網(wǎng)站滲透測(cè)試漏掃工具的另類用法！

信息來(lái)源：銀川做網(wǎng)站    發(fā)布日期：2023-03-16

 　　在滲透測(cè)試過(guò)程中，我們可以通過(guò)插件識(shí)別類型后，使用漏洞腳本對(duì)特定系統(tǒng)進(jìn)行模糊。在這里，筆者將與大家分享漏洞POC驗(yàn)證系統(tǒng)的設(shè)計(jì)和研究思路。在系統(tǒng)開(kāi)發(fā)之初，選用了分布式平臺(tái)設(shè)計(jì)架構(gòu)。后來(lái)因?yàn)榭紤]到與分布式資產(chǎn)掃描平臺(tái)兼容的接口，最后理解了耦合機(jī)制，徹底變成了單機(jī)版。首先我們可以看到這個(gè)地方?jīng)]有單獨(dú)設(shè)計(jì)web管理端，只能通過(guò)命令行調(diào)度。但是，在設(shè)計(jì)中，守護(hù)進(jìn)程restapi是保留的，它可以接受來(lái)自第三方平臺(tái)的調(diào)度請(qǐng)求。插件模塊調(diào)用方面，主要有三個(gè)模塊:流行的漏洞插件，主要用于重現(xiàn)常見(jiàn)的手工測(cè)試方法和一些團(tuán)隊(duì)發(fā)現(xiàn)的內(nèi)部漏洞。密碼漏洞插件:主要包括端口、中間件、未授權(quán)應(yīng)用和弱密碼漏洞，包括弱密碼字典。第三方漏洞插件:主要用于訪問(wèn)互聯(lián)網(wǎng)上的一些開(kāi)源和泄露的插件，用于結(jié)果集成和性能調(diào)優(yōu)。

　　獲取目標(biāo)信息時(shí)，主要有以下幾種形式:Api調(diào)度:第三方平臺(tái)通過(guò)rpc傳輸目標(biāo)信息來(lái)調(diào)度系統(tǒng)的api。命令行調(diào)度:通過(guò)命令行參數(shù)傳遞目標(biāo)信息，直接進(jìn)行調(diào)度。資產(chǎn)導(dǎo)入調(diào)度:通過(guò)訪問(wèn)接口調(diào)度并掃描第三方平臺(tái)api給出的數(shù)據(jù)。在分布式資產(chǎn)掃描平臺(tái)本身，有一個(gè)cms類別和應(yīng)用程序類型信息的存儲(chǔ)庫(kù)。然而，為了考慮內(nèi)部網(wǎng)的情況，分別提取了兩個(gè)子模塊:Cms認(rèn)證插件:主要是對(duì)目標(biāo)的cms類型進(jìn)行認(rèn)證。如果目標(biāo)與本地指紋數(shù)據(jù)庫(kù)匹配，它將被標(biāo)記，否則它將訪問(wèn)internet查詢界面。應(yīng)用識(shí)別插件:主要是補(bǔ)充cms類型，識(shí)別服務(wù)和應(yīng)用的類型，標(biāo)注為第二梯隊(duì)。當(dāng)然，除了這些模塊，還有一些小效果優(yōu)化插件，這里就不多說(shuō)了。

　　最后簡(jiǎn)單說(shuō)一下掃描結(jié)果落入數(shù)據(jù)庫(kù)的問(wèn)題。這里選用日志打印存儲(chǔ)+數(shù)據(jù)庫(kù)返回的分布式資產(chǎn)掃描平臺(tái)，可以關(guān)閉返回選項(xiàng)，保證了本系統(tǒng)在惡劣環(huán)境下的兼容性。當(dāng)掃描內(nèi)部網(wǎng)系統(tǒng)或帶有敏感防火墻的系統(tǒng)時(shí)，我們可以支持訪問(wèn)多種類型的代理。速率控制，檢測(cè)敏感服務(wù)器時(shí)，第三方插件可能帶來(lái)的密碼認(rèn)證爆破機(jī)制會(huì)比較粗糙。要么是單線程轉(zhuǎn)，要么是大范圍的線程池，很容易讓服務(wù)器失效，或者讓IDS很快發(fā)現(xiàn)。因此，對(duì)于這個(gè)塊的控制，我們需要進(jìn)行詳細(xì)的優(yōu)化，選用動(dòng)態(tài)速率控制的策略，而不是硬編碼來(lái)配置和分配任務(wù)。如果想深入的對(duì)網(wǎng)站進(jìn)行全面的漏掃服務(wù)的話可以向SINESAFE，鷹盾安全，大樹(shù)安全，綠盟等這些網(wǎng)站安全公司來(lái)做更詳細(xì)的人工手動(dòng)安全測(cè)試服務(wù)來(lái)確保網(wǎng)站的安全問(wèn)題，防止被黑客入侵。

　　對(duì)于第三方插件，我們?cè)诮y(tǒng)一調(diào)度機(jī)制和庫(kù)文件上花了不少功夫，還有一個(gè)關(guān)鍵點(diǎn)就是轉(zhuǎn)換庫(kù)的格式。在各種插件的上報(bào)過(guò)程中，我們會(huì)盡量為第三方插件掛接數(shù)據(jù)上報(bào)層，統(tǒng)一格式后上報(bào)。但是，并不是每種插件都有一個(gè)統(tǒng)一的將記錄放入庫(kù)中的過(guò)程，可能需要為這種插件重寫函數(shù)。目前我們的插件都是點(diǎn)擊式的。為了符合法律法規(guī)層面的制度，我們沒(méi)有深挖漏洞，需要手工使用和審核。