用于渗透测试的文件上传、下载方法及系统、设备、介质与流程

本公开涉及渗透测试，尤其涉及一种用于渗透测试的文件上传、下载方法及系统、设备、存储介质。

背景技术：

1、随着互联网技术的发展，网络的应用越来越广泛，网络安全也越来越重要。目前保障网络安全较好的方法是渗透测试，渗透测试是一项在计算机系统上进行的授权模拟攻击，旨在让专业的网络安全人员做安全测试评估，为了证明网络防御按照预期计划正常运行而提供的一种机制。

2、在渗透测试过程中往往需要进行文件的上传和下载，但是以目前的技术，在文件上传时需要在攻击终端上安装服务应用并需要在攻击目标上进行网络通讯完成数据的传输，在网络限制严格的情况下无法完成数据传输，如限制网络通过端口、限制网络仅单向通讯等。在文件下载时需要在攻击目标上安装木马进行实现并依赖于文件上传过程，如果文件上传过程失败，则将无法进行数据下载。

技术实现思路

1、有鉴于此，本公开实施例提供了一种用于渗透测试的文件上传、下载方法及系统、设备、存储介质，能够实现一种轻巧、高隐蔽性和高稳定性的文件上传和下载方法。

2、第一方面，本公开实施例提供了一种用于渗透测试的文件上传方法，采用如下技术方案：

3、基于命令执行漏洞创建攻击者与攻击目标之间的网络连接会话；

4、基于所述网络连接会话，从所述攻击者获取第一目标文件，将所述第一目标文件编码为多个第一字符串；

5、将所述多个第一字符串解码后写入到所述攻击目标中，得到第二目标文件，所述第二目标文件用于控制所述攻击目标或者信息收集。

6、可选地，所述将所述第一目标文件编码为多个第一字符串，包括：

7、将所述第一目标文件拆分为多个第一片段文件；

8、将所述第一片段文件编码为base64格式的所述第一字符串。

9、可选地，所述将所述多个第一字符串解码后写入到所述攻击目标中，得到第二目标文件，包括：

10、将所述第一字符串上传到所述攻击目标中后解码，得到所述第一片段文件；

11、查询所述攻击目标中的第一文件；

12、若查询到，则将所述第一片段文件写入到所述第一文件中；

13、若没有查询到，则在所述攻击目标中创建所述第一文件，将所述第一片段文件写入到创建好的所述第一文件中；

14、重复上述步骤，直至将所有第一字符串解码后写入到所述第一文件中，得到第二目标文件。

15、第二方面，本公开实施例还提供了一种用于渗透测试的文件上传系统，采用如下技术方案：

16、第一创建模块，用于基于命令执行漏洞创建攻击者与攻击目标之间的网络连接会话；

17、第一编码模块，用于基于所述网络连接会话，从所述攻击者获取第一目标文件，将所述第一目标文件编码为多个第一字符串；

18、第一写入模块，用于将所述多个第一字符串解码后写入到所述攻击目标中，得到第二目标文件，所述第二目标文件用于控制所述攻击目标或者信息收集。

19、第三方面，本公开实施例还提供了一种用于渗透测试的文件下载方法，采用如下技术方案：

20、基于命令执行漏洞创建攻击者与攻击目标之间的网络连接会话；

21、基于所述网络连接会话，从所述攻击目标获取第三目标文件，将所述第三目标文件编码为多个第二字符串；

22、将所述多个第二字符串解码后写入到所述攻击者中，得到第四目标文件，所述第四目标文件用于控制所述攻击目标或者信息收集。

23、可选地，所述将所述第三目标文件编码为多个第二字符串，包括：

24、将所述第三目标文件拆分为多个第二片段文件；

25、将所述第二片段文件编码为base64格式的所述第二字符串。

26、可选地，所述将所述多个第二字符串解码后写入到所述攻击者中，得到第四目标文件，包括：

27、将所述第二字符串下载到所述攻击者中后解码，得到所述第二片段文件；

28、查询所述攻击者中的第二文件；

29、若查询到，则将所述第二片段文件写入到所述第二文件中；

30、若没有查询到，则在所述攻击者中创建所述第二文件，将所述第二片段文件写入到创建好的所述第二文件中；

