渗透测试总结（一）

Question

渗透测试总结（一）

PyxYuYu opened this issue 8 years ago · 0 comments

PyxYuYu commented 8 years ago

Today is a perfect day to start living your dream.

0x01 渗透测试总结

渗透测试流程
- 明确目标
- 信息收集
- 漏洞探测
- 漏洞利用
- 后渗透测试
- 报告编制
明确目标
- 确定范围
  - 整体项目时间
  - 测试 IP 和 域名 范围
  - 可接受的社会工程学方法
- 确定规则
  - 渗透攻击的控制基线
  - 敏感信息的披露
  - 证据处理
  - 每天可进行渗透测试的时间
  - 攻击授权
信息收集
- 测试范围（IP/域名）
  - Google Hacking
```
   site:xxx.com inurl:*.php
   site:xxx.com intitle:"admin login"
   site:xxx.com filetype:doc intext:pass
```
  - Whois 查询
    - 查询域名基本信息
    - Whois 反查可以得到大部分域名注册信息
  - 子域名
    - 利用 subDomainsBrute 或者 Layer子域名挖掘机 获取大量二级、三级子域名（对应 IP）
      - 子域名（IP）导出，导入至 Excel 中，进行整理
      - 将 IP 段进行归类，为之后的端口扫描做好准备
    - 除了上面的工具，还可以利用
      - i.links.cn
      - x.threatbook.cn
      - www.5188.com
      - ce.baidu.com
      - webscan.360.com
      - ICP备案
  - 真实 IP
    - 查看是否存在 CDN 的方法
      - 通过 Ping检测工具来获得国内不同地区对域名解析的 IP
      - 如果 IP 不一致，极大可能存在 CDN
    - 判断真实 IP 最简单的方法
      - 在本地 hosts 文件内，将 域名 和 IP 进行绑定
      - 访问域名，如果页面没变化，说明是真实 IP
    - 其他方法
      - 动态地址
        
        注册、登录之类只要是动态内容，提交地址，发送请求
        
        用 HTTP 监听工具监听，获取 IP
        
        进行端口扫描，查看哪个比较像提供 HTTP 服务
        
        用 Telnet 工具去连接那个端口，如果返回 html，说明是真实 IP
      - 分站判断
        
        一般主站存在 CDN 的话，分站可能会不挂 CDN
        
        ping www.xxx.com 主站CDN ping a.xxx.com 分站IP，可能会是真实IP ping xxx.com 特例，也有可能获得真实IP
      - nslookup 判断
        
