信息安全实习工作报告（精选5篇）

信息安全实习工作报告 篇1

精选计算机专业实习报告范文3000字

我是学院xx级信息安全系的学生，在去前毕业后，我来到了xx公司进行实习工作，我主要做的是网站设计工作，我发现通过实习工作，自身专业技术提高的非常快，通过在xx公司进行工作，我学到了很多在学校接触不到的东西，比如，学习能力、生存能力、与人沟通的能力等等。现将我的实习情况汇报如下，请老师点评。

一、实习工作介绍

我所在的这家公司，是一家做网上招商的商业网站，公司接收各种厂家提供的信息，然后由网络的技术人员，将商家的信息做成网页广告，然后挂在我们的网站上，以此达到商业推广的目的，类似我们公司的网站在同行业还有u88、28招商网等。

我和其它几位同事做为网络部的技术人员，主要的工作就是接收美工人员的网站模板，将其通过photoshop切片，然后导入dreamweaver进行排版，（排版主要使用css+div），并进一步的加以制作，完善美化，如加入js代码，或透明flash，因为网页是用css+div进行排版的，所以在后一步的时候，我们还需要进行浏览器测试，因为css+div排版方式有一个大的缺点就是：浏览器不兼容的问题，典型的如：ie与fireworks，因为各种浏览器使用的协议不同，所以会导致页面在终浏览的时候有一些小问题，如：页面混乱，图片、文字之间的距离过大或过小，页面不美观等等，做为一个新人，我在有些方面的技术还很不成熟，所以在技术总监张伟的帮助下，解决了很多问题，所在我很感谢他，当每天我们做完网页后，都会在代码页面加入注释代码，在里面写上每个人姓名的汉语拼间和工作日期，这样方便月底做统计工作，公司领导会根据每个人的工作数量进行奖励，每做一个页面会有2块的提成，虽然少点，但是积少成多，也是很可观的。

二、初来公司的时候

（一）初级考试

初来公司的时候，我们经过了初期考试，培训，与终考试三个阶段，在接到公司让我面试的电话后，我来到了**公司，因为要干的是网页设计，所以要有一个小测验，技术总监要求我们在网上自找图片和文字，做一个简单的页面，要求是：什么样的页面都可以，考查的主要是面试者相关软件的操作能力与代码掌握的熟练成度，说实话，从毕业后，有一段时间没有写代码了，刚一上机，还有点生疏，但是凭借在学样扎实的学习功底，我很快就恢复了自己的英雄本色，将html代码写的很熟练，做了一个左右分栏的页面，没什么太大难度，技术总监看了以后，说不错，让我三天后参加培训，合格扣就可以正式上班了。

（二）三天的培训工作

三天后，我来到了公司，一看，来参加培训的人有很多，大概在十多个人左右，其实所谓的培训，就是让大家先熟悉这家网站的工作，先做一些他们平时干的活，做一些广告网页，这些网页都是静态的，没什么难度。我后来发现，自己在这些人当中，还是较较者，心里优势还挺好的。

（三）后的考核

三天的培训后，我们迎来了后的考核，合格的人会被留下，并得到一份为期一个月的实习合同，然后会在根据你在实习期的表现决定你的去留问题，优秀的人会转正，得到很优厚的待遇。

考核的内容，就是在公司的商务网站上任选一个页面，然后在规定的时间内做完，我还不错，技术比较熟练，是第四个做完的。当我们把网页做完后由这家公司的经理进行审核，后的结果是，先做完的前8个人可以有底薪加提成，每人页面的提成是2元钱，而后面做完的，只有提成，没有底薪，他们的提成是每个页面5元钱，后的几个人就被淘汰了，制度虽有点不近人情，但是刚毕业的学生能忍也就忍了，就这样，我们每个人得到了一份一个月的临时合同，正式开始了实习工作。

三、正式工作

我们每天的上班时间是从早上8：30分到下午的17：00，这是我见过有激情的一些人了，年纪轻轻，干劲十足，来了以后就工作，连平时聊天的内容也和本行业分不开，我喜欢他（她）们，回为是实习期，所以每天做的数量没有太大要求，但是每个人都玩命似的干活，抓紧时间做网页，我们做的网页是比较简单的从上到下式的网页，通过css+div排版，这样在后期浏览器兼容测试中，就好做的很多了，文字与图片之间就不会有太多的麻烦，我干的很不错，不过有些追求精致，我做网页的速度慢了很多，初每天只能做3——4个网页，这对于我来说是不能接受的，后来我改变了工作方法，我第次工作的时候，先订下计划，比如今天做多少网页，然后我将要做的所有网页，先做好排版，这时的网页虽然排过版，但是不美观，因为没有进行美化工作，然后我会在下午的时间，集中全力做美化工作，就这样我的速度提高了很多，快了将近一倍多。只要更加熟练速度不会更快，我相信自己。

