尧图网络 高端网站定制 · 原创设计
免费咨询热线
400-888-6620
免费获取方案
记一次任意登陆+拓展思路存储桶列桶+垂直越权漏洞+SSRF挖洞实战
免责声明本公众号“猎洞时刻”旨在分享网络安全领域的相关知识仅限于学习和研究之用。本公众号并不鼓励或支持任何非法活动。本公众号中提供的所有内容都是基于作者的经验和知识并仅代表作者个人的观点和意见。这些观点和意见仅供参考不构成任何形式的承诺或保证。本公众号不对任何人因使用或依赖本公众号提供的信息、工具或技术所造成的任何损失或伤害负责。本公众号提供的技术和工具仅限于学习和研究之用不得用于非法活动。任何非法活动均与本公众号的立场和政策相违背并将依法承担法律责任。本公众号不对使用本公众号提供的工具和技术所造成的任何直接或间接损失负责。使用者必须自行承担使用风险同时对自己的行为负全部责任。本公众号保留随时修改或补充免责声明的权利而不需事先通知。一、任意用户登陆某商城小程序存在任意用户登录漏洞攻击者可以接管任意用户查看订单并执行操作以及造成用户信息泄露。漏洞成因是小程序将用户验证的关键信息session_key返回给了前端攻击者可以利用session_key构造任意用户的加密数据包发送至服务器解析从而导致任意用户登录。——来到小程序点击快捷登陆的时候发送了一个发送包带有三个参数encrypteddata身份凭证、iv偏移量、sessionkey对称密钥。其实很明显能看出来这是一个aes对称加密这里泄漏了密钥那么这个加密流程我们可以随意篡改。出现sessionkey 以及密文和iv 编写脚本解密。而encrypteddata就是加密后的个人凭证。进行解密拿到信息发现鉴权点是手机号。拿到明文信息json内容把里面的手机号改成受害者的手机号然后再通过对称加密加密回去形成一个新的加密后的凭证信息。接管其他用户测试手机号177******执行加密生成新的encrypteddata身份凭证然后发包成功登陆伪造登陆了受害者的手机号账户。完成接管当然使用脚本进行加解密比较麻烦这里也提供一个图形化的界面实现sessionkey加解密。二、存储桶的拓展列桶攻击这里域名进行模糊化处理比如这个登陆界面是。https://admin.xxx.domain.com然后发现本站点存在下面类型的存储桶https://obs.xxx.domain.com可以看到全局存储区并不能无签名调用访问。使用常见桶命名进行子域枚举dev, develop, developmenttest, testing, qa, qasstaging, stage, preprod, pre-produatsandbox这里在原本的域名这里添加test发现了一个新的存储桶。并且存在列桶漏洞。也就是https://test.obs.xxx.domain.com直接列桶直接可访问https://test.obs.xxx.domain.com/ECS-nginx.vmdkhttps://test.obs.xxx.domain.com.com/server.key010工具打开得到私钥key可以访问并得到的对象包括虚拟磁盘文件、Nginx安装包、配套的– 公钥/私钥文件攻击者可以对通往该服务器的加密流量进行中间人攻击MITM解密用户的敏感数据冒充其服务器进行钓鱼。三、垂直越权某供应商合作征集平台存在管理员接口配置不当普通用户可利用该api接口实现账号停用/删除等高危操作。test_test1/admin123测试账号低权限admin_hs/admin888管理员登录后来到后台测试账号没有开放操作管理权限使用管理员账户登陆系统发现存在账户维护功能但是低权限账户并不会显示这个功能点。使用高权限账户进行burp抓包发现一个高权限接口【修改账户API】使用低权限账户权限访问这个高权限修改账户信息的API直接发包发现接口报错500.后面发现是缺少参数发现需要userid和status参数这个status参数好猜测值写1、2、3、0 这种关键词即可。但是userid是无顺的需要在历史数据包、个人信息返回包、评论区、排行榜去找到别人的userid才行。{userId:028F7306CxxxxxxFBA17D,status:0}重新构造数据包。POST /index.php/api/Account/changeAccountStatusHost: xxxxxContent-Type: application/json{userId:028F7306C2A1B3747838B36F0CFBA17D,status:0}这下状态码为200.再次发送请求成功在EDGE中刷新用户ID权限绕过成功。后续发现status:-1为删除用户ID的操作且无法找回该bannerstatus:1为启用户ID但是一旦执行-1后0/1不再有用。四、SSRF漏洞简单分析后端php中的file_get_contents()函数过滤规则过于简单只对dnslog关键词进行黑名单限制。漏洞危害可通过url参数进行dns外带以及内网主机存活和资产探测。这里尝试远程请求京东站点看看能否请求成功。利用如下测试GET /xxx/interface/bridge.php?urlhttps://jd.com HTTP/1.1Host: www.xxxx.comUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:142.0) Gecko/20100101 Firefox/142.0Accept: application/json, text/plain, */*Accept-Language: zh-CN,zh;q0.8,zh-TW;q0.7,zh-HK;q0.5,en-US;q0.3,en;q0.2Accept-Encoding: gzip, deflateConnection: closePriority: u0返回包成功返回京东的页面信息说明请求成功。通过请求包向内网IP发起请求10.182.0.100确定了内网网段下一步搜集内网主机由于file、dict、gopher协议无法利用使用http/s构造如下GET /xxx/interface/memcache.php?urlhttp%3A%2F%2F10.182.0.§100§%2F HTTP/1.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:142.0) Gecko/20100101 Firefox/142.0Accept: application/json, text/plain, */*Accept-Language: zh-CN,zh;q0.8,zh-TW;q0.7,zh-HK;q0.5,en-US;q0.3,en;q0.2Accept-Encoding: gzip, deflateConnection: closePriority: u0创建字典遍历结果搜集到的内网存活主机urlhttp%3A%2F%2F10.182.0.163%2Fhttp%3A%2F%2F10.182.0.200%2Fhttp%3A%2F%2F10.182.0.159%2Fhttp%3A%2F%2F10.182.0.149%2Fhttp%3A%2F%2F10.182.0.150%2Fhttp%3A%2F%2F10.182.0.151%2Fhttp%3A%2F%2F10.182.0.152%2Fhttp%3A%2F%2F10.182.0.153%2Fhttp%3A%2F%2F10.182.0.154%2Fhttp%3A%2F%2F10.182.0.156%2Fhttp%3A%2F%2F10.182.0.157%2F识别出jeecmshttp%3A%2F%2F10.182.0.208%2Fhttp%3A%2F%2F10.182.0.210%2Fhttp%3A%2F%2F10.182.0.171%2Fhttp%3A%2F%2F10.182.0.11%2Fhttp%3A%2F%2F10.182.0.12%2Fhttp%3A%2F%2F10.182.0.13%2Fhttp%3A%2F%2F10.182.0.20%2F使用ssrf然后http协议查看内网站点发现请求成功该ssrf可以回显访问内网任意站点信息。
RELATED

