柳岸花明又一村当使用google hack 语法搜索此gitlab时发现了几处无需认证即可访问的公开仓库 。



我开始把希望寄托在了这些可公开访问的仓库上 ， 仔细翻看这些仓库 ， 大多数都是一些接口文档 ， 对本次渗透没有啥用 。
终于在rabbitmq安装介绍文档中发现了一个oracle数据库的连接用户名和密码：



在前面的信息收集过程中 ， 已经发现了x.test.com这个子域名对应的ip地址开放了oracle数据库端口 ， 我迅速连接了此数据库发现用户名密码正确 ， 可以连接 。



由于此数据库版本较低 ， 并且时sysdba权限 ， 我可以直接以system权限执行命令 。



然后就是添加用户登录拿下了这台oracle数据库的服务器 。



并且在这个mysql文件夹中发现了mysql的配置文件 。



由于test.com这台服务器是开放了mysql数据库的 ， 利用此信息 ， 我又成功登录了mysql数据库 。



在mysql数据库中成功获取了供应商官网test.com后台的用户名和密码 。



当我满怀欣喜的去登录时 ， 发现确实可以登录 ， 但登陆后的后台功能都已废弃 ， 只有一个大大的thinkphp错误 。



怎么办 ， 原想的通过后台getshell的想法也落空了 。 （也尝试过使用Thinkphp3的漏洞利用 ， 但也全部失败了）
绝处逢生到这里 ， 我认为只能把希望放在这个mysql数据库上了 ， 由于是windows系统 ， udf提权大概率成功不了 ， 那就只能尝试写webshell了 。 写webshell的话需要知道绝对路径 ， 我尝试使用各种办法让test.com报错 ， 看报错信息中有没有包含绝对路径 ， 一系列操作过后无果 ， 只有404页面 。
没办法了 ， 只有盲猜一波 ， 我突然想到了mysql数据库表的表名是否就是网站的目录名呢？



使用这两个表名构造了以下绝对路径
c:\\\\hs_web
c:\\\\hsweb
d:\\\\hs_web
d:\\\\hsweb

当尝试到c:\\\\hs_web时 ， webshell提示已经写入成功了 。



使用蚁剑连接成功：



由于当前用户权限较小 ， 使用potato成功提权：



添加用户成功登录远程桌面：



在服务端的nginx配置文件中发现了代理规则 ， 涉及到几十家医院：



原来这些医院的微信公众号业务都是先访问test.com这台服务器 ， 然后再由这台服务器上的nginx转到到各个医院的真实服务器上 。 那这样也太不安全了吧 ， 一旦供应商的这台服务器宕机、他们的业务也得跟着丢 。
然后在这台服务器上发现了微信公众号后台源码 ， 丢给同伴审计了一波 ， 发现了后台登录绕过漏洞 ， 可以直接登录后台 。



然后就是随意改信息啦 。
【数据库|记一次拿到后台权限的过程】至此本次渗透就结束了 ， 其实拿到医院的真实ip后也可以更深入的进行测试 。

稿源：(未知)

【傻大方】网址：/c/112EL2B2021.html

标题：数据库|记一次拿到后台权限的过程( 二 )