Security-主动信息收集

python3 PackerFuzzer.py -u https://www.liaoxuefeng.com
# 查看报告
cd reports

# 建议使用 -ou 和 -os 来指定保存 URL 和子域名的文件名
python3 JSFinder.py -u http://www.jiangjiyue.com -d -ou mi_url.txt -os mi_subdomain.txt

dirsearch -u https://target 
dirsearch -e php,html,js -u https://target
 
dirsearch -e * -u https://target -w /path/to/wordlist
# 参数
# -e 扫描网站需要指定网站的脚本类型,*为全部类型的脚本
# -u 指定域名
# -w 设置字典

-h, --help # 查看帮助
-u URL, --url=URL # 设置url
-L URLLIST, --url-list=URLLIST # 设置url列表
-e EXTENSIONS, --extensions=EXTENSIONS # 网站脚本类型
-w WORDLIST, --wordlist=WORDLIST # 设置字典
-l, --lowercase # 小写
-f, --force-extensions # 强制扩展字典里的每个词条
-s DELAY, --delay=DELAY # 设置请求之间的延时
-r, --recursive Bruteforce recursively # 递归地扫描
–scan-subdir=SCANSUBDIRS, --scan-subdirs=SCANSUBDIRS # 扫描给定的url的子目录(用逗号隔开)
–exclude-subdir=EXCLUDESUBDIRS, --exclude-subdirs=EXCLUDESUBDIRS # 在递归过程中排除指定的子目录扫描(用逗号隔开)
-t THREADSCOUNT, --threads=THREADSCOUNT # 设置扫描线程
-x EXCLUDESTATUSCODES, --exclude-status=EXCLUDESTATUSCODES # 排除指定的网站状态码(用逗号隔开)
-c COOKIE, --cookie=COOKIE # 设置cookie
–ua=USERAGENT, --user-agent=USERAGENT # 设置用户代理
-F, --follow-redirects # 跟随地址重定向扫描
-H HEADERS, --header=HEADERS # 设置请求头
–random-agents, --random-user-agents # 设置随机代理
–timeout=TIMEOUT # 设置超时时间
–ip=IP # 设置代理IP地址
–proxy=HTTPPROXY, --http-proxy=HTTPPROXY # 设置http代理。例如127.0.0.1:8080
–max-retries=MAXRETRIES # 设置最大的重试次数
-b, --request-by-hostname # 通过主机名请求速度，默认通过IP
–simple-report=SIMPLEOUTPUTFILE # 保存结果，发现的路径
–plain-text-report=PLAINTEXTOUTPUTFILE # 保存结果，发现的路径和状态码
–json-report=JSONOUTPUTFILE # 以json格式保存结果

┌──(root㉿kali)-[/home]
└─# dirbuster                      
Command 'dirbuster' not found, but can be installed with:
apt install dirbuster
Do you want to install it? (N/y)
# 如果出现以上内容,输入y回车安装即可

格式：dirb <url_base> [<wordlist_file(s)>] [options]
-a 设置user-agent
-p <proxy[:port]>设置代理
-c 设置cookie
-z 添加毫秒延迟，避免洪水攻击
-o 输出结果
-X 在每个字典的后面添加一个后缀
-H 添加请求头
-i 不区分大小写搜索

dirb http://192.168.64.170 -w /usr/share/wordlists/dirb/big.txt

sudo apt install feroxbuster
# feroxbuster的字典目录 /usr/share/seclists
┌──(kali㉿Kali)-[~]
└─$ ls /usr/share/seclists
Discovery  Fuzzing  IOCs  Miscellaneous  Passwords  Pattern-Matching  Payloads  README.md  Usernames  Web-Shells
# 配置文件
┌──(kali㉿Kali)-[~]
└─$ cat /etc/feroxbuster/ferox-config.toml

┌──(kali㉿Kali)-[~]
└─$ feroxbuster -h
一个快速、简单且递归的内容发现工具。

用法: feroxbuster [选项]

选项:
  -h, --help     打印帮助（使用 '--help' 查看更多）
  -V, --version  打印版本

目标选择:
  -u, --url <URL>                    目标 URL（必需，除非使用[--stdin || --resume-from || --request-file]）
      --stdin                        从 STDIN 读取 url(s)
      --resume-from <STATE_FILE>     恢复扫描的状态文件（例如：--resume-from ferox-1606586780.state）
      --request-file <REQUEST_FILE>  作为所有请求模板使用的原始 HTTP 请求文件