四、业余的生活

每天的工作都是很快的，有时感觉时间过的很快，想停都停不住，早上出去的时候，见的是太阳，晚上下班后看到的

是即将落日的夕阳或者是星星，每天就这么快的过去了，每个工作日结束后，我都会在下班后步行一段时间，去附近的图书城充会电，或者放松一下，找一些我喜欢的书，看上几个小时。

五、工作心得体会

实习期结束后，我和其它同事得到了正式合同并留在了这家公司，通过这次工作，我得到的大体会就是，如果一个人在社会上没有一技之长，那他是没有办法很好的活下来的，只有不断的加强自身专业技能学习才行。所以，尊敬的老师，我会在业余时间好好学习，加强自己的专业能力，使自己变得更强，只有这样才能上到为国家、为社会做出贡献，下到为自己、为父母、为学校交出一份满意的答卷。

信息安全实习工作报告 篇2

实习对于我们来说是非常必要的，不仅使我们在课堂上学到的东西得到在现实工作中运用，更重要的是能够体验丰富自己的社会实习阅历，尽快适应社会，而且还可以在社会中学到一些在课本上学不到的东西，锻炼自己的社会本能，这样在以后毕业后出到社会就可以以最快，最好的态势来适应社会环境，投身到自己的工作岗位。于是，在大一大二暑假我都提前踏上社会实习，体验社会工作的压力，下面我就大二到xx网络科技有限公司做电话营销的实习做一下回顾。

一、实习目的

通过到xx网络科技有限公司实习，首先，可以对互联网行业做进一步的了解；其次，可以更深一步了解电子商务网络安全的防护措施；再次，可以将本专业所学的知识应用到实习中，不仅可以巩固专业知识，还能进一步提升完善知识框架；最后，感受公司的企业文化，了解公司的管理体制和经营之道，学会如何在企业做事，做人。

二、实习内容

针对央行文件，拥有支付清算系统公司要做安全评估，访问相关客户。

每天下班前对当天电话访问的情况做详细记录，并总结。

针对电子商务网站安全，做产品信息网页防篡改，防病毒等宣传，挖掘潜在客户。

两三天开一次远程会议，做工作汇报总结，发现其中问题，及时做修改及经验交流。

针对高校招生时期，对高校教育网做招生信息，学校信息网页防篡改，防病毒等宣传，挖掘潜在客户。

对已遭受黑客攻击的网站，进行安全漏洞修补宣传，以及防止被黑的措施宣传，挖掘潜在客户。

第一周：开始进入公司实习，第一周主要是培训。

首先是公司的人力资源主管，给我们介绍了一些关于公司的规章制度，和工作期间的一些相关事项。接着就是华南地区总经理和网络安全总监，给我们介绍了这次实习项目的主要内容，让我们有个大概的了解。了解完公司的大概情况后，就开始培训跟项目有关的技术知识了。给我们介绍技术知识的"是技术部的主管，为我们讲解了关于网络安全的相关技术，如soc，ddos，流量控制，防火墙等。虽然学过电子商务安全与支付，了解过相关网页安全及支付系统安全的控制技术，但还有很多相关安全技术还是不懂的。经过了技术主管的培训，虽然只是简单的讲解，也扩展了我对电子商务安全方面的技术知识。

第二天，就开始进入电话营销的知识培训了。给我们培训的是客户服务总监，是台湾人。由于做这个项目的还有xx长沙分公司的几个人，所以就xx和xx的一起开培训会议，通过远程视频三地连接，虽然是通过互联网的开会，但是跟实际坐在一个会议室开会是一样的，你的任何声音，任何动作，其他人都可以听到看到的。客服总监给我们讲解了一些电话营销的技巧以及常用术语，然后发了些资料让我们背熟。

了解了技巧，熟悉了术语，该是考验我们掌握的程度的时候了。客服总监让xx与xx的的实习生相互训练，即一个扮演客户，一个扮演电话营销员，让我们在完全不知道对方会作何反应的情况下随机应变，大大提升了我们的实习经验。

第二周：第一个任务——针对央行的最新文件，要求拥有支付清算系统的公司要做安全检测。

接受了系统的培训后，就开始正式对外拨号了。所以我们就搜集了拥有支付清算业务的公司的资料，包括公司名称、网站、地址、电话、联系人、邮箱等，然后输入事先已经制作好的表格里。资料搜集后，就一个一个打电话，通过各种方法找到相关负责人，然后询问他们关于支付清算系统的安全检测问题是否已经做了，根据他们的知情程度、是否完成、以及是否有意愿完成、是否继续跟进等将访问的结果记录到表格里。

很多时候我们打电话过去，才刚刚报了公司名后，以为我们是推销东西的，就立刻遭到拒绝。有时候有些公司根本不清楚支付系统安全方面是谁负责的，电话接来接去都找不到负责人。有时候接线员就骗我们说负责人不在，故意推脱。刚开始的时候，屡次的失败让我们自信心很受打击。

