学一点点渗透测试–信息收集

1、主机发现

nmap常用命令：

扫描方式：

文件保存：

选项	解释
-oN	标准保存
-oX	XML保存
-oG	Grep保存
-oA	保存到所有格式
-append-output	补充保存文件

常用扫描：

Intense scan	(nmap -T4 -A -v)	一般来说，Intense scan可以满足一般扫描
	-T4	加快执行速度
	-A	操作系统及版本探测
	-v	显示详细的输出
Intense scan plus UDP	(nmap -sS -sU -T4 -A -v)	即UDP扫描
	-sS	TCP SYN 扫描
	-sU	UDP 扫描
Intense scan,all TCP ports	(nmap -p 1-65536 -T4 -A -v)	扫描所有TCP端口，范围在1-65535，试图扫描所有端口的开放情况，速度比较慢。
	-p	指定端口扫描范围
Intense scan,no ping	(nmap -T4 -A -v -Pn)	非ping扫描
	-Pn	非ping扫描
Ping scan	(nmap -sn)	Ping 扫描优点：速度快。缺点：容易被防火墙屏蔽，导致无扫描结果
	-sn	ping扫描
Quick scan	(nmap -T4 -F)	快速的扫描
	-F	快速模式。
Quick scan plus	(nmap -sV -T4 -O -F --version-light)	快速扫描加强模式
	-sV	探测端口及版本服务信息。
	-O	开启OS检测
	–version-light	设定侦测等级为2。
Quick traceroute	(nmap -sn --traceroute)	路由跟踪
	-sn Ping	扫描，关闭端口扫描
	-traceroute	显示本机到目标的路由跃点。
Regular scan	规则扫描
Slow comprehensive scan	(nmap -sS -sU -T4 -A -v -PE -PP -PS80,443,-PA3389,PU40125 -PY -g 53 --script all)	慢速全面扫描。
	-sN/sF/sX:	指定使用TCP Null, FIN, and Xmas scans秘密扫描方式来协助探测对方的TCP端口状态。
	–scanflags	定制TCP包的flags。
	-sY/sZ	使用SCTP INIT/COOKIE-ECHO来扫描SCTP协议端口的开放的情况。
	-sI	<zombiehost[:probeport]>: 指定使用idle scan方式来扫描目标主机（前提需要找到合适的zombie host）
	-b	使用FTP bounce scan扫描方式 。
	-iL	如果有一个ip地址表，将保存为一个txt文件，和nmap在同一目录下，扫描这个txt的所有主机。
	–host-timeout	主机超时时间，通常选值：18000
	–scan-delay	报文时间间隔，通常选值：1000
	-S	定义扫描源地址，为了不被发现

Nmap扫描技巧：

通用参数：

• nmap --script=vuln 192.168.0.1
• nmap --script=smb-vuln-ms17-010 192.168.0.1

其他工具

masscan

nbscan

hping3

2、关联信息生成

在渗透前期工作开展前，需要对目标的各种信息分析，拆分，组合。

生成攻击字典

pydictor：

下载 ==> [email protected]:~# git clone https://github.com/LandGrey/pydictor

使用 ==> python pydictor.py --sedb

用法：

https://github.com/LandGrey/pydictor/blob/master/docs/doc/usage.md

3、开放漏洞情报

常用网站

• CVE

  • http://www.cnnvd.org.cn/web/bulletin/bulletinById.tag?mkid=158

    http://cve.scap.org.cn/

    http://cve.scap.org.cn/

• Exploit-DB

  • searchsploit -t windows local
  • searchsploit -t apache

• CX Security

  • https://cxsecurity.com/

• CNVD

  • https://www.cnvd.org.cn/

• securitytracker

  • https://www.securitytracker.com/

4、开源情报收集信息（osint）

搜索引擎语法

• 谷歌
• 百度
• 必应

在线接口

相关工具

DNS历史记录解析

http://tools.bugscaner.com/historydns.html

5、github hacking

6、Google hacking

通配符：

通配符	语义	说明	实例
+	包含关键字	+前面必须要有一个空格	admin +login
-	排除关键字	-前面必须要有一个空格	mysql -****
~	同义词	~前面必须要有一个空格	mysql ~****
*	模糊查询	*代替任意字符	mysql**
“”	强调	-	“mysql”

高级语法：

语法	语义
intitle	包含标题
intext	包含内容
filetype	文件类型
info	基本信息
site	指定某个网站
inurl	包含某个url
link	包含指定连接的网页
cache	显示页面的缓存版本
numberange	搜索一个数字

例如：

• inurl: /admin、 intext: 后台管理系统
• intitle: “index of/”
• intitle: index of / admin
• site: “some-keywords.com” intitle: login intext: intext: 管理|后台|登录|用户名|密码|验证码|系统|账号|manage|admin|login|system
• site: “some-keywords.com” intext: index of / | …/ | Parent Directory

