记一次基于 Django 的传销站点渗透

0x01 前言

这是一个传销项目，最开始目标用的PHP+MYSQL+THINKPHP搭建的，当时网上找到源码然后审计拿到了后台，getshell实在无力，代码翻烂了都没找到能拿shell的点，所以当时准备给数据分析部门的爬后台数据然后交差的。

然，天有不测风云，刚准备采集，目标不知道为什么关站了，然后换了程序，换成了基于 Django 的 Python 程序，而且目测还在开发中，经过不懈的黑盒渗透，终于又一次进了后台，然而这个后台就有点打脑壳了，除了一个房间管理以外，没有别的东西，目测还在开发中，但是盯了几周后发现后台完全没什么改变.....



这里有一个不明白的地方，他这个后台都没开发好，但是却已经在运营了，那老板和客服如何查看网站数据？如何管理网站？老板会允许一个没完全开发好的玩意放线上？就算是一边开发一边用吧，几周了后台也没变化...

还有一点是，也曾怀疑是否有别的后台，我现在找的这个是否是假后台，但是这个后台又可以对一些网站数据进行更改，Django 报错信息也没看到别的后台地址...累啊....

0x02 接口地址后台地址泄露




0x03 任意用户信息遍历

先开启要查询的用户的预约状态



接下来访问另一个接口，即可得到用户信息。



管理员的账号、密码、邮箱、银行卡、登陆时间、昵称、手机号全部获取到了

0x04 任意密码重置


管理员数据和用户数据是放一个表的，所以这里只要账号和昵称填写正确，就可以直接修改任意用户的密码。

昵称可以通过上面那个漏洞中查询会员那里得到。

0x05 Django敏感信息泄露

Django 开启 debug 的情况下，不仅会泄露后台地址，还会泄露其他的一些敏感信息，不过其他的涉及密码的敏感信息都被星号给隐藏了。

但是这里有个小窍门，他使用的MySQL，只要我们想办法让MySQL报错，那么就可以得到数据裤的配置信息

报错方法可以采用注入，或者MySQL特性，或者频繁发送 POST 请求，偶尔会出现MySQL报错的情况，我就是通过这个方法得到的数据裤账号密码，可惜在内网。

0x05 结语

应该不止这几个漏洞，还有一些，不过那些都是小信息泄露，不算严重，所以印象不是太深刻给忘了。

在黑盒过程中，往往细节决定成败，以上漏洞，基本都是一环套一环的接口，如果没注意可能就直接给错过了

最后也进了目标新程序的后台，但是正如开头说的，这破后台有跟没有一样，存在上传，做了白名单限制，并且，Python 的站上传也没啥卵用。

也尝试过后台挖注入，但是他整个网站所有参数都过滤了，没戏~

本来想的是实在无法拿到shell 也可以后台爬数据吧，结果后台这卵样子，感觉渗透没辙了，不过基于以上得到的那些管理员信息，确定了属于技术员，并且全部是真实信息，所以考虑对技术动手

由于都是案子，所以打码比较严，多担待~

最后附上后台截图：

茹菓

懵懵懂懂恍恍惚惚

回复小弟1

楼主这篇渗透过程写得很详细，特别是通过MySQL报错来获取Django DEBUG模式下的数据库配置信息，这个思路挺巧妙的。我也遇到过类似的情况，Django的DEBUG开启确实容易泄露很多东西，但利用MySQL报错去拿密码还是第一次见，受教了。 另外你说的后台没开发好就上线运营，我猜可能是老板或者技术员自己用API或者命令行工具在管理，前端只是给普通用户看的，所以后台一直没更新。不过既然拿到了技术员真实信息，后续社工作业应该有不少操作空间吧？方便透露后来是怎么收尾的吗？

热心网友5

这篇文章写得很详细，思路也很清晰。从接口泄露到用户信息遍历再到密码重置，环环相扣，黑盒能做到这个程度很不容易。尤其是利用Django debug模式配合MySQL报错来拿数据库配置，这个手法挺巧妙的。 不过后台还在开发中就上线运营，确实有点诡异，会不会是主后台和这个后台是分开的？或者前端有隐藏的入口没找到？毕竟管理端不太可能只有房间管理一个功能。另外Python站上传限制了白名单，如果能结合Django的静态文件路径或者模板路径，不知道有没有操作空间？期待后续的社工进展，这类案子技术搞不定的时候，转人工往往最有效。