ISSAF即信息系统安全评估框架(Information Systems Security Assessment Framework)是另外一种开放源代码的安全性测试和安全分析框架.为了解决安全评估工作的逻辑顺序问题,该框架以分为若干个领域(domain),不同领域评估目标系统的不同部分,且可以根据实际情况对每个领域进行相应调整,把这一构架与日常业务的生命周期相结合,可以充分满足企业安全测试的精准性,完整性,高效性的需求. ISSAF兼顾了安全测试的技术层面和管理层面,在技术方面,他有一整套关键…

昨天休息了一天,今天我要连更两篇博客,作为补充,以下为正文 本章详细描述了OSSTMM内的RAV得分这一理论概念,对日后从事正规安全工作至关重要 OSSTMM为开源安全测试方法论,对OSSTMM不了解的同学可以看我之前发的渗透测试的理论部分1——渗透测试方法论 OSSTMM推广的技术评估框架十分灵活,即使某个项目在逻辑上可分为三个连续的信道与安全组件,我们照样可以使用OSSTMM的框架评估其安全性 OSSTMM体系的测试方法,通过检查访问控制安全,流程安全,数据控制,周界防护,安全意识水平,信任…

开放式Web应用程序安全项目(Open Web Application Security Project OWASP) 定期退出Top 10 project(排名前十的安全隐患防守规则) 公开了编写安全程序所遵循的各种原则和惯例 OWASP中的测试项目(https://www.owasp.org/index.php/Main_Page)公布了一套非常实用的安全测试指南 Top 10 project总结了各种攻击矢量,按照各种隐患可能在技术上和业务上造成的危害,对影响应用安全的风险进行分类和安排…

渗透测试(penetration testing , pentest)是实施安全评估(即审计)的具体手段.方法论是在指定.实施信息安全审计方案时,需要遵循的规则.惯例和过程.人们在评估网路.应用.系统或三者组合的安全状况时,不断摸索各种务实的理念和成熟的做法,并总结了一套理论-渗透测试方法论. 渗透测试的种类 黑盒测试 在进行黑盒测试时,安全审计员在不清楚被测单位的内部技术构造的情况下,从外部评估网络基础设施的安全性.在渗透测试的各个阶段,黑盒测试借助真实世界的黑客技术,暴露出目标的安全问题,甚…

声明:本文理论大部分是苑房弘kalilinux渗透测试的内容 第五章:基本工具 克隆网页,把gitbook的书记下载到本地 httrack "http://www.mybatis.org/mybatis-3/zh/" -O ./books/mybatis/  -v 十一章:无线渗透 工具: 无线网卡: 其实我的笔记本自带的无线网卡就很好了,完全支持aircrack-ng,因为我是 物理机直接装的kali. 之前尝试过ALFA360NH,信号大大的增强了,但是不支持WPS 破解,可能是我…

声明:本文理论大部分是苑房弘kalilinux渗透测试的内容 第五章:基本工具 克隆网页,把gitbook的书记下载到本地 httrack "http://www.mybatis.org/mybatis-3/zh/" -O ./books/mybatis/ -v 第六章: 信息收集 shodan 官网:https://www.shodan.io/ 视频教程:https://asciinema.org/~Shodan 优质文档:http://b404.xyz/2018/02/08/Sho…

注册渗透测试工程师(CISP-PTE)认证是由中国信息安全测评中心针对攻防专业领域实施的资质培训, 是国内唯一针对网络安全渗透测试专业人才的资格认证,是目前国内最为主流及被业界认可的专业攻防领域的资质认证,也是国家对信息安全人员资质的最高认可. 一.CISP-PTE含金量,CISP-pte认证有什么价值 1.求职敲门砖 CISP-PTE专注于培养高级安全人才,是业界首个理论与实践相结合的技能水平注册考试.CISP-PTE认证对工作经验没有要求,高校学生.应届毕业生都可以考,是职场新人进入渗透圈的…

其实两者都可,但要看考生的实际需求! 为什么说两者都可以? 两个证书都由中国信息安全测评中心颁发,CISP-PTE全称国家注册渗透测试工程师,NISP-PT全称国家信息安全水平考试-渗透测试工程师专项认证,都属于国家级渗透测试工程师认证.从认可度及含金量上来说都可以的. 但具体选择要看考生的实际需求 CISP-PTE和NISP-PT虽然都是中国信息安全测评中心颁发的渗透测试方向的认证证书,但是也有很大的区别,具体选择要看报考人员的个人需求. CISP-PTE和NISP-PT区别 1.针对人群 1…

渗透测试工具BurpSuite做网站的安全测试(基础版) 版权声明:本文为博主原创文章,未经博主允许不得转载. 学习网址: https://t0data.gitbooks.io/burpsuite/content/chapter4.html 用命令打开burpsuite工具:jar /your_burpsuite_path/burpSuite.jar <<BurpSuite_pro_v1.6.27.zip>> BurpSuite 如何扫描web漏洞: http://www.myha…

平时做渗透测试我比较喜欢用lijiejie 写的 subDomainsBrute来爆破子域名 那么爆破完成后就想收集一下网站的c段信息 下面以平安为例 爆破得到子域名为 i.pingan.com.cn 183.129.178.89 www.pingan.com.cn 202.69.26.13 club.pingan.com.cn 202.69.18.234 home.pingan.com.cn 202.69.21.142 mail.pingan.com.cn 202.69.21.81 membe…