技术文章 - Mrxn's Blog-关注web安全、热爱黑客技术

kali学习记录之端口扫描 Linux

端口扫描的目的是识别目标系统中哪些端口是开启状态，哪些服务可以使用。比如FTP/SSH/TELNET/打印服务/web服务等等。计算机系统中共有65536个端口，因此连接这些端口并扫描出可用的端口就变的有意义了。

1、网络连接

kali的网络默认是设备未托管状态，因此需要开启。开启方法：修改/etc/NetworkManager/下的NetworkManger.conf文件，managed = false修改为true，重启。

2、FPing工具

root@walfred:~# fping -h

Usage: fping [options] [targets...]
   -a         show targets that are alive
   -A         show targets by address
   -b n       amount of ping data to send, in bytes (default 56)
   -B f       set exponential backoff factor to f
   -c n       count of pings to send to each target (default 1)
   -C n       same as -c, report results in verbose format
   -e         show elapsed time on return packets
   -f file    read list of targets from a file ( - means stdin) (only if no -g specified)
   -g         generate target list (only if no -f specified)
                (specify the start and end IP in the target list, or supply a IP netmask)
                (ex. fping -g 192.168.1.0 192.168.1.255 or fping -g 192.168.1.0/24)
   -H n       Set the IP TTL value (Time To Live hops)
   -i n       interval between sending ping packets (in millisec) (default 25)
   -l         loop sending pings forever
   -m         ping multiple interfaces on target host
   -n         show targets by name (-d is equivalent)
   -p n       interval between ping packets to one target (in millisec)
                (in looping and counting modes, default 1000)
   -q         quiet (don't show per-target/per-ping results)
   -Q n       same as -q, but show summary every n seconds
   -r n       number of retries (default 3)
   -s         print final stats
   -I if      bind to a particular interface
   -S addr    set source address
   -t n       individual target initial timeout (in millisec) (default 500)
   -T n       ignored (for compatibility with fping 2.4)
   -u         show targets that are unreachable
   -O n       set the type of service (tos) flag on the ICMP packets
   -v         show version
   targets    list of targets to check (if no -f specified)

