渗透相关知识补充

本地提权的方法

内核漏洞利用
利用权限设置不当（suid,sgid）
node权配置不当GTFOBins通过ssh登陆root用户（1，ssh秘钥盗取 2，支持公钥登陆）
mysql提权
缓冲区溢出提权/漏洞提权
Capabilitie提权
password文件的修改
RPC漏洞提权
GTFOBins提权
service权限漏洞利用网址：GTFOBins

信息搜集的判断

什么是node.js?

what? 返回

Node.js 是一个基于 Chrome V8 JavaScript 引擎的开源、跨平台的 JavaScript 运行时环境。它允许开发人员使用 JavaScript 来构建服务器端应用程序。传统上，JavaScript 主要运行在浏览器中，用于前端开发，但是 Node.js 将 JavaScript 的能力扩展到了服务器端。同时还可以通过node.js开发其他非 web程序。
渗透的注意事项
1. node.js开发出来的web服务一般都会使用大量的框架，其中 express是最常见的开发框架。同时该开发框架下主目录下一般都有 package.json文件，里面定义了web大量的配置信息
2. 如果靶机中的node程序是具有 sudo的是可以直接提权为root

判断是否进入入docker中

cat /proc/1/cgroup

/proc 目录是一种特殊类型的文件系统，通常被称为 procfs。包含了关于操作系统进程组织方式的信息，其中的数字 1 代表的是 init 进程，也就是系统启动时第一个运行的进程。

/proc/1/cgroup 文件中存储了关于 init 进程所在的控制组（cgroup）信息，其中每一行代表一个控制组。控制组是 Linux 内核中的一个功能，可以用来限制系统资源的使用，通过将进程分组，可以更好地对进程进行管理和资源分配。在 /proc/1/cgroup 文件中，每一行由三个字段组成，分别是控制组的名称、控制组的层级结构和进程 ID（PID）。

ls /.dockerenv

/.dockerenv 是一个标识当前进程运行在 Docker 容器内的文件。这个文件在 Docker 容器内部中始终存在，可以通过检查这个文件是否存在来判断当前应用程序是否运行在 Docker 容器内部。通常，一些脚本和工具会使用这个文件来判断当前是否在 Docker 容器中，并作出相应的处理。

linux基础目录/文件知识

./profile

what?

是用户级别的配置文件之一，用于设置用户的环境变量和执行其他初始化操作。该文件通常位于用户的主目录下。
玩法
1. 用户还可以通过 .profile 文件加载其他的配置文件，如 .bashrc 或 .bash_profile
2. .profile 文件在用户登录时才会执行，如果您修改了该文件，需要重新登录或者执行 source ~/.profile 命令来使修改生效

./bashrc 文件

what?

是用户级别的 Bash Shell 配置文件，用于自定义用户的 Shell 环境和行为。
玩法
1. 可以配置让其开机自己执行某些命令

/bin/sh

在许多系统中，/bin/sh实际上是指向其他Shell解释器的符号链接，例如Bash Shell（/bin/bash）、Dash Shell（/bin/dash）或其他兼容的Shell。这是因为在现代系统中，Bash Shell通常作为默认的Shell解释器，而/bin/sh被链接到Bash Shell的路径。

因此，当您在命令中使用/bin/sh时，它实际上是指定使用系统默认的Shell解释器来执行相应的命令。具体使用哪种Shell取决于系统配置和符号链接的设置。

/tmp/目录下执行脚本，why?

将代码执行限制在/tmp/目录是出于安全的考虑。/tmp/目录通常是可写的，因此攻击者可以在该目录中创建和运行恶意代码，例如将代码执行限制在/tmp/目录下，可以避免攻击者在系统的其他位置运行恶意代码，限制了其能够进行攻击的范围，提高了系统的安全性。

/bin/bash

what?

/bin/bash 是在常见的Linux系统中找到的默认shell路径。
直接调用即可。

/usr/share/wordlists

what?

该路径下包含了kali中的众多字典。

/etc/passwd

what?

