专栏首页卓文见识个人渗透测试思路(cheatsheets)及技巧全汇总

个人渗透测试思路(cheatsheets)及技巧全汇总

1、概述

大多数渗透人员在对一个系统做渗透测试的时候,最大的痛点是无法获得一个全面的测试思路和流程,以至于遗漏真正存在的漏洞或在不存在漏洞的点上浪费太多时间。

实际上渗透技能的研习是一个持续更新的过程,对于每个漏洞的理解程度不同,测试结果会有很大差距。要做的就是对每个漏洞都形成自己的一个印象库和姿势库:漏洞的形成本质、有几种可能的发生场景、有哪些防护是可以绕过的等等。清楚自己当下的测试水准,界限好水平在哪里,以一个漏洞开始挖深挖全,随着自己挖掘经验的积累和阅读其他人的Writeup/Blog,对每个漏洞的心得会从0到1,从1到100,逐渐形成自己独特的知识储备和渗透技能树,比如讲到JWT:

2、渗透思路

篇幅有限,这里只涉及企业级内网手工渗透测试,即在手握web环境信息及测试账号前提下的渗透测试,不涉及挖掘现网环境/挖掘SRC漏洞/现网攻击等情形。区别在于后者多了一个很重要的信息探测过程(网络空间/搜索引擎、子域挖掘、IP段/版本号等)和WAF绕过、后攻击过程,另开专题讲解。

对于渗透思路,个人总结的主要有两条主线,即:

1、按系统功能:每个功能(如查询)可能存在的漏洞;

2、按漏洞类型:先前总结的漏洞可能出现的场景,一一对应;

举个例子,按思路1,发现web系统存在上传文件功能,则可尝试的思路就有:直接上传脚本、绕过校验、畸形后缀、文件名XSS、上传HTML/svg进行HTMLi、上传xlsx、docx进行XXE、上传超大文件进行DOS、跨目录上传/解压等,这是看到上传功能就应该出现的渗透思路,通过探测过程猜测出后台代码逻辑是最好的。

另一种,思路2,对着CheckList回找功能,比如看到下面CheckList中第四项重定向漏洞,便可以遍历系统功能或查看Burp Suite的history页签,筛选出302状态码和存在url跳转参数的包,进行探测、绕过等等。

3、漏洞范围:

1)官方漏洞

确定自己漏洞库的范围,最权威的当属OWASP top10,最新漏洞列表为:

2)个人漏洞CheckList

个人在测试过程总结的Checklist,具体测试思路点后续可能补充,大部分都在之前的漏洞系列中详细讲解,点击传送。

前端漏洞:

1、 XSS(HTML、css注入)

2、 CSRF

3、 CORS配置不当

4、 ClickJacking

后端漏洞:

1、 SQL注入

2、 XXE注入

3、 文件上传/下载/包含

4、 开放重定向

5、 会话攻击

6、 DOS攻击

7、 反序列化

8、 命令注入

9、 第三方组件安全(CVE)

10、敏感信息泄露

11、SSRF

12、CRLF

13、web缓存欺骗

14、json劫持

15、SSTI

16、越权漏洞(IDOR)

17、账户劫持ATO

18、DDE注入

19、条件竞争

20、命令OS注入

21、参数污染

22、其他注入(LDAP、表达式、RCE)

23、目录遍历

24、业务逻辑漏洞

25、安全设计问题

26、服务器配置不当

对于每种漏洞,应该在看到漏洞名字或类型时,应该展现出对于这个漏洞的全景图。

4、Payload及案例汇总

1)https://github.com/Voorivex/pentest-guide

包含了各漏洞的原理及典型案例:

2)https://github.com/swisskyrepo/PayloadsAllTheThings

主要集合各漏洞的攻击、绕过方法和对应payload,姿势较齐全:

3)https://github.com/OWASP/CheatSheetSeries/tree/master/cheatsheets

OWASP对于各漏洞的cheatsheets,补充了几个维度的漏洞:

4)https://github.com/1N3/IntruderPayloads/tree/master/FuzzLists

对各漏洞FUZZ的攻击payloads,可作为速查表:

5、一个小TIP

纯手工挖掘漏洞时使用的核心工具是Burp Suite,有时候使用一些扩展就可能得到意外收获,实战中比较好用的几个Exrtender:

依靠自动化手段可能发现一些特征不明显的漏洞:

此外,储备一些特定功能的脚本对于提升挖掘效率也有大帮助,多看多学多总结。

本文分享自微信公众号 - 卓文见识(zhuowenjianshi),作者:Jayway

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2019-08-20

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 条件竞争(Race condition)漏洞挖掘技巧及实战案例全汇总

    条件竞争漏洞(Race condition)官方概念是“发生在多个线程同时访问同一个共享代码、变量、文件等没有进行锁操作或者同步操作的场景中。” 这个漏洞存在于...

    Jayway
  • RFD(反射型文件下载)漏洞原理及实战案例全汇总

    RFD,即Reflected File Download反射型文件下载漏洞,是一个2014年来自BlackHat的漏洞。这个漏洞在原理上类似XSS,在危害上类似...

    Jayway
  • 账户接管(Account Takeover)漏洞挖掘及实战案例全汇总

    身份验证(Authentication):验证某人是特定用户,是否正确提供其安全凭据(密码,安全问题答案,指纹扫描等)。

    Jayway
  • Android 0day收购价高达250万美金,首次反超iOS

    近日,漏洞收购商Zerodium更新了安卓和iOS的0day漏洞收购价,发现自2015年公司成立以来,安卓0day漏洞价格首次高于iOS漏洞价格。

    FB客服
  • 四种简单的漏洞获取webshell解析

        很多新手对一些漏洞还有很多不懂,什么情况下用什么漏洞,什么情况下不能用这个漏洞,我自己的见解也不太深。正因如此,我才会想到一些菜鸟才会想到的问题,然后去...

    phith0n
  • 高通DSP芯片被曝6个漏洞事件引发的安全危机猜想

    近日,国外知名安全研究机构Check Point发现,高通骁龙系列芯片的数字信号处理芯片(DSP)中存在大量漏洞,总数多达400多。研究人员表示,由于易受攻击的...

    腾讯安全
  • 初识弱点扫描

    这个数据库是OffensiveSecurity 维护的,收集了大量的意已知漏洞的PoC 和 Exp,也是我们查找漏洞利用代码的主要途径之一

    意大利的猫
  • 【漏洞治理】漏洞调研报告(非完整版)

    “ 在大型网络安全攻防活动前夕,互联网上又出现不少漏洞治理相关文章,部分微信群也纷纷进行热议。关于漏洞的治理,仍旧是网安行业经久不衰的话题。”

    aerfa
  • 企业漏洞管理的4大误区

    根据IBM的2019年数据泄露成本报告,美国数据泄露的平均成本为819万美元。公司平均需要206天才能识别出泄露,尝试解决这些问题则平均需要38天。

    FB客服
  • 鉴谈漏洞利用

    前言本来不想讲这个事情,但是因为很多小白对这方面可能不太了解,所以讲一讲,关于鉴定网络上流传漏洞poc或exp的方法,原因是这二天关于cve-2019-0708...

    周俊辉

扫码关注云+社区

领取腾讯云代金券