【小余送书第三期】CTF/AWD竞赛标准参考书+实战指南:《AWD特训营》,参与活动,领书咯!

本文主要是介绍【小余送书第三期】CTF/AWD竞赛标准参考书+实战指南:《AWD特训营》,参与活动,领书咯!,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

目录

一、背景介绍

二、内容简介

三、读者对象

四、本书目录

五、书籍概览

一、背景介绍

图片

随着网络安全问题日益凸显,国家对网络安全人才的需求持续增长,其中,网络安全竞赛在国家以及企业的人才培养和选拔中扮演着至关重要的角色。

在数字化时代,企业为了应对日益增长的攻击威胁,一般都在大量部署安全产品、安全设备,忙于查看各种安全设备、安全运营中心(SOC)、安全态势感知平台中的告警数据,期望在早期阶段就捕获到攻击者行为并实现以下4个目标:一是最大限度减少攻击者的入侵时间,尽可能让其丧失对目标的访问,或者令其攻击成功后的停留时间最短;二是最大限度降低攻击者入侵成功后的横向移动速度,限制其在网络上的横向移动;三是以最快的速度清理后门,防止其重新进入网络资产;四是尽可能提高攻击溯源速度,掌握攻击者的动机和手法。在这个攻防博弈的过程中,你需要掌握丰富的攻防技术知识,懂得各类应用、服务、系统的防护手段及攻击手法,不断地提升自己对攻击者意图的理解水平,并通过丰富的实战场景来锻炼、培养自己的能力。于是,AWD竞赛应运而生。在AWD竞赛中,每个团队都有自己的网络资产,在攻击其他团队资产的同时,也要保护好自己团队的资产不被攻击。在不同的场景环境中,攻击手法和防御手段均不同。与传统的夺旗赛(CTF)相比,AWD更具趣味性和实战性。

图片

图片

图片

扫码了解↑ 京东旗舰店)(京东自营店)

在本书中,作者通过其丰富的参赛经验、长期的攻防对抗技术积累,围绕常见工具、常见加固措施、常见攻击手法、常见漏洞分析等展开“手把手”教学,帮助读者了解AWD竞赛的各项内容以及攻防技术与工具的实际应用。本书是包含技术解析和技巧的真正的“实战指南”


二、内容简介

这是一本能指导你在AWD竞赛中速胜的标准参考书,也是一本能让你在高段位的CTF竞赛技高一筹的攻防秘籍,还是一本能全面提升你的网络安全攻防技术与水平的实战指南。

本书兼顾攻击与防守的双重视角,围绕AWD竞赛的内容全面展开,包括安全工具、主机安全加固、网络攻击、入侵检测、权限维持、应急响应、自动化攻防等技术主题。不仅剖析了AWD竞赛背后的技术细节,还总结了AWD竞赛的战略和战术。书中精选了大量真实案例和赛题,详细讲解了解题的方法和经验。此外,书中还有一个完整的AWD竞赛模拟演练,让读者能参与比赛的全过程并获得实战经验。

图片


三、读者对象

本书适用于以下读者:

