记一次通过供应链拿到目标后台权限的过程

末蓝、 2024-04-07 10:39 45阅读 0赞

### **0x00 漫长的探索** ###

某天，接到一个任务，要求对某医院的信息系统做一次安全检测，看能否发现问题。经过初步的信息收集后，发现该医院并无官网，只有一个微信公众号提供了预约挂号，缴费等功能，看来只能把突破点放在这个公众号上了。

下图是微信公众号的一些功能：

[![3deb8fd599f54a414516ad91d4918267.png][]][3deb8fd599f54a414516ad91d4918267.png 1]

当点击这些功能并抓包的时候，令我看到奇怪的是所有的请求都指向了`a.test.com`这个域名，如下图，原谅我的厚码...

[![217a4544526641b179ba05a86f5170a8.png][]][217a4544526641b179ba05a86f5170a8.png 1]

`test.com`这个域名经过查找后发现是一家提供医疗信息系统的本地公司,但不解的是为什么医院的系统会放到供应商公司去呢？他们是如何进行数据同步的呢？带着这些问题我开始了对`a.test.com`这个域名的测试。

[![0d41df1d2e8f04f60c7d45f0ac1a70b3.png][]][0d41df1d2e8f04f60c7d45f0ac1a70b3.png 1]

看到这个熟悉的页面，确定了此系统大概是由sping boot开发的，经过一系列常规操作后，只发现了一个swagger-ui页面。

[![0ab2ff4060fcd04856b408d441e058c6.png][]][0ab2ff4060fcd04856b408d441e058c6.png 1]

由于我们的目标是拿权限，所以重点对此页面的接口进行了sql注入和越权等测试，无果，也没有任何的文件上传接口,开始卡到这里了。

回过来想，`a.test.com`这个域名是`test.com`的子域名，是否能够通过`test.com`进行突破呢？

访问`test.com`,打开的是供应商公司的官网。

[![01ec6d8de107526218ba4068038ce6a8.png][]][01ec6d8de107526218ba4068038ce6a8.png 1]

对`test.com`的域名做信息收集后发现了几个子域均解析致某云服务器，但是ip不同。

[![9bd43beebb1890f9dfb991277671ff41.png][]][9bd43beebb1890f9dfb991277671ff41.png 1]

首先`git.test.com`这个域名引起了我的注意，打开后是一个gitlab服务。

[![31d4c4e9dcad3c0f201c296534dcc035.png][]][31d4c4e9dcad3c0f201c296534dcc035.png 1]

gitlab历史上是由几个漏洞的：

[![9be4df3a64c3a8d7bb46af37468ecb26.png][]][9be4df3a64c3a8d7bb46af37468ecb26.png 1]

但不幸的是此系统版本较高，漏洞均以修复。

那会不会由弱口令呢？使用几个常用的用户名和top密码进行爆破，无果，我又想办法加到了此公司的一个qq群中，尝试在群文件中获取一些有效信息。

[![51f083a8ae1088e3d7388a68432eeac2.png][]][51f083a8ae1088e3d7388a68432eeac2.png 1]

果不然，群文件中有一份表格，记录了员工的详细信息

[![4e11277611d148644fcef80c2441b1e7.png][]][4e11277611d148644fcef80c2441b1e7.png 1]

[![67180bc70bbd0648067efcabc45a53cf.png][]][67180bc70bbd0648067efcabc45a53cf.png 1]

有了这些信息，我开始使用姓名和工号等组合成gitlab的用户名，使用常用弱口令定向爆破，期望能有一两个结果，但是还是无果，看来此gitlab对密码强度有要求，弱口令是走不通了。

### 0x01 柳岸花明又一村 ###

当使用google hack 语法搜索此gitlab时发现了几处无需认证即可访问的公开仓库。

[![20be41464ba4df3d75d267cabd4b4611.png][]][20be41464ba4df3d75d267cabd4b4611.png 1]

我开始把希望寄托在了这些可公开访问的仓库上，仔细翻看这些仓库，大多数都是一些接口文档，对本次渗透没有啥用。

终于在rabbitmq安装介绍文档中发现了一个oracle数据库的连接用户名和密码：

[![0381b0d5092e8ee244dc68b64feeba7e.png][]][0381b0d5092e8ee244dc68b64feeba7e.png 1]

