Kali Linux 从入门到精通(八)-主动信息收集

基本介绍

直接与目标系统交互通信
无法避免留下访问的痕迹
使用受控的第三方电脑进行探测

- 使用代理或已经被控制的主机
- 做好被封杀的准本
- 使用噪声迷惑目标,淹没真实的探测流量

扫描

- 发送不同的探测,根据返回结果判断目标状态

发现

识别活着的主机

- 潜在的被攻击目标

输出一个IP地址列表
2,3,4层发现

二层发现(渗透进目标系统后,发现内网其他信息)

优点:扫描速度快,可靠
缺点:不可路由
Arp协议:抓包

二层发现–arping命令:

arping
arping 1.1.1.1 -c 1
arping 1.1.1.1 -d (发现重复响应, 两个不同的MAC地址拥有同一个IP,而此时IP为网关地址,此时即为ARP欺骗,实现中间人攻击,窃取密码,篡改数据等恶意参数)
arping -c 1.1.1.1 | grep “bytes from” | cut -d"" -f 5 | cut -d “(” -f 2 | cut -d")" -f 1
脚本

- arping1.sh eth0 > addr
- arping2.sh addrs

二层发现–nmap 在二层发现中的应用

nmap 1.1.1.1-254 -sn(可进行网段扫描 -sn表示不进行网段扫描)
nmap -iL iplist.txt -sn(可对文本文件进行扫描)
nmap很强大后面单独介绍

二层发现–Netdiscover

专用于二层发现
可用于无线和交换环境
主动和被动探测

- 主动

- - netdiscover -i eth0 -r 1.1.1.0/24
  - netdiscover -l iplist.txt

- 被动

- - netdiscover -p (将网卡置于混杂模式)
  - 主动arp容易触发报警(入侵检测系统触发报警)

二层发现–Scapy

作为Python库进行调用
也可作为单独的工具使用
抓包,分析,创建.修改,注入流量
apt-get install python-gnuplot(处理报警信息)
Scapy

- ARP().display()
- Sr1()

Python 脚本

- Arp1.py

- - subprocess:调用操作系统

- Arp2.py

发现-三层发现

优点

- 可路由
- 速度比较快

缺点

- 速度比二层慢
- 经常被边界防火墙过滤

IP,ICMP协议

三层发现-PING命令

Ping 1.1.1.1 -c 2
Ping -R 1.1.1.1 / tracetoute 1.1.1.1
Ping 1.1.1.1 -c 1 | grep “bytes from” | cut -d" " -f 4 | cut -d “:” -f 1
脚本

Ping.sh 1.1.1.0

三层发现-Scapy

OSI多层堆叠手工生成ICMP包/ICMP
ip=IP()
ip.dst=“1.1.1.1”
ping=ICMP()
a=sr1(ip/ping)
a.display()
Ping 不存在的地址

- a=sr1(ip/icmp.timeout=1)

a=sr1(IP(dst=“1.1.1.1”)/ICMP().timeout=1)
脚本

三层发现-nmap

nmap -sn 1.1.1.1-255
nmap -iL iplist.txt -sn

三层发现-fping

fping 1.1.1.1 -c 1
fping -g 1.1.1.1 1.1.1.2
fping -g 1.1.1.0/24
fping -f iplist.txt

三层发现-Hping

能够发送几乎所有TCP/IP包
功能强大但每次只能扫描一个目标:(
hping3 1.1.1.1 -icmp -c 2
for addr in(seq1254):dohping31.1.1.(seq1254):dohping31.1.1.addr --icmp -c 1 >> handle.txt & done

发现-四层发现

优点:

- 可路由且结果可靠
- 不太可能被防火墙过滤
- 甚至可以发现所有端口都被过滤的主机

缺点:

- 基于状态过滤的防火墙可能过滤扫描
- 全端口扫描速度慢

- 未经过请求的ACK-RST(可用于判断主机是否存活)
- SYN-SYN/ACK,RST

- ICMP端口不可达,一去不复返

四层发现–Scapy(TCP发现)

