搜索

[11192] 2017-04-01_企业安全工作落地的一些经验我的泪、你不懂

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-04-01_企业安全工作落地的一些经验我的泪、你不懂 企 业 安 全 工 作 落 地 的 一 些 经 验   |   我 的 泪 、 你 不 懂 猫 猫   F r e e B u f   2 0 1 7 - 0 4 - 0 1 * 本 文 作 者 ： 猫 猫 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 理 论 是 理 论 ， 落 地 是 落 地 ？ 理 论 是 理 论 ， 落 地 是 落 地 ？ 大 家 好 ， 今 天 分 享 的 是 我 司 的 安 全 制 度 落 地 过 程 中 的 一 些 经 验 ， 自 上 次 看 了 a t i g e r 7 7 大 神 的 文 章 《 一 个 人 的 安 全 部 》 之 后 深 有 感 触 。 之 后 便 加 入 了 一 个 人 的 ” 安 全 部 ” 微 信 群 和 战 友 们 交 流 沟 通 ， 在 此 之 中 发 现 了 一 个 老 生 常 谈 的 问 题 ： 理 论 是 理 论 ， 安 全 落 地 又 是 一 回 事 儿 。 前 段 时 间 爆 发 的 s t r u c t 2 和 f a s t j s o n 的 高 危 漏 洞 的 e x p 都 在 最 短 时 间 内 到 处 传 播 ， 之 后 的 一 周 内 ， 群 里 的 战 友 们 又 接 二 连 三 遇 到 了 开 发 人 员 回 退 ， 导 致 的 机 房 机 器 被 s t r u c t 2 漏 洞 利 用 的 事 件 。 更 别 说 不 少 战 友 的 研 发 部 门 的 同 事 根 本 不 愿 意 升 级 s t r u c t 2 的 扎 心 事 儿 ， 所 以 仅 以 此 文 和 大 家 沟 通 我 自 己 总 结 的 安 全 落 地 的 一 些 经 验 。 有 一 句 老 生 常 谈 的 话 就 是 ， 任 何 安 全 问 题 的 本 质 都 是 人 。 如 果 人 没 有 安 全 意 识 ， 不 管 是 多 么 优 秀 的 安 全 制 度 ， 也 会 在 懈 怠 之 中 变 得 形 同 虚 设 ， 整 套 系 统 也 会 随 之 千 疮 百 孔 ， 漏 洞 百 出 ， 所 以 我 推 进 工 作 的 重 点 就 是 针 对 人 的 推 进 。 找 对 对 接 人 找 对 对 接 人 与 你 对 接 的 只 有 各 个 研 发 t e a m 的 l e a d e r ， 只 有 l e a d e r 能 控 制 手 下 的 组 员 推 进 工 作 ， 千 万 不 要 看 到 代 码 是 谁 写 的 就 直 接 找 对 应 的 研 发 工 程 师 ！
1 l e a d e r 指 挥 自 己 的 t e a m e r 修 改 自 己 的 代 码 保 证 安 全 ， 这 是 天 经 地 义 的 事 情 t e a m e r 会 觉 得 理 所 当 然 应 该 修 改 ， 如 果 你 绕 开 对 应 的 研 发 的 l e a d e r ， l e a d e r 往 往 会 干 涉 你 的 沟 通 ， 导 致 沟 通 工 作 大 打 折 扣 。 所 以 我 教 给 大 家 一 个 技 巧 ， 大 家 发 现 如 果 一 些 x s s 类 的 漏 洞 ， 大 家 可 以 说 你 发 现 了 前 端 b u g ， 而 不 是 说 是 发 现 了 漏 洞 。   