几次护网小结之红队打点及小技巧

微信公众号：[白昼信安]
弱小和无知不是生存的障碍，傲慢才是！
[如果你觉得文章对你有帮助，欢迎点赞]

好久不见各位大佬们，断更也有小半年了，公司上半年项目太多，导致没有学到啥东西，也没有太多好思路分享，最近因为公司一直举办省内的市级hvv也看到了很多大佬们的操作，所以这里以上帝视角来总结一下这几次hvv中出现的好思路和好打法(仅做研究学习，切勿用作违法用途)。

内容目录

1、红队篇打点的艺术(1) fofa 、hunter等空间搜索引擎 + 衍生关键词(2) (子域名C段漏洞探测目录扫描 工具推荐)(3) 公众号小程序信息收集(4) 爱企查等反查备案信息(5) 报错页面的信息(案例说明)(6) 不弱的弱口令
(7) 历史nday漏洞
(8) 百度谷歌收集邮箱
(9) 关注指导说明文档(案例说明)(10) 8848端口   其他小思路      (1) web转战APP(案例说明)
     （2）关注返回包(案例说明)

1、红队篇

这里将前期打点说做是一门艺术确实不为过，有些师傅总是可以用一些奇思妙想方式完成打点，收获颇多的口子，像我这种菜鸡，找不到口子，和坐牢没有任何区别，只想着啥时候吃饭，所以下面就简单总结一些常见的打点思路和方式。

这个想必是大家一定会用到的，拿到资产根据关键词搞一波。
例如:body="某健委" 、 title="某健委"等
这些都是简单的基本操作，下一步，可以对这些关键词进行衍生联想。
例如通过某健委这个主单位联想可能存在的系统，然后将这些关键词继续代入空间搜索引擎中进行搜索。

此外，hunter的icp备案查询和零零的所属单位查询同样也是两个好帮手。

icp.name=="目标单位名"



(company=目标单位名)






当然有些所属于该单位的资产并明显关键词特征，且备案信息为第三方开发公司，那么就要用其他方法继续收集信息了。
(2)、(子域名C段漏洞探测目录扫描 工具推荐)
这几个也是我们刚刚接触渗透时就学到的东西，所以这边不多解释，只是推荐几个师傅们觉得不错的工具。
子域名扫描工具:ksubdomain,可配合subfinder，httpx等工具，同时进行，达到收集域名，验证域名，http验证存活目的。(github上该工具有介绍)



C段扫描工具:fscan + netspy 
fscan就不用多说了，相信大家都用过，不过在内网扫描的时候，建议加上-nobr -nopoc参数，先进行web探测即可，不进行爆破和poc测试，防止流量检测设备直接拉闸，此外对于fscan免杀来说，有能力的大佬可以进行重写，如果暂时还没有，可以使用fscan的老版本，最开始的几个老版本均是免杀的，没啥问题。
netspy 这个工具也是我最近发现的，它可以有效的进行内网探测以及c段扫描，例如我们将流量带出来后想看看该主机到底通那几个网段，可以直接使用这个工具netspy is自动探测192，172，10三个网段，此外还可以指定其他网段进行探测，以及多种协议探测C段等。





地址:https://github.com/shmilylty/netspy



漏洞探测
afrog 这个可以算是漏洞探测的好帮手了，内置大量指纹+poc，基本常见的指纹及其高中危漏洞均有,同样也可以指定某poc进行扫描，可以配合子域名 + c段扫描工具将输出的url交给afrog进行处理。





地址:https://github.com/zan8in/afrog



nuclei 这个工具我相信经常批量挖src的师傅们非常熟悉，海量的poc和快速扫描等特点让他在github上获得了13.2k的收藏，而且poc书写规则方便，平时国内出的漏洞很多大佬也开始用nuclei的模板书写，所以可以将别人写好的poc直接加到文件夹中，非常方便。
配合收集好的域名+IP等信息进行扫描，也是非常简便舒服的。





地址:https://github.com/projectdiscovery/nuclei



目录扫描
ffuf 目录扫描除了dirsecah等，我自己常用的还有ffuf，配合一个好点的字典，给我扫描带来了不少的惊喜。(字典我比较喜欢kali中自带的那几个目录字典)





地址:https://github.com/ffuf/ffuf

dirsearch加强版  最近看到有师傅对dirsearch做了加强，增加了js爬取和403绕过，只需要一个参数即可调用，还是很方便的。





地址: https://github.com/lemonlove7/dirsearch_bypass403



(3) 公众号小程序信息收集
现在很多企业为了方便，在公众号和小程序中也是嵌入了很多网页和其他接口，方便他人的同时也方便了我们收集目标信息。
在这次hvv中，某攻击队对某医院进行信息收集时，发现外网并无太多资产，于是从小程序入手，通过下载小程序源码，翻找js，找到某上次接口，成功拿到shell，然后突破两层内网，到达核心业务段，拿到his数据库，该目标单位直接出局。
所以现在的小程序和公众号接口也是一块信息收集的香饽饽，对于小程序源码的解密可以看看这篇文章，内容和工具也是非常详细。





地址:https://www.52pojie.cn/thread-1708787-1-1.html

抓包工具的话除了常用的burp，我还是推荐sunny抓包工具，一键抓取雷电和微信的流量，谁用谁知道。



(4) 爱企查等反查备案信息
通过输入企业名，查看知识产权等栏目，查看网站备案，软著信息等，收集目标信息。




【咋感觉回到了挖cnvd的时候，哈哈】
此外还可以通过icp备案信息查找，和鹰图的icp查询类型。




此外，这里还有一个工具推荐Enscan，配置好cookie等信息后，可以通过关键词，一键化收集企业信息。

在平时渗透中，我们应该也可以看到很多没有关dbug的网站，很多报错信息会带给我们一些方向和思路，这边搞一个hvv中的实例，来学习一下。
这是一个Django的网站，通过添加不存在路径使其报错，然后出现dbug报错页面。

发现其中有个/user/info/的路径，通过猜测可能为用户id值，通过爆破后发现存在越权，发现id为18、28等时出现用户信息。

这样就成功获得到了该网站部分用户的账号密码信息，后续通过登录，上传等手段也是进入了该企业的内网。