ACK-TCP Port–RST
Scapy

- i=IP()
- i.dst=“www.baidu.com”
- t=TCP()
- t.flags=‘A’
- r=(i/t)
- a=sr1®
- a.display()

a=sr1(IP(dst=“www.baidu.com”)/TCP(dport=80,flags=‘A’),timeout=1))
ACK_Ping.py

四层发现–Scapy(UDP发现)

UDP-UDP Port-ICMP
i=IP()
u=UDP()
u.dport=33333
r=(i/u)
a=sr1(r.timeout=1,verbose=1)
A.display()

- ICMP

UDP_Ping.py

- UDP发现不可靠

四层发现-nmap

nmap 1.1.1.1-254 -PU53 -sn
nmap 1.1.1.1-254 -PA80 -sn
nmap -iL iplist.txt -PA80 -sn

四层发现

hping3 -udp 1.1.1.1 -c 1
for addr in (seq1,254);dohping3−udp1.1.1.(seq1,254);dohping3−udp1.1.1.addr -c 1 >> r.txt; done

- grep Unreachable.txt | cut -d" " -f 5 | cut -d “=” -f 2
- ./udp_hping.sh 1.1.1.0

hping3 1.1.1.1 -c 1 (TCP)

- hping3 1.1.1.1
- ./TCP_hping.sh
- Flag 0–ACK.RST

端口扫描

端口对应网服务及应用端程序
服务端程序的漏洞通过端口攻入
发现开发的端口
更具体的攻击面
攻击流程:发现活的IP->发现开发端口->通过端口漏洞攻入

端口扫描之UDP端口扫描

假设ICMP port-unreachable 响应代表端口关闭

- 目标系统不响应ICMP port-unreachable时,可能产生误判

完整的UDP应用层请求

- 准确性高
- 耗时巨大

具体操作

- Scapy UDP Scan

- - 端口关闭:ICMP port-unreacheable
  - 端口开放:没有回包
  - 了解每一种基于UDP的应用层结构很有绷住
  - 与三层相同的技术
  - 误判

- Scapy

- - sr1(IP(dst=“1.1.1.1”)/UDP(dport=53).timeout=1,verbose=1)

- ./udp_scan.py 1.1.1.1 1 100

端口扫描(UDP)-nmap

Nmap
nmap -sU 1.1.1.1

- 默认的1000个参数
- ICMP host-unreachable

nmap 1.1.1.1 -sU -p 53
nmap -iL iplist.txt -sU -p 1-220

端口扫描(TCP)-nmap

TCP 端口扫描

- 基于连接的协议
- 三次握手

- 隐蔽扫描–syn

- - 不建立完整连接
  - 应用日志不记录扫描行为-隐蔽

- 僵尸扫描
- 端口开放状态

- 端口关闭状态

- - 极度隐蔽

- - - 实施条件苛刻
    - 可伪造源地址
    - 选择僵尸机

- - - - 闲置系统
      - 系统使用递增的IPID

- - - - 0
        
        随机

- - 全连接扫描
  - 所有TCP扫描方式都是基于三次握手的变化来判断目标端口状态

隐蔽端口扫描

- Syn-syn.ack-rst
- Scapy

- - srl(IP(dst=“your ip address”)/TCP(dport=80),timeout=1,verbose=1)
  - ./syn_scan.py

- namp

- - nmap -sS 1.1.1.1 -p 80.21.25.110 443
  - nmap -sS 1.1.1.1 -p --65535 --open
  - nmap -sS 1.1.1.1 -p --open
  - nmap -sS -iL iplist.txt -p 80

- hping3

- - hping3 1.1.1.1 --scan 80 -S
  - hping3 1.1.1.1 --scan [ip] -S
  - hping3 1.1.1.1 --scan 0-65535 -S
  - hping3 -c 10 -S --spoof [伪造IP] -p ++1 1.1.1.1.3

