¿Qué necesita saber antes de aprender sobre seguridad de red?
1. Protocolo de red básico/arquitectura de sitio web
La esencia de Internet es una serie de protocolos de red. Tanto la arquitectura C/S como la arquitectura B/S se basan en la comunicación de red. El personal de penetración debe comprender el proceso de comunicación y la dirección de los paquetes de datos, y utilizar los medios y herramientas correspondientes para penetrar.
Protocolos y métodos de solicitud comúnmente utilizados en sitios web, son esenciales a la hora de realizar penetración. Incluso se pueden utilizar protocolos para pruebas de penetración. Todo conocimiento es relevante y esencial.
2. Capacidad básica de programación
Un probador de penetración web debe tener ciertas habilidades básicas de programación y debe lidiar con el código todos los días si no puede escribir código o no puede comprenderlo. Código, muy malo.
Por ejemplo, si necesita escribir una herramienta adecuada para las vulnerabilidades en el escenario actual, si no sabe cómo escribirla, su eficiencia se reducirá considerablemente. Además, con respecto a la auditoría de código avanzada posterior, si no puede escribir código o leerlo, no sabrá cómo auditar la vulnerabilidad desde el código fuente y encontrar la causa.
3. Herramientas de prueba de penetración
Hay muchas herramientas de prueba de penetración de código abierto en Internet. Como probador de penetración, es esencial utilizar herramientas de prueba de penetración. Debe aprender a utilizar algunas herramientas excelentes y también debe aprender a escribir sus propias herramientas. Por ejemplo, al realizar pruebas de penetración, si FUZZ requiere una gran cantidad de datos, la operación manual desperdiciará mucho tiempo y eficiencia.
Si las herramientas en línea no pueden cumplir con el escenario de vulnerabilidad, deberá escribir manualmente sus propias herramientas para la depuración. Por supuesto, hay muchas herramientas excelentes en Internet y usarlas primero mejorará enormemente nuestra eficiencia.
4. Comprender la composición del sitio web
Intentar comprender la estructura, el lenguaje, el contenedor de middleware, etc. de un sitio web. Si no comprende cómo se construye un sitio web, no habrá un plan de pruebas de penetración correspondiente al realizar la penetración. Por ejemplo, si el sitio web utiliza algún tipo de middleware, algún tipo de base de datos o un CMS en línea de código abierto.
Si no los comprende, solo podrá navegar en línea y no podrá comenzar. Comprender la construcción y composición del sitio web será de gran ayuda para sellar y recopilar información en la etapa inicial.
5. Principio de vulnerabilidad (importante)
Los evaluadores de penetración deben realizar investigaciones y exploraciones en profundidad basadas en el principio de vulnerabilidad, para que puedan descubrir cosas más "interesantes". Lo "interesante" es que puede agregar otras vulnerabilidades a las vulnerabilidades básicas originales para lograr una combinación de vulnerabilidades, lo que puede tener un mejor efecto. Sin embargo, las personas que no comprenden el principio de las vulnerabilidades no comenzarán desde el código. Generando vulnerabilidades. Comience con capas.
Si no conoce la causa de la vulnerabilidad, será muy difícil en las últimas etapas de penetración y reparación. En este momento, es posible que deba buscar información, lo que ralentizará el proceso. velocidad de alguna forma y eficiencia, por lo que el conocimiento y la acumulación son esenciales.
6. Capacidad de redacción de informes
Después de cada prueba de penetración, se requiere un informe de prueba de penetración para descubrir y clasificar las vulnerabilidades y profundizar la impresión de la estructura de la red. para trabajar posteriormente con la comunicación con el cliente y el desarrollo de soluciones de acoplamiento y reparación pueden ser de gran ayuda. Estos pequeños detalles determinan la calidad de su servicio y su sentido de responsabilidad, por lo que deben acumularse y mejorarse continuamente.