每天下班前都要把今天所拨打的电话的访问情况记录整理好，然后发给客服总监，同时下班前客服总监会召我们开会，汇报今天的电访情况，以及遇到的无法解决的问题，与大家进行交流，并想出应付办法。

第三周：开始第二个任务——针对电子商务网站做网页安全宣传。

电子商务网站涉及交易信息、商品信息以及支付信息等一系列安全问题。一些黑客可能会把网站上的商品信息（如价格）进行篡改，从而导致电子商务企业和客户陷入误解纠纷等。因此电子商务网站要时刻进行漏洞扫描，及时修补，以防黑客进行攻击。我们针对这些要点对电子商务网站公司进行电话访问，了解他们的需求，同时宣传我们公司在这方面的业务成就。

同样的，我们事先就制作表格，搜集客户资料进行输入，同时对每个客户访问后的反应做整理，然后输入表格里面。在本周开展新任务的同时，我们也对上周需要进一步跟进的客户进行了再一次电访，以尽可能促成交易。

第四周：开始第三个任务——针对高校招生时期，对高校网页防篡改做业务宣传。

恰逢暑假时期，各地高校正在忙着招生，各高校网都会更新关于招生的信息，各个学生家长也都会登录高校网站查看自己的录取情况。因此，很多黑客骗子会利用篡改高校网站招生信息，或是制作类似已有高校的网站的假高校网站骗取学生以牟取暴利，像北大清华等名牌高校都有被篡改过的前例。所以有安全意识的高校就会重视，也会有这方面的需求。我们便针对此要点拨通广东所有高校的电话，试图找到网络中心的负责人进行交流。

学生与老师的交流自然比之前的与商业企业要容易多，不会很快就被人拒绝了。不过电访过程我们还是会遇到很多问题，例如放假了学校网络中心是实行值班制，很多时候打电话过去都没人接听。另外就是网络中心老师有这方面意识，但学校项目需要向学校领导申请审批等一系列问题都难以促成交易。

第五周：开始第四个任务——根据国家信息中心提供的被黑网站统计系统，针对已经被黑的网站，劝其及时修补漏洞，删除被黑网页。

公司与国家信息中心有合作，根据国家信息中心提供的一个被黑网站统计系统，系统里每天都会更新搜集被黑网页的，根据这个我们可以找到他的原始网站，再从网站上搜集公司的电话，进行拨打，告知对方网站已存在安全漏洞，已遭黑客攻击，需要及时修补，从而希望对方可以让我司为其提供这方面的服务。

电访中很多网站是外包给网站建设公司的，原网站企业老板根本就不懂这方面的技术，而且说外包公司会负责其网站的安全维护。另外有些公司负责人不相信他们网站已被黑，我们便提供了他们网站被黑给他们。电访中遇到的种种我们无法事先想象的问题，我们都会在事后开会交流中讨论解决方案，以应付可能出现的问题。

三、实习总结

选择自己认可的工作

两年暑假实习的对比，让我了解到，一个人如果做一件自己认可的工作，他会很认真很投入去完成，而做一件自己不认可的工作，你会发现你自己是在勉强过日子。网络信息安全，对于一个读电子商务的我来讲，可以说是专业知识。网站漏洞、病毒入侵、黑客攻击、网上支付安全等，我们很清楚互联网的给人类带来方便的同时也会带来安全隐患，而我们也会极力去防范这些隐患的发生。我认可这项工作，因此我会很自然地跟客户介绍这项服务，可以有足够的理由及说服力劝说客户接受我的观点。而如果一件东西你自己都不认可，你又怎么可能有足够的理由和自信心去让别人接受呢？因此一定要选择自己认可的工作，你才会去用心投入，才会收到你想要的结果。

信息安全实习工作报告 篇3

尊敬的老师：

我叫***，是***学校网络系信息安全专业的学生，从我走出学校的那一天起，已经有快一年的时间了，在这期间我来到***公司进行实习工作，我在公司里干的主要是网站后台维护工作，通过这一年来的实习工作，我的个人能力得到了极大锻炼，并且在人际交往方面有了很大的进步，回首这一年来的实习工作，真是感慨良多，现将我的实习情况报告如下。

一、工作介绍

我在公司主要负责维护网站，对公司网站进行简单的更新、维护工作，每天进行网站文章更新，网站推广工作，公司的网站是采用php动态技术编写的，通过linux操作系统来搭建服务器平台，采用linux+apache+php+mysql这种lamp组合。公司网站自带有后台登陆系统，每天我都要登陆后台，查看用户留言，并解决客户提出的问题，我有时还要做一些网页，工作流程就是接收美工人员制做的网站模板，将其通过photoshop切片，然后导入dreamweaver进行排版，（排版主要使用css+div），并进一步的加以制作，完善美化，如加入js代码，或透明flash，因为网页是用css+div进行排版的，所以在最后一步的时候，我们还需要进行浏览器测试，因为css+div排版方式有一个的缺点就是：浏览器不兼容的问题，典型的如：ie与fireworks，因为各种浏览器使用的协议不同，所以会导致页面在最终浏览的时候有一些小问题，如：页面混乱，图片、文字之间的距离过大或过小，页面不美观等等，做为一个新人，我在有些方面的技术还很不成熟，在公司同事的帮助下，我的技术得到了快速的提升。

