【二】安全见闻 【B站泷羽SEC】

安全见闻，包含了各种网络安全，网络技术.

编程语言

C语言:一种通用的、面向过程的编程语言，广泛应用于系统软件和嵌入式开发。

C++:在C语言基础上发展而来，支持面向对象编程，常用于游戏开发、高性能计算等领域。

Java: -种广泛使用的面向对象编程语言，具有跨平台性，应用于企业级应用开发等。

Python:简洁易学，拥有丰富的库，适用于数据分析、人工智能、Web 开发等。

JavaScript:主要用于网页前端开发，也可用于服务器端开发(Node. js)。

C#: 由微软开发，主要用于Windows. 平台，上的应用开发。

Ruby:一种简洁而富有表现力的编程语言，常用于Web开发。

PHP:生要用于Web开发，尤其适合服务器端脚本编程

Go:一种高效、简洁的编程语言，适用于网络编程和云计算等领域。

Swift:苹果公司开发的编程语言，用于i0S和macOS应用开发。

Kotlin:可与Java 互操作，主要用于Android开发。

函数式编程语言:

Haskell:纯函数式编程语言，以强大的类型系统和数学上的严谨性著称。

Lisp (包括Common Lisp、. Scheme

等) :历史悠久的编程语言家族，以其高度的灵活性和宏系统闻名。

Clojure:运行在Java虚拟机上的Lisp方言，结合了函数式编程和Java平台的优势。

数据科学和机器学习领域:

R:在统计分析和数据可视化方面应用广泛。

Julia:设计用于高性能科学计算和数据分析。

Web全栈开发:

TypeScript:是JavaScript 的超集，增加了静态类型检查等特性，提高了大型项目的开发效率。

移动开发:

Objective-C:曾经是ioS开发的主要语言，现在逐渐被Swift 取代。

嵌入式系统开发:

Assembly Language (汇编语言) :不同的处理器架构有不同的汇编语言，用于对硬件进行底层控制。

其他:

操作系统：

. ios

. mac

. linux

. android

. Windows

, wince

. vxworks

. RT-Thread

但是电脑cpu在执行的时候并没有立马执行你的指令，它可能先执

其他的在执行你的指令，这就是非实时的“(只是科普可能这辈子都用不到但是我们得了解)为什么要讲就是不做并底之蛙，不是你以为的只有Windows,'和Linux,只有这些吗?”当然不是太多了不一-列举，所以我们要会举一段三

ioS和Linux通常被认为是非实时操作系统。

非实时操作系统主要致力于在各种情况下提供良好的整体性能、用户体验和多任务处理能力，但不能保证在严格的时间限制内对事件作出响应。

与之相对的是实时操作系统(RTOS) ，实时操作系统能够在确定的时间内对外部事件作出响应并完成特定的任务，具有严格的时间确定性和可预测性，常用于对时间要求极为严格的嵌入式系统、工业控制等领域

不论搞什么都是要网络通讯联网的

硬件设备

计算机硬件

硬盘:用于长期存储数据，包括操作系统、应用程序、文件等。硬盘的容量和读写速度也是影响计算机性能的重要因素。

显卡:用于处理图形和图像数据，它的性能决定了计算机的图形处理能力。对于游戏玩家和图形设计师来说，显卡的性能非常重要。

主板:是计算机的核心电路板，连接着各种硬件设备，如CPU、 内存、硬盘、显卡等。主板的质量和性能对计算机的稳定性和扩展性有很大影响。

网络硬件

各附加存储(NAS)和存储区域网络SAN包们提供予大容量、高可靠在的数据存储解决方案。

网络打印机:可以通过网络连接被多合计算机共掌，万便用户打印文件。这域网络(SAN) 。提供了大合重、

网络摄像头:用于视频监控和远程会议等应用。它可以通过网络将视频信号传输到其他设备上。

移动设备硬件

智能手机:集成了多种功能，如通信、拍照、娱乐:办公等。智能手机的硬件包括处理器、内存、存储、屏幕、摄像头等。。

更设、0工能车工机资能生环大老福合限测用产的健康效据规会动效指电弊鸟媒件事机技设进进行连接和交望。可战设备的硬件包括传感器、处理器、内存、存储、屏幕等。

可穿戴设备:如智能手表、智能手环等，

成设备的硬件

硬件发展趋势

小型化:硬件设备越来越小型化，便于携带和使用。例如，智能手机、平板电脑等移动设备的体积越来越小，性能却越来越强。

高性能:随着技术的不断进步,硬件设备的性能不断提高。例如，CPU的处理速度越来越快，内存和存储的容量越来越大，显卡的图形处理能力越来越强。

更件设备越来越智能化，能够自动适应不同的环境和用户需求。例如，智能手机可以根据用户的使用习惯自动调整屏;

