從乙方到甲方,我在做什么


最近,總有朋友在問,從一座熟悉的城市到陌生的環境,從乙方到甲方,這個轉換挺大的,會不會有挫敗感,你平時工作內容主要是哪些?

答:還好吧,開始去嘗試新的東西,能夠有充足的時間去思考自己想要做事情,並親自去實踐。


剛入職時,正值幾個重要的應用系統要上線,這不正是我擅長的領域嘛,通過黑盒滲透發現了很多高危漏洞,

比如:

可以查看任何人薪資,想看誰就看誰的,可以細到月份、社保、公積金的那種;

可以重置任何人的域賬號密碼,又因為域賬號綁定了個人PC、郵箱、OA等常用辦公系統,你可以重置任何人的域賬號,然后登錄他常用的辦公系統。

.........

通過幾個典型的漏洞案例,來證明下自己的技術能力,這還是很有必要的,可以快速的讓別人了解你擅長的領域是什么。

最開始接觸的是ISO27001安全管理體系,然后慢慢了解本部門的工作流程,花了不少時間去熟悉原有的應用安全相關的流程/標准,借助SDL、S-SDLC的最佳實踐,重新梳理原有的應用安全流程/標准,再到發布新的流程,運行,推廣,這將會花費我很多的精力。慢慢地對企業內部的應用安全現狀有了一定的了解。


剛入職時,有個安全服務的項目,角色轉換過后,你可能也會遇到這樣的場景:

聽着某乙方銷售對着你,用着不太專業的術語跟我解釋什么是滲透測試,什么是應急響應,莫名地喜感。

一個售后出身的安服項目經理,說起滲透,分分鍾就能把你網站搞癱。你跟安服項目經理說,之前你就是做安服的,安服這一套你也很熟,然后安服項目經理可能沒聽懂,以為你之前也是干售后,繼續跟你吹的天花亂墜。

看着提交上來的漏洞,一個參數位置有兩個高危漏洞,XSS跨站腳本和鏈接注入,同一個原理出來的,好吧。

最后,你實在忍不住,告訴安服項目經理,你之前就是做滲透測試的,而且技術好像還可以的那種,

看着他遲疑了好幾秒才反應過來的表情,終於踏踏實實做項目去了。

 

未知攻焉知防,通過自身豐富的安全攻防經驗,來幫助企業解決一些安全問題。

目前,主要專注於應用安全、應用安全開發,企業安全建設之路漫漫,保持學習、思考和實踐。

最后

歡迎關注個人微信公眾號:Bypass--,每周原創一篇技術干貨。 

 

 


免責聲明!

本站轉載的文章為個人學習借鑒使用,本站對版權不負任何法律責任。如果侵犯了您的隱私權益,請聯系本站郵箱yoyou2525@163.com刪除。



 
粵ICP備18138465號   © 2018-2025 CODEPRJ.COM