PC客户端（C-S架构）渗透测试checklist , Client side(C-S) penetration checkli...

# **CS-checklist** <br/> ## **目录** * [<strong>CS-checklist</strong>](#cs-checklist) * [<strong>0x00 前言</strong>](#0x00-前言) * [<strong>0x01 概述</strong>](#0x01-概述) * [<strong>0x02 开发语言</strong>](#0x02-开发语言) * [<strong>0x03 协议</strong>](#0x03-协议) * [<strong>0x04 数据库</strong>](#0x04-数据库) * [<strong>0x05 测试工具</strong>](#0x05-测试工具) * [<strong>0x06 代理设置</strong>](#0x06-代理设置) * [<strong>0x07 测试点</strong>](#0x07-测试点) * [<strong>0.</strong> <strong>信息收集</strong>](#0-信息收集) * [<strong>1.</strong> <strong>逆向工程</strong>](#1-逆向工程) * [<strong>2.</strong> <strong>信息泄露</strong>](#2-信息泄露) * [<strong>3.</strong> <strong>传输流量</strong>](#3-传输流量) * [<strong>4.</strong> <strong>其他漏洞</strong>](#4-其他漏洞) * [<strong>用户名枚举</strong>](#用户名枚举) * [<strong>暴力破解</strong>](#暴力破解) * [<strong>弱口令</strong>](#弱口令) * [<strong>密码明文传输</strong>](#密码明文传输) * [<strong>SQL语句暴露</strong>](#sql语句暴露) * [<strong>SQL注入</strong>](#sql注入) * [<strong>CSV注入</strong>](#csv注入) * [<strong>XSS</strong>](#xss) * [<strong>命令执行</strong>](#命令执行) * [<strong>DLL劫持</strong>](#dll劫持) * [<strong>逻辑缺陷</strong>](#逻辑缺陷) * [<strong>授权认证缺陷</strong>](#授权认证缺陷) * [<strong>未授权</strong>](#未授权) * [<strong>越权</strong>](#越权) * [<strong>溢出</strong>](#溢出) * [<strong>0x08 相关技巧</strong>](#0x08-相关技巧) * [<strong>0x09 参考资料&amp;&amp;相关资源</strong>](#0x09-参考资料相关资源) <br/> ## **0x00 前言** 本项目主要针对pc客户端（cs架构）渗透测试，结合自身测试经验和网络资料形成checklist，如有任何问题，欢迎联系，期待大家贡献更多的技巧和案例。 <br/> ## **0x01 概述** PC客户端，有丰富功能的GUI，C-S架构。  //图片源自: [https://resources.infosecinstitute.com/practical-thick-client-application-penetration-testing-using-damn-vulnerable-thick-client-app-part-1/#article](#article) <br/> ## **0x02 开发语言** C#(.NET)，JAVA，DELPHI，C，C++...... <br/> ## **0x03 协议** TCP、HTTP(S)，TDS...... <br/> ## **0x04 数据库** oracle，mssql，db2...... <br/> ## **0x05 测试工具** //相关工具下载：https://github.com/theLSA/hack-cs-tools dvta： pc客户端靶场 ida pro： 静态分析工具 ollydbg：动态分析工具 CFF Explorer：PE文件分析 PEID：查壳工具 exeinfope/studype：pe文件分析 wireshark：观察流量 tcpview：观察tcp流量 echo Mirage：可拦截tcp流量 burpsuite：http(s)抓包 proxifier：全局代理流量 procmon：文件和注册表监控 regshot：注册表变化对比 process Hacker：进程分析 RegfromApp：注册表监控 WSExplorer：岁月联盟进程抓包工具 strings：查看程序的字符串 <br/> .net[反]编译： dotpeek de4dot dnspy ilspy sae ildasm ilasm <br/> Java反编译 jad jd-gui jadx dex2jar 在线版：<br/> [javare.cn]() www.javadecompilers.com <br/> Reflexil：组装编辑器（可以作为ilspy插件） Vcg：自动化代码审计工具 BinScope：二进制分析工具 <br/> ## **0x06 代理设置** 大部分客户端没有代理配置功能，需要自行设置全局代理，如下两种方法： 1）IE-internet设置-连接-局域网设置。 2）proxifier --> proxy server/proxification rules //http的流量可以结合burpsuite方便测试（proxy server设置为burp代理地址）。    <br/> ## **0x07 测试点** <br/> ### **0.** **信息收集** 编译信息，开发环境/语言，使用协议，数据库，ip，混淆/加密，是否加壳等。 <br/> 案例0-CFF查看客户端信息（如编译环境） dvta  <br/><br/> ### **1.** **逆向工程** 反编译，源代码泄露，硬编码key/password，加解密逻辑，角色判断逻辑（0-admin，1-normaluser），后门等。 <br/> 案例0-反编译获取加解密逻辑并编写解密工具 dvta  通过该逻辑和获取的信息  **Encrypted Text:** CTsvjZ0jQghXYWbSRcPxpQ== **AES KEY:** J8gLXc454o5tW2HEF7HahcXPufj9v8k8 **IV:** fq20T0gMnXa6g0l4 编写解密工具 `using System;` `using System.Collections.Generic;` `using System.ComponentModel;` `using System.Data;` `using System.Drawing;` `using System.Linq;` `using System.Text;` `using System.Threading.Tasks;` `using System.Windows.Forms;` `using System.Security.Cryptography;` `namespace aesdecrypt` `{` ​ `public partial class aesdecrypt : Form` ​ `{` ​ `public aesdecrypt()` ​ `{` ​ `InitializeComponent();` ​ `}` ​ `private void decrypt(object sender, EventArgs e)` ​ `{` ​ `String key = “J8gLXc454o5tW2HEF7HahcXPufj9v8k8”;` ​ `String IV = “fq20T0gMnXa6g0l4”;` ​ `String encryptedtext = “CTsvjZ0jQghXYWbSRcPxpQ==”;` ​ `byte[] encryptedBytes = Convert.FromBase64String(encryptedtext);` ​ `AesCryptoServiceProvider aes = new AesCryptoServiceProvider();` ​ `aes.BlockSize = 128;` ​ `aes.KeySize = 256;` ​ `aes.Key = System.Text.ASCIIEncoding.ASCII.GetBytes(key);` ​ `aes.IV = System.Text.ASCIIEncoding.ASCII.GetBytes(IV);` ​ `aes.Padding = PaddingMode.PKCS7;` ​ `aes.Mode = CipherMode.CBC;` ​ `ICryptoTransform crypto = aes.CreateDecryptor(aes.Key, aes.IV);` ​ `byte[] decryptedbytes = crypto.TransformFinalBlock(encryptedBytes, 0, encryptedBytes.Length);` ​ `String decryptedString = System.Text.ASCIIEncoding.ASCII.GetString(decryptedbytes);` ​ `Console.WriteLine(“\n”);` ​ `Console.WriteLine(“##########Decryptig Database password##########\n”);` ​ `Console.WriteLine(“Decrypted Database password:” + decryptedString+”\n”);` ​ `Console.WriteLine(“##########Done##########\n”);` ​ `}` ​ `}` `}` //解密代码源自https://resources.infosecinstitute.com/damn-vulnerable-thick-client-app-part-5/#article <br/> 案例1-反编译修改代码逻辑让普通用户以管理员登录 dvta 1-Isadmin 0-Normaluser 改1为0即可判断为admin   <br/><br/> ### **2.** **信息泄露** 明文敏感信息，敏感文件（如安装目录下的xxx.config）。 注册表：利用regshot比较客户端运行（如登录）前后注册表差别。 开发调试日志泄露（如dvta.exe >> log.tx