没东西水了，而且没成功，索性就放出来吧。

很久以前的案例，由于太过丢人，一直不怎么敢提，有些资源当时也没截完全，就顺手看看吧闲着无聊，开日！
目标是谁好呢？随便找一个吧。

*电？很NB，就他了！

外网搜一堆资产，不是自研，就是一些功能简单的前端Nodejs，一眼能打的资产很少。

怎么办呢？这时候我们发现了一个很好的目标

系统名称eipplus，一看就是个类似OA系统一样的东西，功能一定很多。同时一搜公网资产

很好，很有精神！同代码的站点，非常非常的多，就从他作为突破口！

总而言之，先搞到一套源码先。之后就是开始平淡无奇的供应链环节，辣么多站，总不至于一个都打不下来吧

平淡无奇供应商找个注入

平淡无奇getshell

平淡无奇发现目标

平淡无奇打死

怎么打死的呢？利用内网数据正好撞到sysadmin的密码，然后登录上去后台上传Logo图片直接传马成功

下载源码！一看

人当场裂开，怎么还是sourceguardian加密的。当场想哭。不过在这之前，至少我们能见到他们系统内部长啥样以及他们的代码架构具体是啥了。

本地起个环境，大概的模样长这样

随手截的一些图，大伙看个乐呵就行

以及大致的目录结构

到此为止，我们已经拥有了目标代码，只不过是加密的，以及一个同站的高权限后台。但是我们目标系统肯定是没有sysadmin权限的

现在我们的方案有几个：

• 配合目录和后台，黑盒寻找未授权打死
• 寻找后门工具/开发者工具，想办法解密然后打死
• 寻找越权，然后从低权限越权到高权限，再利用我们后台传马的功能直接打死目标

看看其他可能的漏洞点，这类系统的漏洞点无非就是几个，我们只要关注如下地方

• 相册
• 附件
• 上传
• 系统环境管理
• 系统更新

都测了一通过后，发现安全做的勉强还行，普通用户都没办法访问系统更新和系统环境管理这些后台功能，相册和附件那没有直接一眼低权可以访问的getshell的点

只能第二个方法，我们看看目录结构

对于黑盒看目录结构，我们重点关注几个东西

• 文件管理（filemanager），看看有无未授权
• 开发工具（tools/develops）,有没有开发遗留后门
• 各类工具(utils),主要是看有没有未授权
• 日志(log) , 主要是看有没有信息泄漏
• 配置文件(config),其实一般看不出来啥，但是我写出来只是单纯觉得一旦能看出来啥就很厉害
• 管理后台(admin)，主要还是看未授权

注意是黑盒情况下，因为我们目前没办法获得完整源码，所以没办法深入查看详细业务去审计漏洞，实际白盒的话还有很多漏洞是会出现在业务代码里的

只要看到这些关键词，基本都是很有意思的东西，都可以想办法打开访问访问试试，看看有没有什么未授权接口或者开发遗留

其中有几个东西很有意思，一个是

这个文件夹下面很有可能会有开发的一些系统调试工具，比如SQL查询工具啊文件管理工具等 以及

虽然说是iso，但是其实本质上应该还是个zip相关工具，就有可能出现zip畸形目录漏洞，利用../../这样逃逸导致任意文件写入之类的

以及顺手看了看后台admin目录下的内容，都是很有意思的东西

以及还有一个很好玩的文件

推测这是用于授权的证书，只不过这个<?php，非常的有意思

简单初步黑盒测了一通，完全没有未授权接口，人都傻了，怎么办？开逆咯

sourceguardian 12加密，去淘宝查了下价格，一个文件5R。这几千个文件，tnnd逆到猴年马月，而且看都看不出来，没办法，只好装工具先自己手动看字节码逆了

