记一次对微信引流网站的简单渗透测试

0x00 写在前头

今天翻了一下之前的笔记，翻到一个之前的测试记录

竟然在18年12月写的，这都19年7月份了。

没啥技术可言，纯粹发上来记录一下，不然就真的尘封了。

（顺便给博客除草，嘿嘿~）

0x01 前言

一个好友群里面发了个图片，说是微信18年年度数据报告

大家玩的挺欢，我玩了一下，职业病让我多看了一眼这个网站。

0x02 简单的信息收集

简单抓了一下包，看了一下请求的整个过程，好几个域名跳来跳去的

应该是为了简单抵抗一下微信的检测，增加存活时间。

simpleboot3这个命名有点眼熟

抓个包，分析一下

这熟悉的phpsessid(后端用的php)，熟悉的url模式，结合最近的tp漏洞，试一波tp任意代码执行。

找个payload打一打（后截图，莫较真）

发现报错了，tp 5.0.20，看一下ip发现是阿里云的。

0x03 漏洞利用

换tp5.0的payload继续搞，发现禁用了一些函数，没办法执行命令，而且还禁掉了think关键字，有一些payload用不了了，换了某360大佬之前给的不含关键字exp，继续干。（这里先膜一下大佬）

但发现assert执行也出错了，为了省事，不去纠结是什么原因了。（主要是菜）

用file_get_contents读了一下index.php，发现是thinkcmf。

原来是thinkcmf，我就说这个simpleboot的命名这么眼熟。

既然是thinkcmf，/admin的后台应该跑不了吧 ?

记得之前在t00ls看过thinkcmf的一些问题，我自己没审，比如thinkcmf的日志问题（其实就是tp的日志，存放目录自定义了一下而已。）

日志文件命名格式形如： /data/runtime/log/年月/日.log

日志文件中记录了一些sql记录。

那么就很简单了，用file_get_contents 读了一下近几天的日志，找到了后台的管理账号密码

比较简单的管理菜单。

看一下微信用户，没有什么敏感信息，但吸引了一大波流量，截止现在已经有4w多人玩了。

从12-12号开始算

网站管理员为了能让它存活更长时间，落地页面的域名就用了12个

二维码的域名也提供了5个，可惜已经被封了。

主要是想看看这些网站背后都干了些什么，从后台来看应该也就是获取流量了。

就到这里了，也没想拿shell。

0x04 总结

技术源于生活，昨晚看wooyun的月爆对此感触颇深，怀念。

转载于:https://www.cnblogs.com/r00tuser/p/11152762.html

记一次对微信引流网站的简单渗透测试相关推荐

2019最实用的8种精准微信引流方法教程
现在微信是很多人必用的软件,所以大家都喜欢通过微信来推广引流.最常见的就是天天在朋友圈里刷屏,这样子不但没效果,还会让朋友们产生反感,所以在这里分享几种精准的引流方法. 虽然微信引流的方法非常多,随便 ...
微信引流最有效的方法
微信引流最有效的方法.微信精准引流推广.诚心招代理无需经验我提供你引流推广过程微信:H13033654138,资源用不尽微信公众号引流的方法有哪些?微信:H13033654138,资源用不尽诚心招 ...
微信引流常用几大技巧
目前做微商的小伙伴都知道:微信引流=流量的获取+人脉的扩张,这两项是在营销中非常重要的环节;说起来简单,但还是会有人困惑于微信引流方法,以及微信引流之后的变现问题可以想象一下,做微信营销的本质是什么 ...
新手使用微信引流脚本，这两点你一定不能忽视
大部分的人对于引流是又爱又怕,喜欢客源,却引流不到客源,其实引流也不是那么难,只是你没有掌握技巧而已,如果你掌握了技巧,引流就不是问题.很多人都在问,引流脚本怎么样啊?微信引流脚本怎么引流啊?其实很简 ...
日记侠：微信引流第一步你做对了吗？
你好,我是王刚,行走于网络江湖的"日记侠".每天分享我的思考和经验,希望身边的人可以和我一样天天写日记,今天是王刚日记第600天. 很多人都知道这一点,也有教科书般的定义存在,但是 ...
商家自建流量池：10种微信引流的方法，值得学习社群营销的商家收藏！
社群电商的客流量有两种:第一种叫自带流量,第二种叫自建流量.我们讲的内容营销或视频直播营销,往往属于前者自带流量,即少数的意见领袖.达人.网红.知名品牌.但对于大部分的企业和商家来说,自带流量非常不现 ...
即构推出微信引流方案，助力在线教育平台大幅降低获客成本
随着互联网红利结束,线上流量贵.获客成本高.用户数量增长难成为在线教育的行业困境.为了增加品牌曝光度,在线教育平台习惯依赖高价明星代言.巨额综艺冠名.投放品牌广告等方式来进行引流. 当拉新成本越来越高 ...
微信引流推广：美拍视频简单的引流方法分享
有人的地方就能搞营销搞到流量,只要你的执行力到位,就能获取到微信引流:小众的视频平台简单操作获取100+精准客户! 自己的第一批忠实粉丝. 今天分享的方法简单到你只要执行就有效果. 不需要你去写文章 ...
关于微信引流的几种方法
这几年一直在做网赚项目,通过向同行学习以及自己的实践,掌握了一些引流方法,现对这些方法进行归纳和总结,并分享给大家.我计划出一个系列的对微信引流的方法教程,这系列教程的引流方法包括微信引流,闲鱼引流, ...

记一次对微信引流网站的简单渗透测试

记一次对微信引流网站的简单渗透测试相关推荐

最新文章

热门文章