渗透测试工程师_渗透测试mac

虚拟多Mac地址工具Multimac

Mac地址采用唯一标识标记 *** 的各种设备。在同一个时间内，Linux系统中的网卡只能使用一个Mac地址。在渗透测试中，为了隐藏自己的身份，往往需要以不同的Mac地址来访问 *** 。Kali Linux自带的Multimac工具可以为 *** 接口同时伪造多个Mac地址，并且同时使用。该工具可以同时创建多个虚拟网卡，这些网卡自动组成一个局域网。安全人员将这个 *** 和物理网卡建立桥接。这样，物理 *** 就增加了多个Mac地址的 *** 设备。

有没有用MacBook做渗透测试的，面对各种工具不支持该怎么办

主要是做：

1、负责渗透测试技术服务实施，编写渗透测试报告；

2、负责渗透测试技术交流、培训；

3、负责代码审计、漏洞检测与验证、漏洞挖掘；

4、负责最新渗透测试技术学习、研究。

应聘这样的职位有一定的职业要求：

1、熟悉交换路由等 *** 协议、熟悉ACL、NAT等技术、熟悉 *** 产品配置和工作原理；熟悉LINUX、AIX等操作系统安全配置；熟悉ORACLE、MSSQL、MYSQL等数据库安全配置；熟悉WEB、FTP、邮件等应用安全配置；

2、能熟练使用各类渗透测试工具，熟悉手工注入、上传、中间人攻击测试、业务逻辑漏洞测试；

3、熟悉HTML、XML、ASP、PHP、 *** P等脚本语言，会使用C/C++、JAVA、.net、PYTHON等进行程序开发；

4、熟悉木马、后门技术、SHELLCODE技术、免杀技术、密码破解技术、漏洞挖掘技术、远程控制技术等。

渗透测试之操作系统识别

利用TTL起始值判断操作系统,不同类型的操作系统都有默认的TTL值(简陋扫描,仅作参考)

TTL起始值:Windows xp(及在此版本之前的windows)  128 (广域网中TTL为65-128)

    Linux/Unix64(广域网中TTL为1-64)

    某些Unix:255

    网关:255

使用python脚本进行TTL其实质判断

使用nmap识别操作系统:nmap -O 192.168.45.129 #参数-O表示扫描操作系统信息,nmap基于签名,指纹,特征,CPE编号等 *** 去判断目标系统的信息

CPE:国际标准化组织,制定了一套标准,将各种设备,操作系统等进行CPE编号,通过编号可以查询到目标系统

使用xprobe2进行操作系统识别,专门用来识别目标操作系统:xprobe2 192.168.45.129,但结果并不是很精确

被动操作系统识别:不主动向目标主机发数据包,基于 *** 监听原理

通过抓包分析,被动扫描,使用kali中的p0f工具进行 *** 监听

p0f:p0f是一种被动指纹识别工具，可以识别您连接的机器，连接到您的盒子的机器，甚至连接在盒子附近的机器，即使该设备位于数据包防火墙后面。

p0f的使用:只要接收到数据包就可以根据数据包判断其信息,首先输入p0f,然后在浏览器里面输入目标系统的网址,便会获得目标系统的信息

或者使用p0f结合ARP地址欺骗识别全网OS

snmp扫描:简单 *** 管理协议,明文传输,使用 *** 嗅探也可获取到信息

SNMP是英文"Simple Network Management Protocol"的缩写，中文意思是"简单 *** 管理协议"。SNMP是一种简单 *** 管理协议，它属于TCP/IP五层协议中的应用层协议，用于 *** 管理的协议。SNMP主要用于 *** 设备的管理。由于SNMP协议简单可靠 ，受到了众多厂商的欢迎，成为了目前最为广泛的网管协议。

snmp的基本思想是为不同种类、不同厂家、不同型号的设备定义一个统一的接口和协议，使管理员可以通过统一的外观面对这些需要管理的网管设备进行管理，提高网管管理的效率，简化 *** 管理员的工作。snmp设计在TCP/IP协议族上，基于TCP/IP协议工作，对 *** 中支持snmp协议的设备进行管理。

在具体实现上，SNMP为管理员提供了一个网管平台(NMS)，又称为管理站，负责网管命令的发出、数据存储、及数据分析。被监管的设备上运行一个SNMP *** (Agent))， *** 实现设备与管理站的SNMP通信。如下图