3、Nmap工具

使用方法：

root@walfred:~# nmap -h
Nmap 6.47 ( http://nmap.org )
Usage: nmap [Scan Type(s)] [Options] {target specification}
TARGET SPECIFICATION:
  Can pass hostnames, IP addresses, networks, etc.
  Ex: scanme.nmap.org, microsoft.com/24, 192.168.0.1; 10.0.0-255.1-254
  -iL <inputfilename>: Input from list of hosts/networks
  -iR <num hosts>: Choose random targets
  --exclude <host1[,host2][,host3],...>: Exclude hosts/networks
  --excludefile <exclude_file>: Exclude list from file
HOST DISCOVERY:     主机网络发现功能
  -sL: List Scan - simply list targets to scan
  -sn: Ping Scan - disable port scan
  -Pn: Treat all hosts as online -- skip host discovery  禁止网络发现功能，认为所有主机在线
  -PS/PA/PU/PY[portlist]: TCP SYN/ACK, UDP or SCTP discovery to given ports
  -PE/PP/PM: ICMP echo, timestamp, and netmask request discovery probes
  -PO[protocol list]: IP Protocol Ping
  -n/-R: Never do DNS resolution/Always resolve [default: sometimes]
  --dns-servers <serv1[,serv2],...>: Specify custom DNS servers
  --system-dns: Use OS's DNS resolver
  --traceroute: Trace hop path to each host
SCAN TECHNIQUES:
  -sS/sT/sA/sW/sM: TCP SYN/Connect()/ACK/Window/Maimon scans       SYN/TCP/ACK/windown/conn扫描参数
  -sU: UDP Scan                                                    UDP扫描参数指定
  -sN/sF/sX: TCP Null, FIN, and Xmas scans                         NULL/FIN/xmas扫描
  --scanflags <flags>: Customize TCP scan flags
  -sI <zombie host[:probeport]>: Idle scan
  -sY/sZ: SCTP INIT/COOKIE-ECHO scans
  -sO: IP protocol scan
  -b <FTP relay host>: FTP bounce scan
PORT SPECIFICATION AND SCAN ORDER:
  -p <port ranges>: Only scan specified ports
    Ex: -p22; -p1-65535; -p U:53,111,137,T:21-25,80,139,8080,S:9
  -F: Fast mode - Scan fewer ports than the default scan
  -r: Scan ports consecutively - don't randomize
  --top-ports <number>: Scan <number> most common ports
  --port-ratio <ratio>: Scan ports more common than <ratio>
SERVICE/VERSION DETECTION:
  -sV: Probe open ports to determine service/version info
  --version-intensity <level>: Set from 0 (light) to 9 (try all probes)
  --version-light: Limit to most likely probes (intensity 2)
  --version-all: Try every single probe (intensity 9)
  --version-trace: Show detailed version scan activity (for debugging)
SCRIPT SCAN:
  -sC: equivalent to --script=default
  --script=<Lua scripts>: <Lua scripts> is a comma separated list of 
           directories, script-files or script-categories
  --script-args=<n1=v1,[n2=v2,...]>: provide arguments to scripts
  --script-args-file=filename: provide NSE script args in a file
  --script-trace: Show all data sent and received
  --script-updatedb: Update the script database.
  --script-help=<Lua scripts>: Show help about scripts.
           <Lua scripts> is a comma-separated list of script-files or
           script-categories.
OS DETECTION:
  -O: Enable OS detection
  --osscan-limit: Limit OS detection to promising targets
  --osscan-guess: Guess OS more aggressively
TIMING AND PERFORMANCE:
  Options which take <time> are in seconds, or append 'ms' (milliseconds),
  's' (seconds), 'm' (minutes), or 'h' (hours) to the value (e.g. 30m).
  -T<0-5>: Set timing template (higher is faster)
  --min-hostgroup/max-hostgroup <size>: Parallel host scan group sizes
  --min-parallelism/max-parallelism <numprobes>: Probe parallelization
  --min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <time>: Specifies
      probe round trip time.
  --max-retries <tries>: Caps number of port scan probe retransmissions.
  --host-timeout <time>: Give up on target after this long
  --scan-delay/--max-scan-delay <time>: Adjust delay between probes
  --min-rate <number>: Send packets no slower than <number> per second
  --max-rate <number>: Send packets no faster than <number> per second
FIREWALL/IDS EVASION AND SPOOFING:
  -f; --mtu <val>: fragment packets (optionally w/given MTU)
  -D <decoy1,decoy2[,ME],...>: Cloak a scan with decoys
  -S <IP_Address>: Spoof source address
  -e <iface>: Use specified interface
  -g/--source-port <portnum>: Use given port number
  --proxies <url1,[url2],...>: Relay connections through HTTP/SOCKS4 proxies
  --data-length <num>: Append random data to sent packets
  --ip-options <options>: Send packets with specified ip options
  --ttl <val>: Set IP time-to-live field
  --spoof-mac <mac address/prefix/vendor name>: Spoof your MAC address
  --badsum: Send packets with a bogus TCP/UDP/SCTP checksum
OUTPUT:
  -oN/-oX/-oS/-oG <file>: Output scan in normal, XML, s|<rIpt kIddi3,
     and Grepable format, respectively, to the given filename.
  -oA <basename>: Output in the three major formats at once
  -v: Increase verbosity level (use -vv or more for greater effect)
  -d: Increase debugging level (use -dd or more for greater effect)
  --reason: Display the reason a port is in a particular state
  --open: Only show open (or possibly open) ports
  --packet-trace: Show all packets sent and received
  --iflist: Print host interfaces and routes (for debugging)
  --log-errors: Log errors/warnings to the normal-format output file
  --append-output: Append to rather than clobber specified output files
  --resume <filename>: Resume an aborted scan
  --stylesheet <path/URL>: XSL stylesheet to transform XML output to HTML
  --webxml: Reference stylesheet from Nmap.Org for more portable XML
  --no-stylesheet: Prevent associating of XSL stylesheet w/XML output
MISC:
  -6: Enable IPv6 scanning
  -A: Enable OS detection, version detection, script scanning, and traceroute
  --datadir <dirname>: Specify custom Nmap data file location
  --send-eth/--send-ip: Send using raw ethernet frames or IP packets
  --privileged: Assume that the user is fully privileged
  --unprivileged: Assume the user lacks raw socket privileges
  -V: Print version number
  -h: Print this help summary page.
EXAMPLES:
  nmap -v -A scanme.nmap.org
  nmap -v -sn 192.168.0.0/16 10.0.0.0/8
  nmap -v -iR 10000 -Pn -p 80
SEE THE MAN PAGE (http://nmap.org/book/man.html) FOR MORE OPTIONS AND EXAMPLES

3.1Nmap执行TCP扫描

-sT 对TCP进行扫描

-p- 对所有端口扫描

-PN 禁用Nmap网络发现功能，假定所有系统都是活动的

root@walfred:~# nmap -sT -p- -PN   192.168.115.1

Starting Nmap 6.47 ( http://nmap.org ) at 2014-10-23 20:38 CST
Stats: 0:12:34 elapsed; 0 hosts completed (1 up), 1 undergoing Connect Scan
Connect Scan Timing: About 90.20% done; ETC: 20:51 (0:01:22 remaining)
Stats: 0:16:16 elapsed; 0 hosts completed (1 up), 1 undergoing Connect Scan
Connect Scan Timing: About 94.41% done; ETC: 20:55 (0:00:58 remaining)
Nmap scan report for 192.168.115.1
Host is up (0.0022s latency).
Not shown: 65533 closed ports
PORT   STATE SERVICE
23/tcp open  telnet
80/tcp open  http

Nmap done: 1 IP address (1 host up) scanned in 1274.21 seconds

3.2Nmap执行UDP扫描

扫描udp也是有理由的，比如一些基于udp的服务，SNMP、TFTP、DHCP、DNS等等

root@walfred:~# nmap -sU 192.168.115.188

Starting Nmap 6.47 ( http://nmap.org ) at 2014-10-23 20:21 CST
Nmap scan report for 192.168.115.188
Host is up (0.00069s latency).
Not shown: 994 closed ports
PORT     STATE         SERVICE
137/udp  open          netbios-ns
138/udp  open|filtered netbios-dgm
500/udp  open|filtered isakmp
1900/udp open|filtered upnp
4500/udp open|filtered nat-t-ike
5355/udp open|filtered llmnr
MAC Address: xxxxxxxxxxxxxx (Universal Global Scientific Industrial Co.)