装了个vld，一个字节一个字节的看，对着developtools和admin下的东西，看了半天，P都没看出来

人直接脑溢血，越想越气，越气就越怒，怒怒怒到极致邪气了，服气，不服不行，怎么办？恶像胆边伸，要不我们直接把开发商打了吧。

直接去代码里看这个开发商，很容易的看出开发商是谁

本系统由百*资通维护

进行一波信息搜集

甚至发现他们有git

好，很有精神，就日它了！但是TMD git访问不到，怎么办？

以及一些git泄漏，但是都没什么卵用。

其他站点不是都是eipplus这套系统的测试站，就是一个单纯啥都没有的前端。怎么办呢？

这时候，我们发现了一个东西

30天免费试用？

抱着试一试的态度，注册了申请

结果真的发来了，乐，对自己的系统这么自信

这不干他？直接一眼顶针，故技重施，后台，系统管理，上传LOGO图片，一看，tmd修了，上传失败

只能继续看其他东西了，继续回到刚刚的思路，系统环境管理看完了，看系统更新

更新Saas服务？以及刚刚admin目录下那个saas.txt并且带<?的php文件

嘿哟喂，这不巧了吗？于是乎，添加一句话

上传，死！果然，直接liences他们是直接用include加载的，乐

顺带看了一下，他们这全套源码都是ROOT部署的，十分的NB，web目录全部没有权限写，只有这个saas.txt我们有权限修改

一看，不用打git了，他们部署的站点，直接就没加密，愉快的下源码

虽然说站点第二天就被应急了，amazone有什么agent检测的吗？不知道怎么回事，不过这不碍事。

愉快开审咯！

继续整理现有资产

• 我们拥有的：完整的白盒代码
• 目标的低权限账户，虽然我们手头暂时没有，但是我们先假设我们有，辣么多员工如果一个账户都搞不到那还是别打肾透了.jpg，对自己自信一点

所以现在的需求很简单，就从之前的半黑盒完全转变成了白盒。这下门道就多多了。比如业务代码啊框架啊就有很多可以审的地方了

先按照找Java的管理，找Fastjso...噢不对，这是PHP代码，也一样。 首先先看autoload这类自动加载

一眼Guzzlehttp

再搜unseralize，结果真的有！！

在 calendarcsv_import.php 目录下，并且普通用户可以访问！

直接用PHPGGC构造请求(详细payload不是这样，要进行一些编码，但是这里为了方便查看就直接这样了，大家看看就行)

POST /eipplus/calendar/csv_import.php
action=next
next=1
trans=111
fieldsep=1
cal_fields=O:24:"GuzzleHttp\Psr7\FnStream":2:{s:33:" GuzzleHttp\Psr7\FnStream methods";a:1:{s:5:"close";a:2:{i:0;O:23:"GuzzleHttp\HandlerStack":3:{s:32:" GuzzleHttp\HandlerStack handler";s:9:"phpinfo()";s:30:" GuzzleHttp\HandlerStack stack";a:1:{i:0;a:1:{i:0;s:6:"assert";}}s:31:" GuzzleHttp\HandlerStack cached";b:0;}i:1;s:7:"resolve";}}s:9:"_fn_close";a:2:{i:0;O:23:"GuzzleHttp\HandlerStack":3:{s:32:" GuzzleHttp\HandlerStack handler";s:9:"phpinfo()";s:30:" GuzzleHttp\HandlerStack stack";a:1:{i:0;a:1:{i:0;s:6:"assert";}}s:31:" GuzzleHttp\HandlerStack cached";b:0;}i:1;s:7:"resolve";}}

本地测试轻松写出

想着勾八目标直接写webshell tnnd不就行了？结果想起来他们这全套都是部署在ROOT下面

不管了先试试！冲！

https://osheip.**.com.tw/eipplus/home/index.php 121public/121public

轻轻松松搞到个账户先

漏洞点也存在

写出！寄，没写成功，但是也不算太糟，至少已经成功了98%了，距离完美只差临门一脚

继续整理思路，现在我们已经有getshell的方式了，虽然说web目录不可写，但是那个saas.txt文件是可以写的。并且guzzle写文件用的是file_put_contents，默认写出是写相对路径，我们压根不需要web目录的绝对路径就能定位到saas.txt的地址。假如如果我们只要getshell不管后续，我们只要用这个反序列化直接对着saas.txt覆盖成我们的马就行，但是这样会有一个问题

如果直接写的话就会覆盖原本saas配置，导致直接网站直接爆炸，并且就算我们getshell后，也没办法恢复成原样，因为我们压根不知道原本的saas配置导致光速被发现。所以我们就只剩下最后一个目标，挖个洞。把saas.txt下回来！，然后在夜深人静的时候，光速写入saas.txt，连上shell再把saas.txt改回去。

