记一次验证码泄露致getshell

本文首发于https://www.blilbill.com/video/BV1Pm4y1s8dZ/

1 前言

2 入口

表哥接到了一个项目，大部分站点都放在了统一认证之后。由于没有账号，只能分工合作。表哥去收集个人信息，我则先寻找漏网之鱼。经过扫描，发现一个比较大的端口且不是常见，于是访问测试。访问该站点出现空白页面:

https://github.com/SickleSec/SnowEyes

jsonText=[{"phonemunber":"13411111111","ischeck":"1"}]

{"success":true,"obj":"73527","rows":null,"failure":-1}

3 获取权限

成功进入系统后台后，在个人中心存在文件上传功能（虚构图）。

后缀名上传没有限制，上传抓包即可获取返回路径。但是访问aspx后缀的文件会重定向到统一认证界面，并返回url不正确的报错提示，可能系统设置了检测该后缀。上传asmx，asp可以成功访问，但木马内容会被清除。菜鸟退场，表哥一顿小操作上传asp免杀马，获取低权限上线。

然后免杀绕过某杀软+土豆家族提权，获取高权限成功拿下站点。

4 总结

由于站点为云平台，没有再做后续操作。看过挺多文章，但还是第一次实战遇到验证码在返回包中显示的，直接可以接管存在的账号了。但是一方面信息还是要收集好，不然手机号位数很多很难爆破。

原文始发于微信公众号（shadowsec）：记一次验证码泄露致getshell