---

安全 MOC

动态知识目录（Base）

Obsidian Base 是本地动态视图；网页端请浏览相关知识笔记。

知识总览

filters:
  and:
    - 'file.ext == "md"'
    - 'file.inFolder("z")'
    - 'this.file.links.contains(file)'
    - 'file.path != this.file.path'
formulas:
  knowledge: 'file.asLink(title)'
properties:
  formula.knowledge:
    displayName: 知识
  note.description:
    displayName: Description
  note.mastery:
    displayName: Mastery
views:
  - type: table
    name: 知识总览
    order:
      - formula.knowledge
      - note.description
      - note.mastery
    columnSize:
      formula.knowledge: 280
      note.description: 760
      note.mastery: 56

安全相关知识索引，包括 Web 安全、身份认证与授权、网络安全、渗透测试、密码学与 CTF 等内容。

核心索引

• cybersec - 网络安全知识总览
• Web 认证、HTTP 安全与浏览器边界：心智模型 - 用一条请求链串起 HTTP、认证架构、授权、CORS、XSS、安全头与供应链安全

CTF 竞赛

• ctf - CTF 知识汇总与技巧
• cryptography - 密码学基础
• hash-digest - 哈希摘要（Hash Function）
• symmetric-encryption - 对称加密
• asymmetric-encryption - 非对称密码学
• rsa - RSA 算法
• elliptic-curve-cryptography-ecc - 椭圆曲线密码学 (ECC)
• data-encryption-standard-des - DES 数据加密标准
• 3-des - 3DES 三重 DES
• ecb-electronic-codebook-mode - ECB 电子密码本模式
• cipher-block-chaining-cbc - CBC 密码块链接模式
• cipher-feedback-mode-cfb - CFB 密码反馈模式
• affine-cipher - 仿射密码
• modular-inverse - 模逆元
• euler-totient-function - 欧拉函数
• digital-signature - 数字签名

渗透测试

• reverse-shell - 反向Shell原理与使用
• mining - 漏洞挖掘
• info - 信息收集
• subdomain-enumeration - 子域名枚举与信息收集
• cdn-detection - CDN 检测与真实 IP 获取

安全工具

• tools - 安全工具合集
• dirsearch - 目录扫描工具
• ciphey-install - Ciphey密码分析工具
• goby - Goby 攻击面管理与资产测绘
• seay-source-code-audit-tool - Seay PHP 源代码审计工具
• sandboxie-plus - Sandboxie-Plus 沙盒隔离工具
• ida-professional - IDA 交互式反汇编与逆向工程
• bindiff - BinDiff 二进制文件比对工具
• veracrypt - VeraCrypt 磁盘加密工具

网络攻击

• arp-hijacking - ARP劫持攻击
• dns-hijacking - DNS劫持攻击

Web 安全

• Web 认证、HTTP 安全与浏览器边界：心智模型 - Web 请求安全主线与面试速记
• xss-cross-site-scripting - XSS 跨站脚本攻击
• CSRF 跨站请求伪造 - CSRF 跨站请求伪造
• CORS - 浏览器跨源 HTTP 读取的受控放行机制
• 跨域 - Same-Origin Policy、CORS 与跨源访问的关系
• XSS vs CSRF - XSS 与 CSRF 的攻击边界
• dns-hijacking - DNS 劫持原理与防范
• arp-hijacking - ARP 欺骗攻击

安全响应头

• CSP 内容安全策略 - 控制页面可加载资源来源，防御 XSS
• HSTS 严格传输安全 - 强制 HTTPS，防止协议降级
• x-content-type-options - 防止 MIME 嗅探
• x-frame-options - 防止点击劫持（iframe 嵌入）
• referrer-policy - 控制 Referer 信息泄露
• permissions-policy - 控制浏览器能力（摄像头、麦克风、地理位置等）
• COOP、COEP 与 CORP 跨源隔离 - 建立 cross-origin isolated 环境
• HTTP 响应头总览 - 9 大类响应头分类框架与排查顺序

身份认证与授权

先建立正确分层

Session
→ 长期服务端登录状态

Access Token / Refresh Token
→ 凭证承担的角色

JWT / opaque string
→ 凭证格式

Cookie / Authorization Header
→ 浏览器保存与传输方式

推荐顺序：

1. Cookie、Session、Token 与 JWT 的关系 - 先把状态、凭证角色、格式、传输四层拆开
2. Server-side Session 鉴权 - 理解纯 Stateful Session 与可撤销登录生命周期
3. Access Token - 高频短期 API 访问凭证
4. Refresh Token - 长期续期凭证、rotation 与 replay detection
5. JWT - 自包含签名 Token 格式及其验证边界
6. Stateful、Stateless 与 Hybrid 认证架构 - 比较三种状态模型
7. Access Token / Refresh Token 认证实现流程 - Hybrid 实现链路
8. Web 认证、HTTP 安全与浏览器边界：心智模型 - 把认证与授权、CORS、XSS 等串起来

