实战 | 一个企业官网上线前的渗透测试

简介:

给了我一个内网地址,http://192.168.81.128/htdocs/打开瞧瞧。。。

_76

额,BEECMS,像这种cms搭建的,咱们可以优先考虑去百度,谷歌等搜索相关的cms漏洞。

最重要的还是信息收集,你信息收集做好了,突破点,脆弱点就能更快速准确的找出来了;常规的信息收集手段、端口扫描、网站的架构(操作系统+数据库+Web容器+哪个语言开发的)、敏感目录以及敏感文件扫描、子域名收集、JS文件也可以看看,如果是伪静态的页面可以使用谷歌语法找带参数传递的地方寻找SQL注入(需要工具的可以公众号发消息)。

这里使用的是御剑(7kb大佬的也挺好用的)。

_312

这里扫出来一个备份文件,我们先下载出来,看看其他地方还有什么脆弱点。
接下来就是做下端口扫描。

_364

这里开放了3306 Mysql数据库的,还有445端口。这里可以使用msf进行Mysql数据库的攻击模块尝试攻击,445端口呢,可以尝试用MS17-010(所谓的永恒之蓝)。

这里我尝试了MS17-010,失败了,可能是因为服务器有杀软防护这些。(需要MS17-010漏洞复现的朋友可以发消息到公众号可以出漏洞复现的文章)。
端口没什么可利用的了,那就回到官网找找看。可能存在SQL注入。

_563

可以的,既然有带参数传递,那就试试SQL注入吧,最简单的办法就是单引号,and 1=1。

_647

毫无反应,也不报错,应该是对外来的拼接语句做了过滤。
那这里就只有后台在看看了。直接手打www.xxx.com/admin/直接跳转到后台。

_750

通常这种没有验证的后台,可以优先尝试弱口令,再使用账号admin/xxxx用burp suite 跑他。这里是弱口令,我就直接登入进来了。

_823

进入后台以后,我们要找的就是上传点尝试Getshell,或者瞧瞧有没有数据库备份

_867

尝试上传一个一句话木马(菜刀+一句话木马)。上传前把格式改成jpg然后抓包修改后缀为.php

_917
_950

成功上传,我们用菜刀连接一下。

_970

到这里就结束了(不让往下搞了,证明有点东西就可以了)

相关文章
|
10月前
|
测试技术 持续交付 UED
软件测试的艺术:确保质量的实战策略
在软件开发的舞台上,测试是那把确保每个功能如交响乐般和谐奏响的指挥棒。本文将深入探讨软件测试的重要性、基本类型以及如何设计高效的测试策略。我们将通过一个实际的代码示例,展示如何运用这些策略来提升软件质量和用户体验。
|
10天前
|
存储 关系型数据库 测试技术
玩转n8n测试自动化:核心节点详解与测试实战指南
n8n中节点是自动化测试的核心,涵盖触发器、数据操作、逻辑控制和工具节点。通过组合节点,测试工程师可构建高效、智能的测试流程,提升测试自动化能力。
|
1月前
|
Web App开发 人工智能 JavaScript
主流自动化测试框架的技术解析与实战指南
本内容深入解析主流测试框架Playwright、Selenium与Cypress的核心架构与适用场景,对比其在SPA测试、CI/CD、跨浏览器兼容性等方面的表现。同时探讨Playwright在AI增强测试、录制回放、企业部署等领域的实战优势,以及Selenium在老旧系统和IE兼容性中的坚守场景。结合六大典型场景,提供技术选型决策指南,并展望AI赋能下的未来测试体系。
|
1月前
|
存储 人工智能 算法
AI测试平台实战:深入解析自动化评分和多模型对比评测
在AI技术迅猛发展的今天,测试工程师面临着如何高效评估大模型性能的全新挑战。本文将深入探讨AI测试平台中自动化评分与多模型对比评测的关键技术与实践方法,为测试工程师提供可落地的解决方案。
|
30天前
|
人工智能 缓存 测试技术
Playwright进阶指南 (6) | 自动化测试实战
2025企业级测试解决方案全面解析:从单元测试到千级并发,构建高可用测试体系。结合Playwright智能工具,解决传统测试维护成本高、环境依赖强、执行效率低等痛点,提升测试成功率,内容从测试架构设计、电商系统实战框架、高级测试策略、Docker化部署、CI/CD集成及AI测试应用,助力测试工程师掌握前沿技术,打造高效稳定的测试流程。
Playwright进阶指南 (6) | 自动化测试实战
|
15天前
|
人工智能 数据可视化 测试技术
AI 时代 API 自动化测试实战:Postman 断言的核心技巧与实战应用
AI 时代 API 自动化测试实战:Postman 断言的核心技巧与实战应用
213 11
|
1月前
|
资源调度 前端开发 JavaScript
Jest 测试实战指南
本文系统讲解如何使用 Jest 进行高效的 JavaScript 函数测试,涵盖环境搭建、测试用例编写、模拟函数与快照测试等内容,帮助开发者提升代码质量与测试效率。
|
5月前
|
监控 测试技术 数据库连接
RunnerGo API 性能测试实战:从问题到解决的全链路剖析
API性能测试是保障软件系统稳定性与用户体验的关键环节。本文详细探讨了使用RunnerGo全栈测试平台进行API性能测试的全流程,涵盖测试计划创建、场景设计、执行分析及优化改进。通过电商平台促销活动的实际案例,展示了如何设置测试目标、选择压测模式并分析结果。针对发现的性能瓶颈,提出了代码优化、数据库调优、服务器资源配置和缓存策略等解决方案。最终,系统性能显著提升,满足高并发需求。持续关注与优化API性能,对系统稳定运行至关重要。
|
1月前
|
人工智能 缓存 监控
大模型性能测试实战指南:从原理到落地的全链路解析
本文系统解析大模型性能测试的核心方法,涵盖流式响应原理、五大关键指标(首Token延迟、吐字率等)及测试策略,提供基于Locust的压测实战方案,并深入性能瓶颈分析与优化技巧。针对多模态新挑战,探讨混合输入测试与资源优化
|
3月前
|
Java 测试技术 容器
Jmeter工具使用:HTTP接口性能测试实战
希望这篇文章能够帮助你初步理解如何使用JMeter进行HTTP接口性能测试,有兴趣的话,你可以研究更多关于JMeter的内容。记住,只有理解并掌握了这些工具,你才能充分利用它们发挥其应有的价值。+
738 23