  • 网络安全爱好者

  • 网络安全从业人员

  • 企业IT运维人员

  • 信息安全及相关专业的大学生


四、本书目录

上拉下滑查看目录 ↓

目  录

前言

第1章 AWD竞赛概述1

1.1 CTF竞赛简介1

1.1.1 竞赛模式 1

1.1.2 知名赛事 2

1.2 AWD竞赛简介3

1.3 AWD竞赛内容4

第2章 AWD竞赛常用工具6

2.1 信息收集工具6

2.1.1 Nmap 6

2.1.2 Goby 9

2.1.3 dirsearch 15

2.2 后门木马检测工具16

2.2.1 D盾 16

2.2.2 河马WebShell查杀 17

2.3 代码审计工具18

2.3.1 Seay 18

2.3.2 其他代码审计工具 19

2.4 漏洞扫描工具20

2.4.1 Xray 20

2.4.2 其他漏洞扫描工具 23

2.5 流量采集工具25

2.5.1 BurpSuite 26

2.5.2 TCPDump 29

2.6 逆向分析工具31

2.6.1 IDA 31

2.6.2 Pwndbg和Pwngdb 35

第3章 主机安全加固37

3.1 Linux系统安全加固37

3.1.1 用户及权限安全排查 37

3.1.2 远程连接安全配置 40

3.1.3 SUID/SGID文件权限排查 44

3.1.4 Linux系统不安全服务排查 47

3.1.5 敏感数据排查与防护 50

3.2 Linux系统日志安全配置52

3.2.1 系统日志简介 52

3.2.2 系统日志备份 55

3.3 Web服务安全加固60

3.3.1 Apache中间件安全加固 60

3.3.2 Nginx中间件安全加固 65

3.3.3 Tomcat中间件安全加固 67

3.3.4 PHP安全加固 71

3.4 数据库安全加固75

3.4.1 MySQL数据库安全加固 75

3.4.2 Redis数据库安全加固 80

第4章 Web常见漏洞及修复83

4.1 常见Web环境及组件介绍83

4.1.1 常见的开源CMS 83

4.1.2 PHP站点 88

4.1.3 Python站点 90

4.2 文件写入漏洞和文件上传漏洞91

4.2.1 漏洞原理及利用 91

4.2.2 漏洞修复 98

4.2.3 赛题实战 99

4.3 文件读取漏洞和文件包含漏洞101

4.3.1 漏洞原理及利用 101

4.3.2 漏洞修复 106

4.3.3 赛题实战 108

4.4 代码执行漏洞和命令执行漏洞110

4.4.1 漏洞原理及利用 110

4.4.2 漏洞修复 116

4.4.3 赛题实战 117

4.5 反序列化漏洞120

4.5.1 漏洞原理及利用 120

4.5.2 漏洞修复 126

4.5.3 赛题实战 126

4.6 Python模板注入漏洞134

4.6.1 漏洞原理及利用 134

4.6.2 漏洞修复 138

4.6.3 赛题实战 139

第5章 PWN常见漏洞及修复141

5.1 汇编语言基础141

5.1.1 通用寄存器 141

5.1.2 重点汇编知识 142

5.2 栈溢出漏洞143

5.2.1 漏洞原理及利用 143

5.2.2 漏洞修复 147

5.3 堆漏洞149

5.3.1 堆结构简介 149

5.3.2 堆中bin类型简介 152

5.3.3 libc中main_arena偏移

   计算 154

5.3.4 释放再利用漏洞 156

5.3.5 堆溢出漏洞 165

5.3.6 Tcache机制 187

5.4 格式化字符串漏洞193

5.5 ORW漏洞201

第6章 主机权限维持213

6.1 一句话木马后门213

6.1.1 一句话木马及其变种 213

6.1.2 冰蝎木马 217

6.1.3 一句话不死马 224

6.2 系统账户后门230

6.3 时间计划后门231

6.4 SSH类后门232

6.4.1 SSH软连接后门 232

6.4.2 SSH Server Wrapper后门 234

6.4.3 SSH公钥免密登录 234

6.5 PAM后门236

第7章 安全监控与应急处置239

7.1 主机安全监控239

7.1.1 日志监控 239

7.1.2 文件监控 242

7.1.3 流量监控 249

7.2 主机应急处置256

7.2.1 入侵排查及木马清理 256

7.2.2 安全防御策略 263

第8章 构建自动化攻防系统271

8.1 自动化漏洞利用与木马植入271

8.1.1 漏洞批量利用 271

8.1.2 木马批量植入 275

8.2 自动化flag提交278

8.2.1 利用BurpSuite自动

   提交flag 278

8.2.2 利用BurpSuite插件编写

   自动提交脚本 281

8.2.3 漏洞利用结合自动提交 284

8.3 开源自动化利用工具286

8.3.1 Pocsuite3 286

8.3.2 AWD-Predator-Framework 293

第9章 AWD竞赛模拟演练295

9.1 场景描述295

9.2 风险排查和安全加固295

9.3 漏洞利用和自动化工具308

9.4 安全监控和应急响应315


五、书籍概览

图片

 

这篇关于【小余送书第三期】CTF/AWD竞赛标准参考书+实战指南:《AWD特训营》,参与活动,领书咯!的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/206364

相关文章

网页解析 lxml 库--实战

lxml库使用流程 lxml 是 Python 的第三方解析库,完全使用 Python 语言编写,它对 XPath表达式提供了良好的支 持,因此能够了高效地解析 HTML/XML 文档。本节讲解如何通过 lxml 库解析 HTML 文档。 pip install lxml lxm| 库提供了一个 etree 模块,该模块专门用来解析 HTML/XML 文档,下面来介绍一下 lxml 库

性能分析之MySQL索引实战案例

文章目录 一、前言二、准备三、MySQL索引优化四、MySQL 索引知识回顾五、总结 一、前言 在上一讲性能工具之 JProfiler 简单登录案例分析实战中已经发现SQL没有建立索引问题,本文将一起从代码层去分析为什么没有建立索引? 开源ERP项目地址:https://gitee.com/jishenghua/JSH_ERP 二、准备 打开IDEA找到登录请求资源路径位置

