背景
某日接到一个hw项目。在充分授权的情况下,针对客户的系统进行渗透测试,目标是某著名企业,资产较多。
突破
没有验证码,且可以使用手机号登录;通常来说这类系统肯定存在测试账号,使用Burp搭载手机号Top4000字典一同爆破,进入到了一个查询人员账号
在“基础信息管理”功能的地方,存在越权,可以查看到管理员手机号,以及账号默认密码为手机号后3位+手机号后3位
但是尝试了默认口令以及弱口令Top10000,均未爆开,至此在Web侧已经没什么可以利用的地方了,但是忽然回想起在登陆界面有个二维码,是手机APP的下载地址,于是把APP安装来分析。
首先输入之前爆破来的账号,尝试登陆
登陆进去以后发现功能只有1个
Burp康康刚才登录的数据包
发现返回包可以看到返回了用户ID,手机号
尝试将ID和手机号修改为管理员的,即可成功越权访问到管理员面板
在某处功能找到了任意文件上传,验证方式仅仅为前端验证,抓包修改后缀为.jsp即可绕过,但是他上传并不返回文件路径,且通过fuzz测试判断,文件的存储路径和Web路径并不在一起
于是继续在APP找,终于又找到了一处任意文件读取,尝试构造../的形式去读取Tomcat的日志,找到了网站的绝对路径
构造路径,拿下WebShell
上线到CobaltStrike,抓取到管理员密码及RDP服务端口,成功拿下此系统