Nmap done: 1 IP address (1 host up) scanned in 974.78 seconds

3.3Nmap执行SYN扫描

nmap默认就是这种方式。这种方式要比TCP扫描快，因为只执行三次握手的前两次。也不会造成拒绝服务攻击

root@walfred:~# nmap -sS -p- -PN 192.168.115.1

Starting Nmap 6.47 ( http://nmap.org ) at 2014-10-23 20:26 CST
Nmap scan report for 192.168.115.1
Host is up (0.0020s latency).
Not shown: 65533 closed ports
PORT   STATE SERVICE
23/tcp open  telnet
80/tcp open  http
MAC Address: xxxxxxxxxxxxxx (Digital China (Shanghai) Networks)

Nmap done: 1 IP address (1 host up) scanned in 368.52 seconds

哇偶，竟然开放了telnet....

3.3Nmap执行Xmas扫描

RFC文档描述了系统的技术细节，因此如果得到RFC文档，那么就可能找到系统的漏洞，xmas和null扫描的目的正是基于这一原因。

如果系统遵循了TCP RFC文档，那么不用完成连接，仅仅在发起连接的时候，namp就可以判断出目标系统的状态。

但是一般xmas针对unix或者linux系统比较有效。

root@walfred:~# nmap -sX -p- -Pn  192.168.115.1

Starting Nmap 6.47 ( http://nmap.org ) at 2014-10-23 20:42 CST
Nmap scan report for 192.168.115.1
Host is up (0.0029s latency).
Not shown: 65533 closed ports
PORT   STATE         SERVICE
23/tcp open|filtered telnet
80/tcp open|filtered http
MAC Address: XXXXXXXXXXXXX (Digital China (Shanghai) Networks)

Nmap done: 1 IP address (1 host up) scanned in 382.91 seconds

3.4Nmap执行Null

root@walfred:~# nmap -sN -p- -Pn  192.168.115.1

Starting Nmap 6.47 ( http://nmap.org ) at 2014-10-23 20:49 CST
Stats: 0:04:54 elapsed; 0 hosts completed (1 up), 1 undergoing NULL Scan
NULL Scan Timing: About 78.30% done; ETC: 20:55 (0:01:20 remaining)
Nmap scan report for 192.168.115.1
Host is up (0.0018s latency).
Not shown: 65533 closed ports
PORT   STATE         SERVICE
23/tcp open|filtered telnet
80/tcp open|filtered http
MAC Address: XXXXXXXXXXXXX (Digital China (Shanghai) Networks)

Nmap done: 1 IP address (1 host up) scanned in 376.37 seconds

标签: 攻击渗透测试 Kali 黑客工具 Linux

admin 发布于 2015-9-17 18:44

评论(2) 浏览(10991)

如何快速简单地找到使用了CDN加速的网站的真实IP 网络安全

对于一个玩渗透的孩子来说，找到使用了CDN加速的网站的源IP（真实IP），就是第一道门槛啊，没找到源IP就别想其他的环节了。。。。

恰好，今天，我在逛一个常去的网站的时候，挺喜欢的！就简单的做了一个检测。。。已通知管理员

随手把域名丢进站长工具里面查看了一下，发现使用了CDN，网宿科技的，没怎么听说过，

开了好多端口啊。。。21 22 23 1443 3389 不知道是管理员胆子大呢，还是故意是个陷阱。。。暂时不知道

为了验证一下是不是真的，那就需要找到源ip地址，几经google，百度总算有了一点结果，使用 nslookup domain

从图中知道，域名加www解析出来的结果有 www.xxx.com。wscdns.com 明显是CDN加速服务器的，去掉www之后，得到了一个IP地址和域名，基本可以确定是源IP地址了，为了进一步验证,在站长网工具箱里面使用同IP网站查询，得到结果如下:

唯一域名和IP，80%确定是源IP了。

根据Kali Linux 上的 whatweb扫描的结果确定源IP就是图中第一次的结果，因为301跳转到带有 www的域名上，第二次明显为cdn加速服务器的IP，两者的服务器一个为IIS 6.0 一个是IIS 7.5 的，都是ASP_NET 2.5 。

最后来链接服务器测试一下：

服务器是Windows server 2003 至于怎么拿下这个Windows server 2003 就是后面的事了（2003_So easy -_-|），信息收集到此就完成了60%，还没对网站进行扫描检测呢。

