实战 | 幸运值MAX,利用多重漏洞联合拿下后台权限
前言
记录一次简单的企业漏洞挖掘经历,这次漏洞挖掘主要是利用了接口未授权漏洞和弱口令漏洞,像是闯关打怪一样,通过前个漏洞提供的信息来利用后一个漏洞,多个漏洞层层配合,最终拿下后台权限。其实漏洞复现的难度都不高,但是拿下后台权限的这个经历还是很有意义,至于为什么称作幸运值爆满的渗透经历,往下看就知道了
复现过程
对目标集团进行测试,先对集团控股子公司一通信息收集,找到了一个比较偏门的小程序,直接上bp抓包就拿下了访问地址https://xxxxx.xxxxxx.com/jeecg-boot/
简单发了几个poc发现没被拦,说明没有waf或者waf未正确配置,直接上目录扫描,发现了我们的老朋友SpringBoot
接口泄露
访问 /actuator/httptrace
路径,查找有没有登录的 token 信息,果然找到一个
拿去进行解密,发现登录用户是 admin
,豁!这一下就抽中了大奖,使用这个 token 应该可以获取很高的权限
访问 /jeecg-boot/
可以访问应用系统的接口文档,配置的功能接口都存在鉴权,需要输入 token 值才能正常使用。这不很巧嘛,正好在上一步我们拿到了 admin 的 token 值,直接在这里用上,最好的结果就是通过某处接口直接上传文件拿shell,次要的便是获取登录信息进入后台
测试发现利用这个 token 确实可以与所有功能接口交互,对所有接口进行测试未发现什么敏感数据,而且也不存在提权接口,奇怪的是系统模块的接口很少,甚至没有获取用户信息的接口,这个接口基本是网站登录功能必备,所以推断文章中的接口应该不全
对着网站继续一顿测,希望能拿到可以提权的漏洞。想到之前进行目录扫描时指定了只显示状态码为200的结果,访问401、403未授权的目录也许会有意外收获,于是又扫了一遍目录,发现网站还存在 Druid Monitor,而且很幸运的是直接通过弱口令就进来了
通过查看URI监控发现了用户列表接口 /jeecg-boot/sys/user/list
使用之前获得的管理员 token 值通过bp访问接口,获取到了系统用户数据,可惜用户信息中没有保存密码
把用户名都保存下来,拿去进行登录爆破,再次很幸运的成功爆破出弱口令账号
最终通过弱口令登录后台,由于后台没什么敏感的数据,而且数据量不大,再进一步提权后再上报漏洞也不会提高评级,因此到这一步就打住了,没有继续往下测
总结
总的来说,这次漏洞测试真的很幸运,每个漏洞都可以顺利利用,而且存在多出弱口令,漏洞之间还能互相配合,测试过程十分的丝滑。
并且之前是由于测部分网站会报大量403错误,而且403状态码的访问目录也没有绕过鉴权访问过,因此便在目录扫描时只指定了200和301、302状态码,减少其他干扰。但是这次测试让我知道了401和403状态码还是很有必要加上,也许就能和这次一样起到关键作用