实战|从app渗透到网站沦陷

admin 2022年6月14日09:52:03安全文章 移动安全评论26 views832字阅读2分46秒阅读模式

原创作者:山山而川,欢迎关注作者博客。

原文链接:https://blog.csdn.net/qq_44159028/article/details/124817326


分享一下今天对某app进行渗透测试,从基础的信息收集到拿到网站的shell。总体来是还是很简单的,也没什么技术含量


  1. 使用模拟器挂上代理并对app进行抓包,我们把其域名给拿出来


实战|从app渗透到网站沦陷



2. 使用工具对主域名进行敏感目录扫描,发现存在一个admin的目录


实战|从app渗透到网站沦陷


对该目录进行访问,发现存在管理后台,且目前看没有验证码,可以尝试爆破


实战|从app渗透到网站沦陷


输入不同的账号,看是否存在用户名枚举,如下输如admin显示账号或者密码错误


实战|从app渗透到网站沦陷


 输入admin2显示账号未注册,所以此处存在账号枚举漏洞


实战|从app渗透到网站沦陷


3. 进行表单爆破


使用burpsuite先进行枚举存在的账号,测试发现存在admin和wangjie两个账号


实战|从app渗透到网站沦陷


使用这两个账号然后对密码进行爆破。因为该密码进行了md5加密,所以爆破前进行md5加密就行。如下成功爆破出来了


实战|从app渗透到网站沦陷


对md5进行解密,发现密码就是123456,这密码也够nice


实战|从app渗透到网站沦陷


4. 使用该账号密码成功登陆后台


实战|从app渗透到网站沦陷


接着寻找可以利用的漏洞点,然后发现存在文件上传的地方,随便传了个后缀的文件过去,发现能上传成功


实战|从app渗透到网站沦陷


5. 辨别网站使用的脚本语言


由于在http请求数据及浏览器插件中都没找到该网站使用的什么脚本语言。于是我搜索该app对应的公司,然后看他们公司的招聘岗位。发现正在招聘安卓开发,好家伙,那不就是java吗


实战|从app渗透到网站沦陷


6. 上传jsp冰蝎🐴


实战|从app渗透到网站沦陷


访问马子,没啥反应,估计行了吧


实战|从app渗透到网站沦陷


 连接马子


实战|从app渗透到网站沦陷

加我好友进2022护网交流群

实战|从app渗透到网站沦陷

精彩推荐

1.某地级市HW攻防演练红队渗透总结

2.Bypass文件上传绕过-Getshell

3.一个全新的敏感文件发现工具

4.一款使用webshell进行流量转发的出网工具

5.干货 | 2022HVV必备攻防渗透工具总结

6.内网自动化快速打点工具

7.shiro综合利用工具

8.推荐一套攻防演练前期准备工作总结


实战|从app渗透到网站沦陷

原文始发于微信公众号(HACK之道):实战|从app渗透到网站沦陷

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年6月14日09:52:03
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  实战|从app渗透到网站沦陷 http://cn-sec.com/archives/1114426.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: