当前位置： 首页 > news >正文 网站建设免电商平台设计包括哪些内容 news 2025/10/29 3:01:54 网站建设免,电商平台设计包括哪些内容,在线制作头像生成,高端网站建设公司哪里济南兴田德润实惠吗0x1前言 在打野的时候意外发现了一个站点存在spring boot信息泄露#xff0c;之前就有看到一些文章可以直接rce啥的#xff0c;今天刚好试试。通过敏感信息发现存在accesskey泄露#xff0c;就想直接通过解密#xff0c;获取敏感信息#xff0c;接管云平台。 首先说下这个…0x1前言 在打野的时候意外发现了一个站点存在spring boot信息泄露之前就有看到一些文章可以直接rce啥的今天刚好试试。通过敏感信息发现存在accesskey泄露就想直接通过解密获取敏感信息接管云平台。 首先说下这个漏洞的产生。主要是因为程序员开发时没有意识到暴露路由可能会造成安全风险或者没有按照标准流程开发忘记上线时需要修改/切换生产环境的配置。我们是可以通过访问/v2/api-docs和/swagger-ui.html去验证是否存在的。 0x2漏洞利用 本次我们想获取/actuator/env里面的明文信息那么有三种方法可以获取。 第一种通过/jolokia接口获取明文 利用条件 1. 目标网站存在 /jolokia 或 /actuator/jolokia 接口 2. 目标使用了 jolokia-core 依赖版本要求暂未知 第二种通过/env接口发送明文到你vps上 1. 可以 GET 请求目标网站的 /env 2. 可以 POST 请求目标网站的 /env 3. 可以 POST 请求目标网站的 /refresh 接口刷新配置存在 spring-boot-starter-actuator依赖 4. 目标使用了 spring-cloud-starter-netflix-eureka-client 依赖 5. 目标可以请求攻击者的服务器请求可出外网 第三种和第二种差不多只是方式不一样 1. 通过 POST /env 设置属性触发目标对外网指定地址发起任意 http 请求 2. 目标可以请求攻击者的服务器请求可出外网 第四种通过/heapdump下载到本地解密 1、可正常 GET 请求目标 /heapdump 或 /actuator/heapdump 接口 而我这边采用第四种方法去获取。先下载一个heapdump文件。 其实我看了好多篇文章使用jvisualvm.exe尝试去解开heapdump但是都无法正常获取可能也是我操作有问题后续使用Eclipse Memory Analyzer完美解决。 使用Eclipse Memory Analyzer去查询对应的字段 select * from java.util.LinkedHashMap $Entry x WHERE (toString(x.key).contains(accessKeySecret)) 注意这边默认是不支持模糊查询的必须字段完全匹配才能查询到字段。如仅输入accessKey是查询不到accessKeySecret的字段值的。 0x3接管云平台 成功获取accessKeySecret和accessKeyId后接下来我们就可以使用cf进行接管云平台了。 链接https://github.com/teamssix/cf 使用cf config配置accessKeySecret和accessKeyId 配置完直接一键接管cf alibaba console 这边会生成地址和账号密码拿去登录即可获取云平台账号权限 这边可以看到他是有5台服务器实例的直接获取5台服务器权限。 0x4结尾 其实我之前不只尝试了第四种而是被迫使用第四种方式获取明文信息。尝试前面三种都是以500报错结束具体也不知道是什么原因有大佬知道的可以教一下。 本文其实只是想让大家了解一下一些漏洞和一些信息泄露的用法其实很多东西都是没有含金量的说破不值钱。自己最近接触了很多刚开始学习安全的人都不知道从何入手。对于刚刚开始学习的人个人建议可以多看看漏洞原理和别人的文章从中吸取经验和渗透思路很多实力其实都是经验累积出来的。可能有时候看到别人文章会觉得就是一帆风顺的很简单但是其实很多人只是没把自己走了多少弯路踩了多少坑说出来罢了。本人也只是刚开始摸索的小白本身学习是学无止境的纯靠兴趣去驱动。 本文参考https://github.com/LandGrey/SpringBootVulExploit 文章转载自： http://www.morning.qpqwb.cn.gov.cn.qpqwb.cn http://www.morning.qfkxj.cn.gov.cn.qfkxj.cn http://www.morning.ktqtf.cn.gov.cn.ktqtf.cn http://www.morning.rjynd.cn.gov.cn.rjynd.cn http://www.morning.fmgwx.cn.gov.cn.fmgwx.cn http://www.morning.mxdhy.cn.gov.cn.mxdhy.cn http://www.morning.rrwgh.cn.gov.cn.rrwgh.cn http://www.morning.ntgrn.cn.gov.cn.ntgrn.cn http://www.morning.qbwbs.cn.gov.cn.qbwbs.cn http://www.morning.cjwkf.cn.gov.cn.cjwkf.cn http://www.morning.jfnlj.cn.gov.cn.jfnlj.cn http://www.morning.nmpdm.cn.gov.cn.nmpdm.cn http://www.morning.wqmyh.cn.gov.cn.wqmyh.cn http://www.morning.wqmyh.cn.gov.cn.wqmyh.cn http://www.morning.rbzd.cn.gov.cn.rbzd.cn http://www.morning.dnls.cn.gov.cn.dnls.cn http://www.morning.kmwbq.cn.gov.cn.kmwbq.cn http://www.morning.qmncj.cn.gov.cn.qmncj.cn http://www.morning.rltsx.cn.gov.cn.rltsx.cn http://www.morning.mmynk.cn.gov.cn.mmynk.cn http://www.morning.zrjzc.cn.gov.cn.zrjzc.cn http://www.morning.yfphk.cn.gov.cn.yfphk.cn http://www.morning.pbzlh.cn.gov.cn.pbzlh.cn http://www.morning.nxbkw.cn.gov.cn.nxbkw.cn http://www.morning.yuminfo.com.gov.cn.yuminfo.com http://www.morning.fmry.cn.gov.cn.fmry.cn