互联互通:硬件设备之间的互联互通越来越紧密，形成了一个庞大的物联网。例如，智能家居设备可以通过网络连接实现自动化控制，智能汽车可以与其他车辆和交通设施进行通信。

网络类型

局域网(LAN) :覆盖范围较小，一般在一-个建筑物或一个校园内。例如，公司办公室内的网络就是一-个局域网，用于员工之间共享文件、打印机等资源。

城域网(MAN) :覆盖范围较大，- -般在一-个城市内。例如，城市的有线电视网络、宽带网络等。

广域网(WAN) :覆盖范围非常大，可以跨越国家和地区。例如，互联网就是-一个广域网，连接了全球各地的计算机和网络设备。

网络协议

TCP/IP协议:是互联网的基础协议，包括传输控制协议(TCP) 和网际协议(IP) 。TCP. 负责数据的可靠传输，IP负责数据的路由和寻址。

HTTP.协议:超文本传输协议，用于在Web浏览器和Web服务器之间传输超文本数据，如网页、图片、视频等。

FTP协议:文件传输协议，用于在计算机之间传输文件。

SMTP、POP3 和IMAP 协议:用于电子邮件的发送和接收。

网络设备

路由器:连接不同的网络，实现网络之间的数据转发。它根据_ IP地址和路由表来确定数据的传输路径。

交换机:在局域网中连接多台计算机，实现数据的快速交换。它根据MAC地址来转发数据帧。

网卡:安装在计算机上，用于连接网络。它将计算机的数据转换为网络信号进行传输，并接收网络信号转换为计算机可识别的数据。

无线接入点(AP) :提供无线网络连接，使无线设备能够接入局域网或广域网。

网络安全

防火墙:用于保护网络免受外部攻击，它可以根据预设的规则过滤网络流量

加密技术:对数据进行加密，防止数据被窃取或篡改。例如，SSL/TLS_ 协议用于在Web 浏览器和Web服务器之间进行加密通信。

身份认证:确保只有授权用户能够访问网络资源，常见的身份认证方式有用户名和密码、数字证书、生物识别等。

软件程序

通讯协议

tcp ip udp等

机器学习

工作流程

数据收集

网络等。

采源:时以以务种渠道状取势据，如数据库注文件》信感器、网络导。

数据预处理

包括结构化数据(如表格数据)、半结构化数据(如XML、。

格式的数据)和非结构化数据(如文本、图像、音频等)。

现处埋

数据清洗去除噪声数据、处理缺失值、纠正错误数据等。例如，对于包含缺失值的数据集，可以采用均值填充、中位数填充等方法进行处理。

特征提取:从原始教据串摸取出着角的特征生

以便机器

算法能够

外理知锤解款

例如，

图像识别中，可以提取图像的颜色、纹理、形状等特征。

模型镜征提职:从原始数据中

根据任务类型和数据特点选择合适的机器学习算法。例如，对于分类问题可以选择决策树、支持向量机等算法;对于回归问题可以选择线性回归、随机森林等算法。

将预处理后的数据分为训练集和测试集。训练集用于训练模型，测试集用于评估模型的性能。

使用训练集对模型进行训练，通过调整模型的参数使得模型在训练集上的损失函数最小化。

模型评估与优化

使用测试集对训练好的模型进行评估，常用的评估指标有准确率、精确率、召回率、F1值、均方误差等。

根据评估结果对模型进行优化，可以调整模型的参数、更换算法、增加数据量等。例如，如果模型在测试集上的准确率较低，可以尝试增加训练数据的数量或调整模型的超参数。

将优化后的模型应用到实际问题中，进行预测、分类、聚类等任务。

对模型的应用结果进行监控和评估，不断改进模型以提高性能。

深度学习

深度学习的基本原理主要包括以下几个方面:

一、神经网络基础

神经元模型

深度学习的基础是人工神经网络，其灵感来源于生物神经系统。神经网络中的基本单元是神经元，它接收多个输入信号，对这些信号进行加权求和，然后通过- -个激活函数处理得到输出。