接下来就面临噩梦了，必须得审业务代码，他们这个B代码总共有500M，属于是最害怕的一集出现了！！

没办法，硬着头皮上了，什么file_get_contents啊，fopen啊什么一大堆看了一遍，不是修了就是写的十分的安全。痛苦，悲

看了两个多小时，终于终于终于终于终于，不愧是天天天天天才的我，终于读成功了。

继续回到上面一个重点关注列表：

• 相册（输）
• 附件
• 上传（输）
• 系统环境管理（输）
• 系统更新 （输）

具体流程如下：

发布帖子

随便添加个附件

抓包，修改tmp_name，让他进行跨目录

直接查看源码，在common_functions.inc.php中，可以发现代码对于tmp_name是直接进行拼接的，没有任何过滤！！！

然后我们发布文件后，下载的文件就会变成我们的tmp_name的文件。只要我们把tmp_name，指向saas.txt这个文件，然后发布，然后再下载我们自己的附件，就可以把saas.txt下回来了！爽！

不愧是我，天才中的天才

本地测试成功，远程测试成功

saas.txt下回来成功，现在所有拼图都已经集齐

现在就是等待夜深人静的时候上去csv_import啪的一下打死这破站，然后开开心心的冲内网美滋滋了

为了防止被发现，开始清理帖子走人，成败就等夜深人静时刻

然后。。。。就没有然后了。

晚上回来，发现，无法登录了都。。

天才你mlg臭嗨，笨比，你就是个纯纯纯纯笨比，笨比中的笨比，啊啊啊啊啊

原来笨比，竟是我自己。

当我沉浸在下回saas.txt洋洋得意中的时候，我手贱删除了帖子。

但是我没有意识到，删除贴子的时候，会删除附件，然后由于这个帖子的附件已经成功被我重定向到saas.txt，我一删除附件，saas.txt也就跟着一起消失了。

然后站就这么炸了，一键白打。

完

来自2024的点评

这事很早很早的时候弄得，那时候还是太年轻了啊。那时候只学会供应链的其一，没学会供应链的其二。终究搞得还是太费力气了，在自己不熟悉的领域（代码审计）上硬磕

测试站应该深入继续，而不是死盯着源码，应该直接拿下git然后悄悄往里面投毒，或者往发布的release版本里面投毒，这种源码加密站点投毒是最方便的。基本检查不出来。当时应该离git很近了。

不过无所谓了，反正就是休闲时日一日的东西。继续滚去干活了

近况

距离上次发文章，已经过了半年多了。想着博客都长草了，正巧新年了来水个博客证明自己还活着

因为我个人观念是农历新年才算新年，然后过年的时候又在家里摆烂啥也不想动，所以才拖到现在开始发文章

这一年来发生了许多事，日了许多之前想都没办法想的庞然大物，挺好玩的。缺点就是没办法像之前那样做个法外狂徒把过程都给发出来。毕竟这次是真的挺刑的。

然后由于精力都花在工作上了，就没什么时间摸鱼搞那些可以作为文章发出来的案例，然后太水的又不想发，所以博客就一直没怎么更新。

争取2024多搞几个案例水水文章。

生活

来到广州也一年多了，对广州想法就是一个，好多人，全是人，全TMD都是人

而且这边车道修的好宅，有些地方甚至没有自行车道，导致走在哪都是360无死角被电鸡创，非常的刺激，非常滴恐怖

以及广州这个交通我的看法是真的没救了，除了地铁和电动车其他出行方式基本是瘫痪状态，上次3km坐车坐了1h你敢信

不过广州吃的挺多的，虽然不太合我胃口，但是不得不说吃东西确实挺方便(x

虽然但是，只有出来了一趟才知道家里原来还挺好的，过年回了一趟家久违的在公交车上感受到了推背感

然后今年还去了两趟北京两趟深圳，百京就是众所周知的原因就不说了，深圳的话也去了两次，深圳和广州比那就不一样了，那才是真-一线城市的感觉。

专业

一年多不对，两年了，没有排练，没有琴房，没有试唱练耳，甚至没有勾八和声作业，没有每天的a→a↗a↑a↘a↓。不知不觉原本作为每天的日常行为已经完全消失了。现在手上反而特别怀念之前这些。