用来存储用户信息的
具体解释

每一行使用“：”分隔开，共有七个字段。
1. 账号名称
  
  就是账号，用来对应UID的。
2. 密码
  
  早期UNIX系统的密码就放在这字段上，后来将密码数据字段的数据改放到/etc/passwd 中了，所以这里你会看到一个“x”。
3. UID
  
  这个是用户标识符：
  1. 0（系统管理员）当UID为0时，代表这个账号是“系统管理员”
  2. 1~499（系统用户）保留给系统使用的ID，默认500以下的数字让给系统作为保留账号只是一个习惯
  3. 1~99：由distributions自行创建的系统账号
  4. 100~499：若用户有系统账号需求时，可以使用的账号UID
  5. 500~65535（可登陆账号）给一般用户用的
4. GID
  
  这个是用户组标记符
5. 用户信息说明列
  
  这个字段基本上并没有什么重要用途，只是用来解释这个账号的意义而已。不过，如果你提供使用finger的功能时，这个字段可以提供很多的信息
6. 主文件夹
  
  这是用户的主文件夹。如果你想修改某个账号的主文件夹只需要对这个字段进行修改。默认的用户主文件夹在/home/yourIDname中，root的主文件夹在/root中。标记了用户可以使用的文件。
7. 命令解释器：
  
  就是你的shell是通过上面执行的。

Apache下的robots.txt文件

what？返回

当 Apache 作为 Web 服务器发布网页时，robots.txt 是一个用于指示搜索引擎爬虫（web crawler）的文本文件，用于管理网站的爬行行为。
```
 User-agent: *
Disallow: /private/
Disallow: /temp/
```
- User-agent: * 表示对所有爬虫生效，也就是适用于所有搜索引擎爬虫。
- Disallow: /private/ 指示爬虫不应该访问位于 /private/ 目录下的任何页面或资源。这是为了防止搜索引擎爬虫访问网站的敏感或私密内容。
- Disallow: /temp/ 指示爬虫不应该访问位于 /temp/ 目录下的任何页面或资源。这可能是临时文件或临时目录，不希望被搜索引擎爬取。
robots.txt 文件应该位于网站的根目录下，例如 http://www.example.com/robots.txt。搜索引擎爬虫在访问网站之前会检查这个文件，以了解有关网站的爬行规则。爬虫将尊重 robots.txt 文件中的指示，遵守相应的访问限制。

需要注意的是，robots.txt 文件只是一种建议，而不是强制规则。
这也是手工测试的时候必须访问的目录环境

ssh秘钥目录

/home/mowree/.ssh/authorized_keys：客户端生成的公钥存储在服务端的目录
/home/mowree/.ssh/id_rsa：客户端（登陆用户，也是在靶机上的）的私钥目录。

基础知识

cat -有什么作用

在命令"cat 1.txt - | progress"和"cat 1.txt | progress"之间，存在一个细微但重要的区别。

"cat 1.txt - | progress": 返回
- 这个命令中的 - 表示将标准输入作为文件之一处理。它使得"cat"命令能够将文件"1.txt"的内容与标准输入合并，并通过管道将数据传递给"progress"命令进行处理。
- 这意味着你可以通过标准输入提供额外的内容，与文件"1.txt"的内容一起传递给"progress"命令进行处理。
"cat 1.txt | progress":
- 这个命令中没有使用"-"符号。"cat"命令仅将文件"1.txt"的内容通过管道传递给"progress"命令进行处理。
- 这种情况下，没有使用标准输入的内容与文件"1.txt"的内容合并，而是仅将文件"1.txt"的内容传递给"progress"命令。

因此，区别在于是否在管道中包含标准输入的内容。如果你希望将标准输入的内容与文件"1.txt"的内容合并传递给"progress"命令，你可以使用"cat 1.txt - | progress"命令。而如果你只想将文件"1.txt"的内容传递给"progress"命令，你可以使用"cat 1.txt | progress"命令。

串联命令的符号

A 符号 B 返回

管道符（|）

无论 A是否执行成功，都会执行 B命令。同时将 A的结果传递给 B。玩法丰富

双管道符（||）

只有当前方的命令 A执行失败的时候才会执行后面的命令 B

&&

刚好和双管道符（||）功能相反。

bash函数的定义格式

格式：function_name() {函数体}
相关教程：Shell 函数 | 菜鸟教程 (runoob.com)

sudo组的具体了解

sudo（Superuser Do）是一个权限管理工具，允许系统管理员授予普通用户临时获得超级用户（root）权限的能力。通过 sudo，管理员可以以更安全的方式管理系统，而无需将 root 密码直接分享给其他用户。