复合设置:
      --burp         设置 --proxy 为 http://127.0.0.1:8080 并将 --insecure 设置为 true
      --burp-replay  设置 --replay-proxy 为 http://127.0.0.1:8080 并将 --insecure 设置为 true
      --smart        将 --auto-tune, --collect-words 和 --collect-backups 设置为 true
      --thorough     使用与 --smart 相同的设置，并将 --collect-extensions 和 --scan-dir-listings 设置为 true



代理设置:
  -p, --proxy <PROXY>                  请求使用的代理（示例：http(s)://host:port, socks5(h)://host:port）
  -P, --replay-proxy <REPLAY_PROXY>    只通过重播代理发送未过滤的请求，而不是所有请求
  -R, --replay-codes <REPLAY_CODE>...  发现时通过重播代理发送的状态码（默认值：--status-codes 的值）


请求设置:
  -a, --user-agent <USER_AGENT>         设置 User-Agent（默认：feroxbuster/2.11.0）
  -A, --random-agent                    使用随机 User-Agent
  -x, --extensions <FILE_EXTENSION>...  要查找的文件扩展名（示例：-x php -x pdf js）；如果输入以 @ 开头，则从文件中读取值（例如：@ext.txt）
  -m, --methods <HTTP_METHODS>...       应发送的 HTTP 请求方法（默认：GET）
      --data <DATA>                     请求体；如果输入以 @ 开头，则从文件中读取数据（例如：@post.bin）
  -H, --headers <HEADER>...             指定每个请求中使用的 HTTP 头（示例：-H Header:val -H 'stuff: things'）
  -b, --cookies <COOKIE>...             指定每个请求中使用的 HTTP cookie（示例：-b stuff=things）
  -Q, --query <QUERY>...                请求的 URL 查询参数（示例：-Q token=stuff -Q secret=key）
  -f, --add-slash                       在每个请求的 URL 后追加 /
      --protocol <PROTOCOL>             指定在仅使用域名进行 --request-file 或 --url 目标定位时使用的协议（默认：https）



请求过滤器:
      --dont-scan <URL>...  排除不进行递归/扫描的 URL 或正则表达式模式



响应过滤器:
  -S, --filter-size <SIZE>...                 过滤掉特定大小的消息（示例：-S 5120 -S 4927,1970）
  -X, --filter-regex <REGEX>...               通过匹配响应主体/头部上的正则表达式过滤消息（示例：-X '^ignore me$'）
  -W, --filter-words <WORDS>...               过滤掉特定单词数的消息（示例：-W 312 -W 91,82）
  -N, --filter-lines <LINES>...               过滤掉特定行数的消息（示例：-N 20 -N 31,30）
  -C, --filter-status <STATUS_CODE>...        过滤掉状态码（拒绝列表）（示例：-C 200 -C 401）
      --filter-similar-to <UNWANTED_PAGE>...  过滤掉与给定页面相似的页面（示例。--filter-similar-to http://site.xyz/soft404）
  -s, --status-codes <STATUS_CODE>...         包含的状态码（允许列表）（默认：所有状态码）



客户端设置:
  -T, --timeout <SECONDS>          客户端请求超时的秒数（默认：7）
  -r, --redirects                  允许客户端跟随重定向
  -k, --insecure                   禁用客户端中的 TLS 证书验证
      --server-certs <PEM|DER>...  添加自定义根证书以用于具有未知证书的服务器
      --client-cert <PEM>          添加 PEM 编码的证书以用于相互认证（mTLS）
      --client-key <PEM>           添加 PEM 编码的私钥以用于相互认证（mTLS）



