关键词：
0002 安全问题的根源1. 全面把握安全，不要追求局部片面的安全
不得不说的是，要想在安全行业有所造诣。所要学习的知识面是非常广的，安全不是片面的，虽然从某个方面看上去你的系统是安全的，但是其他方面呢？有句话是这么说的，一颗老鼠屎能搅坏一锅汤。安全更是如此，对于一个系统，知道有一个小小的地方出现安全漏洞，就能被黑客利用，从而使整个系统遭到破坏。正所谓没有绝对安全的系统，所以我们在对待安全这个事情上，是要全面把握系统的整体结构，从各方面去了解系统的安全性。作为渗透测试这，我们更应该全面分析系统的安全，尽量把所有情况都考虑到，最大限度的挖掘系统的漏洞，不要满足于在某个方面发现了重大安全漏洞。
2. 开发功能的时候只追求功能的实现，没有考虑到安全隐患
安全问题的来源之一就是开发人员只追求功能的实现，从来没有考虑到安全的问题，或者说是完全没有安全的意识。在国内，这种现象是非常普遍的。在开发者的眼中，只要功能实现了就万事大吉，其实不然。要想从根源上解决安全问题，对于开发者，不仅要实现功能，还要考虑到程序的健壮性，能不能子啊各种场景下都能正常工作，有没有权限问题，普通用户是否能看到root用户的数据等。meltdown 漏洞就是很好的例子，用户空间的程序能够看到内核空间的数据，这是多么恐怖的事情。Linux 内核开发的那帮人，他们的水平很高了吧，尚且出现这么严重的安全问题，那么作为普通的开发者，难道开发的程序就没有这样的问题吗？所以要想从根源上解决安全问题，是需要提高开发者的能力，在完成功能的同时考虑到存在的安全隐患。
3. 最大的威胁--人的欲望
没有买卖就没有×××，国家严令禁止捕杀藏羚羊，但是每年还是有很多藏羚羊死在猎人的枪下。加入没有人会去买，没有人想去吃，那么怎么会有人去卖，又怎么会有人踩着法律的准线去猎杀藏羚羊呢？安全行业也是如此，之所以漏洞会被爆出来，是黑产中利益链上的人的欲望，想要不劳而获的人还是太多，想要通过不正当手段获得利益的人也很多。人的欲望不止，就永远会存在安全问题，总有人会想着搞破坏，盗取本不属于自己的东西。所以作为新时代的我们，在这样的大环境下，能通过互联网获取到知识，学习安全相关的知识，就要时刻保持一颗纯洁的心，君子爱财，取之有道，不要去触碰法律的准绳。
4. 信息安全需要达到的目标
信息安全的目标是在被攻击之前就把所有的漏洞堵上，不让有 不良欲望的人有机可乘。要到达这个目标，一般通过下面这两种方法去实现。
4.1. 防护型安全
对于防护性安全，在企业的运维岗上工作的人应该是有很大的感触，每天查看服务器的日志，找到不正常的流量，从中获取是否存在攻击，如果有，那就采取相应的措施去修复。防止被再次攻击。防护性攻击虽然能很快定位到系统出现漏洞的地方，但是这种策略本身就是不安全的，等到别人攻击你了，再去采取相应的措施，会不会是亡羊补牢，为时晚矣！所以这种手段应该是备选方案。
4.2. 攻击型安全
攻击性安全是安全维护人员自己扮演攻击这的身份，向自己维护的系统发起各种攻击，从中找到系统的漏洞，进而修复漏洞，防范于未然。这对安全从业人员的要求就又要高了一个台阶，不仅需要懂得如何去防护，还要懂得怎么去攻击。但是只要坚持这么做，久而久之，安全从业人员也会具备和攻击者一样的能力，这就是所谓的白帽子黑客，与黑帽子黑客最大的区别就是能保持自己的准则，从不触碰法律的界限。
5. 渗透测试的思路
渗透测试就是在没被攻击之前找到系统的漏洞，其思路就是自身扮演攻击者的角色攻击自己的系统，从而找到系统的漏洞。
5.1. 以攻击者的身份发现系统安全漏洞
要想以攻击者的身份发现系统的漏洞，就必须把自己对系统的控制权限全部放弃，安全当成自己第一次接触这个系统。利用各种信息收集的方法获取系统的信息，从而开始进一步的渗透测试。
5.2. 只需要证明安全问题的存在，不要搞破坏
作为渗透测试者，只需要找到系统存在的安全漏洞即可，不要利用漏洞去攻击，让系统遭到破坏。
6. 渗透测试者的个人操守