总结：我测试了自己的博客，发现并不能得到真实的IP地址，因为我的域名都做了cdn加速，所以在此提醒站长朋友们，记得使用cdn加速的时候把所有的二/三/...级域名等等都要做到位，不然很容易得到源IP，如果你的服务器又开放很多端口，就不太安全哦。尽管如此，想要得到源IP的方法还有很多，网上有专门的软件追踪真实IP，善用！我这只是一个简单的傻瓜式方法。。。再见

标签: 渗透测试 Kali 黑客 Linux cdn

admin 发布于 2015-9-16 15:59

评论(4) 浏览(17900)

为Wampserver My Projects自动添加localhost前缀技术文章

我们安装好wampserver最新版之后，在菜单里面就会有My Project选项：

我们在wamp的默认www目录（根据你自己的安装路径）下面创建两个文件夹，emlog531和JavaScriptStudy，重启wampserver就可以在My Project里发现了。

但是我们默认打开其中的任意一个都会发现在浏览器里面的路径是这个样子的：

根本就不能打开。。。。

我们打开localhost，在下面的 Your Projects 里面会发现打开项目依然不能访问，下图是我修改之后的，路径自动加上了localhost，就可以正常访问了，

而且修改之后我们直接在wamp的托盘菜单里面的菜单里面的My Projects项目可以直接在浏览器打开并正常访问，具体的修改反方法如下：

1>打开 \wamp\www\index.php

修改如下这行代码:

$suppress_localhost = true; 修改成 ：$suppress_localhost = false;

2>打开 \wamp\scripts\refresh.php

修改如下这行代码：

 Parameters: "http://'.$projectContents[$i].'/";  修改成 ：  Parameters: "http://localhost/'.$projectContents[$i].'/";  其实就是在 http://后添加 localhost/

完成上面两部之后就可以重新启动wampserver看效果了。一般就成功了。如果还是不行，那就参考这篇文章：

自定义wamp_server的网站根目录

修改WampServer的默认浏览器小计--mrxn's Blog

在 WampServer 上手工安装 PHP 的多个版本

标签: 编程代码 php wamp

admin 发布于 2015-8-26 08:18

评论(4) 浏览(15409)

【原创实践】物理机安装Kali2.0 i386和Windows10 X64构成双系统详细教程 Linux

2017/02/02 更新:这篇文章是在BIOS+mbr的基础上写的,如果(你的easybcd不能用)是gpt+uefi 请查看这篇文章: 在UEFI+GPT下使用rEFind实现Win10 + Kali2.0 双引导:https://mrxn.net/Linux/UEFI-GPT-rEFind-Win10-Kali20.html

首先给大家看一下Kali2.0 i386和Windows10 X64安装成功后的截图吧:

从上图知道,我这里是使用Grub2引导的Windows系统.后面我会讲为什么这么做,比较适合新手.

首先说点需要注意的,你看看你是否遇到过这种情况，我把我安装的时候遇到的问题和群里童鞋们出现的问题综合了一下:

<一>镜像的选择:很多的人都是看自己的CPU来选择,比如Intel的使用i386.AMD的使用AMD64的.但是我用我的实践证明了,有的时候,AMD的CPU安装AMD版本的镜像是不行的,会卡在如下的界面,我想很多的人大概都遇到过.特别是使用AMD的CPU的童鞋.如果刻录了与你CPU型号相同的Kali镜像,但是却卡在如下图所示的环节,可以考虑重新刻录i386的镜像试试.因为哪个版本都可以使用的，只是性能上有多多少少的折扣。

<二>BIOS的设置，如果你是双显卡，安装的时候最好是使用集显，可以大大避免卡在安装界面进入后的第二步上。一般是在BIOS的config选项下面的Display里面设置使用集显还是双显卡。集显字样如：Intergrated Graphics 。等你安装完Kali之后，可以再进入BIOS设置重新启用双显卡。

<三>硬盘的模式选择，如果是安装双系统，推荐使用 AHCI + Legacy Only 模式，这样兼容性和性能都兼顾，但不是最好的性能哈，兼容和性能兼得，性能必然会有所牺牲的。如下图所示的硬盘模式设置：

<四>使用Windows系统自带的磁盘管理工具先压缩出来一部分给Kali 使用，一般推荐最少20G，可以大一点，比如30G比较合适。

在我的计算机上右键-管理-磁盘管理-选一个磁盘右键-压缩卷-输入压缩大小，比如：30720（30G），等待压缩完毕，退出来，关闭计算机，准备安装。

<五>如果你重新刻录镜像的时候不能够格式化U盘或者是U盘容量大小有问题，请查看这篇文章的解决方法：

使用Win32DiskImager做安装kali启动U盘后的那些事儿

下面开始详细的教程:

首先是使用windisk32这款软件来制作Kali的安装启动U盘.

