渗透测试实战—教育站点（若依系统的shiro反序列化利用）

免责声明：文章来源于真实渗透测试，已获得授权，且关键信息已经打码处理，请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 

一、信息收集

1.目标站点为学校站点，正常登录时为 http://www.XXX.com/，信息收集时发现了一个若依系统的图标，进行访问以后发现跟主站点是同一个域名，只不过用了HTTPS协议，访问时自动跳转为到https://www.XXX.com/login

2.看验证码也可以大概猜测是若依系统，同时查看js代码，可以发现若依系统的版本为4.7.9，版本还是比较新的，经过基本的漏洞测试发现该系统并不存在旧版本系统漏洞

3.继续信息收集，目标学校的对外资产并不多，继续下一步信息收集，扫描目录的时候发现了一个新的后台管理系统（爆破目录/ADMIN/时响应码为302，访问http://www.XXX.com/ADMIN/自动跳转到了http://www.XXX.com/ADMIN/login页面）

4.这就比较有意思了，看验证码猜测很可能也是若依系统，查看js代码，同样可以看到版本，但是版本要低得多，为3.4.0（一个站点上同时存在两个后台管理系统，感觉是运维疏忽，忘记删旧版本了）

二、实战环节

1.先来测试一下弱口令：ry账户显示已经禁用，amdin账户显示密码错误

若依系统弱口令：

amdin/admin123

ry/admin123

2.接着重复的手法测一波历史漏洞，跑了一下shiro默认密钥，竟然出货了，并且成功构造了利用链

3.接着直接注入内存马，利用哥斯拉上线（shiro反序列化漏洞拿的是root权限还是比较爽的）

 4.收集一波信息看看有没有什么数据信息，通过翻找发现root目录下存在.bash_history和.mysql_history文件（虽然没有直接显示mysql数据库密码，但是发现了大量sql备份数据文件以及更改的数据信息）

.mysql_history        是 MySQL客户端工具（如 mysql 或 mysqldump）的命令历史记录文件

.bash_history          记录了用户在终端或命令行界面中输入的所有命令。

5.查看备份文件，其中泄露了大量学生信息（好了，点到为止，下线）

三、总结

成功拿下了学校主站的服务器，并通过内网信息收集找到了泄露的大量学生信息

        渗透测试的时候还是需要多注意信息收集，可能在意想不到的地方就存在着漏洞站点；需要注意内存马的使用（注意配置信息和命名，尽量一次成功，要不然清除内存马也是比较麻烦的；像这种根目录是主站的，命名一定不要再根目录，否则可能会导致主站内容丢失）