lingjing外部靶机 targetedPractice:burp-labs

因为搜不到该靶机的解题过程记录有些wp需要花钱所以我自己做了一个我自己解题过程的记录方便我自己复盘。每关的答案都统一放到最后了。初级篇:level 1基础爆破——学习使用Intruder。解题测试出已存在的用户名,如admin,通过Intruder爆破获取账户密码,如123456789。level 2响应过滤——学习使用过滤器。解题过滤器有两种方法使用,第一种在攻击前进行过滤,第二种在攻击后进行过滤。攻击前过滤通过settings中的Grep-Match进行参数配置并勾选Flag responses matching these expressions对结果进行关键词匹配攻击后过滤在Results选项卡中,点击View filter:Matching expression success,在Filter by search term中进行关键词查找。level 3用户名枚举——用户名爆破。解题通过Intruder对用户名进行爆破并对username error进行筛选快速获取正确用户名使用正确的用户名对密码进行爆破获取level 4高级过滤——用户名爆破响应长度一致。解题先获取已存在的用户名在获取密码流程与level 3是相同的我的靶机是在获取用户名是返回结果长度一致需要添加匹配规则在获取密码时没有出现返回结果长度一致现象。中级篇:level 5POST攻击。解题首先了解GET与POST是什么GET是把数据放在URL中用于向服务器要数据POST是把数据放在请求体中,用于向服务器提交数据。获取结果的流程与之前一致我这里使用repeater让大家更直观的感受。对比维度GETPOST数据位置URL 尾部请求行。例如GET /login?useradminHTTP 请求体Body。例如useradmin在空行下方的区域。长度限制方客户端/浏览器限制RFC 规范无限制但浏览器和服务器通常限制 2KB~8KB。服务器端限制通常由php.ini或nginx的client_max_body_size决定默认可达 2GB。编码类型 (Content-Type)仅支持application/x-www-form-urlencoded只能传 ASCII 文本特殊字符必须 URL 编码如空格变%20。支持多种格式1.x-www-form-urlencoded表单2.multipart/form-data文件上传3.application/jsonAPI 接口4.text/xml等。TCP 数据包发送机制经典一个包发送。请求头和请求体空在一个 TCP 数据包中一次性发出。可能分两个包发送HTTP/1.1 经典行为。先发 Header服务器响应 100 Continue再发 Body。这使得 POST 在小数据时略慢但大数据时更灵活。浏览器后退/刷新行为无害幂等。点击刷新或后退浏览器不会弹窗警告直接重新加载页面。有副作用非幂等。点击刷新或后退浏览器会弹窗提示“确认重新提交表单”防止重复下单或重复发帖。浏览器历史记录完整保存。URL 中的参数如?password123会被明文保存在浏览器历史文件夹中。仅保存 URL 路径。请求体Body里的敏感数据不会被保存在浏览器历史中。服务器日志记录完全记录。参数会原封不动地出现在 Nginx/Apache 的access.log日志文件中管理员可直接看到密码。不记录 Body。绝大多数 Web 服务器的默认访问日志只记录 URL 路径不记录 POST 的 Body 内容除非开启 Debug 级别相对隐蔽。缓存机制 (Cache)强缓存。浏览器和 CDN 会默认缓存 GET 请求的静态结果用于加速。禁止缓存。除非特殊配置浏览器和代理服务器默认不会缓存 POST 请求的响应。书签收藏可以。可以把带参数的搜索页存为书签。不可以。无法将“提交订单”或“登录”这个过程存为书签。幂等性 (Idempotent)是幂等。发送 1 次和发送 10 次的效果完全相同服务器状态不变仅查询。否非幂等。发送 1 次创建 1 条数据发送 10 次创建 10 条数据会产生副作用。安全性明文场景极不安全。参数暴露在地址栏、浏览器标题栏、Referer 头来源页中。较安全但不绝对。数据在 Body 中不显示在地址栏但若未使用HTTPS抓包工具如 Wireshark依然能看到明文。主要应用场景获取数据。搜索引擎查询、查看文章详情、翻页、获取静态资源图片/CSS/JS。提交/修改数据。用户登录、注册账号、发布帖子、上传文件、在线支付。level 6中文响应。解题response结果返回的是中文,由于pretty中无法识别非英文响应,所以可以通过响应长度进行快速查找。level 7重定向处理。解题对密码进行爆破处理错误密码的状态码都为2003xx则极大概率为正确密码。重定向:本质是告诉浏览器要找的东西不在这里去另一个URL中查找。重定向完整的交互流程客户端(浏览器)发送请求——服务器返回响应,状态码为3xx,并在响应头中包含Location: URL.example,响应体通常为空或者一段提示文字——浏览器收到后会立即自动发起第二次请求去访问Location指定的新地址——浏览器显示第二次请求返回的最终页面内容。在bp中一次重定向会产生两条或多条HTTP请求记录(原始请求跳转后的请求)。状态码名称是否永久是否允许改变请求方法GET/POST典型使用场景301Moved Permanently永久移动永久允许改变POST 可能变成 GET网站更换域名旧网址全部指向新域名。浏览器会永久缓存该跳转下次直接访问新地址。302Found临时移动临时允许改变POST 可能变成 GET最常用登录成功后跳转到首页、支付完成后跳转到订单页。浏览器不会缓存每次都会先访问旧地址再跳转。303See Other查看其他临时强制改为 GET专门用于POST 请求后防止刷新页面导致重复提交PRG 模式。例如提交表单后服务器返回 303强制浏览器用 GET 去访问结果页。307Temporary Redirect临时重定向临时严格保持原方法POST 仍是 POST当需要临时跳转但又不允许丢失 POST 数据时使用如支付扣款接口。规范要求浏览器必须沿用原请求方法。308Permanent Redirect永久重定向永久严格保持原方法POST 仍是 POST301 的升级版专用于需要保持请求方法不变的永久迁移。level 8Base64编码——客户端编码绕过。解题抓包后会发现我们测试的密码被某种方式加密将其交给ai分析是哪种加密,这题使用的是base64加密,在payload processing中add Enabled Base64-encode规则,并勾选启用该规则然后进行密码爆破由于响应体是非英文可以根据响应体长度快速获取正确密码并对其进行base64解码。level 9md5加密。解题和level 8的流程是一致的只需要将base64的规则改成添加 add Hash MD5即可由于MD5是一种单向哈希算法所以大家需要在获取正确结果后返回文件中根据Results选项卡中对应的行数进行结果查询。高级篇bp中Intruder的四种攻击模式1.Sniper attack(狙击手模式):使用一个有效载荷集,将每个有效载荷依次插入到每一个标记位置上。解析假设你有一个字典并且有多个标记位它会将字典依次替换第一个标记点其他标记位不变,当第一个标记点遍历完字典后会改回到标记时的值字典开始依次替换第二个标记点以此类推直到最后一个标记位遍历完字典。请求总数 字典大小 * 标记位置数。2.Battering ram attack(攻城锤模式):使用一个有效载荷集,将同一个有效载荷同时填入到所有标记位置上。解析假设你有一个字典它会将字典的内容将所有标记点同时替换如第一个字典为1第一次请求攻击时所有的标记位会全部变成1。请求总数 字典大小3.Pitchfork attack(音叉模式):为每一个标记位置分配一个独立的有效载荷集,Intruder会并行的遍历每个集合。解析假设你有两个标记点那你就需要准备两个字典(字典A和字典B),攻击时,第一个请求就会取字典A[0]和字典B[0],第二个请求就会取字典A[1]和字典B[1],然后一一对应知道遍历结束。需要注意的是假设字典大小不一致短的字典会用空值进行补全确保所有字典大小一致。请求总数 所有字典中最大的那个大小4.Cluster bomb attack(集束炸弹):为每一个标记位置分配一个独立的有效载荷集。Intruder会遍历这些集合之间所有可能的组合。解析假设你有两个标记位,字典A有三个词字典B有四个词。攻击时会生成3 * 4 12种组合,将这些组合全部遍历完才会结束。请求总数 所有字典大小的乘积我整理的可能比较笼统表达可能不是很好最好的理解方式就是大家可以自己动手尝试一下很快就能理解一下。level 10双参数攻击。解题使用Pitchfork attack模式对密码的两个参数添加标记,并为这两个标记位加载同一个字典并对第二个标记位的字典添加md5加密规则。level 11前缀处理。解题我使用的是标记整个参数并添加前缀规则大家也可以标记动态字符位置我刚开始攻击时没有进行筛选发现响应体长度都是一致的所以我在第二遍时增加了error关键词筛选才获取到答案。面对前缀的处理方法服务器要求传递的密码必须是前缀字典、参数名有动态前缀或想要保留部分静态字符、前缀双参数加密。解决方法在Intruder的payload Processing区域添加Add prefix规则如添加该关卡中的godxing%40如果还需要添加别的规则需确保规则的顺序正确如前缀包含特殊字符需添加URL-encode规则,如果不确定是不是包含特殊字符也可以添加URL-encode规则。level12时间戳。时间戳处理方法由于ai推荐的解决时间戳的两个插件扩展(Magic Variables、Timestamp Injector)比较古老不适配我现在使用的25.10.3专业版所以这几天我自己借助ai制作和调试了一个Python插件用于解决常见的时间戳。插件有需要的可以私聊。解题根据burp中的数据流可以看到POST参数加入了时间戳的识别并且时间戳的时间是服务器时间而不是本地时间根据我摸索的时间戳边界大概为2s左右就行时间戳超出2s后就会出现部分302状态码2s边界也有概率出现302状态码响应体所以大家在尝试时需要注意筛选一下Status code。level 13JSON格式。解题获取数据流可以看到请求体中的数据是JSON格式JSON是一种键值对服务器会对键值对值提取匹配数据库的数据我们直接对密码进行爆破即可。level14Base64 JSON。解题从获取的信息可以看到请求体被加密交给ai获取加密模式该关卡使用的是Base64加密并使用JSON格式传递数据通过加密的方式就不方便按照之前那样的对密码值进行爆破我们需要构造整个请求体进行加密爆破构造请求体的方式就是把我们测试的请求体使用前缀规则和后缀规则将被爆破的参数包裹起来这样我们不管写什么值都是可以被加密传递的。注意有些时候burp会默认勾选URL-encode these characters大家可以根据抓包的数据中是否进行编码决定勾不勾选。level15JSON MD5。解题根据题意直接按照levek14的解题方法解决。level16复杂编码。解题根据题目提醒直线减低了题目的难度按照正常操作再额外加一层MD5加密规则即可。level17频率限制。解题level1答案admin ; 123456789。level2答案admin ; password。level3答案test ; 123456789。level4答案test ; 123456789。level5答案admin ; 123456789。level6答案admin ; 777777。level7答案admin ; admin123。level8答案admin ;LOVE5201314。level9答案: admin ; 11111111。level10答案admin ; abc123456。level11答案admin ; 123456。level12答案admin ; 789632145。level13答案admin ; 1314521521。level14答案admin ; 1234568。level15答案admin ; qaz123qaz。level16答案admin ; qq520520。