全连接端口扫描

Scapy

- Syn扫描不需要raw packets
- 内核认为syn/ack是非法包,直接发rst中断连接
- 全连接扫描对scapy比较困难

sr1(IP(dst=“www.baidu.com”)/TCP(dport=22,flags=‘S’))
./tcp_scan1.py
./tcp_scan2.py
iptables(Linux防火墙) -A OUTPUT -p tcp --tcp–flags RST RST -d “www.baidu.com” -j DROP
nmap

- nmap -sT 1.1.1.1 -p 80
- nmap -sT 1.1.1.1 -p 80.21.25
- nmap -sT 1.1.1.1 -p 80-200
- nmap -sT iplist.txt -p 80
- 默认1000个常用端口

dmiltry

- 功能简单,但使用简便
- 默认150个最常用的端口
- dmiltry -p 172.16.36.135
- dmiltry -p 172.16.36.135 -o output

- nc -nv -w 1 -z [your ip address ] 1-100
- for x in ${seq 20 30}; do nc -nv -w 1 -z 1.1.1.1 $x; done | grep open
- for x in (seq1254);donc−nv−w1−z1.1.1.(seq1254);donc−nv−w1−z1.1.1.x 80; done

僵尸扫描(条件苛刻需要合格的僵尸机)

合格的僵尸机:xp系统,windows 2003 server
Scapy-zombie.py

- i=IP()
- t=TCP()
- rz=(i/f)
- rt=(i/t)
- rz[IP].dst=IPz
- rz[TCP].dport=445
- rt[IP].src=IPz
- rt[IP].dst=IPt
- rt[TCP].dport=22
- az1=sr1(rz) / at=sr1(rt) / az2=sr1(rz)
- az1.dsiplay() / az2.display()

xp:僵尸机,metasploit:目标机,kali:扫描机
nmap

- 发现僵尸机

- - nmap -p445 www.baidu.com --script=ipideseq nse

- 扫描目标

- - nmap 172.16.36.135 -sl 172.16.36.134 -Pn -p 0-100

服务扫描

识别开放端口上运行的应用
识别目标操作系统
提高攻击效率

- Banner捕获
- 服务识别
- 操作系统识别
- SNMP分析
- 防火墙识别

Banner捕获

软件开发商
软件名称
服务类型
版本号

- 直接发现已知的漏洞和弱点

连接建立后直接获取banner
另类服务识别方法

- 特征行为和响应字段
- 不同的响应可用于识别底层操作系统

基本操作

- way1: nc -nv [your ip address]
- way2:python socket:socket 模块用于连接网络服务

import socket banner=socket.socket(socket.AF_INET,socket.SOCK_STREAM) banner.connect(("www.baidu.com",21)) banner.recv(4096) # 接收数据大小 banner.close() exit()

- Banner不允许抓取,recv无返回将挂起
- way3:

- - dmitry -p www.baidu.com
  - dmitry -pb www.baidu.com

- way4:

- - nmap -sT [ip address] -p 22 --script=banner nse

- way5:

- - amap -B “ip address”
  - amap -B “ip address” 1-65535
  - amap -B “ip address” 1-65535 | grep on
  - amap [ip address]
  - amap [ip address] -q
  - amap [ip address] -qb

Banner 信息抓取能力有限
nmap响应特征分析识别服务

- 发送系列复杂的探测
- 依据响应特征signature

nc -nv 1.1.1.1 80
nmap 1.1.1.1 -p 80 -sV

SNMP

简单网络管理协议
Community strings
信息查询或重新配置
识别和绕过防火墙筛选

操作系统识别

操作系统识别技术

- 种类繁多
- 好产品采用多种技术组合

TTL起始值

- Windows: 128(65-128)
- Linux/Unix:64 (1-64)
- 某些Unix:255
- python脚本

from scapy.all import * win="1.1.1.1" lin="1.1.1.2" aw=sr1(IP(dst=win)/ICMP()) al=sr1(IP(dst=linu)/ICMP()) if al[IP].ttl<64 print "host is linux" else print "host is windows"

nmap使用多种技术识别操作系统

- nmap 1.1.1.1 -O
- 系统服务特征

xprobe2 1.1.1.1

- 结果有误差

被动操作系统识别

- IDS
- 抓包分析
- 被动扫描
- p0f

- - 结合ARP地址欺骗识别全网OS

SNMP扫描

snmp(简单网络管理协议)

