网安面试三十道题(持续更新)(sql注入系列)

61 给你一个网站，一般怎么做渗透测试的

先确定黑盒测试还是白盒测试

黑盒测试

 信息收集：

   服务器相关---：系统版本，真实IP，开放端口，使用的中间件

   指纹信息---有无cdn加速，dns解析记录，是不是cms系统，ssl证书信息

   whois信息--- 备案信息，邮箱，手机号，姓名

   子域名，旁站，C段

漏洞测试

   sql注入，xss,csrf,弱口令，文件包含，任意文件上传下载，远程命令执行，敏感信息泄漏，目录遍历等

   可以先用工具进行扫描，对结果进行手动验证，排查误报，对一些没办法工具扫描的漏洞，比如逻辑漏洞等通过手动测试

   最后书写报告，写出以及修复建议，整理报告，

白盒测试

直接进行漏洞扫描

  针对ip地址进行渗透测试，用工具进行漏洞扫描，得出报告，进行手动验证，

  再测试一些工具检测不出来的,一些漏洞：越权漏洞、逻辑漏洞、未授权访问漏洞。

  还有一些不让用扫描器的项目，那么就需要纯手工进行漏洞检测了，

  如果发现漏洞，一般就截图留证，写报告，一般不进行漏洞利用，最多获取出来一些数据作为证明，

  最后出具报告以及修复建议，等修复完之后，在进行复测，出复测报告。

 62 打点(打站)过程

一、信息收集

服务器相关---：系统版本，真实IP，开放端口，使用的中间件

指纹信息---有无cdn加速，dns解析记录，是不是cms系统，ssl证书信息

whois信息--- 备案信息，邮箱，手机号，姓名

子域名，旁站，C段,敏感目录检测

二、漏洞扫描

用 AWVS、APPSCAN、长亭科技的 Xray 等扫描器检测 Web 漏洞，如 XSS,CSRF,sql 注入，代码执行，命令执行，越权访问，目录读取，任意文件读取，下载，文件包含， 远程命令执行，弱口令，上传，编辑器洞，暴力破解等

用 namp、sqlmap、天镜、Nessus扫描系统，对扫描出来的高危漏洞进行测试，以及进行漏洞验证。

三，漏洞利用

## 利用发现的漏洞，包括中间件以往爆出的漏洞，来进行命令执行、数据提取，或者getshell，或者敏感文件读取等操作

四，权限提升

 Windows提权

    微软官网找公布的exp --- 查看哪些补丁没有打，找到对应漏洞利用工具

   使用工具 ---- 很多专门提权的工具，比如我用过一个叫Pr的工具

    sc命令提权 --- 针对版本windows 7、8、03、08、12、16

    利用 kali 的msf 提权

 Linux提权

    ## 内核漏洞提权，比如老版本kali的内核漏洞

    ## 脏牛提权

    ## sudo 提权

    ## SUID提权

 数据库提权

    ## mssql提权 ------ sqlTools 工具

    ## Oracle数据库 ------ 使用oracleshell工具

    ## MySQL提权

      ## UDF自身提权

      ## MOF漏洞提权

      ## MySQL启动项提权

五，权限维持

    ## 克隆账号

    ## 添加匿名用户

    ## 激活Guest用户

    ## shift后门

    ## 添加schtasks计划任务

    ## 添加启动项，服务

    ## SSH公钥登录

    ## 进程注入

六，收集内网信息，内网渗透

 内网渗透基本步骤

   Step1、信息收集 --- ## 基本信息，用户信息，网络信息，权限信息等

   Step2、获取权限 --- ## 通过一些漏洞拿下一台主机的系统权限 

   Step3、横向移动 --- ## IPC + at/schtasks | IPC + sc | wmic 远程命令执行 | msf横向移动具，Python脚本工具