然 后 构 造 一 个 随 便 跳 出 一 堆 数 字 的 或 者 无 逻 辑 的 字 符 串 的 链 接 ， 提 交 为 b u g ， 并 说 明 这 是 影 响 用 户 体 验 的 ， 那 么 对 于 修 改 甚 至 增 强 代 码 规 范 都 有 益 处 。 之 所 以 要 这 么 做 是 因 为 我 到 公 司 后 发 现 ， 我 做 的 技 术 分 享 参 加 的 人 越 来 越 少 ， 甚 至 我 花 钱 购 买 的 资 料 ， 大 家 也 都 是 一 笑 置 之 。 所 以 千 万 不 要 做 表 面 功 夫 ， 给 大 领 导 看 ： ” 你 看 我 做 了 技 术 分 享 了 ， 我 演 示 漏 洞 了 ， 所 以 我 需 要 您 帮 我 推 进 工 作 ” 。 那 没 有 用 处 ， 因 为 ， 真 正 落 地 工 作 很 多 时 候 依 靠 的 是 细 节 ， 大 领 导 不 可 能 面 面 俱 到 ， 他 只 能 表 示 同 意 和 支 持 ， 具 体 落 实 的 时 候 大 领 导 对 于 细 节 工 作 的 推 进 十 分 有 限 。 他 一 旦 不 了 解 一 些 技 术 细 节 ， 而 开 发 同 事 对 大 领 导 提 出 异 议 ， 大 领 导 如 果 反 驳 不 了 ， 这 个 事 情 就 黄 了 一 半 了 ， 就 算 你 事 后 怎 么 解 释 开 发 人 员 都 会 拒 绝 修 改 工 程 。 更 何 况 大 领 导 有 时 候 都 不 支 持 ， 所 以 千 万 别 在 大 领 导 这 边 秀 技 术 那 都 是 浪 费 时 间 ， 必 须 首 先 在 具 体 的 工 作 人 员 这 边 做 工 作 ， 不 仅 仅 是 技 术 工 作 ， 还 包 括 人 际 关 系 工 作 。 我 知 道 不 少 战 友 的 工 作 情 况 和 我 一 样 ： 在 公 司 的 权 限 是 很 低 的 ， 越 是 低 权 限 ， 你 的 优 先 级 就 会 越 大 大 低 于 业 务 同 事 的 需 求 ， 这 个 时 候 你 会 作 何 选 择 ? 是 继 续 强 力 推 进 工 作 ? 还 是 选 择 让 步 ? 一 开 始 , 我 选 择 的 是 让 步 ， 因 为 公 司 大 老 板 是 业 务 出 身 。 所 以 在 很 多 同 事 的 眼 里 我 们 公 司 对 于 业 务 的 需 求 大 大 超 过 了 安 全 需 求 ， 有 好 几 次 我 发 现 了 高 危 漏 洞 后 ， 公 司 同 事 对 此 不 加 以 重 视 ， 也 不 配 合 我 的 工 作 推 进 。 前 几 次 我 退 让 以 后 ， 我 发 现 了 一 个 问 题 ， 没 有 人 会 记 得 你 提 出 过 这 件 事 情 ， 就 算 你 写 在 了 研 发 交 流 系 统 上 ， 这 些 漏 洞 多 半 一 个 半 月 后 依 然 存 在 于 正 式 服 上 面 。 所 以 如 果 公 司 制 度 建 设 和 工 作 落 地 有 问 题 的 情 况 下 ， 千 万 不 要 消 极 工 作 。 一 方 面 要 积 极 的 推 进 制 度 建 设 ， 一 方 面 也 要 和 l e a d e r 沟 通 工 作 ， 几 次 催 促 下 无 法 落 地 ， 就 开 一 个 技 术 分 享 会 将 发 现 的 漏 洞 串 联 起 来 ， 引 发 一 次 一 连 串 的 攻 击 操 作 。 如 果 还 是 不 修 改 ， 就 果 断 的 在 正 式 服 上 面 干 扰 正 常 页 面 显 示 ， 直 到 逼 研 发 人 员 修 改 ， 在 此 过 程 中 要 学 会 保 护 自 己 。 必 须 先 写 书 面 资 料 ， 邮 件 或 者 开 发 交 流 留 档 ， 有 了 日 期 ， 就 可 以 作 为 反 驳 的 证 据 ， 防 止 直 接 在 正 式 服 上 面 操 作 后 引 发 的 不 必 要 问 题 。 