# Kali

## 目錄
1. [架設](#架設)
2. [nslookup](#nslookup)
3. [John the Ripper](#John_the_Ripper)
4. [Wireshark](#Wireshark)
5. [nmap](#nmap)
6. [ARP Spoofing](#ARP_Spoofing)
7. [Metasploit Framework](#Metasploit_Framework)
8. [Burp Suite](#Burp_Suite)
9. [ExploitDB](#ExploitDB)
10. [smtp](#smtp)
11. [OWASP(2021:A1) - Broken Access Control（無效的訪問控制）](#OWASP(2021:A1))
12. [參考文獻](#參考文獻)

## 架設
參考別人寫的這篇 https://ithelp.ithome.com.tw/articles/10298620
下方的實作也是參考這篇之後寫的(他的圖文並茂但我的只有字)

## nslookup
用來找到一個網站的 IP 位置
直接在 kali 的終端機當中輸入就可以使用
`nslookup <網站>`
這樣就會返回此網站的 IP 位置

## John_the_Ripper
一個破解密碼的工具，幾乎所有封包都能辨識，而且擁有過濾的功能，所以可以選擇針對特定 IP 或通訊協定進行分析

### 執行流程
先打開 kali 的終端機，然後依序執行以下步驟
* 前置作業 :

cd /usr/share/wordlists # 先進到這個目錄底下
ll # 可以檢查這個目錄下包含哪些東西(包含隱藏檔案，外加詳細資訊)(ls -al的縮寫)
sudo gunzip rockyou.txt.gz # 解壓縮這個檔案
ls # 查看目前目錄的文件
more rockyou.txt # 顯示更多這個檔案的內容
cd ~ # 返回家目錄
sudo adduser test1 # 增加一個使用者名叫 test1
# 密碼請設 rockyou.txt 包含的
# 之後就一直按 <enter> 直到問 y/n 的時候選 y
sudo adduser test2 # 再增加一個使用者名叫 test2(步驟跟上面一樣)
cat /etc/passwd # 查看使用者列表(確認是否有成功建立 test1, test2)

* 開始搞解密的東東 :

sudo -i # 進入root模式
cd /home/kali # 到/home/kali這個目錄底下
unshadow /etc/passwd /etc/shadow > mypasswd.txt # 使用 unshadow 取出使用者、密碼檔案

因為shadow檔存著使用者的密碼，所以必須進到 root 才能對其進行操作
前面我們使用過 `cat /etc/passwd` 查看過使用者了，但密碼被分開儲存到 `/etc/shadow` 之中
而 `/etc/passwd /etc/shadow > mypasswd.txt` 是代表將使用者列表和密碼合併，存到 mypasswd.txt 這個檔案中

* 執行 John the Ripper :

john --wordlist=/usr/share/wordlists/rockyou.txt --format="crypt" mypasswd.txt

`--wordlist=` 後面接設定要遍歷的密碼檔
`--format="<解什麼樣的加密法>"` Linux 是使用 crypt，而 windows 則是 LR

## Wireshark
一個即時捕獲網路封包的工具，可以用來封包解析，查看封包的詳細資訊，而且支援好幾百種的通訊協定，幾乎所有封包都能辨識，並且擁有過濾的功能，所以可以選擇針對特定 IP 或通訊協定進行分析

### 執行流程
* 前置作業
先進入 kali 並且點擊左上角的 kali icon，搜索 wireshark 並且打開
進入之後會詢問我們想捕獲的封包對象，我們選擇 `eth0` (乙太網路)
進到頁面我們可以看到上面有一排列表，這些代表的資訊分別是 :
* No. : 捕獲到的封包編號（順序）
* Time : 封包被捕獲到的時間
* Source : 封包的來源端 IP
* Destination : 封包的目的端 IP
* Protocol : 封包的通訊協定
* Length : 封包的長度
* Info : 封包的簡略內容

* 了解如何看裡面的內容
接著我們可以試試在終端機 `ping` 我們的靶機(OWB)的 ip 位置，這時就能發現 wireshark 開始捕獲到封包，並且通訊協定為ICMP，主要是用來確定封包是否及時到達目的地
然後我們可以打開瀏覽器，可以發現我們捕獲到許多封包以及不同的通訊協定
其中我們可以看到有通訊協定是 `[SYN]` , `[SYN, ACK]` , `[ACK]`，這是代表正在進行 TCP 三向交握
* 補充 : TCP 三向交握
用來看指定的 port 服務是否有啟動
- 如果有，則執行以下步驟：
1. Source（來源端） 指定一個 port 號，並傳送一個 `[SYN]` 給 Destination（目的端）
2. Destination（目的端）回傳 `[SYN、ACK]`
3. Source（來源端）再將 `[ACK]` 回傳給 Destination（目的端），表示連線確認

