实战 | 某大学渗透实录

掌控安全 09-07 1945

前言：

而今姐妹们对“waf预防nginxrange”大约比较重视，各位老铁们都需要分析一些“waf预防nginxrange”的相关文章。那么小编也在网上搜集了一些有关“waf预防nginxrange””的相关内容，希望同学们能喜欢，大家一起来学习一下吧！

欢迎搜索公众号：白帽子左一

每天分享更多黑客技能，工具及体系化视频教程

转载自：

0x01 信息搜集

信）首先给定的目标为 xxx 大学官网:，但是不要真的就只是对主站进行测试了，一般像这种主站都是比较安全的，大概率采用一些站群系统，像学校很多使用博达的统一管理，自带 waf

0x01x0 子域名采集

可以通过 subdomain3,fuzzdomain，subDomainsBrute,seay 子域名爆破

但是上述的我在此次渗透中并未使用，爆破时间太长了.

我用的 fofa，shadon 这些个网络空间搜索引擎

比如下图：

0x01x01 端口信息

通过上面 fofa 的结果，得知 ip 地址，使用端口扫描工具扫描。未发现可利用端口

然而很多站点的 ip 都是这个，感觉像是做的反向代理

遂放弃端口

0x01x02 敏感信息搜集

1.github 搜索

2.google hacking

3.凌风云网盘搜索

然后并没有搜集到一些敏感的东西邮箱使用的是腾讯的企业邮箱，vpn 是这个样子的

然后搜集到的部分邮箱账号如下图

通过浏览网站，搜集到部分内网系统

通过查看统一认证平台的提示和部分社工得知学生用学号加身份证后 6 位 (默认密码) 可以登陆

于是呢俺搜集了一波学号备用

site:xxx.edu.cn 学号

0x02 漏洞挖掘

搜集了部分需要的信息，就开始对着各个子域名进行挖掘了，找了半天，大部分的系统都是采用的统一的模板，功能比较单一，并未发现什么漏洞

site:xxx.edu.cn inurl:loginsite:xxx.edu.cn intitle：登陆

然后我便把重心放在了一些登陆系统上

然后找到了一处系统登陆

此时我记住了他的提示，用户名和密码为自己的工号，那么就是说这里面可能会有一些教师的工号信息，而正好运气不错，这个系统的系统管理员账号是个弱口令

admin&admin 进入后台后，找到用户信息，得知教师账号为 5 位的数字，可以看到地址栏有 action，我测试了 str2，然后我在刷新网页打不开了，目测被封 ip...

然后知道了用户规则，就写个脚本做字典备用

#!/usr/bin/env python# -*- coding:utf-8 -*-# datetime  :2019/7/10 8:44begin_num = 0 # 开始参数 从第几个数字开始生成end_num = 20000 # 结束参数 到第n个参数停止print("""    运行该脚本后，会在脚本所在目录生成5.txt ，里面存放的是生成好的数字""")for i in range(begin_num, end_num + 1):if i < 10:i = "0000" + str(i)elif i < 100:i = "000" + str(i)elif i < 1000:i = "00" + str(i)elif i < 10000:i = "0"+str(i)with open("5.txt", 'a') as f:f.write(str(i) + "\n")print("程序运行完毕，文件已生成")

然后就是在这个后台找注入啊，上传啊，无果，遂记录在文本，换另外的域名

然后看到选课系统

就是用学号做账户密码，成功登陆进去

貌似没什么用，但是这个我蛋疼的是，测试上传的时候，改了个脚本格式的后缀，死活发不出去数据包，结果回到网页刷新，链接被重置...

没错我 ip 又被 ban 了...

然后我在尝试爆破了一下教师账户，同样是账户做密码

进去后，四处看了看，还是没能取的什么进展

用同样的办法，我进入了研究生管理系统、学生缴费查询系统 (还真就是只查询..)、

最后在财务 xx 系统中稍微得到部分进展

是的，没看错，身份证号码，于是我智障的试了 100 次，拿下了 14 个存在身份证的教师账户，不过貌似都是一些退休的教师，权限应该很低或者完全进不去

然后我来到了统一身份认证平台去试着登陆，结果登陆进去了..(教务登陆不进去)

于是在这里开始，算是有了突破。