当前位置 : 安全工程师资格证 > web安全工程师挣钱吗

web安全工程师挣钱吗

最新回答

天天有阳光
摘要 你好,可以用美团打车,高德进行注册网约车 咨询记录 · 回答于2022-07-24 永州现在跑车用什么软件挣钱1永州冷水滩可以用私家车跑网约车吗?有没有单子?2现在考安全工程师好不好找工作?考试渠道要怎么去考 你好,可以用美团打车,高德进行注册网约车 安全工程师不难。 注册安全工程师首先是有需要有工作经验的,对于从事安全的人来说,工作经验就是黄金工作经验越丰富就意味着你对安全生产以及安全的问题有了更多的见识,只要有了工作经验,想要找工作自然很容易
xuemei1987

近年来,数字钱包安全事件频发。

2022年11月19,Ars Technica报道称两个加密货币钱包数据遭泄露,220万账户被盗。安全研究员Ty Hunt证实,被盗数据来自加密货币钱包GateHub和RuneScape机器人提供商EpicBot的账户。

这已经不是Gatehub第一次遭遇数据泄露了。据报道,去年6月,入侵了大约100 个XRP Ledger钱包,导致近1000万美元的资金被盗。

2022年3月29,Bithumb失窃事件闹得沸沸扬扬。据猜测,这次事件起因为Bithumb拥有的g4ydomrxhege帐户的私钥被盗取。

随即,将窃取的资金分散到各个交易所,包括火币,HitBTC,WB和EXmo。根据非数据和用户估计,Bithumb遭受的损失高达300万个EOS币(约1300万美元)和2022万个XRP币(约600万美元)以上。

由于数字货币的匿名及去中心化,导致被盗资产在一定程度上难以追回。因此,钱包的安全至关重要。

2022年8月9,CertiK的安全工程师在DEF CON区块链安全大会上发表了演讲主题为:Exploit Insecure Crypto Wallet(加密钱包漏洞利用与分析)的主题报告,分享了对于加密钱包安全的见解。

加密钱包是一种帮助用户帐户和简化交易过程的应用程序。

有些区块链项目发布加密钱包应用程序来支持本链的发展-比如用于CertiK Chain的Deepwallet。

此外,还有像Shapeshift这样的公司,其构建了支持不同区块链协议的钱包。

从安全的角度来看,加密钱包最需重视的问题是防止攻击者窃取用户钱包的助记词和私钥等。

近一年来,CertiK技术团队对多个加密钱包进行了测试和研究,并在此分享针对基于软件不同类型的加密钱包进行安全评估的方法及流程。

加密钱包基审计清单

要对一个应用程序进行评估,首先需要了解其工作原理→代码实现是否遵循最佳安全标准→如何对安全不足的部分进行修正及提高。

CertiK技术团队针对加密钱包制作了一个基审计清单,这份清单反映了所有形式的加密钱包应用(手机、web、扩展、桌面),尤其是手机和web钱包是如何生产和储存用户私钥的。

应用程序如何生成私钥?

应用程序如何以及在何处存储原始和私钥?

钱包连接到的是否是值得信任的区块链节点?

应用程序允许用户配置自定义区块链节点吗?如果允许,恶意区块链节点会对应用程序造成什么影响?

应用程序是否连接了中心化?如果是,客户端应用会向发送哪些?

应用程序是否要求用户设置一个安全高的密码?

当用户试图访问敏感或转账时,应用程序是否要求二次验证?

应用程序是否使用了存在漏洞且可被攻击的第三方库?

有没有秘密(比如:API密钥,AWS凭证)在源代码存储库中泄漏?

有没有明显的不良代码实现(例如对密码学的错误理解)在程序源代码中出现?

应用是否强制TLS连接?