联邦身份与授权协议

• sso - 单点登录 (SSO) 设计与落地
  • oauth2 - OAuth 2.0 授权框架
  • oidc - OpenID Connect 身份认证
  • saml - SAML 2.0 联邦身份
  • OAuth 授权码 + PKCE - 公开客户端的授权码交换保护
  • OAuth Client 标识与用户身份 - client_id、应用认证与用户登录的边界
  • OAuth 授权生命周期与即时撤销 - Refresh Token、Scope 缩减和撤销再授权
  • OAuth 客户端注册方式 - 预注册、CIMD 和 DCR 的定位
  • MCP HTTP 授权与 REST API 鉴权 - 远程 MCP 的 Bearer/OAuth 请求模型

Password Credentials

• Password Storage & Verification - 数据库泄漏后的 offline guessing threat model、verifier、rehash-on-login
• Password Salt vs Pepper - unique public salt 与独立 server secret 的职责差异
• Argon2id - 现代 memory-hard password hashing / password-based KDF
• PBKDF2 - 标准化、广泛支持的 password-based KDF，适合兼容/FIPS 生态
• bcrypt - 大量既有系统仍使用的 adaptive password hashing scheme
• KDF - 区分 HKDF 等 general-purpose KDF 与 password-based KDF
• Password Policy - 长度优先、支持 password manager、不强制字符组合、compromise-driven rotation
• Breached Password Blocklist - 拒绝常见、预期与已泄漏密码
• Brute Force / Password Spraying / Credential Stuffing - 区分三类在线密码攻击
• Authentication Throttling & Account Lockout - 多维失败计数、渐进延迟与锁定 DoS 边界
• Password 与 MFA 的安全边界 - Password factor 与 MFA / Passkey / recovery 的职责分层

Recovery & Credential Lifecycle

• Password Reset & Account Recovery - 把忘记密码/账号恢复建模为独立高风险认证协议
• Password Reset Token - CSPRNG、digest storage、single-use、purpose-bound、短期有效
• Email Verification & Email Change Security - 邮箱控制证明与高风险邮箱变更边界
• MFA Recovery Codes - 单次 backup authenticator、恢复码集合轮换与 MFA 重绑定
• Credential Change & Session Revocation - Password/MFA/Email 变更后的 Session、Refresh、remembered-device 撤销语义

Post-Login Trust & Device

• Active Sessions & Device Management - Session/Grant、设备标签、最近活动与单设备/全设备撤销
• Trusted Device & Remember MFA - 可撤销 remember-device trust；fingerprint/IP 仅作为风险信号
• Authentication Assurance & Reauthentication Freshness - auth_time、MFA freshness、step-up 与高风险动作近期认证
• Authentication Security Events & Login History - 内部安全事件与用户可见登录历史分层
• Suspicious Login & Risk-Based Authentication - 多维风险信号驱动 allow / step-up / deny / alert

强认证

• 多因素认证（MFA） - 在主认证之外再增加独立认证因素
  • 虚拟 MFA - 基于认证器 App 的软件形态 MFA
  • TOTP（基于时间的一次性密码） - 认证器动态码的常见底层机制
  • WebAuthn - 浏览器和应用使用的公钥凭证认证标准
  • Passkey（通行密钥） - 基于设备私钥和本机解锁确认的登录方式
  • 虚拟 MFA、短信 MFA、Push MFA 与 WebAuthn / Passkey 的安全边界 - 常见 MFA 方式的能力边界对比
  • MFA Recovery Codes - 丢失主因素时使用的单次 backup authenticator

密码管理

• 密码管理器 - 加密保险库、自动填充、生成与同步的通用机制
• Bitwarden - 开源密码管理器与生态（客户端/服务端/云）
• Vaultwarden - Bitwarden 兼容的轻量自托管服务端
• Bitwarden vs Vaultwarden - 官方栈与自托管服务端的关系与选型
• 零知识加密架构 - 服务端只存密文、不掌握主密码与明文
• 密钥派生函数（KDF） - 保险库场景用 password-based KDF 派生 key material；不要与登录 verifier 混淆
• Bitwarden Send - 端到端加密的临时分享
• Bitwarden 组织与共享 - 多用户凭据共享模型
• Bitwarden 中的 Passkey - 作为 passkey 管理器 / 用 passkey 登录
• Bitwarden 数据导入与导出 - 迁入与加密备份
• Bitwarden CLI（bw） - 命令行与自动化
• 为 Vaultwarden 配置 HTTPS - 反代 + Let’s Encrypt
• 启用 Vaultwarden Admin 面板 - ADMIN_TOKEN 与用户管理

安全实践

• ssh-key-connection - SSH密钥配置与连接
• crypto.getRandomValues - 安全随机数生成
• Math.random vs crypto.getRandomValues - 随机数安全性对比

安全社区

• 吾爱破解 - 逆向工程与安全技术论坛

---

[!tip] 相关链接

• cybersec-moc - Cybersec MOC（渗透测试、CTF、网络攻击章节更详细）
• [[Docs Index]] - 文档与规范入口