在前面的信息收集过程中，已经发现了`x.test.com`这个子域名对应的ip地址开放了oracle数据库端口，我迅速连接了此数据库发现用户名密码正确，可以连接。

[![98d7c11e366f8eb0ada36dc03de37845.png][]][98d7c11e366f8eb0ada36dc03de37845.png 1]

由于此数据库版本较低，并且时sysdba权限，我可以直接以system权限执行命令。

[![dbc2d0cf4d8c1bb0f5436b94579a9bb9.png][]][dbc2d0cf4d8c1bb0f5436b94579a9bb9.png 1]

然后就是添加用户登录拿下了这台oracle数据库的服务器。

[![ba3f7d2cd251c5a23ac44f622cd2ba10.png][]][ba3f7d2cd251c5a23ac44f622cd2ba10.png 1]

并且在这个mysql文件夹中发现了mysql的配置文件。

[![b0ca265f64cabd9e34a17efca9716236.png][]][b0ca265f64cabd9e34a17efca9716236.png 1]

由于`test.com`这台服务器是开放了mysql数据库的，利用此信息，我又成功登录了mysql数据库。

[![8bf05cfeec91c839967d8fadeb15ebca.png][]][8bf05cfeec91c839967d8fadeb15ebca.png 1]

在mysql数据库中成功获取了供应商官网`test.com`后台的用户名和密码。

[![c7c1d14ed2a206d6e1de16c1e9fd7dd6.png][]][c7c1d14ed2a206d6e1de16c1e9fd7dd6.png 1]

当我满怀欣喜的去登录时，发现确实可以登录，但登陆后的后台功能都已废弃，只有一个大大的thinkphp错误。

[![d0dd8b23b4944c5968efcf23056fe6e2.png][]][d0dd8b23b4944c5968efcf23056fe6e2.png 1]

怎么办，原想的通过后台getshell的想法也落空了。(也尝试过使用Thinkphp3的漏洞利用，但也全部失败了)

### 0x02 绝处逢生 ###

到这里，我认为只能把希望放在这个mysql数据库上了，由于是windows系统，udf提权大概率成功不了，那就只能尝试写webshell了。写webshell的话需要知道绝对路径，我尝试使用各种办法让`test.com`报错，看报错信息中有没有包含绝对路径，一系列操作过后无果，只有404页面。

没办法了，只有盲猜一波，我突然想到了mysql数据库表的表名是否就是网站的目录名呢？

[![8890c378af4b9f3671a3464318f965bf.png][]][8890c378af4b9f3671a3464318f965bf.png 1]

使用这两个表名构造了以下绝对路径

c:\\hs_web
    c:\\hsweb
    d:\\hs_web
    d:\\hsweb

当尝试到`c:\\hs_web`时，webshell提示已经写入成功了。

[![1220d44e18f3501edddcf662c95d5d30.png][]][1220d44e18f3501edddcf662c95d5d30.png 1]

使用蚁剑连接成功：

[![b1f80959b5490523f6f50f8930a5433e.png][]][b1f80959b5490523f6f50f8930a5433e.png 1]

由于当前用户权限较小，使用potato成功提权：

[![6465438491505783cd73cc2aa143d47a.png][]][6465438491505783cd73cc2aa143d47a.png 1]

添加用户成功登录远程桌面：

[![9e74bf50233082834633a8003b0890bd.png][]][9e74bf50233082834633a8003b0890bd.png 1]

在服务端的nginx配置文件中发现了代理规则，涉及到几十家医院：

[![feacd1125e673acc41adcecb73c5fa1e.png][]][feacd1125e673acc41adcecb73c5fa1e.png 1]

原来这些医院的微信公众号业务都是先访问`test.com`这台服务器，然后再由这台服务器上的nginx转到到各个医院的真实服务器上。那这样也太不安全了吧，一旦供应商的这台服务器宕机、他们的业务也得跟着丢。

然后在这台服务器上发现了微信公众号后台源码，丢给同伴审计了一波，发现了后台登录绕过漏洞，可以直接登录后台。

[![36cae9d16258331f61dbe0cde51fbb11.png][]][36cae9d16258331f61dbe0cde51fbb11.png 1]

