【SRC思路】自动化挖SRC赏金

admin 2022年10月2日14:34:47评论129 views字数 1479阅读4分55秒阅读模式

【SRC思路】自动化挖SRC赏金

前言:

本思路针对目标进行资产收集后,进行Rad+Burp+Xray联动自动化挖掘SRC漏洞,人在床上躺,钱从天上来。

正文:

使用fofa采集工具批量采集目标站点。有fofa会员的小友们使用什么收集工具无所谓,没有的去找别人借,或者手动收集【SRC思路】自动化挖SRC赏金

【SRC思路】自动化挖SRC赏金
项目地址:https://github.com/uknowsec/Fofa-gui
小友们处理TXT【SRC思路】自动化挖SRC赏金

【SRC思路】自动化挖SRC赏金

使用批量识别权重脚本识别权重,360众包规则是除了edu和gov以外的站点都需要达到百度权重>2或移动权重>2才收录

【SRC思路】自动化挖SRC赏金

小友们想办法把权重>2的站点处理出来,现在这个脚本好像还没支持【SRC思路】自动化挖SRC赏金

再去采取子域名,使用httpx工具进行存活验证。采取子域名请点击看此文章
项目地址:https://github.com/projectdiscovery/httpx

【SRC思路】自动化挖SRC赏金


-l 域名文件地址 
-o 结果输出为
./httpx -l 1.txt -o 2.txt

经过处理好的url扔进rad里面【SRC思路】自动化挖SRC赏金
下载Rad编辑好config文件。

项目地址:https://github.com/chaitin/rad
但是rad只能是一个一个url的去输入,可以编写一个脚本去调用rad批量爬取
小友们自己改一下或者自己去找一下其他的脚本。
import os
import threading
import queue

def zid(wenjian):

  words = queue.Queue()

  with open(wenjian) as txt:
    for i in txt:
      i = i.strip()
      words.put(i)

  return words

def zhix(zidian):
  whin True:
    if zidian.empty():
      return
    else:
      i = zidian.get()
      i = i.strip()
      ml = ".rad.exe -t "+i+" --http-proxy 127.0.0.1:8080"
      os.system(ml)

def main():
  zd = zid("1.txt")
  threads = []
  for i in range(1):
    t = threading.Thread(target=zhix,args=(zd,))
    threads.append(t)
    t.start()
  for t in threads:
    t.join()
  print("扫描结束!")

if __name__=="__main__":
  main()
-http-proxy 127.0.0.1:8080
Rad爬取的流量转发到Burp监控的8080端口,再由Burp设置上有代理,把包转发到Xray监控的7777端口。在Burp中安装多一点专门检测漏洞的插件,如敏感信息抓取、shiro、Thinkphp、未授权等。
自动化的原理

【SRC思路】自动化挖SRC赏金

配置Burp上游代理
打开User options模块—Upstream Proxy Servers设置上有代理
Add添加127.0.0.1:7777

【SRC思路】自动化挖SRC赏金


Xray开启监听7777端口

webscan --listen 127.0.0.1:7777 --html-output Cubs.html

然后自动化开跑,睡几天估计就出货了,有洞就交360众包亿万守护计划

填写邀请码m2i1R8,可增加50%漏洞审核通过率【SRC思路】自动化挖SRC赏金

【SRC思路】自动化挖SRC赏金权重批量识别脚本,关注公众私信“批量权重”获取下载地址   

   


    

原文始发于微信公众号(Cubs i安全):【SRC思路】自动化挖SRC赏金

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年10月2日14:34:47
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【SRC思路】自动化挖SRC赏金http://cn-sec.com/archives/1329506.html

发表评论

匿名网友 填写信息