一次完整的渗透测试

文摘 2024-11-16 23:59 江苏

本文约2000字，阅读约需6分钟。

听到过这样一句话：“干饭人干饭魂，干饭人吃饭得用盆。”

如果这句话套用在渗透人身上，就变成了：“渗透苦渗透累，渗透人干活贼伤肺。”

摸摸自己稀疏的发，拭去自己眼角的泪。

不多说了，直接开搞。

Web打点

渗透测试中，Web端最常见的问题大多出现在弱口令、文件上传、未授权、任意文件读取、反序列化、模版漏洞等方面。因此，我们着重围绕这些方面进行渗透。

1.弱口令

先介绍一些好用的字典：

https://github.com/fuzz-security/SuperWordlisthttps://github.com/gh0stkey/Web-Fuzzing-Box

首先将收集到的所有登录页面（url.txt）使用脚本进行爆破，我这里使用的是WebCrack脚本，在web_crack_log.txt可以直接看到有验证码的地址是哪些，然后我们在选择其他工具进行爆破。

本次运气还不错，找到了四个弱口令：

2.文件上传

常见的文件上传漏洞类型：

通过刚才爆破出来的其中一个弱口令登录到后台，发现了上传点并且成功上传：

但是这个只是一台独立的服务器，并没有进入到内网，接着往下看。

3.任意文件读取

通过jsfinder爬取了大量的路径，然后通过字典爆破到了一个任意文件读取。

但是由于是低权限，所以没有继续测试。

4.springboot未授权漏洞

找到个springboot未授权漏洞。按照正常思路，访问 Web 应用的 /actuator/env 或 /env，如果有返回 json 格式的数据，则可能存在漏洞。但是此环境下，这个路径可能被删除了：

于是我们尝试读取配置文件，看看能不能找到有用的东西。

访问/autoconfig后，发现了某云的Accesskey：

使用工具成功登录：

但是登录后发现是个空的服务器，所以还得继续找口子。

顺便总结下Spring Boot Actuator常用的路径：

/dump - 显示线程转储（包括堆栈跟踪）

/autoconfig - 显示自动配置报告

/configprops - 显示配置属性

/trace - 显示最后几条HTTP消息（可能包含会话标识符）

/logfile - 输出日志文件的内容

/shutdown - 关闭应用程序

/info - 显示应用信息

/metrics - 显示当前应用的”指标“信息

/health - 显示应用程序的健康指标

/beans - 显示Spring Beans的完整列表

/mappings - 显示所有MVC控制器映射

/env - 提供对配置环境的访问

/restart - 重新启动应用程序

5.Java-RMI反序列化

利用这个漏洞前，我先简单介绍下Java-RMI。

Java RMI服务是远程方法调用（Remote Method Invocation），它是一种机制，能够让在某个Java虚拟机上的对象调用另一个Java虚拟机的对象的方法。

在Java Web中，很多地方都会用到RMI来相互调用。比如很多大型组织都会在后台部署一些Java应用，用于对外网站发布更新的静态页面，而这种发布命令的下达使用的就是这种RMI形式。

值得注意的是，RMI传输过程必然会使用序列化和反序列化，如果RMI服务端端口对外开发，并且服务端使用了像Apache Commons Collections这种库，那么会导致远程命令执行。

我们找到的这个服务恰好端口对外开放，并且使用了Apache Commons Collections的有漏洞的版本，所以成功执行命令：

通过此漏洞，终于成功打进内网，通过发现192.168.0.0/16网段和172.16.0.0/16网段：

内网渗透

通过Java-RMI反序列化终于打进了内网。接下来进行内网渗透测试，下图是此次内网渗透的流程图：

第一步，192.168.0.0/16网段和172.16.0.0/16网段的未授权通过使用frp代理出来流量后，使用fscan进行信息收集：

发现多个未授权访问：

第二步，192.168.0.0/16网段和172.16.0.0/16网段的弱口令：

第三步，Jboss反序列化漏洞，发现了Jboss的网站：

成功上传shell：

发现是低权限后上传CS码，提权成功，然后将流量代理出来：

发现了“10”段：

通过配置文件，发现了数据库的密码：

成功连接数据库：

第四步，CVE-2020-1472拿域控。

通过net time /d找到域控：

测试发现有zerologon漏洞：

然后收集了“10”段的信息：

至此整个渗透过程结束。简单回顾一下：

总结

由于是渗透测试项目，本着能多测就多测的原则，对多个系统历年来出现的漏洞逐一进行了测试。

根据测试的结果来看，虽然很多企业已经对网络安全足够重视，但正如周总所言，世界上只有不努力的黑客，没有攻不破的系统。在安全这个行业，我们仍任重而道远。

如果你是一个长期主义者，欢迎加入我的知识星球，我们一起往前走，每日都会更新，精细化运营，微信识别二维码付费即可加入，如不满意，72 小时内可在 App 内无条件自助退款