手机钱包

相比于笔记本电脑,手机等移动设备更容易丢失或被盗。

在分析针对移动设备的威胁时,必须考虑攻击者可以直接访问用户设备的情况。

在评估过程中,如果攻击者获得访问用户设备的权限,或者用户设备感染恶意软件,我们需要设法识别导致账户和密码资产受损的潜在问题。

除了基清单以外,以下是在评估手机钱包时要增加的审计类目:

应用程序是否警告用户不要对敏感数据进行截屏-在显示敏感数据时,安卓应用是否会阻止用户截屏?iOS应用是否警告用户不要对敏感数据进行截屏?

应用程序是否在后台截图中泄漏敏感?

应用程序是否检测设备是否越狱/ot?

应用程序是否锁定后台的证书?

应用程序是否在程序的log中记录了敏感?

应用程序是否包含配置错误的deeplink和intent,它们可被利用吗? 

应用程序包是否混淆代码?

应用程序是否实现了反调试功能?

应用程序是否应用程序重新打包?

(iOS)储存在iOS Keychain中的数据是否具有足够安全的属?

应用程序是否受到密钥链数据持久的影响?

当用户输入敏感时,应用程序是否禁用自定义键盘?

应用程序是否安全使用“webview”来加载外部网站?

Web钱包

对于一个完全去中心化的钱包来说,Web应用程序逐渐成为不太受欢迎的选择。MyCrypto不允许用户在web应用程序中使用密钥库/助记词/私钥访问钱包,MyEtherWallet也同样建议用户不要这样做。

与在其他三种平台上运行的钱包相比,以web应用程序的形式对钱包进行钓鱼攻击相对来说更容易;如果攻击者入侵了web,他可以通过向web页面注入恶意的JavaScpt,轻松窃取用户的钱包。

然而,一个安全构建并经过彻底测试的web钱包依旧是用户其加密资产的不二之选。

除了上面常规的基审计类目之外,我们在评估客户端web钱包时,还列出了以下需要审计的类目列表:

应用程序存在跨站点脚本XSS漏洞吗?

应用程序存在点击劫持漏洞吗?

应用程序有没有有效的Content Secuty Policy?

应用程序存在开放式重定向漏洞吗?

应用程序存在HTML注入漏洞吗?

现在网页钱包使用cookie的情况很少见,但如果有的话,应:

Cookie属

跨站请求伪造(CSRF)

跨域资源共享(CORS)配置错误

该应用程序是否包含除基本钱包功能之外的其他功能? 这些功能存在可被利用的漏洞吗?

OWASP Top 10中未在上文提到的漏洞。

扩展钱包

Metamask是最有名和最常用的加密钱包之一,它以浏览器扩展的形式出现。

扩展钱包在内部的工作方式与web应用程序非常相似。

不同之处在于它包含被称为content scpt和backgund scpt的独特组件。  

网站通过content scpt和backgund scpt传递事件或来与扩展页面进行交流。

在扩展钱包评估期间,最重要的事情之一就是测试一个恶意网站是否可以在未经用户同意的情况下读取或写入属于扩展钱包的数据。

除了基清单以外,以下是在评估扩展钱包时要增加的审计类目:

扩展要求了哪些权限?

扩展应用如何决定哪个网站允许与扩展钱包进行交流?

扩展钱包如何与web页面交互?

恶意网站是否可以通过扩展中的漏洞来攻击扩展本身或浏览器中其他的页面?

恶意网站是否可以在未经用户同意的情况下读取或修改属于扩展的数据?

扩展钱包存在点击劫持漏洞吗?

扩展钱包(通常是backgund scpt)在处理之前是否已来源?

应用程序是否实现了有效的内容安全策略?

Electn桌面钱包

在编写了web应用程序的代码之后,为什么不用这些代码来建造一个Electn中桌面应用程序呢?

在以往测试过的桌面钱包中,大约80%的桌面钱包是基于Electn框架的。在测试基于Electn的桌面应用程序时,不仅要寻找web应用程序中可能存在的漏洞,还要Electn配置是否安全。

CertiK曾针对Electn的桌面应用程序漏洞进行了分析,你可以点击访问此文章了解详情。

以下是基于Electn的桌面钱包受评估时要增加的审计类目:

应用程序使用什么版本的Electn?

