渗透测试全流程思路与方法总结

（1）IIS 常见漏洞

低版本 IIS 常见漏洞有：

• 文件解析漏洞：文件名为 *.asp;.jsp。
• 目录解析漏洞：文件夹名为 *.asp，则该文件夹下所有文件会被解析为 asp 文件。
• 默认可执行后缀：IIS6.0 默认可执行 *.asa, *.cer, *.cdx。
• 畸形解析漏洞：IIS7.0/IIS7.5/Nginx<8.03 存在畸形解析漏洞。
  • 正常后缀加 /*.php，如：xxx.com/upload/1.jpg/1.php。
  • *.php.123.234 或 *.php.123;*.php.jpg..jps，以此类推直到解析为 php, asp, aspx。
  • 建议多尝试几次 IIS6.0 的解析漏洞，部分环境仍可行。

（2）Apache 常见漏洞

低版本 Apache 常见漏洞有：

• 从右往左判断解析：如 *.php.rar.jpg.png，把常见后缀都写上去直到解析为止。
• 伪后缀解析：*.php 改为 *.php1, *.php2, *.php3, *.php4 等，以此类推直到解析为止。

5. Google Hacker

Google 搜索引擎是强大的信息收集工具：

• site: 搜索特定服务器或域名的页面。
• filetype: 搜索特定后缀的文件。
• link: 包含指定网页链接的网页。
• inanchor: 寻找链接的锚点。
• cache: 显示页面的缓存版本。
• numberange: 搜索一个数字范围。
• daterange: 搜索特定日期范围内发布的页。

示例：

site:xxxxx.com
intitle:index.of site:xxxxx.com
intitle:login 
intext:版权信息
inurl:php?id=
filetype:mdb inurl:xxxxx.com
link:xxxxx.com
filetype:log inurl:log # 日志查找

6. 敏感目录扫描

查找敏感信息、网站后台、源码或数据库备份文件，以便进一步渗透：

/robots.txt
/admin.php
/admin_login.php
/admin/login.php
/user_login.php
/upload.php
/up2.php
/phpmyadmin
/dede
/www.rar
/wwwroot.rar
/备份.rar
/*.sql
/.git
/.svn

针对 PHP 环境，可使用以下 Payload 探测（本地测试 5.5 以下版本）：

/?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000   (PHP 信息列表)
/?=PHPE9568F34-D428-11d2-A769-00AA001ACF42   (PHP 的 LOGO)
/?=PHPE9568F35-D428-11d2-A769-00AA001ACF42   (Zend LOGO)
/?=PHPE9568F36-D428-11d2-A769-00AA001ACF42   (PHP LOGO 蓝色大象)

官方声明这不是安全漏洞，可通过在 php.ini 中设置 expose_php = Off 关闭。

7. 查询 CMS

确定网站的 CMS 及版本信息有助于查找 0day 进行攻击。如果开源可进行白盒测试，否则只能黑盒测试。

• 门户：地方门户 (DZ, PHPCMS...)，小型企业门户 (xiaocms...)
• 论坛：国内论坛 (dede, DZ, winphp, 帝国...)
• 博客：wordpress, Zblog, typecho, emlog...
• 商场：ecshop...

CMS 往往存在较多漏洞，需重点关注。

8. 端口扫描

使用 Nmap 等神器对服务器进行端口扫描，查询其开放的服务。

Zookeeper 常用命令：

echo envi | nc 127.0.0.1 2181   # 输出关于服务环境的详细信息
echo conf | nc 127.0.0.1 2181  # 输出相关服务配置的详细信息
echo stat | nc 127.0.0.1 2181  # 查看哪个节点被选为 follower 或 leader
echo ruok | nc 127.0.0.1 2181  # 测试是否启动，回复 imok 表示已启动
echo dump | nc 127.0.0.1 2181  # 列出未经处理的会话和临时节点
echo kill | nc 127.0.0.1 2181  # 关掉 server
echo cons | nc 127.0.0.1 2181  # 列出所有连接到服务器的客户端连接/会话详情
echo reqs | nc 127.0.0.1 2181  # 列出未经处理的请求
echo wchs | nc 127.0.0.1 2181  # 列出服务器 watch 的详细信息
echo wchc | nc 127.0.0.1 2181  # 通过 session 列出服务器 watch 的详细信息
echo wchp | nc 127.0.0.1 2181  # 通过路径列出服务器 watch 的详细信息

9. 域名爆破

主要是二级/三级域名爆破，用于扩展渗透的范围。

10. C 段检测

使用 Fofa 等搜索引擎进行 C 段检测，可以有效扩展渗透的范围。

三、渗透攻击

1. 威胁建模

收集好目标系统的情报后，不要急于渗透，应与团队进行头脑风暴。团队成员各有特长，交流可以取长补短，从而更快制定入侵方案，确定最可行的攻击通道。

综合所有情报，特别是漏洞扫描结果、服务器配置、防火墙使用情况，分析确定可利用的漏洞和挖掘未知漏洞，选择有针对性的工具或开发必要的渗透代码。

2. 漏洞挖掘与利用

验证漏洞是否存在，最终目标是 GetShell 或拿到管理后台。

• SQL 注入
• XSS (跨站脚本)
• CSRF (跨站请求伪造)
• SSRF (服务端请求伪造)
• 命令执行
• 代码执行
• 文件上传
• 文件包含
• 任意文件下载
• 敏感信息外泄
• 配置文件错误
• 逻辑漏洞
• 历史漏洞
• 弱口令
• 暴力破解

3. 提权与后门

获得初始权限后，需进行提权以获取更高权限，并植入后门保持持久化访问。

Linux 提权常见方法：

• 内核漏洞利用 (Kernel Exploit)
• SUID 二进制文件滥用
• Cron Job 定时任务劫持
• 环境变量篡改
• 密码哈希提取
• 容器逃逸 (Docker/Kubernetes)

Windows 提权常见方法：

• 服务权限配置不当
• 注册表权限修改
• 计划任务劫持
• DLL 劫持
• 令牌提升 (Token Manipulation)

后门植入：

• Webshell 上传
• 计划任务创建
• 注册表启动项
• 系统服务安装

4. 内网攻击

在内网环境中，攻击者通常需要进行横向移动以扩大战果。

• 网络发现：ARP 扫描、Nmap 内网扫描、NetBIOS 查询。
• 凭证窃取：Mimikatz 抓取内存明文密码、Hash 传递 (PtH)、票据传递 (PtT)。
• 横向移动：SMB 共享利用、RDP 远程桌面、WMI 远程执行、PsExec。
• 代理转发：SOCKS 代理搭建、端口转发、隧道技术。
• 域控攻击：Golden Ticket、Silver Ticket、DCSync 攻击。

四、安全防护

为了保障系统安全，需考虑以下防护措施：

• 漏洞自查：定期生成报告，日志保存最少六个月。
• 日志审计：采用权限控制 && 转存第三方方式保存日志。
• 资产整理：清晰掌握所有在线资产。
• 漏洞扫描：使用漏洞扫描器进行周期性扫描。
• 代码审查：定期进行代码安全审计。
• 函数关注：关注敏感函数的使用，避免硬编码密钥。
• 逻辑检查：关注整体的业务逻辑安全性。
• 权限控制：严格检查权限校验机制。
• WAF 防护：部署 WAF (如悬镜、安全狗、D 盾、云锁等)。
• 报警监控：建立实时的安全报警监控体系。

结语

渗透测试是一个持续的过程，需要不断更新知识库和工具链。通过规范化的流程和严谨的安全防护，可以有效降低系统面临的风险。