- 如果沒有
則步驟2的 Destination（目的端）會回傳 `[RST]`，表示放棄連線或重連

* 實際運用
回到瀏覽器在網址列的地方打上 owb 的 IP 位址就可以進入到 owaspbwa 的畫面，之後點擊「Damn Vulnerable Web Application，簡稱DVWA」，這是用 PHP/MySQL 為基礎的網頁，進行網頁檢測的練習和測試
因為這個 DVWA 的登入沒有使用加密，所以能直接在通訊封包裡看到輸入的帳密明文，所以這裡我們要故意登入失敗，才能捕獲到它的封包
這邊帳密可以隨便輸入，然後按下「Login」
之後就可以回到 wireshark
在過濾器輸入 `http` 並且找到一個有使用 POST 的封包(在 info)，且來源端為 `kali 的 IP`，目的端為 `owb 靶機的 IP`
點開來就能在下面發現更多詳細內容，在內容部分找到 `HTML Form URL Encoded: application/x-www-form-urlecoded` 就可以看到帳密的明文
如果還想看更多資訊可以對該封包 `按右鍵 --> Follow --> TCP Stream`

## nmap
Network Mapper (網絡映射器)的簡稱，主要用來進行網路探測，可以檢測目標主機是否啟動、哪些 port 號開著、其服務為何、OS版本、裝置類型等，常被網路管理員用來進行網路監控管理，以評估網路安全。而 hacker 也很喜歡使用，因為可以搜集到該目標主機目前的狀態及資訊，較好計劃該如何進行攻擊

### 執行流程
* 前置作業
在 kali 打開終端機以及 wireshark

* 實際運用
然後在終端機輸入 `sudo nmap <meta 靶機的IP>` 可以偵查 meta 靶機有哪些 port 號是開著的
這時會看到 wireshark 突然捕獲到一堆封包，因為 nmap 會對所有常見的 port 號進行TCP三向交握，只要看封包回傳的狀態為何，就可以得知有哪些 port 號是開著的（預設是偵查 1000 個常見的 port 號）
- 如果要同時偵查多個 IP，只要在 IP 的位置用空格隔開就好，像這樣 :
`sudo nmap <IP-1> <IP-2> ...`
- 如果想偵查某個特定範圍的IP，就使用 `-`，代表 `從...到...` ，像這樣是偵查 `10.0.2.5～10.0.2.15` 這個範圍的IP :
`sudo nmap 10.0.2.5-15`
- 另外除了可以指定 IP，我們也可以指定 port，只需帶入參數 `-p`，像這樣是指定偵查 port 號 80(只會列出 port 號 80 的偵查結果) :
`sudo nmap -p 80 <IP>`
- 我們也可以指定要偵查的 port 號範圍，像這邊指定偵查 80～150 的 port 號 :
`sudo nmap -p 80-150 <IP>`
- 或是帶參數`-F`，快速偵查目前最常見的 100 個 port 號 :
`sudo nmap -F <IP>`
- 如果只想偵查前 10 個最常見的 port 號，你可以放入參數 `-top <偵查數量>` :
`sudo nmap -top 10 <IP>`
- 如果想一次偵查所有 port 號（1～65535），可以放入參數 `-p-`，代表從1～65535的 port 號 :
`sudo nmap -p- <IP>`
- 也可以帶參數`-v`，顯示偵查的詳細資訊 :
`sudo nmap -v <IP>`
- 也可以放入參數 `-O`，用來顯示作業系統資訊
- 或是可以放入參數 `-sV` 來列出提供的服務版本
- 重要的是，也可以放入 `-sS`，為了不讓偵測過程中，**不完成** TCP 三向交握
- 而`-A` 是偵測 port 所運行的服務版本與作業系統
- 最後，也可以放入參數 `-oA` 把掃描的結果輸出為純文字檔、grep格式或XML