然后就是随意改信息啦。

至此本次渗透就结束了，其实拿到医院的真实ip后也可以更深入的进行测试。

### 0x03 总结 ###

1.对目标目医院的公众号进行抓包，发现所有的请求都指向了a.test.com域名

2.通过test.com域名备案查询，发现是一家供应商，且访问a.test.com提示错误信息“whitelabel error page”

该系统是sprint boot框架开发，通过dirsearch对其目录进行扫描，发现存在个swagger-ui页面，

测试sql注入以及文件上传都无果

3.通过子域名扫描工具对test.com进行扫描，发现存在www.test.com以及git.test.com和hc.test.com

同时又对这三个域名进行nmap端口扫描，发现hc.test.com对应的IP开放了1521端口以及www.test.com开放了3306端口。

4.发现存在git.test.com，测试几个gitlab的漏洞以及爆破也无果

5.通过test.com官网提供的售后QQ群，加入进去后，在群里下载出一份员工信息表

通过员工的姓名和工号组合对git.test.com进行爆破也无果。

6.通过google hack 搜索子域名site:git.test.com，发现可以访问gitlab的几个公共库,其中发现一些接口文档，并没有用，发现rabbitmaq库中泄露了oracle数据库的用户名和密码

7.这里通过泄露的数据库的用户名和密码通过oracleShell.jar连接hc.test.com，进入后发现是sysdba权限，可执行命令,添加用户以及到管理员，并通过注册表开启3389端口，远程桌面登录到hc.test.com数据库主机。

8.在数据库主机上发现存在mysql目录路径，里面的有mysql数据库配置文件，文件中包含了数据库的链接用户名和密码。

9.由于www.test.com这台服务器是开放了mysql数据库的，通过泄露的数据库用户名和密码使用Navicat 远程连接数据库，并获得网站登录的用户名和密码。

10.输入www.test.com/admin可出现后台登录登录页面，输入用户名和密码，发现后台功能不用，提示thinkphp3.13错误

11.尝试通过thinkphp3.13漏洞拿到shell，但是无果

12.这里需要通过mysql的日志写入shell，但是找不到路径，在数据库的表名中含有hs\_web以及hsweb两个表，猜测坑你是网站的目录名。猜测网站的物理路径是以下目录：

c:\\\\hs\_web

c:\\\\hsweb

d:\\\\hs\_web

d:\\\\hsweb

13.在尝试到c:\\\\hs\_web时，通过mysql的log成功写入一句话

14.通过蚁剑链接一句话，并执行whomai命令，显示普通权限，这里通过potato成功提权

sweetpotato.exe -a "whoami"

15.在命令终端下添加用户以及开启远程桌面

16.登录系统后，发现存在nginx配置，最终发现医院的微信公众号业务都是先访问test.com这台服务器，然后再由这台服务器上的nginx转到到各个医院的真实服务器上。

17，然后在这台服务器上发现了微信公众号后台源码，进行本地源代码审计，发现了后台登录存在绕过登录，可以直接登录后台。

原文链接： [https://xz.aliyun.com/t/10531][https_xz.aliyun.com_t_10531]

