对企业内部EHR系统的渗透测试

admin

137943
文章

113
评论

2022年12月19日12:53:28评论48 views字数 3534阅读11分46秒阅读模式

声明：该公众号分享的安全工具和项目均来源于网络，仅供安全研究与学习之用，如用于其他用途，由使用者承担全部法律及连带责任，与工具作者和本公众号无关。

文章来源：先知社区（Icepaper）

原文地址：https://xz.aliyun.com/t/11943

0x01 渗透前言

对EHR系统访问时，首先是需要一个登录的，作为企业员工，大部分系统接入了SSO，该EHR系统为了保证安全性也不例外。因此对该系统的渗透测试基础的前提是————在该系统拥有一个可登录的凭据，但是该凭据并未拥有任何权限。

如下所示，正常的企业员工登录该系统时都是没有访问权限的。

对企业内部EHR系统的渗透测试

那么对该类系统对其渗透的第一步必定是打开F12观察JS，发现JS目录下仅有6个JS文件

对企业内部EHR系统的渗透测试

而右击源代码查看的JS里却有几十个chun-xxxxxx.js

对企业内部EHR系统的渗透测试

随便打开了一个chunk-xxxxxx.js，利用插件发现存在一些路径但是在F12里搜不到，也就意味着这么多个chunk我要一个个打开看，才能够测试得比较仔细，如下所示：

对企业内部EHR系统的渗透测试

0x02 packerFuzzer

接口太多了用了，先使用一下packerFuzzer来看看是否有未授权访问

对企业内部EHR系统的渗透测试

很轻松的收获了两枚任意文件上传漏洞，不过其中一个是放到minio下的，直接下载，而且是springboot的任意文件上传，利用相对局限。

对企业内部EHR系统的渗透测试

0x03 JS获取

开始对JS进行发现，这么多chunk-xxx.js，直接在首页使用插件来提取了一批路径，但是众所周知，该插件提取的路径其实并是完整的。

对企业内部EHR系统的渗透测试

一个简单的例子如下，这个路径就没被正则匹配到，想要提取完整的还得进入一个个js里查看。

对企业内部EHR系统的渗透测试

用packerFuzzer里存储的db直接拿到所有的JS的路径，当然packerfuzzer也会自动下载文本。

对企业内部EHR系统的渗透测试

只能一个个对chunk-xxx.js文件进行发现，但是js文件又太多了，足足有90多个，因此写了一个简单的python脚本批量提取了一下路径

import jsonimport reimport requestsimport sysimport os
headers = {    "User-Agent": "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.132 Safari/537.36Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/77.0.3865.90 Safari/537.36"}
fileurl=sys.argv[1]
filemkdir=fileurl.split('_')[0]if not os.path.exists(filemkdir):    os.makedirs(filemkdir)

# 下载chunk.js# with open (str(fileurl)) as furl:#   url=furl.readlines()#   print(str(url)+"---is---downloading")#   for url in url:#       url=url.strip('n')#       file=url.split('/')[-1]
#       resp = requests.get(url)#       html = resp.text
#       with open ("./"+filemkdir+"/"+file,"a",encoding="utf-8") as f1:#           f1.write(html)


#get path  + 路径名称paths=[]for dirpath, dirnames, filenames in os.walk('./'+filemkdir):    for file in filenames:        with open("./"+filemkdir+"/"+file,"r",encoding='gb18030', errors='ignore') as f2:            try:                line=f2.readlines()                for line in line:                    line=line.strip('n').strip('t')                    #print(line)                    p =  re.findall('''(['"]/[^][^>< )({}]*?['"])''',line)                    #print(p)                    if p != None:                        #print(p)                        for path in p:                            path=path.replace(':"',"").replace('"',"")                            paths.append(file+"---"+path)            except Exception as e:                print(e)

for var in sorted(set(paths)):    with open (fileurl+'_path.txt',"a+",encoding='gb18030', errors='ignore') as paths:        paths.write(var+'n')