登录 注册万能密码绕过登录存在 SQL 注入的情况下,有可能使用万能密码直接登录 admin' or '1'='1'-- admin' OR 4=4/* 'or 'a'='a ' or''=' ' or 1=1-- 有超级多 登录口 SQL 注入存在 SQL 注入的话直接注出账密 有些可以构造用户注入登录,比如熊海 cms 后台登录处存在 sql 注入
这里万能密码起不到作用,因为他是通过用户名去数据库查密码,再进行匹配,还有一种方法非常巧妙 user:1' union select 1,2,'test','c4ca4238a0b923820dcc509a6f75849b',5,6,7,8# password:1 这是 mysql 的特性, 在联合查询并不存在的数据时,联合查询就会构造一个虚拟的数据,就相当于构造了一个虚拟账户,可以使用这个账户登录 未授权访问后台未授权访问列举几种找未授权访问的方法 ·使用目录扫描工具,如 dirsearch 等扫描路径,有的可能存在目录遍历·查看 js 代码中登录成功后的跳转 url·使用 jsfind 找可疑 url·利用 web 程序已知漏洞如:druid 未授权的 urls、springboot mapping 等未授权漏洞界面找可疑的 url,访问查看是否存在未授权·有些可能在未授权进入后台一瞬间,重定到登录页面,这时可以利用 burp 抓包把跳转包 drop 掉 组件未授权使用的组件可能会出现漏洞,常用的未授权漏洞,对于端口的收集也至关重要,可以提高漏洞利用面 ·Redis 未授权访问漏洞·MongoDB 未授权访问漏洞·Jenkins 未授权访问漏洞·Memcached 未授权访问漏洞·JBOSS 未授权访问漏洞·VNC 未授权访问漏洞·Docker 未授权访问漏洞·ZooKeeper 未授权访问漏洞·Rsync 未授权访问漏洞·Atlassian Crowd 未授权访问漏洞·CouchDB 未授权访问漏洞·Elasticsearch 未授权访问漏洞·Hadoop 未授权访问漏洞·Jupyter Notebook 未授权访问漏洞
其他功能点 (注册)(找回密码)超长用户名注册注册用户
覆盖掉原来的 admin 用户,不常见 任意重置密码此时客户端会发一个验证码包,这是随意输入验证码,发包,返回包 用户枚举漏洞找回密码界面,输入用户名抓包,查看返回包中泄露的信息 比如:TerraMaster TOS 用户枚举漏洞 CVE-2020-28185 输入用户名 admin 点击确定,查看 Burp 捕获的包,其中有一个请求包用于确认用户 admin 是否存在,存在则返回用户的邮箱信息 验证码问题验证码不刷新验证码不会自动刷新,导致一个验证码可以用很多次 验证码失效验证码无效依然可爆破,在挖掘弱口令的时候,常常会遇到图片验证码无效的情况,此时只需要输入正确的账号密码和验证码,使用 burpsuite 依然可继续爆破 验证码前端返回有的平台可能验证码校验在前端进行,错误的将后台的验证码返回到前端,导致攻击者可以抓取返回包中的验证码 验证码爆破有的平台可能验证码比较简单只有几位数字,且没有对登录次数限制,存在爆破,使用 burp 抓包爆破 验证码可重复使用实例:通过一分钟发送一次,可同时存在多条有效的验证码,通过爆破验证达到任意密码重置漏洞 验证码短信轰炸对于验证码发送次数没有做限制,导致造成短时间内短信重发,使用 burp 抓取获取验证码的包放到 repeater 不断重放,更暴力点可以使用 intruder 验证码 OCR对登录页面使用工具如 xcode 对验证码进行识别爆破用户账号密码 验证码验证逻辑错误就是验证码可以修改接收者,将账户修改密码的验证码抓包修改为其他手机号,后台并没有做验证 万能验证码可能存在万能验证码 0000 或者 9999,不常见 越权过于简单的 cookie如果用户登录后的 cookie 并不是随机的,而是如 cookie:Guest 这种过分简单的身份验证方法,可以导致越权,如果又存在用户注册,就可以注册一个普通用户然后越权为 admin HTML 源码信息泄露固定加密的账密比如:中科网威 下一代防火墙控制系统存在账号密码泄露漏洞,攻击者通过前端获取密码的 Md5 后解密可获取完整密码登陆后台
