Ctrlk

后渗透利用

滥用 URL 方案

访问本地文件

您可以使用 file 方案来获取服务器上文件的内容：

file://path/to/file
file:///etc/passwd
file://\/\/etc/passwd

制作 TCP 数据包

您可以使用 ldap、git 或 dict URL 方案来创建到基于 TCP 的服务的明文连接。

$ curl -v dict://127.0.0.1:1337/HELLO
*   Trying 127.0.0.1...
* TCP_NODELAY set
* Connected to 127.0.0.1 (127.0.0.1) port 1337 (#0)
$ nc -l -v 1337
CLIENT libcurl 7.64.1
HELLO
QUIT

制作 UDP 数据包

您可以通过使用 TFTP 协议发送几乎任意的 UDP 数据包。

这可用于制作对各种 UDP 服务的请求，如 Memcached。

Java 目录列表

Java 通过 file:// 方案列出目录，以下代码将打印目录列表：

参考：

泄露内部域名

当连接到 SMTP 时，内部域名可能会从第一行泄露。为此，连接到 http://127.0.0.1:25 或一些带有 SMTP 可用的内部 IP 地址 http://10.0.0.6:25，并从第一行获取内部域名：220 subdomain.internal-host.com ESMTP Sendmail

TLS 字段注入

TLS 允许您在服务器名称指示或会话 ID 等字段中走私任意数据。您可以使用此方法将 payload 传递到 http/基于文本的服务。

参考：

检索协议版本

您可以通过向您的服务器发送请求来枚举不同协议的版本。

滥用 Gopher

Gopher 是一种为分发、搜索和检索文档而设计的通信协议。Gopher 提供了广泛的滥用选项，参见更多。

滥用云元数据

Amazon Web Services

LogoUse instance metadata to manage your EC2 instance - Amazon Elastic Compute CloudAmazon Elastic Compute Cloud
LogoAmazon ECS task metadata endpoint version 2 - Amazon Elastic Container ServiceAmazon Elastic Container Service

不需要头部

参考：

Google Cloud

LogoAbout VM metadata  |  Compute Engine  |  Google Cloud DocumentationGoogle Cloud Documentation

在 API v1 上需要头部 Metadata-Flavor: Google 或 X-Google-Metadata-Request: True v1beta1 服务器和 v0.1 元数据服务器端点已于 2020 年 9 月 30 日弃用

参考：

Microsoft Azure

LogoAzure Instance Metadata Service for virtual machines - Azure Virtual MachinesMicrosoftLearn

需要头部 Metadata: true

DigitalOcean

LogoDigitalOcean Metadata API Reference | DigitalOcean DocumentationDigitalOcean

不需要头部

Packet Cloud

https://www.packet.com/developers/docs/servers/key-features/metadata/www.packet.com

不需要头部

阿里云

Logohttps://www.alibabacloud.com/help/doc-detail/49122.htmwww.alibabacloud.com

不需要头部

OpenStack

LogoMetadata — nova 33.1.0.dev155 documentationdocs.openstack.org

不需要头部

Oracle Cloud

LogoUsing Oracle Cloud Infrastructure Compute ClassicOracle Help Center
LogoGetting Instance Metadatadocs.cloud.oracle.com

不需要头部

Docker

Docker Engine API 通常在端口 2375 和 2376（tls）上可用。您可以使用以下路径来验证 Docker Engine API 的存在：

与 dockerd 交互的简单示例（另请参见：守护进程套接字选项）：

Docker 注册表

Docker 注册表通常在端口 5000 上可用。Docker 注册表可以获取对存储在容器镜像中的敏感信息的读取权限和/或修改存储的容器镜像。

对于枚举仓库/镜像，请注意以下工具：

  • reg - Docker 注册表 v2 命令行客户端和仓库列表生成器，具有安全检查功能

  • regclient - Docker 和 OCI 注册表客户端，以及使用这些库的工具

  • go-pillage-registries - 面向渗透测试者的 Docker 注册表工具，用于枚举和拉取镜像

Kubernetes

Kubernetes etcd API 可以包含 API 密钥、内部 IP 和端口：

LogoK8s-GKE-attack-notes/README.md · master · GitLab.com / GitLab Security Division / Security Operations Department / Red Team / Red Team Public / Resources / Red Team Tech Notes · GitLabGitLab

kubelet

kubelet 通常在默认端口 10250 上可用。

LogoUsing Kubelet Client to Attack the Kubernetes ClusterCyberArk

kubelet 只读

kubelet 只读通常在默认端口 10255 上可用。此端口通常只在较旧的集群上看到，但如果存在，可以提供一些有用的信息泄露。它是一个 HTTP API，没有加密且没有身份验证要求，因此很容易与之交互。