之 后 就 要 盯 死 l e a d e r 修 改 ， 千 千 万 万 不 要 绕 过 l e a d e r 直 接 找 具 体 的 研 发 工 程 师 ， 否 则 会 功 亏 一 篑 。 沟 通 技 巧 沟 通 技 巧 第 一 点 中 我 提 到 了 做 l e a d e r 工 作 的 方 法 。 l e a d e r 的 性 格 迥 异 ， 必 须 是 适 应 不 同 的 性 格 拿 出 不 同 的 办 法 来 做 做 沟 通 工 作 。 就 拿 我 们 公 司 的 几 位 l e a d e r 举 例 我 的 思 考 思 路 ： 前 端 工 程 师 l e a d e r 前 端 工 程 师 的 l e a d e r 年 轻 又 是 个 女 性 ， 性 格 很 直 ， 对 于 我 的 工 作 几 乎 不 理 解 ， 尤 其 是 对 于 代 码 返 工 简 直 是 抱 怨 连 连 ， 所 以 很 难 打 交 道 。
2 3 4 她 对 我 提 交 的 x s s 问 题 一 开 始 并 不 配 合 ， 这 个 时 候 你 不 能 气 馁 ， 要 多 找 机 会 聊 天 开 玩 笑 ， 关 注 她 的 细 微 习 惯 ， 直 到 我 发 现 她 喜 欢 夸 她 漂 亮 年 轻 又 喜 欢 吃 水 果 。 所 以 ， 我 会 时 不 时 买 点 水 果 ， 路 过 她 身 边 的 时 候 ， 要 嘴 巴 甜 一 点 ， 多 说 几 句 你 又 年 轻 了 ， 你 今 天 发 型 真 不 错 的 好 话 ， 这 样 慢 慢 拉 近 关 系 ， 才 能 保 证 打 好 沟 通 关 系 的 基 础 。 在 做 一 些 大 动 作 的 时 候 ， 我 只 要 买 零 食 再 脸 皮 厚 一 点 撒 个 娇 ， 就 能 保 证 安 全 工 作 能 正 常 推 进 。 O A 系 统 研 发 工 程 师 对 于 o a 系 统 的 研 发 工 程 师 ， 是 个 讲 义 气 的 有 大 格 局 的 山 东 汉 子 ， 我 的 思 路 就 是 主 动 帮 助 排 解 他 的 负 面 情 绪 和 他 讲 道 理 。 之 后 如 果 他 帮 你 修 改 漏 洞 还 多 讲 一 点 大 恩 不 言 谢 之 类 的 话 ， 有 几 次 工 作 弄 到 很 晚 我 也 是 主 动 感 谢 他 的 辛 劳 ， 用 人 情 来 推 进 工 作 。 商 城 研 发 l e a d e r 网 上 商 城 的 研 发 l e a d e r 年 轻 有 干 劲 ， 但 是 有 时 候 ， 我 并 不 直 接 找 他 推 进 工 作 ， 我 偷 偷 去 负 责 网 上 商 城 运 营 区 域 去 偷 听 他 们 最 近 的 一 些 业 务 动 作 。 然 后 把 运 营 的 意 思 中 与 安 全 相 关 的 需 求 转 化 一 下 语 句 ， 再 和 网 上 商 城 的 研 发 的 l e a d e r 去 表 达 ， 这 样 就 做 到 让 他 感 觉 到 现 在 做 的 事 情 又 能 推 进 业 务 需 求 ， 又 能 满 足 安 全 需 求 。 A P P 的 l e a d e r 对 于 a p p 的 l e a d e r 他 由 于 最 近 生 了 孩 子 ， 所 以 他 的 心 态 肯 定 越 来 越 力 求 稳 定 。 