31、重复上述步骤，直至将所有第二字符串解码后写入到所述第二文件中，得到第四目标文件。

32、第四方面，本公开实施例还提供了一种用于渗透测试的文件下载系统，采用如下技术方案：

33、第二创建模块，用于基于命令执行漏洞创建攻击者与攻击目标之间的网络连接会话；

34、第二编码模块，用于基于所述网络连接会话，从所述攻击目标获取第三目标文件，将所述第三目标文件编码为多个第二字符串；

35、第二写入模块，用于将所述多个第二字符串解码后写入到所述攻击者中，得到第四目标文件，所述第四目标文件用于控制所述攻击目标或者信息收集。

36、第五方面，本公开实施例还提供了一种电子设备，采用如下技术方案：

37、所述电子设备包括：

38、至少一个处理器；以及，

39、与所述至少一个处理器通信连接的存储器；其中，

40、所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行以上任一所述的用于渗透测试的文件上传方法以及任一所述的用于渗透测试的文件下载方法。

41、第六方面，本公开实施例还提供了一种计算机可读存储介质，该计算机可读存储介质存储计算机指令，该计算机指令用于使计算机执行以上任一所述的用于渗透测试的文件上传方法以及任一所述的用于渗透测试的文件下载方法。

42、本公开实施例提供的用于渗透测试的文件上传方法，利用命令执行漏洞，可以绕过攻击目标对文件上传的安全检测，将第一目标文件编码为多个第一字符串，然后再解码写入到攻击目标中的方式，攻击者可以将文件内容与具体的文件扩展名分离，有助于隐藏真实的文件类型和目的，同时可以减少上传数据的大小，减小上传过程中被篡改或丢失的风险，极大增加了上传的隐蔽性，从而增加渗透测试的成功率，并且该方法在实现过程中无需安装服务应用，也无需在攻击目标上进行网络通讯来完成数据的传输，比现有方案更加轻巧。

43、上述说明仅是本公开技术方案的概述，为了能更清楚了解本公开的技术手段，而可依照说明书的内容予以实施，并且为让本公开的上述和其他目的、特征和优点能够更明显易懂，以下特举较佳实施例，并配合附图，详细说明如下。

技术特征：

1.一种用于渗透测试的文件的上传方法，其特征在于，包括：

2.根据权利要求1所述的用于渗透测试的文件上传方法，其特征在于，所述将所述第一目标文件编码为多个第一字符串，包括：

3.根据权利要求1所述的用于渗透测试的文件上传方法，其特征在于，所述将所述多个第一字符串解码后写入到所述攻击目标中，得到第二目标文件，包括：

4.一种用于渗透测试的文件上传系统，其特征在于，包括：

5.一种用于渗透测试的文件下载方法，其特征在于，包括：

6.根据权利要求5所述的用于渗透测试的文件下载方法，其特征在于，所述将所述第三目标文件编码为多个第二字符串，包括：

7.根据权利要求5所述的用于渗透测试的文件下载方法，其特征在于，所述将所述多个第二字符串解码后写入到所述攻击者中，得到第四目标文件，包括：

8.一种用于渗透测试的文件下载系统，其特征在于，包括：

9.一种电子设备，其特征在于，所述电子设备包括：

10.一种计算机可读存储介质，其特征在于，该计算机可读存储介质存储计算机指令，该计算机指令用于使计算机执行权利要求1-3任一所述的用于渗透测试的文件上传方法以及5-7任一所述的用于渗透测试的文件下载方法。

技术总结
本公开实施例公开了一种用于渗透测试的文件上传、下载方法及系统、设备、存储介质。其中，所述用于渗透测试的文件上传方法包括：基于命令执行漏洞创建攻击者与攻击目标之间的网络连接会话；基于所述网络连接会话，从所述攻击者获取第一目标文件，将所述第一目标文件编码为多个第一字符串；将所述多个第一字符串解码后写入到所述攻击目标中，得到第二目标文件。该方法能够实现一种轻巧、高隐蔽性和高稳定性的文件上传方法。

技术研发人员：郭立春
受保护的技术使用者：北京天融信网络安全技术有限公司
技术研发日：
技术公布日：2024/3/24