扫描设置:
  -t, --threads <THREADS>          并发线程数（默认：50）
  -n, --no-recursion               不递归扫描
  -d, --depth <RECURSION_DEPTH>    最大递归深度，深度为 0 表示无限递归（默认：4）
      --force-recursion            强制对所有“已找到”的端点尝试递归（仍然遵守递归深度）
      --dont-extract-links         不从响应体（html, javascript 等）中提取链接
  -L, --scan-limit <SCAN_LIMIT>    限制并发扫描的总数（默认：0，即无限制）
      --parallel <PARALLEL_SCANS>  对通过 stdin 传递的每个 url 并行运行 feroxbuster 实例（每个 url 一个子进程）
      --rate-limit <RATE_LIMIT>    限制每秒请求数（每个目录）（默认：0，即无限制）
      --time-limit <TIME_SPEC>     限制所有扫描的总运行时间（示例：--time-limit 10m）
  -w, --wordlist <FILE>            字典文件路径或 URL
      --auto-tune                  遇到过多错误时自动降低扫描速率
      --auto-bail                  遇到过多错误时自动停止扫描
  -D, --dont-filter                不自动过滤通配符响应
      --scan-dir-listings          强制扫描进入目录列表



动态收集设置:
  -E, --collect-extensions                      自动发现扩展名并将其添加到 --extensions（除非它们在 --dont-collect 中）
  -B, --collect-backups [<collect_backups>...]  自动请求“已找到”url 的可能备份扩展名（默认：~, .bak, .bak2, .old, .1）
  -g, --collect-words                           自动从响应中发现重要词汇并将其添加到字典
  -I, --dont-collect <FILE_EXTENSION>...        收集扩展名时忽略的文件扩展名（仅在使用 --collect-extensions 时）



输出设置:
  -v, --verbosity...                   增加详细级别（使用 -vv 或更多以获得更大的效果。[注意] 4 个 -v 可能太多了）
      --silent                         仅打印 URL（或 JSON w/ --json）+ 关闭日志记录（适用于将 URL 列表传递给其他命令）
  -q, --quiet                          隐藏进度条和横幅（适用于带有通知的 tmux 窗口）
      --json                           将 JSON 日志写入 --output 和 --debug-log 而不是普通文本
  -o, --output <FILE>                  写入结果的输出文件（与 --json 一起使用以获取 JSON 条目）
      --debug-log <FILE>               写入日志条目的输出文件（与 --json 一起使用以获取 JSON 条目）
      --no-state                       禁用状态输出文件 (*.state)
      --limit-bars <NUM_BARS_TO_SHOW>  任意时刻显示的目录扫描条数（默认：无限制）


更新设置:
  -U, --update  更新 feroxbuster 至最新版本

┌──(root㉿kali)-[/home]
└─# ping www.baidu.com -c 4
PING www.a.shifen.com (180.101.50.188) 56(84) bytes of data.
64 bytes from 180.101.50.188 (180.101.50.188): icmp_seq=1 ttl=51 time=35.0 ms
64 bytes from 180.101.50.188 (180.101.50.188): icmp_seq=2 ttl=51 time=35.1 ms
64 bytes from 180.101.50.188 (180.101.50.188): icmp_seq=3 ttl=51 time=35.0 ms
64 bytes from 180.101.50.188 (180.101.50.188): icmp_seq=4 ttl=51 time=35.2 ms

--- www.a.shifen.com ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3004ms
rtt min/avg/max/mdev = 34.986/35.067/35.152/0.060 ms

┌──(root㉿kali)-[/home]
└─# netdiscover -i eth0 -r 192.168.2.0/24
# 参数:
# -i 设备:您的网络设备 这里是指定网口为eth0,范围192.168.2.0/24
# -r 范围:扫描指定范围而不是自动扫描
# /24/16/8,子网掩码   三个255是/24

┌──(root㉿kali)-[/home]
└─# netdiscover -p                       
# 参数:
# -p 被动模式:不发送任何东西，只有sniffnet

┌──(root㉿kali)-[/home]
└─# arp-scan -l         
Interface: eth0, type: EN10MB, MAC: 00:0c:29:3e:50:4d, IPv4: 192.168.2.106
Starting arp-scan 1.9.7 with 256 hosts (https://github.com/royhills/arp-scan)
192.168.2.1     2c:b2:1a:0c:d4:49       Phicomm (Shanghai) Co., Ltd.
192.168.2.104   84:14:4d:f7:61:b0       (Unknown)
192.168.2.180   2a:3e:a4:7a:f0:e6       (Unknown: locally administered)
192.168.2.201   96:89:f9:d7:d9:7b       (Unknown: locally administered)

