声明：本文仅限学习研究讨论，切忌做非法乱纪之事

Web 打点

渗透测试中，Web 端最常见的问题大多出现在弱口令、文件上传、未授权、任意文件读取、反序列化、模版漏洞等方面。因此，我们着重围绕这些方面进行渗透。

1.弱口令

先介绍一些好用的字典：

https://github.com/fuzz-security/SuperWordlist https://github.com/gh0stkey/Web-Fuzzing-Box

首先将收集到的所有登录页面（url.txt）使用脚本进行爆破，我这里使用的是 WebCrack 脚本，在 web_crack_log.txt 可以直接看到有验证码的地址是哪些，然后我们在选择其他工具进行爆破。

私信回复“资料”获取渗透学习思路大纲与学习资料【点击查看】

本次运气还不错，找到了四个弱口令：

2.文件上传

常见的文件上传漏洞类型：

通过刚才爆破出来的其中一个弱口令登录到后台，发现了上传点并且成功上传：

但是这个只是一台独立的服务器，并没有进入到内网，接着往下看。

3.任意文件读取

通过 jsfinder 爬取了大量的路径，然后通过字典爆破到了一个任意文件读取。

但是由于是低权限，所以没有继续测试。

4.springboot 未授权漏洞

找到个 springboot 未授权漏洞。按照正常思路，访问 Web 应用的 /actuator/env 或 /env，如果有返回 json 格式的数据，则可能存在漏洞。但是此环境下，这个路径可能被删除了：

于是我们尝试读取配置文件，看看能不能找到有用的东西。

访问/autoconfig 后，发现了某云的 Accesskey：

使用工具成功登录：

但是登录后发现是个空的服务器，所以还得继续找口子。

顺便总结下 Spring Boot Actuator 常用的路径：

5.Java-RMI 反序列化      

利用这个漏洞前，我先简单介绍下 Java-RMI。

Java RMI 服务是远程方法调用（Remote Method Invocation），它是一种机制，能够让在某个 Java 虚拟机上的对象调用另一个 Java 虚拟机的对象的方法。

在 Java Web 中，很多地方都会用到 RMI 来相互调用。比如很多大型组织都会在后台部署一些 Java 应用，用于对外网站发布更新的静态页面，而这种发布命令的下达使用的就是这种 RMI 形式。

值得注意的是，RMI 传输过程必然会使用序列化和反序列化，如果 RMI 服务端端口对外开发，并且服务端使用了像 Apache Commons Collections 这种库，那么会导致远程命令执行。

我们找到的这个服务恰好端口对外开放，并且使用了 Apache Commons Collections 的有漏洞的版本，所以成功执行命令：

通过此漏洞，终于成功打进内网，通过发现 192.168.0.0/16 网段和 172.16.0.0/16 网段：

内网渗透

【点击查看学习资料】

通过 Java-RMI 反序列化终于打进了内网。接下来进行内网渗透测试，下图是此次内网渗透的流程图：

第一步，192.168.0.0/16 网段和 172.16.0.0/16 网段的未授权通过使用 frp 代理出来流量后，使用 fscan 进行信息收集：

发现多个未授权访问：

第二步，192.168.0.0/16 网段和 172.16.0.0/16 网段的弱口令：

第三步，Jboss 反序列化漏洞，发现了 Jboss 的网站：

成功上传 shell：

发现是低权限后上传 CS 码，提权成功，然后将流量代理出来：

发现了“10”段：

通过配置文件，发现了数据库的密码：

成功连接数据库：

第四步，CVE-2020-1472 拿域控。

通过 net time /d 找到域控：

测试发现有 zerologon 漏洞：

然后收集了“10”段的信息：

至此整个渗透过程结束。简单回顾一下：

总结

由于是渗透测试项目，本着能多测就多测的原则，对多个系统历年来出现的漏洞逐一进行了测试。

根据测试的结果来看，虽然很多企业已经对网络安全足够重视，但正如周总所言，世界上只有不努力的黑客，没有攻不破的系统。在安全这个行业，我们仍任重而道远。