一些实战渗透案例

声明：本文仅用于网络安全相关知识分享，已获取目标网站渗透测试授权并且漏洞已修复，请严格遵守网络安全相关法律法规。

未经授权利用本文相关技术从事违法活动的，一切后果由违法人自行承担！Jie安全公众号及作者不承担任何法律责任。

锐捷RCE

读账号密码

登陆后RCE

综合安防任意文件上传

密码处反射XSS

密码处插入XSS

改响应包成管理员

普通用户登录成功返回一堆东西

只将userId改为1

变管理员

爆破出BUG

X页面登录需要XX码，用burp默认速度爆破8000次，字典可以是1-8000

很多明明XX码不正确却能查到不同用户账号密码以及信息

Authorization未授权访问

Authorization为空返回401

Authorization填写1，直接未授权访问

前台任意文件下载

某系统需要登陆，于前端js中找到可疑接口api/file?path=

直接../../../../../../../../../../../etc/passwd

fuzz.aspx未授权访问

某后台登录路径为：/admin/login.aspx

字典里并没有compare.aspx，但是有compare，fuzzlogin位置，fuzz出未授权路径admin/compare.aspx

并于查询处发现SQL注入

登录处注入

某站登陆处存在延时注入

不过数据包里面是加密的，看不懂且没时间解密咋办

看看同一个接口其他参数有无注入或者测试其他接口，此处发现忘记密码处的email参数也存在注入，且没加密。

注册处SQL注入

发现注册处企业名称、组织机构代码都存在注入

通过一系列分析与构造，在确认注入不会影响到数据库的情况下

使用sqlmap一把梭，没把握就老老实实手注，不然容易包吃住

找回密码处注入

此处只是填写资料、手机号发送验证码的地方，但是也存在好几处注入

没想到的是验证码也存在注入，在确定漏洞接口只是校验信息，不会修改数据库任何数据的情况下，直接用sqlmap一把梭。如果到了修改密码那一步就老老实实手注吧，不然容易出事，一抓一个准。

任意用户登录

某套系统登陆后抓到该接口，完全就是根据name参数决定什么用户身份，并返回登录凭证，改成了aaa

置空会返回一个权限较高的用户凭证

改成admin变管理员

越权绕过

某系统对越权做了防御，改id不行了，会提示非法操作，尤其是只解析json格式数据的接口

找到个可以解析id=xxx参数的接口，但还是有防护，把数据包改成文件上传格式绕过，此方法通杀该系统很多接口。

APP反编译+旁站注入拿下目标站敏感数据

扫描登录页面二维码，下载APP，反编译构造出接口，找到硬编码身份密钥实现未授权访问。渗透APP时发现属于旁站，获得测试授权后发现SQL注入，并将注出的重要数据填入未授权访问接口中，造成大量用户敏感信息泄露。

渗透流程大体是这样：

具体反编译过程没记录下来，这是发现旁站9093某个wsdl接口存在注入，

strKey就是身份密钥，于APP中发现，有了这个就可以未授权调用任何接口。

注出重要数据

strKey对应身份密钥，strLcode对应重要数据，是从9003端口注入里查出来的，填入的strLcode必须要在数据库里，不然查不出数据，大写M开头加上9个数字。

置空艺术之越权

注册后，某接口id原来是一大串无规则字符串，置空，能查到什么，懂得都懂

置空艺术之导出

和越权类似，也是普通用户登录后，有个导出功能不过有导出限制，把其他参数都删了，就留个startTime和endTime，能导出全站人数据整整20M，还发现存在未授权访问。

什么危害懂得都懂

置空艺术之无中生有1

某处功能为根据一串加密编码查询敏感信息

不过需要姓名和身份证才能查出加密编码

直接抓包把姓名(empname)、身份证(identityno)整个字段去了

懂得都懂

置空艺术之无中生有2

和上面一样，查东西需要姓名、身份证

抓包，该删删

找到个姓名、证书编号就能查信息的地方，不过身份证脱敏了

抓包，type原来是1，改为2可以绕过脱敏

懂得都懂

原文始发于微信公众号（Jie安全）：一些实战渗透案例