【渗透实战系列】| 1 -一次对跨境赌博类APP的渗透实战(getshell并获得全部数据)

0收藏

0点赞

浏览量:4537

2021-07-22

举报

本次渗透实战主要知识点:

1.app抓包,寻找后台地址

2.上传绕过,上传shell

3.回shell地址的分析

4.中国蚁剑工具的运用



目录


▶0x01 准备工具

▶0x02 信息搜集

▶0x03 渗透过程

▶0x04 挖洞方法总结


0x01 准备工具

  此次渗透实战主要针对安卓APP,赌博APP后台服务器在境外,平台包含多款非法涉赌小游戏。



1、雷电安卓模拟器,用于运行赌博网站的安装程序。

2、抓包工具Fiddler(或burpsuite、 wireshark),用于流量抓包找到网站后台服务器地址。

3、Sublist3r、中国蚁剑等常规渗透工具。

 

0x02 信息搜集

1、寻找服务器地址。流量抓包分析网络赌博APP的服务器地址。利用Fiddler抓取安卓模拟器流量,通过分析获取APP后台网站地址:http://****.com。抓包也可以用bp或者wireshark工具,网上教程比较多。



对抓包发现的域名“****.com”进行查询,发现目标服务器IP地址:x.x.x.x,并进一步对服务器IP在“站长之家”网站查询,确认服务器在境外。


2、获取子域名。

用Sublist3r.py 工具搜集域名,

python Sublist3r.py -d xxx.com -o 1.txt

发现一些子域名,测试未发现突破口

 

0x03 渗透过程

1、注册登录,发现HTML5页面。App页面注册登录,抓取地址,把抓取到地址拿到浏览器登录,发现APP页面是纯HTML5页面,这就更方便在浏览器里操作了。

2、尝试前台账号注入失败,利用测试号码注册然后Bp抓包改包,寻找注入点,但注入失败。


3、登录注册用户,发现上传漏洞。浏览用户功能,在个人中心处存在身份审核功能,需上传身份资料以核验用户信息,推断此上传功能可以隐藏木马上传点。


4、经上传fuzz测试,后端程序仅对mime和文件头内容进行校验。修改文件类型的绕过方法,直接上传图片马并修改mime类型,成功上传得到shell地址。



5、是利用“中国蚁剑”成功连接木马,在服务器网站源码里分析找到数据库配置文件,成功连接数据库。



6、使用中国蚁剑连接数据库成功,得到账号以及密码的哈希值。


7、通过文件目录结构分析,后台为单入口文件,参数s=admin成功跳转后台,通过数据库解密后台账户的hash值,成功登陆后台。


通过获取管理员后台权限,掌握网站当天注册用户数231户,发生赌博单数86但,资金流水54.2万元。在管理员登陆日志方面,主要登录ip分布在菲律宾、香港、广西、越南等地。

用户登录日志记录,数据包含用户的id、登录ip、手机号、登录时间等信息。

用户投注记录,数据包含会员id、投注金额、累计等级礼金等。


0x04 挖洞方法总结

1、查找注入,注意数据库用户权限和站库是否同服务器。

2、查找XSS,目的是进入后台以进一步攻击。

3、查找上传,一些能上传的页面,比如申请友链、会员头像、和一些敏感页面等等,查看验证方式是否能绕过,结合服务器的解析特性。

4、查找下载,在网站的下载栏目,或者文章后面的附件下载链接,测试是否存在未授权的文件下载。

5、查找编辑器,比较典型的ewebeditor、fckeditor等

6、查找可能的后台管理程序,可以尝试弱口令。

                                                                                                                                                                               (来源:Hacking黑白红)

发表评论

点击排行

钓鱼邮件-如何快速成为钓鱼达人

一、前言在大型企业边界安全做的越来越好的情况下,不管是 APT 攻击还是红蓝对抗演练,钓鱼邮件攻击使用的...

无线电安全攻防之GPS定位劫持

一、需要硬件设备HackRFHackRF 连接数据线外部时钟模块(TCXO 时钟模块)天线(淘宝套餐中的 700MHz-2700MH...

HTTPS - 如何抓包并破解 HTTPS 加密数据?

HTTPS 在握手过程中,密钥规格变更协议发送之后所有的数据都已经加密了,有些细节也就看不到了,如果常规的...

【干货分享】利用MSF上线断网主机的思路分享

潇湘信安 Author 3had0w潇湘信安一个不会编程、挖SRC、代码审计的安全爱好者,主要分享一些安全经验、...

ADCS系列之ESC1、ESC8复现

对原理感兴趣的可以去https://www.specterops.io/assets/resources/Certified_Pre-Owned.pdf看原文,这里只...

攻击工具分析:哥斯拉(Godzilla)

简介对,你没有看错,本期我们要研究的目标是哥斯拉。不过,此哥斯拉非彼哥斯拉,他是继菜刀、蚁剑、冰蝎之...

记一次Fastadmin后台getshell的渗透记录

1.信息搜集先来看看目标站点的各种信息后端PHP,前端使用layui,路由URL规则看起来像ThinkPHP,那自然想到...

恶流涌动: 披露来自反盗版公司的钓鱼行动

一、事件概述        近期,金山毒霸“捕风”威胁感知系统监控到一批潜伏已久的窃密木马...

扫描二维码下载APP