迪哥讲事

作者主页: https://github.com/richard1230

最新文章

利用时光机所发现的 SSRF

深入浅出API测试｜搜集分析与漏洞挖掘实战

【高危含POC】Tomcat 远程代码执行漏洞(CVE-2024-50379)

绕过双因素认证至账户接管

一款可以识别图形验证码并进行暴力破解的工具

盲注的艺术：解锁内部秘密

VUE｜如何不使用Fuzz得到网站所有参数与接口？

双十二活动

利用开放式重定向、2FA 绕过等漏洞获取$1600赏金奖励

发现关键漏洞获得 $4,000 赏金奖励

知识星球双十二活动

双十二活动

记一次简单的攻防项目

如何寻找隐藏的参数

挖洞荒？工作两年半的渗透测试实习生如何挖到第一个高危sql注入漏洞？慎用！

如何大规模搜寻泄露的敏感文件

从JS代码审计到GraphQL利用的管理账户接管

再聊聊ffuf

社工靶场推荐

暴力破解的艺术-- ffuf的不常见用法

利用SSRF访问内部数据

人家都已经内网遨游了，你怎么连口子都没撕开？

攻防实战-fuzz上传接口到内网

一个平平无奇的登录接口竟能引发账号密码泄露。。。

信息收集技巧分享

如何通过发现 API漏洞赚到百万美刀

云存储桶的一种高危挖法

如何将低危的 SSRF 盲注升级为严重漏洞

一个挖掘权限类漏洞的神器

如何将DOM XSS升级为一键帐户接管（上集）

如何快速找到 RCE

从302到RCE，拿shell就像喝水一样简单

实战 | 记一次Spring boot任意文件上传

一次完整的渗透测试

玩转graphQL

URL跳转最全总结

从404到RCE，挖洞像喝水一样简单

保姆级教程教你玩转API渗透测试

双十一福利 | 知识星球优惠券放送

一次通过Fuzz API发现漏洞的旅程

通过发现隐藏的参数值实现任意用户登录

一则SSRF漏洞的故事

推荐几个安全圈必备武器库

实战 | 利用SSRF渗透内网主机-上

云安全-s3对象存储攻防

Web缓存投毒

巧用多客户端差异性获取敏感信息（斩获3k）

一个价值【$2000】的漏洞

如何大规模搜寻泄露的敏感文件

分类

时事

民生

政务

教育

文化

科技

财富

体娱

健康

情感

旅行

百科

职场

楼市

企业

乐活

学术

汽车

时尚

创业

美食

幽默

美体

文摘

原创标签

时事社会财经军事教育体育科技汽车科学房产搞笑综艺明星音乐动漫游戏时尚健康旅游美食生活摄影宠物职场育儿情感小说曲艺文化历史三农文学娱乐电影视频图片新闻宗教电视剧纪录片广告创意壁纸头像心灵鸡汤星座命理教育培训艺术文化金融财经健康医疗美妆时尚餐饮美食母婴育儿社会新闻工业农业时事政治星座占卜幽默笑话独立短篇连载作品文化历史科技互联网

发布位置

广东北京山东江苏河南浙江山西福建河北上海四川陕西湖南安徽湖北内蒙古江西云南广西甘肃辽宁黑龙江贵州新疆重庆吉林天津海南青海宁夏西藏香港澳门台湾美国加拿大澳大利亚日本新加坡英国西班牙新西兰韩国泰国法国德国意大利缅甸菲律宾马来西亚越南荷兰柬埔寨俄罗斯巴西智利卢森堡芬兰瑞典比利时瑞士土耳其斐济挪威朝鲜尼日利亚阿根廷匈牙利爱尔兰印度老挝葡萄牙乌克兰印度尼西亚哈萨克斯坦塔吉克斯坦希腊南非蒙古奥地利肯尼亚加纳丹麦津巴布韦埃及坦桑尼亚捷克阿联酋安哥拉