跳转至

互联网边界打点

边界资产收集

Whois 聚合数据

微步在线:https://x.threatbook.cn/

集团结构

天眼查、爱企查等,查询目标企业的组织架构,一级单位、二级单位(对外投资)。

根据目标的组织架构,收集目标的一级域名(ICP备案反查、whois反查)和邮箱资产

子域名

在线收集

FOFA: domain="baidu.com"

Rapiddns: https://rapiddns.io/subdomain

字典爆破:https://phpinfo.me/domain/

CDN绕过(IP资产收集)

确认CDN

多地ping: https://tools.ipip.net/httphead.php

nslookup -qt=A xxx.com
#带cache或者其它别名还有返回多IP的都是有CDN

绕过CDN

FOFA:

title="网站名称"
cert="一级域名"
icon_hash="251555155"

asn="12345"
#如果找到了一个非IDC资产的目标IP,可以配合ASN码查找IP资产

注册查看邮件原文

通过ping查找到的子域名辅助查找真实IP

C段/旁站

C段(会有较大偏差)

FOFA直接搜(ip="x.x.x.x/24"

旁站查询(IP反查域名)

FOFA搜IP查域名:ip="x.x.x.x"

https://site.ip138.com/

https://rapiddns.io/sameip11

https://tools.ipip.net/ipdomain.php

SRC 漏洞库

拿到子域的一些资产可以查找已公开漏洞

乌云镜像:https://wooyun.x10sec.org/

Web指纹(网站架构)

OA协同办公、服务器中间件、CMS框架、脚本语言

相关工具:wappalyzer

通过识别到的指纹信息搜索相关应用是否存在漏洞

目录扫描

网站通过Robots协议告诉搜索引擎哪些页面可以抓取,哪些页面不能抓取,可能存在一些敏感路径

可以发现备份文件、测试文件、源码泄露、网站后台...

https://github.com/maurosoria/dirsearch

python3 dirsearch.py -u <URL> -e *

--http-proxy=localhost:1080     #使用代理(也可以在配置文件设置)

JS敏感API接口

发现未授权访问的文件上传等接口

1、jsfinder(发现API接口):https://github.com/Threezh1/JSFinder

python JSFinder.py -d -u http://www.mi.com

2、网页源码搜索location.href跳转

端口服务扫描

对`常见高危端口进行扫描

常见端口服务渗透

端口号 端口说明 渗透思路
21/69 FTP/TFTP:文件传输协议 爆破、匿名访问
22 SSH:远程连接 用户名枚举、爆破
23 Telnet:远程连接 爆破
53 DNS:域名系统 DNS域传送\DNS缓存投毒\DNS欺骗\利用DNS隧道技术刺透防火墙
389 LDAP 未授权访问(通过LdapBrowser工具直接连入)
445 SMB服务 爆破、ms17_010远程代码执行
873 rsync服务 未授权访问
1090/1099 Java-rmi JAVA反序列化远程命令执行漏洞
1433 MSSQL SQL注入、SA弱口令爆破
1521 Oracle SQL注入、TNS爆破
2049 NFS 配置不当
2181 ZooKeeper服务 未授权访问
3306 MySQL 注入、爆破、Web目录写shell
3389 RDP 爆破、CVE-2019-0708远程代码执行
4848 GlassFish控制台 爆破:控制台弱口令、认证绕过
5900 VNC 爆破弱口令、认证绕过
6379 Redis 未授权访问、爆破弱口令
7001 WebLogic中间件 反序列化、控制台弱口令+部署war包
9043 WebSphere控制台 控制台弱口令https://:9043/ibm/console/logon.jsp、远程代码执行
9200/9300 Elasticsearch服务 远程代码执行
11211 Memcache 未授权访问(nc -vv 目标 IP 11211)
27017 MongoDB 未授权访问、爆破弱口令
50000 SAP 远程代码执行
50070 hadoop 未授权访问

Web端口:

80,81,82,443,5000,7001,7010,7100,7547,7777,7801,8000,8001,8002,8003,8005,8009,8010,8011,8060,8069,8070,8080,8081,8082,8083,8085,8086,8087,8088,8089,8090,8091,8161,8443,8880,8888,8970,8989,9000,9001,9002,9043,9090,9200,9300,9443,9898,9900,9998,10002,50000,50070

服务器:

21,22,445,3389,5900

数据库:

1433,1521,3306,6379,11211,27017

互联网敏感信息收集

邮箱发现

1、网站官网页面
2、爱企查等批量查询
3、https://hunter.io

然后使用SNETCracker爆破SMTP和POP3

源码发现

1、Github
2、Gitee

可能有些源码中会存在账号信息

文档发现

百度文库:https://wenku.baidu.com

原创力文档:https://max.book118.com

凌风云:https://wenku.lingfengyun.com

账号信息

搜索引擎:Google、百度

百度贴吧

天涯论坛

边界入口打点

一、弱口令+文件上传

事实证明弱口令还是存在很多的,大多是一些正在开发测试的站点

弱口令进去后台,找文件上传点Getshell

Web后台:admin、123456、111111、admin@123、654321、000000、qazwsx

二、高危组件

Shiro反序列化(jsp写的登录框)
Weblogic反序列化(T3和IIOP协议反序列化导致的代码执行)
Struts2命令执行(很少见了-重点关注016、045和046)

三、OA办公平台

致远OA(Seeyon)
通达OA(Tongda)
泛微OA(Weaver)
蓝凌OA(Landray)

RCE、文件上传、SQL注入等历史漏洞

四、SQL注入

SQL注入解出密码进后台或者直接shell

高校类的站点有很多Asp和PHP的网站,在登录、注册、查询功能处存在SQL注入漏洞可能性较大。

五、VPN & 邮箱

通过信息收集和社工的方式获取目标的VPN账号,直接到内网
注意收集目标邮箱,尝试破解进去一个,可以获得大量资料,或者精准邮件钓鱼