选择你要安装的Kali版本镜像文件,我这里已Kali 2.0 i386做演示,也是我自己物理机安装的.记得在选择镜像的时候有个小细节，右下角的过滤选择所有文件类型：

，不然会出现你在你放镜像的文件夹下面找不到镜像。

找到镜像之后，打开就OK，然后是核对右边的Device（U盘/光盘）是否正确，软件默认是会选择U盘/光盘的，不知道的可以去我得电脑里面查看。这两项核对正确无误之后就可以点击下面的 write 开始写入镜像操作了。等待写入完成，一般是10分钟左右，主要依据你的U盘/光盘写入速度。

下面进入安装环节，关机，重启F12，到选择启动盘界面，或者是在BIOS设置好U盘为第一启动项(这不会就去百度吧，或者是别玩双系统了)：

在这个界面我们可以测试能够安装。选择第一项的 Live (686-pae)更具你自己刻录的镜像，括号里面的可能会有不同，比如 Live (adm64) 等，回车进入 Kali Live 界面，记载系统文件等等，速度很快，如果你的加载中途停止了，卡在如图所示的位置，那你可以考虑换镜像重新刻录尝试：

如果顺利，会进入Kali Live界面的。如下图所示：

如果进入这里了，就表明你可以成功安装Kali 的几率提升到95%了。当然，如果你在Windows上忘了压缩分区给Kali，别着急，这里也可以分使用parttion分区命令来分区的（推荐在Windows上分区好，对于新手比较方便，老鸟直接飞过吧）。具体的分区方法，这里就不叙述了，很多的。节省空间，这篇文章已经很长了。。。

OK，点击右上角的那个倒三角，在弹出来的菜单里，选择reboot，选择now。重启，重新进入U盘安装Kali界面。这里我选择install。如果顺利，就来到选择语言的对话框，通过方向键向上选择中文（简体）。

接着是询问是否要以选择的语言安装，通过Tab键选择是。

选择区域：中国，回车

选择汉语，回车

就开始加载数据，准备进行下一步，等待这个过程完毕，一般很快，几秒钟

接着来到了给主机命名，随便输入你喜欢的名字，比如：Mrxn

接着是域名，选择不填写吧。直接Tab键选择继续

接着是输入root用户密码，可以在这里设置，也可以在后面设置，我就在这里设置了吧，root 然后Tab键切换到继续回车

然后来到重新输入刚刚输入的root密码进行确认，root Tab键到继续之后，回车

就到了，分区这一步，很重要的步骤，因为刚刚在Windows上压缩了一个空的分区，所以会出现第一个：向导-使用最大的连续空闲空间，所以我这里直接就选择这个，回车进行下一步。如果你没有提前分区，或者是项自己设置boot分区根分区/，hone分区等等，请自行选择下面的手动。新手就别去折腾了。。小心折腾坏两个系统。

接着来到选择是否把所有文件放到一个分区中，推荐新手选择这一个，然后回车。

然后就是分区结束最后确认阶段，选择最后一个：分区设定结束开始将更改写入磁盘，然后回车进行下一个环节

如果你是选择手动分区，并且自己选择了分区，就会弹出下面这两个对话框，我这里不是手动分区，所以不会出现这个，这只坐介绍，

接着是格式化分区的步骤，手动和向导分区都有这一步

格式化结束就会开始安装系统了，复制系统文件到磁盘了

漫长的等待数据复制完成之后，就会弹出选择是否进行网络安装，直接选择否，因为还没有修改源，会很慢，等死你。。。

接下来就是非常重要的步骤：安装Grub到那个分区，我这里选择是，安装到主mbr上，利用Grub来引导Windows。如果你想让Windows来引导Kali就选择否，然后选择将Grub安装到那个分区，如果/boot单独分区则添/boot所在的分区，如果/boot没有单独分区，则添/目录所在的分区；

Grub安装完毕之后就是重启，重启之后就可以看见熟悉的Kali Grub引导菜单，选择Kali 进入，进入Kali之后，我们需要使用下面的命令来更新Grub引导使Windows引导加入到引导菜单里面，打开终端命令面板，输入如下的命令更新Grub：

sudo update Grub2

如果你是以root登录的系统，直接输入 update Grub2 就可以了。然后reboot，就会发现已经有Windows load （sda1）等字样，选择并回车，就可以进入Windows系统了。如果不能进去Windows系统，请使U启动，大白菜，老毛桃之类的PE工具进行引导修复，就OK了。修复之后需要在Windows使用easybcd添加Kali 启动项。

如果是将mbr安装到其他分区，并非主分区，那么重启后是进入Windows系统的，进入Windows系统之后，下载easybcd，添加Kali启动项。具体的教程，可以百度搜搜，很多，也很详细的。

至此Kali + windows双系统安装就结束了，如果在安装中有什么问题或者是我写的不对的地方，欢迎大家评论留言：https://mrxn.net/guestbook.html或者是加我QQ-1451657099讨论。欢迎大家去折腾，生命在于折腾。生命不息，折腾不止！come on！

欢迎转载，请注明出处：https://mrxn.net/?post=363 毕竟写这么久不容易，请相互尊重，谢谢。

标签: Kali Linux windows 双系统安装

admin 发布于 2015-8-25 00:24

评论(19) 浏览(70148)

破解了你的路由密码后，我还可以这样做，绝对不是蹭你网这么简单

Kali套件之nikto扫描网站漏洞应用小计

标签: 路由器密码 wifi 攻击渗透测试 Kali 黑客工具 Linux

admin 发布于 2015-8-20 13:18

评论(4) 浏览(36455)

