请选择 进入手机版 | 继续访问电脑版
查看: 8438|回复: 0

《小日子渗透日记之偶然遇到的奇葩网站》

[复制链接]
  • TA的每日心情
    慵懒
    2024-3-18 10:06
  • 签到天数: 143 天

    [LV.7]常住居民III

    发表于 2022-12-23 13:07:33 | 显示全部楼层 |阅读模式
    这几天和Dixon依旧着手对小日子网站的渗透。估计是网上找的日本网站都非常的哟西,虽然总是缺斤少两。
    没了CDN照样运维,没了防火墙照样运维。实际上现在建网站都是依照模板来建站,大中型网站都没有什么
    漏洞,大多直接靠暴力美学来化解。Dixon也是绞尽脑汁也没想出个什么对策。
    后来换了个网站。
    工具
    Kail,Park,BurpSuite
    Dixon开始用Park扫后台
    我用Kail刺探一下防火墙
    结果探不出来
    网站也加了CDN
    用子域名先爆出了后台

    用户名默认为admin啦
    开始爆破密码,这里使用BurpSuite
    用了闪击波兰的功夫
    嗯,已经爆出来了。
    就在这光辉的时刻,如果不出意外的话那就是出意外了
    密码不对。。。。。。。。。。。。。。
    字典的力度不够
    Dixon让我试了几个无密码和admin登录。没效果。
    拉出bp10W字典,开始狂欢吧哈哈哈哈
    QQ截图20221223130558.png
    过了一阵子,已经扫了7w了,毛都没出来。

    不禁感叹:
    马勒戈壁!
    现在网站怎么这么难攻。
    这就是前天的悲惨经历,不堪回首啊。

    ----------------------------------------------------------------------------------------------------------------------------------

    昨天:
    Dixon爱国热情依旧高涨,拉着我要我再找一点。
    上网找了几个八嘎本色的网站给Dixon。
    我:打黄网?
    D:你找什么我打什么。
    我:会不会辣眼睛
    D:我已经禁欲了。
    我:真假?
    D:你最好不要搞到一半,自己点开看了。
    我:没钱
    然后Dixon开始对网站进行检测
    Dixon友情提醒:一般,黄色网站都有很多旁站,数据庞大,服务器耐打。
    这里用工具:网站猎手
    可利用页面如下图:
    QQ截图20221223130545.png
    网站猎手可以将小马上传到可利用页面。
    点进可利用的链接,发现页面如下:
    QQ截图20221223130534.png
    其返回值看出和上次一样,挂梯子开虚拟机。要不又是站长做了什么手脚,不让我们利用这个页面。
    都看了看,链接没有什么利用价值了。
    我搞明白了黄页的后台机制,应该是锁定ip访问,这只是我猜测,其他ip拦截在外,由此有了认证系统供黄页使用
    百度经验:Web服务器如何设置用IP地址允许连接网站-百度经验 (baidu.com)

    ------------------------------------------------------------------------------------------------------------------------------------------------------

    昨天下午:
    Dixon找到一个奇葩网站。具体怎么奇葩呢?
    用Park扫描的时候发现好多存在资源的链接
    看到后面跟着的文件名字我就觉得很奇葩:
    什么木马搜索,什么假地址,什么管理入口
    还不到半分钟就已经扫出了两百多个。
    电脑已经卡死了
    然后,蓝屏。。。。。。。。。。。。。。。
    这个站长是个变态吧?
    进入到网站看看,发现有上传的地方和输入页面。
    先不看网站源代码,直接输入XSS语句看看有没有XSS漏洞
    QQ截图20221223130502.png
    语句:
    <sCript>alert(1)</ScRipt>
    这里我们采用大小写和双写绕过。
    发现成功绕过。
    然后到上传的地方,心里面暗暗顶礼膜拜练习两年半的坤哥。
    QQ截图20221223130512.png
    上传asp小马
    上传成功
    有上传漏洞
    找个时候时候重新上传拿BurpSuite抓包,中国菜刀连接。
    挂黑页就是计日以待的事了。
    日记就先写到这。

    回复

    使用道具 举报

    您需要登录后才可以回帖 登录 | 注册

    本版积分规则

    指导单位

    江苏省公安厅

    江苏省通信管理局

    浙江省台州刑侦支队

    DEFCON GROUP 86025

    旗下站点

    邮箱系统

    应急响应中心

    红盟安全

    联系我们

    官方QQ群:112851260

    官方邮箱:security#ihonker.org(#改成@)

    官方核心成员

    Archiver|手机版|小黑屋| ( 苏ICP备2021031567号 )

    GMT+8, 2024-4-14 02:28 , Processed in 0.044730 second(s), 13 queries , Gzip On, MemCache On.

    Powered by ihonker.com

    Copyright © 2015-现在.

  • 返回顶部