这 个 时 候 最 好 的 办 法 就 是 强 力 推 进 制 度 建 设 ， 这 里 推 荐 一 下 a p p 安 全 扫 描 这 个 技 巧 ， 尤 其 是 阿 里 的 扫 描 报 告 ， 阿 里 的 牌 子 大 名 气 响 ， 你 把 阿 里 的 安 全 报 告 发 到 大 领 导 眼 前 ， 然 后 对 他 游 说 竞 争 对 手 的 a p p 漏 洞 数 量 很 多 ， 如 果 我 们 能 做 到 0 漏 洞 ， 就 能 在 业 务 推 进 当 中 打 击 对 手 等 等 要 点 ， 这 样 就 能 保 证 大 领 导 支 持 你 的 制 度 设 计 。 记 住 一 句 老 话 办 法 永 远 比 问 题 多 ， 这 句 话 是 绝 对 适 用 于 人 的 。 工 作 推 进 的 原 则 工 作 推 进 的 原 则 工 作 推 进 的 原 则 ， 看 完 以 上 两 点 后 千 万 要 知 道 ， 这 些 技 巧 和 思 路 的 起 源 就 是 ， 你 是 在 帮 助 研 发 工 程 师 完 成 工 作 ， 而 不 是 他 们 完 成 你 布 置 的 任 务 。 因 为 他 们 本 身 就 有 工 作 量 ， 如 果 你 带 着 你 要 完 成 什 么 什 么 的 心 态 和 他 沟 通 工 作 细 节 ， 你 是 肯 定 无 法 落 地 工 作 的 。 因 为 你 的 工 作 优 先 级 绝 对 是 最 低 的 ， 尤 其 是 你 的 需 求 增 加 了 他 的 工 作 量 却 没 有 任 何 实 质 的 变 化 。 但 是 你 如 果 带 着 你 和 他 带 着 共 同 的 目 标 和 任 务 ， 站 在 他 的 立 场 上 思 考 并 组 织 语 言 去 沟 通 ， 对 方 工 程 师 就 会 觉 得 你 和 他 是 一 路 人 是 为 了 共 同 的 目 标 和 目 的 完 成 工 作 ， 这 样 他 会 相 对 主 动 地 完 成 工 作 内 容 。 这 个 沟 通 的 核 心 就 是 要 让 他 觉 得 你 和 他 是 为 了 共 同 的 目 标 ， 或 者 是 你 在 帮 助 他 完 成 他 的 目 标 ， 这 样 才 能 保 证 工 作 的 落 地 。 如 果 体 会 不 了 就 从 这 几 个 细 节 做 起 ： 你 要 记 住 每 个 人 的 口 癖 比 如 说 甲 喜 欢 说 可 以 可 以 ， 你 就 要 学 会 在 同 样 情 况 下 说 同 样 的 话 ， 乙 喜 欢 说 棒 棒 哒 ， 你 也 要 学 会 在 同 样 的 语 境 下 说 棒 棒 哒 ， 总 之 模 仿 他 人 的 常 用 语 。 对 方 在 装 修 ， 你 就 要 去 看 一 些 装 修 的 资 料 然 后 和 他 聊 天 ， 这 样 和 他 在 聊 天 的 工 作 中 表 现 出 ， 装 修 的 项 目 经 理 是 个 贼 头 贼 脑 只 会 偷 换 装 修 原 料 的 小 偷 。 正 所 谓 有 共 同 的 敌 人 就 是 朋 友 ， 而 朋 友 自 然 就 是 万 事 好 商 量 喽 。 还 有 在 表 达 自 己 的 工 作 目 的 的 时 候 ， 尽 量 去 找 他 主 要 的 工 作 需 求 ， 尤 其 是 运 营 或 者 前 端 业 务 的 需 求 ， 去 找 这 些 需 求 和 安 全
的 共 同 点 。 然 后 包 装 成 保 证 业 务 的 推 进 或 者 是 打 击 竞 争 对 手 的 目 的 去 推 进 工 作 ， 这 样 让 他 觉 得 他 是 在 完 成 优 先 级 很 高 的 业 务 需 要 ， 而 不 是 优 先 级 最 后 的 安 全 需 求 。 第 四 ： 学 会 在 工 作 的 时 候 穿 针 引 线 。 我 在 公 司 大 家 都 不 愿 意 把 新 项 目 的 进 度 告 诉 我 ， 我 只 能 跑 来 跑 去 站 在 大 家 的 后 面 看 大 家 的 工 作 进 度 ， 揣 摩 大 家 最 新 的 研 发 思 路 和 工 作 内 容 . 