1.1專案背景
1.2實施目的
（1）熟悉用dedecms搭建**；
（2）熟悉burp工具的使用方法；
（3）會使用工具進行主機漏洞的抓包；
（4）通過實驗了解如何提高主機的安全性；
漏洞是指使用者的windows作業系統程式或者其它應用程式在邏輯設計上的缺陷或在編寫時產生的錯誤，這個缺陷或錯誤可能被不法者或者電腦黑客利用，通過植入木馬、病毒等方式來攻擊或控制電腦，竊取使用者電腦中的重要資料、資訊以及虛擬財產等，甚至會破壞整個系統。漏洞復現的目的在於便於我們發現漏洞以及及時修復漏洞。而修復漏洞最基本的目的是及時有效的修復系統、軟體漏洞，避免黑客通過植入木馬\病毒等方法控制使用者的電腦，竊取賬號、密碼等重要資訊。保障使用者的電腦安全。我們相信，憑藉小組成員的共同努力，能夠圓滿地完成本次漏洞復現測試實驗。同時，我們也希望能通過這次實驗加深對網路資訊保安的了解並懷著濃厚的興趣參與到更多的網路滲透實驗中去。
1.3服務目標
腳踏實地小組在本次漏洞復現測試實驗中將達到以下目標：
（1）通過漏洞復現測試全面檢測織夢內容管理資訊系統直接暴露在網際網路上的安全隱患，並提供實際可行的安全修復建議；
（2）通過本次測試實驗使小組全體成員對漏洞復現有了全方面的認識。
2.1漏洞復現實驗原理
漏洞復現實驗過程主要依據已掌握的安全漏洞資訊，開啟瀏覽器訪問我們在dedecms上自行搭建的**，對指定的檔案進行修改或者刪除，再次訪問該網，通過抓包原理，實現漏洞復現。
2.2漏洞復現實驗流程
方案制定
腳踏實地小組在指導老師的帶領下，開始進行對漏洞復現測試實驗的實施。並且將實施範圍、方法、時間、人員等具體的方案與指導老師進行交流，並得到了指導老師的認同。在實驗實施之前，我們進行了小組成員的明確分工：
2.3滲透測試的風險規避
在滲透測試過程中，雖然我們會盡量避免出現系統崩潰的操作，也會實施風險規避的計策，但是由於測試過程變化多端，滲透測試服務仍然有可能對網路、系統執行造成一定不同程度的影響，嚴重的後果是可能造成服務停止，甚至是宕機。比如測試人員實施漏洞抓包操作時，突遇系統崩潰，可能會出現原本的瀏覽器無法使用等。
因此，我們會在滲透測試前詳細地討論了滲透方案，並採取如下多條策略來規避滲透測試帶來的風險：
（1）測試策略：
為了防範測試意外中斷，在非常不解的領域我們不做深入的測試，避免意外崩潰而造成不可挽回的損失；測試過程中，最終結果可以由測試人員做推測，而不實施具體操作步驟加以驗證。
（2）備份策略：
為防範滲透過程中的異常問題，測試時我們事先做了乙個完整的資料備份，並且我們在進行漏洞復現測試時採用三人同時進行測試的方法，以便在問題發生後能及時備份資料恢復工作。
（3）應急策略：
測試過程中，如果目標系統出現瀏覽器無響應、中斷或者崩潰等情況，我們會立即中止滲透測試，並進行修復處理等。在確認問題、修復系統、防範此故障再重演後，再繼續進行其餘的測試。
在本次測試中我們出現了瀏覽器崩潰的情況，如下圖顯示：
慶幸的是，我們最終解決了這個意料之中的問題。
2.4滲透測試的收益
（1）安全缺陷：
能幫助dedecms以實際案例的形式來說明目前安全現狀，從而增加其對資訊保安的認知度，提公升維護人員的風險危機意識，從而實現內部安全等級的整體提公升。
（以上是通過dedecms的漏洞直接進入管理者介面）
2.5滲透工具介紹
2.5.1 系統自帶工具
1.system