破解了你的路由密码后，我还可以这样做，绝对不是蹭你网这么简单

Kali套件之nikto扫描网站漏洞应用小计

标签: wifi 攻击渗透测试 Kali 黑客工具 Linux

admin 发布于 2015-8-20 12:59

评论(0) 浏览(15860)

Linux内核级后门的原理及简单实战应用 Linux

以下代码均在linux i86 2.0.x的内核下面测试通过。它也许可以在之前的版本通过，但并没有被测试过。因为从2.1.x内核版本就引入了相当大的改变，显著地内存管理上的差别，但这些不是我们现在要讨论的内容。

用户空间与内核空间

linux是一个具有保护模式的操作系统。它一直工作在i386 cpu的保护模式之下。

内存被分为两个单元:内核区域和用户区域。内核区域存放并运行着核心代码，当然，顾名思义，用户区域也存放并运行用户程序。当然，作为用户进程来讲它是不能访问内核区域内存空间以及其他用户进程的地址空间的。

核心进程也有同样的情况。核心代码也同样不能访问用户区地地址空间。那么，这样做到底有什么意义呢？我们假设当一个硬件驱动试图去写数据到一个用户内存
空间的程序里的时候，它是不可以直接去完成的，但是它可以利用一些特殊的核心函数来间接完成。同样，当参数需要传递地址到核心函数中时，核心函数也不能直
接的来读取该参数。同样的，它可以利用一些特殊的核心函数来传递参数。

这里有一些比较有用的核心函数用来作为内核区与用户区相互传递参数用。

#include <asm/segment.h>
get_user(ptr)

从用户内存获取给定的字节，字，或者长整形。这只是一个宏（在核心代码里面有此宏的详细定义），并且它依据参数类型来确定传输数量。所以你必须巧妙地利用它。

put_user(ptr)和get_user()非常相似，但是，它不是从用户内存读取数据，而是想用户内存写数据。

memcpy_fromfs(void *to,
const void *from,unsigned long n)

从用户内存中的from拷贝n个字节到指向核心内存的指针to。

memcpy_tofs(void *to,const *from,
unsigned long n)

从核心内存中的*from拷贝n个字节数据到用户内存中的*to。

系统调用

大部分的c函数库的调用都依赖于系统调用，就是一些使用户程序可以调用的简单核心包装函数。这些系统调用运行在内核本身或者在可加载内核模块中，就是一些可动态的加载卸载的核心代码。

就象MS-DOS和其他许多系统一样，linux中的系统调用依赖一个给定的中断来调用多个系统调用。linux系统中，这个中断就是int 0x80。当调用'int 0x80'中断的时候，控制权就转交给了内核(或者，我们确切点地说，交给_system_call()这个函数)，并且实际上是一个正在进行的单处理过程。

* _system_call()是如何工作的?

首先，所有的寄存器被保存并且%eax寄存器全面检查系统调用表，这张表列举了所有的系统调用和他们的地址信息。它可以通过extern void *sys_call_table[]来被访问到。该表中的每个定义的数值和内存地址都对应每个系统调用。大家可以在/usr/include/sys/syscall.h这个头中找到系统调用的标示数。

他们对应相应的SYS_systemcall名。假如一个系统调用不存在，那么它在sys_call_table中相应的标示就为0，并且返回一个出错信息。否则，系统调用存在并在表里相应的入口为系统调用代码的内存地址。这儿是一个有问题的系统调用例程:

[root@plaguez kernel]# cat no1.c
#include <linux/errno.h>
#include <sys/syscall.h>
#include <errno.h>

extern void *sys_call_table[];

sc()
{ // 165这个系统调用号是不存在的。
    __asm__(
        "movl $165,%eax
             int $0x80");
}

main()
{
    errno = -sc();
    perror("test of invalid syscall");
}
[root@plaguez kernel]
# gcc no1.c
[root@plaguez kernel]
# ./a.out
test of invalid syscall:
Function not implemented
[root@plaguez kernel]
# exit

系统控制权就会转向真正的系统调用，用来完成你的请求并返回。然后_system_call()调用_ret_from_sys_call()来检查不同的返回值，并且最后返回到用户内存。

libc

这int $0x80 并不是直接被用作系统调用; 更确切地是，libc函数，经常用来包装0x80中断，这样使用的。

libc通常利用_syscallX()宏来描述系统调用，X是系统调用的总参数个数。

举个例子吧，
libc中的write(2)就是利用_syscall3这个系统调用宏来实现的，因为实际的write(2)原型需要3个参数。在调用0x80中断之
前，这个_syscallX宏假定系统调用的堆栈结构和要求的参数列表，最后，当 _system_call()(通过int
&0x80来引发)返回的时候，_syscallX()宏将会查出错误的返回值（在%eax）并且为其设置errno。

让我们看一下另一个write(2)例程并看看它是如何进行预处理的。

[root@plaguez kernel]# cat no2.c
#include <linux/types.h>
#include <linux/fs.h>
#include <sys/syscall.h>
#include <asm/unistd.h>
#include <sys/types.h>
#include <stdio.h>
#include <errno.h>
#include <fcntl.h>
#include <ctype.h>

