80,443 - Pentesting Web 手法

Tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

サブスクリプションプランを確認してください！

**💬 Discordグループまたはテレグラムグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。

HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してハッキングトリックを共有してください。

方法論の概要

この方法論では、ドメイン（またはサブドメイン）1つだけを攻撃することを想定します。したがって、スコープ内の各発見されたドメイン、サブドメイン、または未確定の web サーバーの IP に対してこの方法論を適用してください。

まず、Web サーバーが使用している技術を特定します。技術を特定できた場合は、残りのテスト中に覚えておくべきトリックを探してください。
その技術のバージョンに既知の脆弱性はあるか？
よく知られたtechを使っているか？情報を抽出するための有用なトリックはあるか？
実行すべきspecialised scannerはあるか（例: wpscan）？
汎用スキャナーを実行します。何かを見つけるか、興味深い情報が見つかるかは分かりません。
初期チェックから始める: robots, sitemap, 404 error と SSL/TLS scan (if HTTPS).
Web ページのspideringを開始：可能なすべてのファイル、フォルダおよび使用されているパラメータを検出します。さらに、特別な発見がないか確認してください。
Note that anytime a new directory is discovered during brute-forcing or spidering, it should be spidered.
Directory Brute-Forcing: 発見したフォルダすべてに対してbrute forceを試み、新しいファイルとディレクトリを探します。
Note that anytime a new directory is discovered during brute-forcing or spidering, it should be Brute-Forced.
Backups checking: 一般的なバックアップ拡張子を付けて、発見したファイルのバックアップが見つかるかテストします。
Brute-Force parameters: 隠しパラメータを発見することを試みます。
すべての可能なエンドポイントで、ユーザー入力を受け付けるものを特定したら、それらに関連するあらゆる種類の脆弱性をチェックします。
このチェックリストに従ってください

実行中のサーバーのバージョンに対して既知の脆弱性があるか確認してください。
レスポンスのHTTP headers and cookies of the responseは、使用されている技術やバージョンを識別するのに非常に役立ちます。Nmap scanはサーバーのバージョンを識別できますが、whatweb, webtech or https://builtwith.com/:

whatweb -a 1 <URL> #Stealthy
whatweb -a 3 <URL> #Aggresive
webtech -u <URL>
webanalyze -host https://google.com -crawl 2

検索する vulnerabilities of the web application version

WAFがあるか確認する

Web技術のトリック

使用されているさまざまなよく知られたtechnologiesでのfinding vulnerabilitiesのためのいくつかのtricks:

同じドメインが異なるポート、フォルダ、サブドメインで異なる技術を使用している可能性があることに注意してください.
もしウェブアプリケーションが前述のよく知られたtech/platform listed beforeやany otherを使用しているなら、インターネットで新しいトリックをsearch on the Internetするのを忘れないでください（そして教えてください！）。

ソースコードレビュー

もしアプリケーションのsource codeがgithubで入手可能なら、アプリケーションを自身でのWhite box testを行うことに加えて、現在のBlack-Box testingに役立ついくつかの情報が見つかることがあります:

ウェブ経由で参照可能なChange-log or Readme or Versionファイルやversion info accessibleなものはありますか？
そのcredentialsはどのように、どこに保存されていますか？資格情報（ユーザ名やパスワード）を含む（アクセス可能な）fileはありますか？
passwordsはplain textですか、encryptedですか、あるいはどのhashing algorithmが使われていますか？
何かを暗号化するためにmaster keyを使用していますか？どのalgorithmが使われていますか？
これらのファイルのいずれかに、脆弱性を悪用してアクセスできますか？
githubのissues（解決済み・未解決問わず）やcommit historyに興味深い情報はありますか？（古いコミットにpassword introduced inside an old commitが含まれている可能性など）

Source code Review / SAST Tools

自動スキャナ

汎用自動スキャナ

nikto -h <URL>
whatweb -a 4 <URL>
wapiti -u <URL>
W3af
zaproxy #You can use an API
nuclei -ut && nuclei -target <URL>

# https://github.com/ignis-sec/puff (client side vulns fuzzer)
node puff.js -w ./wordlist-examples/xss.txt -u "http://www.xssgame.com/f/m4KKGHi2rVUN/?query=FUZZ"

CMS scanners

もし CMS が使用されている場合は、run a scanner を忘れないでください。何か有益な情報が見つかるかもしれません:

Clusterd: JBoss, ColdFusion, WebLogic, Tomcat, Railo, Axis2, Glassfish
CMSScan: WordPress, Drupal, Joomla, vBulletin websites for Security issues. (GUI)
VulnX: Joomla, Wordpress, Drupal, PrestaShop, Opencart
CMSMap: (W)ordpress, (J)oomla, (D)rupal or (M)oodle
droopscan: Drupal, Joomla, Moodle, Silverstripe, Wordpress

cmsmap [-f W] -F -d <URL>
wpscan --force update -e --url <URL>
joomscan --ec -u <URL>
joomlavs.rb #https://github.com/rastating/joomlavs

この時点でクライアントが使用しているwebサーバーに関する情報（もしデータが与えられていれば）や、テスト中に覚えておくべきいくつかのトリックが既にあるはずです。運が良ければCMSを見つけてスキャナーを実行しているかもしれません。

Step-by-step Web Application Discovery

ここからはwebアプリケーションと対話を開始します。

Initial checks

Default pages with interesting info:

/robots.txt
/sitemap.xml
/crossdomain.xml
/clientaccesspolicy.xml
/.well-known/
メインおよびセカンダリページのコメントも確認する。

Forcing errors

Web serversは、奇妙なデータを送ると予期しない挙動をすることがある。これにより脆弱性が出現したり、機密情報が露出することがある。

/whatever_fake.php (.aspx,.html,.etc) のようなfake pagesにアクセスする
エラーを発生させるために、cookie values と parameter の値に “[]”, “]]”, “[[” を追加する
入力を /~randomthing/%s として URL の末尾に与えることでエラーを発生させる
PATCH, DEBUG のような different HTTP Verbs を試す、あるいは FAKE のような誤ったものを使ってみる

Check if you can upload files (PUT verb, WebDav)

もし WebDav が enabled でルートフォルダへの uploading files 権限がない場合は、次を試す:

Brute Force credentials
WebDav経由でページ内の発見した他のフォルダ（found folders）に Upload files する。別フォルダにはアップロード権限がある可能性がある。

SSL/TLS 脆弱性

アプリケーションがどの部分でも HTTPSの使用を強制していない 場合、MitMに対して脆弱である
アプリケーションが HTTPで機密データ（パスワード）を送信している 場合、それは重大な脆弱性である

脆弱性をチェックするには testssl.sh を使用する（Bug Bountyプログラムではこの種の脆弱性は受け入れられないことが多い）そして脆弱性の再確認には a2sv を使う:

./testssl.sh [--htmlfile] 10.10.10.10:443
#Use the --htmlfile to save the output inside an htmlfile also

# You can also use other tools, by testssl.sh at this momment is the best one (I think)
sslscan <host:port>
sslyze --regular <ip:port>

SSL/TLS 脆弱性に関する情報:

Spidering

Web 内で何らかの spider を実行します。spider の目的は、テスト対象アプリケーションから取得できるパスをできるだけ多く見つけることです。したがって、Web クローリングや外部ソースを使って、可能な限り多くの有効なパスを探すべきです。