system程序windows頁面記憶體管理程序，擁有0級優先權，沒有它系統無法啟動。system不是程序，system idle process system 並不是乙個真正的程序，是核心虛擬出來的，多工作業系統都存在的。在沒有可用的程序時，系統處於空執行狀態，此時就是 system idle process 在正在執行。作業系統的主要功能是資源管理，程式控制和人機互動等。
2.遠端桌面連線
當某台計算機開啟了遠端桌面連線功能後我們就可以在網路的另一端控制這台計算機了，通過遠端桌面功能我們可以實時地操作這台計算機，在上面安裝軟體，執行程式，所有的一切都好像是直接在該計算機上操作一樣。這就是遠端桌面的最大功能，通過該功能網路管理員可以在家中安全地控制單位的伺服器，而且由於該功能是系統內建的所以比其他第三方遠端控制工具使用更方便更靈活。因此可以使用該元件通過漏洞進行遠端操控，實現攻擊。
2.5.2 自由軟體和滲透測試工具
以下列出了滲透測試中常用到的網路掃瞄工具、網路管理軟體等工具，這些工具都是網路上的免費軟體。某某滲透測試工程師將可能利用到但是不限於利用以下工具。
3.1 方案制定
腳踏實地測試小組根據dedecmsv5.7**資訊系統的規模和實際業務情況制定詳細的滲透測試方案。
1.測試方法：通過dedecms的漏洞利用構造、抓取資料報獲取資訊、前台使用者密碼修改、完成報告。
2.工具的準備：（環境）php 5.6 、dedecmsv5.7sp2 正式版(2018-01-09) 、burpsuite。
3.分析測試過程中可能帶來的風險分析和相應的風險規避方法。4.實施方案，完成報告。
3.2 資訊收集
主要是對工具的運用，測試方法，測試過程中的風險和風險的規避方法的收集。
3.3 測試實施
測試實施階段主要分為兩個階段。在第一階段，測試人員根據老師的指導資料構建平台並進行抓包及防禦操作測試。第一階段完成後，我們小組通過網路交流心得並討論整個漏洞復現測試過程的難點，在不斷交流改進中製作出本次實驗報告。
3.4 報告輸出
腳踏實地小組彙總整理前期工作內容和成果，並根據dedecms資訊系統實際制定可行的安全修復方案，最後形成《遠端滲透測試報告》。此過程共需3個工作日。
3.5安全複查
滲透測試完成後，安全小組協助dedecms對已發現的安全隱患進行修復。修復完成後，腳踏實地小組對修復的成果再次進行遠端測試複查，對修復的結果進行檢驗，確保修復結果的有效性。最終完成《滲透測試複查報告》。此過程共需3個人。
多漁 賺錢，還是要腳踏實地！
有朋友來訪。雲鵬是我高中時期的同學，家裡是做裝修的，大學畢業後家裡給他安排到縣城的城建局上班，沒去幾個月，雲鵬表示上班生活太枯燥，沒有樂趣，遂辭職。此人屬於志大才疏那一類的，平日最喜歡的就是呼朋喚友，一起吃喝玩樂，而每次聚會，他必定成為活動中最閃耀的主角，高談闊論，指點江山，時間久了，朋友們都戲稱他...
家紡行業應洗去「浮躁」 腳踏實地
目前，我國床上用品的發展與發達國家相比仍然處於起步階段。床上用品行業集中度還比較低，能稱霸市場的品牌還沒有形成，競爭還是以低檔產品為主，大型商場中床上用品的競爭逐漸轉移到品牌的競爭上來。從床上用品的產品結構上看，當前，我國床上用品高階傳統奢華型產品及中低檔散貨產品生產過剩，而技術含量高 高附加值的中...
腳踏實地學C 4 靜態類
起因 問 靜態類可以實現介面及繼承？答 都不可以 思考 為什麼不可以呢？學習靜態類，有時我們又稱為工具類 密封抽象類 從msdn文件沒有直接靜態類的定義，這裡只能說用static 不能用於結構，只能用於類 關鍵字宣告的類，就是靜態類。靜態類與非靜態類的區別 靜態類不能例項化，就是不能通過使用 new...