   Step4、权限维持 --- ## 添加匿名用户，激活Guest用户，添加schtasks计划任务，添加启动项，服务

   Step5、清理痕迹 ---- ## 操作记录，历史记录等

七，痕迹清理

## 操作系统、中间件、数据库等日志进行清除

63 信息收集都要收集什么

服务器相关---：操作系统版本，真实IP，开放端口，使用的中间件，web中间件，数据库版本，软件版本

指纹信息---有无cdn加速，dns解析记录，是不是cms框架信息，ssl证书信息

whois信息--- 备案信息，邮箱，手机号，姓名

子域名，旁站，C段,敏感目录泄漏

64 判断出网站的cms有什么用处？

## 判断出网站的cms就可以去网上查这个cms往常爆过什么漏洞，找对应的漏洞利用工具

## 如果是开源的话还可以下载相应的源码进行代码审计来发现漏洞。

65 扫描网站的目录有什么作用

## 可以收集敏感文件，进行二级目录扫描 获取他的目录结构，获取一些敏感数据，比如网站的备份文件，压缩文件gzip，phpinfo.php文件等

## 可能检测出程序员忘记删掉的备份文件，Git仓库文件，或者后台登录页面

66 如何判断目标主机是Windows还是Linux

## 1、Windows对大小写不敏感，Linux区分大小写。

## 2、通过ping的TTL值进行判断，Linux和widows TTL 值区段不一样

67 假如给你一个目标站，并且告诉你根目录下存在/abc/目录，并且此目录下存在编辑器和 admin 目录。请问你的想法是?

直接用7KBscan或破壳工具挂字典在网站二级目录/abc/下扫描敏感文件及目录

68 在目标网站收集注册人的邮箱有什么用处

丢进社工库看有没有泄露密码，并尝试登录后台

可以进行社工，查看他平时的兴趣点，找到其常用密码进行撞库，

将其邮箱丢进搜索引擎，查找其关联的一些账号及设置密码的习惯，

利用已有的信息生成专有字典

69 信息收集用过哪些工具

收集ip：## ping、超级ping、nslookup

收集域名：## 子域名（黑暗搜索引擎，工具：二级域名爆破工具、layer子域名挖掘机），备案号查询，ssl证书查询、威胁情报查询

敏感信息收集：## C段信息收集K8、目录扫描7KBscan和破壳、源码信息泄露.git、DS_store、SVN指纹识别：wappalyzer、御剑，nmap

WAF识别：## kali自带waf识别工具

CDN识别：## ping，黑暗搜索引擎，超级ping

70 waf(安全狗）绕过有了解吗？ 

## 身份认证阶段绕过

1，伪造搜索引擎 -------------------- ## 不太管用了，不过可以尝试一下

2，伪造白名单特殊目录 ---------------- ### 属于waf管理员配置规则不当导致的。

3，直接攻击源站(真实ip地址) ---------------- ## 可以绕过云waf

## 数据包解析阶段绕过

1、编码绕过 ------------------ ## 最常见的方法之一，可以进行urlencode，这是早期的方法，现在效果不是太好

2、修改请求方式和请求数据位置绕过

3、复参数绕过

## waf 触发规则绕过

1、特殊字符替换空格 # 比如在mysql中%0a是换行，可以代替空格，在sqlserver和mysql中都可以用/**/代替空格

2、特殊字符拼接 --------------------- ## 通过+拼接

3、注释包含关键字 --------------- ## /*!关键字/

5、使用大小写混合

6、双写（不好用）

7、编码与注释结合

8、利用WAF本身的功能绕过(不好用) -- ## 假如你发现WAF会把"*"替换为空，那么你就可以利用这一特性来进行绕过

9、使用其他变量或者命令对注入语句进行替换(√) -- ## 比如 ' and or 1=1 ,这里的1 可以用mod(8,7)来替换

10、组合绕过waf

11、http请求头设置分块传输(√)