- 信息的金矿
- 经常被错误配置
- public/private/manager

MIB Tree (查用常用操作系统和设备信息)

- SNMP Management information Base(MIB)
- 树形的网络设备管理功能数据库
- 1.3.6.1.4.77.1.2.25

onesixtyone 1.1.1.1 public
onesixtyone -c dict.txt -i hosts -o my.log -w 100
snmpwalk 1.1.1.1 -c public -v 2c
用户

- snmpwalk -c public -v 2c 1.1.1.1 1.36.1.4.1.77.1.2.25

snmpcheck -t [input ip address]
snmpcheck -t [input ip address] -c private -v 2
snmpcheck -t [input ip address] -w

SMP 扫描

Server Message Block协议

- 微软历史上出现安全最多的协议
- 实现复杂
- 默认开放
- 文件共享
- 空会话未身份认证访问(SMBI)

- - 密码策略
  - 用户名
  - 组名
  - 机器名
  - 用户,组SID

nmap -v -p139,445 192.168.60.1-20
nmap 192.168.60.4 -p139,445 --script=smb-os-discovery.nse
nmap -v -p139,445 --script=smb-vuln-*.nse --script-orgs=unsafe=1.1.1.1
namp:脚本位置: /usr/share/nmap/scripts
nbtscan -r 192.168.60.0/24
enum4linux -a 192.168.60.10

SMTP 扫描

nc -nv 1.1.1.1 25

- VRFY root

nmap smtp.163.com -p25 --script=smtp-enum-users.nse --script-args=smtp-enum-users.methods={VRFY}
nmap smtp.163.com -p25 --script=smtp-open-relay.nse
smtp-user-enum -M VRFY -U users.txt -t 1.1.1.1
./smtp.py

防火墙识别

通过检查回包,可能识别端口是否经过防火墙过滤
设备多种多样,结果存在一定误差

scapy
python 脚本
namp

- nmap有系列防火墙检测功能
- nmap -sA 172.16.36.135 -p 22

负载均衡识别

广域网负载均衡

- DNS

HTTP-Loadbalancing

- Nginx
- Apache

lbd www.baidu.com
lbd mail.163.com

WAF识别

WEB应用防火墙
wafw00f -l
wafw00f http://www.microsoft.com
nmap www.microsoft.com --script=http-waf-detect.nse
实际可绕过,需要使用机器学习,结合语法,词法几乎可完全避免sql等web攻击

NMPA补充(强大的扫描器)

所有参数

- 主机发现

- - sn: 不做端口扫描
  - Pn: 不管是否回复,扫描所有要扫的ip,再判断
  - PS/PA/PU/PY
  - PE/PP//PM
  - PO
  - -n/-R:不做DNS解析/做解析
  - –dns-servers
  - –traceroute

- 扫描技术

- - sS/sT/sWW
  - sU (UDP扫描)
  - scanflags
  - sI:僵尸扫描

- 服务扫描(探测端口服务)

- - sV
  - version–intensity
  - version-all

- 脚本扫描

- - –script-updatedb
  - –script-help

- 操作系统检测

- - osscan-limit 限制操作系统检测

- 时间和性能相关

- - 使得扫描经过一段时间进行重新扫描,不被发现
  - –scan-delay [time]

- 防火墙/IDS 欺骗,躲避

- - D:伪造源地址,增加噪声IP
  - S:欺骗源地址

zenmap(图形化nmap)

Kali Linux 从入门到精通(八)-主动信息收集

猜你喜欢