2024年11月19日13:44:18评论49 views字数 3184阅读10分36秒阅读模式

前言

通过这一次hw为了发现自己的不足写下这篇文章，坑点就在于没有搞历史漏洞，我以为经过这么多次了还有那么多历史漏洞所以这次总结反省自己的不足，这次打攻防不搞历史漏洞感觉更像是在挖src 众测一样所以深刻的意识到自己是红队不是挖src了虽然挖到不少高危但还是没有口子很遗憾但是对于小白参加攻防来说用挖src的思维来打这些地级市还是不错的对于我自己的要求的那样就是耻辱

我把两天时间分成几个过程来讲 0、规则研究 1、信息收集 2、漏洞挖掘 3、刷分技巧

0、规则研究

本次行动总共两天时间因为我们提前一天去了所以提前通过客户那里了解到了核心资产也就是一定会在目标内的资产

前一天晚上打核心资产发现门户统一认证系统这个好好看了一波

地级市攻防总结看见这个我还是太年轻了稳了打点又能怎么样又不能内网渗透结果可以！

高危 50 分，中危 20 分，低危漏洞 5 分资产表外的打六折

1、信息收集

提前一天信息收集最开始的时候只给了一个*.域名这个时候发现门户统一认证系统挖了两个高危出来

开始后也只给了这个

地级市攻防总结当时只有目标已经靶标，挖公司啥的还是有些心得的所以把公司都提取出来，单独打。同时也发现了昨天的核心资产果然也在其中

首先通过enscan把备案号以及域名都提取出来

地级市攻防总结再通过域名将fofa oneforall arl跑子域名

地级市攻防总结再跑的过程中通过公司名称放到hunter上一个一个看历史漏洞反而没关注这个是我的问题我以为历史漏洞早被刷完了再把跑出来的域名和子域名以及IP放到ehole里进行指纹识别

地级市攻防总结攻防也没法像渗透测试那样一点一点搜我就是搜个大概

还有学校这里从edu上搜索相关区域的学校信息

2、漏洞挖掘

统一认证系统

首先看到页面，当时反应是有注册！同时先把所有功能都过一遍

地级市攻防总结短信登录这里可以看有没有验证码爆破、验证码回显、验证码复用等等

地级市攻防总结忘记密码

地级市攻防总结手机和邮箱在进入后台可以绑定邮箱但是现在倒是无法用邮箱来搞事情

第一个高危：

门户统一认证系统存在验证码复用、突破注册限制、用户名爆破漏洞

地级市攻防总结这里本意是爆破用户名的发现在登陆处回显用户名或密码错误注册处回显用户名已使用

常见用户名和burp自带的username先跑一波

地级市攻防总结 605返回长度均为操作成功也就是注册成功！验证码复用突破注册限制

用户名爆破

地级市攻防总结 ==危害：== 用户名爆破

当攻击者持有多个用户名时会增加成功爆破登录的可能性，从而更进一步实现越权的危害。存在于系统登录页面，利用登陆时输入系统存在的用户名错误密码和不存在的用户名错误密码，返回不同的出错信息可枚举出系统中存在的账号信息。

验证码复用以及突破注册限制漏洞同时存在

同时他是统一认证系统所以都可以登录

第二个高危账号接管

注册存在任意账户接管（易加门户-注册）

漏洞描述: 注册时，使用和别人的身份证注册，其它的信息使用本人的，登录时，切换身份，达到账号接管的目的

漏洞危害: 对用户提交的注册信息进行校验，如身份证等，同时一个账号限制只能注册一次。添加多次校验

漏洞详情: 思路：系统会根据注册的证件号及姓名，在登录口时，供用户选择切换

登录时，使用账号密码登录，登录后，存在接口，选择切换身份，在切换时，任意切换，因此攻击者只需已知账号添加到受害者中，使用受害者的身份证注册，便可达到任意账户接管的目的

账号A：2024Net 账号B：Locks01

1、访问目的地址：

2、点击注册

地级市攻防总结 3、注册两个账号思路：系统会根据注册的证件号及姓名，在登录口时，供用户选择切换

4、切换身份，选择Locks01

5、成功接管B账号的权限：

POST /aep/eduplat-api-service/changeAccountLogin/changeAccount HTTP/1.1
Host: 
Content-Length: 26
Sec-Ch-Ua: "Google Chrome";v="125", "Chromium";v="125", "Not.A/Brand";v="24"
Accept: application/json, text/plain, */*
Accesstoken: 491bb45f-6e2f-4c57-85ce-24a34aa9a73d
Content-Type: application/x-www-form-urlencoded;charset=UTF-8
Sec-Ch-Ua-Mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/125.0.0.0 Safari/537.36
Sec-Ch-Ua-Platform: "Windows"
Origin: 
Sec-Fetch-Site: same-site
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: 
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
Priority: u=1, i
Connection: close

userId=1797485905145802754