71 常用的抓包工具以及功能和使用 

72 判断是否存在CDN，CDN绕过，网站有CDN怎么找真实ip？

判断是否存在CDN：

## 多地ping(也叫做超级ping)、nslookup查询

CDN绕过，网站有CDN怎么找真实ip：

  ## 可以利用查询目标网站的根域名、子域名、泛域名甚至多级子域名来获取真实的IP。

  ## 查看网站备案号来获取真实ip

  ## ping一个不存在的二级域名

  ## 查看DNS历史记录

  ## 利用网站漏洞查找

  ## 网站邮件订阅查找

  ## 通过国外服务器ping对方网站 ------------ 对于国内访问买了cdn服务器，由于国外访问量相对较少，可能没买cdn服务器

  ## DDOS打光CDN流量

73 msf用过常用的命令--漏洞利用框架 

msf全称：## The Metasploit Framework

常用指令：

 msfconsole ## 启动msf

 search ms17-010 ## 搜索漏洞

 show options ## 查看都有哪些需要配置

  set hosts ip ## 配置IP地址

  set port 0000 ## 配置端口

 run/exploit ## 进行漏洞利用

74 AWVS工作原理

## AWVS是一个自动化的Web漏洞扫描工具，它可以扫描任何通过Web浏览器访问和遵循HTTP/HTTPS规则的Web站点。

## AWVS原理是基于漏洞匹配方法，通过网络爬虫测试你的网站安全，检测流行安全漏洞。

75 网站有登录 怎么配置AWVS Appscan等扫描器

预登录:## 提前将用户名和密码配置好

设置记录值:## 扫描到登录页面，自动弹出填写用户名和密码等进行登录页面的记录

预设值cookie：## 设置 Cookie 模拟登录网站进行全面扫描

76 蚁剑、冰蝎、菜刀、哥斯拉对比

菜刀：## 先进行URL解码，在进行base64解码，分析明显特征，eval，ua头为百度爬虫

冰蝎：## Java开发，支持跨平台运行，传输数据用的是AES加密+base64编码，AES加密是对称加密算法

冰蝎2.0：## 进行三次密钥的协商过程，最后一次协商是进行aes加密的过程，先进行base64加密，然后再进行aes对称加密，传输给服务端，服务端在进行aes解密以及base64解密，这样拿到结果进行相应的操作去执行命令获取数据。

Content-Length: 16, ## 16就是冰蝎2连接的特征

冰蝎3.0：

## 静态密钥，如果失效了还是要协商密钥

## Accept头有application/xhtml+xmlapplication/xmlapplication/signed-exchange属于弱特征

##  ua头该特征属于弱特征。通过burp可以修改,冰蝎3.0内置的默认16个userAgent都比较老

冰蝎4.0：新增的功能

## 1.新增支持多线程超大文件上传、下载；

    ## 2.新增文件打包压缩；

    ## 3.新增数据库连接配置可保存；

    ## 4.新增主机扫描、端口扫描、服务识别模块；

    ## 5.新增支持Java9~java15+版本Agent内存马一键注入；

    ## 6.新增支持Java Agent无文件落地注入内存马；

    ## 7.新增多层网络子Shell穿透模块，实现多层”蝎中蝎”；

    ## 8.开放插件开发模块，可开发自定义插件，内置多款插件；

  

蚁剑：## ua有明显的antsword，能够支持自主编码，自行选择编码来传输数据，还可以使用数据分块传输。

77 用扫描和抓包https和http有什么区别 

## https的需要配置https证书，burp上导出证书，安装到浏览器上，本机开启代理，直接就可以抓https的包了

78 扫描器如何较少误报

## 1、添加对应语言的插件

## 2、降低线程数

## 3、将历史误报信息保存在某个地方，每次扫描出来的告警信息先到历史误报中去查看，如果存在表示误报，不存在在进行验证，以减少误报

79 sql注入类型、sql注入的方式？

## 搜索型，字符型，数字型，xx型

## 除此之外 还可以细分比如

 ## 报错注入

 ## 时间型注入

 ## 布尔型注入

 ## JSON注入

 ## 宽字节注入

 ## 编码注入

 ## 加密注入

 ## 堆叠注入

 ## 二次注入

80 sql注入比较了解那个数据库？ 

MySQL数据库 ------------------- 系统的去学过MySQL数据库基础，对DQL，DML，DDL，DTL有一定的了解。

5.0之后information-sechma,存着所有的表明库名 ------------------- 可以利用此特性可以进行

表结构数据的获取

81 sql注入的流程

1、# 判断是否存在注入点，在输入框的地方进行sql注入测试，用SQL注入的万能语句判断是什么类型，是数字型、字符型、搜索型还是XX型。

2、## 猜解sql查询语句的字段数

3、## 获取当前数据库的数据版本信息

4、## 获取数据库中的表

5、## 获取表中的字段名

6、## 获取字段里的数据

#3 当然了如果可以利用工具的话用工具进行SQL注入测试，效率高，节省时间

82 sql注入绕过方法

服务端后台绕过

  1、## 编码、可以进行两次编码

  2、## 参数绕过，复制参数（参数污染），id=1&id=1

  3、## 采用内联注释 /*!select*/

  4、## 组合法 如 and 可以用&&再 URL 编码

  5、## 替换法，如 and 改成&&;=可以用 like 或 in 等

 绕过空格（注释符/* */，%a0） ---## 两个空格代替一个空格，用Tab代替空格，%a0=空格：用注释替换空格：

 括号绕过空格 ---- # 任何可以计算出结果的语句，都可以用括号包围起来。而括号的两端，可以没有多余的空格。

 引号绕过（使用十六进制）-- ## 会使用到引号的地方一般是在最后的where子句中

 逗号绕过（使用from或者offset） -- ## 在使用盲注的时候，需要使用到substr(),mid(),limit。这些子句方法都需要使用到逗号

 比较符号（<>）绕过（过滤了<>：sqlmap盲注经常使用<>，使用between的脚本）

 or and xor not绕过 --- ## and=&& or=||  xor=|  not=!

