Featured

I built a small shodan

SEE https://chis-cat.fht.im Tech details can be found at https://commonscan.org/?p=97

Why I stoped website word-wild scan.

在之前我对全球性的扫描做了一些尝试,通过 commoncrawl 项目提供的一些域名(约10亿条)做了一些全球范围内的漏洞检测。做一些总结如下。 一、全球漏扫中的漏洞检测项目 检测项目包括以下几类 1. 文件泄露扫描 .git/ 文件未授权访问扫描 – 可以获得整站源代码 phpmyadmin/ 目录未授权访问扫描 – 使mysql 暴露在公网,产生风险 2. 通用漏洞扫描 SQL注入漏洞扫描 扫描URL 中参数的报错形注入 3. Poc 类漏洞扫描 Structs2 命令执行漏洞检测 二、为什么停止 1. 未授权的漏洞探测是违法的。 在 IPv4网络空间里,做如此大规模的扫描等于把自己变成一个灯塔。我年纪轻轻不能去坐牢… 2. 不盈利 不盈利是最大的问题。大规模的 Web 漏洞扫描没有变现渠道且价值有限。投入的成本主要为服务器的成本和网络带宽的成本,暂时没有找到盈利的模式。稳定赔钱的项目无法长期运转。 3. 没有足够的时间 日常的工作已经足够让我忙不过来了。 三、一些待改进项 如果还能再改进的话,我会对以下方向改进。 1. 增加通用漏洞扫描的类型 现在只检测了 SQL 注入。事实上有很多的漏洞类型可以加入检测。比如反射型 XSS,比如任意文件读取漏洞。 2. 增加多样化的漏洞检测模式 可以利用一些类似 cloudeye 这样的方式来检测漏洞。 3. 增加更加通用的漏洞检测方式 在有了.git/config…

build your own shodan/censys/zoomeye

如何制作自己的 shodan/censys/fofa/zoomeye. 1. What is shodan/censys/fofa/zoomeye. shodan 通过扫描全球范围内的 IPv4地址,通过探测端口开放、检测端口的服务,再通过服务提取源数据。最后提供数据供安全研究人员使用。国外类似的还有 censys,国内有 fofa 和 zoomeye。 2. Why we need our shodan? 首先第一个原因是没有钱。上述的各个商业公司提供了企业版的解决方案。企业用户才能获得原始数据,普通付费用户只能通过 API 做有限的查询。 第二个原因是使用别人的数据具有较大的局限性。例如无法获得实时最新的数据、无法自定义扫描范围、无法对某个 IP 段进行高频次扫描。 最后一个原因是想要造轮子。使用服务提供商的API 查询服务时,每一次查询服务都会被服务提供商记录,这对于我来说是不太可接受的。 3. Let's start! build shodan 总共分三步,分别是端口扫描、banner 获取和banner 入库(供检索)。 3.1 端口扫描和 banner 获取 端口扫描和 banner 获取 censys 的开发者给我们提供了线程的解决方案,他们是 zmap 和zgrab2,通过这两个工具我们可以得到全网的 banner 指纹。 解释一下 banner 的概念: 在主机外部探测开放端口的服务主要是通过发送握手报文(hello string)-得到服务器的返回数据-与指纹库做匹配来获取远程的服务信息。 比如 ssh…

September 2018 phpmyadmin expose scan finished.

The scan of  s2-045 phpmyadmin expose for September 2018 is now finished! This time we increased our site list to 800 million. We picked the first 600 million site for phpmyadmin expose scan and found 93560 of them expose phpmyadmin directory. Scan 600 million site spend about 4 days in a aws c4.2xlarge(8H 16G) vps (scaner) and a aws…

September 2018 s2-045 command execute scan finished.

The scan of  s2-045 command execute for September 2018 is now finished! This time we increased our site list to 800 million. We picked the first 100 million site for s2-045 scan and found 110 of them are exploitable. Scan 100 million site spend about two days in a aws c4.2xlarge(8H 16G) vps with 650GB download traffic and 80GB…

September 2018 SQLInjection scan finished.

The crawl archive for September 2018 is now finished! It scans 10 million domain and found 17621 site seems to be sql injectable . sample:https://commonscan.org/wp-content/uploads/2018/10/1.txt