应用程序是否加载远程内容?

应用程序是否禁用“nodeIntegration”和“enableRemoteModule”?

应用程序是否启用了“contextisolation”, “sandbox” and “webSecuty”选项?

应用程序是否允许用户在同一窗口中从当前钱包页面跳转到任意的外部页面?

应用程序是否实现了有效的内容安全策略?

preload scpt是否包含可能被滥用的代码?

应用程序是否将用户输入直接传递到危险函数中(如“openExternal”)?

应用程序会使不安全的自定义协议吗?

端漏洞列表

在我们测试过的加密钱包应用程序中,有一半以上是没有中心化的,他们直接与区块链节点相连。

CertiK技术团队认为这是减少攻击面和保护用户隐私的方法。

但是,如果应用程序希望为客户提供除了帐户和令牌传输之外的更多功能,那么该应用程序可能需要一个带有数据库和端代码的中心化。

端组件要测试的项目高度依赖于应用程序特。

根据在研究以及与客户接触中发现的端漏洞,我们编写了下文的漏洞表。当然,它并不包含所有可能产生的端漏洞。

认证和授权

KYC及其有效

竞赛条件

云端配置错误

Web配置错误

不安全的直接对象引用(IDOR)

服务端请求伪造(SSRF)

不安全的文件上传

任何类型的注入(SQL,命令,template)漏洞

任意文件读/写

业务逻辑错误

速率限制

拒绝服务

泄漏

总结

随着技术的发展,们实施的欺诈和攻击手段也越来越多样化。

CertiK安全技术团队希望通过对加密钱包安全隐患的分享让用户更清楚的认识和了解数字货币钱包的安全问题、提高警惕。

现阶段,许多团队对于安全的问题重视程度远远低于对于业务的重视程度,对自身的钱包产品并未做到足够的安全防护。通过分享加密钱包的安全审计类目,CertiK期望加密钱包项目方对于产品的安全标准拥有清晰的认知,从而促进产品安全升级,共同保护用户资产的安全。

数字货币攻击是多技术维度的综合攻击,需要考虑到在数字货币流通过程中所有涉及到的应用安全,包括电脑硬件、区块链软件,钱包等区块链服务软件,智能合约等。

加密钱包需要重视对于潜在攻击方式的检测和监视,避免多次受到同一方式的攻击,并且加强数字货币账户安全保护方法,使用物理加密的离线冷存储(cold storage)来保存重要数字货币。除此之外,需要聘请专业的安全团队进行网络层面的测试,并通过远程模拟攻击来寻找漏洞。

Dana是天枰座

近年来,数字钱包安全事件频发。

2022年11月19,Ars Technica报道称两个加密货币钱包数据遭泄露,220万账户被盗。安全研究员Ty Hunt证实,被盗数据来自加密货币钱包GateHub和RuneScape机器人提供商EpicBot的账户。

这已经不是Gatehub第一次遭遇数据泄露了。据报道,去年6月,入侵了大约100 个XRP Ledger钱包,导致近1000万美元的资金被盗。

2022年3月29,Bithumb失窃事件闹得沸沸扬扬。据猜测,这次事件起因为Bithumb拥有的g4ydomrxhege帐户的私钥被盗取。

随即,将窃取的资金分散到各个交易所,包括火币,HitBTC,WB和EXmo。根据非数据和用户估计,Bithumb遭受的损失高达300万个EOS币(约1300万美元)和2022万个XRP币(约600万美元)以上。

由于数字货币的匿名及去中心化,导致被盗资产在一定程度上难以追回。因此,钱包的安全至关重要。

2022年8月9,CertiK的安全工程师在DEF CON区块链安全大会上发表了演讲主题为:Exploit Insecure Crypto Wallet(加密钱包漏洞利用与分析)的主题报告,分享了对于加密钱包安全的见解。

