搜索

[27350] 2020-07-29_记一次漏洞组合拳拿下内网

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-19
2020-07-29_记一次漏洞组合拳拿下内网 记 一 次 漏 洞 组 合 拳 拿 下 内 网 原 创   n e a r s e c   N e a r S e c   2 0 2 0 - 0 7 - 2 9 背 景 背 景 某 日 接 到 一 个 h w 项 目 。 在 充 分 授 权 的 情 况 下 ， 针 对 客 户 的 系 统 进 行 渗 透 测 试 ， 目 标 是 某 著 名 企 业 ， 资 产 较 多 。 突 破 突 破 1 .   首 先 是 针 对 目 标 进 行 资 产 搜 集 ， 因 为 客 户 为 集 团 公 司 ， 旗 下 子 公 司 很 多 ， 所 以 根 据 目 标 企 业 名 称 查 询 出 他 所 有 的 分 公 司 ， 在 根 据 分 公 司 名 称 查 询 出 客 户 所 备 案 过 的 主 域 名 ， 再 将 主 域 名 导 入 资 产 收 集 平 台 ， 进 行 子 域 名 及 I P 端 口 资 产 的 搜 集 2 .   在 针 对 目 标 进 行 资 产 搜 集 的 时 候 ， 发 现 了 这 么 一 个 系 统 没 有 验 证 码 ， 且 可 以 使 用 手 机 号 登 录 ； 通 常 来 说 这 类 系 统 肯 定 存 在 测 试 账 号 ， 使 用 B u r p 搭 载 手 机 号 T o p 4 0 0 0 字 典 一 同 爆 破 ， 进 入 到 了 一 个 查 询 人 员 账 号
在 “ 基 础 信 息 管 理 ” 功 能 的 地 方 ， 存 在 越 权 ， 可 以 查 看 到 管 理 员 手 机 号 ， 以 及 账 号 默 认 密 码 为 手 机 号 后 3 位 + 手 机 号 后 3 位 但 是 尝 试 了 默 认 口 令 以 及 弱 口 令 T o p 1 0 0 0 0 ， 均 未 爆 开 ， 至 此 在 W e b 侧 已 经 没 什 么 可 以 利 用 的 地 方 了 ， 但 是 忽 然 回 想 起 在 登 陆 界 面 有 个 二 维 码 ， 是 手 机 A P P 的 下 载 地 址 ， 于 是 把 A P P 安 装 来 分 析 。 首 先 输 入 之 前 爆 破 来 的 账 号 ， 尝 试 登 陆
登 陆 进 去 以 后 发 现 功 能 只 有 1 个
B u r p 康 康 刚 才 登 录 的 数 据 包
发 现 返 回 包 可 以 看 到 返 回 了 用 户 I D ， 手 机 号 尝 试 将 I D 和 手 机 号 修 改 为 管 理 员 的 ， 即 可 成 功 越 权 访 问 到 管 理 员 面 板
在 某 处 功 能 找 到 了 任 意 文 件 上 传 ， 验 证 方 式 仅 仅 为 前 端 验 证 ， 抓 包 修 改 后 缀 为 . j s p 即 可 绕 过 ， 但 是 他 上 传 并 不 返 回 文 件 路 径 ， 且 通 过 f u z z 测 试 判 断 ， 文 件 的 存 储 路 径 和 W e b 路 径 并 不 在 一 起
于 是 继 续 在 A P P 找 ， 终 于 又 找 到 了 一 处 任 意 文 件 读 取 ， 尝 试 构 造 . . / 的 形 式 去 读 取 T o m c a t 的 日 志 ， 找 到 了 网 站 的 绝 对 路 径 构 造 路 径 ， 拿 下 W e b S h e l l
上 线 到 C o b a l t S t r i k e ， 抓 取 到 管 理 员 密 码 及 R D P 服 务 端 口 ， 成 功 拿 下 此 系 统

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理