声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。
众亦信安，中意你啊！
背景：
白天做在现场坐牢，时不时和本地最强Apt大学生下楼抽根烟嚼个廊子，结果到了下班一个口子也没有内心是那个慌阿，晚上我该怎样去单线面对我得小领导。
回家开启了我得台式机，随便挑了一个公司看看，一顿狂点，看到了一个框架vue类型，fastjson插件没动静，此时心都凉了半截，随手再登录框输入了一个admin：12346看看，好了没有，然后把抓下来得接口看看有没有swagger和actuator突然发现了有actuator接口，然后去看看env里面是不是有好东西，还真发现了有好东西
把heapdump下载下来然后再把密码拖出来
访问env里面泄露的域名，账号密码输入一下，啪~还真能登录进去(10亿奖金在向我招手)
看了一下系统得框架struts得，用工具梭了一下无果，然后再后台框框点找找上传接口，还真再发送消息处看到了一个上传点
把包抓下来，上传jsp后缀没有校验上传后缀，但是校验了上传内容，将马儿进行Unicode编码一下然后再上传，欧克上传成功
访问一下上传路径返回为空，然后连上shell执行一个whoami就扔给我小领导邀功去，鼠标猴又平安无事得度过了一天，又能安安稳稳的睡个好觉了
点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。
原文始发于微信公众号（众亦信安）：记一次鼠标猴事件之--我真是一只会点鼠标得猴子
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论