管理站与 *** 端通过MIB进行接口统一，MIB定义了设备中的被管理对象。管理站和 *** 都实现了相应的MIB对象，使得双方可以识别对方的数据，实现通信。管理站向 *** 申请MIB中定义的数据， *** 识别后，将管理设备提供的相关状态或参数等数据转换为MIB定义的格式，应答给管理站，完成一次管理操作。

已有的设备，只要新加一个SNMP模块就可以实现 *** 支持。旧的带扩展槽的设备，只要插入SNMP模块插卡即可支持 *** 管理。 *** 上的许多设备，路由器、交换机等，都可以通过添加一个SNMP网管模块而增加网管功能。服务器可以通过运行一个网管进程实现。其他服务级的产品也可以通过网管模块实现 *** 管理，如Oracle、WebLogic都有SNMP进程，运行后就可以通过管理站对这些系统级服务进行管理。

使用UDP161端口(服务端),162端口(客户端),可以监控 *** 交换机,防火墙,服务器等设备

可以查看到很多的信息,但经常会被错误配置,snmp里面

有一些默认的Community,分别是Public/private/manager

如果目标的community是public,那么就可以发送SNMP的查询指令,对IP地址进行查询

在kali中存在对snmp扫描的工具,为onesixtyone

在Windows XP系统安装SNMP协议:

1,在运行框输入appwiz.cpl

2,找到管理和监控工具,双击

3,两个都勾选,然后点OK

使用onesixtyone对目标系统进行查询:命令为:onesixtyone 192.168.45.132  public

  onesixtyone -c  字典文件  -I  主机  -o 倒入到的文件 -w 100

onesixtyone默认的字典在:/usr/share/doc/onesixtyone/dict.txt

使用snmpwalk查找目标系统的SNMP信息:snmpwalk 192.168.45.129 -c public -b 2c

snmpcheck -t  192.168.45.129

snmpcheck -t  192.168.45.129 -w  参数-w检测是不是有可写权限

*** B协议扫描:server message block,微软历史上出现安全问题最多的协议,在Windows系统上默认开发,实现文件共享

在Windows系统下管理员的Sid=500,

*** B扫描:nmap -v -p 139,445 192.168.45.132 --open 参数-v表示显示详细信息,参数--open表示显示打开的端口

nmap 192.168.45.132 -p 139,445 --script= *** b-os-discovery.nse

*** b-os-discovery.nse:这个脚本会基于 *** B协议去判别操作系统,主机名,域名,工作组和当前的时间

nmap -v -P 139,445 --script= *** b-check-vulns  --script-args=unsafe=1 192.168.45.132

脚本 *** b-check-vulns:检查已知的 *** B重大的漏洞

后面给脚本定义参数 --script-args=unsafe=1,unsafe可能会对系统有伤害,导致宕机,但要比safe准确

nbtscan -r 192.168.45.0/24参数-r使用本地137端口进行扫描,兼容性较好,可以扫描一些老版本的Windows

nbtscan可以扫描同一局域网不同的网段,对于局域网扫描大有裨益

enum4linux -a 192.168.45.132 :

*** TP扫描:目的在于发现目标系统的邮件账号

使用nc -nv 192.168.45.132 25

VRFY root :确定是不是有root用户

nmap扫描 *** TP服务:

nmap *** tp.163.com -p25 --script= *** tp-enum-users.nse --script-args= *** tp-enum-

users.methods={VRFY}

脚本 *** tp-enum-users.nse用于发现远程系统上所有user的账户

nmap *** tp.163.com -p25 --script= *** tp-open-relay.nse,如果邮件服务器打开了open-relay功能,那么黑客可以拿管理员的邮箱去发送钓鱼邮件

防火墙识别:通过检查回包,可能识别端口是否经过防火墙过滤

设备多种多样,结果存在一定的误差

之一种情况:攻击机向防火墙发送SYN数据包,防火墙没有给攻击机回复,攻击机再发送ACK数据包,若防火墙返回RST数据包,那么证明该端口被防火墙过滤

第二种类似

第三种:攻击机向防火墙发送SYN数据包,防火墙返回SYN+ACK或者SYN+RST数据包,攻击者再发送ACK数据包,若防火墙返回RST数据包,那么就可以证明防火墙对于该端口没被过滤.unfiltered=open

