记一次漏洞组合拳拿下内网

  • A+
所属分类:安全文章

背景

某日接到一个hw项目。在充分授权的情况下,针对客户的系统进行渗透测试,目标是某著名企业,资产较多。


突破

  1. 首先是针对目标进行资产搜集,因为客户为集团公司,旗下子公司很多,所以根据目标企业名称查询出他所有的分公司,在根据分公司名称查询出客户所备案过的主域名,再将主域名导入资产收集平台,进行子域名及IP端口资产的搜集

    记一次漏洞组合拳拿下内网

  2. 在针对目标进行资产搜集的时候,发现了这么一个系统

记一次漏洞组合拳拿下内网

没有验证码,且可以使用手机号登录;通常来说这类系统肯定存在测试账号,使用Burp搭载手机号Top4000字典一同爆破,进入到了一个查询人员账号

记一次漏洞组合拳拿下内网

在“基础信息管理”功能的地方,存在越权,可以查看到管理员手机号,以及账号默认密码为手机号后3位+手机号后3位

记一次漏洞组合拳拿下内网

但是尝试了默认口令以及弱口令Top10000,均未爆开,至此在Web侧已经没什么可以利用的地方了,但是忽然回想起在登陆界面有个二维码,是手机APP的下载地址,于是把APP安装来分析。
首先输入之前爆破来的账号,尝试登陆

记一次漏洞组合拳拿下内网

登陆进去以后发现功能只有1个

记一次漏洞组合拳拿下内网

Burp康康刚才登录的数据包

记一次漏洞组合拳拿下内网

发现返回包可以看到返回了用户ID,手机号

记一次漏洞组合拳拿下内网

尝试将ID和手机号修改为管理员的,即可成功越权访问到管理员面板

记一次漏洞组合拳拿下内网

在某处功能找到了任意文件上传,验证方式仅仅为前端验证,抓包修改后缀为.jsp即可绕过,但是他上传并不返回文件路径,且通过fuzz测试判断,文件的存储路径和Web路径并不在一起

记一次漏洞组合拳拿下内网


于是继续在APP找,终于又找到了一处任意文件读取,尝试构造../的形式去读取Tomcat的日志,找到了网站的绝对路径

记一次漏洞组合拳拿下内网

构造路径,拿下WebShell

记一次漏洞组合拳拿下内网


上线到CobaltStrike,抓取到管理员密码及RDP服务端口,成功拿下此系统

记一次漏洞组合拳拿下内网


记一次漏洞组合拳拿下内网



发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: