# penetrationLean **Repository Path**: csharphpython/penetrationLean ## Basic Information - **Project Name**: penetrationLean - **Description**: 我的渗透学习笔记 - **Primary Language**: Unknown - **License**: Not specified - **Default Branch**: master - **Homepage**: None - **GVP Project**: No ## Statistics - **Stars**: 1 - **Forks**: 0 - **Created**: 2021-10-17 - **Last Updated**: 2024-05-11 ## Categories & Tags **Categories**: Uncategorized **Tags**: None ## README ## 信息收集 公司和个人网站是信息的重要来源，查看公司的LinkedIn个人资料，以确定高级经理，董事和非技术人员。 很多时候，最薄弱的密码属于许多公司的管理人员。 搜索公司网站上的“关于我们”页面也可以找到薄弱的目标。 ``` IP地址段 域名信息 邮箱 文档图片数据 公司组织架构 联系电话传真 人员姓名/职务等信息 目标系统使用的技术 公开的商业信息 ``` ### whois ``` https://wq.apnic.net/static/search.html http://littlegreenfootballs.com/nqt.php?target=148.163.164.12 #这个能查edu这种域名 http://whois.chinaz.com/reverse #反差邮箱 https://www.reversewhois.io #反查邮箱，如果目标有邮服。比如@baidu.com 效果不错 https://domaineye.com/ #反差邮箱注册人 ``` ### 子域名采集 不要嫌麻烦，每个方法都要试一遍。可能试完所有的方法也就比爆破的多一两个，但那多出来的子域名很大可能就是突破口。 ``` - 域传送漏洞 `nmap --script dns-zone-transfer --script-args dns-zone-transfer.domain=http://test.com -p 53 -Pn 192.168.5.6` - 暴力猜解（常见域名字典、根据企业特点对字典做变形、循环遍历多级域名） https://phpinfo.me/domain/ #在线爆破 https://subdomainfinder.c99.nl #在线查找 https://github.com/lijiejie/subDomainsBrute #子域名爆破 https://github.com/p1g3/JSINFO-SCAN #爬取js采集子域名 https://github.com/aboul3la/Sublist3r #子域名采集 https://github.com/Screetsec/Sudomy #这个集合各大开源平台，省时省力 https://github.com/devanshbatham/ArchiveFuzz #从 Web archiving 收集子域名，邮箱 http://dns.bufferover.run/dns?q=baidu.com #opendata.rapid7 - SSL证书信息 https://censys.io/certificates?q=baidu.com - 搜索引擎（结合site语法，同时利用google的-、百度的-intitle等语法减少干扰） - 对已知ip的域名反查 https://passivedns.mnemonic.no/ http://reverseip.domaintools.com/ http://serversniff.net.ipaddress.com/ https://www.robtex.com/ - 一些公开查询平台(如：dnsdumpster.com) https://securitytrails.com/ https://x.threatbook.cn - 有APP用MobSF反编译 ``` ### 确定ip段 ``` - whois 子域名的ip，大型目标能看到ip段 - spf 解析记录 http://www.kloth.net/services/nslookup.php - vpn/邮服 附近的最有可能真实ip段 - `intext:@baidu.com IP Reverse DNS IP-range` 查看反向解析结果 - 用shodan，fofa,censys 等搜索目标域名和公司名称。 有些服务器维护人员喜欢打上自己的标签，例如特殊的HTTP头。 我们可以通过shodan或钟馗之眼 来进行搜索拥有同样标签的服务器。 - ip比较法 比较大型的目标会有比较多IP地址，大型目标网络ip地址通常分配在一个C段或多个c段中。 例目标顶级域名为www.seclines.com 其IP地址为222.222.222.222 ，bbs.seclines.com 其ip为222.222.222.223 wiki.seclines.con 其ip为222.222.222.224由此可以推测222.222.222.1-255的IP地址都为该公司IP地址，但最后的确定还要根据其他的信息进行判断。 ``` ### C段旁站 ``` - C段信息 https://censys.io/ipv4?q=163.177.151.110/24 `site:163.177.151.