官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
攻防演练实战 | 云上攻防打穿目标单位
- 关注
攻防演练实战 | 云上攻防打穿目标单位
本文由
创作，已纳入「FreeBuf原创奖励计划」，未授权禁止转载
一、开端
市级攻防演练，前几天指定靶标，我们的运气属于很差，99%都是云上主机，极难突破（隔壁队伍哥斯拉都没有断过，怎么这么多内网啊，哭。还是指定靶标内网）
靶标1：旁站heapdump泄露
主站太难日了，我们去搜索靶标单位微信小程序开打
在burp中点点点，感觉url路径路径奇怪，果断丢进onescan插件扫一下，然后出了好东西
存在heapdump，下载下来，使用JDumpSpider-1.1-SNAPSHOT-full一键提取敏感信息
发现同站不同端口的站点，获取密码，直接拿下网站
接管小程序，又翻找到对方开有redis外联服务器
拿获取到的密码，连接上去，然后翻找数据，翻找到了aksk
已在FreeBuf发表 0 篇文章
本文为 独立观点，未经允许不得转载，授权请联系FreeBuf客服小蜜蜂，微信：freebee2022
被以下专辑收录，发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
- 0 文章数
- 0 关注者
文章目录