作为一个渗透测试者，必须要有自己的道德操守，不要利用渗透测试过程中取得的漏洞信息去做灰色产业。
6.1. 道德约束
还是那句话，君子爱财，取之有道。不要被一时的利益冲昏了头脑，否则突破道德的底线，没有道德的约束，终将走上一条不归路。
6.2. 法律约束
网络信息安全国家是有法律约束的，所以不要去触碰法律的底线。我国新版网络信息安全法自 2017 年 6 月 1 日起施行，下面是网络信息安全法中的部分内容。
第二十七条 任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。
第六十三条 违反本法第二十七条规定，从事危害网络安全的活动，或者提供专门用于从事危害网络安全活动的程序、工具，或者为他人从事危害网络安全的活动提供技术支持、广告推广、支付结算等帮助，尚不构成犯罪的，由公安机关没收违法所得，处五日以下拘留，可以并处五万元以上五十万元以下罚款；情节较重的，处五日以上十五日以下拘留，可以并处十万元以上一百万元以下罚款。
网站安全证书过期了怎么办？
...源证书已经失效了，根源证书是用来验证其它证书（包括安全性证书在内）的应用程序。你可以登录www.verisign.com/support/site/update.html，下载最新版本的根源证书。另外还有一种可能，就是你的电脑的“日期/时间”设置错了，比如... 查看详情
线程安全的单例模式(代码片段)
...使用这些对象时才进行初始化。延迟初始化需要注意线程安全 问题，否则就容易出现问题。 单例模式在获取实例的方法中，若只判断实例是否为null，是则创建对象，否则获取对象。这种方法在多线程执行的时候必... 查看详情
安全警告：不受信任的 *** 服务器证书
】安全警告：不受信任的***服务器证书【英文标题】：Securitywarning:Untrusted***ServerCertificate【发布时间】：2015-01-2809:12:06【问题描述】：我是ssl***的新手，我目前面临一些失败的问题，尝试找出以下问题的根源：当我使用我的ciscoa... 查看详情
实现数据安全，企业应该如何操作，2019年互联网时代的数据安全问题，应该如何维护
长久以来，数据安全一直是热门的话题，只是不同时代人们对数据安全的认识程度不高。目前，信息化程度的发展，互联网的普及，办公自动化水平的提高，在不断的发展中，企业及个人都意识到时代数据信息安全重要性。现在... 查看详情
如何获取 Forge BIM 360 API 的问题根源类别？
】如何获取ForgeBIM360API的问题根源类别？【英文标题】：HowtogetthecategoryofIssuesRootCausesonForgeBIM360API?【发布时间】：2021-01-2919:12:53【问题描述】：我想获取根本原因的类别，还想知道根本原因是否处于活动状态。这是在BIM360的项目A... 查看详情
漏洞根源在于人——知识深度篇
...更犀利的去思考攻击：了解开发者可能的弱点、盲区，是安全学习中后期时我们更应具备的一项技能。本文原创作者：i春秋签约作家——夏之冰雪人性的万恶是痛苦的本源，人为的疏忽是漏洞的主因。打算写系列文章，主要是... 查看详情
如何输出0001,0002,0003...这样的数(代码片段)
问题：如何输出0001,0002,0003...这样的数 foriinrange(1,21):print(f"i:04")这里的4是宽度(width)，0作为padding,即宽度不足4时，用0补上输出结果00010002000300040005000600070008000900100011001200130014001500160017001800190020 或者使用：forninrange(1,21):print... 查看详情
机房存在哪些安全隐患？需要排查哪些地方？