最有用的端点是 /pods/：

滥用 FTP

凭证暴力破解

SSRF 允许您对使用基本访问认证作为认证机制的资源进行凭证暴力破解。为此，只需使用以下链接：

使用异常响应枚举内部资源

有时在使用 SSRF 时，您可以依靠异常响应，如果请求执行的响应对您不可用。为此，您需要访问内部资源并测量每个请求的响应时间。响应时间是可能表示资源可用性的间接标志。发送大量请求后，您需要在其中搜索响应时间与其他所有请求不同的那些请求。这种方法允许您盲目暴力破解内部服务、开放端口、目录和文件。

端口扫描

您可以使用 http 方案进行端口扫描：

使用 DNS 进行端口扫描

许多库尝试按照 DNS 记录中的顺序通过 IP 访问资源。例如，如果 DNS 记录如下所示：

首先将尝试连接到 172.16.1.1，如果出现问题，则连接到 172.16.1.2。这允许您找出哪些端口是开放的，哪些不是。

为此，您也可以使用服务 http://1u.ms。例如，如果您需要查找 127.0.0.1 上的可用端口，您可以使用

这将允许您更改端口号以确定哪个端口可用。

这表明端口 22 和 6379 在 127.0.0.1 上是开放的，因为没有对来自第二个 DNS 记录的 IP 地址的连接尝试。

值得注意的是 DNS 服务器在后端解析名称。DNS 服务器可以使用内置的轮询算法来解析域名并更改记录顺序

ASP.NET

尝试读取 trace.axd，它保留对应用程序发出的所有 HTTP 请求的日志。此信息包括远程客户端 IP、会话 ID、所有请求和响应 cookie、物理路径、源代码信息，甚至可能包括用户名和密码。

LogoTracingMicrosoftLearn

Apache Druid

Apache Druid 通常在端口 80、8080、8888 和 8082 上可用。您可以使用以下路径来验证 Apache Druid 的存在：

LogoAPI reference | Apache® Druiddruid.apache.org

Apache Solr

Apache Solr 通常在端口 8983 上可用。

LogoGitHub - veracode-research/solr-injection: Apache Solr Injection ResearchGitHub

Apache Struts

Apache Struts 通常在端口 80、443（tls）、8080、8443（tls）上可用。

Logovulhub/struts2 at master · vulhub/vulhubGitHub

Apache Tomcat

Apache Tomcat 通常在端口 80、443（tls）、8080、8443（tls）上可用。

Logovulhub/tomcat at master · vulhub/vulhubGitHub
https://bookgin.tw/2018/12/04/from-xxe-to-rce-pwn2win-ctf-2018-writeup/bookgin.tw

HashiCorp Consul

Consul 通常在端口 8500 和 8501（tls）上可用。

Pivoting from blind SSRF to RCE with HashiCorp Consulwww.kernelpicnic.net

Elasticsearch

Elasticsearch 通常在端口 9200 上可用。您可以使用以下路径来验证 Elasticsearch 的存在：

如果您可以发送 POST 请求，您可以尝试通过向以下路径发送 POST 请求来关闭 Elasticsearch 实例：

Java RMI

Java RMI 通常在端口 1090、1098、1099、1199、4443-4446、8999-9010、9999 上可用。允许任意字节的 SSRF 漏洞可用于对 Java RMI 默认组件执行反序列化或代码库攻击。

LogoAttacking Java RMI via SSRFqtc's blog

JBoss

Jboss 通常在端口 80、443（tls）、8080、8443（tls）上可用。

Logovulhub/jboss at master · vulhub/vulhubGitHub

Jenkins

Jenkins 通常在端口 80、443（tls）、8080、8888 上可用。

Logovulhub/jenkins at master · vulhub/vulhubGitHub

Memcache

Memcache 通常在端口 11211 上可用。

LogoHow I Chained 4 vulnerabilities on GitHub Enterprise, From SSRF Execution Chain to RCE!Orange Tsai
LogovBulletin < 4.2.2 - Memcache Remote Code ExecutionExploit Database

OpenTSDB

OpenTSDB 通常在端口 4242 上可用。

Bot Request Blockedpacketstormsecurity.com
LogoOpenTSDB 2.4.0 Remote Code Execution · Issue #2051 · OpenTSDB/opentsdbGitHub

Oracle PeopleSoft

PeopleSoft 通常在端口 80 和 443（tls）上可用。

LogoOracle PeopleSoft Remote Code Execution: Blind XXE to SYSTEM Shellwww.ambionics.io

Oracle WebLogic

WebLogic 通常在端口 80、443（tls）和 7001 上可用。您可以尝试利用已知的漏洞：

Logovulhub/weblogic at master · vulhub/vulhubGitHub

Redis

Redis 通常在端口 6379 上可用。

LogoGitLab 11.4.7 Remote Code ExecutionLiveOverflow
https://paper.seebug.org/975/paper.seebug.org
https://www.mdeditor.tw/pl/pBy0www.mdeditor.tw

远程调试器

LogoRemote debuggers as an attack vector | AcunetixAcunetix

参考

上一页服务器端请求伪造下一页SVG滥用

最后更新于