渗透测试流程

1.信息收集

主动收集

通过访问目标地址，和相关地址或者通过扫描等方式收集信息；

优点：收集到的信息比较多；

缺点：可能会被记录自己的操作信息，导致打草惊蛇；

被动收集

通过第三方的服务来收集目标的相关信息；

优点：基本上对方处于无感知状态；

缺点：收集内容有限，速度较慢；

一般情况下，最好先采用被动收集的方法去收集信息，然后采用主动收集去有目的的收集在被动收集过程中缺少的信息；

需要收集的信息

企业相关信息：通过天眼查、启信宝、全国企业信用信息公示系统、裁判文书网、国家知识产权局"专利检索系统"、企查查等查询企业相关信息；

域名相关信息：通过站长之家工具（whois、邮箱反查）、Whois365、Tools等查询；

网站备案信息：ICP/IP地址/域名信息备案管理系统；

子域名信息：站长之家、Tools；

IP地址信息：通过站长之家的多地Ping查看网站是否经过CDN加速：

1.有CDN加速：考虑通过子站（二级、三级…）找真实IP；

2.无CDN加速：获取真实IP地址；

端口、服务器和中间件等信息：通过Zoomeye、Shodan等收集，也可以利用Nmap、MSF等端口和指纹识别功能收集，也可以通过获取Banner信息进行识别；

旁站信息：在主站没有可以利用的漏洞时可以试试剑走偏锋搞搞旁站；

C段信息：一般要进行渗透测试的单位会有一个IP段，所以可以考虑C段（一般查C段可以用nmap、webscan等）；

WAF信息：WAF一般基于Headers头信息，也可以根据自己平时收集的WAF特征；

Web敏感文件：robots.txt、网站备份文件、sitemap.xml、源码泄漏文件、数据库备份文件等。如下图所示：



版本漏洞：根据获取到的网站相关信息去CNVD、seebug等漏洞平台查看是否存在版本漏洞、中间件漏洞等，一个未打补丁的网站漏洞可以让我们事半功倍的去进行渗透测试；

指纹识别：若渗透测试的网站获取到CMS相关信息，可以由此查询已曝光的漏洞，如果该CMS开源，还可以下载对应版本的源码进行审计来找漏洞；

网站相关人员个人信息：通过在网上寻找网站管理人员/维护人员的个人信息（姓名、性别、出生日期、身份证、住址、手机、邮箱、各种社交账号如微信/微博/贴吧、学历、常用ID）等信息，在发现后台页面的时候，可以尝试使用上述发现的信息进行组合测试；

2.漏洞挖掘利用

漏洞挖掘

扫描器发现

优点：使用扫描器可以帮助我们节省大量的时间和发现一些人工测试不易被发现的漏洞以及庞大的漏洞库可以很好的发现一些编辑器、服务器、中间件的漏洞；减轻工作量；

缺点：存在误报，容易被防火墙等类似软件拦截；

常用的扫描器：AWVS、wwwscan、北极熊、御剑（扫描后台）等或者一些商用版扫描器（websoc、rsas）等；现在的网站基本上通过扫描器扫不出特别容易利用的漏洞

手工测试

通过人工的方式去测试网站本身是否存在一些漏洞，例如一些网站有安全狗、D盾之类的防护软件，可以去网上找找有没有什么对应的过waf的方法或者一些低版本漏洞；

优点：比使用扫描器测试出的漏洞更加精确；可以测试扫描器无法准确测试的漏洞；

缺点：工作量大、时间长；

一般测试的漏洞：SQL注入、跨站脚本（XSS）、文件上传、文件包含、代码执行、信息泄露、跨站请求伪造（CSRF）、任意文件下载、目录遍历、目录穿越、弱口令配置错误等和一些中间件、编辑器的版本漏洞；

漏洞利用

通过漏洞挖掘挖掘出的漏洞在利用时也尽量选择对服务不造成影响的利用，一些可能会对服务器或其他设备造成宕机或者瘫痪的要慎重利用，提前告知授权方；

对于一些暂时无法利用的漏洞或者用处不大的漏洞例如任意目录浏览、反射型xss等，基本上就不用再整了；

有一些漏洞单个看是没什么用的，但是和其他漏洞组合起来就是一个大招；

SQL注入：可以跑出管理员账号密码等，也可以拖库（拖库一时爽，一直拖库一直爽）；

文件上传漏洞：直接上传或者绕过上传，成功上传了webshell就可以继续下一步；

服务器、中间件、和其他一些漏洞：例如IIS6.0的解析漏洞、远程代码执行漏洞、短文件名猜解和7.5版本的文件解析漏洞；Apache的解析漏洞、目录遍历；Nginx的目录穿越、文件解析；Tomcat的远程代码执行；weblogic反序列化、任意文件上传；PHPCGI远程代码执行；其他一些漏洞可以考虑从网上找一些无后门的exp进行利用；

表单弱密码或允许爆破：通过收集的信息自行组合创造字典和一些常见的弱密码字典去爆破登录页面，登录成功就可以进一步操作；

漏洞挖掘与利用辅助工具基本上就是（firefox的hackbar、burpsuit、各种版本各种过狗的一句话和大马、中国菜刀、中国蚁剑、sturt2漏洞利用工具、御剑、sqlmap、nmap、字典等）；

逻辑漏洞：任意重置用户密码，修改订单这一类的，这种漏洞通过扫描器无法识别，只能人工去找；

弱口令，越权访问：可以通过字典爆破发现弱口令，而越权访问又分为水平越权和垂直越权，这种漏洞我们可以看url是否带有用户的明文信息或者直接访问一些敏感页面；

编辑器漏洞：EWebEditor编辑器上传漏洞、UEditor编辑器任意文件上传漏洞等；

3.提权

提权是在内网中可以自由浪的前提，只有高权限的内网主机，才可以更好的帮助我们来尽心内网的渗透；

提权方法也有很多，一般是采用系统漏洞；

根据网上的提权exp，一般可以考虑利用serv-u提权、上传cmd提权、KB956572（巴西烤肉）、OpenSSL “心脏滴血”、获取hash[wce]、Mysql的Mof提权、IIS6.0溢出、win2003内核溢出、kb952004（pr.exe 提权）；

4.维权

暂时用不到，如果需要可以使用图片马、不死马、隐藏文件、windows账户隐藏；

5.内网渗透

内网弱口令：一般人都想着内网比较安全，所以会出现比较多的弱密码、无密码、默认密码；

内网PC机漏洞：例如利用MS17010之类的远程漏洞测试同子内网中的PC机，进而多收集信息，以方便测试内网服务器；