C#实战|大乐透选号器[6]:实现实时显示已选择的红蓝球数量

哈喽,你好啊,我是雷工。 关于大乐透选号器在前面已经记录了5篇笔记,这是第6篇; 接下来实现实时显示当前选中红球数量,蓝球数量; 以下为练习笔记。 01 效果演示 当选择和取消选择红球或蓝球时,在对应的位置显示实时已选择的红球、蓝球的数量; 02 标签名称 分别设置Label标签名称为:lblRedCount、lblBlueCount

Retrieval-based-Voice-Conversion-WebUI模型构建指南

一、模型介绍 Retrieval-based-Voice-Conversion-WebUI(简称 RVC)模型是一个基于 VITS(Variational Inference with adversarial learning for end-to-end Text-to-Speech)的简单易用的语音转换框架。 具有以下特点 简单易用:RVC 模型通过简单易用的网页界面,使得用户无需深入了

Java 创建图形用户界面(GUI)入门指南(Swing库 JFrame 类)概述

概述 基本概念 Java Swing 的架构 Java Swing 是一个为 Java 设计的 GUI 工具包,是 JAVA 基础类的一部分,基于 Java AWT 构建,提供了一系列轻量级、可定制的图形用户界面(GUI)组件。 与 AWT 相比,Swing 提供了许多比 AWT 更好的屏幕显示元素,更加灵活和可定制,具有更好的跨平台性能。 组件和容器 Java Swing 提供了许多

滚雪球学Java(87):Java事务处理:JDBC的ACID属性与实战技巧!真有两下子!

咦咦咦,各位小可爱,我是你们的好伙伴——bug菌,今天又来给大家普及Java SE啦,别躲起来啊,听我讲干货还不快点赞,赞多了我就有动力讲得更嗨啦!所以呀,养成先点赞后阅读的好习惯,别被干货淹没了哦~ 🏆本文收录于「滚雪球学Java」专栏,专业攻坚指数级提升,助你一臂之力,带你早日登顶🚀,欢迎大家关注&&收藏!持续更新中,up!up!up!! 环境说明:Windows 10

基于UE5和ROS2的激光雷达+深度RGBD相机小车的仿真指南(五):Blender锥桶建模

前言 本系列教程旨在使用UE5配置一个具备激光雷达+深度摄像机的仿真小车,并使用通过跨平台的方式进行ROS2和UE5仿真的通讯,达到小车自主导航的目的。本教程默认有ROS2导航及其gazebo仿真相关方面基础,Nav2相关的学习教程可以参考本人的其他博客Nav2代价地图实现和原理–Nav2源码解读之CostMap2D(上)-CSDN博客往期教程: 第一期:基于UE5和ROS2的激光雷达+深度RG

数据治理框架-ISO数据治理标准

引言 "数据治理"并不是一个新的概念,国内外有很多组织专注于数据治理理论和实践的研究。目前国际上,主要的数据治理框架有ISO数据治理标准、GDI数据治理框架、DAMA数据治理管理框架等。 ISO数据治理标准 改标准阐述了数据治理的标准、基本原则和数据治理模型,是一套完整的数据治理方法论。 ISO/IEC 38505标准的数据治理方法论的核心内容如下: 数据治理的目标:促进组织高效、合理地

C 标准库 - `<float.h>`

C 标准库 - <float.h> 概述 <float.h> 是 C 标准库中的一个头文件,它定义了与浮点数类型相关的宏。这些宏提供了关于浮点数的属性信息,如精度、最小和最大值、以及舍入误差等。这个头文件对于需要精确控制浮点数行为的程序非常有用,尤其是在数值计算和科学计算领域。 主要宏 <float.h> 中定义了许多宏,下面列举了一些主要的宏: FLT_RADIX:定义了浮点数的基数。

每日一题|牛客竞赛|四舍五入|字符串+贪心+模拟

每日一题|四舍五入 四舍五入 心有猛虎,细嗅蔷薇。你好朋友,这里是锅巴的C\C++学习笔记,常言道,不积跬步无以至千里,希望有朝一日我们积累的滴水可以击穿顽石。 四舍五入 题目: 牛牛发明了一种新的四舍五入应用于整数,对个位四舍五入,规则如下 12345->12350 12399->12400 输入描述: 输入一个整数n(0<=n<=109 ) 输出描述: 输出一个整数