0x1前言
在打野的時候意外發現了一個站點存在springboot資訊泄露，之前就有看到一些文章可以直接rce啥的，今天剛好試試，通過敏感資訊發現存在accesskey泄露，就想直接通過解密，獲取敏感資訊，接管云平臺，
首先說下這個漏洞的產生，主要是因為程式員開發時沒有意識到暴露路由可能會造成安全風險，或者沒有按照標準流程開發，忘記上線時需要修改/切換生產環境的配置，我們是可以通過訪問/v2/api-docs和/swagger-ui.html去驗證是否存在的，
0x2漏洞利用
本次我們想獲取/actuator/env里面的明文資訊，那么有三種方法可以獲取，
第一種：通過/jolokia介面獲取明文
利用條件：
-
目標網站存在 /jolokia 或 /actuator/jolokia 介面
-
目標使用了 jolokia-core 依賴（版本要求暫未知）
第二種：通過/env介面發送明文到你vps上
-
可以 GET 請求目標網站的 /env
-
可以 POST 請求目標網站的 /env
-
可以 POST 請求目標網站的 /refresh 介面重繪配置（存在spring-boot-starter-actuator依賴）
-
目標使用了 spring-cloud-starter-netflix-eureka-client 依賴
-
目標可以請求攻擊者的服務器（請求可出外網）
第三種：和第二種差不多，只是方式不一樣
-
通過 POST /env 設定屬性觸發目標對外網指定地址發起任意 http 請求
-
目標可以請求攻擊者的服務器（請求可出外網）
第四種：通過/heapdump下載到本地解密
1、可正常 GET 請求目標 /heapdump 或 /actuator/heapdump 介面
而我這邊采用第四種方法去獲取，先下載一個heapdump檔案，
其實我看了好多篇文章，使用jvisualvm.exe嘗試去解開heapdump，但是都無法正常獲取，可能也是我操作有問題，后續使用EclipseMemory Analyzer，完美解決，
使用Eclipse Memory Analyzer去查詢對應的欄位：
select * from java.util.LinkedHashMap $Entry x WHERE (toString(x.key).contains("accessKeySecret"))注意：這邊默認是不支持模糊查詢的，必須欄位完全匹配才能查詢到欄位，如僅輸入accessKey是查詢不到accessKeySecret的欄位值的，
【----幫助網安學習，以下所有學習資料免費領！加vx：yj009991，備注 “博客園” 獲取！】
① 網安學習成長路徑思維導圖
② 60+網安經典常用工具包
③ 100+SRC漏洞分析報告
④ 150+網安攻防實戰技術電子書
⑤ 最權威CISSP 認證考試指南+題庫
⑥ 超1800頁CTF實戰技巧手冊
⑦ 最新網安大廠面試題合集（含答案）
⑧ APP客戶端安全檢測指南（安卓+IOS）
0x3接管云平臺
成功獲取accessKeySecret和accessKeyId后，接下來我們就可以使用cf進行接管云平臺了，
鏈接：https://github.com/teamssix/cf
使用cf config配置accessKeySecret和accessKeyId：
配置完直接一鍵接管：cf alibaba console
這邊會生成地址和賬號密碼，拿去登錄即可獲取云平臺賬號權限：
這邊可以看到，他是有5臺服務器實體的，直接獲取5臺服務器權限，
0x4結尾
其實我之前不只嘗試了第四種，而是被迫使用第四種方式獲取明文資訊，嘗試前面三種，都是以500報錯結束，具體也不知道是什么原因，有大佬知道的可以教一下，
本文其實只是想讓大家了解一下一些漏洞和一些資訊泄露的用法，其實很多東西都是沒有含金量的，說破不值錢，自己最近接觸了很多剛開始學習安全的人，都不知道從何入手，對于剛剛開始學習的人，個人建議可以多看看漏洞原理和別人的文章，從中吸取經驗和滲透思路，很多實力其實都是經驗累積出來的，可能有時候看到別人文章，會覺得就是一帆風順的，很簡單，但是其實很多人只是沒把自己走了多少彎路，踩了多少坑說出來罷了，本人也只是剛開始摸索的小白，本身學習是學無止境的，純靠興趣去驅動，
更多靶場實驗練習、網安學習資料，請點擊這里>>
合天智匯：合天網路靶場、網安實戰虛擬環境
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/549750.html
標籤：其他