[3deb8fd599f54a414516ad91d4918267.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d98ddac9a0294506934922c6916a7b40.png
[3deb8fd599f54a414516ad91d4918267.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-15-42-06.png
[217a4544526641b179ba05a86f5170a8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/fba8d634134f48db8ab84c310fbed65f.png
[217a4544526641b179ba05a86f5170a8.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-15-45-43.png
[0d41df1d2e8f04f60c7d45f0ac1a70b3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/2e0c4a658d814831837087170f399051.png
[0d41df1d2e8f04f60c7d45f0ac1a70b3.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-15-51-03.png
[0ab2ff4060fcd04856b408d441e058c6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/8dd6dd8b71524950afcd0c3cea086797.png
[0ab2ff4060fcd04856b408d441e058c6.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-15-54-49.png
[01ec6d8de107526218ba4068038ce6a8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/284ac22eb2754e07b2cb656aa54b8559.png
[01ec6d8de107526218ba4068038ce6a8.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-16-05-30.png
[9bd43beebb1890f9dfb991277671ff41.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/133d291e2af34d12a9084c3f78aebed5.png
[9bd43beebb1890f9dfb991277671ff41.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-16-10-42.png
[31d4c4e9dcad3c0f201c296534dcc035.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/49bd56d730034bca984c18317a155114.png
[31d4c4e9dcad3c0f201c296534dcc035.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-16-13-00.png
[9be4df3a64c3a8d7bb46af37468ecb26.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/71c58a9b10ca452ebe9e83ed827c1a1a.png
[9be4df3a64c3a8d7bb46af37468ecb26.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-16-17-20.png
[51f083a8ae1088e3d7388a68432eeac2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/1c1b876864f241418197f6c9276c3a91.png
[51f083a8ae1088e3d7388a68432eeac2.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-16-49-55.png
[4e11277611d148644fcef80c2441b1e7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/8523f8b880d14c2cb2b00acbd51177da.png
[4e11277611d148644fcef80c2441b1e7.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/20211109164818.png
[67180bc70bbd0648067efcabc45a53cf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/88a6785aeb8b4dc0917f29f552a2d6dd.png
[67180bc70bbd0648067efcabc45a53cf.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-16-52-19.png
[20be41464ba4df3d75d267cabd4b4611.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/03674af8bf454cfeb743f3c22922864b.png
[20be41464ba4df3d75d267cabd4b4611.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-16-19-58.png
[0381b0d5092e8ee244dc68b64feeba7e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/6784fe9ca482427c9ab1550fa53eb558.png
[0381b0d5092e8ee244dc68b64feeba7e.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-03-59.png
[98d7c11e366f8eb0ada36dc03de37845.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/0687ec0611ff42938d4e4de00b252d1b.png
[98d7c11e366f8eb0ada36dc03de37845.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-07-45.png
[dbc2d0cf4d8c1bb0f5436b94579a9bb9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/c163831fc73e46f1b18c2fa9f4e8ff93.png
[dbc2d0cf4d8c1bb0f5436b94579a9bb9.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-11-10.png
[ba3f7d2cd251c5a23ac44f622cd2ba10.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/7910cd41aaa74b77a8d6a82821ab9972.png
[ba3f7d2cd251c5a23ac44f622cd2ba10.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-12-49.png
[b0ca265f64cabd9e34a17efca9716236.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d09e1295e33d4583bf436d8cefb00f75.png
[b0ca265f64cabd9e34a17efca9716236.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-14-05.png
[8bf05cfeec91c839967d8fadeb15ebca.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/93ac6792db544360a105ebc3793a462e.png
[8bf05cfeec91c839967d8fadeb15ebca.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-19-02.png
[c7c1d14ed2a206d6e1de16c1e9fd7dd6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/60b1ae3623624f6e9c156dd7f2181d4f.png
[c7c1d14ed2a206d6e1de16c1e9fd7dd6.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-20-24.png
[d0dd8b23b4944c5968efcf23056fe6e2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d829e4fa99e34e2e9883a9d6061cb821.png
[d0dd8b23b4944c5968efcf23056fe6e2.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-21-59.png
[8890c378af4b9f3671a3464318f965bf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/fca578b5be774b259062c8c166cc1fb3.png
[8890c378af4b9f3671a3464318f965bf.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-31-20.png
[1220d44e18f3501edddcf662c95d5d30.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/49cfbdc7b2ad459a889023afc9fc9660.png
[1220d44e18f3501edddcf662c95d5d30.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-34-44.png
[b1f80959b5490523f6f50f8930a5433e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ca53fafc73ce4e03b2a3354f4832f48d.png
[b1f80959b5490523f6f50f8930a5433e.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-36-10.png
[6465438491505783cd73cc2aa143d47a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/166f1b4553bd4d11b5662dc3617fc474.png
[6465438491505783cd73cc2aa143d47a.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-37-10.png
[9e74bf50233082834633a8003b0890bd.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/8f6905ef6b00418f8214133e6b0694b6.png
[9e74bf50233082834633a8003b0890bd.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-38-27.png
[feacd1125e673acc41adcecb73c5fa1e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/e5a0316f9e0c4c2c830979cee2a94cbb.png
[feacd1125e673acc41adcecb73c5fa1e.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-40-08.png
[36cae9d16258331f61dbe0cde51fbb11.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/7b3b6f41872343a7970e655f224752f5.png
[36cae9d16258331f61dbe0cde51fbb11.png 1]: https://cdn.jsdelivr.net/gh/handbye/images/picgo2021-11-09-17-45-11.png
[https_xz.aliyun.com_t_10531]: https://xz.aliyun.com/t/10531