10道渗透测试面试题（附答案）13

1、administrator和system权限进行切换：

计划任务和令牌窃取

1、通过sc命令（只适用于win xp）

2、通过计划任务（win7---win10）

计划任务有两种命令，at与schtasks。

3、通过psexec

4、Meterpreter

2、NTLM，v1和v2 协议区别是啥：

NTLM（NT LAN Manager）是一种基于windows的认证协议，用于在计算机网络中进行身份验证。NTLM v1 和v2 是NTLM协议的两个版本，他们之间的区别如下：

• 安全性：NTLM v2 比v1更安全。NTLMv1 使用了弱的加密算法，容易收到各种攻击，如字典攻击，中间人攻击等。NTLMv2 使用了更强的加密算法，提高了安全性。

• 验证过程：NTLMv1使用3个消息进行身份验证，而NTLMv2 使用4个消息进行身份验证。NTLMv2 在第一次握手时，会向客户端提供一个随机的挑战，并要求客户端证明其身份。同时，客户端会通过一个哈希值来证明自己的身份。这种方式比NTLMv1更加安全。

• 兼容性：NTLMv2比NTLMv1更加兼容。NTLMv2可以在所有Windows平台上运行，而NTLMv1则不能。

3、LM和NTLM的区别是啥：

两者都是Windows的认证方式。

LM哈希本质上时DES加密可以逆向出来。而NTLM哈希本质上是MD4加密不能逆向只能枚举爆破，相对更安全。在Windows server 2003以后，Windows操作系统的认证方式均为NTLM Hash。

4、病毒蠕虫的特性：

传播速度快

蠕虫在网络中传染速度非常快，导致扩散范围很大,不但能迅速传染局域网内所有计算机，还能在一-瞬间通过Internet将蠕虫传播到千里之外。

清除难度大

在单机中，再顽固的病毒也可通过删除带毒文件、格式化硬盘等措施将病毒清除，而网络中只要有一台主机未能杀毒干净就可使整个网络中的主机重新被病毒感染，甚至刚刚完成杀毒的一台主机马上就能被网上另一台主机的带毒程序所传染。仅对主机进行病毒清除不能彻底解决网络蠕虫的问题，而需要进一步借助防火墙等安全设备。

破坏性强

蠕虫利用了现代计算机网络的特点，可以在很短时间内蔓延到整个网络，造成网络瘫痪。 所以蠕虫的破坏性是其他病毒所无法比拟的。

5、应急响应思路：

目的：分析攻击时间、攻击操作、攻击结果、安全修复等并给出合理的解决方案。

• 保护阶段：直接断网，保护现场，看是否能够恢复数据。

• 分析阶段：对入侵过程进行分析，常见方法为指纹库搜素、日志时间分析、后门追查分析、漏洞检查分析等。

• 复现阶段：还原攻击过程，模拟攻击者入侵思路。关注攻击者在系统中应用的漏洞，手法。

• 修复阶段：分析原因后，修补相关系统、应用漏洞，如果存在后门或弱口令，及时清楚并整改。

• 建议阶段：对攻击者利用的漏洞进行修补，加强系统安全同时提高安全意思。

6、发现一个登录页面有什么想法：

弱口令，越权，sql注入，xss盲打，bp抓包 等等。。

7、文件包含怎么getshell：

网站会将一些错误信息记录到日志文件中，我们可以利用这个特性将木马写入到日志文件中。

思路：第一步利用一切可能让服务器本地某个文件中含有一句话木马，第二部文件包含之让代码执行。

8、gopher协议是什么：

gopher支持发出GET、POST请求。可以先截获get请求包和post请求包，再构造成符合gopher协议的请求,gopher协议是ssrf利用中一个最强大的协议(俗称万能协议)

9、shellcode免杀方式：

首先要知道杀毒软件的查杀原理：

特征码扫描、文件校验合法、进程行为监测法（沙盒模式）、云查杀、主动防御技术、机器学习识别技术。

何为shellcode：

shellcode是一段用于利用软件漏洞而执行的代码，shellcode为16进制的机器码，因常让攻击者获得shell而得名。shellcode常常使用机器语言编写，可在暂存器eip溢出后，塞入一段可让CPU执行的shellcode机器码，让电脑可以执行攻击者的任意指令。

通俗讲，其实shellcode和其他代码没什么太大的区别，就是一段正常的code，常见的shellcode都是一串16进制的机器码，本质上是一段汇编指令

将生成的shellcode放进加载器中编译成exe文件。

总结：

shellcode免杀有很多种，C算是最广泛出现的了，杀毒效果并不好，免杀都具有时效性；还有很多语言的加载器Python、GO语言等。

10、会不会写wireshark过滤规则：

对IP地址的过滤：

ip.src == 192.168.0.1

ip.dst == 192.168.0.1

ip.addr == 192.168.0.1

对协议的过滤：

http

http or telnet

not arp !tcp

对端口的过滤：

tcp.port == 80

udp.port >= 2048

对长度和内容的过滤：

udp.length < 30 http.content_length <=20

http.request.uri matches "*****"

持续更新中。。。。。