第四种情况类似,证明该端口是关闭的,或者防火墙不允许其他用户访问该端口

使用python脚本去判定:

使用nmap去进行防火墙识别:nmap有系列防火墙过滤检测功能

nmap -sA 192.168.45.129 -p 22 参数-sA表示向目标主机发送ACK数据包,参数-sS表示向目标发送SYN数据包,通过抓包分析收到的数据包判断是否有防火墙检测功能

负载均衡识别:负载均衡可以跟为广域网负载均衡和服务器负载均衡

在kali中使用lbd命令用于识别负载均衡机制

格式:lbd +域名/IP地址,如lbd

WAF识别:WEB应用防火墙,在kali中最常用的waf检测扫描器

输入:wafw00f -l:可以检测出这个工具可以检测到的waf类别

探测微软公司的WAF:wafw00f 

使用nmap中的脚本去扫描目标网站使用的waf信息:nmap    --script=http-waf-detect.nse

脚本详情:

nmap补充:

参数:-iL:把IP地址做成文件,使用该参数扫描这个文件里面的IP! nmap -iL ip.txt

-iR:随机选取目标进行扫描,后面跟需要扫描的主机个数,例:nmap -iR  20  -p 22:随机扫描20个主机的22号端口,默认发送SYN数据包

参数-sn表示不做端口扫描

参数-Pn表示跳过主机发现,扫描所有在线的主机,扫防火墙帮助很大

参数p0表示进行IP协议ping

参数-n/-R表示不进行DNS解析

参数--dns-servers表示指定一个DNS服务器去解析

参数--traceroute表示进行路由追踪

参数-sM表示发送ACK+FIN

参数-sF发送FIN数据包

参数-sV根据特征库匹配开放的服务,加上参数--version-intensity 后面加等级,0最小,9最完善

参数--script=脚本名

参数--script=arge.脚本.脚本名

参数--script-updatedb更新脚本

参数--script-help=脚本名  查看脚本的信息

参数-O检测操作系统类型

参数--scan-delay 表示每次探测间隔多长时间,后面个时间,如nmap 192.168.45.132 --scan-delay 10s :间隔十秒

参数-f表示设置MTU更大传输单元

参数-D表示伪造源地址,增加一些虚假的扫描IP,例:nmap  -D 192.138.1.1,192.151.141.4  172.16.45.1  :扫描172.16.45.1主机,用这两个地址做干扰,防止被发现

参数-S表示伪造源地址,但要获取得到的IP地址,那么就得登陆到伪造的IP上

参数--proxies指定 *** 服务器

参数--spoof-mac欺骗mac地址 nmap 10.1.1.1  --spoof-mac=00:11:22:33:44:55

参数-6表示扫描IPv6

内网渗透--对不出网目标的打法

配置 ***

在VM虚拟机中按照下边的 *** 拓扑进行配置 *** 。 *** 拓扑图如下：

win7具有双网卡，其中外网ip是192.168.8.133，内网网段是52。三台机器彼此互通，但是win server 2008和win2003不通外网。用我mac作为攻击机，来对这个靶场环境进行渗透测试。

外网打点

在win7这台靶机上，使用PHPStudy让网站可以运行起来。在攻击机上，访问   可以看到是一个phpStudy 探针。对这网站进行渗透，因为本文主要写在内网渗透过程中对不出网主机的渗透，所以此处外网打点就不写的很详细了。

针对此靶场进行外网渗透拿权限大致有这几种 *** ：

通过phpmyadmin弱口令，进入phpmyadmin后台。然后知识点就变成了，通过phpmyadmin进行getshell，这个点又分为，得到网站绝对路径后，使用select into outfile的方式写shell和利用日志写shell。在此处，我是使用日志写shell的 *** 拿到权限。因为secure_file_priv配置为null，禁止修改目录下的文件，也就不能使用into outfile的方式写入shell。

通过目录扫描可以扫出beifen.rar，备份文件。在源码中可以找到登陆后台的账号密码：admin/123456和登陆路径/index.php?r=admin，在前台模板文件中添加一句话木马连接也可获取shell。

获得webshell的信息收集

通过外网打点获得的webshell，可以进行一波信息收集，摸清我是谁？我在哪？有没有内网环境？有没有杀软？通过拿到webshell后的信息收集的结果来评估一下有没有必要继续深入或者初步了解继续深入的话需要哪些手段。

