web渗透

一个登录框，我盯着它看了三分钟。用户名填了admin，密码随手敲了123456，回车。页面刷新，跳出一行红字：密码错误。再试admin/admin，还是错。换成admin' or '1'='1，页面直接500。有戏——报错没被过滤，说明后端SQL语句是拼接的。

这就是web渗透最常见的入口。不是电影里那种噼里啪啦敲键盘、屏幕上绿色代码飞滚的画面。真实情况往往很枯燥：一个参数一个参数地试，看返回包的大小变化，看状态码是200还是302，看响应时间有没有多出那几百毫秒。

我习惯从信息收集开始。目标站挂在一台阿里云主机上，IP直接暴露，没上CDN。用nmap扫了一遍，22、80、3306开着。3306是MySQL，但外网访问大概率被限制。80端口跑的是nginx，版本1.18.0，不算太老。目录扫描用dirsearch跑了一遍，发现一个/backup/目录，里面躺着一个www.zip。下载下来解压，源码全在。

这运气好得有点不真实。翻代码的时候手都在抖——不是紧张，是兴奋。config.php里数据库密码明文写着，root/root123。试着连了一下，居然通了。但没急着dump数据，先看web目录里有没有上传点。果然，一个ueditor编辑器，版本1.4.3，已知的SSRF和文件上传漏洞一大把。

打点的时候我一般会挂代理，Burp Suite开着拦截。上传一个伪装成图片的jsp文件，Content-Type改成image/jpeg，后缀改成.jpg，然后利用解析漏洞加个%00截断。服务器是Linux，PHP版本5.6，%00还能用。返回路径直接给了shell地址。

连上菜刀的那一刻，反而没什么特别的感觉。就是一个小窗口，左边是文件树，右边是命令执行。whoami返回www-data，权限不高，但够用了。翻/etc/passwd，看到几个普通用户。提权的事先放一放，先看数据库里有什么。用户表里三千多条记录，密码字段是md5，没加盐。拿去cmd5查，解出来一大半。

内网渗透是另一回事。这台机器双网卡，内网段是192.168.1.0/24。用frp搭了个隧道，nmap扫内网，发现一台Redis未授权访问。写SSH公钥进去，直接连上另一台机器。那台机器上跑着公司的OA系统，数据库里全是员工薪资和合同扫描件。

到这里就该停了。再往下就是法律问题。我把漏洞报告整理了一份，通过匿名邮箱发给了厂商。三天后收到回复，说已修复，给了个五百块的京东卡。钱不多，但比没有强。

很多人觉得渗透测试很酷，其实大部分时间都在做重复劳动。扫端口、跑字典、看日志、对比响应。真正有意思的是那些逻辑漏洞——比如密码重置时验证码返回在响应包里，比如越权查看订单只需要改一个订单ID。这些洞扫描器扫不出来，得靠人去看、去猜、去试。

防御方也一样。WAF规则写得再全，一个开发图省事写的接口就能绕过去。我见过一个站，所有输入都过滤了union select，但order by没管，照样注。安全这事，短板永远在人身上。

写这篇文章的时候，那个登录框还在我脑子里晃。admin' or '1'='1那个单引号，像一把钥匙，插进去，拧一下，门就开了。但门后面是什么，取决于你站在哪一边。

很赞哦!（9）