初级蓝队面经(预测部分)

目录

内网IP：

TCP和UDP

区别

CDN是什么

简介

判断

绕过

CS的流量特征

常见端口

Webshell管理工具及流量特征

菜刀：

蚁剑：

冰蝎：

哥斯拉：

csrf（客户端请求伪造）

原理

条件

特点

防御

ssrf（服务器端请求伪造）

原理

相关协议

防御

SQL注入

原理

类型

防御

XSS（跨站脚本攻击）

原理

类型

Dom和反射型的区别

---

内网IP：

A段：10.x.x.x

b段：172.16.x.x--172.31.x.x

c段：192.168.x.x

255：为广播频道

TCP和UDP

TCP：传输控制协议

UDP：用户数据报协议

区别

• tcp是面向连接的，类似于打电话之前要拨号，而udp是无连接的
• tcp提供可靠的数据传输，全部且有序的传输；udp尽自己最大能力传输数据
• tcp需要占据更大的系统性能
• udp的时效性更好

CDN是什么

简介

CDN是内容分发网络，是建立在现有互联网基础上的智能虚拟网络，不仅可以在一定程度上保护网站，还可以加速用户的访问速度，减少访问拥堵（类似多地部署服务器）

判断

多地ping（可以使用各种超级ping的工具）

windows自带的nslookup命令

【如果发现返回多个不同的IP，则是挂了CDN】

绕过

子域名查询：因为CDN很贵，所以很多网站的主站挂了CDN，而子站没有

国外地址查询：IPIPtool：越是偏僻的地方几率越大全球 CDN 服务商查询_专业精准的IP库服务商_IPIP

网站邮件查询(可以订阅网站的服务，然后从邮件源码中查看IP)

遗留文件信息查询，例如phpinfo等敏感文件可能含有

CS的流量特征

默认端口，默认证书特征

常见端口

22 SSH
23 telnet
80 web端口
3389 远程桌面
6379 redis

数据库类：

1433 MSSQL
1521 Oracle
3306 mysql
5432 postgresql

Webshell管理工具及流量特征

菜刀：

进行url和base64编码


2011及2014版本：

php
1.eval等危险函数
2.base64_decode($_POST[z0])  将payload进行base64编码
3.&z0=....  传递payload，进行base64解码可以看到攻击payload

asp
1.Execute等危险函数，类似于eval
2.OnError ResameNext 不管前面出现什么状况，后面继续进行(大多asp流量包都有)
3.Response.write和Response.end用于完善操作

jsp

连接一句话木马时，第一个参数指定操作A-Q之间，第二个参数指定编码

2016版本：

将流量进行了打断混淆

php
同上，只是进行了打断，用.连接

asp
将部分流量特征用unicode编码替换，使用unicode解码可以看到payload

jsp
同上1

————————————————
版权声明：本文为CSDN博主「合天网安实验室」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/qq_38154820/article/details/106330032

蚁剑：

php
ini_set("display_errors","0"),明文传递，易于发现

asp
1.同菜刀一样，有OnError ResumeNext ，Response.write ,Response.end 等参数
2.excute被改为拼接形式 Ex"&cHr(101)&"cute

绕过特征

大量的_0x...=的形式

冰蝎：

冰蝎3：

1.content-type：application什么什么，无论GET还是POST，请求的http中，content-type为application/octet-stream；

2.有16个user_agent

3.content-length =5464or 5484

4.连接之前都会发送一个GET请求，如果服务端正常，都会响应一个16位密钥

哥斯拉：

1.Cookie中后面都存在；特征

2.无论是php还是jsp都有pass=

csrf（客户端请求伪造）

原理

通过伪造受浏览器信任的用户的请求来进行攻击

条件

1.用户打开受攻击站且生成了Cookie

2.用户在打开受攻击站的同时点开了攻击站页面

特点

攻击来自于第三方网站，被攻击网站无法防御

只能借用Cookie，用户会话结束，Cookie消失时就无法进行攻击了

防御

同源检测（解析origin header和referer header，查看是否来自同一网站）

设置samesite

设置token

验证码

双重Cookie验证

ssrf（服务器端请求伪造）

原理

浏览器设置了可以从其他网站获取资源，但是没有对网站的url进行检测，导致任意文件读取，未授权访问等漏洞

相关协议

http：探查主机存活状况

file：在有回显的情况下，实现任意文件的读取

dict：通过页面回显内容和时间猜测端口开放情况，探测浏览器版本信息等

gopher：截取POST/GET请求包，伪造为符合gopher协议的请求包，在一定条件下实现redis未授权访问

防御

• 对访问网址信息进行检测，过滤一些明显的攻击语句
• 关闭一些非必要的协议
• 限制某些端口
• 开发设置无论如何查看，网站页面回显相同

• SQL注入

原理

用户输入的数据被当作后端代码执行

类型

• 联合查询：union group_concat   
• 布尔盲注：substr：截取字符串  ；ascii：返回该字符的ascii编码号 ；length：返回字符串的长度
• 时间盲注：if  ；sleep  
• DNS注入：解决复杂的盲注问题，load_file
• 报错注入：xpath语法错误（updatexml，extractvalue）整型溢出（exp）主键重复（floor）concat：字符串连接
• 堆叠注入：  ；
• 二次注入：条件1.用户输入带恶意参数的数据，2.数据库完全相信自己存储的数据，并将它直接传给了用户

防御

• 严格限制网站与数据库的交互
• 过滤敏感字符或字符串
• 预编译
• PDO

XSS（跨站脚本攻击）

原理

窃取Cookies

类型

• 反射型：不存储在数据库，用户点击就会收到攻击，短暂的
• 存储型：被存储在数据库中，只要用户点击了该被存储有xss的网站就会收到攻击
• Dom型：直接从浏览器获取信息，不与数据库交互

Dom和反射型的区别

反射型传入的数据要经过服务器数据库，在返回包可以查看到恶意语句

而Dom直接从数据库获取信息无法从返回包看到