第五章：渗透测试基础全攻略之从配置到实战

渗透测试提前配置

• 安装靶场

• 配置JDK11环境变量

• 配置Maven

  • 自动管理依赖

  • 管理项目生命周期

  • 规范目录结构

  • 构建多模块项目

• 配置Tomcat

• 安装破解IDEA

Kali渗透测试

• 来源

• Debian系与Redhat系区别

• 安装和配置kali系统

• kali基本操作和常用软件

  • 使用XShell连接

  • Docker安装

  • 工具安装（XSS/Docker Compose）

  • GitHub访问问题

信息收集概论

• 渗透网站基本流程

  • 外网信息收集（资产发现）

  • 漏洞打点（入侵突破）

  • 内网渗透（权限维持、提权、横向移动）

• 企业信息收集

  • 企业邮箱（用于社工和密码字典制作）

  • WIFI信息

  • 硬件设备版本（利用历史漏洞）

  • 代码托管平台源码（辅助代码审计）

  • 股权投资信息（挖掘边缘资产）

• 常规信息收集

  • 子域名/IP/端口

  • 网站CMS识别

  • WAF识别

  • API接口/配置文件

  • 历史漏洞信息

• 信息收集手法

  • 子域名爆破

  • 端口扫描

  • 目录枚举

  • 真实IP识别

  • 旁站/C段扫描

• 子域名收集

  • 工具

    • DNS服务商字典

    • TOP2000字典

    • 自定义字典

  • 软件

    • oneforall

    • subDomainsBrute

  • 网站

    • https://phpinfo.me/domain/

    • https://site.ip138.com/

  • 证书

    • https://crt.sh/

    • https://search.censys.io/

  • 细节

    • 网站的 crossdomain.xml 文件和返回包中的 Access-Control-Allow-Origin 头

    • 返回包中的 CSP (Content-Security-Policy) 头

    • 网站 robots 文件

    • 网站 sitemap 文件

    • 微步: https://x.threatbook.cn/

  • google hacking

    • site

      • 查找与指定网站相关的URL，可用于发现子域名。例如：site:baidu.com会返回所有百度相关的子域名和页面

    • intitle

      • 搜索网页标题中包含特定关键词的页面。例如：intitle:admin可以找到管理后台登录页面

    • inurl

      • 搜索URL链接中包含特定关键词的页面。例如：inurl:login可以找到各种登录页面

    • intext

      • 搜索网页正文中包含特定关键词的页面。例如：intext指的是"用户名 密码", 可以找到包含账号密码信息的页面

  • CDN

    • 内容分发网络(Content Delivery Network)

      • 由分布在不同区域的服务器组成, 为客户端提供分散和高速缓存服务，提升访问速度

    • 原理

      • 通过部署多地服务器副本实现就近访问

      • 例如抖音在全国各地部署服务器，避免所有请求都集中到北京服务器

  • 如何绕过CDN

    • 通过域名解析记录

      • https://viewdns.info/iphistory/

      • https://site.ip138.com/

      • https://x.threatbook.cn/

    • 通过空间安全搜索引擎

    • 接受邮件

    • App

    • 网站存在的漏洞

    • 异常信息

    • 调试信息

    • host碰撞

• 空间安全搜索引擎

  • fofa漏洞库

    • http://wiki.peiqi.tech/

  • fofa工具

    • fofa_viewer

  • 类似网站

    • shodan

      • https://www.shodan.io/

    • 鹰图 (奇安信)

      • https://hunter.qianxin.com/

    • censys

      • https://search.censys.io/

    • zoomeye 钟馗之眼

      • https://www.zoomeye.org/

    • 360quake

      • https://quake.360.cn/quake/

端口信息收集

• 简介

  • 一般是指 TCP/IP 协议中的端口

  • 端口号的范围从 0 到 65535

  • 比如用于浏览网页服务的 80 端口

  • 用于 FTP 服务的 21 端口等等这些服务的默认端口

• 工具

  • nmap

    • 扫描单个IP

    • 扫描整个子网

    • 功能

      • -Ss

        • 半开放式扫描, 不需要完整的三次握手, 不会在目标主机上留下任何的日志, 没有会话进程

      • -ST

        • 进行三次握手

      • -sV

        • 版本检测、使用版本检测扫描之前需要先扫描开放了哪些端口

      • -PN

        • 对于禁ping, 参数可以绕过PING命令，用于远程主机是存活在网络上的，目标主机禁ping的情况下

      • -A

        • 使用所有高级扫描选项;全端口扫描

      • -0

        • 操作系统探测;