二、工作内容

刚来公司的时候，我对于一切还处于好奇的阶段，一切的事务对于我来说都是很陌生的，每天的工作也不是很累，就是有些费眼睛，经常是坐了一天之后，眼睛很酸，全身都有些疼，但是很快我就适应了，过了一段时间后，我对于周边的环境都已经很熟悉了，就没有了当初的那种好奇心，那种工作劲头，总是感到每天都很无聊，感觉每天的生活都很单调，天天过一样的生活，我知道这是自己的心态问题，如果不能及时端正这种心态，那么对于自己的职场生活将是非常不利的，于是我积极调整工作心态，积极的去面对每一天。同时，我为自己的职场生涯制定了工作计划，好好努力，不断的学习，因为刚从学校出来后，我发现自己在学校学的知识还远远不够，面对公司的工作中，往往疲于奔命，为了解决这个问题，我利用下班后的业余时间，开始了自学，在这期间我自学了css+div排版、javsscript、php等，成功的掌握这些知识对于我的工作起到了很大的帮助，截止到现在为止，我所维护的网站每天都有近10万个ip进行访问，我因此得了公司经理和同事们的表扬。

三、网站推广工作

一个成功的网站需要有大量用户访问才能算是一个好网站，为了使网站赚得更高的利润，我和其它同事做起了网站推广，我做的是比较简单的推广，特点是：技术含量低、见效快、成本小，这就是软文推广，网上搜索引擎在工作时，会判断出你网站的所属链接，当那种有效的正常的链接越来越多的时候，网站的知名程度、访问量也就上来了，从而，使我们的网站越来越出名。我在软文推广时，会先注册一个博客，然后在博客里面放一个文章，并将我们网站的关键字的地址粘到文章里面，这样的话一篇文章占一人ip地址，从浏览器看来就像是别的站连到了我们网站上，这样的话，网站排名就高了很多。

四、学习工作

俗语说：活到老，学到老，我今年才二十出头，正是大好青春年华，好好大干一场的时候，可是我从学校一出来才发现，从前的自己有多么渺小，根本就不知道这世界之大，比自己历害的人多了去了，通过这一年来的实习工作，我明白了要想有一番作为就必须要脚踏实地，多多学习，为了使自己的专业知识变的更精通，每天下班后，我都挤出2个小时的时间来学习，我现在知道时间的珍贵，那真是转瞬即逝啊，通过制定计划，在加上勤奋的学习，这一年来我的专业能力得到了很大的进步。我将在以后的时间里，更加好好的学习，学习更多的知识，向着自己将来的人生理想而努力。

五、工作心得体会

实习期结束后，我和其它同事得到了正式合同并留在了这家公司，通过这次工作，我得到的体会就是，如果一个人在社会上没有一技之长，那么这个人将会活的很痛苦，所以，我们每个人只有不断的加强自身专业技能的学习才行。尊敬的老师，我会在业余时间好好学习，加强自己的专业知识，使自己变得更强，只有这样才能为自己交出一份满意的答卷。

报告人：***

时间：**年**月**日

信息安全实习工作报告 篇4

我做的是网站的新闻编辑工作，负责把一些收集来的新闻进行加工和编辑，再放到网站上供网友阅读。这个网站是附属于**区**书店集团公司的，是集团里的一个媒体，所以还有网站上也有一些集团内部的新闻。我就负责去采集新闻材料，撰写新闻稿。因为是读书网站，面向大众，所以还要在网站上进行新书推荐，把书的内容编辑后放到网站上供书友阅读。此网站还有论坛和博客板块，我也负责在里面发发贴，自己写一些文章放到博学客习上网面。

实习期间，我利用此次难得的机会，努力工作，认真学习，严格要求自己，虚心向领导请教。其实我们大一学习的多为基础课，专业课程还没开课，但是这些网站上一般的工作都还能应付。在工作中，我提高了自己运用WORD，EXCEL等常用软件的能力，学会了如何去采集资料和撰写写作新闻稿，提高了自己的文字运用能力和写作水平。

“纸上得来终觉浅，绝知此事要躬行。”在短暂的实习过程中，我深深的感觉到自己所学知识的肤浅和在实际运用中的专业知识的匮乏，刚开始的一段时间里，对一些工作感到无从下手，茫然不知所措。在学校总以为自己学的不错，一旦接触到实际，才发现自己知道的是多么少，这时才真正领悟到“学无止境”的含义。所以我在接下来的三年时间，一定要努力学习专业知识，并不断实践。才能更好的为踏入社会做准备。

