细节决定成败的渗透(某收费建站模板)

这次是站点2kb.me本来算是一次我的面试测试,当时在基佬wingay那群里认识一下小伙伴,完了之后深入交流了一下,给了我这个目标叫我尝试着试一下,当时还嘱咐了一句,这个站不能扫,一扫就要挂。

装逼的事情这个肯定不能怠慢,只是当时是中午上班的时候给我的,我自己的笔记本太重不想带,公司的电脑就只能简单的看看信息什么也做不了,所以就等着五点半下班骑着我的‘兰博基尼’回去继续。

简单的信息收集:首页是这个样子

系统:Windows 2008 + IIS7.5

端口:80

 

顺手在域名后面加了一个admin跳转到2kb.me/Admin/Login后台地址

建站:

一个商业的建站,目前还在运营,网上找了一下没有找到源码,多多少少都要收点费,对于我这样的穷逼,就先不找源码了。直接上主站。

去建站的官网看了一下,目标站的版本应该不是最新版本的。所以这更可能有一些不可告人的漏洞。

账户:

注册时admin账户已经被使用(不确定是管理员)

登陆错误三次有验证码,无法爆破

 

上传:

上传算是一个及其常见的测试项目,这里也不例外,注册个TMD账户先,这个版本及其简单,根本没有邮件验证或者短信验证,用burp在个人中心里面各种转圈圈,本来想着群里大佬们说的那些越权啊什么的,结果我懒就算了,果然也是无果。

 

峰回路转的最后一搏之还tm成功了:

本来觉得这个站差点就不知道怎么玩儿了,接了媳妇儿下班回来继续整的,突然灵机一动,有一个商家入口,在入口那里发现一个智障上传,上传你的一些证件,

然后

成功访问,但是出现了错误,初步猜测是杀毒的问题。换aspx和免杀的试一下。

好了,报告发过去,收工。

 

aimorc

我还没有学会写个人说明!

9 条评论

  1. 朋友 我的博客地址更新了 关键词:蜗居 URL地址: https://woj.app 望朋友看到更新一下呦。感谢。 好久没来了,路过踩一脚。

    • aimorc

      OJBK,更新了,半年你换几个域名,这样真的好吗 😛

  2. 你这个看着是移动商城啊。。。现在移动官网这么好搞了,后台都是admin的?

    • https://2kb.me/wp-content/themes/Cosy/

      Fatal error: Uncaught Error: Call to undefined function get_header() in /www/wwwroot/www.2kb.me/wp-content/themes/Cosy/index.php:22 Stack trace: #0 {main} thrown in /www/wwwroot/www.2kb.me/wp-content/themes/Cosy/index.php on line 22

    • aimorc

      这是一个商业模板,不是移动的官网。

  3. 请问一下上传那里是直接把后缀名改成asp的吗?

    • aimorc

      对,这个建站版本是老版本,这种低级失误真的也是没谁了。

  4. 细节决定成败,

    • aimorc

      对呀,本来看着一个很厉害的商业模板,始终不能怀疑自己能不能搞定,每一项都去测试一下,最后才知道结果

Leave a Reply

Your email address will not be published. Required fields are marked *

微信扫一扫,分享到朋友圈

细节决定成败的渗透(某收费建站模板)
返回顶部

显示

忘记密码?

显示

显示

获取验证码

Close