*` - 旁站 bing国际版：`ip:163.177.151.110` - ip反查域名 https://passivedns.mnemonic.no/ https://www.virustotal.com/gui/ip-address/ https://tools.ipip.net/ipdomain.php https://www.ip-address.org/reverse-lookup/reverse-ip.php https://fofa.so/result?q=148.163.164.12 `intext:148.163.164.12 Reverse domain` ``` ### 邮箱采集 ``` - 可枚举漏洞 `nmap -p 25 --script smtp-enum-users.nse 202.38.193.203–script-args userdb=/root/user.txt,passdb=/root/password.txt` - whois高级搜索 ` whois -h whois.arin.net "e @ icann.org" | grep -E -o "\b[a-zA-Z0-9.-]+@[a-zA-Z0–9.-]+\.[a-zA-Z0–9.-]+\b" | uniq ` - 工具采集 https://github.com/m4ll0k/Infoga https://github.com/laramies/theHarvester - 社工裤泄露 https://pwndb2am4tzkvold.onion.ws/ #洋葱网络 - SSL证书信息 SSL / TLS证书通常包含域名，子域名和电子邮件地址。这使他们成为攻击者的宝库。 https://censys.io/certificates?q=baidu.com ``` ### Google hacking ``` - 敏感信息泄露 site:github.com intext:baidu.com site:pastebin.com AND intext:baidu.com site:searchcode.com AND intext:baidu.com site:trello.com.com AND intext:baidu.com - 网站历史数据爬取 https://github.com/devanshbatham/ArchiveFuzz https://github.com/melbadry9/WaybackUrls https://github.com/si9int/cc.py - 目录遍历 site:baidu.com intitle:index.of parent directory site:www.example.com - 后台查找 site:baidu.com intext:管理|后台|登陆|用户名|密码|验证码|系统|帐号|manage|admin|login|system|登入|logon | administrator AND inurl:login|admin|manage|manager|admin_login|login_admin|system - 敏感文件 使用工具：https://github.com/Smaash/snitch inurl:temp | inurl:tmp | inurl:backup| inurl:bak filetype:txt | filetype:bak | filetype:sql |filetype:rar |filetype:doc - 报错信息 error | warning |SQL syntax | MySQL Query fail - 查找工具 inurl:nqt.php intitle:"Network Query Tool" ``` ### Nmap ``` - 路由跟踪 nmap --traceroute {ip} #目标配置不当能看到内网ip - 服务器信息 nmap -O -sV -sF -T4 {ip} - 弱点扫描 漏洞脚本升级：`nmap --script-updatedb` 弱口令探测：`nmap --script=auth {ip}` 暴力破解：`nmap --script=brute {ip}` 扫描常见漏洞：`nmap --script=vuln {ip}` webdav远程执行漏洞扫描：`nmap --script=http-iis-webdav-vuln {ip}` IIS<7.5 尝试短文件漏洞目录文件扫描：`nmap -p80 --script=http-iis-short-name-brute {ip}` 显示http的title信息，便于发现重要系统：`nmap --script=http-title {ip}` 心脏滴血漏洞：`nmap --script=ssl-heartbleed {ip} -p443 http-put` - 增强扩展 https://github.com/vulnersCom/nmap-vulners - 常见端口信息及渗透 端口号 端口服务/协议简要说明 关于端口可能的一些渗透用途 tcp 20,21 ftp 默认的数据和命令传输端口[可明文亦可加密传输] 允许匿名的上传下载,爆破,嗅探,win提权,远程执行(proftpd 1.3.5),各类后门(proftpd,vsftp 2.3.4) tcp 22 ssh[数据ssl加密传输] 可根据已搜集到的信息尝试爆破,v1版本可中间人,ssh隧道及内网代理转发,文件传输,等等…常用于linux远程管理… tcp 23 telnet[明文传输] 爆破,嗅探,一般常用于路由,交换登陆,可尝试弱口令,也许会有意想不到的收获 tcp 25 smtp[简单邮件传输协议,多数linux发行版可能会默认开启此服务] 邮件伪造,vrfy/expn 查询邮件用户信息,可使用smtp-user-enum工具来自动跑 tcp/udp 53 dns[域名解析] 允许区域传送,dns劫持,缓存投毒,欺骗以及各种基于dns隧道的远控 tcp/udp 69 tftp[简单文件传输协议,无认证] 尝试下载目标及其的各类重要配置文件 tcp 80-89,443,8440-8450,8080-8089 web[各种常用的web服务端口] 各种常用web服务端口,可尝试经典的top n,vpn,owa,webmail,目标oa,各类java控制台,各类服务器web管理面板,各类web中间件漏洞利用,各类web框架漏洞利用等等…… tcp 110 [邮局协议,可明文可密文] 可尝试爆破,嗅探 tcp 137,139,445 samba[smb实现windows和linux间文件共享,明文] 可尝试爆破以及smb自身的各种远程执行类漏洞利用,如,ms08-067,ms17-010,嗅探等…… tcp 143 