前言

最近在挖edusrc,自己摸了一天鱼才日下来的一个站点~,特有此文,纪录一下.(表哥们勿喷)

0x01

标靶站点环境: Nginx+Java
端口开放信息:
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第1张
主站就一个搜索处,按我这种菜鸡破绽挖掘思绪来看应该是没有注入的.
于是举行目录扫描
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第2张
出来辣么多姨妈红~,接见install.html发现使用的是JEECMS
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第3张
网上找了几个历史破绽呀,然后都没有用,貌似是修复了.
接见member
是一个上岸点,再加上url包罗Cas/login.do
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第4张
想到Cas反序列化破绽,于是检测一波
然后啥也没检测到,他mua的

0x02

然后扫到网站某子域名,是官网后台上岸处
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第5张
阿我这激动的心~
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第6张
弱口令爆破一段时间无果后,实验注入
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第7张
加单引号报错
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第8张
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第9张
上面两个图片可以看到

,

Usdt第三方支付接口

菜包钱包(caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜包Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。

,
单引号双=准确
单引号单位数=错误

很明显是 *** P+Oracle才会泛起这种规则.
测试'and'的时刻,直接返回失去响应了,很明显有Waf
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第10张
这里用协议未笼罩绕过防火墙
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第11张
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第12张
可以瞥见,返回200,然后扔sqlmap
usdt无需实名(caibao.it):某系统Oracle+盲注Bypass 安全技术 众测渗透 第13张
乐成检测到注入,不过是盲注的话自己写剧本跑好一点(我太菜了不会~~)

0x03

然后由于Oracle权限问题就没拿到shell啦
注: 相关破绽已提交至eduSrc
(有没有表哥带带我)


USDT官网接口声明:该文看法仅代表作者自己,与本平台无关。转载请注明:usdt无需实名(caibao.it):某系统Oracle+盲注Bypass
发布评论

分享到:

电银付app安装教程(dianyinzhifu.com):《钢铁股》官田钢明年1月大涨4000元 有利下季
4 条回复
  1. allbet网址
    allbet网址
    (2020-12-28 00:02:04) 1#

    电银付APP下载(dianyinzhifu.com)是官方网上推广平台。在线自动销售电银付激活码、电银付POS机。提供电银付安装教程、电银付使用教程、电银付APP使用教程、电银付APP安装教程、电银付APP下载等技术支持。面对全国推广电银付加盟、电银付大盟主、电银付小盟主业务。想象力不错

    1. 卡利
      卡利
      (2021-01-23 05:49:17)     

      有甜有苦,很真

  2. 卡利官网
    卡利官网
    (2021-01-11 00:05:55) 2#

    欢迎进入欧博APP下载(Allbet Game):www.aLLbetgame.us,欧博官网是欧博集团的官方网站。欧博官网开放Allbet注册、Allbe代理、Allbet电脑客户端、Allbet手机版下载等业务。很给力的感觉

    1. 皇冠注册平台
      皇冠注册平台
      (2021-01-15 23:29:56)     

      欢迎进入博电脑版下载(Allbet Game):www.aLLbetgame.us,欧博官网是欧博集团的官方网站。欧博官网开放Allbet注册、Allbe代理、Allbet电脑客户端、Allbet手机版下载等业务。我给四颗星

发表评论

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。