相关推荐

Claude Code运行逻辑拆解:从API调用到批量代码分析实战

Claude Code运行逻辑拆解:从API调用到批量代码分析实战

这次我们来看一个关于Claude Code运行逻辑的技术拆解。Claude Code作为Anthropic推出的代码生成与理解模型,其核心价值在于能够深入解析代码库、理解复杂逻辑并生成高质量的代码。对于开发者而言,理解其内部运行机制,不仅能更好地利用其能力&…

📅 2026/10/6 17:03:12
构建AI编程智能体:以DeepSeek Hermes为大脑的多工具协同工作流

构建AI编程智能体:以DeepSeek Hermes为大脑的多工具协同工作流

如果你最近在关注 AI 编程工具,可能会发现一个有趣的现象:一边是 Claude Code、Cursor 这类“智能编辑器”在努力理解你的意图并生成代码,另一边是 DeepSeek Coder、Codex 这类“代码生成模型”在提供强大的补全能力。但你是否想过&#xff0…

📅 2026/10/31 18:36:21
本地大模型部署实战:基于Ollama与提示词工程实现Markdown到LaTeX的自动化转换

本地大模型部署实战:基于Ollama与提示词工程实现Markdown到LaTeX的自动化转换

1. 先搞清楚“本地大模型转LaTeX”到底能解决什么实际问题如果你经常需要写论文、报告或者技术文档,大概率遇到过这个场景:用 Markdown 写草稿很快,但最终提交或出版时,格式要求是 LaTeX。手动把 Markdown 转成 LaTeX 是个苦差事&…

📅 2026/9/24 5:32:27
MORE NEWS

更多资讯

📰

启动报Port 8088 was already in use?先查是谁占的

启动报Port 8088 was already in use?先查是谁占的 项目启动报 Port 8088 was already in use,意思很直白:这个端口已经有人占了。 先说原理:端口是"门牌号",一间房只住一个进程 端口就是一台机器上的门牌号…

📰

担心文档上云?本地运行的办公AI才敢放心用

单位上周开了个会,主题是"AI 提效",散会时领导补了一句:涉及客户资料的文档,不许往云端传。这话一出,会议室里本来跃跃欲试的同事全蔫了——大家平时用的那些在线 AI,文档一上传就不知道存哪儿去…

📰

先能用,再好用:从烂尾复盘到两周上线,全栈项目的‘原型—快速迭代‘方法论

先能用,再好用:从烂尾复盘到两周上线,全栈项目的“原型—快速迭代”方法论 全栈学习路径的文章已经很多了:怎么选技术栈、怎么搭环境、怎么记文档,几乎每个方向都有人写。但一个更扎心的问题很少有人正面讨论——为什…

📰

深度思考模式把 ARC-AGI-2 从 17.6% 拉到 45.1%:对照 Gemini 3 Pro 的三份能力评测,看‘会思考‘改写了哪些边界

深度思考模式把 ARC-AGI-2 从 17.6% 拉到 45.1%:对照 Gemini 3 Pro 的三份能力评测,看“会思考”改写了哪些边界 一、先说结论:变强的不是“知识”,而是“解法” 每次新模型发布,评测榜单都会涨几个点,大…

📰

1.c++入门篇

1.c中的关键字asmdoifreturntrycontinueautodoubleinlineshorttypedefforbooldynamic_castintsignedtypeidpublicbreakelselongsizeoftypenamethrowcaseenummutablestaticunionwchar_tcatchexplicitnamespacestatic_castunsigneddefaultcharexportnewstructusingfriendclassext…

📰

《江灯合声》:有可行的分框版,也仍可以选择连续鸣谢

武汉江岸区栎坡合唱团在免费节目册《江灯合声》中,以表格集中鸣谢资助者。各家共同要求改为独立小框,团里仍想保留表格。现有全名与支持事项清楚可见,双方此前未承诺具体排版。我支持保留表格。补充的试排材料让选择更具体:分框能…

TODAY

今日更新

THIS WEEK

本周精选

THIS MONTH

本月热门

读完文章,想聊聊您的网站?

告诉我们您的行业与需求,资深顾问一对一梳理方案与报价,全程免费。

📞 💬