        国内 CDN，在国外就不一定存在
        
        nslookup xxx.com 国外DNS（冷门的国外DNS）
        
        查询域名的 NS 记录，其域名记录中 MX 记录、TXT 记录等都很有可能指向的真实 IP 或同 C 段服务器
      - 查看历史记录
        
        查找域名的历史解析记录，因为域名在上 CDN 之前用的 IP，很有可能就是 CDN 的真实 IP
        
        查询地址: NetCraft
      - 国外 ping 法
        
        使用国外的多节点 Ping 工具： just-ping
      - 利用 phpinfo
        
        爆破 phpinfo
      - 订阅邮件
        
        有的服务器本地自带 sendmail，注册之后，会主动发一封邮件，查看邮件源代码即可获得真实 IP
        
        很多互联网网站自带 MailServer，应该也处于同一网段，可以逐个尝试
      - 获取图片
        
        利用编辑器或头像上传的地方，让目标网站去获取一张存放在自己服务器上的图片，查看日志可以获得真实 IP
      - 历史漏洞
      - 社会工程学
  - C 段
    - 服务器操作系统类型
    - 服务识别
  - 旁站
    - dns.aizhan.com
    - www.114best.com/ip/114.aspx?w=IP
    - seo.wzmulu.com
- 端口扫描
  - 利用上面整理的 IP 段，进行端口扫描
  - 扫描工具： Nmap
  - 对扫描结果进行整理，访问，确定哪些可以被利用
    - 写一个跳转脚本，利用 Burpsuite 进行抓包，比如
```
   http://127.0.0.1/url.php?url=http://1.1.1.1:80
```
    - 将扫描结果导入 Payload 中，批量测试
    - 查看返回值大小，确定可利用资源
- 敏感信息泄漏
  - GitHub 敏感信息查询
    - 利用工具： weakfilescan
  - 敏感信息（路径）
    - 利用工具： BBScan
  - 未授权访问的链接（目录遍历）
    - 利用工具： 御剑后台扫描（完善的字典）
- 历史漏洞
  - 乌云历史漏洞，查看相关漏洞详情
  - 其他漏洞平台也可以查看漏洞名，类推相似漏洞
- 社会工程学
  - 相关人员的邮箱帐号，社工库查询

漏洞探测

自动化扫描
- AWVS
- APPScan
常见端口

   21 ftp      # 未授权访问（匿名登录），弱口令爆破
   22 SSH      # 弱口令爆破
   23 Telnet   # 弱口令爆破
   80 Web      # 常见Web漏洞，管理后台
   80-89 Web   # 常见Web漏洞，管理后台
   161 SNMP    # 默认口令:public/private ，弱口令爆破
   389 LDAP    # 未授权访问
   443 SSL     # 心脏滴血以及一些Web漏洞测试
   445 SMB     # 弱口令爆破，检测是否有ms_08067等溢出
   512,513,514 Rexec
   873 Rsync   # 未授权访问，弱口令爆破
   1025,111 NFS 
   1433 MSSQL  # 弱口令爆破
   1521 Oracle:(iSqlPlus Port:5560,7778) # 弱口令爆破
   2082/2083 cpanel主机管理系统登陆 （国外用较多）
   2222 DA虚拟主机管理系统登陆 （国外用较多）
   2601,2604 zebra路由  # 默认密码zebra
   3128 squid  # 代理默认端口，如果没设置口令很可能就直接漫游内网了
   3306 MySQL  # 弱口令爆破
   3312/3311 kangle主机管理系统登陆 
   3389 远程桌面  # 弱口令爆破
   4440 rundeck  # 弱口令:admin/admin 参考WooYun: 借用新浪某服务成功漫游新浪内网
   4848 GlassFish  # Web中间件，弱口令:admin/adminadmin
   5432 PostgreSQL  # 弱口令爆破
   5900,5901,5902 vnc  # 弱口令爆破
   5984 CouchDB http://xxx:5984/_utils/
   6082 varnish # 参考WooYun: Varnish HTTP accelerator CLI 未授权访问易导致网站被直接篡改或者作为代理进入内网 
   6379 redis  # 未授权访问
  7001,7002 WebLogic  # 弱口令爆破，反序列，弱口令:weblogic/system/guest/portaladmin
  7778 Kloxo  # 主机控制面板登录 
  8000-9090 # 一些常见的Web端口，有些运维喜欢把管理后台开在这些非80的端口上
  8080 tomcat/WDCP主机管理系统  # 弱口令爆破，tomcat有很多漏洞
  8080,8089,9090 JBOSS   # 未授权访问，弱口令爆破，JBOSS有很多漏洞 
  8083 Vestacp  # 主机管理系统 （国外用较多）
  8649 ganglia 
  8888 amh/LuManager  # 主机管理系统默认端口
  9000 fcgi  # fcgi php执行
  9200,9300 elasticsearch   # 代码执行，参考WooYun: 多玩某服务器ElasticSearch命令执行漏洞
  10000 Virtualmin/Webmin   # 服务器虚拟主机管理系统
  11211 memcache  # 未授权访问
  27017,27018 Mongodb  # 未授权访问
  28017 Mongodb  # 统计页面
  50000 SAP # 命令执行
  50070,50060,50030 hadoop # 默认端口未授权访问

SQL 注入
- 利用工具： Sqlmap
XSS
CSRF
XXE
任意文件上传
文件包含
逻辑漏洞