在工作中，也必须向前辈多学习，学习与别人交流与合作。在工作中和同事保持良好的关系是很重要的。做事首先要学做人，要明白做人的道理，如何与人相处是现代社会的做人的一个最基本的问题。对于自己这样一个即将步入社会的人来说，需要学习的东西很多，他们就是最好的老师，正所谓“三人行，必有我师”，我们可以向他们学习很多知识、道理。

此次实习，也让我深刻了解到自己的不足。例如办事效率不够高，做事有点拖拉，还有在与人交流中许多技巧都还需要学习。这次实习我的师傅很包容我，才能我慢慢改善自己，而没有急功近利。但是我明白，到真正踏入社会，别人不会那么宽宏大度，一个小的失误都可能让你付出很大的代价。领导看重的是你的实力和能力，如果老是出现差错，牵连到的人也可能很多，甚至影响到整个企业，所以必须提高自己更方面的能力，谨慎的工作，减少失误。

我还体会到一点，任何时候，身体健康都是最重要的，身体永远都是革命的本钱。如果身体不好，其他一切都免谈。工作忙的时候别人不会因为你的身体原因就不给你安排工作，也不会你的身体不好工作出了差错就会原谅你。因为自己造成的后果就该自己承担，自己的身体也是自己的。必须增加个人对于工作的责任感，而不是很散漫的，不认真的工作。要从每一件小事做起，一丝不苟的去工作。

作为一个新闻专业的学生，在实习期间，我感到新闻业需要的是效率和真实。事件一发生，就应该以最快的速度去了解，记录，把材料整理好撰写新闻稿。我实习的虽然只是一个内部媒体，但公司在开会的时候，作为网站的编辑，还是要在会场进行各种记录，然后效率的写好新闻稿发到网站上，要求也是很严格的。

社会上的新闻其实也是一样，所以记者这个行业是辛苦的，可以说是要随叫随到，讲求的是效率和时效。

作为一个传媒人，就要站在时代的风口浪尖，引导世界，身兼重担，所以我们要做的还有很多。新媒体的冲击越加强烈，人们好像更倾向于在网上阅读新闻，阅读书籍，所以我认为新时代的传媒人就该提高计算机技术，多学习电脑知识。实习中，我还感受到，做人和交际在工作中还是十分重要的。传媒人必定会接触到各式各样的人，怎样与人打交道，怎样做人都是很需要学习的。有了良好的人际关系，工作才能得心应手，找人合作时不至于连个帮手也没有。有时候圆滑和世故也不是一件坏事，懂得对不同的人用不同的方式交流也是一种很强的能力。

通过这次实习，我更明确了将来自己的专业方向。在选择专业时，我可能会选择编辑出版专业或者广播电视新闻。因为对于就业来说，我喜欢编辑这个职业，我觉得很适合我，自己的文字能力还有待提高，不过我有这个决心和信心，努力学习专业知识，把自己的梦想实现。

我还深刻体会到，现代社会是一个开放的社会，需要的是高素质的复合型人才，必须提高自己的综合素质，而不是只专注一个方面。计算机能力和英语能力，专业素养等等都是很重要的。因此，学校对人才的培养，应当面向实际，面向社会，面向国际。在学校就要加入一些能让自己锻炼的组织，进行实践和磨练，要让自己变得社会性一些，要放眼世界，增加自己的见识，不能躲在自己的象牙塔里不看外面。世界无奇不有，我们需要面对的还有很多。

“千里之行，始于足下”，这近两周短暂而又充实的实习，我认为对我走向社会起到了一个桥梁的作用，过渡的作用，是人生的一段重要的经历，也是一个重要步骤，对将来走上工作岗位也有着很大帮助。向他人虚心求教，遵守组织纪律和单位规章制度，与人文明交往等一些做人处世的基本原则都要在实际生活中认真的贯彻，好的习惯也要在实际生活中不断培养。这一段时间所学到的经验和知识大多来自领导的教导，这是我一生中的一笔宝贵财富，我要好好收藏。

信息安全实习工作报告 篇5

一、工作内容

这学期跟李锡捷老师实习，参加的工作项目是信息安全组，因为平时较其它三位组员多接触UNIX-Like的环境，因此成为本组组长并协助联络事情。我们期初一开始便有正式的case接手，是一个韩国的骇客教育机构Hackerslab委托翻译他们的一份骇客教材。

对于这方面，我们四人虽然很有兴趣，但是相关的技术背景都还嫌不够，因此做起来并不是很轻松，最常遇到的问题就是专业名词的查询与翻译，常常会有不知如何是好的窘境发生，幸好系上的学长大多能提供我们一些查询的方向，大部分的问题到最后还是能顺利完成，这样初期的翻译工作大约持续了一个多月后暂时结束。对外的case完成后，我们继续朝着信息安全相关的方向研究，主要是针对两个程序进行改进工作，一个为测试系统漏洞的Nessus，一个为侦测入侵系统Snort，至此小组里再以两人一组细分为Nessus组跟Snort组，各自进行测试工作。我所分配的是Nessus组，这是一种可以用来测试服务器有哪些网络漏洞的程序，由于采用Plug-ins的方式安装，因此可以随时安插新漏洞的测试Plug-ins，加上Nessus总部的CVS机制，只要你的Nessus系统有定期CVS更新，就能保持最新的完整漏洞测试。

