红队学习之路

信息收集


 

1. 服务器的相关信息（真实ip，系统类型，版本，开放端口，WAF等）
2. 网站指纹识别（包括，cms，cdn，证书等），dns记录
3. whois信息，姓名，备案，邮箱，电话反查（邮箱丢社工库，社工准备等）
4. 子域名收集，旁站，C段等
5. google hacking针对化搜索，pdf文件，中间件版本，弱口令扫描等
6. 扫描网站目录结构，爆后台，网站banner，测试文件，备份等敏感文件泄露等
7. 传输协议，通用漏洞，exp，github源码等

漏洞挖掘

1. 浏览网站，查看网站规模、功能、特点等
2. 端口，弱口令，目录等扫描，对响应的端口进行探测漏洞，比如rsync、心脏战场、mysql、ftp、ssh弱口令等。
3. XSS，SQL注入，上传，命令注入，CSRF，cookie检测，敏感信息，通信数据传输，暴力破解，任意文件上传，越权访问，未授权访问，目录遍历，文件包含，重放攻击（短信拦截） ，服务器漏洞检测，最后使用漏洞扫描工具等

漏洞利用&权限提升

• mysql提权，serv-u提权，oracle提权
• windows溢出提权
• linux内核牛,内核漏洞提权e

清晰的测试数据和输出报告

i 日志、测试数据的清理 ii 总结，输出渗透测试报告，附修复方案

复测

验证并发现是否有新漏洞，输出报告，归档

漏洞挖掘

CNVD-2023-85891

总结：白盒审计如果碰到可控参数一定要试一试，无回显情况建议写入php文件当中

此处province参数可控，可以使用RCE进行探测，RCE并非必须有关键字和关键函数

利用反单引号RCE进行执行，由于没有回显，将输出内容写到php文件中

poc：province=|echo `whoami`>content.php

访问/itbox_pi/content.php，执行whoami

暴露权限

CNVD-2023-86623

总结：一般目录穿越情况多试一试配置文件

信息泄露

通过目录爆破发现配置文件，直接进行目录穿越

在未登录的情况下，访问https://39.129.228.53:4430/tool/shell/nginx.conf即可下载Nginx配置信息。

CVE-2023-5781

通达OA存在SQL注入漏洞

路径：general/system/res_manage/monitor/delete_webmail.php

有一个注入参数：$DELETE_STR，还是出现可控参数

这里的代码非常简洁。当$DELETE_STR不为空时，参数直接拼接到SQL语句中。由于此处括号已关闭，因此可以绕过。

无回显的情况下考虑盲注

我们可以使用笛卡尔积盲注进行注射。下面的payload可以确定数据库名的第一个字符是t，因为在116处延迟成功。ASCII码116也对应小写字母t。以此类推，数据库名称以及数据库的任何信息都可以通过盲注入获得。

而当我们把116改为115时，就不会出现延迟，说明SQL注入的存在。

POC

1)%20and%20(substr(DATABASE(),1,1))=char(115)%20and%20(select%20count(*)%20from%20information_schema.columns%20A,information_schema.columns%20B)%20and(1)=(1

1) and (substr(DATABASE(),1,1))=char(115) and (select count(*) from information_schema.columns A,information_schema.columns B) and(1)=(1