* 補充 -- 目前常用的 port 號 :
- 20 -- FTP : 檔案傳輸協定，用於傳輸數據
- 21 -- FTP : 檔案傳輸協定，用於傳輸命令
- 22 -- SSH : 加密過的遠程連線
- 23 -- Telnet : 簡易的遠端連線協定，不安全，不推薦使用
- 25 -- SMTP : 未加密的 mail 協定，不安全
- 53 -- DNS : 域名服務
- 80 -- HTTP : 未經加密的傳輸協定，不安全
- 110 -- POP3 : 未加密的 mail 協定，不安全
- 123 -- NTP : 網絡時間協定
- 143 -- IMAP : 未加密的 mail 協定，不安全
- 443 -- HTTPS : 有加密的傳輸協定
- 465 -- SMTPS : 有加密的 mail 協定
- 631 -- CUPS : 印刷服務器
- 993 -- IMAPS : 有加密的 mail 協定
- 995 -- POP3 : 有加密的 mail 協定

## ARP_Spoofing
也就是 ARP 欺騙
透過發送大量的 ARP 通訊封包進行誤導，將原本指定傳送封包的 IP MAC 位址竄改成 hacker 所在的 IP MAC 位址，使受害主機相信某個 IP 與某個 MAC 位址相關聯。執行過程中，hacker 可以取得這個封包的資訊，並對其進行竄改，再轉送回正確的 IP 位址，也可以什麼都不做將服務阻斷

### 執行流程
有 2 種方法 : 指令、GUI(ettercap)
1. 指令版
* 前置作業
首先，一樣打開終端機，並且更新以及下載這些套件
`sudo apt-get update` : 將套件庫進行更新
`sudo apt install dsniff -y` : 安裝dsniff，這是一套橋接欺騙工具，可以製造封包進行注入
接著打開 meta 靶機，輸入 `arp -a`，查看遭攻擊前的 ARP 緩存為何
然後打開 kali 中的 `wireshark` 查看接收到的封包

* 實際運用
輸入以下指令進行攻擊
`sudo arpspoof -i eth0 -t <meta 靶機的IP> <要取代的IP>`
meta 靶機的 IP 就是在 meta 靶機輸入 `ifconfig` 得到的 IP
要取代的 IP 就是用 `arp -a` 看到的 IP
這樣當我們在 meta 靶機 `ping` 要取代的 IP 時就會先傳送封包給我們的攻擊機(kali 那台)
我們可以透過 `wireshark` 看到我們一直對 meta 靶機發送訊息，告訴她錯誤的資訊
然後回到 meta 靶機，一樣輸入 `arp -a` 可以看到 <被取代的 IP> 後面的 MAC 位置被替換為 kali 終端機的 MAC 位置
這就代表當 meta 靶機要對 <被取代的 IP> 傳送封包時，會先經過我們的kali VM，才會傳送到 <被取代的 IP>

* 確認是否真的攻擊成功
在 meta 靶機上輸入 `ping <被取代的 IP>`
然後我們應該要在 wireshark 上看到從 meta 靶機截獲的 ICMP 封包

* 補充
如果要攻擊成功就必須一直執行攻擊程式碼，不能中斷發送

2. GUI(也就是使用 ettercap)
ettercap，一個專門用來執行中間人攻擊(MITM)的工具，有許多攻擊手法，但我們現在先用裡面的 ARP Spoofing

* 實際運用
先進入 kali 並且點擊左上角的 kali icon，搜索 ettercap-graphical 並且打開
這時應該會需要輸入密碼，就輸入 kali 的密碼就可以了
接著進到介面，點擊右上角的 `accept` 才會進到可以執行的地方
然後點擊左上角的放大鏡，搜索有哪些 IP 可以使用的
跑完之後按旁邊的`列表 Hosts List）`，查看有哪些 IP 開著
接著點擊 `<要取代的 IP>` 並且點擊中下方的 `Add to Target 1`
然後點擊 `<meta 靶機的 IP>` 並且點擊中右下方的 `Add to Target 2`
正常來說我們可以在下方的執行表看到 `Host... added to Target...`
最後點擊右上角的地球符號，裡面可以選擇不同攻擊方式，這裡我們使用 ARP
這樣就攻擊完成了

* 確認是否真的攻擊成功
在 meta 靶機上輸入 `telnet <被取代的 IP>` 或是 `ftp <被取代的 IP>`
然後我們應該要在 wireshark 上看到從 meta 靶機截獲的 TCP 封包
同時我們也可以在 ettercap 當中查看 :
點擊右上角的 三個點 --> View --> connections

