红队从资产收集到打点

chenqiang

原文链接：红队从资产收集到打点

​
最近想总结一下，在红队渗透拿到一个目标名或者刷src时候，怎么快速信息收集和批量检测来打到一个点，往往在实际项目中就是拼手速。
信息收集到打点大致我就分为

1. <code>企业信息结构收集
   
2. </code><code>敏感信息收集
   
3. </code><code>域名主动被动收集
   
4. </code><code>整理域名ip资产
   
5. </code><code>扫描检测打点</code>

复制代码

其中每一步需要收集好几个方面的信息，手动很累也很慢
1.企业信息结构收集
企业信息结构收集包括对查询目标企业的公司信息，涉及到哪些主站域名，有哪些控股很多的子公司，这些子公司涉及到哪些域名，然后再进行备案反查，你又会得到一些新的公司，同理也能再次得到一些新的主站域名，将这些进行整理---->得到一批待爆破的域名。

还有的就是除了这些查到的主站域名，往往企业会有app、公众号、小程序这些资产，也要对这些资产进行收集，然后你又拿到了一批域名。

手动查询的话从以下查询

1. <code>天眼查 查企业/子公司/域名/公众号 https://www.tianyancha.com/</code><code>
   
2. 爱企查   https://aiqicha.baidu.com/
   
3. </code><code>企查查询 https://www.qcc.com/</code><code>
   
4. 启信宝   https://www.qixin.com/</code>

复制代码

工具:

1. <code>推荐cSubsidiary利用天眼查查询企业子公司
   
2. </code><code>https://github.com/canc3s/cSubsidiary</code>
   
3. <code>还有pigat：
   
4. </code><code>https://github.com/teamssix/pigat</code>
   
5. <code>公众号和app的收集：</code><code>
   
6. https://github.com/wgpsec/ENScan</code><code>https://github.com/wgpsec/ENScan_GO go版本</code>

复制代码

2.敏感信息收集
利用搜索引擎、github等托管平台配合一些dorks就可以搜到很多信息。
熟知的googlehack，gitdork，网盘泄露等等。
敏感信息一共要搜集这个几个方面：
googlehack语法
github泄露
目标人员姓名/手机/邮箱1.googlehack
但比如googlehack，你需要搜的好几条语法加上域名
比如：

1. 
   
2. site:*.domain.com
   
3. inurl:domain.com
   
4. intitle:keyword
   
5. keyword filetyle:doc|pdf

复制代码

一个域名可以配合多个语法搜，那么多域名手动输入搜很慢，推荐工具:
https://github.com/r00tSe7en/GoogleHackingTool 在线Google Hacking 小工具
https://www.exploit-db.com/google-hacking-database 语法，自己可以脚本里批量搜2.github泄露敏感信息：
一些常用github dorks,直接搜对应目标信息：

1. xxxxx.com "Authorization"     #"Authorization: Bearer"
   
2. xxxxx.com  "filename：vim_settings.xml"
   
3. xxxxx.com "language：PHP"

复制代码

也可以在github对各种信息搜索，比如文件类型

1. filename:manifest.xml
   
2. filename:travis.yml
   
3. filename:vim_settings.xml
   
4. filename:database
   
5. filename:prod.exs NOT prod.secret.exs
   
6. filename:prod.secret.exs
   
7. filename:.npmrc _auth
   
8. filename:.dockercfg auth
   
9. filename:WebServers.xml
   
10. filename:.bash_history <Domain name>
    
11. filename:sftp-config.json
    
12. filename:sftp.json path:.vscode
    
13. filename:secrets.yml password
    
14. filename:.esmtprc password
    
15. filename:passwd path:etc
    
16. filename:dbeaver-data-sources.xml
    
17. path:sites databases password
    
18. filename:config.php dbpasswd
    
19. filename:prod.secret.exs
    
20. filename:configuration.php JConfig password
    
21. filename:.sh_history

复制代码

包含关键字的指定语言：

1. language:python username
   
2. language:php username
   
3. language:sql username
   
4. language:html password
   
5. language:perl password
   
6. language:shell username
   
7. language:java api
   
8. HOMEBREW_GITHUB_API_TOKEN language:shell

复制代码

搜API/KEYS/TOEKNS关键字：

1. api_key
   
2. “api keys”
   