4 packets received by filter, 0 packets dropped by kernel
Ending arp-scan 1.9.7: 256 hosts scanned in 1.920 seconds (133.33 hosts/sec). 4 responded

┌──(root㉿kali)-[/home]
└─# fping -ag 192.168.2.0/24 > fping.txt
或
┌──(root㉿kali)-[/home]
└─# fping -ag 192.168.2.1 192.168.2.254 > fping.txt

# 参数说明:
-a          表示只显示存活主机
-g          表示对地址段进行扫描，如果不加可以对某个IP进行扫描
> fping.txt 表示将扫描的结果重定向到fping.txt ，原因是如果扫描一个网段的话输出结果是非常多的,我们输出重定向到文件中只会获得存活的主机信息。

# 1. nmap扫描局域网存活主机与主机名
nmap -sP 192.168.1.0/24  
nmap -sP -PI -PT 192.168.1.0/24

# nmap 扫描ip所开放的端口
nmap -sT -sV -Pn -v 192.168.1.12 -p-
# 参数:
# -p- 表示全端口 计算机共有端口65535个
# -sT 表示扫描用的是Tcp扫描
# -sV 表示显示服务版本号
# -Pn 应当表示被扫描的机器与你本机的三次握手
# -v  表示详细信息
nmap -p80 [域名] 对某个端口进行探测
nmap -p80,135 [域名] 对某几个端口进行探测
nmap -p1-100 [域名] 对某个端口范围进行探测
nmap -p- [域名] 对所有端口范围进行探测
nmap -p T:25,U:53 [域名] 指定协议探测端口
nmap -p smtp [域名] 通过协议名来扫描端口
nmap -p s* [域名] 通过名称范围扫描
nmap -p [1-65535] [域名] 扫描注册在nmap中的端口

┌──(root㉿kali)-[/home]
└─# nmap -sS 154.40.42.101 -p80,443,9090,8080 
Starting Nmap 7.92 ( https://nmap.org ) at 2023-04-05 13:49 CST
Nmap scan report for 154.40.42.101
Host is up (0.19s latency).

PORT     STATE    SERVICE
80/tcp   open     http
443/tcp  filtered https
8080/tcp open     http-proxy
9090/tcp open     zeus-admin

Nmap done: 1 IP address (1 host up) scanned in 1.48 seconds

# 参数:
# -sS 表示使用SYN进行半连接扫描

# 单端口扫描
masscan 10.10.10.0/24 -p443

# 多端口扫描
masscan 10.10.10.0/24 -p80,443

# 扫描一系列端口
masscan 10.10.10.0/24 -p22-25

# 快速扫描
# 默认情况下，masscan扫描的速度为每秒100个数据包，为了增加这一点，只需提供该-rate选项并指定一个值
masscan 10.10.10.0/24 --top-ports 100 --rate 100000

# 排除目标
# 为了更好的，愉快的玩耍，必要时要对扫描目标进行排除
masscan 10.10.10.0/24 --top-ports 100 --excludefile exclude.txt

# 保存扫描结果
# 可以使用标准的unix重定向器将扫描结果输入到一个文件中
masscan 10.10.10.0/24 --top-ports 100 > result.txt

# 支持的输出格式
# -oX filename : 将扫描结果保存到xml格式的文件中
# -oG filename : 将扫描结果保存到grepable格式的文件中
# -oJ filename : 将扫描结果保存到json格式的文件中


# 获取Banner
masscan 10.10.10.0/24 -p80 --banners --source-ip x.x.x.x
# 扫描10.10.10.x网段80端口的开放信息，并且获取banner信息 –source-ip 是指定源IP，这个ip必须指定独立有效的IP地址。

