一次完整的渗透测试&仅供学习研究 _渗透测试

文章插图

声明：本文仅限学习研究讨论，切忌做非法乱纪之事

Web打点渗透测试中，Web端最常见的问题大多出现在弱口令、文件上传、未授权、任意文件读取、反序列化、模版漏洞等方面。因此，我们着重围绕这些方面进行渗透。
1.弱口令
先介绍一些好用的字典：
https://github.com/fuzz-security/Superwordlist https://github.com/gh0stkey/Web-Fuzzing-Box首先将收集到的所有登录页面（url.txt）使用脚本进行爆破，我这里使用的是WebCrack脚本，在web_crack_log.txt可以直接看到有验证码的地址是哪些，然后我们在选择其他工具进行爆破。

私信回复“资料”获取渗透学习思路大纲与学习资料【点击查看】

本次运气还不错，找到了四个弱点：

文章插图

2.文件上传
常见的文件上传漏洞类型：

文章插图

通过刚才爆破出来的其中一个弱口令登录到后台，发现了上传地址并且成功上传：

文章插图

文章插图

但是这个只是一台独立的服务器，并没有进入到内网，接着往下看。
3.任意文件读取
通过jsfinder爬取了大量的路径，然后通过字典爆破到了一个任意文件读取。
但是由于是低权限，所以没有继续测试。

文章插图

文章插图

4.springboot未授权漏洞
找到个springboot未授权漏洞。按照正常思路，访问 Web 应用的 /actuator/env 或 /env，如果有返回 json 格式的数据，则可能存在漏洞。但是在此环境下，这个路径可能被删除了：

文章插图

于是我们尝试读取配置文件，看看能不能找到有用的东西。
访问/autoconfig后，发现了某云的Accesskey：

文章插图

文章插图

使用工具成功登录：

文章插图

但是登录后发现是个空的服务器，所以还得继续找口子。
顺便总结下Spring Boot Actuator常用的路径：
/dump - 显示线程转储（包括堆栈跟踪）
/autoconfig - 显示自动配置报告
/configprops - 显示配置属性
/trace - 显示最后几条HTTP消息（可能包含会话标识符）
/logfile - 输出日志文件的内容
/shutdown - 关闭应用程序
/info - 显示应用信息
/metrics - 显示当前应用的”指标“信息
/health - 显示应用程序的健康指标
/beans - 显示Spring Beans的完整列表
/mAppings - 显示所有MVC控制器映射
/env - 提供对配置环境的访问
/restart - 重新启动应用程序
5.JAVA-RMI反序列化
利用这个漏洞前，我先简单介绍下Java-RMI 。
Java RMI服务是远程方法调用（Remote Method Invocation），它是一种机制，能够让在某个Java虚拟机上的对象调用另一个Java虚拟机的对象的方法。
在Java Web中，很多地方都会用到RMI来相互调用。比如很多大型组织都会在后台部署一些Java应用，用于对外网站发布更新的静态页面，而这种发布命令的下达使用的就是这种RMI形式。
值得注意的是，RMI传输过程必然会使用序列化和反序列化，如果RMI服务端端口对外开发，并且服务端使用了像Apache Commons Collections这种库，那么会导致远程命令执行。
我们找到的这个服务恰好端口对外开放，并且使用了Apache Commons Collections的有漏洞的版本，所以成功执行命令：