记信息泄露到RCE

原创 zkaq – 杳若掌控安全EDU 2024-03-02 12:01

扫码领资料

获网安教程

本文由掌控安全学院 -杳若投稿

打点

开局一个登录框

发现了一处接口泄露了部分信息

不过只有支付宝密钥的信息无法扩大危害，此时尝试寻找了一下其他同类型系统同样的接口，查看一下是否泄露的信息相同

因为如果相同就说明是静态的，没有价值

此时访问其他系统，发现里面有不一样的东西，包含了数据库的账号以及密码

说明不是静态的

此时回到之前的系统，扫了一下端口，发现确实开放了数据库端口

利用工具Sylas https://github.com/Ryze-T/Sylas/releases/tag/beta

直接RCE

申
明
：
本
公
众
号
所
分
享
内
容
仅
用
于
网
络
安
全
技
术
讨
论
，
切
勿
用
于
违
法
途
径
，

所
有
渗
透
都
需
获
取
授
权
，
违
者
后
果
自
行
承
担
，
与
本
号
及
作
者
无
关
，
请
谨
记
守
法
.

没看够~？欢迎关注！

分享本文到朋友圈，可以凭截图找老师领取

上千教程+工具+靶场账号哦

**分享后扫码加我！

回顾往期内容

Xray挂机刷漏洞

点赞+在看支持一下吧~感谢看官老爷~

你的点赞是我更新的动力