imap[可明文可密文] 可尝试爆破 udp 161 snmp[明文] 爆破默认团队字符串,搜集目标内网信息 tcp 389 ldap[轻量级目录访问协议] ldap注入,允许匿名访问,弱口令 tcp 512,513,514 linux rexec 可爆破,rlogin登陆 tcp 873 rsync备份服务 匿名访问,文件上传 tcp 1194 openvpn 想办法钓vpn账号,进内网 tcp 1352 Lotus domino邮件服务 弱口令,信息泄漏,爆破 tcp 1433 mssql数据库 注入,提权,sa弱口令,爆破 tcp 1521 oracle数据库 tns爆破,注入,弹shell… tcp 1500 ispmanager 主机控制面板 弱口令 tcp 1025,111,2049 nfs 权限配置不当 tcp 1723 pptp 爆破,想办法钓vpn账号,进内网 tcp 2082,2083 cpanel主机管理面板登录 弱口令 tcp 2181 zookeeper 未授权访问 tcp 2601,2604 zebra路由 默认密码zerbra tcp 3128 squid代理服务 弱口令 tcp 3312,3311 kangle主机管理登录 弱口令 tcp 3306 mysql数据库 注入,提权,爆破 tcp 3389 windows rdp远程桌面 shift后门[需要03以下的系统],爆破,ms12-020[蓝屏exp] tcp 4848 glassfish控制台 弱口令 tcp 4899 radmin远程桌面管理工具,现在已经非常非常少了 抓密码拓展机器 tcp 5000 sybase/DB2数据库 爆破,注入 tcp 5432 postgresql数据库 爆破,注入,弱口令 tcp 5632 pcanywhere远程桌面管理工具 抓密码,代码执行,已经快退出历史舞台了 tcp 5900,5901,5902 vnc远程桌面管理工具 弱口令爆破,如果信息搜集不到位,成功几率很小 tcp 5984 CouchDB 未授权导致的任意指令执行 tcp 6379 redis未授权 可尝试未授权访问,弱口令爆破 tcp 7001,7002 weblogic控制台 java反序列化,弱口令 tcp 7778 kloxo 主机面板登录 tcp 8000 Ajenti主机控制面板 弱口令 tcp 8443 plesk主机控制面板 弱口令 tcp 8069 zabbix 远程执行,sql注入 tcp 8080-8089 Jenkins,jboss 反序列化,控制台弱口令 tcp 9080-9081,9090 websphere控制台 java反序列化/弱口令 tcp 9200,9300 elasticsearch 远程执行 tcp 10000 webmin linux主机web控制面板入口 弱口令 tcp 11211 memcached 未授权访问 tcp 27017,27018 mongodb 爆破,未授权访问 tcp 3690 svn服务 svn泄露,未授权访问 tcp 50000 SAP Management Console 远程执行 tcp 50070,50030 hadoop 默认端口未授权访问 ``` ### web指纹 ``` - 在线 https://www.whatweb.net/ https://builtwith.com/ https://whatcms.org/ http://www.yunsee.cn/ https://www.netcraft.com/ - 工具 https://github.com/TideSec/TideFinger #整合多个指纹库 https://github.com/7z1/waf_identify #整合四款waf识别工具 https://github.com/Tuhinshubhra/CMSeeK #CMS检测 - 浏览器 Firebug->Net查看HTTP响应头部Server字段 指定路径下指定名称的js文件或代码。 指定路径下指定名称的css文件或代码。 中的内容，有些程序标题中会带有程序标识，但不是很多。 meta标记中带程序标识<meta name="description"/><meta name="keywords"/><meta name="generator"/><meta name="author"/><meta name="copyright"/>中带程序标识。 Wordpress | <meta name="generator" content="WordPre 3.9.2" phpBB | <body id="phpbb" Mediawiki | <meta name="generator" content="Media Wiki 1.21.9" Joomla | <meta name="generator" content="Joomla!-Open Source Content Management" Drupal | <meta name="Genertor" content="Drupal 7"/> DotNetNuke | DNN Platfrom -http://www.dnnsoftware.com display:none中的版权信息。 页面底部版权信息，关键字? Powered by等。 readme.txt、License.txt、help.txt等文件。 指定路径下指定图片文件，如一些小的图标文件，后台登录页面中的图标文件等，一般管理员不会修改它们。 注释掉的html代码中<!-- http头的X-Powered-By中的值，有的应用程序框架会在此值输出。 