《WEB安全渗透测试》（34）记一次攻防演练之红队总结

本次攻防演练不允许使用钓鱼、社工、无线等方式，要求从互联网侧发现安全隐患。

1.资产发现

资产发现很重要，我们可以借助资产测绘平台：https://fofa.info/、https://hunter.qianxin.com/、https://quake.360.cn/等。

以fofa为例，我们可以从以下几个方面搜索：

domain="xxx.com"  
host="xxx.com"  
header="xxx.com"  
cert="xxx.com"

在网站页面、github、网盘搜索目标信息、域名、用户密码、password、账号等信息。

尽可能寻找更多的系统后台，有的可以修改X-Forwarded-For来绕过服务器对来源IP的限制。

2.弱口令

接下来尝试弱口令，尽可能登入系统。

（1）常见系统通用账号及弱口令：

常见账号：

admin、admin123、administrator、root、user、test、test123、123、sysadmin

常见密码：

admin、admin123、123、123456、12345678、qwer1234、Qwer1234、root、111111、a111111、a123456、1

（2）网络设备、安全设备、OA系统、开源web产品等常见弱口令。

3.漏洞利用

收集信息越全面，这步就越容易做。

常见漏洞利用：

框架类：log4j、