滲透是指網(wǎng)絡(luò)安全專業(yè)人員模擬黑客入侵攻擊目標(biāo),以評(píng)估目標(biāo)的安全防御能力。一般分為:黑盒滲透試驗(yàn)、白盒滲透試驗(yàn)、灰盒滲透試驗(yàn)。
滲透的類(lèi)和組織的使用和范圍,以及他們是否想模擬員工、網(wǎng)絡(luò)管理員或外部來(lái)源的攻擊。在黑盒滲透中,人員沒(méi)有獲得大量關(guān)于他將的應(yīng)用程序的信息,人員有責(zé)任收集目標(biāo)網(wǎng)絡(luò)、系統(tǒng)或應(yīng)用程序的信息;在白盒滲透中,人員將獲得完整的網(wǎng)絡(luò)、系統(tǒng)或應(yīng)用程序信息和源代碼、操作系統(tǒng)的詳細(xì)信息和其他所需信息。它可以被視為模擬內(nèi)部來(lái)源的攻擊;在灰盒滲透中,人員將具有應(yīng)用程序或系統(tǒng)的部分知識(shí)。因此,它可以被認(rèn)為是外部黑客的攻擊,黑客已經(jīng)非法訪問(wèn)了該組織的網(wǎng)絡(luò)基礎(chǔ)設(shè)施文件。
從實(shí)際滲透人員的角度來(lái)看,實(shí)施過(guò)程中的一般滲透過(guò)程是什么?一般可分為目標(biāo)確認(rèn)、信息收集、漏洞發(fā)現(xiàn)、漏洞利用、內(nèi)網(wǎng)滲透權(quán)限維護(hù)、目標(biāo)獲取痕跡清理等過(guò)程。
一、目標(biāo)確認(rèn)目標(biāo)確認(rèn)是指明確滲透的目標(biāo)(獲取權(quán)限還是獲取數(shù)據(jù)?)、范圍、時(shí)間、限制等。這個(gè)目標(biāo)有兩個(gè)含義。簡(jiǎn)單地說(shuō),較終的目標(biāo)是什么?我想得到什么?
二、信息收集信息收集:明確目標(biāo)后,收集目標(biāo)范圍內(nèi)的各種信息。當(dāng)你第一次接觸滲透時(shí),你可能聽(tīng)過(guò)這樣一句話:滲透的本質(zhì)是信息收集。是的,為什么要收集信息?因?yàn)椴皇占畔?,攻擊范圍?huì)很窄,盯著現(xiàn)成域名或者一個(gè)IP,這就像殺死自己一樣。在實(shí)際的項(xiàng)目中,我經(jīng)常遇到一些同事帶著問(wèn)題來(lái)找我,說(shuō)他們不能繼續(xù)做,不能繼續(xù)深入,通常在這個(gè)時(shí)候,我會(huì)告訴他們,當(dāng)你不能再做了,然后繼續(xù)回去做信息收集,看看你錯(cuò)過(guò)了什么。
那么我們?cè)谛畔⑹占臅r(shí)候要做收集哪些信息呢?怎么收集呢?信息要收集:域名、子域名、IP及端口、IP域名反向檢查、服務(wù)提供商、應(yīng)用服務(wù)系統(tǒng)版本、域名歷史分析IP、框架語(yǔ)言、開(kāi)源情報(bào)、防御措施等。
目前市場(chǎng)上有很多信息收集工具,可以根據(jù)自己的喜好進(jìn)行選擇。
三、發(fā)現(xiàn)漏洞漏洞發(fā)現(xiàn):目標(biāo)應(yīng)用系統(tǒng)的漏洞是在信息收集的基礎(chǔ)上發(fā)現(xiàn)的。漏洞發(fā)現(xiàn)我為大家整理了四個(gè)方面:
框架組件公開(kāi)漏洞:根據(jù)使用的框架組件版本,找到公開(kāi)漏洞進(jìn)行驗(yàn)證payload,通過(guò)手動(dòng)或工具驗(yàn)證漏洞。一般來(lái)說(shuō),這種漏洞有很多漏洞。
傳統(tǒng)漏洞:如xsssql注入ssrf對(duì)于傳統(tǒng)的網(wǎng)絡(luò)安全漏洞,這部分可以用手工或工具來(lái)識(shí)別,以每個(gè)人對(duì)漏洞的掌握程度。
密碼漏洞:對(duì)系統(tǒng)登錄入口點(diǎn)進(jìn)行密碼攻擊。
代碼審計(jì)0day:在開(kāi)源或未開(kāi)源的情況下,獲取目標(biāo)應(yīng)用系統(tǒng)源代碼并進(jìn)行代碼審計(jì)
四、利用漏洞利用漏洞:利用發(fā)現(xiàn)的目標(biāo)漏洞,利用漏洞獲得目標(biāo)系統(tǒng)的權(quán)限。
由于不同漏洞的特點(diǎn),漏洞使用不同,漏洞使用一個(gè)人對(duì)漏洞理解的深度,漏洞發(fā)現(xiàn)非常不同,在滲透過(guò)程中有效攻擊目標(biāo),需要充分了解每個(gè)漏洞的使用,越好,所以我們可以應(yīng)對(duì)不同的場(chǎng)景,建議你在經(jīng)典Web漏洞的基礎(chǔ)上,針對(duì)每種漏洞通過(guò)搜索漏洞名稱 利用方式(如SQL不斷深入學(xué)習(xí),關(guān)注各種公共漏洞,學(xué)習(xí)各種安全自動(dòng)化工具的原理,如通過(guò)學(xué)習(xí)SQLMAP源碼學(xué)習(xí)SQL注入使用,學(xué)習(xí)XSS平臺(tái)使用代碼學(xué)習(xí)XSS利用。
五、維護(hù)權(quán)限權(quán)限維護(hù)和內(nèi)網(wǎng)滲透:進(jìn)入目標(biāo)內(nèi)容,橫向擴(kuò)展,接近滲透目標(biāo)
六、目標(biāo)獲取目標(biāo)獲取、痕跡清理:獲取滲透目標(biāo)權(quán)限或數(shù)據(jù),返回?cái)?shù)據(jù),進(jìn)行痕跡清理。
以上是對(duì)滲透試驗(yàn)過(guò)程作者的總結(jié)。值得注意的是:1.不要在滲透試驗(yàn)過(guò)程中進(jìn)行ddos攻擊,不破壞數(shù)據(jù)。2.重要數(shù)據(jù)在前備份。任何都必須在執(zhí)行前與客戶溝通,以避免不必要的麻煩。3.鏡像環(huán)境可以生成原始系統(tǒng),然后鏡像環(huán)境。4.明確滲透試驗(yàn)范圍。
產(chǎn)品推薦