安全与隐私highon.coffee
渗透测试工具速查表
Penetration Testing Tools Cheat Sheet
2016 — 2018，它一次次回到首页
黑点是上首页（≥ 50 分）的那次投稿，空心点是没冲上去的投稿，点越大分数越高。
导读
这是一份渗透测试工具速查表，汇总常用安全工具及其命令/用法，方便从业者在测试过程中快速查阅。页面也可作为入门者了解渗透测试工具链的参考。
为什么经久不衰：它把分散的工具和用法集中在一页，便于快速检索，多年后仍是渗透测试日常查阅和入门的实用资料。
HN 评论精选
补充推荐蓝队防御与社工工具。
再补充几个安全工具：Artillery Project 是开源蓝队工具，通过多种方式保护 Linux 和 Windows 系统；Social-Engineer Toolkit (SET) 是 TrustedSec 的社会工程学工具库。
0xmohit查看英文原文
A couple of more security tools: https://github.com/BinaryDefense/artillery - The Artillery Project is an open-source blue team tool designed to protect Linux and Windows operating systems through multiple methods. https://github.com/trustedsec/social-engineer-toolkit - The Social-Engineer Toolkit (SET) repository from TrustedSec
渗透测试的核心是系统管理与协议基础，而非速成课程。
这份速查表体现了许多新手不明白的一点：渗透测试需要掌握与 Linux 系统管理员相同的系统和服务知识。我常看到想成为黑客的人报名 IT 安全或道德黑客课程，以为有某种魔法教育能让人变成黑客；实际上他们需要的是和优秀 Linux 系统管理员一样的技能：理解协议、理解服务，并且擅长用英文搜索。
INTPenis查看英文原文
This cheat sheet shows what a lot of rookies don't understand, pentesting requires knowledge of the same systems and services as that which any linux sysadmin has. It's amusing to me because I often see people wanting to be hackers, applying for IT-security classes or ethical hacking classes thinking there's a magic education they can take to become a hacker. When in reality they need the same skills as any good linux sysadmin, understanding protocols, understanding services, and being able to google well in english.
推荐 iOS 取证方向的免费电子书。
Zdziarski 的《iOS Forensic Investigative Methods》是一本免费电子书，如果你对原生渗透测试感兴趣会有帮助。
nstj查看英文原文
Zdziarski's "iOS Forensic Investigative Methods"[0] is a free eBook which can be helpful if you're interested in native penetration testing. [0]: http://www.zdziarski.com/blog/?p=2287
推荐 PentesterAcademy 作为安全学习平台。
我用了三年多的资源是 PentesterAcademy 的 topics 页面；它就像计算机安全领域的 Pluralsight / Lynda.com。
dimdimdim查看英文原文
The one I've used for 3 years counting: http://pentesteracademy.com/topics Its the Pluralsight / Lynda.com but for Computer Security.
历次讨论
同类还值得读
非法素数
Illegal prime
维基百科条目，介绍“非法素数”：某些素数之所以被称为“非法”，是因为它们经特定编码后，恰好对应一段被法律禁止传播的数据——最著名的是 DVD 解密程序 DeCSS 的代码，有人把…
安全与隐私上首页 5 次 · 2010–2021en.wikipedia.org编辑精选关于 /dev/urandom 的常见误区
Myths about /dev/urandom
（Thomas Hühn 撰写，2014 年首发并持续更新）逐条反驳关于 /dev/urandom 的常见误解：它与 /dev/random 使用的是同一个 CSPRNG，一旦完…
安全与隐私上首页 5 次 · 2014–20202uo.de编辑精选AES 高级加密标准火柴人图解
A Stick Figure Guide to the Advanced Encryption Standard (AES)
一篇用火柴人漫画形式讲解 AES（高级加密标准）算法的经典科普文章。
安全与隐私上首页 5 次 · 2009–2022moserware.com编辑精选指纹是用户名，不是密码
Fingerprints are Usernames, not Passwords
作者（eCryptfs 维护者、Ubuntu 安全工程师）认为指纹等生物特征是公开、不可更改的标识，应视作用户名而非密码，不能当作秘密凭据用于认证。
安全与隐私上首页 4 次 · 2013–2017blog.dustinkirkland.comHTTPS 连接的最初几毫秒（2009）
The First Few Milliseconds of an HTTPS Connection (2009)
逐毫秒拆解一次 HTTPS 连接建立时发生了什么，重点讲 TLS 握手、证书验证、RSA 签名与密钥协商等机制，面向不熟悉该领域的读者。
安全与隐私上首页 4 次 · 2009–2020moserware.com编辑精选