发布于 4 天前
发布于 4 天前
神经蛙
更新于 4 天前
1
0
就是假如资产测绘网站,通过爬虫测绘收录了雷池WAF指纹。 ,黑客想打安装了雷池WAF的网站,搜索一下fofa,sodan 之类网站,出来一堆安装了雷池的网站。建议雷池增加反资产测绘功能。降低自己的识别特征和指纹,例如cookie,ico图标,titile,默认SSL证书。
神经蛙
更新于 4 天前
1
0
神经蛙
更新于 4 天前
1
0
可以出个一键资产反测绘
齐天大圣孙悟空
更新于 3 天前
0
1
扫描和反扫描是道高一尺魔高一丈的问题。。
正确的应该做法是给雷池管理控制台设计合理的访问控制,做好白名单。。。
另外,你还不如给雷池控制台再套一层雷池防护起来,加上人机验证,加上动态防护
神经蛙
更新于 3 天前
不是指的后端控制台,是前端,在前端人机验证,拦截页面,报错页面,站点无匹配时的默认SSL证书指纹,雷池的cookie,favicon.ico等等的时候,可以识别到使用了雷池。 意思是我不想让人知道我使用了谁家的WAF.
神经蛙
更新于 3 天前
例如fofa搜索 "safeline-Fallback-Certificate" ,出来28000个使用了雷池防护的网站。
神经蛙
更新于 3 天前
例如黑客想打使用了雷池防护的网站,fofa搜索 sl-session ,出来32W个使用了雷池防护的网站,不信你自己试试。
风中芥子
更新于 3 天前
1
0
确实商业版本应该更新这个功能,万一雷池有0 1 day漏洞,直接会被打穿,资产测绘+漏洞