我是谁？

蚁剑已经给出基础信息

我在哪？

使用ipconfig /all 看一下 *** 信息

目标有两个网卡，并且存在域环境，那么就有打它内网的必要了。

有没有杀软?

tasklist查看一下进程信息

根据进程查一下是否有杀软

目标没有使用杀软，还有域环境那么让它直接cs上线。

内网渗透

cs上线

内网信息收集

信息收集每个人都有自己的习惯，信息收集的顺序和信息收集的项目也都不太一样，只要根据自己的习惯和嗅觉，针对目标具体情况进行收集，以求尽快的拿下目标就好。信息收集的越全面突破口也就会越多，考虑到篇幅和文章内容匹配度等因素，此处并没有写出大量信息收集 *** 。

使用cs自带的net view查看域信息。

使用cs自带功能进行端口扫描，分别对8和52两个网段进行扫描进行完这两个步骤以后，cs会把扫到的目标列出来。

因为拿到的是管理员权限，可以先抓一波密码。用 cs 的 hashdump 读内存密码，用 mimikatz 读注册表密码：logonpasswords。

此处打码的地方是因为配置靶机登陆时靶机提示重置密码，我给靶机改了个包含个人信息的密码。蠢哭。拿到密码后，目标主机没有开启防火墙，可以使用cs自带的psexec做一波横向，因为抓到很多域中机器密码，域控密码也抓到了。

内网横向（通过登录凭证）

这个靶机设置的比较简单，抓到密码后，因为抓到了域控登陆的凭证，那么使用psexec即可横向内网所有机器。因为，另外两台内网的机器不出网，那么就到了本文着重练习的点了，打不出网的机器。

不出网机器上线一般有以下几种方式：

使用 *** b beacon

配置listener通过HTTP *** 上线

使用pystinger搭建socks4 ***

这几种方式之前有师傅也在先知写过 《不出网主机上线 *** 》 。此处我采用的 *** B beacon这个 *** 。

*** B Beacon使用命名管道通过父级Beacon进行通讯，当两个Beacons链接后，子Beacon从父Beacon获取到任务并发送。因为链接的Beacons使用Windows命名管道进行通信，此流量封装在 *** B协议中，所以 *** B beacon相对隐蔽。 *** B beacon不能直接生成可用载荷, 只能使用 PsExec 或 Stageless Payload 上线。

首先得到内网中一台主机的beacon，抓取密码后进行 *** b喷射，得到另一台开放445端口的机器上的administrator账户密码，在目标机器不出网的情况下，可以使用Smb beacon使目标主机上线

使用条件

具有 *** B Beacon 的主机必须接受 445 端口上的连接。

只能链接由同一个 Cobalt Strike 实例管理的 Beacon。

利用这种beacon横移必须有目标主机的管理员权限或者说是拥有具有管理员权限的凭据。

使用 *** ：

1.建立 *** b的listener

2.在cs中使用psexec进行横向移动，选择现有的beacon作为跳板，这里凭据必须是administrator ，即拥有目标主机管理员权限

3.连接成功，可以看到 *** b beacon上线的主机右侧有∞∞标识

使用这种 *** 上线的机器，主要是通过出网机作为一个中间人，不出网主机成功上线后，如果出网机一断开，这个不出网主机也会断。

内网横向（通过ms-17010）

在拿下win7的时候，可以给它传一个fscan，给win7做一个内网大保健。上传fscan后，运行扫一下内网。

发现存在ms17010。

ms17010常见的几种打法：

msf

ladon/ladon_ms17010

从msf分离出的exe

nessus里的exe

cs插件

这几种打法，我在这个环境中都做过尝试。过程就不一一叙述了，直接说我测试的结果。msf是最稳定的，但是打起来有稍许的麻烦因为要设置监听模块和选择攻击模块等配置。ladon_ms17010方便但是不太稳有时候会打不成功。cs插件也不稳，并且在这种不出网 *** 不稳定的情况下成功率会变的更低。

这个图片的ip可能跟上边配置符不起来，因为我在测试过程中，网断过几次，ip就变了。所以，在打的时候，如果ladon和分离出的exe没有打成，不要轻易放弃，用msf在打打试试，毕竟工具就是工具，不能过分依赖某个工具。