## Metasploit_Framework
一個開源、知名、強大的滲透測試工具，常被用來驗證系統上的安全漏洞。並且除了可以使用現有的 *模組（modules）* 和 *有效負載（payloads）* 進行測試，也可以自己用 Ruby 編寫一個，再放到其對應的資料夾

小補充 :
可以先在 kali 終端機用 `cd /usr/share/metasploit-framework/modules` 查看有甚麼模組可以使用(會用藍色字顯示)

### 執行流程
* 前置作業-1
有 2 種方法開啟 metasploit framework : 點擊左上角的 kali icon，搜尋 metasploit framework 或是在終端機輸入 `msfconsole`
開啟成功時會出現一張可愛的圖片(每次都不太一樣)，然後會出現 `msf6 >` 開頭

* 了解我們要做甚麼
使用 meta 靶機的 Samba usermap script 漏洞進行攻擊，取得對它終端機進行操作的權限。Samba 就是網路芳鄰的概念，讓你在區域網路內共享主機資料，這是利用 Samba 版本 3.0.20 到 3.0.25rc3 中的終端機漏洞，讓 hacker 拿到受害者本機的最高權限，藉此竊取一些機密文件，也因為他在身分驗證之前映射用戶名，所以不需要進行身分驗證就可以使用這個漏洞

* 前置作業-2
在 kali 終端機輸入 `sudo nmap -sV -sS -A <你meta靶機的IP>` ，這是使用 nmap 偵查 meta 靶機的 Samba 版本為何
執行之後可以往上滑到大約 139&445 左右的地方看到該主機的 Samba 版本是3.0.20，所以可以執行上述漏洞

* 補充--介紹 *模組*
- Payloads : 攻擊成功後，指定進行的下一步動作
- Auxiliary : 用來執行特定的工作（eg : 資料蒐集、網路掃描等）
- Encoders : 加密 payloads 以及 attack vectors，避免被防毒軟體和防火牆偵測到
- NOPs : 使 payloads 穩定
- Exploits : 真正進行攻擊的程式碼

* 補充--介紹 *常見基本指令* (使用時可以透過路徑或是列表中的編號)
- searsh : 尋找特定模組
- info : 列出特定模組的相關資訊
- use : 選擇一個特定模組並開始操作
- show : 顯示指定的內容
- set : 設定一個值
- run / exploit : 開始執行模組的攻擊
- back : 取消使用模組，回到msf >

* 實際運用
先輸入 `search usermap` 搜尋要運行的模組
可以發現有個編號 0，那就是我們要執行的模組
接著使用 `info`， 查看這個模組的詳細內容，輸入 `info 0`
再使用 `use`，選擇使用這個模組，輸入 `use 0`
如果使用成功，在 `msf6` 後面會多出模組的路徑
大概會長這樣(`msf6 exploit(multi/samba/usermap_script)`)
接著使用 `show` 查看執行所需的參數有哪些，輸入 `show options`
然後就可以看到，已經有些是已經設定好的，但 `RHOSTS` 需要自己設定
所以我們就使用 `set` 把 `RHOSTS` 的參數補上，這裡我們的攻擊對象為meta靶機，輸入 `set RHOSTS <meta 靶機的 IP>`
(`set` 的格式是 `set <欲設定的參數名稱> <欲設定的值>`)
之後可以再輸入一次 `show options` 確認是否有補上所有參數
當所有參數都設定好之後可以使用 `run` 或 `exploit` 來針對此漏洞進行攻擊，輸入 `run` 或 `exploit`

* 補充-- `show` 之後的不同參數
- RHOSTS : 想攻擊的主機 IP 位址
- RPORT : 想對哪個 port 號進行攻擊
- LHOST : 本機的 IP 位址
- LPORT : 想使用哪個 port 號發動攻擊

* 確認是否攻擊成功
在上述流程執行好之後應該就能對 meta 靶機的終端機進行操作
可以藉由輸入 `whoami`(who am i 的縮寫)查看是否顯示 `root`，如果有則代表攻擊成功，或者也可以用 `ifconfig` 查看目前的 `IP` 位置確認攻擊目標是否正確

* 接續動作
確認沒問題之後就可以竊取機密資料(畢竟都拿到最高權限了)，像這裡示範的是印出 `/etc/shadow`，這個檔案存的是經雜湊(hash)過的使用者密碼，我們可以複製回 kali 裡使用 `Ophrack` 進行暴力破解
輸入 `cat /etc/shadow` 就可以了