_syscall3(ssize_t,write,int,fd,const void ,buf,size_t,count);/构建一个write调用*/
main()

{

char *t = "this is a test.\n";

write(0, t, strlen(t));

}

[root@plaguez kernel]
gcc -E no2.c > no2.C
[root@plaguez kernel]
indent no2.C -kr
indent:no2.C:3304: Warning:

old style assignment ambiguity in

"=-". Assuming "= -"
[root@plaguez kernel]# tail -n 50 no2.C
9 "no2.c" 2
ssize_t write(int fd,

const void *buf, size_t count)

{

long res;

asm volatile("int $0x80":"=a"

(res):"0"(4), "b"((long) (fd)),

"c"((long) (buf)),

"d"((long) (count)));

if (res >= 0)

return (ssize_t) res;

errno = -res;

return -1;

};
main()

{

char *t = "this is a test.\n";

write(0, t, strlen(t));

}

[root@plaguez kernel]# exit

注意那个write()里的"0"这个参数匹配SYS_write，在/usr/include/sys/syscall.h中定义。

构建你自己的系统调用。

这里给出了几个构建你自己的系统调用的方法。举个例子，你可以修改内核代码并且加入你自己的代码。一个比较简单可行的方法，不过，一定要被写成可加载内核模块。

没有一个代码可以象可加载内核模块那样可以当内核需要的时候被随时加载的。我们的主要意图是需要一个很小的内核，当我们需要的时候运行insmod命令，给定的驱动就可以被自动加载。这样卸除来的lkm程序一定比在内核代码树里写代码要简单易行多了。

写lkm程序

一个lkm程序可以用c来很容易编写出来。它包含了大量的#defines，一些函数，一个初始化模块的函数，叫做init_module()，和一个卸载函数：cleanup_module()。

这里有一个经典的lkm代码结构:

#define MODULE
#define __KERNEL__
#define __KERNE_SYSCALLS__

include <linux/config.h>
ifdef MODULE
include <linux/module.h>
include <linux/version.h>
else
define MOD_INC_USE_COUNT
define MOD_DEC_USE_COUNT
endif
include <linux/types.h>
include <linux/fs.h>
include <linux/mm.h>
include <linux/errno.h>
include <asm/segment.h>
include <sys/syscall.h>
include <linux/dirent.h>
include <asm/unistd.h>
include <sys/types.h>
include <stdio.h>
include <errno.h>
include <fcntl.h>
include <ctype.h>
int errno;
char tmp[64];
/ 假如，我们要用到ioctl调用 /

_syscall3(int, ioctl, int, d,

int, request, unsigned long, arg);
int myfunction(int parm1,char parm2)

{

int i,j,k;

/ ... */

}
int init_module(void)

{

/ ... /

printk("\nModule loaded.\n");

return 0;

}
void cleanup_module(void)

{

/ ... /

}

检查代码中的

#defines (#define MODULE, #define __KERNEL__)
和
#includes (#include <linux/config.h> ...)

一定要注意的是我们的lkm讲要被运行在内核状态，我们就不能用libc包装的函数了，但是我们可以通过前面所讨论的_syscallX()宏来构建系
统调用。你可以这样编译你的模块'gcc -c -O3 module.c' 并且利用'insmod module.o'来加载。

提一个建议，lkm也可以用来在不完全重建核心代码的情况下来修改内核代码。举个例子，你可以修改write系统调用让它隐藏一部分给定的文件，就象我们把我们的backdoors放到一个非常好的地方：当你无法再信任你的系统内核的时候会怎么样呢？

内核和系统调用后门

在简单介绍了上述理论，我们主要可以用来做什么呢。我们可以利于lkm截获一些对我们有影响的系统调用，这样可以强制内核按照我们的方式运行。例如：我们可以利用ioctl系统调用来隐藏sniffer所造成的网卡PROMISC模式的显示。非常有效。

去改变一个给定的系统调用，只需要在你的lkm程序中增加一个定义extern void
*sys_call_table[]，并且利用init_module()函数来改变sys_call_table里的入口来指向我们自己的代码。改变后
的调用可以做我们希望它做的一切事情，利用改变sys_call_table来导出更多的原系统调用。

标签: 编程代码黑客工具 Linux 后门

admin 发布于 2015-8-19 01:32

评论(2) 浏览(8115)

使用Win32DiskImager做安装kali启动U盘后的那些事儿 Linux

如题，前几天不是kali风骚的流产了么。。。他们的新儿子kali2.0，我就试试感觉咋样，于是呢，就需要使用Win32DiskImager来做kali的安装启动U盘啊，一切顺利。。。只是在安装完之后，我切换到win10时候，插入U盘发现U盘容量有问题。。。

原本是8G的U盘，咋变这么小呢。。。开始尝试使用系统格式化工具-格式化，但是问题出现了。。。还是这么大、、、

然后呢，以我如今的能力，只能借助软件了。。。

FormatTool..是个很不错的软件，但是你的自己记住你的U盘的盘符 g h j 等等。。。我的是J .把强制格式化复选框选上之后，确定，稍作等待。就OK了：