...的地方需要注意，了解配电柜、配电箱的安装规范及使用安全事项是一名合格电工技师应具备的基本技能。下面看看配电箱配电柜在安装过程中的一些禁忌以及注意事项。 650)this.width=650;"src="http://www.cre 查看详情
如何定位绑定错误的根源？
...tolocatethesourceofabindingerror?【发布时间】：2012-01-1819:35:10【问题描述】：当我的调试输出充满如下行时，如何确定xaml的哪一行包含麻烦的绑定：System.Windows.DataError:5:ValueproducedbyBindingExpressionisnotvalidfortargetproperty.;Value=\'UW 查看详情
镜像安全扫描建设指南-用户篇
...稳定、成本较低、加快产品上市时间等。若开源软件存有安全漏洞、恶意代码、病毒等安全问题，将造成业务系统被入侵导致数据泄露，从而影响公司业务开展。故着眼于从根源上发现安全问题，注重开源软件的安全... 查看详情
如何找到内存争用的根源？
...ofindthesourceofmemorycontention?【发布时间】：2020-12-2519:20:09【问题描述】：我写了一个程序来做一些并行计算，像这样：publicvoidmultiThreadedRun(intnThreads)throwsInterruptedExceptionThread[]threads=newThread[nThreads];//createan 查看详情
java线程同步问题产生的根源
1，缓存的引入：计算机的运算任务不可能只靠处理器计算就能完成，处理器至少要与内存交互。由于计算机的存储设备与处理器的运算速度以几个数量级的差距，所以现代计算机系统都不得不加入一层读写速度尽可能接近处理... 查看详情
XPath 笔记本：XError:Focus for / 不存在；代码：XPDY0002
...r:Focusfor/isabsent;code:XPDY0002【发布时间】：2022-01-2109:38:32【问题描述】：我有一个简单的问题要问你。我想统计一下沉重的XML文件中包含多少个节点。例如：（在这种情况下，Xpath表达式应该给我桥节点的计数，即1）<?xmlversion="1... 查看详情
jqplug0002：layerzindex不断增加的问题弹窗一直置顶(代码片段)
针对layer弹出框每次进行弹出操作时z-index不断加1的问题，手动设置过zIndex值不管用，每次关闭时清空layer对象也不管用。 修改layer.js文件图中位置即可。 layer弹窗一直置顶的方法//通过这种方式弹出的层，每当它被选... 查看详情
fixpvsssl/tls，谁更安全？
FIXP和SSL/TLS谁更安全？这是有趣的话题，是一位LAXCUS分布式应用软件开发者提出来的问题。其实以前也有人问过，今天写篇文章正式回答一下。我先说结论：SSL/TLS实现的作业流程和技术原理，FIXP同样拥有，但是FIXP包含的某些技... 查看详情
运行npmupdate等命令出错后如何分析问题根源
我今天工作时，在当前前端项目工作目录下执行命令npmupdate结果遇到如下错误：registryerrorparsingjsonnpmERR!Unexpectedtoken<inJSONatposition0有些朋友遇到这个错误，就不知所措了。本文介绍如何分析npm命令报出的这些错误。首先根据错... 查看详情
使用来自苹果的崩溃报告查找崩溃的根源
...otofcrashwithcrashreportfromapple【发布时间】：2018-07-2616:25:25【问题描述】：我有一个应用程序被苹果拒绝，因为它为他们崩溃了，我似乎无法确定崩溃实际发生的位置以进一步调试（到目前为止我也无法复制崩溃）。使用https://develop... 查看详情
一个人没有出息的九大根源
...： 计划很丰满，执行很骨感。很多时候拖延就是逃避问题和懒惰 查看详情