gospider (go): HTML spider。JS ファイル内の LinkFinder と、Archive.org、CommonCrawl.org、VirusTotal.com といった外部ソースを使用します。
hakrawler (go): HTML spider。JS ファイル用の LinkFinder と Archive.org を外部ソースとして利用します。
dirhunt (python): HTML spider。いわゆる “juicy files” を示してくれることもあります。
evine (go): 対話式 CLI の HTML spider。Archive.org でも検索します。
meg (go): このツールは spider ではありませんが有用です。hosts ファイルと paths ファイルを指定すると、meg は各 host の各 path を取得してレスポンスを保存します。
urlgrab (go): JS レンダリング機能を持つ HTML spider。ただしメンテされていないように見え、事前コンパイル版は古く、現行コードはコンパイルできません。
gau (go): wayback、otx、commoncrawl といった外部プロバイダを使う HTML spider。
ParamSpider: パラメータ付きの URL を見つけて一覧化するスクリプト。
galer (go): JS レンダリング機能を持つ HTML spider。
LinkFinder (python): JS の整形機能を備えた HTML spider で、JS ファイル内の新しいパスを検索できます。LinkFinder のラッパーである JSScanner も確認する価値があります。
goLinkFinder (go): HTML ソースと埋め込み javascript ファイルの両方からエンドポイントを抽出します。bug hunters、red teamers、infosec ninjas に有用です。
JSParser (python2.7): Tornado と JSBeautifier を使って JavaScript ファイルから相対 URL を解析する python 2.7 スクリプト。AJAX リクエストの発見に便利です。メンテされていないようです。
relative-url-extractor (ruby): 与えられた HTML ファイルから正規表現を使ってミニファイされたファイル中の相対 URL を抽出します。
JSFScan (bash, several tools): 複数ツールを使って JS ファイルから興味深い情報を収集します。
subjs (go): JS ファイルを発見します。
page-fetch (go): ヘッドレスブラウザでページを読み込み、ページ読み込み時にロードされたすべての URL を出力します。
Feroxbuster (rust): 先述のいくつかのツールのオプションを組み合わせたコンテンツ発見ツール。
Javascript Parsing: JS ファイル内のパスやパラメータを見つける Burp extension。
Sourcemapper: .js.map の URL が分かれば整形された JS コードを取得してくれるツール。
xnLinkFinder: 指定ターゲットのエンドポイントを発見するツールです。
waymore: wayback machine からリンクを発見します（wayback のレスポンスをダウンロードしてさらにリンクを探すこともします）。
HTTPLoot (go): フォームの自動入力なども行いながらクローリングし、特定の正規表現で機密情報を検出します。
SpiderSuite: サイバーセキュリティ専門家向けの多機能 GUI web セキュリティ Crawler/Spider。
jsluice (go): JavaScript ソースコードから URL、パス、シークレット、その他興味深いデータを抽出する Go パッケージ兼コマンドラインツールです（command-line tool）。
ParaForge: リクエストからパラメータとエンドポイントを抽出し、fuzzing や enumeration 用のカスタム wordlist を作成するための簡単な Burp Suite extension。
katana (go): この目的に適した優れたツールです。
Crawley (go): 見つけられるすべてのリンクを出力します。

Brute Force directories and files

ルートフォルダから brute-forcing を開始し、この方法で見つかったすべてのディレクトリおよびSpidering によって発見されたディレクトリを必ず brute-force してください（この brute-forcing を recursive に実行し、見つかったディレクトリ名を使用する wordlist の先頭に追加する、という手法が使えます）。
ツール:

Dirb / Dirbuster - Kali に含まれている、古い（かつ遅い）が機能するツール。自己署名証明書を許可し、recursive 検索をサポートします。その他のオプションと比べると遅いです。
Dirsearch (python): 自己署名証明書は許可しませんが、recursive 検索は可能です。
Gobuster (go): 自己署名証明書を許可しますが、recursive 検索は持っていません。
Feroxbuster - 高速で、recursive 検索をサポートします。
wfuzz wfuzz -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt https://domain.com/api/FUZZ
ffuf - 高速: ffuf -c -w /usr/share/wordlists/dirb/big.txt -u http://10.10.10.10/FUZZ
uro (python): スパイダーではありませんが、発見された URL のリストから「重複」する URL を削除します。
Scavenger: Burp の履歴から複数ページのディレクトリ一覧を作成する Burp Extension。
TrashCompactor: js インポートに基づき機能が重複する URL を除去します。
Chamaleon: Wappalyzer を使って使用されている技術を検出し、使用する wordlists を選択します。

推奨辞書:

https://github.com/carlospolop/Auto_Wordlists/blob/main/wordlists/bf_directories.txt
Dirsearch included dictionary
http://gist.github.com/jhaddix/b80ea67d85c13206125806f0828f4d10
Assetnote wordlists
https://github.com/danielmiessler/SecLists/tree/master/Discovery/Web-Content
raft-large-directories-lowercase.txt
directory-list-2.3-medium.txt
RobotsDisallowed/top10000.txt
https://github.com/random-robbie/bruteforce-lists
https://github.com/google/fuzzing/tree/master/dictionaries
https://github.com/six2dez/OneListForAll
https://github.com/random-robbie/bruteforce-lists
https://github.com/ayoubfathi/leaky-paths
/usr/share/wordlists/dirb/common.txt
/usr/share/wordlists/dirb/big.txt
/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

注意: 新しいディレクトリが brute-forcing や spidering の過程で発見された場合は、常にそのディレクトリも Brute-Force する必要があります。

