98%的运维人员会中招的运维安全陋习，你中了几个？_计算机运维工程师有哪些无效行为

与上面类似，如果敏感应用程序使用默认配置，则不会启用身份验证，MySQL/MongoDB/Redis/rsync/visord rpc/Memcache 等应用程序将不会进行身份验证。为了测试方便，如果设置弱密码或空密码，可能会浪费认证。

3. 敏感信息泄露，例如代码备份、版本跟踪信息和泄露的凭据

像web.tar.gz/backup.bak/.svn/.git/config.inc.php/test.sql这样的信息泄露随处可见，谁都知道其中的危险，但踩在它们身上的人却始终存在。有时。

4.应用程序默认设置未清除

jenkins script/Apache server-status 等默认功能不会被清理。例如下图中，您可以直接运行该命令。

5. 打开应用程序系统的调试模式。

Django 调试模式允许暴露URI 路径，phpinfo() 暴露服务器信息、webroot 等。攻击者可以利用它来获得进一步的渗透。即使你发现了SQL注入，你也做不到。如果你能认识某人，请写一个webshell() 这是最好的。

6、应用漏洞未及时更新

应用程序越常见，漏洞出现的频率就越高。有一句名言是这样说的：“世界不安全不是因为黑客，而是因为黑客存在。”当黑客揭露他们的幻想时，他们发现存在着巨大的焦虑。于是Struts2、OpenSSL、Apache、Nginx、Flash等CVE相继问世。

7、宽松的权限管理

不要遵循最小权限原则，向企业帐户授予开发root 权限或管理权限。

8.DDoS攻击

DDoS攻击是运维人员非常熟悉的安全问题。我们都知道，服务器会占用带宽并耗尽资源，从而无法响应常规请求。归根结底，这是一种资源冲突攻击方式。如下图所示，在大流量、高并发下，单纯依靠服务器资源进行容忍和过滤只会导致雪崩。

加上DDoS攻击平台数量众多且成本低廉，DDoS攻击已成为那些寻求压制、报复或恐吓竞争对手的首选方法。

9、流量劫持

还记得2015年小米、腾讯、微博、今日头条等六家上市公司联合发表声明呼吁运营商严厉打击流量劫持的报道吗？下面介绍三种常见的流量劫持方式。这些也是多年来困扰运维安保人员的老问题。

arp劫持：ARP协议的基本功能是通过目标设备的IP地址查询目标设备的MAC地址，并保证通信。基于ARP协议的这种工作特性，黑客不断向对方计算机发送畸形的ARP数据包，并欺骗ARP响应的目标IP，从而实现中间人攻击。域名劫持：通过劫持域名的DNS解析，将HTTP请求劫持到特定的IP，导致客户端与攻击者的服务器建立TCP连接，而不是直接与目标服务器建立连接。 HTTP 劫持/直接流量修改：沿着数据路径将持久内容（例如广告弹出窗口）注入到页面中。

10. 案例

到目前为止，我们已经描述了许多运维安全方面的不良做法和问题分类。以下是每个人都熟悉的几个案例，展示了操作和维护安全漏洞如何产生重大的“成本”影响。 -有效的”：

SVN

部署Web代码时，svn目录上传错误。使用rsync上传代码时未排除.svn目录，并且svn仓库未使用svn propedit svn:ignore目录或文件来忽略不应排除的文件或目录。上传；攻击者使用svn进行信息泄露，使用Svn-Tool或svn-extractor工具恢复代码。

同步

rsync由root用户启动，模块未配置认证，默认对外开放873端口，攻击者可以利用rsync创建crontab任务，反弹shell并成功植入挖矿木马。

女士们

Redis使用root用户启动，无需配置认证，对外开放默认端口6379。攻击者使用Redis 将ssh 公钥写入root 用户的.ssh 目录，通常是登录到计算机。部署Redis 的计算机有一个内网IP，攻击者可以利用该IP 在您的网络中漫游。

库伯内斯

K8S的API对外暴露，没有启用认证。攻击者调用API创建容器，将容器文件系统根目录挂载到主机根目录，并成功反弹shell。他们可能会创建一个crontab 任务并在主机上植入挖矿木马。在某些情况下，未编译的代码可能会在容器内执行，或者来自私有Docker 镜像仓库的镜像可能会被拉到受感染的机器上，从而造成难以想象的后果。以下K8S API非常容易调用。

现在我们来考虑如何保证运维安全的问题。中医有句话：“对症下药”。我们花了很多篇幅来分析问题，但从问题出发，我们要修改或者培养良好的驾驶和维修安全习惯，并将其与完整的驾驶和维修安全技术体系结合起来，这就是我的想法。

哪个兄弟不知道你可以提前回答网络安全面试问题？我们整理了160多道网络安全面试题（金9银10），帮助你在网络安全面试包中脱颖而出。一周去做这件事。

工程师王兰一面试题及答案目前只对我哥有用。如果你能正确回答70% 的问题，那么你找到一份稳定的工作就不会有太大困难。

对于工作经验1到3年后想换工作的朋友来说也是一个不错的考虑！

【如何获取完整版在文末！ ]

93 网络安全面试问题

我就不一一截图了，因为内容太多了。

黑客学习资源推荐

最后给大家分享一套完整的网络安全学习资料，对所有想学习网络安全的人都有用。

对于刚接触网络安全的学生，我们创建了详细的学习和成长路线图。这可以说是最科学、最系统的学习路线。每个人都可以遵循这个大方向。

朋友们，如果您需要的话，请联系我们获取~

1零基础入门

学习路线

对于刚接触网络安全的学生，我们创建了详细的学习和成长路线图。这可以说是最科学、最系统的学习路线。每个人都可以遵循这个大方向。

路线对应学习视频

同时，还根据成长路线提供了每个部分的支持视频。

2视频配套工具国内外网安书籍、文档

工具

视频

书籍

由于资源比较敏感，所以需要的资源并没有完全显示在底部。

简历模板

由于篇幅有限且信息较为敏感，我们仅展示部分信息。

#以上是98%的运维人员都会陷入的不良安全习惯。 _网络上有关计算机运维工程师不当行为的相关内容来源，仅供参考。相关信息请参见官方公告。