渗透测试-若依框架的杀猪交易所系统管理后台

2024-06-23 00:36

本文主要是介绍渗透测试-若依框架的杀猪交易所系统管理后台,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

前言

这次是带着摸鱼的情况下简单的写一篇文章,由于我喜欢探究黑灰产业,所以偶尔机遇下找到了一个加密H币的交易所S猪盘,我记得印象是上年的时候就打过这一个同样的站,然后我是通过指纹查找其它的一些站,那个站已经关了,而且还在当前IP主机上部署了Viper,厚礼谢,这是演什么剧本。

img

通过指纹搜索到了相关系统,这种交易所通常只做不干净的事情,而且源码购买成本还很低还有一种就是租的盘。

img

访问后台,啊!!!该死的熟悉感,熟悉的背景,熟悉的框架

img

经常日站的朋友们都知道,像这种盘经常日的一眼看去不是若依框架就是其他框架,不是男的开发就是女的开发的,如果你不会判断那么你只需要按F12打开调试器看见ruoyi就说明了,恭喜你,你猜对了,就是若依框架!而且这种貌似是测试站,但是很多部署上去,在源代码中登陆表单的user和password是写死的,访问后账号密码就粘那了!

img

登陆页面中的表单段代码,admin永远是个显眼包般的存在,这下好了,直接登陆!

<input type="text"     name="username" class="form-control uname"     placeholder="用户名" value="admin"    />
<input type="password" name="password" class="form-control pword"     placeholder="密码"   value="admin123" />

img

登陆进去后这个是后台的大概的一个风格,说实话我是头二回看到此类的后台系统(因为我之前的日过所以是二回),之前我打了其它交易所的站还带K线插针功能哟,所谓一键抄家,然而系统功能都差不多,什么交易机器人、合约、等,巴菲特玩了都落泪!

imgimg

img

若依框架只要不是最新版本,都是出了名多洞框架,而且均为是已经公开POC的,当然这个是要登陆的,我们欣赏到了上面的猪盘大概样貌,我们就需要动手了哟。

一、SQL注入漏洞 ,这个地方角色管理模块上都是有点毛病的,受影响的有参数值:params[dataScope]=、ancestors= 这里简单就演示一处了

img

二、任意文件读取

img

三、直接使用综合工具完成一条龙操作

img

四、shiro是若依的其中一个组件用Cookie: rememberMe=1方式来识别是否使用了组件,在进下一步攻击和利用。

img

下面这张图是我之前测试同一站的笔记截图,都几乎是一样的。但是这次文章内容测的并没有检出组件所以用之前笔记的图代替一下。

img

总结:

之前没编写文章是总感觉这些交易所像是烂尾的源码,用的人也不多,加上又碰巧用的是若依框架,所以渗透从头到尾几乎没有什么技术含量,总体下来是比较顺畅。那么就先到这里,我看看能不能找到上年另外一个S猪盘的盘子,找到在写写,那个就是不是若依的,所以也比较有挑战性。

这篇关于渗透测试-若依框架的杀猪交易所系统管理后台的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/1085843

相关文章

Python Dash框架在数据可视化仪表板中的应用与实践记录

《PythonDash框架在数据可视化仪表板中的应用与实践记录》Python的PlotlyDash库提供了一种简便且强大的方式来构建和展示互动式数据仪表板,本篇文章将深入探讨如何使用Dash设计一... 目录python Dash框架在数据可视化仪表板中的应用与实践1. 什么是Plotly Dash?1.1

基于Flask框架添加多个AI模型的API并进行交互

《基于Flask框架添加多个AI模型的API并进行交互》:本文主要介绍如何基于Flask框架开发AI模型API管理系统,允许用户添加、删除不同AI模型的API密钥,感兴趣的可以了解下... 目录1. 概述2. 后端代码说明2.1 依赖库导入2.2 应用初始化2.3 API 存储字典2.4 路由函数2.5 应

Python GUI框架中的PyQt详解

《PythonGUI框架中的PyQt详解》PyQt是Python语言中最强大且广泛应用的GUI框架之一,基于Qt库的Python绑定实现,本文将深入解析PyQt的核心模块,并通过代码示例展示其应用场... 目录一、PyQt核心模块概览二、核心模块详解与示例1. QtCore - 核心基础模块2. QtWid

最新Spring Security实战教程之Spring Security安全框架指南

《最新SpringSecurity实战教程之SpringSecurity安全框架指南》SpringSecurity是Spring生态系统中的核心组件,提供认证、授权和防护机制,以保护应用免受各种安... 目录前言什么是Spring Security?同类框架对比Spring Security典型应用场景传统

Python结合Flask框架构建一个简易的远程控制系统

《Python结合Flask框架构建一个简易的远程控制系统》这篇文章主要为大家详细介绍了如何使用Python与Flask框架构建一个简易的远程控制系统,能够远程执行操作命令(如关机、重启、锁屏等),还... 目录1.概述2.功能使用系统命令执行实时屏幕监控3. BUG修复过程1. Authorization

SpringBoot集成图片验证码框架easy-captcha的详细过程

《SpringBoot集成图片验证码框架easy-captcha的详细过程》本文介绍了如何将Easy-Captcha框架集成到SpringBoot项目中,实现图片验证码功能,Easy-Captcha是... 目录SpringBoot集成图片验证码框架easy-captcha一、引言二、依赖三、代码1. Ea

Gin框架中的GET和POST表单处理的实现

《Gin框架中的GET和POST表单处理的实现》Gin框架提供了简单而强大的机制来处理GET和POST表单提交的数据,通过c.Query、c.PostForm、c.Bind和c.Request.For... 目录一、GET表单处理二、POST表单处理1. 使用c.PostForm获取表单字段:2. 绑定到结

SpringBoot中整合RabbitMQ(测试+部署上线最新完整)的过程

《SpringBoot中整合RabbitMQ(测试+部署上线最新完整)的过程》本文详细介绍了如何在虚拟机和宝塔面板中安装RabbitMQ,并使用Java代码实现消息的发送和接收,通过异步通讯,可以优化... 目录一、RabbitMQ安装二、启动RabbitMQ三、javascript编写Java代码1、引入

Nginx设置连接超时并进行测试的方法步骤

《Nginx设置连接超时并进行测试的方法步骤》在高并发场景下,如果客户端与服务器的连接长时间未响应,会占用大量的系统资源,影响其他正常请求的处理效率,为了解决这个问题,可以通过设置Nginx的连接... 目录设置连接超时目的操作步骤测试连接超时测试方法:总结:设置连接超时目的设置客户端与服务器之间的连接

修改若依框架Token的过期时间问题

《修改若依框架Token的过期时间问题》本文介绍了如何修改若依框架中Token的过期时间,通过修改`application.yml`文件中的配置来实现,默认单位为分钟,希望此经验对大家有所帮助,也欢迎... 目录修改若依框架Token的过期时间修改Token的过期时间关闭Token的过期时js间总结修改若依