* 重要補充
`Metasploit Framework` 上現有的模組都是已經被發現，並解決的漏洞，但其實也可以自己用 `Ruby` 編寫一個模組，驗證發現到的問題是不是一個還沒被發現的漏洞

## Burp_Suite
一個能攔截封包、對 web 進行滲透測試的工具，透過中間人的方式，對使用 `http` 和 `https` 協定的封包進行操作（如暫停、查看、分析、修改等），以發現潛在的 *意外問題* 及 *崩潰的錯誤訊息* 。集結許多滲透測試工具，使用 Java 編寫並提供 GUI 介面方便操作

* 了解我們要做甚麼
使用 `owb 靶機` 中的 `OWASP Mutillidae II 靶場` 進行攻擊。這個靶場提供了 `OWASP TOP 10` 裡的漏洞，並分成三種安全等級，讓我們初學者可以循序漸進進行攻防練習
現在我們要用的是 `SQL Injection（2013:A1）` 的 `Bypass Authentication/Login` 攻擊，並使用 `Burp Suite Proxy` 進行封包攔截，再使用 `Intruder` 進行字典檔遍歷，找出可以登入的帳號密碼

### 執行流程
* 前置作業 & 實際攻擊
點擊左上角的 kali icon，搜尋 burpsuite 並且開啟
因為只是練習不需要儲存結果，所以接著點擊 `temporary project` 並按右下角的 `Next`
接著選擇 `Use Burp defaults`，再按右下角的 `Start Burp`
就會看到 `Burp Suite` 的主畫面
開啟 `OWASPBWA 靶機`，登入後輸入 `ifconfig`，確認 IP 位址(之後就不會用到了，但也不能關閉)
之後回到 `kali` 開啟 `firefox`
在網址列的地方輸入 `<owb 靶機的 IP 位址>` 就會進到 `owaspbwa` 的畫面，點擊 `OWASP Mutillidae II`(應該是右列第 2 個)
接著點擊左上方的 `OWASP 2013 > A1 - Injection(SQL) > SQLi - Bypass Authentication > Login`
因為 `Burp Suite proxy` 預設的連接端口為 `127.0.0.1:8080`，所以要在 `Firefox` 設定一個 `proxy`
所以在 `Firefox` 中我們按右上角的三橫線(工具列)，下面會出現 `settings`
進去之後滑到最下面，會看到 `Network Settings`，點擊 `Settings...`
勾選 `Manual proxy configuration`，並在 `HTTP Proxy` 的地方輸入 `127.0.0.1`，右方的 `port 號`為 `8080`，這樣就設定完成了
接著回到 `Burp Suite`，點擊上方第二列的 `proxy` 接著按下方一列的 `intercept` 然後再點擊下方一列的 `Intercept is off` 把它變成 `Intercept is on`
然後就可以回到剛剛 `Firefox` 當中的 `Login` 畫面，並將 `username` 和 `password` 輸入任意值並且按下 `Login`
這時 `Burp Suite` 會收到剛剛按下 `Login` 的封包，而瀏覽器的部分不會跳轉，會一直在 *等待這個封包*
此時再對左側那一大片區域(封包畫面)按右鍵，點擊 `Send to Intruder`，將封包資訊傳到 `Intruder` 執行動作
這時點擊上方第二列的 `Intruder` 然後再按下方的 `positions`，就會看到剛剛的封包資訊
先按 `clear §`，取消所有被 `§` 標記的地方
接著再把封包資訊最後面的 `username` 以及 `password` 後方的訊息用 `add §` ，代表將我們剛剛輸入的名稱以及密碼用 `§` 標記起來
然後在上方的 `attack type` 中選擇 `cluster bomb`
再點進第四行的 `Payloads` 裡(上面最靠近單元格的地方)，將 `Payload Sets` 設為 `1`，代表 `username`，也就是剛剛第一個用 `§` 包起來的部分
並在 `Payload Options` 使用 `add` 新增可能是 `username` 的值
再將 `Payload set` 設為 `2`，指的是 `password`，也就是第二個被 `§` 包起來的部分
一樣在 `Payload Options` 裡新增可能是 `password` 的值。
最後點擊右上角的 `Start attack` 開始攻擊

* 補充-- 查找 `Burp Suite proxy` 預設的連接端口
在 `Burp Suite` 當中點擊上方第二列的 `proxy` 接著按下方一列的 `proxy settings` 就會看到 `proxy listeners` 這欄裡出現預設的連接端口為 `127.0.0.1:8080`