sudo的本质是让命令以root的身份运行。所以普通用户如果需要定制化的修改自己用户的配置加上 sudo可能是不成功的，会变成更改 root用户的配置了。

在 sudo 的配置中，有一个特殊的用户组称为 sudo 组（也称为 wheel 组）。sudo 组中的用户被授予可以使用 sudo 命令的权限。

创建 sudo 组：在一些 Linux 发行版中，默认情况下可能没有 sudo 组。在创建 sudo 组之前，管理员需要使用 root 权限创建该组。例如，使用以下命令创建 sudo 组：groupadd sudo
添加用户到 sudo 组：一旦 sudo 组创建完成，管理员可以将其他用户添加到 sudo 组，以授予他们使用 sudo 命令的权限。

usermod -aG sudo <用户名>

添加用户到 sudo 组后，他们就可以使用 sudo 命令以管理员权限执行特定的命令。

sudo 配置文件：sudo 组的权限由 /etc/sudoers 文件中的配置定义。管理员可以通过编辑该文件来调整 sudo 组的权限。通常，该文件由 visudo 命令打开，该命令会在保存修改后进行语法验证，以确保文件的正确性。

visudo /etc/sudoers

在该文件中，管理员可以指定哪些用户组或用户具有使用 sudo 的权限，并定义他们可以执行的命令。

请注意以下几点：

sudo 组只是一种约定，可以根据需要更改组名称。在某些系统中，sudo 组可能被称为 wheel 组。
需要注意的是，只有具有适当权限的用户可以将其他用户添加到 sudo 组。这通常需要管理员或 root 权限。
在某些 Linux 发行版中，默认配置允许 sudo 组的成员执行任意命令，而在其他发行版中可能有更严格的配置限制。
使用 sudo 组时，需要小心配置 sudoers 文件，确保只授予必要的权限，并避免安全漏洞。

sudo -s 和 su root的区别

sudo -s：将启动一个新的 shell，该 shell 的用户身份将变为超级用户，不需要输入 root 用户的密码，系统将要求你输入当前用户的密码，但是必须拥有sudo权限才使用该命令。在该 shell 中执行的所有命令都将具有管理员权限。
su root：相当于是切换用户，需要输入 root用户的密码。

Capabilitises

what? 返回

是一种安全机制，用于在进程级别上控制对特定系统操作的访问权限。它们提供了一种细粒度的权限控制，使得进程可以具有特定的权限而不必以完全特权运行

具体的各个权限参考：http://man7.org/linux/man-pages/man7/capabilities.7.html
相关漏洞与使用
1. setcap cap_net_raw,cap_net_admin=eip /usr/bin/dumpcap
  
  设置当前用户对 /usr/bin/dumpcap的程序拥有 cap_net_raw,cap_net_admin的权限，dumpcap是 wireshark进行抓包的底层命令。通过这个设置可以让linux上普通用户按照的 wireshark能够正常的抓包。
2. 相关权限
  1. CAP_SYS_PTRACE
    
    这个权限就是可以调试其他系统权限的权限，他是有一定提权的可能的。

dns相关知识点

区域传输（axfr）

what? 返回

是DNS系统中用于在主DNS服务器和辅助DNS服务器之间传输完整区域数据的机制。它通过主服务器响应辅助服务器的AXFR请求，使辅助服务器能够更新自己的区域副本，以提供可靠的域名解析服务。
Notice

axfr是在安全实践中是不应该对所有的用户开发的，一般应该只允许同一个域下面的不同概念的dns服务器能够相互的axfr通过53/tcp进行dns的同步（这是需要手工配置的）.当主DNS服务器上的区域数据发生变化时（例如添加、删除或修改记录），辅助DNS服务器需要更新自己的数据，以保持与主服务器的一致性。这时就需要进行区域传输。

各种解析

NS (Name Server) 记录： NS 记录用于指定该域名的权威域名服务器（Name Server）。它指定负责管理该域名的 DNS 服务器，提供与该域名相关的 DNS 信息。
MX (Mail Exchanger) 记录： MX 记录用于指定接收域名的电子邮件的邮件服务器。它将域名映射到一个或多个邮件服务器，以指定邮件交换的目标。

