本文是一次渗透测试的详细过程，包括Web打点的弱口令爆破、文件上传漏洞利用、任意文件读取、Spring Boot未授权漏洞以及Java-RMI反序列化漏洞的利用，最终进入内网并进行信息收集和提权。总结强调了网络安全的重要性，指出安全行业仍面临挑战。
声明：本文仅限学习研究讨论，切忌做非法乱纪之事
Web打点
渗透测试中，Web端最常见的问题大多出现在弱口令、文件上传、未授权、任意文件读取、反序列化、模版漏洞等方面。因此，我们着重围绕这些方面进行渗透。
1.弱口令
先介绍一些好用的字典：
https://github.com/fuzz-security/SuperWordlist
https://github.com/gh0stkey/Web-Fuzzing-Box
首先将收集到的所有登录页面（url.txt）使用脚本进行爆破，我这里使用的是WebCrack脚本，在web_crack_log.txt可以直接看到有验证码的地址是哪些，然后我们在选择其他工具进行爆破。
私信回复“资料”获取渗透学习思路大纲与学习资料【点击查看】
本次运气还不错，找到了
最低0.47元/天 解锁文章
扫一扫
717
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