* 補充--`Payload Options`
輸入值的時候可以手動輸入，也可以用 `load` 匯入字典檔(網路上下載應該很多)，但如果是使用字典檔可能會跑比較久
關於手動輸入，在 `username` 的部分可以輸入 : `admin`、 `Admin`、 `user`、 `User` 等
而在 `password` 的部分可以輸入 : `admin`、 `Admin`、 `user`、 `User`、 `123456789`、 `00000000` 之類的

* 確認是否攻擊成功
攻擊結束後，`Status` 為 `302` 的皆是可以成功 `Login` 的帳號，可以點擊任意一個看他的 `Response`
接著再回到 Proxy(點擊上方第二列的 `proxy`)，按單元格上方一列的 `Forward` 進行封包傳送
回到瀏覽器，就可以看到已經用 `user` 的身分登入

## ExploitDB
也就是弱點資料庫
這就是它的網頁 : https://www.exploit-db.com/
運用 search 結合使用 nmap 找到的版本就能找到搜尋結果
並且還能看到破解漏洞的腳本

## smtp
這是針對 port 25 的滲透測試
通常會先進到 msf 當中(參考上述的 [msfconsole](#Metasploit_Framework) )
接著輸入 `search smtp_version` 找到之後可以直接用 `use 0` 來使用
然後輸入 `show options` 來查看有哪些參數
可以看到只需要使用到 IP 就可以了
因此我們輸入我們要的 IP 位置 : `set RHOSTS <IP>`
之後就可以輸入 `run` 來執行
可以發現 *目標郵箱* 之類的訊息

---

另外，也可以使用 `smtp_enum` 來爆破目標郵箱的用戶名
首先一樣使用 `search smtp_enum` 來找到這個模組，並且用 `use 0` 來使用
然後一樣用 `show options` 來看有哪些參數
一樣可以發現只需要用到 IP 而已
所以輸入我們要的 IP 位置 : `set RHOSTS <IP>`
但因為默認的 file 不一定有辦法執行，所以也可以用 `set USER_FILE` 來使用
輸入 `set USER_FILE /usr/share/wordlists/seclists/Usernames/top-usernames-shortlist.txt`
設置好 IP 以及執行檔案之後，就可以輸入 `run` 來運作
可能就會發現一些用戶名，比較隱私的像是 *root, administrator* 之類的
接著就會使用 `hydra` 之類的來爆破 `SSH` 的密碼(通常是 port 22，但也可以用 nmap 來搜尋)

以下是 2 種方式
使用終端機或 UI

* 終端機
`hydra -I <用戶名> -P /usr/share/wordlists/rockyou.txt ssh://<IP> -t 20`
接著使用 `ssh` 來登入
`ssh <用戶名>@<IP 位置>`
再輸入密碼即可登入

* UI
在 kali icon 中搜尋 Hydra 就能看到第一個 `hydra-graphical`
可以在 hydra 上方的工具列看到有 5 個選項

首先看到上方工具列的第 1 項 *Target*
主要是選擇目標
最上面 single target 的部分需要填入目標的 `IP`(這是針對單一目標)
如果要針對多個目標需要填寫 target list(需要以檔案形式匯入)
接著往下，會有 port 可以填寫
然後 port 下方會有 protocol(協定) 可以填寫
然後再往下看，可以勾選 show attempts，這是顯示攻擊的過程

接著看到上方工具列的第 2 項 *passwords*
主要是決定怎麼破解
username 的部分就是要針對哪個單一使用者來破解
而 username list 的部分就是提供多個使用者名稱，一樣是只能匯入檔案
接著下方的 password 可以填寫單一密碼來試試看
而 password list 就是進行多次密碼猜測攻擊
通常都會使用 list，但一樣要匯入檔案

然後看到上方工具列的第 3 項 *tuning*
主要是設定運行資源
重要的就是 exit after first .....
這是找到一個符合的帳號密碼就會停止攻擊
要記得勾選

然後看到上方工具列的第 4 項 *specific*
主要是設定客製化的攻擊
像是特定網站，特定設備之類的

最後看到上方工具列的第 5 項 *start*
主要就是開始執行
start 就是依照我們設定的開始攻擊
stop 就是停止
save 就是儲存執行過程 & 結果
clear 就是清除