53端口

53端口是dns服务器占用，其中53/udp是用来进行dns功能。53/tcp是在同一个域下的不同dns主机进行相互通讯的端口（一般来讲）。

url中的#号

为片段标识符，是用于标识网页中特定部分或锚点的标记。当浏览器加载包含片段标识符的 URL 时，它会滚动到相应的片段或特定位置，使用户可以直接导航到该位置。

以下是一些常见的用法和作用：返回

页面内部导航：在单个网页中，可以使用片段标识符来标识不同的部分，用户可以直接跳转到页面中的特定部分，无需手动滚动。

例如：https://www.example.com/page.html#section2
锚点链接：在一个网页中，可以使用片段标识符来创建内部链接，使用户从一个页面跳转到同一页面的不同部分。

例如：<a href="#section2">跳转到第二部分</a>
页面共享和书签：通过包含片段标识符的 URL，可以在网页间共享特定位置的链接。这对于在社交媒体上分享感兴趣的内容或创建书签非常有用。

例如：https://www.example.com/article.html#summary

需要注意的是，片段标识符只在客户端（浏览器）中起作用，不会发送给服务器。因此，服务器不会根据片段标识符来提供不同的内容。片段标识符仅用于客户端的导航和定位。

渗透的底蕴

rpcbind

what? 返回

在计算机上提供远程过程调用（RPC）的绑定和映射功能。RPC是一种通信机制，允许不同的进程在网络上相互通信和交换数据。rpcbind服务使用标准的RPC绑定协议，并且是与操作系统紧密关联的。它通常在启动过程中自动启动，并在计算机上运行作为后台进程。rpcbind服务的端口号通常是 111，多用于企业级网络。

.so和.dll的区别

what? 返回

.so文件是Linux下的动态链接库，类似于Windows下的.dll文件。动态链接库是一种可执行文件，它在运行时才被载入内存，并被映射到进程的地址空间中。动态链接库可以被多个进程共享，从而节省内存空间。其中，.so.y表示版本号。Linux下的库必须以lib开头，用于系统识别（如：libjpeg.a libsdl.so）

xmlrpc

一种远程过程调用协议，用于在网络上进行跨平台和跨语言的通信。XML-RPC使用XML格式来编码请求和响应消息，以实现不同系统之间的数据交换和方法调用。

peda

为 gdb的一个调试插件，当在系统中看到该插件的时候，我们应该联想到这个调试工具。

wordpress

WordPress 是一个流行的开源内容管理系统（CMS），广泛用于搭建和管理网站。虽然 WordPress 被广泛应用于博客网站，但它也可用于构建各种类型的网站，包括商业网站、社区论坛、电子商务平台等。

http-alt

what? 返回

在Web中，"http-alt" 是指用于替代HTTP（默认端口为80）的备用端口号。

URI,URN,URL是什么关系

URI 是用于标识和定位资源的字符串，包括 URL（Uniform Resource Locator）和 URN（Uniform Resource Name）两种形式。URL 是 URI 的一种常见形式，它包含了资源的位置和访问方式。

cgi开发

what? 返回

是一种用于在 Web 服务器和外部应用程序之间进行通信的标准接口。它允许 Web 服务器调用外部程序来处理客户端请求，并将处理结果返回给客户端。

Web 开发中，CGI 被用于实现动态网页和交互式 Web 应用程序。
相关渗透思路：
1. 一般使用 cgi开发的web网页都会存在一个：/cgi-bin/的目录，里面存放的都是后缀为： .cgi或.sh的 cgi脚本文件。--------> 目录发现
2. 大致的思路就是我们上载恶意数据，让服务端通过 cgi调用其他程序。利用其他程序或者其他漏洞来执行我们的恶意数据从而进行相关的渗透测试。---------> 破壳漏洞

rpyc

what? 返回

在Python中，rpyc（Remote Python Call）模块是一个用于实现远程过程调用的框架。它允许你在不同的计算机之间建立远程连接并调用远程计算机上的函数和方法。

官方文档：Part 1: Introduction to Classic RPyC — RPyC
大致使用
1. 服务端要开启一个服务，默认开放的端口为：18812
```
 $ python bin/rpyc_classic.py
INFO:SLAVE/18812:server started on [127.0.0.1]:18812
```
2. 客户端也要开启一个服务来连接服务端：
```
 import rpyc
conn = rpyc.classic.connect("localhost")
```
  默认会连接服务端的 18812端口
3. tleport is another interesting method that allows you to transmit functions to the other sides and execute them over there:
```
 >>> def square(x):
...    return x**2
>>> fn = conn.teleport(square)
>>> fn(2)
```
  This calculates the square of two as expected, but the computation takes place on the remote!

PK-->ZIP

what?