F12 查看前端发现 admin 的 md5 加密密码 注释泄露信息必须泄露的 url,或者敏感信息 ELSEURL 重定向经常出现在登录成功跳转中,可以修改参数跳转到任意页面,可用于钓鱼 比如:www.ocean.com?redir=aHR0cDovL2FkbWluLmFhYS5jb20=[1] redir 后面的可能会进行 base64 编码 redirect、redirect_to、redirect_url、url、jump、jump_to、target、to、link、linkto、Domain 已知漏洞利用因为一个 web 服务会用到很多组件,只要一个组件出现漏洞,这个密不透风的墙就被推到了,所以说资产收集是很重要的,收集足够多的信息,知己知彼百战百胜 有条件可以用一个扫描器扫描已知漏洞 ·web 框架历史漏洞·cms 历史漏洞·oa 历史漏洞·使用 fofa、浏览器插件 wappalyzer 等收集资产,然后拿漏洞库的 poc 去尝试. 工具地址: https://www./ 弱口令默认密码很多设备都存在默认的账号密码 特别是一些厂商设备弱口令很常见
一个简单的弱口令就让高昂的设备白给 测试账号未删除比如 test,ceshi 拼音姓名字典拼音姓名字典、用户名字典(如 root,system,admin1 等)+ 弱口令爆破,使用常规的拼音姓名字典 +123456,123,等弱口令进行爆破 如果网站有注册功能,破解用户密码的时候可以先去注册查看注册机制,如果可以使用 123456 等 密码那么就用拼音字典去爆破 123456 等弱口令,如果不行,可根据密码复杂程度制作密码,比如密码需求是字 母加数字的八位,就可以尝试 abcd1234 等符合密码规则的密码进行爆破 * 用户名枚举使用两位字母和三位字母枚举,爆破 123456 等弱口令,成功爆破出一枚管理员后台账号密码,之前一个学校的后台弱口令没成功,SQL 注入后发现用户名全是姓名首字母,密码 1111 提示过于详细当爆破的时候返回包显示密码不正确和用户名不存在的时候,我们可以搜集这些用户名进行专门的弱口令爆破,例如我爆破出存在多个存在的用户名,首先搜集这些用户名,然后设置 burpsuite,通过以下格式的方法进行爆破,例如:Lihua,lihua123 lihua lihua lihua lihua@123 lihua lihua1234 且注意网站下方是否有建立时间,如果时间是 2017 年建站的 ,我们的密码可以设置成 lihua@2017 lihua@2018 等进行专门针对用户名的爆破 域名做字典截取子域名一部分作为字典挖掘弱口令 比如学校 wlzx(网络中心),tw(团委),jxzl(教学质量)等常见的系统用户名也是子域名 根据网站性质猜测用户名,比如教务类网站常有 teacher,student1 等用户名,或者企业缩写为用户名 搜集文章发布者姓名搜集文章发布者姓名,在挖掘弱口令漏洞的时候,我常常会搜集文章发布者的姓名,网页上会有一些文章发布者的名字,我会把它搜集其他作为针对该网站爆破后台的用户名,并且整合前几种方法进行爆破。如果遇到中文名的管理员,我会把它转换为英文名,比如发布者: 李刚,我的字典里就会多 lilgang,lg,lig,lgang,这几个用户名,配合前几种姿势进行爆破。当然也遇到过比较奇葩的,直接就是中文为用户名 信息收集不放过细节,qq 群号很重要
注册账号搜寻信息在网站登录口无法爆破的时候,可以耐下心来注册,通过后台搜索好友等方法搜集用户名。然后在了解注册密码复杂程度机制之后挨个挨个的去手工尝试用户名密码。比如搜集到了 lihao 用户名,就可以参照前面的方法手动尝试 lihao lihao123 等密码进行登录,此方法需要很大耐心,但是十分有效 安装文档搜集该网站的安装文档,使用文档等寻找默认账号密码或者未打码(也可以通过百度,谷歌,百度网盘等搜集) Fuzz工号、学号、身份证号等 fuzz,当遇到用户名可能为工号的情况下,fuzz 一波数字工号 ,或者寻找有无工号泄露的地方,根据工号继续爆破 扩展思考爆破时什么变量是可控的 当我们遇到一个段的测试任务时,可以使用一个简单的弱口令字典批量爆破整个段的服务。不管内网还是外网都实用,例如内网想爆破 ssh 的时候,可以使用
作者:OceanSec |
|