例如，典型的神经元接收来自其他神经元或输入层的数据，每个输入都有一个对应的权重。假设输入为

对应的权重为，则神经元的加权输入总和为，其中是偏置项。然后，通过激活函数

得到神经元的输出。

多层神经网络

深度学习中的神经网络通常电多个层次组成，包括输入层、隐藏层和输出层

输入层接收原始数据，隐藏层对数据进行多层次的特征提取和变换，输出层产生最终的预测结果。

例如，在图像识别任务中，输入层接收图像的像素值，隐藏层逐步提取图像的边缘、纹理、形状等特征，最后输出层给出图像所属的类别

---

安全见闻二

什么是软件程序代码

软件程序是一种计算机程序，用于计算机计算和其他可编程设备。其实就是我们常说的代码，不论是什么软件程序都是由代码组成的，以后我们会见到很多类型的软件程序，比如网页设计网站开发，软件开发，软件工程，其实本质都是代码，不需要去刻意

区分;以后很多的专业名词都是这样的，其实就是代码，只不过这些代码是完成特定功能的罢了，例如鉴权中间件，跨域中间件，其本质就是iis 那些中间件，明白本质才不会被名词所混淆。

究其根本不论是什么样的语言你只要能能够告诉计算机计算机给你做了这就是我们的程序，所以不论是哪个方向究其根本就是一-行- -行的代码，那么这个代码转化成二进制我们底层的硬件 它就知道它要干什么了，程序就是告诉计算机我们要做什么事，比

所以不论是什么网页设计前端后端底层逻辑都是代码，不要去分它没有必要 去分，哪个快速快捷我们就用哪个，python能做的就不要用c++， 越简单的编程语言越实用，因为其本质都是让计算机去做同样- -件事, 不要把事情复杂化

web程序

通常构成前端-后端 数据库-服务器基本就是这些前端ur1 请求到后端要执行什么后端登陆，这时候就要调用数据库的数据，数据库放在哪，放服务器上(大概就是这样)

后边web安全入门会讲这些的一定 要把这些搞懂

语言

html (点击劫持)

xss (也有注入，有人会说哎呀这是xss， 新手是这样) -定要觉得自己是渺小的，不要觉得什么都会了其实有很多东西你都不懂，你得保持着你觉得什么都不会你才有更多的东西去学

JavaScript (xss dom型 反射型存储型点击劫持，请求走私)很多知识点杂糅到- -起了得理解，你说信息泄露那数据库信息泄露在前端.上了怎么算呢你得理解

假设你根本不懂这三门语言那么xss 点击劫持 ，web缓存漏洞你也不可能会，请求走私跨域这些问题你也不可能会。

所以搞web渗透这些东西都是得学的

代码库

JQuery

bootstrap

elementui

代码库是干什么的，我们写代码不可能用原生的语言去写，这样太废精力了，我们可以封装成一-些库让它很方便的去调用。

框架

vue

eact..

框架不论怎么写都是基于最本质的的三种语言写的html, css, javascr ipt,如果单纯从纯粹的Javascr ipt去分析很费时间，-般都是通过框架去分析xss 框架多如牛毛 (知道就行)

前端

替在漏洞:信息泄露，xss, csrf, 点击劫持，访问控制，web缓存漏洞，跨域漏洞，请求走私

后端

替在漏洞:信息泄露，xss， csrf, ssrf, 反序列化漏洞，sql注入漏洞， 命令注入漏洞，服务端模板注入，跨域漏洞，访问控制

语言

php

java

ython

gol ang

c/c++

lua

nodejs

后端语言有很多，比如php就会有反序列化漏洞，sq|注入漏洞， 命令注入漏洞等问题,所以语言是很重要的如果你连后端语言都没写过怎么知道啥叫反序列化呢要想搞这些漏洞 以上语言必须学一 种,比如请求走私就是涉及到协议问题了.