接著我們就可以實際測試
使用 kali 作為攻擊端
metasploitable 做為測試端

先把 2 個都打開
meta 的帳密是 : msfadmin
kali 的帳密是 : kali
接著先看 meta 的 IP 位置
輸入 : ifconfig 就可以看到
接著就可以開始使用 kali 攻擊了
首先使用 nmap 掃描這個 IP 的不同端口
`nmap -sS -A -p- <IP>`
可能會需要等一段時間(2~3分鐘左右)
接著就能看到掃描結果
前方的數字就是 port
然後我們用 telnet(port 23) 當作測試
首先進入 kali icon 輸入 hydra 就會看到 hydra-graphical
點開來，在 single target 輸入我們 meta 的 IP
接著在下方的 port 輸入 23(因為要攻擊的是 port 23)
並且把 protocol 改成 telnet
然後也要把下方的 show attempts 勾起來，才會顯示攻擊過程

接著就到 passwords 在 username list 以及 password list 中都放入我們建立好的字典(rockyou.txt)(已經是建立好的)
位置在 : `file system/usr/share/wordlists/rockyou.txt`
(其實也可以使用其他的字典檔案)

然後 tuning 的部分需要勾選 exit after first .....

最後就到 start 點選 start 就會開始攻擊
最後應該就會顯示破解的結果
包含 login 以及 password

---

除此之外，也可以使用 `telnet`(可能會在 port 23) 來看是否能偽造釣魚郵件
輸入 `telnet <IP位置 或 網址> <25(也就是smtp 的 port)>`
假設此時返回的訊息為 `220` 則代表成功連接
接下來就能使用 smtp 的協議來做事了

* 首先，連接成功時，必須提供連接的域名，也就是郵件是從哪個服務器來的
所以輸入 `EHLO <IP 或 網址>`
如果此時返回 `250` 代表成功
並且因為是使用 `EHLO`，所以也會返回自己支持的各種擴展的列表

* 接著需要使用 `MAIL FROM` 來向郵件服務器提供郵件的來源信箱
`MAIL FROM:[e-mail]` 代表偽造管理員的身分來發送郵件
如果此時返回 `250` 代表成功

* 還可以使用 `RCPT TO` 來看郵件地址是否存在，如果存在的話還可以對這個郵箱發送郵件
如果返回的是 `250` 或 `251` 代表存在，但如果是 `5xx` 代表不存在

* 另外，也可以使用 `DATA` 來偽造郵件內容，假設返回 `354` 代表已經準備好可以對這個郵箱發送郵件了

* 正文的部分，使用 `""` 來包住正文，結束正文後需要另外發送 `.` 表示正文結束
如果成功的話會返回 `250`

* 最後使用 `QUIT` 退出 TCP 協定，如果返回 `211` 代表成功斷連

## OWASP(2021:A1)
也就是 Broken Access Control（無效的訪問控制）
說明 : https://hackmd.io/@asd0713/ByVDgyqRh

常見的漏洞有 :
1. URL ID
有些 URL 後面會加上 `id=XXX`，而這 ID 可能是一串數字、亂碼、雜湊值等，指的可能是使用者 ID，也有可能是指某筆資料的 ID

eg：
https://www.testweb.com/profile?id=1234    # 使用者
https://www.testweb.com/profile?id=c14123-255d-8c1w-q82134te32    # 某筆資料

而 URL 在網址列是可以手動做更改的，所以如果沒做好權限的控制，hacker 就可以經由更改 ID，取得其他使用者的權限和資訊

2. 路徑遍歷
對系統預設目錄的熟悉程度非常重要。如果沒有做好系統的權限控制，hacker 就能透過更改 URL，自由訪問系統目錄中預設擺放的文件內容

ex：
https://www.testweb.com/profile?file=dog.png
                　　改成
https://www.testweb.com/profile?file=../../etc/passwd

3. 文件權限
跟上述的路徑遍歷有點類似，但又有點差異。路徑遍歷是指 : 對 **目錄** 的權限，而文件權限是 : 對 **文件** 的權限
因為 Linux 的權限簡單來說就是你可以訪問 **這個目錄**，但不一定可以訪問 **其他目錄內的文件**，和它的權限 `-r` 有關

* 了解我們要做甚麼
這次要做的是 **目錄遍歷**
使用 `OWB靶機` 中的 `OWASP Mutillidae II 靶場` 練習，這靶場提供了`OWASP TOP10` 裡的漏洞，並分成 3 種安全等級，讓初學者可以循序漸進進行攻防練習
這邊使用 `OWB靶機`(使用 2013 的漏洞)

