渗透新手

《渗透新手》

凌晨两点，渗透新手我盯着屏幕上那个不断跳动的渗透新手光标，手心全是渗透新手汗。目标站点的渗透新手后台登录框就在眼前，密码字典跑了三十分钟，渗透新手连个毛都没碰着。渗透新手这是渗透新手我第一次正儿八经地做渗透测试，对象是渗透新手朋友开的一家小电商公司——他慷慨地把自己网站当靶场，条件是渗透新手别弄崩服务器。

我犯的渗透新手第一个错误，是渗透新手低估了“登录框”这三个字背后的水深。我以为SQL注入就像教程里那样，渗透新手在用户名框敲个 ' or 渗透新手1=1 -- 就能进去。结果人家后端做了参数化查询，渗透新手连个报错提示都不给我。渗透新手那感觉就像你磨好了刀冲向战场，却发现对方早就建好了混凝土堡垒。

翻了下Wappalyzer，看到前端是React，后端接口走的是JSON格式。我试了几个常见的API路径，/api/admin返回404，/api/user/login倒是正常。这时候我脑子里闪过一个念头——既然前端是SPA，那所有路由和接口逻辑都在JS文件里。我打开浏览器开发者工具，在Sources面板里翻那些压缩过的chunk文件，找关键词“password”、“token”、“secret”。

还真让我翻到了点东西。一个叫config.prod.js的文件，里面硬编码了一个AWS密钥对。我兴奋得差点把咖啡打翻，但冷静下来一想，这密钥可能只是个摆设，权限早就被收紧了。不过，有线索总比瞎猜强。

我转向子域名枚举。用subfinder跑了一轮，发现一个叫dev.shop.example.com的子域，指向一个内网IP的Nginx反向代理。直接访问，跳出来一个Tomcat默认页面。版本号是8.5.12，CVE-2017-12615的漏洞正好适用——PUT方法上传JSP马。

写个简单的webshell，用curl发个PUT请求，带上正确的Content-Type，服务器居然没拦。上传成功后，我访问那个JSP文件，页面显示“hello”。那一刻，我整个人从椅子上弹起来，像是打通了游戏最难的一关。

但真正的转折点来了。我拿到shell之后第一件事是找数据库配置文件，却意外发现了一个.env文件，里面写着管理员邮箱和一段Base64编码的密码。解码出来，是“admin123”。我心想，这也太low了。可当我用这个密码去登录主站后台时，居然真的进去了。

那种感觉很奇怪——不是成就感，而是后怕。一个开发环境的管理员密码，竟然能直接穿透到生产环境。我顺着后台的订单列表翻了几页，看到真实的用户收货地址和手机号，手指停在键盘上，犹豫了。我知道，只要再往下走一步，就能导出整个客户数据库。但这不是我该做的，也不是我想做的。

我退出来，给朋友发了条消息：“后台密码改一下，另外，你们那个dev子域别挂在公网上了。”他回了个问号，然后说“明天请你吃饭”。

新手学渗透，最容易陷进工具和技术细节里，忘了问自己一句：你测试的边界到底在哪？不是每个漏洞都需要打穿，不是每份数据都值得下载。真正的入门，不是学会怎么进，而是学会什么时候停。技术可以练，判断力得靠一次次踩线来磨。

那天晚上我睡得很晚，脑子里反复播放着那个admin123。第二天醒来，我删掉了所有截图和临时文件，把那个JSP马也清干净了。朋友后来跟我说，他查了日志，发现我的操作记录，说“你挺专业的，知道收尾”。我苦笑，哪是什么专业，只是怕自己哪天真的越界，就回不来了。

本文地址：http://www.79wt.cn/news/1050d9999795.html