加密钱包是一种帮助用户帐户和简化交易过程的应用程序。

有些区块链项目发布加密钱包应用程序来支持本链的发展-比如用于CertiK Chain的Deepwallet。

此外,还有像Shapeshift这样的公司,其构建了支持不同区块链协议的钱包。

从安全的角度来看,加密钱包最需重视的问题是防止攻击者窃取用户钱包的助记词和私钥等。

近一年来,CertiK技术团队对多个加密钱包进行了测试和研究,并在此分享针对基于软件不同类型的加密钱包进行安全评估的方法及流程。

加密钱包基审计清单

要对一个应用程序进行评估,首先需要了解其工作原理→代码实现是否遵循最佳安全标准→如何对安全不足的部分进行修正及提高。

CertiK技术团队针对加密钱包制作了一个基审计清单,这份清单反映了所有形式的加密钱包应用(手机、web、扩展、桌面),尤其是手机和web钱包是如何生产和储存用户私钥的。

应用程序如何生成私钥?

应用程序如何以及在何处存储原始和私钥?

钱包连接到的是否是值得信任的区块链节点?

应用程序允许用户配置自定义区块链节点吗?如果允许,恶意区块链节点会对应用程序造成什么影响?

应用程序是否连接了中心化?如果是,客户端应用会向发送哪些?

应用程序是否要求用户设置一个安全高的密码?

当用户试图访问敏感或转账时,应用程序是否要求二次验证?

应用程序是否使用了存在漏洞且可被攻击的第三方库?

有没有秘密(比如:API密钥,AWS凭证)在源代码存储库中泄漏?

有没有明显的不良代码实现(例如对密码学的错误理解)在程序源代码中出现?

应用是否强制TLS连接?

手机钱包

相比于笔记本电脑,手机等移动设备更容易丢失或被盗。

在分析针对移动设备的威胁时,必须考虑攻击者可以直接访问用户设备的情况。

在评估过程中,如果攻击者获得访问用户设备的权限,或者用户设备感染恶意软件,我们需要设法识别导致账户和密码资产受损的潜在问题。

除了基清单以外,以下是在评估手机钱包时要增加的审计类目:

应用程序156是否警告用户不要6991对敏感数据进行截屏3780-在显示敏感数据时,安卓应用是否会阻止用户截屏?iOS应用是否警告用户不要对敏感数据进行截屏?

应用程序是否在后台截图中泄漏敏感?

应用程序是否检测设备是否越狱/ot?

应用程序是否锁定后台的证书?

应用程序是否在程序的log中记录了敏感?

应用程序是否包含配置错误的deeplink和intent,它们可被利用吗? 

应用程序包是否混淆代码?

应用程序是否实现了反调试功能?

应用程序是否应用程序重新打包?

(iOS)储存在iOS Keychain中的数据是否具有足够安全的属?

应用程序是否受到密钥链数据持久的影响?

当用户输入敏感时,应用程序是否禁用自定义键盘?

应用程序是否安全使用“webview”来加载外部网站?

Web钱包

对于一个完全去中心化的钱包来说,Web应用程序逐渐成为不太受欢迎的选择。MyCrypto不允许用户在web应用程序中使用密钥库/助记词/私钥访问钱包,MyEtherWallet也同样建议用户不要这样做。

与在其他三种平台上运行的钱包相比,以web应用程序的形式对钱包进行钓鱼攻击相对来说更容易;如果攻击者入侵了web,他可以通过向web页面注入恶意的JavaScpt,轻松窃取用户的钱包。

然而,一个安全构建并经过彻底测试的web钱包依旧是用户其加密资产的不二之选。

除了上面常规的基审计类目之外,我们在评估客户端web钱包时,还列出了以下需要审计的类目列表:

应用程序存在跨站点脚本XSS漏洞吗?

应用程序存在点击劫持漏洞吗?

应用程序有没有有效的Content Secuty Policy?

应用程序存在开放式重定向漏洞吗?

应用程序存在HTML注入漏洞吗?