7、git-all-secret

功能描述：

开源工具：

truffleHog

repo-supervisor

8、mailsniper.psl获取outlook所有人联系

0x01

0x02

9、内网渗透信息收集

0x01 Windows（工作组和域）

命令行	效果
whoami /user && whoami /priv	检查当前shell权限
systeminfo	查看系统信息
netstat -ano	tcp/udp网络连接信息
hostname	机器名
wmic OS get Caption, CSDVersion, OSArchitecture, Version	查看当前操作系统
WMIC /Node:localhost /Namespace:\root\SecurityCenter2 Path AntiVirusProduct Get displayName /Format:List	查看杀软
wmic product get name, version	查看当前安装的程序
quser	查看当前在线的用户
ipconfig /all	查看当前网络配置
tasklist /v	查看进程
net config workstation	查看当前登录域
cmdkey /l	远程桌面连接历史记录
net user	查看本机上的用户列表账号
net user xxx	查看详细信息
net user /domain	显示所在域的用户名单
net user 域用户 /domain	获取某个域用户的详细信息
net user /domain username password	修改域用户密码
net group “domain admins” /domain	获取域管理员列表
net group “domain controllers” /domain	查看域控制器
net group “domain computers” domain	查看主机域
net group /domain	查询域里面的工作组
net localgroup administrators	本机管理员
net localgroup administrators /domain	登录本机的域管理员
net localgroup administrators workgroup\username /add	域用户添加到本届
net view	查看同一域内机器列表
net view \ \ip	查看某ip共享
net view \ \name	查看某计算机的共享资源列表
net view /domain	查看内网存在多少个域
net view /domian:name	查看某域中的机器列表
net accounts /domain	查询域用户密码过期等信息

0x02 Linux

命令	用途
whoami	查看当前权限
ifconfig	查看网卡配置
netstat -anpt	查看端口状态
ps -ef	查看进程状态
cat /root/.bash_history	查看历史命令
find / -name *.cfg	查看配置文件

10、后渗透信息收集之wmic令名的一些使用方法

WMI命令行（WMIC）实用程序为WMI提供了命令行界面。

命令	用法
wmic /?	查看白CMIC命令的全局选项
process /?	进程管理的帮助
wmic process get /?	属性获取操作帮助
wmic process get caption,executablepath,processid	获取当前正在运行的进程、进程id
wmic product get name	系统安装软件情况
wmic environment get Description, VariableValue	系统环境变量
Get -Wmiobject -list	自己的Windows计算机支持哪些可用的WMI类
Get -WmiObject	获取进程
Get-WmiObject Win32_Process	在本地计算机上获取进程

11、内网横向常见端口

Windows常见端口：

• Port: 445

  • SMB（Server Message Block）Windows协议簇，主要功能为文件打印共享，简单来讲就是共享文件夹。

  • MS17-010 ==> 简历IPC服务（）

  • 连接命令

    net use \ \192.168.1.1

    net use \ \192.168.1.1 /user:a\username password ==> a/username 中a为工作组情况下的机器命名，可以为任意字符，例如workgroup/username

    net use \192.168.1.1 /user:test\username password ==> 域test.local远程认证

• Port: 137、138、139

  NetBios端口，137、138为UDP端口，主要用于内网传输文件，而NetBios/SMB服务主要是通过139端口的。

• Port: 88

  • kerberos服务，属于TCP/IP协议，主要任务是监听KDC的票据请求，该协议在渗透过程中可以进行黄金票据和白银票据伪造，以横向扩展某些服务。

• Port: 53

  DNS服务端口，主要提供域名解析服务，该端口在渗透过程中可以寻找一下DNS域传送漏洞，在内网中可以使用DNS协议进行通信传输，隐藏性更加好。

  • dns隧道之dns2tcp
  • dns隧道之dnscat2

• Port: 389

  • LADP（轻量级目录访问目录），属于TCP/IP协议，一般在域控上出现该端口，进行权限认证服务，可以尝试使用LADP端口进行**。
  • 工具：hydra、等开源项目

• Port: 5985

  • WinRM服务，是Windows对WS-Management的实现，WinRM允许远程用户使用工具和脚本对Windows服务器进行管理并获取数据。并且WinRM服务自Windows Vista开始成为Windows的默认组件。

MySQL常见端口：

mysql的默认端口是3306

sqlserver默认端口号为：1433

oracle 默认端口号为：1521

DB2 默认端口号为：5000

PostgreSQL默认端口号为：5432

TTL值对应的操作系统：

1、WINDOWS NT/2000 TTL：128

2、WINDOWS 95/98 TTL：32

3、UNIX TTL：255

4、LINUX TTL：64