渗透黑盒

凌晨两点，渗透黑盒我盯着屏幕上的渗透黑盒登录框，光标在密码栏里一闪一闪。渗透黑盒这不是渗透黑盒我第一次做渗透测试，但每次面对这种看似简单的渗透黑盒目标，心里反而更不踏实。渗透黑盒简单意味着攻击面小，渗透黑盒攻击面小意味着需要更刁钻的渗透黑盒角度。

客户的渗透黑盒系统是个老旧的OA平台，管理员信誓旦旦说已经请厂商加固过。渗透黑盒我输入了默认账号admin，渗透黑盒密码admin123——居然进去了。渗透黑盒别笑，渗透黑盒现实中这种案例多得吓人。渗透黑盒但真正让我警觉的渗透黑盒是登录后的会话Cookie，长度异常，Base64解码后竟然藏着完整的用户角色和部门ID，连个签名都没加。这就像把保险柜钥匙挂在门口，还贴了张纸条写着“钥匙在这”。

顺着这个漏洞，我试着把角色字段改成“超级管理员”，重新编码放回Cookie。刷新页面，后台菜单多了一排原本不可见的选项。其中有个“数据备份”功能，可以指定备份路径。我填了个目录穿越的payload，把备份文件写到了Web根目录下。

接下来是拿Shell。备份功能虽然能写文件，但内容被固定成数据库导出格式。我翻遍后台，发现有个“附件上传”模块，只校验了文件后缀，没检查文件头。我上传了一个伪装成jpg的PHP脚本，内容开头塞了几行合法的JPEG头数据，后面跟着一句话木马。

上传成功后，我访问那个文件，服务器返回了图片的二进制流——因为PHP代码被当作纯文本输出了。看来PHP被禁用了，或者被当作静态文件处理。我改换思路，上传.htaccess文件，把.jpg解析为PHP。但服务器是Nginx，不吃这套。我又试了上传.phtml、.php5，全被拦了。

折腾到凌晨四点，我靠在椅背上喝了口凉掉的咖啡。突然想到，既然备份功能能写文件，那能不能直接写一个.htaccess到上传目录？Nginx虽然不认.htaccess，但FastCGI的配置里往往存在解析漏洞。我构造了一个特殊的文件名“shell.jpg/.php”，在备份路径里写入这个文件。访问时Nginx会把它交给PHP-FPM处理，而PHP-FPM只看最后的.php扩展名。

这次成功了。我拿到了一个低权限的www-data账户。翻看配置文件，发现数据库密码写在明文的config.php里。连上MySQL，导出用户表——密码哈希是MD5，没加盐。我用彩虹表跑了一会儿，解出了管理员的明文密码。那个密码居然是他的手机号后六位加“@OA”。

整个渗透过程花了六个小时，但真正让我记住的不是最终的权限，而是那个Cookie里没签名就敢放角色信息的开发人员。他显然知道要加密，却不懂加密和签名的区别。很多系统的漏洞不在于技术多高深，而在于这种半吊子的安全意识——知道要锁门，却把钥匙藏在门口踏脚垫下面。

报告里我建议他们别急着升级防火墙，先改掉三个习惯：Cookie里别放敏感信息、备份功能必须校验路径、上传模块要检查文件内容而非后缀。客户看着报告沉默了半天，最后问了句：“你们是不是有我们的源代码？”我笑了笑，没回答。