在这种不出网的情况下，可以优先考虑使用从msf分离出的exe和ladon_ms17010来打，打成功会直接通过自定义的dll新建一个用户并加入管理员组，开启3389端口。根据实际情况，可考虑在合适的时间段和条件下直接远程登入，翻一下敏感数据，往往会因为运维人员的很多“好习惯”而给渗透带来很多便利，比如说“密码本.txt”。

msf打不出网机器的ms17010

msf在单兵作战的时候还是很稳定很香的。首先，让出网机器先在msf上线，可以用cs直接传递会话，或者生成个msf马直接运行一下。在这的 *** 就很多了。win7在msf上线后，因为我们已经提前知道了，存在52这个不出网的段，那么就需要在msf中添加路由。

查看路由

run get_local_subnets

添加路由

run autoroute -s 192.168.52.0/24

查看添加的路由

run autoroute -p

把shell切换到后台，然后使用ms17010模块进行漏洞利用，监听时使用正向监听，即可

小贴士：

漏洞检测 *** ：

use auxiliary/scanner/ *** b/ *** b_ms17_010

之后设置一下目标ip和线程即可，这里因为已经扫出存在漏洞的机器了，也就不在叙述。

漏洞利用常使用的是：

auxiliary/admin/ *** b/ms17_010_command

exploit/windows/ *** b/ms17_010_eternalblue

exploit/windows/ *** b/ms17_010_psexec

这里的之一个和第三个模块需要目标开启命名管道，并且比较稳定。第二个模块只要存在漏洞即可，但是会有概率把目标打蓝屏，而且杀软拦截也会比较严格，如果有杀软就基本可以放弃这个模块了。

在打ms17010的时候，不妨使用auxiliary/admin/ *** b/ms17_010_command模块探测一下是否可以使用命名管道。

use auxiliary/admin/ *** b/ms17_010_commandsetrhosts192.168.164.156192.168.164.161setcommandtasklistshow optionsrun

如果命令执行成功的话就可以优先考虑

auxiliary/admin/ *** b/ms17_010_commandexploit/windows/ *** b/ms17_010_psexec

这两个模块进行利用。

我在上边打得时候因为目标机器没有杀软就直接使用exploit/windows/ *** b/ms17_010_eternalblue来打了，期间为了测试打过多次，确实出现了把目标机器打重启的情况。

总结

这个靶场设计的技能点比较基础，外网打点获得shell后，直接可以通过cs上线，在管理员权限下，抓取密码，新建一个 *** b beacon然后使用psexec对内网两台不出网的机器进行横向。

macbookpro有必要买16g吗

苹果在前段时间的发布会上推出了MacBook Pro，不过和微软推出的Surface Studio一体机对比之后发现MacBook Pro稍逊一筹。并且有许多用户在吐槽这款笔记本只有16GB的内存显得太小了，不过现在有开发者称，16GB内存够用了。

众人吐槽苹果新款 MacBook Pro 的其中一点是：运行内存被限制在 16GB，MacBook Pro 的能力根本不够“Pro”。相当一部分人认为，只有 16GB 内存，意味着 MacBook Pro 不能同时打开多款专业级别的应用程序，但实际真是这样吗？科技博客 Blog of Tings 旗下开发者日前就在一篇文章中指出，对于绝大多数专业用户来说，16GB 内存已经够用。

“为了测试，我同时在新款 MacBook Pro 打开了一系列我能想象到的所有软件，其中就包括为专业摄影师、专业设计师、软件工程师、渗透测试工作者、逆向工程师等设计的专业级程序。同时打开这些软件之后，我还尽可能在它们之间来回切换，毕竟这样显得更‘专业’。结果？我自己都累了，电脑都没累。在此期间，系统显示更高占有内存为 14.5GB。”

这位开发者表示，虽然会有极少数专业软件对内存的占有超过 16GB，但是别忘了这只是一款笔记本电脑，要考虑到它的便携性。如果你真的有这么大的需求，应该去选择Mac Pro 而不是 MacBook Pro。

此前曾有分析师提到，新一代 MacBook Pro 的出现是苹果冷落专业 Mac 用户的体现。但是从这位开发者的测试结果来看，所谓的“冷落”也许只是一种跟风。

不过从目前用户的使用途径来看，16GB还是可以接受的，普通用户那没的说，肯定够用，尽管是一些Web开发、iOS开发的16GB内存也足够了，但是如果做一些大项目的开发，那16GB的内存肯定是偏小了。