时 间 长 了 我 发 现 这 样 有 一 个 巨 大 的 好 处 ， 我 可 以 找 到 机 会 和 他 们 聊 天 和 接 触 ， 保 证 人 际 关 系 的 稳 固 的 同 时 还 能 知 道 最 近 的 研 发 进 度 。 因 为 我 在 工 作 中 发 现 过 于 工 作 性 质 的 邮 件 效 率 极 低 ， 推 诿 扯 皮 ， 交 换 的 信 息 不 仅 仅 质 量 低 。 很 多 时 候 只 不 过 是 一 个 用 来 证 明 自 己 试 图 推 进 工 作 的 书 面 证 明 ， 对 实 际 的 工 作 落 地 毫 无 作 用 ， 就 像 是 上 文 说 的 在 提 出 安 全 问 题 的 时 候 先 发 一 封 证 明 自 己 发 现 了 这 个 问 题 。 潜 台 词 就 是 改 不 改 是 研 发 的 事 情 我 反 正 没 责 任 了 ， 这 种 行 为 在 不 少 人 的 眼 里 其 实 会 被 认 为 是 推 诿 责 任 的 开 始 。 所 以 和 研 发 人 员 混 熟 以 后 ， 就 可 以 说 ： ” 邮 件 我 就 不 发 喽 ， 免 的 还 要 抄 送 给 领 导 看 ， 我 们 私 下 里 改 改 就 算 解 决 了 嘛 。 ” 对 方 就 能 完 全 赞 同 并 且 觉 得 你 给 他 面 子 。 这 对 执 行 力 强 但 不 喜 欢 发 邮 件 讨 论 工 作 的 同 事 极 为 有 效 ， 很 多 研 发 每 天 要 看 一 大 堆 需 求 邮 件 ， 对 于 邮 件 十 分 反 感 ， 能 做 到 在 私 下 里 解 决 对 他 来 说 是 既 简 单 又 有 面 子 的 事 情 。 分 享 ： 人 肉 安 全 测 试 技 巧 一 则 分 享 ： 人 肉 安 全 测 试 技 巧 一 则 还 要 分 享 一 个 自 己 折 腾 出 来 的 技 巧 一 则 ， 我 们 公 司 是 完 全 采 用 人 肉 测 试 的 ， 自 动 化 测 试 完 全 没 有 . 所 以 利 用 这 一 点 我 在 职 场 网 络 搭 建 了 b u r p s u i t 作 为 生 成 安 全 检 测 文 档 的 生 成 器 。 第 一 步 ： 在 p r o x y 菜 单 栏 中 选 择 A l l   i n t e r f a c e s   保 证 局 域 网 都 能 使 用 这 个 端 口 。 第 二 步 ： 在 站 点 菜 单 栏 中 右 键 点 击 要 测 试 的 域 名   我 这 里 演 示 遨 游 主 站
将 要 测 试 域 名 放 到 队 列 里 同 时 开 启 被 动 扫 描 在 扫 描 页 面 里 开 启 扫 描 队 列 中 的 目 标 选 项 之 后 测 试 人 员 做 任 何 测 试 通 过 你 内 网 的 8 0 8 0 端 口 就 能 启 动 安 全 扫 描 , 并 且 都 是 带 有 登 录 权 限 的 扫 描 , 可 以 比 主 动 扫 描 更 为 深 入 , 一 些 研 发 不 肯 告 诉 我 的 新 功 能 也 能 在 测 试 的 过 程 中 得 到 很 好 的 测 试 。 别 忘 了 关 闭 拦 截 器 哦 。 接 下 面 来 讲 讲 怎 么 生 成 报 表 ：
如 图 所 示 右 键 点 击 域 名 并 选 择 报 告 , 然 后 一 路 n e x t   最 后 一 步 , 需 要 你 提 供 生 成 报 表 文 件 的 路 径 。 可 以 参 考 我 提 交 给 大 领 导 的 文 档 设 定 安 全 等 级 。 如 果 有 任 何 建 议 或 者 批 评 请 留 言 ， 谢 谢 ！ * 本 文 作 者 ： 猫 猫 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理