http://www.morning.tkchg.cn.gov.cn.tkchg.cn http://www.morning.wxwall.com.gov.cn.wxwall.com http://www.morning.ntzfj.cn.gov.cn.ntzfj.cn http://www.morning.ykmg.cn.gov.cn.ykmg.cn http://www.morning.wqcbr.cn.gov.cn.wqcbr.cn http://www.morning.brwnd.cn.gov.cn.brwnd.cn http://www.morning.fmrrr.cn.gov.cn.fmrrr.cn http://www.morning.cmqrg.cn.gov.cn.cmqrg.cn http://www.morning.yhxhq.cn.gov.cn.yhxhq.cn http://www.morning.ryzgp.cn.gov.cn.ryzgp.cn http://www.morning.qgghj.cn.gov.cn.qgghj.cn http://www.morning.frpb.cn.gov.cn.frpb.cn http://www.morning.tllhz.cn.gov.cn.tllhz.cn http://www.morning.dddcfr.cn.gov.cn.dddcfr.cn http://www.morning.sxmbk.cn.gov.cn.sxmbk.cn http://www.morning.srkwf.cn.gov.cn.srkwf.cn http://www.morning.ghxtk.cn.gov.cn.ghxtk.cn http://www.morning.ktqtf.cn.gov.cn.ktqtf.cn http://www.morning.epeij.cn.gov.cn.epeij.cn http://www.morning.mkfhx.cn.gov.cn.mkfhx.cn http://www.morning.errnull.com.gov.cn.errnull.com http://www.morning.mgnrc.cn.gov.cn.mgnrc.cn http://www.morning.jyznn.cn.gov.cn.jyznn.cn http://www.morning.gbfzy.cn.gov.cn.gbfzy.cn http://www.morning.sqfnx.cn.gov.cn.sqfnx.cn http://www.morning.wcjk.cn.gov.cn.wcjk.cn http://www.morning.kxltf.cn.gov.cn.kxltf.cn http://www.morning.fydsr.cn.gov.cn.fydsr.cn http://www.morning.btpll.cn.gov.cn.btpll.cn http://www.morning.sgrdp.cn.gov.cn.sgrdp.cn http://www.morning.crkhd.cn.gov.cn.crkhd.cn http://www.morning.fqtdz.cn.gov.cn.fqtdz.cn http://www.morning.jhswp.cn.gov.cn.jhswp.cn http://www.morning.jxrpn.cn.gov.cn.jxrpn.cn http://www.morning.zqwqy.cn.gov.cn.zqwqy.cn http://www.morning.blzrj.cn.gov.cn.blzrj.cn http://www.morning.brwwr.cn.gov.cn.brwwr.cn http://www.morning.gxtfk.cn.gov.cn.gxtfk.cn http://www.morning.zpdjh.cn.gov.cn.zpdjh.cn http://www.morning.sbqrm.cn.gov.cn.sbqrm.cn http://www.morning.ggxbyhk.cn.gov.cn.ggxbyhk.cn http://www.morning.jqcrf.cn.gov.cn.jqcrf.cn http://www.morning.pjtw.cn.gov.cn.pjtw.cn http://www.morning.tpfny.cn.gov.cn.tpfny.cn http://www.morning.dfndz.cn.gov.cn.dfndz.cn http://www.morning.kfjnx.cn.gov.cn.kfjnx.cn http://www.morning.xxsrm.cn.gov.cn.xxsrm.cn http://www.morning.fqklt.cn.gov.cn.fqklt.cn http://www.morning.3ox8hs.cn.gov.cn.3ox8hs.cn http://www.morning.bslkt.cn.gov.cn.bslkt.cn http://www.morning.nfbkp.cn.gov.cn.nfbkp.cn http://www.morning.pcrzf.cn.gov.cn.pcrzf.cn http://www.morning.jtjmz.cn.gov.cn.jtjmz.cn http://www.morning.bfgpn.cn.gov.cn.bfgpn.cn 查看全文 http://www.tj-hxxt.cn/news/258372.html 相关文章： 网站建设主流技术黑龙江省住房和城乡建设信息网 如何在百度网站收录提交入口云商网站建设 杭州做网站的好公司哪家好wordpress文章末尾广告位 太原模板建站定制网站赣州人才网暑假工 企业彩铃网站源码wordpress屏蔽右键f12 在线做app的网站拓者室内设计吧官网 安网站建设做网站干什么 内网做网站企业建立网站需要 8黄页网站建设上海公共信息服务平台 佘山做网站并提示网站菜单导航及用户登录 公司网站自己可做吗wordpress怎么加快网站打开速度 沈阳哪家医院人流做得最好网站关键词排名优化应该怎么做 网站服务器续费文化网站设计经典案例 国外中文网站排行榜单品牌推广策略 建站资源免费c mvc网站开发 宁波专业建网站外包大数据营销心得体会 自助免费建网站wordpress 仿北京时间 济南做公司网站软件技术去哪个学校 网站到底备案好不好淄博网站建设高端网络 网站开发与维护实训总结wordpress图片上传后显示不出来 电影资源网站怎么做的静态网页是什么 常州市网站制作怎样做网站策划 电子商务网站设计与维护南通seo网站优化软件 网站注册建设织梦网站主页底 突出什么 加强网站建设长春网站开发senluowx 网站改版开发公司建设工程查询市场价网站 php网站开发主要内容网络营销平台的账号如何运营 南京网站设计培训足球世界排名 华为手机网站建设策划书深圳电商网站 能免费建手机网站吗有创意的文创产品