robots.txt文件中的关键字 404页面 302返回时的旗标 cookie中的关键字 phpBB | phpbb3_ Wordpress | wp-settings 1C-Bitrix | BITRIX_ AMPcms | AMP Django CMS | django DotNetNuke | DotNetNukeAnonymous e107 | e107_ez EPiServer | EPiTrace,EPiServer GraffitiCMS | graffitibot Hotaru CMS | hotaru_mobile ImpressCMS | ICMSession Indico | MAKACSESSION InstantCMS | InstantCMS[logdate] KenticoCMS | CMSPreferrdCulture MODx | SN4[12symb] TYPO3 | fe_type_user Dynamicweb | Dynamicweb LEPTON | lep[some_numeric_value]+sessionid Wix | Domain=.wix.com VIVVO | vivvoSessionId ``` ### 公开漏洞搜索 ``` exp搜索：https://sploitus.com/ cve详情：https://www.cvedetails.com/ https://www.exploit-db.com/papers 乌云镜像：http://www.anquan.us 台湾漏洞提交平台：https://zeroday.hitcon.org/vulnerability/disclosed 路由器漏洞：http://www.routerpwn.com/ 默认密码：https://cirt.net/passwords ``` ### web传统漏洞查找 ``` - Fuzz 字典 https://github.com/danielmiessler/SecLists https://github.com/Stardustsky/SaiDict https://github.com/TheKingOfDuck/fuzzDicts https://github.com/swisskyrepo/PayloadsAllTheThings https://github.com/Enul1ttle/myfuzz - 备份扫描 https://github.com/tismayil/ohmybackup - 目录爆破 https://github.com/maurosoria/dirsearch - Burpsuit 插件 Autorize 越权 Wsdler 测试WSDL请求 - waf探测 https://github.com/7z1/waf_identify - 是否负载均衡 `lbd www.baidu.com` - 弱点扫描 Openvas，Nessus - web 漏扫 *Nikto*扫描内容：软件版本 、敏感文件 、配置问题 、xss、sql 、运气好能爆出网站的内网IP。 *Arachni* 特点：web界面直观 、多功能 、高性能的Ruby框架。 *XSStrike* 特点：反射型和DOM XSS扫描、多线程抓取 、可配置的核心、WAF检测和绕过 *Burpsuite* 2.0版本以上加强了漏洞扫描组件。 *sqlmap* sql注入检测利用的神器。 ``` #### F12信息收集 ``` - 注释信息收集 【Ctrl+shift+f】搜索`<!--` - hidden信息收集 有些参数虽然是hidden的，但依旧会提交到服务器 - 相对路径搜索 火狐浏览器右键`view image info`查看网页图片的相关信息，有些目录编辑器上传点放在后台目录后面。 - JS敏感信息泄露 `Firebug->Script`登陆框的js会着找到很多意外收获，可能某些链接存在未授权访。某次查看js文件，发现post userid=xxxx&weixinlog=1就能绕过密码登陆。还是使用范围很广的缴费系统。 - Network模块信息收集 查看http返回包，有时候能看到中间件的版本，webserver信息对于渗透来说是很重要的，通过获取的版本即可查找对应的漏洞进行利用，从而提高渗透的效率！查看cookie,如果你发现cookie中含有admin=0,或者flag=0的这类标志，你就可以使用burpsuit进行抓包进行截断改包，将0改为1可能就可以直接进入到系统中了。个人觉得只要是不常见的cookie标志，或者任何能输入的地方都可以使用Burpsuit Fuzzing试试。 - 细心很重要，当工具都识别不出是什么cms的时候，某次开局一个后台登陆框，我看到x-ux.admin.css,就去百度搜，果然是一个基于thinkphp3.2.8开发的后台框架，刚想代码审计，发现他用了百度WebUploader未授权上传的插件。 ``` #### 浏览网页 ``` - 注意公告栏，通知等信息。 - 根据发布的内容对命名模式推断 例如：发现一个viewuser.asp页面，然后就可以查找类似edituser.asp、adduser.asp和deleteuser.asp。如果/app/user目录被发现接着可以查找/app/admin 、/app/manager。 - 随手在网页后面加old、\~、bak、copy、orig 如config.asp.old。如果是网站是iis7.5，尝试config.asp/.php 运气好能读取到源码(iis7.5解析漏洞)。 - 利用User Agent Switcher切换不同的User Agent然后访问同一个特定页面。这是因为很多的Web应用对于不同的User-Agent和Referer请求头会返回不同的内容。 ``` #### 杂 ``` - 安卓反编译里的osskey是真的多，可以搜secret，但有些是直接key=，id=,这种可以直接正则搜\w{20,50}$ - 搭环境代码审计白盒测试的时候，开启mysql报错日志监控很重要，能发现一些隐蔽的盲注。 - https://regex101.com/ 正则在线调试 - http://get-av.se7ensec.cn Windows杀软在线对比辅助 - https://jsonwebtoken.io jwt在线解码 - 小密圈最干的货都放在公众号吸引流量了，花几百块的进圈不太值得 ``` #### 最后 工作原因，估计不会再更新了，整理别人的东西没太大意义。一年前，干了十年渗透的大佬跟我说这是真大牛写的文章`https://www.freebuf.com/articles/neopoints/190895.html`，现在回头看确实受益匪浅。特别是`https://pentester.land/`和推特搜索 `#bugbountytips` 能学到不少大佬挖洞的技巧。还有就是看乌云镜像和hackone的挖洞过程。