数据库

数据库有什么潜在漏洞呢，sql注入， xss， 命令注入等

数据库也是有分类的

1.关系型数据库

. mysq I

sql sever

access

postgresql

非关系型数据库

. mongodb

couchdb

neo4j

redis

你想学SQL注入你不知道啥叫数据库，就好比你想当警察你不知道啥叫枪-样，所以说想学漏洞之前对以上的要有所了解起码得会- -点

服务器程序

服务器程序

潜在漏洞:信息泄露，文件上传漏洞，文件解析漏洞，目录遍历，访问控制

. apache

. nginx

. iis

. tengine

. tomcat

. weblogic

web程序这个我这么- -列出来就感觉很多是吧，前端语言就三种。但是他的库很多啊， 框架也多，后端语言就更多了，很多人说要进红队比如Java代码审计首先你得会Java呀这个 是避不开的，

再比如反序列化漏洞Java php python都有 反序列化漏洞你得想好搞哪一个你还得会编程语言啊，web程序大致就是这些希望大家理解我讲的这些。

懂进攻，知防守。就是这样

---

安全见闻（三）

我们今天来看一下，脚本程序，其实总的来说也没啥可以说的，主要是说说这个安全性的这个点。 我们知道这个脚本程序，之前安全见闻1中有初略的讲了- -下，编程语言那块也很多所以，那么那么多编程语言里面哪些是脚本语言呢，
lua
go (也算吧)
python
JavaScript
这些都算是脚本性的语言。那么什么是脚本性的语言呢，上节课也给大家科普讲解了一 下，脚本通俗理解就是拿过来以后我就可以直接看见它的源代码，可复制性高，我们打开浏览器随便进- 一个网站f12 看-下基本上前端代码在这个调试器这里都是可以看见的，这
种就是典型的脚本性质的程序。
golang (脚本性)
python (脚本性)
odejs (
(脚本性程序)
这些编程语言都可以写-些脚本性的病毒，python可以编写木马， js也可以编写木马，比如beefxss 了解本质的人都知道那个就是相当于js写的木马，再比如PHP - -句话木马，就是php写的木马，所以说这些脚本它可以干什么，可以编写脚本病毒
木马，那么假如你要写一个脚本病毒木马js php这种最起码你得会一 点
当然你就算会了编程语言基础，你还得去了解这个脚本木马构成，它是怎么写的。比如你学会了英语你要用这个英语写作文。最起码的这个写作构成语法你得会你会写中文但是让你去写小说你也不会呀就是这个意思，你会了js你不一定会写js病毒因为你可能对病毒的
还是那句话你在写任何病毒脚本之前你得先有编程基础，基本的语法，库的调用你会了再去了解病毒的一个原理构成，再尝试编写病毒。
好比有一-天我跟你们讲病毒那块的知识，你连基本语言都不会那这个事情就没法搞了。
acro (宏病毒)
比如利用metasploit生成宏病毒，将宏病毒植入office文件中， 很多公司都有office文件或者产品， 常见的就是微软的word ppt 等这些产品是可以植入的 wps是不行的， -般这个工具植入的都是微软的产品，这个你们需要了解你不能说我写个针对微软的脚本你要到
wps里面执行，这是肯定执行不了的，想写宏病毒，
就必须要了解宏的代码构成(前面说了不论是任何软件，病毒都是代码构成的)
宏代码是由哪个编程语言写的呢VB/c# 类似于这样的语言去写的这个我们需要了解
at
powershell
这两个也是微软搞得这都是Windows上面的程序，这个东西是干啥的他们的作用是用于内网渗透，所以这个你得有所了解比如说后边我给你们讲宏病毒了vb语法你得会吧，我不可能所有的都讲完这些你们得自己去了解，以后讲内网渗透这两个bat powershell 你们得
会，最起码我跟你讲这些东西的时候你有基础你能听下去 不然到时候一-讲啥也不懂听了个寂寞也不行啊。
内网渗透并不是单指内网渗透中的域渗透，这么讲太狭隘了
总的来说内网渗透和公网渗透没啥区别就是多了一个域渗透的- -个东西这个是你要知道的，但是域渗透代表不了内网。
CAD LISP (脚本病毒)
cad很多同学玩过，写图纸画图纸的时候:
，可能徐国他的脚在鼓毕智要您你是1整构，彝且界架要可以息站帮你完异带工任但是我你可备晶一 些正常的脚本， 也可以写一一些不正常的脚本， 比如脚本病毒，所以很多d的人不懂，丛懒得画图纸
这种病毒有什么危害，就可以盗取cad机密图纸， 如果你们有- 天想接触这个病毒首先你们要会这个lisp语言，它这个语法和c、c++ 这种都不太一样了