### 執行流程
* 前置作業 & 實際攻擊
**(跟上面那個差不多--因為都是使用 burpsuite)**
點擊左上角的 kali icon，搜尋 burpsuite 並且開啟
因為只是練習不需要儲存結果，所以接著點擊 `temporary project` 並按右下角的 `Next`
接著選擇 `Use Burp defaults`，再按右下角的 `Start Burp`
就會看到 `Burp Suite` 的主畫面
開啟 `OWASPBWA 靶機`，登入後輸入 `ifconfig`，確認 IP 位址(之後就不會用到了，但也不能關閉)
之後回到 `kali` 開啟 `firefox`
在網址列的地方輸入 `<owb 靶機的 IP 位址>` 就會進到 `owaspbwa` 的畫面，點擊 `OWASP Mutillidae II`(應該是右列第 2 個)
接著點擊左上方的 `OWASP 2013 > A4 - Insecure Direct Object References > Text File Viewer\`
因為 `Burp Suite proxy` 預設的連接端口為 `127.0.0.1:8080`，所以要在 `Firefox` 設定一個 `proxy`
所以在 `Firefox` 中我們按右上角的三橫線(工具列)，下面會出現 `settings`
進去之後滑到最下面，會看到 `Network Settings`，點擊 `Settings...`
勾選 `Manual proxy configuration`，並在 `HTTP Proxy` 的地方輸入 `127.0.0.1`，右方的 `port 號`為 `8080`，這樣就設定完成了
接著回到 `Burp Suite`，點擊上方第二列的 `proxy` 接著按下方一列的 `intercept` 然後再點擊下方一列的 `Intercept is off` 把它變成 `Intercept is on`
然後就可以回到剛剛 `Firefox` 中，我們可以會看到左上角有個 `Security Level: 0`
在頁面中間可以在 `Text File Name` 選取任意一個檔案，之後點擊 `View File`
這時 `Burp Suite` 會收到剛剛按下 `View File` 的封包，而瀏覽器的部分不會跳轉，會一直在 *等待這個封包*
然後在 `Burp Suite` 會看到一串 URL，是剛剛選擇的 File 的所在位置，因為它是用 textfile 來控制要顯示的文件
所以我們可以將它改成 `../../etc/passwd`，並點擊 `Forward` 進行封包傳送
回到 `FireFox` 中我們就可以看到 `OWB靶機` 的 `/etc/passwd` 內容

* 補充(更改網名)
../../ 代表 : 從家目錄退到 home，再退到根目錄

* 確認是否攻擊成功
可以到 `OWB靶機` 輸入 `cat /etc/passwd`，對照一下內容是否一樣

* 進階
如果要測試更高等級的內容我們可以先將 Proxy 的 `Intercept is on` 關閉
接著回到 `FireFox` 中點擊 `Toggle Security` 2 次把 `Level` 升到 5
然後就可以重複上述的動作，這時我們回到 `FireFox` 當中會看到錯誤訊息
因為在 `level 5` 當中有設下一些防護機制
詳細查看的部分可以參考原文 : https://ithelp.ithome.com.tw/articles/10304631
主要是需要有 `php` 的基礎，但因為我目前也還沒有所以解不出來 QQ

## 參考文獻
原文網址 : https://ithelp.ithome.com.tw/users/20141088/ironman/5548
系列文章中的 Day 11 ~ Day 20

smtp :
https://www.sqlsec.com/2017/08/smtp.html#RCPT-TO-%E5%91%BD%E4%BB%A4

nmap :
https://minmin0625.medium.com/%E6%BB%B2%E9%80%8F%E6%B8%AC%E8%A9%A6lab-%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8hydra-nmap-%E5%9F%B7%E8%A1%8C%E9%81%A0%E7%AB%AF%E6%9A%B4%E5%8A%9B%E7%A0%B4%E8%A7%A3-a21d9b8149e0

hydra :
https://minmin0625.medium.com/%E6%BB%B2%E9%80%8F%E6%B8%AC%E8%A9%A6lab-%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8hydra-nmap-%E5%9F%B7%E8%A1%8C%E9%81%A0%E7%AB%AF%E6%9A%B4%E5%8A%9B%E7%A0%B4%E8%A7%A3-a21d9b8149e0