文章总结： 本文复盘通过微信入口结合目录扫描发现运维平台未授权访问漏洞的过程。测试者获取了包含MD5密码的管理员列表，解密后可接管系统。文章分析了漏洞成因，提出了全站鉴权拦截及清理影子资产等修复建议，强调了信息收集的重要性。 综合评分： 85 文章分类： 渗透测试,漏洞分析,WEB安全

【项目实战】Fuzzing 出奇迹

原创

隐雾安全 隐雾安全

隐雾安全

2026年1月16日 09:01 四川

📝 编者语

本文是 [隐雾SRC]学员的实战项目复盘，学员通过此漏洞成功拿下2000赏金。在 Web 安全测试中，很多同学习忽视了 “信息收集” 与 “目录扫描” 的威力。本文作者展示了如何从一个微信公众号菜单入手，通过路径发现（Fuzzing），直接定位到管理员管理页面。

(注：本文所有敏感信息已脱敏，仅供安全研究与教学交流，请勿用于非法用途。)

1

资产发现：寻找隐蔽的入口

目标

本次测试的目标是某大型科技公司的 “运维监控与预警中心” 微信服务号。

入口寻找

通常，企业服务号的底部菜单是连接企业内网或核心业务系统的“桥梁”。 我们关注并点击了公众号底部的 “ECC值班” 菜单，系统自动回复了一个 URL 地址。

初步分析

点击跳转后，我们发现这是一个部署在 8089 端口的云运维管理平台。 URL 结构类似于：

http://target.com:8089/cloud

直接访问该 URL，是一个禁止访问界面，测试似乎陷入了僵局。

2

漏洞挖掘：Fuzzing出奇迹

Directory Fuzzing

面对403，与其盲目绕过，不如先看看 “网站目录下还藏着什么”。

操作思路

我们使用目录扫描工具（如 Dirsearch/Fscan）对目标站点的 /cloud 目录进行字典遍历（Fuzzing）。

关键发现 1：配置文件泄露

扫描器首先发现了一个配置文件路径：

/cloud/app/win/config/asp.ini

虽然该文件未包含直接的数据库密码，但它的存在暗示了服务器对静态文件或配置文件的权限控制较为松散。

关键发现 2：未授权访问的管理员页面

随着扫描的深入，一个名为 list_addr_fwresource_ip.jsp的文件引起了我们的注意：

.../cloud/app/win/admin/list_addr_fwresource_ip.jsp

这不仅是一个文件名，更是一把“钥匙”。

3

漏洞验证：核心权限沦陷

Exploitation

我们尝试在浏览器中直接访问这个 .jsp 页面。 令人震惊的是，系统 没有任何鉴权跳转，直接展示了后台的用户管理列表！

敏感信息“裸奔”： 页面中完整展示了所有用户的详细信息，包括：

• 真实姓名
• 手机号码
• 用户类型（含系统管理员）
• 登录密码（MD5 加密值）

密码破解

虽然密码是加密存储的，但我们要知道，简单的 MD5 在彩虹表（如 CMD5）面前几乎是透明的。 通过提取管理员账号的 Hash 值并查询，我们成功获取了明文密码。

至此，攻击者可以使用该管理员账号登录系统，接管整个运维预警平台，危害极大。

4

思考：为什么会发生？

Root Cause Analysis

这个漏洞属于典型的 “未授权访问” 叠加 “影子资产管理不当”。

1.鉴权缺失（Broken Access Control）

开发者可能认为admin 目录下的文件只有登录后通过菜单点击才能访问，从而忽略了对具体 .jsp 文件的独立鉴权。攻击者只要猜到了路径，就能绕过登录。

2.目录遍历与遗留文件

这个文件名list_addr_fwresource_ip.jsp看起来像是一个测试页面或废弃的功能页面。这类“影子资产”往往不在正常的维护清单中，却成为了安全防线的缺口。

5

修复建议

针对此类漏洞，建议开发与运维团队： 1.全站鉴权拦截：在 Java Web 项目中，应通过 Filter 对 /admin/* 或 /app/* 等敏感目录进行统一的 Session 检查。任何未登录的请求访问此类后缀文件，都应强制重定向到登录页。

2. 清理影子资产：定期扫描并清理生产环境中不再使用的测试文件、备份文件（.bak, .swp）和废弃页面。 3. 最小权限原：即使是后台管理页面，也不应在前端 HTML 源码或隐藏字段中直接输出用户的密码 Hash 值。

6

总结与思考

这是我第一次做隐雾的内部项目也是我第一次测小程序，不要怂 干就是了：

受限于篇幅和敏感性，文中无法展开所有的测试细节。这类逻辑漏洞，本质上考验的是对业务流的分析与排错能力。

此类实战会整理成更完整的分析笔记（包含判断过程和踩坑点），方便大家复盘。

扫码添加微信，备注【笔记】，私发内部版。

!

微信号丨Hiddenfog001

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：隐雾安全 隐雾安全 隐雾安全《【项目实战】Fuzzing 出奇迹》