<ip/range> IP地址范围，有三种有效格式，1、单独的IPv4地址 2、类似"10.0.0.1-10.0.0.233"的范围地址 3、CIDR地址 类似于"0.0.0.0/0"，多个目标可以用都好隔开
-p <ports,--ports <ports>> 指定端口进行扫描
--banners 获取banner信息，支持少量的协议
--rate <packets-per-second> 指定发包的速率
-c <filename>, --conf <filename> 读取配置文件进行扫描
--echo 将当前的配置重定向到一个配置文件中
-e <ifname> , --adapter <ifname> 指定用来发包的网卡接口名称
--adapter-ip <ip-address> 指定发包的IP地址
--adapter-port <port> 指定发包的源端口
--adapter-mac <mac-address> 指定发包的源MAC地址
--router-mac <mac address> 指定网关的MAC地址
--exclude <ip/range> IP地址范围黑名单，防止masscan扫描
--excludefile <filename> 指定IP地址范围黑名单文件
--includefile，-iL <filename> 读取一个范围列表进行扫描
--ping 扫描应该包含ICMP回应请求
--append-output 以附加的形式输出到文件
--iflist 列出可用的网络接口，然后退出
--retries 发送重试的次数，以1秒为间隔
--nmap 打印与nmap兼容的相关信息
--http-user-agent <user-agent> 设置user-agent字段的值
--show [open,close] 告诉要显示的端口状态，默认是显示开放端口
--noshow [open,close] 禁用端口状态显示
--pcap <filename> 将接收到的数据包以libpcap格式存储
--regress 运行回归测试，测试扫描器是否正常运行
--ttl <num> 指定传出数据包的TTL值，默认为255
--wait <seconds> 指定发送完包之后的等待时间，默认为10秒
--offline 没有实际的发包，主要用来测试开销
-sL 不执行扫描，主要是生成一个随机地址列表
--readscan <binary-files> 读取从-oB生成的二进制文件，可以转化为XML或者JSON格式.
--connection-timeout <secs> 抓取banners时指定保持TCP连接的最大秒数，默认是30秒。

# -n   直接使用IP地址，而不通过域名服务器
# -v   显示指令执行过程
# -w 表示超时时间
# -z  表示使用输入/输出模式，只在扫描通信端口时使用

┌──(root㉿kali)-[/home]
└─# nc -nv -w 1 -z 154.40.42.101 80-90 
(UNKNOWN) [154.40.42.101] 90 (?) : No route to host
(UNKNOWN) [154.40.42.101] 89 (?) : Connection timed out
(UNKNOWN) [154.40.42.101] 88 (kerberos) : No route to host
(UNKNOWN) [154.40.42.101] 87 (?) : No route to host
(UNKNOWN) [154.40.42.101] 86 (?) : Connection timed out
(UNKNOWN) [154.40.42.101] 85 (?) : No route to host
(UNKNOWN) [154.40.42.101] 84 (?) : Connection timed out
(UNKNOWN) [154.40.42.101] 83 (?) : No route to host
(UNKNOWN) [154.40.42.101] 82 (?) : Connection timed out
(UNKNOWN) [154.40.42.101] 81 (?) : No route to host
(UNKNOWN) [154.40.42.101] 80 (http) open

┌──(root㉿kali)-[/opt/TOP10]
└─# wafw00f -h
Usage: wafw00f url1 [url2 [url3 ... ]]
example: wafw00f http://www.victim.org/

用法：wafw00f url1 [url2 [url3 ... ]]
示例：wafw00f http://www.victim.org/

选项：
-h, --help            显示帮助信息并退出
-v, --verbose         启用详细模式，多个-v选项增加详细程度
-a, --findall         查找与签名匹配的所有WAF，不在第一个匹配上停止测试
-r, --noredirect      不跟随3xx响应的重定向
-t TEST, --test=TEST  测试特定的WAF
-o OUTPUT, --output=OUTPUT
将输出写入csv、json或文本文件中，具体格式取决于文件扩展名。对于标准输出，请指定-作为文件名。
-f FORMAT, --format=FORMAT
强制输出格式为csv、json或文本。
-i INPUT, --input-file=INPUT
从文件中读取目标。输入格式可以是csv、json或文本。对于csv和json，需要一个“url”列名或元素。
-l, --list            列出WAFW00F能够检测到的所有WAF
-p PROXY, --proxy=PROXY
使用HTTP代理执行请求，例如：http://hostname:8080，socks5://hostname:1080，http://user:pass@hostname:8080
-V, --version         打印当前版本的WafW00f并退出。
-H HEADERS, --headers=HEADERS        通过文本文件传递自定义标头，以覆盖默认的标头设置。

