官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
记一次企业供应链下的Java框架渗透测试
chobits02- 关注
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
一、前言
某次挖漏洞src挖不动了，想从其他方面找切入点
上企查查看了下企业的相关联投资企业，找了找百分百控股的子公司
找到其中一家子公司，母公司是src目标的投资发展公司
该公司在企查查上面写明了官网等地址，就方便我直接做信息收集了。
二、信息收集
通过ARL的敏感信息收集，我找到了目标网站的Actuator路径
访问其中/api/actuator/env路径时，看到了熟悉的字眼blade，以及mysql数据库连接的内网地址，账号为root，密码被*号打码了
推测网站使用了springblade框架进行了二次开发，不熟悉的师傅们可以看我的另外一篇文章：
https://www.freebuf.com/vuls/385851.html
三、渗透测试
看到是该Java框
可试读前30%内容
¥ 9.9 全文查看
9.9元开通FVIP会员
畅读付费文章
畅读付费文章
最低0.3元/天
免责声明
1.一般免责声明：本文所提供的技术信息仅供参考，不构成任何专业建议。读者应根据自身情况谨慎使用且应遵守《中华人民共和国网络安全法》，作者及发布平台不对因使用本文信息而导致的任何直接或间接责任或损失负责。
2. 适用性声明：文中技术内容可能不适用于所有情况或系统，在实际应用前请充分测试和评估。若因使用不当造成的任何问题，相关方不承担责任。
3. 更新声明：技术发展迅速，文章内容可能存在滞后性。读者需自行判断信息的时效性，因依据过时内容产生的后果，作者及发布平台不承担责任。
chobits02
网络安全的尽头是？
C4安全团队 | 公众号：C4安全团队
已在FreeBuf发表 21 篇文章
本文为 chobits02 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
被以下专辑收录，发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
chobits02 LV.4
网络安全的尽头是？
C4安全团队 | 公众号：C4安全团队
- 21 文章数
- 75 关注者
用友U8 Cloud移动报表mobilereport接口SQL注入漏洞分析
2025-03-26
Java代码审计 | 华天动力OA漏洞分析两则
2025-03-07
一次Jwt伪造漏洞实战案例分析
2024-12-24
文章目录