”传统艺能“与实战的结合 系列文章（二）某次大型活动中的常规思路 - XiaoJiang

序：
通过我的上一篇文章《“传统艺能”与实战的结合 系列文章（一）放大镜下的站点》想必大家已经看出来了，本系列文章主要是以一些基础攻击手法导致沦陷的站点的合集，最近恰巧某活动结束不久，自己被安排到某银行休息休息，做做安服支撑划划水，有了闲心写文章，作为本系列文章的第二篇，打算来点攻防演练中的基础思路辅以真实案例进行叙述，刚入行的朋友多少会对RedTeam心怀憧憬，实际上做多了就会发现，在“打点”阶段就是广泛的搜索目标，范围越广，常识上来说找到脆弱点的可能性就越大，而往往百密一疏的不是所谓的“高级”绕过技术，而是很基础的攻击手法导致的沦陷，这就需要细心和基础功非常牢靠，大牛的文章看多了，多少有些心虚，我个人到是不然，凡事讲究循序渐进，看着前面也要盯着脚下。

目标是某交通投资集团，先常规手法找找资产，百度下这个公司顺便看看企查查能不能看到相关信息。
注：百度这个家公司主要是看看能不能直接找到官网，企查查则是为了看这家公司的知识产权信息，大多数情况下，知识产权信息包含了域名。
很遗憾，从结果上来看，似乎很难搞？单个域名，剩下的手段，子域名爆破？目录爆破找后台？Sql注入？你开始乱了吧？


那就一个个来吧，搜集下子域名。
子域名爆破：

谷歌语法：

Censys：

Crt：

实际上现在不少公司不走子域名这一套了，在某次行动期间，依靠FOFA的body搜索，偶然发现一个超级长的域名是目标单位的，单单依靠子域名爆破往往漏网之鱼比较多，还是搜集的全面些比较好，但Body搜索往往伴随着精度不高，搜出来不相关的站点比较多的问题，但像本次案例所举例的公司，其实就几个域名，我所写出的操作，不过是抛砖引玉，实战中要活学活用，到这里我们的入手点除了这俩个域名，也就没其他的了？其实不然，集团不能就一家公司吧？交通类的集团会有多个领域的部署，所以暂且不谈所得到的俩个站点存在漏洞的可能性，我们访问网站继续进行信息搜集，看一看他的上级单位或子公司有哪些。
注：在某大型活动中部分情况下是可以通过下级单位打到上级单位拿分的，它们的内网有可能是互通的。

理一下得到的资产：
集团：XX交通投资集团有限公司（1个域名）
子公司：XX交通投资集团实业发展有限公司（2个域名）
到这里手里有了3个域名可以试试，某局就算了，不去吃硬骨头，先集团主站目录爆破一波，站点稍微测了下，结果很真实，似乎什么都没有。
注：这里指的是这个站点除了看文章就没有其他功能了，可交互的地方太少，测了测可能的漏洞没有发现。

再看一下子公司主站和子公司admin子域名：admin.xxxxx.com，admin站点就一个登陆界面，用来管理主站的文章，且不可爆破，主站与集团主站一致只能看文章。
注：这里指的是验证码不可复用，从图中你可以看到，提示了验证码错误。

目录爆破没有什么特殊的，也不存在未授权访问。

是不是很崩溃，这就是RedTeam常态，不过等下，你有没有想过这种长得这么丑（很老）的站点，得用御剑来扫目录，也比较符合我国程序员的对文件、目录、参数的命名习惯，现在用的多少工具带的字典都是没有带参数的。


带参数和不带参数访问完全两个效果，这个登陆界面没有验证码，利于爆破，但问题又来了它长的这么丑，年代也这么远，不试一下万能密码？

起飞。

一番搜索后发现一处可以上传文件，从请求可以看出来用的ewebeditor编辑器，且有上传限制，但好在有回显。


这里灵机一动，给每个PHP后面都加上了一个空格，成功上传。

BY:先知论坛