现在网页钱包使用cookie的情况很少见,但如果有的话,应:

Cookie属

跨站请求伪造(CSRF)

跨域资源共享(CORS)配置错误

该应用程序是否包含除基本钱包功能之外的其他功能? 这些功能存在可被利用的漏洞吗?

OWASP Top 10中未在上文提到的漏洞。

扩展钱包

Metamask是最有名和最常用的加密钱包之一,它以浏览器扩展的形式出现。

扩展钱包在内部的工作方式与web应用程序非常相似。

不同之处在于它包含被称为content scpt和backgund scpt的独特组件。  

网站通过content scpt和backgund scpt传递事件或来与扩展页面进行交流。

在扩展钱包评估期间,最重要的事情之一就是测试一个恶意网站是否可以在未经用户同意的情况下读取或写入属于扩展钱包的数据。

除了基清单以外,以下是在评估扩展钱包时要增加的审计类目:

扩展要求了哪些权限?

扩展应用如何决定哪个网站允许与扩展钱包进行交流?

扩展钱包如何与web页面交互?

恶意网站是否可以通过扩展中的漏洞来攻击扩展本身或浏览器中其他的页面?

恶意网站是否可以在未经用户同意的情况下读取或修改属于扩展的数据?

扩展钱包存在点击劫持漏洞吗?

扩展钱包(通常是backgund scpt)在处理之前是否已来源?

应用程序是否实现了有效的内容安全策略?

Electn桌面钱包

在编写了web应用程序的代码之后,为什么不用这些代码来建造一个Electn中桌面应用程序呢?

在以往测试过的桌面钱包中,大约80%的桌面钱包是基于Electn框架的。在测试基于Electn的桌面应用程序时,不仅要寻找web应用程序中可能存在的漏洞,还要Electn配置是否安全。

CertiK曾针对Electn的桌面应用程序漏洞进行了分析,你可以点击访问此文章了解详情。

以下是基于Electn的桌面钱包受评估时要增加的审计类目:

应用程序使用什么版本的Electn?

应用程序是否加载远程内容?

应用程序是否禁用“nodeIntegration”和“enableRemoteModule”?

应用程序是否启用了“contextisolation”, “sandbox” and “webSecuty”选项?

应用程序是否允许用户在同一窗口中从当前钱包页面跳转到任意的外部页面?

应用程序是否实现了有效的内容安全策略?

preload scpt是否包含可能被滥用的代码?

应用程序是否将用户输入直接传递到危险函数中(如“openExternal”)?

应用程序会使不安全的自定义协议吗?

端漏洞列表

在我们测试过的加密钱包应用程序中,有一半以上是没有中心化的,他们直接与区块链节点相连。

CertiK技术团队认为这是减少攻击面和保护用户隐私的方法。

但是,如果应用程序希望为客户提供除了帐户和令牌传输之外的更多功能,那么该应用程序可能需要一个带有数据库和端代码的中心化。

端组件要测试的项目高度依赖于应用程序特。

根据在研究以及与客户接触中发现的端漏洞,我们编写了下文的漏洞表。当然,它并不包含所有可能产生的端漏洞。

认证和授权

KYC及其有效

竞赛条件

云端配置错误

Web配置错误

不安全的直接对象引用(IDOR)

服务端请求伪造(SSRF)

不安全的文件上传

任何类型的注入(SQL,命令,template)漏洞

任意文件读/写

业务逻辑错误

速率限制

拒绝服务

泄漏

总结

随着技术的发展,们实施的欺诈和攻击手段也越来越多样化。

CertiK安全技术团队希望通过对加密钱包安全隐患的分享让用户更清楚的认识和了解数字货币钱包的安全问题、提高警惕。

现阶段,许多团队对于安全的问题重视程度远远低于对于业务的重视程度,对自身的钱包产品并未做到足够的安全防护。通过分享加密钱包的安全审计类目,CertiK期望加密钱包项目方对于产品的安全标准拥有清晰的认知,从而促进产品安全升级,共同保护用户资产的安全。

