【渗透实战】记一次对违规外挂卡密站点精准破解

kenny526

今天打王者的时候被透视哥恶心了 加上好友询问挂的时候居然发现需要收费而且是要卡密

拿到卡密系统ip进行渗透
代码审计

通过特殊标志在GitHub找到源码

漏洞1 jwt默认密钥

系统在未配置自定义密钥时，会回退到硬编码的默认密钥。攻击者⼀旦获取到这些默认密钥，即
可伪造有效的 Token，从而绕过身份验证。
1.默认密钥定义 ( app/common/service/SecretKeyService.php ) 该服务负责统⼀密钥派⽣，可⻅其存在硬编码的默认值：

令牌签发逻辑 ( app/admin/controller/AuthController.php ) 登录成功后，系统⼿动拼接 Base64 负载与 HMAC 签名：


令牌校验逻辑 ( app/middleware/AdminAuth.php ) 中间件在校验时同样使⽤该派⽣密钥，导致伪造的 Token 能通过 hash_equals 检查：




漏洞2 后台文件上传

Logo 上传接口( app/admin/controller/SettingController.php ) 该接⼝直接根据原始后缀名保存⽂件，且存储路径在 Web 目录下：  

通⽤图片上传接口 ( app/admin/controller/UploadController.php ) 虽然增加了 MIME 校验，但 MIME 可被轻易伪造

通⽤图片上传接口 ( app/admin/controller/UploadController.php ) 虽然增加了 MIME 校验，但 MIME 可被轻易伪造



实战操作

那么利用链就是利用jwt登录后台然后上传一句话

python编写脚本伪造jwt登录

利用油猴编写脚本使用jwt登录

成功进入后台后定位到后台文件上传漏洞点

修改mine头绕过拦截上传

通过上传的后门连接蚁剑

命令执行发现是windows的有意思

权限直接是system了

直接生成POWERSHELL一句话上线cs

成功抓到hash 但是需要爆破明文也不知道到啥时候 内网也没有别的机器 只能添加用户连接3389看看了

直接添加用户

添加用户 直接连接远程服务器

最后清除痕迹跑路

kenny526

看看隐藏

H006

看看

ZEROXZX

看看隐藏

金桔

看看隐藏

Tutu

看看隐藏

LsPro

学习学习

爱之恋

支持，，，

不会逆向的小白

看看隐藏

ikunnn

111111111111111111

bairm888

看看

腾远

看看隐藏

爱吃胡萝卜

感谢分享

金桔

大佬是如何找到网站源码的?
有方法吗

colalan

看看隐藏