「掌控安全」未授权文件上传src挖掘思路插图

前言

根据月佬对于doc.htmlknife4j接口文档的讲解,在某处信息收集打点的时候发现该问题。

收集-knife4j

语法:图标搜索 + 学校资产

图片

通过搜索该图标可以发现knife4j接口文档

如何搜索学校资产可以通过org搜索组织等方式

收集示例如下

首先输入关键词 knife4j

图片

发现前两个的资产最多,同时点击

图片

然后点击部分资产内部,可以发现确实是输入knife4j的文档

接着收敛资产,添加组织org为教育,结合语法如下

org="China Education and Research Network Center" && (icon_hash="-1776476841" || icon_hash="-327916044")
图片

但是这时候其实会发现资产并不多,因此在鹰图上也进行搜索

web.icon=="b917999252a8678e2dbee25a8274c504"
图片

接着收敛资产,以组织为例

cert.subject="edu"&&web.icon=="b917999252a8678e2dbee25a8274c504"
图片

发现-未授权文件上传点

发现资产之后进行接口翻阅,发现一处比较奇怪的接口

图片

内部未发现鉴权参数,点开了调试尝试上传文件

图片

通过上传接口,发现会直接暴露上传后的文件路径

图片

经过测试发现,该接口上传脚本文件后进行访问会变成下载,说明文件类型在上传之后已被修改

因此构造了.html后缀的xss文件

alert(1)

上传后访问路径触发存储xss

图片

接着搜索C段又找到了几处上传接口

图片