 绕过注释符号## （#，--(后面跟一个空格））过滤

 使用注释符绕过

 使用大小写绕过

 内联注释绕过

 双关键字绕过

 通用绕过（编码）

 等价函数绕过 ## sleep() ==>benchmark() | concat_ws()==>group_concat() | mid()、substr() ==> substring()

waf 绕过

## 单独说过了

83 为什么要使用or 1=1来测试

## 这是进行sql注入的万能语句，获取所有的数据，可以认为拼接一个永真条件来获取所有数据

84 盲注了解什么

## 这是针对没有回显的情况下来获取数据的方法

布尔型盲注：## 用来获取数据的，一步步进行猜表名，常用函数length(),ascii() ,substr()这三个函数

时间型盲注：## sleep(),猜对了会有延迟，没猜对直接返回，没有延时，通过有无延时来猜数据，常用函数

if(),sleep()函数，benchmark()--可以多次执行SQL语句。

85 基于时间型盲注的函数有哪些？ 

if(),sleep()函数，benchmark()-- 可以多次执行SQL语句

86 宽字节是怎么注入的？怎么判断是不是gbk编码？

宽字节是怎么注入的？

## 针对的是后台数据为GBK编码时，并且后台使用了反斜杠\对引号的转译时使用

%df' or 1=1#

%df\' or 1=1#

%df%5c' or 1=1#

運' or 1=1# 吃掉\，让单引号生效

怎么判断是不是GBK编码？

## 对于Windows中文版来说，本地编码就是GBK编码。

## 查看数据头的字节

## 当以UTF16或UTF-8编码存储时，头部需要添加几个字节作为标识。称为 BOM

87 GBK和utf-8的区别

## GBK是中文编码字符集，是GB2312的升级版，主要是为了存储中文字符，存储单个中文和英文字母，都是固定的2个字节长度

## utf-8他是一种全球通用的字符集，可变长度，长度在1-4个字符，英文字母一个字节存储，中文是三个字节存储，支持所有国家的语言，市面上utf-8编码的项目居多

88 sql注入报错注入常用函数，说一下函数报错，知道几个报错函数？常用的有哪几个? 

## 有十几个，但我常用的就是updatexml(),floor(),extractvalue()

89 等号和单引号被过滤，怎么绕过？

## 对等号或者单引号进行URL编码、base64编码，或者使用联合查询、或者将=替换为in关键字试一试

## 针对单引号可以使用宽字节注入试一试

90 sql注入getshell，有哪些方式？

一. into outfile

1. 此方法利用的先决条件

  ## web目录具有写权限，能够使用单引号

  ## 知道网站绝对路径（根目录，或则是根目录往下的目录都行）

  ## secure_file_priv没有具体值（在mysql/my.ini中查看）

2. secure_file_priv

## secure_file_priv是用来限制load dumpfile、into outfile、load_file()函数在哪个目录下拥有上传和读取文件的权限。在mysql 5.6.34版本以后 secure_file_priv的值默认为NULL。如下关于

secure_file_priv的配置介绍

## secure_file_priv的值为null ，表示限制mysqld 不允许导入|导出

## 当secure_file_priv的值为/tmp/ ，表示限制mysqld 的导入|导出只能发生在/tmp/目录下

## 当secure_file_priv的值没有具体值时，表示不对mysqld 的导入|导出做限制

二. --os-shell

原理

--os-shell就是使用udf提权获取WebShell。也是通过into oufile向服务器写入两个文件，一个可以直接执行系统命令，一个进行上传文件

利用条件

## root权限

## 知道网站的绝对路径

## GPC 关闭

## secure_file_priv 参数为空或者指定路径

原理：

## 先对目标进行一个基础信息探测，然后上传shell到目标web网站上，利用shell传参进行命令执

行，退出删除shell

## 数据库不同，条件也不同，例如SQLserver需要数据库支持外连，数据库权限为SA权限，主要利用XP_CMDshell扩展进行命令执行sql