SQL 注入、命令执行、表达式注入，这三类经常被分开讲。但审计的时候我把它们放在一起看，因为本质是同一件事： 一段可控的字符串，被当成指令交给了某个解释器执行。 解释器可能是 SQL 引擎、是 shell、是表达式引擎、是模板引擎、是反射机制。判断方法也统一：找到"字符串进入解释器"的那一行，然后确认字符串里有多少是外部能控制的…

上一篇拿到了一张重点清单。这一篇讲怎么顺着清单往代码深处走。 追踪数据流本身不难，难的是两件事：跟到一半丢了，和看到一个过滤器但判断不出它到底挡不挡得住。这一篇主要解决这两个。 0x01 两个方向，用途不同 从危险函数往上追。 先列出所有 Sink——能执行命令、能拼 SQL、能读写文件的函数——然后逐个往上找调用方，一直找到能被外部控制的入口。 …

上一篇把依赖和配置过完了，产出是一张"重点跟进清单"。这一篇进代码。 进代码第一件事不是看业务，是把接口全找出来。 原因很直接：审计本质是逐条检查"外部输入能不能变成危险操作"。如果连外部输入有多少个入口都不清楚，就只能靠运气翻代码。一套若依二开系统的业务接口在 200 到 400 个之间，翻是翻不完的，只能…

拿到一套 Java 源码，不要先翻 Controller。 一套中型系统的 Controller 加 Service 有几百个类，读懂业务逻辑才能判断有没有洞。但依赖版本和配置项不用懂业务——版本号就写在那里，配置项就摆在那里，对照漏洞库和默认值清单就能得出结论。 所以前 30 分钟我只看三个文件：pom.xml、application.yml、w…

靶场介绍 第一关的提示 请获取 XR Shop 官网源码的备份文件，并尝试获得系统上任意文件读取的能力。并且，管理员在配置 Jenkins 时，仍然选择了使用初始管理员密码，请尝试读取该密码并获取 Jenkins 服务器权限。Jenkins 配置目录为 C:\ProgramData\Jenkins\.jenkins。 第一台39.99.151.70…

第一台（39.99.242.132/172.22.2.7 ） fscna扫，扫出redis未授权访问，还有ftp匿名登陆 ./fscan_mac_arm64 -h 39.99.242.132 [+] ftp 39.99.242.132:21:anonymous [->]pub [+] Redis 39.99.242.132:6379 unau…

靶标介绍： Certify是一套难度为中等的靶场环境，完成该挑战可以帮助玩家了解内网渗透中的代理转发、内网扫描、信息收集、特权提升以及横向移动技术方法，加强对域环境核心认证机制的理解，以及掌握域环境渗透中一些有趣的技术要点。该靶场共有4个flag，分布于不同的靶机。 第一台39.99.151.170/172.22.9.19 全端口扫描 ./fsca…

靶场概述： Rivulet 是一套内网靶场环境，共 4 个 flag，分布在 4 台机器上。考察信息收集、Web 漏洞利用、Kubernetes 逃逸、内网横向移动等能力。 攻击链总览： 外网 Web (Fastjson RCE) → K8s 容器 → kubelet 未授权 → 窃取 PKI 证书 → 伪造 admin 证书 → 创建特权 Pod…

靶标介绍 第一台http://39.99.225.174/ icon图标一看就是thinkphp thinphp thinkphp工具可以梭 webshell地址 [+] http://39.99.225.174//peiqi.php Pass:peiqi (www-data:/var/www/html) $ whoami www-data www…

靶标介绍： Flarum是一套难度为中等的靶场环境，完成该挑战可以帮助玩家了解内网渗透中的代理转发、内网扫描、信息收集、kerberos协议以及横向移动技术方法，加强对域环境核心认证机制的理解，以及掌握域环境渗透中一些有趣的技术要点。该靶场共有4个flag，分布于不同的靶机。 ./fscan_linux_amd -h 39.100.181.76 -…