
    (数字证据及取证工具箱)是一款带有高级数字响应工具的基于Linux Kerel 3的操作系统,包含了最佳的硬件用于应急响应和计算机取证的其他开源应用软件。
  • Live Hacking
    一款基于Linux的带有强大渗透功能的黑客工具。自带的工具可进行Hacking信息探察、密码破解、网络嗅探、欺骗(或伪装)和无线网络工具等。提供了一个内置GNOME的图形界面,同时也能支持命令行。
  • Samurai Web Security Framework
    基于 Live Linux 环境下的预置了Web渗透测试的系统,包含了多款优秀的开源和免费测试工具。开发者已经把包括侦查、映射、探索和利用的攻击的4个步骤都集成到了发行版中。
  • Network Security Toolkit( NST )
    基于FedoraCore。这份工具包主要目的是理员提供一套较全面的开源网络安全工具,能够方便地使用。可以执行网络流量分析、入侵监测、无线网络监控和模拟系统服务,或是用作一台精密的网络/主机扫描器。
  • BugTrag
    一个完整的对计算机安全漏洞的公告及详细论述进行适度披露的邮件列表。是一个很全面的发行版,包括了优化后的、稳定的实时自动服务管理器。基于Linux内核3.2和3.4,支持32位和64位。
  • NodeZero
    基于Ubuntu搭建的、专门用于渗透测试的完整系统,保证不断更新,磁盘安装和自由可定制,提供300个用于渗透测试的工具和一系列基本服务程序。
  • Pentoo
    专为渗透测试和安全评估之用。提供了 32 位和 64位的 Live CD。功能有数据分组注入、GPU破解软件等。自身携带了大量的自定义工具和内核。
  • GnackTrack
    是一个开放、自由的项目,目的是将渗透测试工具与Linux Gnome桌面相整合,是一款 Live(也可安装)的基于Ubuntu 的Linux 发行版,类似 BackTrack包含很多工具,这些工具对渗透测试很有帮助。
  • Blackbuntu
    这个发行版带来了如网络扫描、信息获取、渗透、漏洞识别,权限提升,无线网络分析、VoIP分析等名类工具。是一套专门为安全训练的学习者和信息安全的练习者准备的渗透测试系统,所以很适合初学者使用。
  • Knoppix STD
    从Ubuntu迁移到了Debian,现在的版本是一款基于Debian的LiveCD Linux 发行版。
  • Weakerth4n
    基于Debian Squeeze 的渗透测试系统,它的桌面环境用的是Fluxbox.
    这套系统很适合WiFi hacking,它包含了很多无线工具,最适用于 Wi-Fi攻击。它基于Debian Squeeze 发行版,具有 Wi-Fi攻击、Cisco漏洞利用、SQL 入侵、Web 入侵、蓝牙及其他功能。还有一个非常热心的社区。
  • Cyborg Hawk
    是迄今以来,最先进、强大而美观的渗透测试发行版,收集了最完备的具,包含了很多给专业的伦理黑客、网络安全专家们提供的优秀工具,可供专业的白帽黑客和网络安全专家使用。它带有700个以上的工具,而Kali Linux仅有300多个。

三、攻防模拟环境

1. DVWA

PHP+MySQL编写的(需要Apache+PHP+MySQL调试环境)
用于常规Web漏洞教学和检测的Web脆弱性测试程序,包含SQL注入、XSS、CSRF等常见安全漏洞
官方网址

2. WebGoat

WebGoat 是由著名的OWASP(Open Web Application Security Project)负责维护的一个漏洞百出的J2EE Web应用程序,使用Java编写,需要Apache Tomcat和Java环境。
WebGoat项目的主要目标很简单,就是为Web应用程序安全学习创建一个生动的交互式教学环境。其中设计了大量的 Web 缺陷,一步步地指导用户如何去利用这些漏洞进行攻击同时也指出了如何在程序设计和编码时避免这些漏洞。
war文件下载地址

3. SQLi-Labs

专业的SQL注入练习平台,基本操作均与SQL注入相关
依赖Web环境,需要先安装PHP和MySQL等,并对SQLi-Labs进行安装
安装源程序下载地址

可测试类型:

