|
1 接口未授权挖掘
在网站未登录的情况下，由于不知道后台接口。唯一办法通过js文件、路径扫描。通过这种收集方式使用burp进行批量扫描，分别探测GET/POST请求。观察响应包跟状态码。判断响应包，确定存在未授权后，再构造数据包。 2 突破登录框 在测试站点中，很多时候不提供测试账号。此时，就需要一个尝试爆破账号，但是有时候会有验证码(重发登录包，50%假验证码)。正好这次没有验证码。
拿到这种网站，先判断一下有无用户名猜解。判断存在与不存在账号。测试常见的admin、admin321，观察它们之间的提示。就算发现有这个admin账号，但是有密码错误锁定的情况，那么就尝试爆破账号。(手机号码与常规账号，总会有测试账号或者总会有人设置弱口令)
密码设置为弱口令123456，账号为字典进行爆破，根据响应包大小进行判断。最终拿到测试账号。 3 后台漏洞挖掘
通过测试账号进入后台，额外注意接口跟上传下载点。由于这个我们没有网站代码，只能访问相关功能，并burp插件Autorize记录探测那些接口存在未授权。通过页面翻找，找到一个正常的上传点。
构造正常上传一个txt文件，发现这个功能先是上传后并读取该文件。 并尝将cookie凭证删除，发现仍然可以上传。 那么将它转成是前台的上传漏洞了。经过测试发现，目录也是可以穿越的，文件名可以任意。读取文件接口也存在穿越问题。 根据接口判断，该网站是可能是springboot的，显然上传jsp是不行。那么还剩下两个方式拿权限。一是上传ssh登录凭证、二是写定时任务反弹回来。扫描了一下ip，发现ssh端口未对外。于是尝试定时任务。 等了几分钟没反弹回来，通过于是又看了一下定时任务的日志。 最近的定时任务日志是在前一天，要么就是服务器时间慢了一天，或者是定时任务管理器在前一天被停了。再次尝试写定时任务。 * * * * * * whoami>/tmp/data.txt仍然无法读取到tmp下面的data文件，至此确定定时任务真没起来。 4 柳暗花明
难道真的无法getshell了吗？通过下载接口，读取root用户的历史命令。找到网站路径。 看到这个webapps，瞬间精神了。直接构造上传路径，并输出jsp文件。上传shell～
哥斯拉连接上去，上个whoami截图。 通过检查网站文件，发现是一个tomcat里面有个目录是springboot。但是网站没见到其他的jsp文件。 这种开发方式属实少见。网站也是通过war方式部署。 由于是未授权的上传点。也算是前台rce了～～～
| 
发表于 2023-9-9 09:42:14