在业界杂志的评比里Nessus的评价甚至超越许多商用软件(Nessus是免费的)，但是他有个小缺点，就是有关漏洞测试报告的部分作的并不是十分完整，每支漏洞的测试回报完整与否，取决于Plug-ins作者是否有在写作Plug-ins加上完整的叙述与解决方案，问题是大部分的Plug-ins都只有程序代码，并没有对叙述及解决方式作批注说明，因此即使在使用Nessus测出系统的安全漏洞后，使用者必须在到网络上搜寻解决方法，这样作实在不是很便利，因此老师希望我们能对于Nessus的测试回报部分作改良，写出一个报告阅读程序，结合庞大的信息安全信息，让使用者能在检测出漏洞的同时，直接取得相关的信息和解决方案，便利系统管理者在改善本身系统安全的时效性。

二、学习

Free Hackers Zone这学期最早接触的学习环境，应该要算Hackerslab提供的一个骇客练习用工作站Free Hacker Zone。这是一台用Linux架起来的工作站，里面分将使用者分作level0到level14，每取得下依个等级的使用者权限，都有一个相对应的系统漏洞需要去破解，训练使用者在实作中了解骇客破解系统的方法，我一面翻该组织的FAQ，一面尝试错误，让我一路攻到level10，其中学习到的手法包括了使用者权限设定，寻找特定权限的档案，利用系统分隔符来欺骗系统，溢位攻击等等，然而在前进level11时，因为该漏洞必须自韩国本地进行破解，因此只好作罢，没能进一步继续。不过这个经验对于后来翻译Hackerslab的文件有的不少的助益!

2.HackersLab教材翻译经过这段暖身后，我们正式接下Hackerslab文件翻译的工作，我负责的是Sniff(监听)与网页安全两份教材。在以太网络上，只要是同一个lan上的机器，都能收到在lan上传送的封包，系统核心会进行比对，如果该封包是属于自己的就继续处理，如果不是就忽略掉，而sniffing原理就是改变最后的步骤，将所有经过的封包，不管是否属于自己，全部抓进来记录。Sniffing的正面意义应该是用于处理观察网络流量状况，一旦网络出现异常时，可以藉由Sniffing来观察有哪些异常封包，帮助排除异常状况。至于窃取传送中的使用者账号跟密码，则是cracker的行为，这并非Sniffing的本意。对于区网内要如何避免被Sniff，最简单是在该区网内使用switch hub。

跟hub不同的是，hub会将接收到的封包向所有连接的host传送出去，但switch本身具有MAC路由表的功能，可以记得哪一个MAC地址要从哪一个连接埠送出去，因此不会让不相关的host收到该封包，大大减少了被Sniff撷取封包的机会。另外一种作法是对于传送的封包均作加密处理，这样就算被他人撷取到封包，对方也很难将封包解密而还原成原本的样字加以解读。常见的加密方式例如: SSL(Secure Socket Layer)、PGP (Pretty Good Privacy)、SSH (Secure Shell)、VPN (Virtual Private Network)等等。Sniff完最重要的工作是分析抓到的封包，因此这里对于各种通讯协议的封包意义大致讲解过一遍，例如该封包的来源与目的地，长度，数据内容，CRC检查码等等。另外一个章节是有关网页安全，包含了浏览器跟服务器两部分，这里大多是讲述理论性质的部分。首先是有关网页服务器，对于crack的问题，最重要的还是管理者(administrator)的认知问题，只要对系统的安全性随时保持警觉，绝对能防止crack事件的发生。目前有关网络上的服务应用虽然对于ftp或e-mail，都有许多独立的应用程序可以利用(如cute-ftp或outlook)，但现在一般上网的使用者，仍有许多的机会直接使用网页来对ftp做存取跟收发e-mail，此外还有许许多多功能，也都被整合在网页浏览中，当网页服务器要兼任的服务越多，也就提供了更多让cracker入侵的机会，这是发展网页功能的同时必须付出的代价，因此，身为一个网页服务器的管理员，有责任负起保护自己服务器使用者的权益，对于安全性一定要随时保持高度的警觉性。尤其随着电子商务的发展，网页扮演的角色越来越吃重，在往夜间传递使用者信息的机会越来越多，更增加了安全性的顾虑，然而使用者多半对于这方面安全性问题不够警觉(甚至不了解严重性)，只要有cracker使用一些恶意或欺骗的applet或scripts，就有可能将使用者的信息窃取到手，也可以自远程将使用者的计算机加以控制甚至令其当机，使用者对于浏览网页时的安全比必须要比过去更加留意。常见的网页攻击模式包括：溢位攻击(buffer overflow) :顾名思义， 就是利用 buffer overflow 的原理达成目的的......比如， 一个数组只有 100 bytes， 但我喂给它 200 bytes 的数据，于是这个数组装不下这些数据， 造成了 overflow......为什么 overflow 会有 security hole 呢?首先， overflow 发生时， 多出来的数据会盖到其它变量上，相信这一点大家早就知道了。问题是， 为什么数据盖到其它变量上时， 顶多使程序执行错误，会严重到出现 security 的问题吗? 这时， 好玩的事情就发生了.......当我们呼叫一个 function 时， 以汇编语言的观点，会将 return address 堆入 stack 中。如果这个 function 宣告了一些 local 变量，那进入这个 function 之后， 会在 stack 中再空出一块区域给这些 local 变量，当要从这个 function return 回去时， 就把这些在 stack 中的 local 变数清掉。现在好了， buffer overflow security hole 就是在这里发生了......

如果有某个 function 宣告了一个 local array， 如: int func() { int i， j， k; char buf[16]; struct abc *x， *y， *z; . . .}这样就很明显了， 如果在这个 function 内有了 bug， 忘记去控制数据喂给 buf 的长度，当数据喂长一点， 就可以盖到这个function 的 return address指到自己所喂进去的 code 上 这时， function 执行完毕， 要 return 时， 它就不会 return 到原来呼叫它的地方， 而会 “return” 到我所喂进去的那些 code，这么一来入侵者就可以为所欲为了! Denial of Service ( DoS ，阻断服务攻击) :所谓阻断服务攻击，是攻击者利用受害者的操作系统、网络应用程序(服务)或网络通讯协议的漏洞来攻击受害者，促使目标主机的系统或服务发生瘫痪的情况，可能造成系统资源耗尽、引响正常联机品质、网络频宽被占满、网络应用程序(服务)停止运作、系统当机等情形，使正当的使用者无法正常使用该主机所提供的服务。另一种情况是系统管理者为了测试目的尝试对自己主机展开攻击，测试操作系统或是网络应用程序(服务)中是否含有可能被攻击的漏洞存在。像立骇科技(HackersLab)的入侵测试(Penetration Test)、卫道科技的网络安全漏空扫瞄仪(NAI CyberCop Scanner)都可针对企业内的操作系统、网络甚至数据库做健康检查，其它DoS的攻击都是不合法的，而且动机通常出自恶意。Distributed Denial of Service(DDoS，分布式阻断服务攻击):所谓分布式阻断服务攻击，是运用在于受害者的系统资源、网络频宽条件都比攻击者来的好，如果攻击者想一对一的攻击被害者，可能会失败甚至导致自己的系统或网络瘫痪，所以采取一对多的攻击方式，攻击者先在一些防备较弱的主机中种植攻击程序。随后攻击者对各主机中的的攻击程序发出攻击命令，要求对目标主机发出庞大数量且多种的封包，庞大的数据量会瘫痪目标主机而使得无法正常提供服务。

DDoS不但可以提高成功率，还可以缩短攻击的时间及减少被发现的机会。※以目前骇客的行径而言，大多比较倾向于使用威力强大的DDoS攻击，尤其是针对规模大的网站时。 CGI : 一种让网页执行外部程序的一种接口，正因为如此，只要权限或设定有问题，或程序编写有问题，很容易成为cracker入侵系统的.快捷方式。自动目录列表 : 取得网页跟目录下的档案列表将使得cracker清楚知道该网站结构，很容易便能发觉后门所在甚至下载有问题的程序代码回去破解分析，对于入侵更为容易使用者认证的攻击 : 利用一账号文件跟密码字典文件的配合，强制通过网页认证的一种手法。

NessusNessus官方网站，目前最新释出的版本为1.0.8，是一种用来侦测网络服务器或工作站的网络漏洞的工具。这套侦测系统是Client-Server的方式运作，服务器端包括了使用者账号的管理以及各种漏洞测试的Plug-ins，而Client则利用服务器端所提供的各种Plug-ins来测试工作站或服务器并产生报告，报告的格式包括了HTML、XML、NSR(Nessus本身的存档格式) 、TXT、TEX(LaTex格式)。其Plug-ins自有一套语法叫做NASL(Nessus Attack Scripts Language)，可以自订对特定的连接埠进行封包测试，藉以判断是否为漏洞(早期使用C语言来作为Plug-ins的语法，但以被淘汰) 一、安装安装的方式分为Server跟Client两部分。首先Server必须安装在UNIX环境下，(已试过FreeBSD : ports安装 跟Linux : rpm安装)这部分没有什么问题，装下去就对了，接下来必须安装Plug-ins(若是不装Plug-ins，Nessus什么也不会测)，Plug-ins可以选择一个一个下载后拷到指定目录即可，不过正确的作法应该是使用CVS的方式来维护更新Plug-ins的版本。

