分类渗透实纪下的文章 - xioy's Blog

登录

找到 14 篇与渗透实纪相关的结果

2025-04-01
姜太公钓鱼寻找目标上次写了一篇关于谷歌黑语法的文章，恰好这几天有闲时间索性就随便摸一摸。这次找有sql注入的目标，直接一个inurl:?id= intext:公司，资产这不就来了。逐个对这些目标进行测试。其实就是在参数后面加单引号，如果有报错就细测。弄到管理员密码就到后台找其他漏洞，就这样成功了好几个。直到遇到这个资产。两个站复制链接丢进bp浏览器访问时发现是另一个界面。使用http访问的是第一张图的站点，https访问的是第二张图的站点，奇怪太奇怪了。那就分开测试吧。 HTTP站点按部就班首先通过谷歌黑语法找到注入点：http://127.0.0.1/information.php?id=28，尝试参数后面加上一个单引号页面中的内容就消失了。这一看就有注入啊，直接丢给sqlmap处理。后面也都知道的，找管理员账户和配置文件看看有什么敏感信息啥的。不过最后只有管理员账号和密码有用。既然知道了管理员账户和密码那就开始找后台吧。后续把我所有字典全都跑完了都没找到后台地址，这不就废了吗光有密码找不到入口。那不行，不能让我时间白白浪费了。继续在找找看有没有其他的漏洞再利用一下。用rad爬取整个站点链接，然后去掉没用链接。在爬取的目录中有编辑器路径，后续尝试爆破目录同样没有任何反应遂放弃。姜太公钓鱼接下来着重对有参数的id进行测试，果不其然在其中一条链接存在反射型XSS，有XSS就好说了直接钓鱼。 http://127.0.0.1/news.php?a=bexc3&begindate=w3o77&c=x83k5&categoryid=zk5y7&email=t6h89&emailto=n3ai1&id=<script>alert('XSS')</script>&item=x3591&jsonp=d9z06&keyword=vkkv5&l=y1956&lang=lg1b7&list_btn=j52s6&month=bm864&parent_ele=qmx20&pre_btn=o3qg1&query=tktd8&token=jf6u3&view=tg8d1&waite_time=g76a0&year=yn0e4 找个XSS平台选择默认模块就足够了，主要就是用来获取管理员cookie和后台地址用的。由于平台关闭了邮箱通知功能，不能在第一时间使用有效的cookie。如果管理员长时间不操作那么获取到的cookie就会失效。所以这里需要把keepsession选上，这个功能每隔9分钟会自动访问目标来确保cookie的有效性。测试了一下这个链接可以正常接收到数据。众所周知每个公司的官网都有留言的地方，我们可以通过这个功能把钓鱼链接发送给后台。当管理员登录后台发现有留言肯定会点击查看。愿者上钩（静候佳音）等待后续补充 HTTPS站点呦！你也在啊！原本以为这两个站是同样的，用同样的注入点访问时站点返回File not found。嗯？这啥情况？随便翻了翻这个站点同样存在sql注入，注入点：https://127.0.0.1/news_details.php?id=215。两者的数据库结构差不多，管理员账号和密码都一模一样。还在留言板中找到了其他师傅留下的信息同样这个站点存在反射型XSS。宁可错杀一百，不可放过一个。继续钓鱼，具体操作和上面的一样这里就不展示了。