3. authorization_bearer:
   
4. oauth
   
5. auth
   
6. authentication
   
7. client_secret
   
8. api_token:
   
9. “api token”
   
10. client_id
    
11. password
    
12. user_password
    
13. user_pass
    
14. passcode
    
15. client_secret
    
16. secret
    
17. password hash
    
18. OTP
    
19. user auth

复制代码

很多关键字可以搜，还是批量搜高效，工具：
https://github.com/obheda12/GitDorker
https://github.com/michenriksen/gitrob
https://github.com/dxa4481/truffleHog
https://github.com/techgaun/github-dorks这类工具需要设置git令牌，附上gitrob过程，踩坑:不要下relase ，自己编译最好：

1. git clone https://github.com/michenriksen/gitrob.git
   
2. go mod init      #to use go mod      如果报错 运行go mod init github.com/michenriksen/gitrob
   
3. rm Gopkg*     #remove the old stuff
   
4. go build      #to build it
   
5. 
   
6. 
   
7. ./build.sh

复制代码

设置git令牌

1. <code class="hljs">set GITROB_ACCESS_TOKEN=xxxxx</code>

复制代码

使用后可以查看图形界面的结果：

​

编辑
3. 目标人员姓名/手机/邮箱
通过开源信息收集目标人员姓名/手机/邮箱，为后面打点做字典做准备。
https://github.com/laramies/theHarvester
通过搜索引擎、PGP服务器以及SHODAN数据库收集用户的email，子域名，主机，雇员名，开放端口和banner信息。
使用：
-d 开关用于定义域名，-l 用于限制结果数量

1. theHarvester -d kali.org -l 200 -b
   
2. anubis,baidu,pentesttools,projectdiscovery,qwant,rapiddns,
   
3. rocketreach,securityTrails,spyse,sublist3r,threatcrowd,threatminer,
   
4. trello,twitter,urlscan,virustotal,yahoo,zoomeye,bing,binaryedge,
   
5. bingapi,bufferoverun,censys,certspotter,crtsh,dnsdumpster,duckduckgo,
   
6. fullhunt,github-code,google,hackertarget,hunter,intelx,linkedin,
   
7. linkedin_links,n45ht,omnisint,otx

复制代码

按github跑就是了，但是有点坑点：
配置api-keys在/etc/theHarvester 目录下api-keys.yaml填入对应的api key即可

​

编辑
有个坑点是key:后要加个空格在放key字符串，不然跑不起来
人员邮箱字典的构造：
https://github.com/pry0cc/GoogLinked/blob/master/GoogLinked.rb

​

编辑

​

编辑

还可以使用一些社工信息来做字典，这样的工具很多了，用一个就够了没必要用全部：Cupp/Cewl
https://github.com/r3nt0n/bopscrk
python3 bopscrk.py -i3. 域名主动被动收集
域名主动信息收集内容就有点杂了。
通过1、2点我们拿到了一批等待爆破的域名和人员的信息，以及泄露的一些敏感信息(运气好的话用泄露的信息已经打到点了。)
现在需要对域名进行whois信息查询、dns域名正反查询、子域名探测爆破三个方面收集。
1.whois信息查询
whois需要查询域名的whois，然后根据whois信息来查询历史和反查，这样你就得到了一些邮箱和可疑域名。

查域名信息没什么说的，主要看网址注册人、到期记录、创建域的时间、名称服务器和联系信息等，查最新的一般都是托管的信息，而查看历史信息就有可能查到真实联系人邮箱电话等:

​

编辑

一些常见whois查询，手动的时候可以查询:
https://domaineye.com/reverse-whois
https://www.reversewhois.io/
https://tool.domains/whois-research
https://tools.webservertalk.com/reverse-whois
https://reverse-whois-api.whoisxmlapi.com/
http://whois.domaintools.com/
https://viewdns.info/reversewhois/
https://www.domainiq.com/reverse_whois除了正向查询whois，还要查询whois历史信息:
以下几个网站允许用户访问连接的 WHOIS 数据库以进行调查。这些记录是十多年来对有关域注册的有用数据进行网络爬取的结果:
https://whois.domaintools.com/
https://drs.whoisxmlapi.com/?ts=gp&ref=hackernoon.com
https://whois-history-api.whoisx ... ;ref=hackernoon.com
https://www.whoxy.com/whois历史信息查询不能错过，明显可以在whois历史信息中看真实邮箱并反查而不是目前托管的邮箱，以及非托管的dns服务器:

​

编辑

whois 信息反查

通过历史whois信息找到真实邮箱or组织名，再反查域名，又可以得到一批资产：

​

编辑
other:

https://www.reversewhois.io/

​

编辑

整理一下whois分了三步，先whois查询一个域名，然后对查询的信息进行历史whois查询和反查,最后得到一批邮箱和域名。手动知道过程就行，实际做项目用工具批量查了整理：

https://github.com/xugj-gits/domain-tool 批量whois查询
https://github.com/melbadry9/WhoEnum2.dns域名正向反向查询
dns域名查询分两个部分，历史记录和ip反查：
DNS历史记录(doamin2ips)
Dnsdumpster 是一个在线实用程序，我们使用它来查找子域、目标的 DNS 记录。

​

编辑
VT也是可以看dns数据信息的:

​

编辑
ip反查(ip2domains)
同ip查询多个解析到这个ip的域名，寻找更多web资产
https://viewdns.info/reverseip/

​

编辑
https://dnslytics.com/

​

编辑

ip反查也可以使用dig、nslookup、host命令完成：
正在上传…重新上传取消

工具推荐：
https://www.infobyip.com/ipbulklookup.php 批量ip反查
https://github.com/Sma11New/ip2domain 国内域名推荐ip2domain，会查询权重、ICP备案等

​

编辑
通过dns查询，我们拿到了一些域名和可疑ip段
3.子域名探测爆破
没啥好说的，主要是收集的渠道全、过滤泛解析。
常见手法爆破子域名、证书透明度、搜索引擎、信息泄露、ASN号等等，很多工具已经做了这些工作
https://github.com/shmilylty/OneForAll
https://github.com/six2dez/reconftw
https://github.com/P1-Team/AlliN
https://github.com/d3mondev/puredns4. 整理域名ip资产
到这里大致的收集就结束了，就是要对收集结果进行整理，通过上面收集能拿到：
一批待探测存活的域名一批待确定的ip段一些邮箱，姓名，手机号一些敏感文件、信息、通用密码(敏感信息收集阶段看脸)整理后大致如上，有一步需要做的就是把收集的这些域名，转成ip段，但是是需要判断这个ip属不属于cdn，属不属于泛解析的ip，然后转成ip后要判断ip段的权重，哪些段才可能是目标主要的C段。
https://github.com/EdgeSecurityTeam/Eeyes 对subdomain数据处理、获取其中真实IP并整理成c段
https://github.com/canc3s/cIPR 整理后查看权重

​

编辑
5. 扫描检测打点
这步就开始快速打点了。
上面整理后的资产，需要我们探测的是一批域名和一批C段
域名需要做的事：
探测存活
title、banner提取、指纹识别
爬虫、目录轻量扫描、轻量漏扫C段需要做的事：
扫描端口，探测存活
将扫的web和非web进行分类，把扫到的web资产加入到域名需要做的事，和对待域名没区别
将扫到的非web(数据库/远程登录协议)进行爆破，比如mysql爆破，rdp爆破一批域名和一批C段就这样做不同的事，来先探测是否有脆弱的点，最后才是回归常规web，一个站一个站的去撕
一些工具：

https://github.com/broken5/WebAliveScan web存活判断
https://github.com/fadinglr/EHole 红队重点攻击系统指纹探测工具
https://github.com/k8gege/K8CScan 漏洞扫描、密码爆破
https://github.com/b1gcat/DarkEye 主机发现+爆破
https://github.com/Adminisme/ServerScan 高并发网络扫描、服务探测工具
https://github.com/dean2021/titlesearch 批量抓取域名title工具
https://github.com/pmiaowu/PmWebDirScan 批量扫目录备份还有的就是一些大家都熟知的xray，vulmap之类的漏洞，批量轻量去扫描一下即可。
把上面的几个步骤，工具串起来，行成快速信息收集，快速探测打点，最好写个贯穿流程的工具调用的脚本，自己写过效果不错但代码不好就不拿出来丢人了，基本这样过一遍就容易打到一些比较脆弱的点。
​