数字货币攻击是多技术维度的综合攻击,需要考虑到在数字货币流通过程中所有涉及到的应用安全,包括电脑硬件、区块链软件,钱包等区块链服务软件,智能合约等。

加密钱包需要重视对于潜在攻击方式的检测和监视,避免多次受到同一方式的攻击,并且加强数字货币账户安全保护方法,使用物理加密的离线冷存储(cold storage)来保存重要数字货币。除此之外,需要聘请专业的安全团队进行网络层面的测试,并通过远程模拟攻击来寻找漏洞。

海天浪涛
先说一句题外话,人做事一定要踏实,没背景的孩子,只能一步步自己熬,不要指着工作一两年就挣多少多少钱,经验就是时间。
多再看看这个。
网络工程师职业规划过程主要有以下几步:
两年以上的小型企业→四年左右的中型企业→大型企业或跨国集团公司
第一步,小企业的网络员(员);
第二步,进入大中型企业,同样的网络工作,工资就可能完全不同了,一般都在3000元以上。做了部门经理时,还可以高达5000元或以上;
第三步,学习更全面的知识成为普通的网络工程师工资就高达3500元以上;
第四步,学习更全面的知识成为专业的网络工程师,如网络存储工程师、网络安全工程师(web安全工程师)的工资就可以达8000元以上,做大型企业或专业网络公司IT经理的工资就更高了,基本在万元以上。
要了解更详细的,到百科上搜网络工程师的词条看看吧
碎碎瓶安
质量挣钱是多,但多数是弄虚作假,哪天事发不就完蛋了,再说啦,昧着良心挣的钱花着舒服吗,背着良心的谴责挣再多钱在别人眼里也是穷人

相关问答

安全工程师挣钱吗

结合本人体验:土木工程本科做工地施工员有点可惜,你可以做设计吗,考注册建筑师或注册结构师,挣钱也多。若搞施工的话,你可以考一、二级建造师,造价员、造价工程师,注册安全工程师等;做的工作为看图纸、测量、放线、做资料、验收、报验、取样、送样等等。我是安全专业的,现在工作两年了。简单回答下你的问题:如果你……

青蛙公主999

安全工程师挣钱多吗

消防工程师通过后能改变人生吗,在成都工资有多高?想多挣钱咋办?不行的,国家注册安全工程师的报考对文凭有要求的,分别为硕士研究生,本科生,专科生,中专生,对应的工作年限不一样,但是没有初中生,所以不要交钱,以免上当,再说你考个这证有用吗?有证的也不会多挣钱的。结合本人体验:土木工程本科做工地施工员有点……

后来后来510

安全工程师好挣钱吗

摘要您好:值钱的证书不好考,好考的证书不值钱的,以下比较值钱的六个证书分别是:翻译专业资格证,咨询记录·回答于2022-07-03好考过又挣钱的证书您好:值钱的证书不好考,好考的证书不值钱的,以下比较值钱的六个证书分别是:翻译专业资格证,CFA证书(也就是证券投资),一级注册机构工程师,注册土木工程……

yuki不乖

安全工程师能挣钱吗

消防工程师通过后能改变人生吗,在成都工资有多高?想多挣钱咋办?不行的,国家注册安全工程师的报考对文凭有要求的,分别为硕士研究生,本科生,专科生,中专生,对应的工作年限不一样,但是没有初中生,所以不要交钱,以免上当,再说你考个这证有用吗?有证的也不会多挣钱的。结合本人体验:土木工程本科做工地施工员有点……

小熊爱兔兔

web安全工程师挣钱吗

结合本人体验:土木工程本科做工地施工员有点可惜,你可以做设计吗,考注册建筑师或注册结构师,挣钱也多。若搞施工的话,你可以考一、二级建造师,造价员、造价工程师,注册安全工程师等;做的工作为看图纸、测量、放线、做资料、验收、报验、取样、送样等等。不行的,国家注册安全工程师的报考对文凭有要求的,分别为硕士……

还有谁没吃