      • -T

        • 设置扫描速度，1-6

      • -sP

        • 主机存活性扫描，arp直连方式

  • Masscan

    • masscan 192.33.6.145 -p1-65535 –rate 1000 -oL ports

    • nmap -sV-p $ports 192.33.6.145

  • WIN系统中的Zenmap

    • 提供图形化界面

• 常见端口

  • 文件共享服务

    • 21 / 22 / 69

      • FTP/SFTP文件传输协议

    • 2049

      • NFS服务（Network File System）

    • 139

      • Samba服务

    • 389

      • LDAP目录访问协议（Light Directory Access Portocol）

  • 远程连接服务

    • 22

      • SSH远程连接

    • 23

      • Telnet远程连接

    • 3389

      • RDP远程桌面连接

    • 5900

      • VNC远程连接

    • 5632

      • PcAnywhere远程控制服务

  • Web应用服务

    • 80 / 443 / 8080

      • 常见的web服务端口

    • 7001/7002

      • Weblogic控制台

    • 8080/8089

      • Jboss/resin/jetty/Jenkins

    • 9090

      • Websphere控制台

    • 4848

      • Glassfish控制台

    • 1352

      • Lotus domino邮件服务

    • 10000

      • Webmin-web控制面板

  • 数据库服务

    • 3306

      • MySQL

    • 1433

      • MSSQL数据库

    • 1521

      • Oracle数据库

    • 5432

      • PostgreSQL数据库

    • 27017 / 27018

      • MongoDB

    • 6379

      • Redis数据库

    • 5000

      • Sysbase/DB2数据库

  • 邮件服务

    • 25

      • SMTP邮件服务

    • 110

      • POP3协议

    • 143

      • IMAP协议

  • 网络常见协议

    • 53

      • DNS域名系统

    • 67 / 68

      • DHCP服务

    • 161

      • SNMP协议

  • 特殊服务

    • 2181

      • Zookeeper服务

    • 8069

      • Zabbix服务

    • 9200 / 9300

      • Elasticsearch服务

    • 11211

      • Memcached服务

    • 512 / 513 / 514

      • Linux Rexec服务

    • 873

      • Rsync服务

    • 3690

      • SVN服务

    • 50000

      • SAP Management Console

目录信息收集

• 常见敏感目录和文件

  • robots.txt

  • 网站备份文件

  • 后台登录目录

  • 安装包

  • 上传目录

  • mysql管理接口

  • phpinfo(探针文件)

  • 网站文本编辑器

  • /etc/passwd, /etc/shadow, /etc/sudoers

  • Mac下的.DS_Store

  • Vim编辑器备份文件(.swp)

  • WEB-INF泄露

服务器信息收集

• waf识别

  • 类型

    • D盾

    • 云锁

    • UPUPW安全防护

    • 宝塔网站防火墙

    • 护卫神

    • 安全狗

    • 智创防火墙

    • 其他

  • 手工探查WAF

    • 云盾识别：响应头包含"yundun"关键字，页面源代码有"errors.aliyun.com"

    • 安全狗识别：响应头包含"waf2.0"或"Safedog"字样

    • 腾讯云识别： 阻止响应页面包含"waf.tencent-clound.com"，返回405错误代码

    • 安全宝识别：返回405恶意代码，响应头包含"X-Powered-by:Anquanbao"

    • 百度云识别：响应头包含"Yunjiasu-ngnix"字段

    • 创宇盾识别：恶意请求时页面URL包含"365cyd.com"或"365cyd.net"

  • 自动探测工具

    • wafw00f

      • 命令: wafw00f 域名

• cms识别

  • 潮汐指纹: http://finger.tidesec.net/

  • whatweb工具

  • 插件 wappalyzer

  • 网页源代码 meta name=“generator”

• api接口

  • 常见危险接口：

    • /env：泄露环境变量、内网地址、配置信息

    • /actuator/env：Spring Boot 2.x版本的env接口

    • /refresh：可刷新配置触发RCE漏洞

  • Webpack打包

企业信息收集

• 旁站: 与目标网站在同一台服务器但开放在其他端口的网站

  • 站长之家

    • http://ip.tool.chinaz.com/Same/

  • webscan

    • https://www.webscan.cc/

  • 谷歌语法

    • 使用 site: 格式查询

• C段: 目标服务器IP处在同一个C段的其他服务器

  • 通过 ip = “211.69.130.0/24” 形式搜索C段，示例显示88条匹配结果

• 股权投资信息

  • 天眼查：https://www.tianyancha.com

  • 企查查：https://www.qcc.com

  • 爱企查：https://aiqicha.baidu.com

  • 钉钉企典

• 邮箱

  • https://hunter.io/

自动化信息收集

• 水泽

  • 备案查询

    • 通过站长工具等接口查询目标网站的备案信息，获取备案主体下的所有关联域名

  • 自动化扫描

    • 工具内置自动化流程，可自动调用各类API接口完成信息收集工作

  • 数据整合

    • 将收集到的域名、IP、邮箱等信息进行结构化存储和展示

• 灯塔

  • 安装教程

• goby

  • 下载Npcap数据捕获包：

    • https://nmap.org/npcap/dist/npcap-0.9983.exe

  • 下载对应版本的goby:

    • https://gobies.org/#dl