![「掌控安全」未授权文件上传src挖掘思路插图 「掌控安全」未授权文件上传src挖掘思路插图](https://blog.eswlnk.com/wp-content/uploads/wpcy/f4dac96542f98c80c2cdc39d2a66421c.jpg)
前言
根据月佬对于doc.html
与knife4j接口文档
的讲解,在某处信息收集打点的时候发现该问题。
收集-knife4j
语法:图标搜索 + 学校资产
![「掌控安全」未授权文件上传src挖掘思路插图1 图片](https://static.eswlnk.com/2023/09/20230919085323828.png-esw)
通过搜索该图标可以发现knife4j接口文档
如何搜索学校资产可以通过org搜索组织等方式
收集示例如下
首先输入关键词 knife4j
![「掌控安全」未授权文件上传src挖掘思路插图2 图片](https://static.eswlnk.com/2023/09/20230919085323800.png-esw)
发现前两个的资产最多,同时点击
![「掌控安全」未授权文件上传src挖掘思路插图3 图片](https://static.eswlnk.com/2023/09/20230919085324293.png-esw)
然后点击部分资产内部,可以发现确实是输入knife4j
的文档
接着收敛资产,添加组织org
为教育,结合语法如下
org="China Education and Research Network Center" && (icon_hash="-1776476841" || icon_hash="-327916044")
![「掌控安全」未授权文件上传src挖掘思路插图4 图片](https://static.eswlnk.com/2023/09/20230919085324104.png-esw)
但是这时候其实会发现资产并不多,因此在鹰图上也进行搜索
web.icon=="b917999252a8678e2dbee25a8274c504"
![「掌控安全」未授权文件上传src挖掘思路插图5 图片](https://static.eswlnk.com/2023/09/20230919085324252.png-esw)
接着收敛资产,以组织为例
cert.subject="edu"&&web.icon=="b917999252a8678e2dbee25a8274c504"
![「掌控安全」未授权文件上传src挖掘思路插图6 图片](https://static.eswlnk.com/2023/09/20230919085324262.png-esw)
发现-未授权文件上传点
发现资产之后进行接口翻阅,发现一处比较奇怪的接口
![「掌控安全」未授权文件上传src挖掘思路插图7 图片](https://static.eswlnk.com/2023/09/20230919085325740.png-esw)
内部未发现鉴权参数,点开了调试尝试上传文件
![「掌控安全」未授权文件上传src挖掘思路插图8 图片](https://static.eswlnk.com/2023/09/20230919085327410.png-esw)
通过上传接口,发现会直接暴露上传后的文件路径
![「掌控安全」未授权文件上传src挖掘思路插图9 图片](https://static.eswlnk.com/2023/09/20230919085327734.png-esw)
经过测试发现,该接口上传脚本文件后进行访问会变成下载,说明文件类型
在上传之后已被修改
因此构造了.html
后缀的xss
文件
alert(1)
上传后访问路径触发存储xss
![「掌控安全」未授权文件上传src挖掘思路插图10 图片](https://static.eswlnk.com/2023/09/20230919085328621.png-esw)
接着搜索C段又找到了几处上传接口
![「掌控安全」未授权文件上传src挖掘思路插图11 图片](https://static.eswlnk.com/2023/09/20230919085328894.png-esw)
📮评论