地级市HVV | 未授权访问合集

原创浪飒浪飒sec

收录于合集

原文首发于奇安信攻防社区

https://forum.butian.net/share/1877

点击文末阅读原文直达

前言

上周参加了某地级市HVV，忙的没时间发文章。
本文对HVV过程中出现的未授权或者通过特殊手段绕过的一些未授权案例进行分享。

案例一

某事业单位接口泄露

发现过程

在js中发现与登录界面的类似规格的url，如图所示

共找到大致四个链接：*view.w，和mian.w包含了main1.w，main2.w，main3.w。

访问发现弹窗这个监管点获取失败

在js中找到控制这个的代码，感觉登录可以绕过，当时没有深究，就先算了

点击确定或刷新链接之后，抓包，发现json传参重放包，大量个人详细信息泄露，包含人名，身份证，手机号，家庭住址等信息，原谅信息太多只能打码。

小结

本网站将登录权限，部分url写在js中导致后端数据接口在前端控制，后端未授权情况下加载导致大量数据泄露。

小插曲：比赛结束听裁判说其他队是构造的数据包，然后我检查了下js，发现里面的参数写在里面，确实可以构造，但你说能直接抓到为啥还要构造？当然构造的是大神

案例二

某建工公司档案库越权访问

发现过程

在一个银行资产的C段在鹰图找到的一个站，直接访问就可以下载和预览所有文件

最让人哭笑不得的是账号统计的地方，点击进去是该公司其他平台的账号密码，包含近70个，且它是存在腾讯文档里面，截图就不展示了，因为全是马赛克。（当时看到的时候我笑的肚子疼）

这么顺利的原因全都因为我的一个浏览器插件uBlock Origin。

当我让队友访问时会弹出登录框，但我的不弹，让他尝试抓包改包能否绕过，发现仍然不行，我换了浏览器发现也弹窗。通过检查才发现是我的插件把这个登录框弹窗当成广告屏蔽了，才导致我可以直接访问。

小结

本系统通过插件绕过了登录，泄露了大量身份证，合同，绩效，照片，毕业证，执业证书，各大系统的账户名密码等等，可以说一个档案库泄露直接将全公司上下的人及其资料透明的摆在我面前。

小插曲：上述系统后续复盘发现它是有域名的，但两个域名均没有备案，但我却可以直接访问，说明服务器可能在香港。但我访问的是该地级市的企业专线啊，通过ping发现两个域名均跳转在一个香港云服务器的域名下，因此怀疑它是做了内网穿透，但源服务器又暴露在公网上，或者流量转发等操作，具体我不太清楚，有大佬懂原理，可以帮忙解释一下。