之前上学音乐为专业的时候天天玩电脑，自己本专业碰都不想碰。现在上班了反而反过来了，天天碰电脑，下班了脑袋里却一直想着音le的事。果然，消灭一个爱好最好的方式就是把它变成上班hh

不过不怎么意外的是，成功在2023学到了一门新技能，那就是弹guitar。虽然很早就开始自己慢慢摸了，大概应该是2021年9月份时候？不过那时候还在学校and被拉去苦逼山里当老师（真-公立校的老师），当了一个学期，然后回来就是直接毕业寄导致2021-2022基本都是没怎么练琴的状态。

哇刚学的时候那是真的好痛苦，看着视频里大佬们看的非常羡慕，然后再看看现实里自己的菜逼技术那是真的非常折磨，恨不得下一秒自己就变的那么强。真正有突飞猛进的进步还是在2023年，不是说弹的多好，至少算是入门等级了吧。至少证明了坚持的重要性。

今天同时还下单了个midi键盘，现在前置技能树基本快点齐了，（和声√ 钢琴√ 架子鼓x bass√ 吉他√ 人声x）看看能不能在2024年写出一个自己的作品出来，之前都是小打小闹，只能算demo，看看今年成果吧

技术

技术这方面怎么说呢，已经融入到日常生活了，完全不知道有什么可以量化的，所以具体提升也不知道怎么样。

抽象一点呢，就是相当于虽然不能百分百指哪打哪，但是都有碰一碰的底气。打渗透就像之前三字经，钻一切空子，制造一切机会。

找到机会了之后，剩下就是拼基本功和细节了。对抗方面基本不说了，这个基本算得上是基本功，什么后渗透啊，终端对抗啊，都取决于一个前提，那就是你能打到点。

不过2024年的今天，打点也越来越取决于两个方面了，一个是军火，也就是漏洞储备，还有一个就是社工。常规漏洞已经越来越少了，特别是对于那些有点安全水平的目标来说，基本找不到常规漏洞，就算有常规漏洞，也是一瞬间被设备捕获然后光速告警GG。

所以现在基本都是靠漏洞储备，0day，要不就是现场挖。。不过这玩意感觉只能作为决战兵器使用，为什么？因为漏洞基本只能打一次，打完了基本就修了。你辛辛苦苦挖了那么久的东西打了没了就没了

然后就是社工，一般我们说社工只有钓鱼这一类攻击，很好用，非常好用，但是可惜我就是学不会，嘴笨TAT，上来直接一个简历.exe，然后顺带被劈头盖脸一顿骂，感觉拿的不是工资是精神损失费。但是钓鱼也只能算是社工里很小的一块，真正的大头在后面，这些我待会说。

最后总结了下，越打攻防越发现，哥才是最后的版本赢家。因为这两年下来，我越发越感觉到，漏洞是越打越少的，但是的资源是越打越多的。

**利用各种手段拿下A，用A的"资源"（资源包含很多，不只数据，还有信道，甚至正常业务）去拿下B，然后可能原本拿不下的C，用A和B的"资源"配合，成功拿下C，然后再以此类推，利滚利滚利，越滚越大，手牌越打越多。

而我们这批常规rt，一开始还能刷常规资源，常规资源刷没了之后，就开始刷储备，储备刷完刷0day，我们刷一次，手里牌就打出去一张，然后就得靠后端/实验室大哥辛辛苦苦的去给我们攒手牌（挖漏洞），最后结果就是手牌越打越少。

跟别说**不只能用社工手法，还能用推送手法，甚至关键时候人家也能配合漏洞刷，基本是无往不利。

有点想加入他们，但是这种基本只有两个路子，不是走出去就是收编，走出去太苦收编又没人要我。 算了，扯了些有的没的，这暂时我没啥关系，现在只能暂时当个守法好公民了。

所以技术方面能说的也没啥，磨练基本功，提高自身基本素质（基本编程，对抗，后渗透）。然后同时开始储备（漏洞，源码，数据，甚至是信道）。在未来赛博战场。这些都将派上用场。

结尾

总之想说的就这么多了，2024年见

有点刑，想看的直接找我要密码