渗透测试 | 实战swagger框架漏洞

扫码加圈子

获内部资料

网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。加内部圈子，文末有彩蛋（知识星球优惠卷）。

0x1 加密的Swagger

首先一般大家分享Swagger泄露接口敏感信息，一般都是在Swagger-UI这个插件里面分析

我这里以Google商店的插件为例，然后火狐和eg浏览器的话也差不多都是这个绿色的小图标

https://chromewebstore.google.com/detail/liacakmdhalagfjlfdofigfoiocghoej?hl=zh

然后可以看下我下面通过FOFA找到的一个Swagger接口泄露的一个站点，然后利用这个插件去打开

但是这个插件可以看到Authorize关键字，这个你可以点击下，这个标识就是表示这个泄露的 接口需要我们输入加密的信息，要是按照正常的直接访问这个泄露的api接口，然后看敏感信息就不可行了，下面我来带大家使用一个Swagger脚本工具来给师傅们演示下

首先我们先访问下这个泄露的swagger/v1/swagger.json文件目录

然后可以在json文件看到里面有非常多的api接口泄露，但是太多了很多都是没有权限访问的，要是挨个拼接不太现实，那么下面我就给师傅们介绍下面下面的这款swagger工具

0x2 swagger-hack工具

简介：自动化爬取并自动测试所有swagger接口

https://github.com/jayus0821/swagger-hack

直接使用这个工具进行扫描，扫描完成后目录下会有一个swagger.csv文档，我们可以在里面找信息泄露的接口

python3swagger-hack2.0.py-uip地址

然后可以在里面找泄露的接口信息

/actuator目录接口下面有非常多的接口信息泄露，什么env、log日志信息、heapdump信息

从上面分析的Swagger接口泄露来看，师傅们是不是可以看到在分析Swagger的时候常常碰到Spring-Boot的经典报错页面，然后再通过接口进行拼接，发现也存在很多的api接口敏感信息泄露。

所以下面我再给师傅们分享下下面常见的Spring-Boot泄露的接口以及利用接口找到敏感信息扩大rank值 的方法

/actuator查看有哪些 Actuator端点是开放的。/actuator/auditeventauditevents端点提供有关应用程序审计事件的信息。/actuator/beansbeans端点提供有关应用程序 bean 的信息。/actuator/conditionsconditions端点提供有关配置和自动配置类条件评估的信息。/actuator/configpropsconfigprops端点提供有关应用程序@ConfigurationPropertiesbean的信息。/actuator/env 查看全部环境属性，可以看到 SpringBoot 载入哪些 properties，以及 properties 的值（会自动用*替换 key、password、secret 等关键字的 properties 的值）。/actuator/flywayflyway端点提供有关 Flyway 执行的数据库迁移的信息。/actuator/health 端点提供有关应用程序运行状况的health详细信息。/actuator/heapdumpheapdump端点提供来自应用程序 JVM 的堆转储。(通过分析查看/env端点被*号替换到数据的具体值。)/actuator/httptracehttptrace端点提供有关 HTTP 请求-响应交换的信息。（包括用户HTTP请求的Cookie数据，会造成Cookie泄露等）。/actuator/infoinfo端点提供有关应用程序的一般信息。

/actuator接口下面经常会有信息泄露

/actuator/info泄露版本信息

/actuator/env目录账号密码泄露

访问/actuator/loggers获取服务器的日志级别

访问/heapdump或者/actuator/heapdump

Heap Dump也叫堆转储文件，是一个Java进程在某个时间点上的内存快照

其中可能会含有敏感数据，如数据库的密码明文等

直接访问路径会返回一个GZip压缩的JVM堆dump，其中是jvm heap信息。下载的heapdump文件大小通常在 50M—500M 之间，有时候也可能会大于 2G

下面的路径就是常见的Swagger 未授权访问泄露路径，师傅们可以通过bp抓包，然后再通过bp对该接口路径进行爆破，但是我一般是先使用曾哥的一款spring-boot扫描工具去做一个自动化扫描，但是有部分网站可能对那个工具会拒绝请求，所以还是可以尝试使用bp爆破

/api/api-docs/api-docs/swagger.json/api.html/api/api-docs/api/apidocs/api/doc/api/swagger/api/swagger-ui/api/swagger-ui.html/api/swagger-ui.html//api/swagger-ui.json/api/swagger.json/api/swagger//api/swagger/ui/api/swagger/ui//api/swaggerui/api/swaggerui//api/v1//api/v1/api-docs/api/v1/apidocs/api/v1/swagger/api/v1/swagger-ui/api/v1/swagger-ui.html/api/v1/swagger-ui.json/api/v1/swagger.json/api/v1/swagger//api/v2/api/v2/api-docs/api/v2/apidocs/api/v2/swagger/api/v2/swagger-ui/api/v2/swagger-ui.html/api/v2/swagger-ui.json/api/v2/swagger.json/api/v2/swagger//api/v3/apidocs/apidocs/swagger.json/doc.html/docs//druid/index.html/graphql/libs/swaggerui/libs/swaggerui//spring-security-oauth-resource/swagger-ui.html/spring-security-rest/api/swagger-ui.html/sw/swagger-ui.html/swagger/swagger-resources/swagger-resources/configuration/security/swagger-resources/configuration/security//swagger-resources/configuration/ui/swagger-resources/configuration/ui//swagger-ui/swagger-ui.html/swagger-ui.html#/api-memory-controller/swagger-ui.html//swagger-ui.json/swagger-ui/swagger.json/swagger.json/swagger.yml/swagger//swagger/index.html/swagger/static/index.html/swagger/swagger-ui.html/swagger/ui//Swagger/ui/index/swagger/ui/index/swagger/v1/swagger.json/swagger/v2/swagger.json/template/swagger-ui.html/user/swagger-ui.html/user/swagger-ui.html//v1.x/swagger-ui.html/v1/api-docs/v1/swagger.json/v2/api-docs/v3/api-docs