  1. 报错型注入(Union Select),包括字符串型和数字型
  2. 报错型注入(基于二次注入)
  3. 盲注,包括普通判定注入和基于时间的注入。
  4. 更新查询注入。
  5. 插入查询注入。
  6. HTTP头部注入,包括基于提供者、用户代理、Cookies 的注入。
  7. 二次排序注入。
  8. 绕过 WAF:绕过黑名单过滤剥离OR&AND、空格、注释和UNION&SELECT;阻抗不匹配。
  9. 绕过预定义字符。
  10. 绕过mysql real escape_string(特定条件下)。
  11. 多语句 SQL 注入。
  12. 带外通道提取。

4. Metasploitable

基于Ubuntu Linux,可以用来做网络安全学习训练测试安全工具以及练习通用的渗透测试技巧。由于基于Ubuntu,Metasploitable 就是用来作为攻击用的靶机,所以它存在大量未打补丁的漏洞,并且开放了无数高危端口。
所需虚拟机下载地址
登录系统的默认用户名和密码是msfadmin:msfadmin。

参考文献

网络空间安全实战基础 陈铁名 中国工信出版集团 人民邮电出版社

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/848138.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

云计算百科:类型、服务与业务优势一网打尽

了解云计算的权威指南是至关重要的,掌握云计算的类型、服务、用途以及它们如何为组织带来好处尤为重要。 假设某公司的员工正在办公室工作,突然间火警响起,原来IT部门的主服务器机房着火了,所有服务器都受到了影响。这一消息引发…

新一代企业共享服务中心,开启企业智慧管理决策新纪元

随着数字化浪潮加速来袭,企业面临着与以往全然不同的挑战与机遇。 业务与人员的增长致使服务请求与日俱增,业务类型愈加复杂,大量来自不同业务线的服务请求使内部服务压力增加。业务激增后只得依赖更多资源投入,势必掣肘服务效率。…

CSS函数: 实现数据限阈的数字函数

CSS函数中提供了几个比较实用的数字函数,它可以帮助我们实现一定的数学计算功能。常见的数字函数目前提供了五个:calc()、max()、min()和clamp()函数。其基本实现功能如下: calc():允许在声明 CSS 属性值时执行一些计算。max()&a…

eNSP学习——配置RIPv2认证

目录 主要命令 原理概述 实验目的 实验内容 实验拓扑 实验编址 实验步骤 1、基本配置 2、搭建RIP网络 3、模拟网络攻击 4、配置RIPv2简单验证 5、配置RIPv2 MD5密文验证 需要eNSP各种配置命令的点击链接自取:华为eNSP各种设备配置命令大全PD…

通过LabVIEW提升生产设备自动化水平

现代制造业对生产设备的自动化水平提出了越来越高的要求。使用LabVIEW这一强大的图形化编程环境,可以显著提升生产设备的自动化程度,改善生产效率和产品质量。本文将详细分析如何通过LabVIEW改善生产设备的自动化水平,并提供具体的实施策略与…

SpringBoot社区配送服务系统小程序-计算机毕业设计源码88705

摘要 随着科学技术的飞速发展,社会的方方面面、各行各业都在努力与现代的先进技术接轨,通过科技手段来提高自身的优势,社区当然也不例外。社区配送服务系统小程序是以实际运用为开发背景,运用软件工程原理和开发方法,采…

alist配合onlyoffice 实现在线预览

alist配合onlyoffice 实现在线预览 文章目录 alist配合onlyoffice 实现在线预览一、安装onlyoffice二、增加view.html文件三、安装nginx,并增加conf配置文件四、alist预览配置增加 一、安装onlyoffice 我是采用docker安装,采用的版本是7.2, …

Python 中有效地管理包和模块导入

Python 中有效地管理包和模块导入 核心原则Python项目目录结构参考资料 核心原则 在Python中有效地管理包和模块导入,遵循以下可确保代码的组织性、可读性和可维护性: 项目结构规划:项目应采用清晰的层次化结构,其中入口脚本所在…

Linux 环境安装 运行 python

在Linux环境中安装和运行Python通常是一个相对简单的过程。Python是一种解释型语言,这意味着你可以在安装后直接运行Python代码。以下是在Linux上安装和运行Python的基本步骤: 1. 检查是否已经安装了Python 首先,你可以通过在终端中输入pyt…

安装Acunetix

Acunetix是一个自动化的Web应用程序安全测试工具,可以扫描任何可通过Web浏览器访问的和遵循HTTP/HTTPS规则的Web站点和Web应用程序,提供全面的漏洞扫描服务,并生成响应的报告 # 1. 安装 代码语言:javascript 复制 [rootwhcode…

Shell-监控主机存活状态

1、ping命令 ping -c指定ping的次数 通过ping主机ip的方式来看主机是不是开启的,用于同一个局域网中的网络检测和开关机状态 2、脚本编写ping.sh #!/bin/bash #check host activeIP_LIST"10.67.68.85 10.67.48.4" for IP in $IP_LIST; doNUM1while [ …

高效管理近30万稳定运力,科技物流企业万联易达这样做

万联易达物流科技有限公司(以下简称“万联易达”),是由中泽集团投资设立的创新型物流科技企业。为提高平台数智化服务水平,提升业务开展效率,达到运输全场景合规化管理,万联易达平台引用法大大电子合同&…

在iPad上恢复丢失数据的3方法

iPad概览 iPad不仅可以用来看电影,还可以用来工作和学习。使用 Apple Pencil,您可以在 iPad 上做笔记、画画、制作音乐、编辑视频和在课堂上教学等。同时,由于体积小,您可以在商务旅行中轻松随身携带。因此,iPad已成为…

【成品设计】基于华大hc32F005c6ua的读取NFC卡

《基于华大hc32F005c6ua的读取NFC卡》 整体功能: 单片机:华大hc32F005c6ua 1、支持单片机spi接口读取nfc读卡器芯片rc522读写数据 2、读取到的数据可以通过单片机uart接口通信,上报给上位机(485主机) 3、uart接口支持modbus协议…

【运维项目经历|030】自动化运维任务调度系统:CronMaster

🍁博主简介: 🏅云计算领域优质创作者 🏅2022年CSDN新星计划python赛道第一名 🏅2022年CSDN原力计划优质作者 🏅阿里云ACE认证高级工程师 🏅阿里云开发者社区专家博主 💊交流社区:CSDN云计算交流社区欢迎您的加入! 目

IntelliJ IDEA智能编程插件AI Assistant

IntelliJ IDEA集成开发工具最新版本提供了人工智能AI编程助手的插件,AI Assistant使用手册的文档地址是AI Assistant | IntelliJ IDEA Documentation AI Assistant提供以下的编程能力以及工具特性: 与AI Assistant聊天,提问与项目相关或者与…

门外汉一次过软考中级(系统集成项目管理工程师)秘笈,请收藏!

24上软考考试已经结束,24下软考备考又要开启了!今年软考发生了改革,很多考试由一年考两次变成了一年考一次,比如高级信息系统项目管理师,比如中级系统集成项目管理工程师,这两科是高、中级里相对简单&#…

每周算法:01分数规划

题目链接 观光奶牛 题目描述 给定一张 N N N 个点、 M M M 条边的有向图,每个点都有一个权值 p i p_i pi​,每条边都有一个权值 w i w_i wi​。 求图中的一个环,使“环上各点的权值之和”除以“环上各边的权值之和”最大。 输出这个最…

【运维项目经历|029】NTP精准时间同步系统优化项目

🍁博主简介: 🏅云计算领域优质创作者 🏅2022年CSDN新星计划python赛道第一名 🏅2022年CSDN原力计划优质作者 🏅阿里云ACE认证高级工程师 🏅阿里云开发者社区专家博主 💊交流社区:CSDN云计算交流社区欢迎您的加入! 目

YOLOv8+PyQt5非洲动物检测(可以重新训练,yolov8模型,从图像、视频和摄像头三种路径识别检测)

效果视频:非洲动物检测yolo检测(https://mbd.pub/o/bread/mbd-ZpaYk51q)_哔哩哔哩_bilibili 资源包含可视化的非洲动物检测系统,基于最新的YOLOv8训练的非洲动物检测模型,和基于PyQt5制作的可视化非洲动物检测系统&am…