文章总结： 本文记录了对某通用系统供应链安全攻击的实战过程，通过资产发现、统一系统未授权访问、API接口测试获取敏感文件，进而利用文件下载漏洞获取配置文件，最终通过Portainer平台关联到CaaS云服务供应链风险。文章揭示了从外部渗透到内部系统、再通过云平台特性扩大攻击面的完整链条，并提示可将资产测绘技术用于极致攻击。 综合评分： 72 文章分类： 供应链安全,WEB安全,漏洞分析,云安全,实战经验

某通用引发供应链的思考

原创

不知江月待何人 不知江月待何人

掌控安全EDU

2026年5月2日 12:01 江西

在小说阅读器读本章

去阅读

码领资料

获网安教程

本文由掌控安全学院 – 不知江月待何人 投稿

来Track安全社区投稿~

千元稿费！还有保底奖励~（https://bbs.zkaq.cn）

前言

前段时间看到很多人在打某通用系统，简单记录一下思路。 某通用单位系：xxx奕科技公司 产品如下：

资产还不少，记住这个容器服务平台 等下还要考，以及这个事务中心 可强行接管统一 熟悉的Caas平台，又是熟悉的老朋友 云计算 最近比较流行云上攻防，见的比较多的还是ak、sk泄露接管 Docker逃逸以及K8s，这里先按下不表 Caas平台有大用处。

开局

根据上述所列资产，找对应服务资产 第一步：打点 跟到某资产，统一系统

这里的两种登录方式，账号 && 扫码【统一扫码 心跳连接到智慧校园平台 扫码登录】 熟悉的无账号开局，为了方便这里省去了子域，C段资产翻查，直奔结果

统一未授权

【老版本统一存在Shiro反序列化】 新版 —》翻JS 找API接口测逻辑，未授权

记住这个接口，提示参数未完整，根据提示补全即可

继续补全

有戏！这里需要注意几个点

bh、fjlj、fjlx：png bh值：uuid，fjlj值传了一个组什么的，fjlx这个是重点 知道了回显，继续回去看接口

attachmentId=需要传一个参数值，哪个值呢？bh 是一个未授权任意文件下载，当然bh以及fjlj 均是未授权任意文件下载 这里注意，fjlx：png这个参数点

这里能探到源码文件泄露的话，这里就可以结束了，可惜没有 xlsx文件同样可疑，如果，如果有账号密码泄露？

有趣了起来，都是web兴趣不大，记得前文提到的Caas平台，具体是哪个不知。根据泄露信息继续找 就是你了！

有趣！

Portainer是docker的图形化管理工具，这就和Caas云服务平台有关联了，怎么和官方服务通信进行镜像下发呢？

这里敏感不方便放细节图 白盒的角度来讲，到Portainer就已经结束了，正式的镜像包是同步下发的，所以

到这里就结束了，剩下的就是枯燥的找资产，核对api 找系统验证

写在最后

如果，如果把资产测绘各个平台的特性用到极致呢？ 未完待续~

申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，

所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.

![](https://mmbiz.qpic.cn/mmbiz_gif/BwqHlJ29vcqJvF3Qicdr3GR5xnNYic4wHWaCD3pqD9SSJ3YMhuahjm3anU6mlEJaepA8qOwm3C4GVIETQZT6uHGQ/640?wx_fmt=gif&wxfrom=5&wx_lazy=1&tp=webp#imgIndex=20)

没看够~？欢迎关注！

分享本文到朋友圈，可以凭截图找老师领取

上千教程+工具+靶场账号哦

![](https://mmbiz.qpic.cn/sz_mmbiz_png/BwqHlJ29vcrpvQG1VKMy1AQ1oVvUSeZYhLRYCeiaa3KSFkibg5xRjLlkwfIe7loMVfGuINInDQTVa4BibicW0iaTsKw/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp#imgIndex=21)

 分享后扫码加我！

回顾往期内容

Xray挂机刷漏洞

零基础学黑客，该怎么学？

网络安全人员必考的几本证书！

文库｜内网神器cs4.0使用说明书

代码审计 | 这个CNVD证书拿的有点轻松

【精选】SRC快速入门+上分小秘籍+实战指南

## 代理池工具撰写 | 只有无尽的跳转，没有封禁的IP！

![](https://mmbiz.qpic.cn/mmbiz_gif/BwqHlJ29vcqJvF3Qicdr3GR5xnNYic4wHWaCD3pqD9SSJ3YMhuahjm3anU6mlEJaepA8qOwm3C4GVIETQZT6uHGQ/640?wx_fmt=gif&wxfrom=5&wx_lazy=1&tp=webp#imgIndex=22)

点赞+在看支持一下吧~感谢看官老爷~

你的点赞是我更新的动力

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：掌控安全EDU 不知江月待何人 不知江月待何人《某通用引发供应链的思考》