记一次抽丝剥茧式的渗透测试
2023-9-18 08:31:42 Author: 潇湘信安(查看原文) 阅读量:36 收藏
声明：该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。
请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

现在只对常读和星标的公众号才展示大图推送，建议大家把潇湘信安“设为星标”，否则可能看不到了！

前言

网站的JS文件中通常会泄漏一些接口、URL、子域等信息，更有甚者会泄漏一些敏感信息，如OSS的AKSK等。
我们利用泄漏的接口配合未授权访问，可以获取到更多的敏感信息，为后续渗透工作带来便利。
本文以一次项目实战为基础展开。

1、敏感信息泄漏

系统登录框没有验证码，抓下包看看能不能跑个弱口令

加密加登录失败次数限制，直接放弃

跑下目录也没有收获

但是在JS文件中发现了好东西

利用JS美化工具，发现多个接口目录

可以简单利用正则编写一个脚本，把接口提取出来

import re
def main():    with open('logpath.txt', 'r') as f:        read = f.read()    allList = set()    list1 = re.findall(r'"(/[^\"]+)*"', read)    print(list1)    for x in list1:        allList.add(x)
    outFile = open("output-path.txt", "w")    allList = list(allList)    allList.sort()    for x in allList:        outFile.write(x+"\n")
if __name__ == '__main__':    main()

直接丢进burp中跑一下，发现大部分会报错，缺少参数，但是从报错信息中我们可以获取到接口使用的库

搜索一下PageInfo的参数发现为pageNum、pageSize

PageHelper.startPage(pageNum, pageSize);List<Map<String , Object>> listData = securityCheckDao.selectAllQuestionType(requestJson);

加入参数再遍历一下，发现大量敏感信息，这里一定要注意加上 根目录 这个网站的根目录是statistics

但是另一接口存在大量XSL文件，但是找不到正确路径

正当要放弃的时候，在另外一个包中发现了如下接口


可以读取pdf文件

但无法读取xls文件


再跑下常用接口试下，发现了download

利用download接口可以直接将xls文件下载到本地，在xls文件中发现大量敏感信息

2、逻辑漏洞找回密码

在接口中发现找回密码功能（前台并无该功能，猜测是删除了前台入口），但是直接发包报错，缺少参数
直接猜解登录参数，loginName成功发包，发现密码直接在返回包中（咱也不知道研发是怎么写代码的）
直接以admin身份登录系统后台
找到一个上传接口，可以上传jsp文件，但是只返回文件名，最终也没有成功找到路径

3、任意文件读取

突然想到上面的文件读取接口会不会存在任意文件读取，尝试后成功读取web.xml文件，我们可以看到存在log4j

4、log4j 反弹shell

执行命令，Java版本号打印在dnslog上

直接反弹Shell，利用方式这里就不再赘述了

总结

大致思路如下，主要的难点还是在于找到接口相应的参数，配合API未授权获得大量敏感信息，对信息进行进一步利用，思路要放开。

fuzz接口也可以使用Packer Fuzzer工具也挺好用的，它是一款针对Webpack等前端打包工具所构造的网站进行快速、高效安全检测的扫描工具
  • https:
文章来源：奇安信攻防社区（苏苏的五彩棒）原文地址：https://forum.butian.net/share/2422

关注我们

 还在等什么？赶紧点击下方名片开始学习吧！

信 安 考 证

需要考以下各类安全证书的可以联系我，价格优惠、组团更便宜，还送【潇湘信安】知识星球1年！

CISP、PTE、PTS、DSG、IRE、IRS、NISP、PMP、CCSK、CISSP、ISO27001...

推 荐 阅 读


文章来源: http://mp.weixin.qq.com/s?__biz=Mzg4NTUwMzM1Ng==&mid=2247506486&idx=1&sn=4a4a408a3d1c012b85c33947d1e09e78&chksm=cfa57e25f8d2f733e83d878028d58ec974ff14935c84a39a222e26c7571f95a5b06528bb86b2&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh