记一次非法网站的渗透

      大家好啊，好久不见了，鸽了半年多的文章没有更新，师傅们已经开始在群里每天骂我一次了，那么今天就分享一个最近因为一些事情引发的一次渗透测试吧。

     故事背景，某人给我一个app 名字为c.apk 说这个app有问题 说被人敲诈勒索了。具体内容我们就不讲了，毕竟这东西没啥好讲的，懂得都懂。

   过程

       通过app 抓包 发现这个app会向后端发送一些数据到某ip上面 根据这个ip 我直接访问,得到以下页面。

一看这个我就来劲了，应该有戏啊，这个笑脸多么熟悉且可爱啊。于是乎掏出检测工具检测

       这么感人吗？一大堆漏洞，这不得一把梭搞定了啊，事实上其实我还是过于乐观了，因为也听很多人说过 这个tp5很多都可能是误报。不过还是抱着试一试的心态尝试了所有的rce ，

命令执行 无任何反应，文件上传 提示上传失败

      刚开始我还以为是工具问题，又去网上找了些poc去验证 发现无一例外都不行。

     只能走下一步了。虽然他只显示了一个这样的页面，但是我们还是可以扫一波目录，探测下。这是必备过程了，当然像我的话一般会输入一个特定路径，比如admin 看是否能够跳转到后台登录页面。

     嘿嘿运气似乎好起来了。尝试几个常用弱口令，未果

有验证码，又不得不掏出一个群里一个大佬给我的老工具了，真心强大 识别验证码几率大概是百分之八十了。

9万多个字典 （某靓仔提供给我的）

跑到大概40条左右的时候出现了响应长度变化。似乎一切都顺利了呀。

看下response 发现登录成功

成功进入后台 发现里面东西有点强大哦

内容也是让人看了极其可恨的。

      虽然拿到这些已经很可以了。后续发现还有更有意思的事情就是，诶这就很有意思了。可以直接修改上传类型。这就有点邪恶了哟。

      放一张图吧大家也知道啥意思了

色字头上一把刀，希望大家引以为戒。    

      再来句 要加群的公众号直接回复加群，大家一起进来吹牛聊天交朋友。被群里师父骂的不敢摸鱼了，人懒事多 希望大家别介意。（后续保留相关证据移交给相关部门。）

特别声明：

       由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，我不为此承担任何责任。

        作者有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者的允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。切勿用于非法，仅供学习参考

我不会渗透，我们下次再见！ 

原文始发于微信公众号（深夜笔记本）：记一次非法网站的渗透