容量就恢复了。。。goodsoft！对了软件下载地址：http://pan.baidu.com/s/1o6mW0Ls 方便需要的童鞋下载。

标签: Kali 格式化

admin 发布于 2015-8-18 19:39

评论(4) 浏览(22835)

arp劫持某域名注册商渗透测试

前段时间朋友在做一个网站, 就在某域名商那注册了一个米, 但是三天两头的出问题
找客服客服态度还很差, 说是自己的网络问题, 尼玛dns都找不到能是网络问题么? 擦...
于是乎夜半时分就帮朋友教训教训这个坑爹的域名商~~~

先是探测了一些基本信息, web使用的IIS7.5, 服务器是windows 2008
整个网站是.net写的, 于是开始找常见的一些漏洞, 发现整个系统还是比较安全, 除了一个反射型的XSS以外
没有发现其他更有价值的东西, 参数似乎是全局就过滤了, 所以注射这条路基本上堵死了..

想了一会, 就是为了教训教训这个域名商, 所以只要达到教训的目的就行了, 所以并不是非得日下
把他域名搞了岂不更爽? 再不济给他来个arp劫持也不错, 呵呵

先查了下域名商的域名, 是在Godaddy注册的, whois隐藏了, 现在不都说什么大数据大数据嘛..
于是我就在一些公开的社工库里面查了下站长的qq, 发现都没有信息, 到这里就卡死了..

既然域名那里不能入手, 那就玩玩C段吧.. 说起来也好久没弄这些了.
先用御剑扫一发~ 发现C段的站还挺多的 - - 随便找了个windows2003服务器下手, 找到了一个dede
打开一看我就呆了, 这个站原来都被人搞过了, 主页挂上了某XX小组的黑页
既然别人能日下还改了主页说明这个站的站长似乎并没怎么打理网站, 顿觉有戏!
于是打开/data/admin/ver.txt看了下版本是20130911

这个版本看来还是比较老的了, 所以直接抄上前一段时间爆出来的织梦注入漏洞:
/plus/recommend.php?aid=1&_FILES[type][name]&_FILES[type][size]&_FILES[type][type]&_FILES[type][tmp_name]=aa\'and+char(@`'`)+/*!50000Union*/+/*!50000SeLect*/+1,2,3,concat(0x3C6162633E,group_concat(0x7C,userid,0x3a,pwd,0x7C),0x3C2F6162633E),5,6,7,8,9%20from%20`%23@__admin`%23");

成功爆出来了帐号和密码

密码倒是很简单, 一下就破出来了. 只不过后台路径被改过了, 于是直接上谷歌, site:xxx.com inurl:login.php

找到了后台就简单了, 一顿XXOO拿到了shell, 这个大家都会就不细说了, 打开dede的配置文件一看, 我擦竟然直接就是root...

于是上传了一个有UDF提权功能的大马, 但是每次导出dll后安装的时候都提示不行, 一想不会是被杀了吧..
这里想了半天, 突然想到把后缀改一下呢, 于是随便弄了一个后缀. 改成了xxx.7b, 一安装, 竟然成功了

为了安全起见没有直接添加用户, 传了一个某黑客用mimikatz改出来的webshell版读取密码
成功把密码读了出来

看了下注册表3389是打开了的, 于是直接上服务器开撸, 没想到直接给我弹了个什么中断连接

标签: 渗透测试黑客 XSS 钓鱼入侵 ARP劫持

admin 发布于 2015-8-3 11:38

评论(6) 浏览(9216)

“猥琐”成功XSS某网站渗透测试

因为需求，对一个网站进行检测

各种扫描无果

于是开始进行各种xss

注册会员开始

问答处~~~~~~~

不会饶，还请大牛赐教！！

不会饶，还请大牛赐教！！
最后各种翻，各种翻啊~~！！
然后就看到了

哈哈哈，很多获取IP的方式都能弄，包括ip38
那就是我们的大杀器

然后退出，再登录一遍

——————————————————
OK
目地达到

注:原文出自t00ls.只是觉得够猥琐!转载之-_-| 如果不允许就告诉我.

标签: 渗透测试黑客 XSS 钓鱼入侵

admin 发布于 2015-8-3 11:26

评论(2) 浏览(12303)

« 1 ... 16 17 18 19 20 21 22 ... 27 »

gcc -E no2.c > no2.C

indent no2.C -kr

9 "no2.c" 2

include <linux/config.h>

ifdef MODULE

include <linux/module.h>

include <linux/version.h>

else

define MOD_INC_USE_COUNT

define MOD_DEC_USE_COUNT

endif

include <linux/types.h>

include <linux/fs.h>

include <linux/mm.h>

include <linux/errno.h>

include <asm/segment.h>

include <sys/syscall.h>

include <linux/dirent.h>

include <asm/unistd.h>

include <sys/types.h>

include <stdio.h>

include <errno.h>

include <fcntl.h>

include <ctype.h>

搜索

日历

最新文章

最新评论

分类

标签

存档

链接