What to check on each file found

Broken link checker: HTML 内の壊れたリンクを見つける（takeovers のリスクがあるもの）。
File Backups: すべてのファイルを発見したら、実行ファイルのバックアップ（“.php”, “.aspx” など）を探します。バックアップの一般的な命名バリエーションには file.ext~, #file.ext#, ~file.ext, file.ext.bak, file.ext.tmp, file.ext.old, file.bak, file.tmp, file.old などがあります。ツール bfac や backup-gen を使うこともできます。
Discover new parameters: 隠しパラメータを発見するために Arjun、parameth、x8、Param Miner などのツールを使えます。可能であれば、各実行可能な web ファイルで隠しパラメータを探索してください。
Arjun all default wordlists: https://github.com/s0md3v/Arjun/tree/master/arjun/db
Param-miner “params” : https://github.com/PortSwigger/param-miner/blob/master/resources/params
Assetnote “parameters_top_1m”: https://wordlists.assetnote.io/
nullenc0de “params.txt”: https://gist.github.com/nullenc0de/9cb36260207924f8e1787279a05eb773
Comments: すべてのファイルのコメントをチェックしてください。credentials や hidden functionality が見つかることがあります。
CTF をプレイしている場合、よくあるトリックとしてページの右側に大量のスペースを入れてコメント内に情報を隠す方法や、複数の改行を使ってページ下部のコメントに情報を隠す方法があります。
API keys: API キーを見つけた場合、各プラットフォームの API キーの使い方を調べるためのプロジェクトがいくつかあります: keyhacks、zile、truffleHog、SecretFinder、RegHex、DumpsterDive、EarlyBird
Google API keys: たとえば AIza で始まるような API キー（例: AIzaSyA-qLheq6xjDiEIRisP_ujUseYLQCHUjik）を見つけた場合、gmapapiscanner を使ってそのキーがどの API にアクセス可能かを確認できます。
S3 Buckets: spidering 中にサブドメインやリンクが S3 bucket に関連しているかを確認してください。その場合は、バケットの権限をチェックします。

Special findings

spidering や brute-forcing を行う過程で、注意すべき 興味深いもの が見つかることがあります。

Interesting files

CSS ファイル内に別ファイルへの links を探してください。
If you find a .git file some information can be extracted
.env を見つけた場合、api keys、DB パスワードなどの情報が得られることがあります。
API endpoints を見つけたら、それらもテストするべきです。これらはファイルではありませんが、ファイルのように見えることが多いです。
JS files: spidering セクションでは JS ファイルからパスを抽出できるツールがいくつか挙げられました。また、発見された各 JS ファイルを監視することも有用です。場合によってはコードの変更が潜在的な脆弱性導入の兆候となります。たとえば JSMon を使うことができます。
発見した JS ファイルは RetireJS や JSHole で脆弱性がないか確認してください。
Javascript Deobfuscator and Unpacker: https://lelinhtinh.github.io/de4js/, https://www.dcode.fr/javascript-unobfuscator
Javascript Beautifier: http://jsbeautifier.org/, http://jsnice.org/
JsFuck deobfuscation (javascript with chars:“[]!+” https://enkhee-osiris.github.io/Decoder-JSFuck/)
TrainFuck: +72.+29.+7..+3.-67.-12.+55.+24.+3.-6.-8.-67.-23.
正規表現を理解する必要が出てくることがよくあります。これには次が役立ちます: https://regex101.com/ や https://pythonium.net/regex
フォームが検出されたファイルは監視する価値があります。パラメータの変更や新しいフォームの出現は、新たな脆弱性の兆候となり得ます。

403 Forbidden/Basic Authentication/401 Unauthorized (bypass)

403 & 401 Bypasses

502 Proxy Error

もし任意のページがそのコードで応答するなら、設定の悪い proxy である可能性が高いです。もし次のような HTTP リクエストを送ると: GET https://google.com HTTP/1.1（Host ヘッダやその他一般的なヘッダを付けて）、proxy は google.com にアクセスを試み、あなたは SSRF を見つけたことになります。

NTLM Authentication - Info disclosure

実行中のサーバが認証を要求していてそれが Windows であったり、ログインで domain name を尋ねられる場合、情報漏洩を引き起こすことができます。
次のヘッダを送信してください: “Authorization: NTLM TlRMTVNTUAABAAAAB4IIAAAAAAAAAAAAAAAAAAAAAAA=”。NTLM 認証の仕組みにより、サーバはヘッダ “WWW-Authenticate” 内に内部情報（IIS バージョン、Windows バージョンなど）を返します。
これを自動化するには nmap のプラグイン “http-ntlm-info.nse” を使えます。

HTTP Redirect (CTF)

リダイレクト内部にコンテンツを埋め込むことが可能です。このコンテンツは（ブラウザがリダイレクトを実行するため）ユーザには表示されませんが、何かがそこに隠されている可能性があります。

Web Vulnerabilities Checking

Web アプリケーションの包括的な列挙が完了したら、多くの可能性のある脆弱性をチェックする時です。チェックリストは次にあります:

Web Vulnerabilities Methodology

Web 脆弱性に関する詳細:

Monitor Pages for changes

ページの改変（脆弱性の導入につながる可能性のある変更）を監視するために、https://github.com/dgtlmoon/changedetection.io のようなツールを使用できます。

HackTricks Automatic Commands

HackTricks 自動コマンド

```yaml Protocol_Name: Web #Protocol Abbreviation if there is one. Port_Number: 80,443 #Comma separated if there is more than one. Protocol_Description: Web #Protocol Abbreviation Spelled out

Entry_1: Name: Notes Description: Notes for Web Note: | https://book.hacktricks.wiki/en/network-services-pentesting/pentesting-web/index.html

Entry_2: Name: Quick Web Scan Description: Nikto and GoBuster Command: nikto -host {Web_Proto}://{IP}:{Web_Port} &&&& gobuster dir -w {Small_Dirlist} -u {Web_Proto}://{IP}:{Web_Port} && gobuster dir -w {Big_Dirlist} -u {Web_Proto}://{IP}:{Web_Port}

Entry_3: Name: Nikto Description: Basic Site Info via Nikto Command: nikto -host {Web_Proto}://{IP}:{Web_Port}

Entry_4: Name: WhatWeb Description: General purpose auto scanner Command: whatweb -a 4 {IP}

Entry_5: Name: Directory Brute Force Non-Recursive Description: Non-Recursive Directory Brute Force Command: gobuster dir -w {Big_Dirlist} -u {Web_Proto}://{IP}:{Web_Port}

Entry_6: Name: Directory Brute Force Recursive Description: Recursive Directory Brute Force Command: python3 {Tool_Dir}dirsearch/dirsearch.py -w {Small_Dirlist} -e php,exe,sh,py,html,pl -f -t 20 -u {Web_Proto}://{IP}:{Web_Port} -r 10

Entry_7: Name: Directory Brute Force CGI Description: Common Gateway Interface Brute Force Command: gobuster dir -u {Web_Proto}://{IP}:{Web_Port}/ -w /usr/share/seclists/Discovery/Web-Content/CGIs.txt -s 200

Entry_8: Name: Nmap Web Vuln Scan Description: Tailored Nmap Scan for web Vulnerabilities Command: nmap -vv –reason -Pn -sV -p {Web_Port} –script=banner,(http* or ssl*) and not (brute or broadcast or dos or external or http-slowloris* or fuzzer) {IP}

Entry_9: Name: Drupal Description: Drupal Enumeration Notes Note: | git clone https://github.com/immunIT/drupwn.git for low hanging fruit and git clone https://github.com/droope/droopescan.git for deeper enumeration

Entry_10: Name: WordPress Description: WordPress Enumeration with WPScan Command: | ?What is the location of the wp-login.php? Example: /Yeet/cannon/wp-login.php wpscan –url {Web_Proto}://{IP}{1} –enumerate ap,at,cb,dbe && wpscan –url {Web_Proto}://{IP}{1} –enumerate u,tt,t,vp –passwords {Big_Passwordlist} -e

Entry_11: Name: WordPress Hydra Brute Force Description: Need User (admin is default) Command: hydra -l admin -P {Big_Passwordlist} {IP} -V http-form-post ‘/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log In&testcookie=1:S=Location’

Entry_12: Name: Ffuf Vhost Description: Simple Scan with Ffuf for discovering additional vhosts Command: ffuf -w {Subdomain_List}:FUZZ -u {Web_Proto}://{Domain_Name} -H “Host:FUZZ.{Domain_Name}” -c -mc all {Ffuf_Filters}

</details>

> [!TIP]
> AWSハッキングを学び、実践する：<img src="../../../../../images/arte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="../../../../../images/arte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">\
> GCPハッキングを学び、実践する：<img src="../../../../../images/grte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">[**HackTricks Training GCP Red Team Expert (GRTE)**](https://training.hacktricks.xyz/courses/grte)<img src="../../../../../images/grte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">
> Azureハッキングを学び、実践する：<img src="../../../../../images/azrte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">[**HackTricks Training Azure Red Team Expert (AzRTE)**](https://training.hacktricks.xyz/courses/azrte)<img src="../../../../../images/azrte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">
>
> <details>
>
> <summary>HackTricksをサポートする</summary>
>
> - [**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)を確認してください！
> - **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**テレグラムグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)**をフォローしてください。**
> - **[**HackTricks**](https://github.com/carlospolop/hacktricks)および[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してハッキングトリックを共有してください。**
>
> </details>

HackTricks