┌──(root㉿kali)-[/opt/TOP10]
└─# wafw00f https://icp.chinaz.com/ 

                   ______
                  /      \                                                                                                                                  
                 (  Woof! )                                                                                                                                 
                  \  ____/                      )                                                                                                           
                  ,,                           ) (_                                                                                                         
             .-. -    _______                 ( |__|                                                                                                        
            ()``; |==|_______)                .)|__|                                                                                                        
            / ('        /|\                  (  |__|                                                                                                        
        (  /  )        / | \                  . |__|                                                                                                        
         \(_)_))      /  |  \                   |__|                                                                                                        

                    ~ WAFW00F : v2.2.0 ~
    The Web Application Firewall Fingerprinting Toolkit                                                                                                     
                                                                                                                                                            
[*] Checking https://icp.chinaz.com/
[+] Generic Detection results:
[-] No WAF detected by the generic detection
[~] Number of requests: 7

┌──(root㉿kali)-[/opt/TOP10]
└─# enum4linux -h                        
enum4linux v0.9.1 (http://labs.portcullis.co.uk/application/enum4linux/)
Copyright (C) 2011 Mark Lowe (mrl@portcullis-security.com)

简单的封装了在samba包中的工具，以提供类似的enum.exe功能（以前从www.bindview.com）。 为了方便起见，还增加了一些附加功能，例如RID循环。
用法: ./enum4linux.pl [选项] ip地址
枚举选项：
     -U        获取用户列表
     -M        获取机器列表*
     -S        获取共享列表
     -P        获取密码策略信息
     -G        获取组和成员列表
     -d        详述适用于-U和-S
     -u user   用户指定要使用的用户名（默认""）
     -p pass   指定要使用的密码（默认为""）
以下选项是enum.exe未实现的: -L, -N, -D, -f
其他选项:
    -a        做所有简单枚举（-U -S -G -P -r -o -n -i），如果您没有提供任何其他选项，则启用此选项
    -h        显示此帮助消息并退出
    -r        通过RID循环枚举用户
    -R range  RID范围要枚举（默认值：500-550,1000-1050，隐含-r）
    -K n      继续搜索RID，直到n个连续的RID与用户名不对应，Impies RID范围结束于999999.对DC有用
    -l        通过LDAP 389 / TCP获取一些（有限的）信息（仅适用于DN）
    -s        文件暴力猜测共享名称
    -k user   远程系统上存在的用户（默认值：administrator，guest，krbtgt，domain admins，root，bin，none）
              用于获取sid与“lookupsid known_username”
              使用逗号尝试几个用户：“-k admin，user1，user2”
    -o        获取操作系统信息
    -i        获取打印机信息
    -w wrkg   手动指定工作组（通常自动找到）
    -n        做一个nmblookup（类似于nbtstat）
    -v        详细输出，显示正在运行的完整命令（net，rpcclient等）
RID循环应从Windows（或Samba）主机中提取一个用户列表，其中限制匿名设置为1（Windows NT和2000）或启用“网络访问：允许匿名SID /名称转换”（XP，2003）。
注意：Samba服务器通常似乎有RID在范围3000-3050。
依赖性信息：您将需要安装samba包，因为此脚本基本上只是一个包装rpcclient，net，nmblookup和smbclient。 Polenum从http://labs.portcullis.co.uk/application/polenum/需要获取密码政策信息。

┌──(root㉿kali)-[/home/]
└─$ enum4linux -A 10.10.10.9
Starting enum4linux v0.9.1 ( http://labs.portcullis.co.uk/application/enum4linux/ ) on Fri Aug  4 20:29:56 2023

 =========================================( Target Information )=========================================

Target ........... 10.10.10.9
RID Range ........ 500-550,1000-1050
Username ......... ''
Password ......... ''
Known Usernames .. administrator, guest, krbtgt, domain admins, root, bin, none


 =============================( Enumerating Workgroup/Domain on 10.10.10.9 )=============================


[+] Got domain/workgroup name: MYGROUP


 ====================================( Session Check on 10.10.10.9 )====================================


[+] Server 10.10.10.9 allows sessions using username '', password ''


 =================================( Getting domain SID for 10.10.10.9 )=================================

Domain Name: MYGROUP
Domain Sid: (NULL SID)

[+] Can't determine if host is part of domain or part of a workgroup

enum4linux complete on Fri Aug  4 20:29:56 2023