CVS系统又分作CURRENT跟STABLE两种，STABLE版本但讲究稳定，许多新释出的Plug-ins并没有包括在里面，而CURRENT虽然有最新的Plug-ins，但测试不见得稳定正确，有可能将你的受测工作站或服务器损害，因此要使用那个版本请自行斟酌。安装方式如下:1. 设定环境变量$ export CVSROOT=":pserver:anonymous@cvs.nessus.org:/usr/local/cvs"2. 登入CVS系统 密码为 “ anon” ，只有第一次登入会需要密码，以后会自动记载你系统的某一个地方$ cvs login3-1. 如果要抓取Nessus程序STABLE版本$ cvs -z3 checkout -rNESSUS_1_0 nessus-libraries $ cvs -z3 checkout -rNESSUS_1_0 libnasl $ cvs -z3 checkout -rNESSUS_1_0 nessus-core $ cvs -z3 checkout -rNESSUS_1_0 nessus-plugins 3-2. 如果要抓取Nessus程序CURRENT版本$ cvs -z3 checkout nessus-libraries $ cvs -z3 checkout libnasl $ cvs -z3 checkout nessus-core $ cvs -z3 checkout nessus-plugins4. 以后要检查更新部分时只要打$ cvs -z3 -P nessus-libraries $ cvs -z3 -P libnasl $ cvs -z3 -P nessus-core $ cvs -z3 -P nessus-plugins完成!!Nessus是一套强大的漏洞测试工具，但是对于他产生的报告不够完整是它的一大致命伤，目前他所采行的方法是把漏洞报告及修补漏洞的方法写死在Plug-ins里，但并不是每一个Plug-ins撰写者都有写上修补方式这部分的说明，因此我们的目的是写一个Report Reader来读取Nessus所产生的报告并自动补上漏洞相关的网址(报告格式为HTML或XML)，补强的方式是连结CERT的搜寻器来产生，目前遇到的问题在于我们要选择哪一种语法来写这支Report Reader的程序(VB除外)，也使我们的研究主题由Nessus暂时转到了程序语言的部分，因此Nessus暂时在此打住4.Scripts Language 截至目前为止，我们尝试过的语言Tcl、Perl、Python都是属于Scripting Languages，他们跟C或JAVA这种system programming languages有很大的差异。SL 会有一组派得上用场的组件 (component) ，用别的语言写成。SL 不会从头开始，而是结合已经写好的组件。比方说，Tcl 跟 Visual Basic 可以用来管理使用者接口组件，而 Unix shell script 可以把组件当作 "filter" ，来组成一条 "生产线" ，制造所要的信息。 SL 可以用来扩展已经存在组件的功能，而很少用来发展复杂的数据结构、算法。这些东西应该由组件提供。因此，SL 常被称为 "黏接语言" 或者 "系统整合语言"。为了简化组合组件的工作，SL通常没有型态。所有东西看起来，用起来都一样，也可以交换着用。比方说，在Tcl 或 VB 中，同一个变量既能存字符串，又能存整数。而程序代码跟数据可以互通，因此能够在线产生新程序。由此可以看到SL 对于文字数据的处理蛮擅长的。V像这样无型态的语言更容易结合组件。因为它并不对 "东西该如何使用" 做任何限制。

组件会怎么用，搞不好连原先的设计者都不清楚。换句话说，组件的使用是有弹性的，不同状况下有不同用法。对于Scripts Language有点概念以后，我们决定选取Perl跟Python两方面进行，以Tk模块作图形化接口，正在钻研当中，目前以Perl/Tk较有进度(简清岱主打)(因为有花钱买书…没钱:~~ )，Python相关书籍也将入手，目前找到的文件教学，主要都以数学运算的应用为例子(Python的数学函式支持很丰富，一进Python的console下就可以当成一台超强的计算器来用了)，近程阶段目标是写出图形化的小算盘出来。

目前语言学习部分到此为止 三、自我评估及心得感想 对于这学期的实习成果，自己感觉并不是很满意，因为一开始的Hackerslab最近产生新的问题，必须要整份重弄，令人感到有点恐惧。再者，由Nessus延伸出来的Scripts Language学习，也是没有突破性的进度，最近即将面对的新挑战---PDA程序设计比赛，更因为各种原因而迟迟没犯法开始进行进一步的讨论与动作，整体来说，给自己打50的不及格分数… 感想方面，真的觉得专业实习压力比课业还来得大，尤其是每个礼拜都会有的meeting，看到大家每次meeting都跟上衣次比有所进步的样子，就更感到压力，总觉得自己还要在多学习才不会被别人赶过去。 四、对系上的建议 以往听学长姐的经验，对于专业实习期望颇高，总觉得能因为专业实习对于自己的实力大大提升，但是这一届校内专业实习的人数超越以往，

而就我所认识的校内实习同学们，大多数都是虚晃一学期，因此建议对校内实习的人数能有所限制，另外，对于郭姐对实习相关的讯息一而再再而三的提醒表示感谢!