当数据流以字母 "PK" 开头时，很可能是 ZIP 文件格式。ZIP 文件的文件头部分包含标识符 "PK"，这是 ZIP 文件格式的标志之一。

Elasticsearch

9200一般是Elasticsearch在使用，为一个python相关服务。有远程执行漏洞。

what is Tornado?

Tornado 是一个基于 Python 的开源 Web 应用程序框架和异步网络库。它由 FriendFeed（现在属于 Facebook）开发并开源，旨在提供高性能和可伸缩性的 Web 应用程序开发解决方案。

Tornado 的主要特点包括：
1. 异步和非阻塞：Tornado 使用基于事件循环的异步 I/O 模型，使得它能够处理大量并发连接而不会阻塞或消耗太多系统资源。这使得它非常适合构建高性能的网络应用程序，特别是在需要处理大量并发请求的场景下。
2. 轻量级：Tornado 的核心代码库相对较小，依赖较少，因此可以轻松集成到现有的应用程序中，或作为一个独立的服务来构建 Web 服务。
3. 支持异步请求处理：Tornado 提供了异步的请求处理机制，可以轻松处理长轮询（long polling）、WebSockets 和其他实时通信协议。
4. 内置的 Web 服务器：Tornado 包含一个内置的非常快速的 HTTP 服务器，因此可以直接部署和运行 Tornado 应用程序，而无需额外的 Web 服务器软件。
5. 支持模板引擎：Tornado 提供了内置的模板引擎，使得开发人员可以方便地构建动态的、可定制的 Web 页面。
Tornado 可以用于构建各种类型的 Web 应用程序，包括实时聊天应用、实时博客平台、Web API 服务等。它在性能和可伸缩性方面的优势使其成为处理大量并发请求的理想选择

Bootstrap

what?

Bootstrap 是一个用于快速开发 Web 应用程序和网站的前端框架。Bootstrap 是基于 HTML、CSS、JAVASCRIPT 的。

本文作者：C_CHL

本文链接：https://www.cnblogs.com/cchl/articles/basic_knowledge.html

posted @ 2023-05-24 16:39 C_CHL 阅读(117) 评论(0) 收藏举报

刷新页面返回顶部

登录后才能查看或发表评论，立即登录或者逛逛博客园首页

阅读排行：
· 7 个最近很火的开源项目「GitHub 热点速览」
· DeepSeekV3：写代码很强了
· 记一次 .NET某固高运动卡测试卡慢分析
· Visual Studio 2022 v17.13新版发布：强化稳定性和安全，助力 .NET 开发提
· MySQL下200GB大表备份，利用传输表空间解决停服发版表备份问题

公告

昵称：C_CHL 园龄：2年粉丝：5 关注：2

昵称： C_CHL
园龄： 2年
粉丝： 5
关注： 2

+加关注

黄沙|

2025年4月

日

一

二

三

四

五

六

	Request
	GET /A/B.php HTTP/1.1
	host

	Request
	GET / HTTP/1.1
	X-Original-URL: /A/B.php //该字段用于表面我们要访问的文件是什么

	Request
	GET a.b.c/cchl.php HTTP/1.1
	host

	Request
	GET 1.b.c/cchl.php HTTP/1.1
	host

	Request
	GET /A/B.php HTTP/1.1
	host

	Request
	GET /A/B.php HTTP/1.1
	X-Original-URL: https://ip/login.php //这个字段是表明我们从哪里请求的资源，可以让服务端误认为我们已经验证过了（前提 //是 https://ip/login.php会被服务端认为是一个已经验证过的网页）

	$ python bin/rpyc_classic.py
	INFO:SLAVE/18812:server started on [127.0.0.1]:18812

	>>> def square(x):
	... return x**2
	>>> fn = conn.teleport(square)
	>>> fn(2)

	User-agent: *
	Disallow: /private/
	Disallow: /temp/

	import rpyc
	conn = rpyc.classic.connect("localhost")

cchl

渗透相关知识补充

本地提权的方法

相关漏洞

udf提权

破壳漏洞

RPC漏洞

403绕过‘

什么是文件包含漏洞

什么是php的封装器？

相关命令

基础

less

reset

zip

fg

date

head

env

export

ss

usermod

grep

权限

getcap

setcap

信息搜集

lsb_release -a

sudo -l

locate

uname

id

ps

file

ssh

gunzip

unzip

find

(|)管道符

ll -la