实战|一次对企业内部系统的渗透测试

admin

102369
文章

87
评论

2022年12月17日13:20:24评论25 views字数 3154阅读10分30秒阅读模式

文章首发于：先知社区

https://xz.aliyun.com/t/11943

1、渗透前言

对EHR系统访问时，首先是需要一个登录的，作为企业员工，大部分系统接入了SSO，该EHR系统为了保证安全性也不例外。因此对该系统的渗透测试基础的前提是————在该系统拥有一个可登录的凭据，但是该凭据并未拥有任何权限。

如下所示，正常的企业员工登录该系统时都是没有访问权限的

实战|一次对企业内部系统的渗透测试

那么对该类系统对其渗透的第一步必定是打开F12观察JS，发现JS目录下仅有6个JS文件

实战|一次对企业内部系统的渗透测试

而右击源代码查看的JS里却有几十个chun-xxxxxx.js

实战|一次对企业内部系统的渗透测试

随便打开了一个chunk-xxxxxx.js，利用插件发现存在一些路径但是在F12里搜不到，也就意味着这么多个chunk我要一个个打开看，才能够测试得比较仔细。
如下所示：

实战|一次对企业内部系统的渗透测试

2、packerFuzzer

接口太多了用了，先使用一下packerFuzzer来看看是否有未授权访问

实战|一次对企业内部系统的渗透测试

很轻松的收获了两枚任意文件上传漏洞，不过其中一个是放到minio下的，直接下载，而且是springboot的任意文件上传，利用相对局限。

实战|一次对企业内部系统的渗透测试

3、JS获取

开始对JS进行发现
这么多chunk-xxx.js，直接在首页使用插件来提取了一批路径，但是众所周知，该插件提取的路径其实并是完整的。

实战|一次对企业内部系统的渗透测试

一个简单的例子如下，这个路径就没被正则匹配到，想要提取完整的还得进入一个个js里查看。

实战|一次对企业内部系统的渗透测试

用packerFuzzer里存储的db直接拿到所有的JS的路径，当然packerfuzzer也会自动下载文本。

实战|一次对企业内部系统的渗透测试

只能一个个对chunk-xxx.js文件进行发现，但是js文件又太多了，足足有90多个，因此写了一个简单的python脚本批量提取了一下路径

import json
import re
import requests
import sys
import os

headers = {
    "User-Agent": "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.132 Safari/537.36Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/77.0.3865.90 Safari/537.36"}

fileurl=sys.argv[1]

filemkdir=fileurl.split('_')[0]
if not os.path.exists(filemkdir):
    os.makedirs(filemkdir)


# 下载chunk.js
# with open (str(fileurl)) as furl:
#   url=furl.readlines()
#   print(str(url)+"---is---downloading")
#   for url in url:
#       url=url.strip('n')
#       file=url.split('/')[-1]

#       resp = requests.get(url)
#       html = resp.text

#       with open ("./"+filemkdir+"/"+file,"a",encoding="utf-8") as f1:
#           f1.write(html)



#get path  + 路径名称
paths=[]
for dirpath, dirnames, filenames in os.walk('./'+filemkdir):
    for file in filenames:
        with open("./"+filemkdir+"/"+file,"r",encoding='gb18030', errors='ignore') as f2:
            try:
                line=f2.readlines()
                for line in line:
                    line=line.strip('n').strip('t')
                    #print(line)
                    p =  re.findall('''(['"]/[^][^>< )({}]*?['"])''',line)
                    #print(p)
                    if p != None:
                        #print(p)
                        for path in p:
                            path=path.replace(':"',"").replace('"',"")
                            paths.append(file+"---"+path)
            except Exception as e:
                print(e)


for var in sorted(set(paths)):
    with open (fileurl+'_path.txt',"a+",encoding='gb18030', errors='ignore') as paths:
        paths.write(var+'n')