渗透实纪

xioy 2天前
0 20 0
2025-03-01
磐云被黑最惨的一次好玩进入目标后看到数据包中的域名，复制到浏览器里可以正常使用。一通瞎点看到返回的数据包内容全都被加密了。加密就没办法了，那就找找接口吧。在找接口的过程中找到了一段神秘密文：wsafkb@q124129&，并且这段代码十分的不简单。看样子是把请求的数据解密后再把数据发送到服务端的过程。知道了密钥那就解密一下数据看看效果。随机选择了一个响应数据，把密钥填进去解密后果然获得了明文数据。点击报告查询功能，看到请求包末尾是加密后的状态解密看看。其中mrn对应的参数中文释义是病历号，再细看他的序号是有规律的，截至目前到我这是：25年第005416份报告。知道了病历号的规律那查看一下其他人的报告试试。bp开启拦截功能，然后修改请求包后面的加密内容，直接可以越权查看到别人的体检报告。后续尝试了一下，这个小程序所有功能点都是同样这种加解密的方式来获取数据的，这边就不一一演示了。磐云：玩呢！你以为到这里就结束了吗，不可能，根本停不下来。注意到响应包的头是360的磐云。众所周知防火墙都是要靠数据包内容来判断是否有威胁的，但是这个小程序的数据包内容都被加密了磐云肯定检测不出来请求是否有威胁性，但也不能排除磐云有没有单独的为这个单位经行定制适配，如果适配了那么我们在请求包中带有威胁函数的请求就会被识别并拉黑。随机选个一功能点，bp拦截请求包，在请求里面添加一个'看看有没有sql注入漏洞解密响应包的内容，果然有sql注入这不就来了吗。并且能够getshell。代码分析以下是完整的代码 "6f54": function(e, t, n) { "use strict"; n("7a82"), Object.defineProperty(t, "__esModule", { value: !0 }), t.Decrypt = r, t.Encrypt = function(e) { var t = a.enc.Utf8.parse(e) , n = a.RC4.encrypt(t, o, { RC4_IV: i, mode: a.mode.CBC, padding: a.pad.Pkcs7 }); return n.ciphertext.toString().toUpperCase() } , t.isDecrypt = function(e) { try { r(e) } catch (t) { return !1 } return !0 } , n("d401"), n("d3b7"), n("25f0"); n("786d"); var a = n("d785") , o = a.enc.Utf8.parse("wsafkb@q124129&") , i = a.enc.Utf8.parse("wsafkb@q124129&"); function r(e) { var t = a.enc.Hex.parse(e) , n = a.enc.Base64.stringify(t) , r = a.RC4.decrypt(n, o, { RC4_IV: i, mode: a.mode.CBC, padding: a.pad.Pkcs7 }) , s = r.toString(a.enc.Utf8); return s.toString() } },其中最主要的代码是这段： var a = n("d785") , o = a.enc.Utf8.parse("wsafkb@q124129&") , i = a.enc.Utf8.parse("wsafkb@q124129&"); function r(e) { var t = a.enc.Hex.parse(e) , n = a.enc.Base64.stringify(t) , r = a.RC4.decrypt(n, o, { RC4_IV: i, mode: a.mode.CBC, padding: a.pad.Pkcs7 }) , s = r.toString(a.enc.Utf8); return s.toString() }这段代码首先定义加密库和密钥。a是加密库，o和i是密钥和初始化向量，字符串为：wsafkb@q124129&的UTF-8格式。 var a = n("d785") , o = a.enc.Utf8.parse("wsafkb@q124129&") , i = a.enc.Utf8.parse("wsafkb@q124129&");这段是定义解密函数，主要是对输入的字符串e进行解密。解密步骤：先把输入的字符串e解析为十六进制格式，再把十六进制数据转换为Base64格式。然后使用RC4算法解密，密钥为o（就是上面o定义的值），初始化向量为i，模式为CBC，填充方式为PKCS7。最后把解密结果转换为UTF-8字符串并返回。 function r(e) { var t = a.enc.Hex.parse(e) , n = a.enc.Base64.stringify(t) , r = a.RC4.decrypt(n, o, { RC4_IV: i, mode: a.mode.CBC, padding: a.pad.Pkcs7 }) , s = r.toString(a.enc.Utf8); return s.toString() }磐云你加密数据包干什么呀？啊！你这种操作会把我的作用给异化掉的懂吗？知不知道什么叫防火墙？啊！你能说我没有起到作用吗？我跟你打个比方啊，比如说你倒车入库。你用自动泊车功能，成功入库后，哎呀！自动泊车得了MVP！一看激光雷达天天在那，就是测距、识物。躺赢狗！激光雷达就是躺赢狗！激光雷达的评分是3.0。自动泊车一键入库省时省力对吧，13.0carry局能这样算吗？啊！你告诉我激光雷达是不是躺赢狗啊！马勒戈壁的，真是神经病！你加密数据包干嘛呢？那不是要具体看数据包内容，看它有什么行为吗？啊！我每天检查这些加密后的数据包我都不知道里面是啥，你还说我没起到作用！傻逼啊！要不让你们开发自己开发一个防火墙来检测数据，他们又不愿意。你说我怎么保护你啊。

渗透实纪

xioy 3月1日
0 25 1
2024-09-21
从未授权访问到随意进出后台常规测试站点首页爆破目录先让他在后面跑着登录框尝试SQL注入、在找前端的接口，最后结果然并卵。杀进后台这时候目录也跑完了看看结果，还真爆装备了。访问目标地址，该页面列举了站内所有的用户。界面上的所有按钮都按了一遍，全都能用。直接新增用户，并设置为管理员组。登陆到后台

渗透实纪

xioy 1年前
0 88 25
2024-08-17
对目标企业一个全面的渗透过程常规测试站点首页企业官网，没啥可打的。Ping域名得到ip，扫描端口只开了80和443。那就打子域名吧。存储桶目录遍历通过信息收集，找到了两个存储桶，都可以目录遍历，其中crms泄露了39份文件，huyonguangfu泄露了44万份。存储桶文件上传通过尝试名为crms的存储桶可以上传文件。 Nacos弱口令在无意之间遇到3个站，首页是这样。原本想试着放bp里爆破账号密码的，出于习惯顺手查看一下插件有没有出货啥的。这一看果然还真爆装备了。看到nacos的密码就知道是默认的，直接反手登录到nacos 翻了一下还存在其他账户，不过已经有一个账户了其他的都无所谓了。多个漏洞通过检测还存在其他类型漏洞存储桶接管查看了一下dassolarprod继续爆装备，配置中写了华为的ak、sk。我直接接管好吧。查看了一下内容，接管到就是文章一开始提到的存储桶。 jboss多个漏洞这个站，存在jboss的反序列化、代码执行、未授权访问漏洞最后一个弱口令最后还有一个弱口令

渗透实纪

xioy 1年前
0 14 0
2024-08-17
对方拒绝我的登录请求并把管理员密码甩到我脸上的奇葩案例初见端倪站点首页用户名输入1尝试登录，会返回当前用户未注册的提示输入已有的账户名，则会返回用户密码错误的提示。返回bp刚想把数据包拿去爆破，好玩的就来了。开眼这是输入不存在的用户名返回包这是输入存在的用户名返回包，对方拒绝我的登录请求并把管理员密码甩到我脸上。好好好，我拿着md5直接解密我拿着密码直接登录后台平台中还存在其他账户，都存在这样的问题。奇葩，太奇葩了。

渗透实纪

xioy 1年前
0 17 1