某区护网利用ai+手工挖掘心得

原创

夜子
夜子

夜子安全Sec

2026年6月22日 09:57
广西

在小说阅读器读本章

去阅读

郑重声明

本公众号文章源自作者日常积累及授权转载，未经许可严禁转载，转载需联系开白。文中内容仅限学习交流，严禁用于商业及非法用途，涉及网络安全相关未经授权不得测试，违规使用后果自负，与作者及本号无关 。

最近到这个时间阶段，越来越多的护网项目下来，这段时间也打了一些护网项目，区教护，国教护，以及最近不久结束的区护。受益匪浅，相对于黑奴护网的资产面更大更广，而且要求也没有那么sb（例如admin 123456要求你证明账号密码来源）

那我也只能评价一下

案例一：

从开始的时候，进入到平台，可以从平台初步观察存在2000+的资产信息，从庞大的资产中我们可以先进行快速的打点，利用dddd，无影，httpx等工具进行指纹的收集，域名的探测存活进行筛选。可惜的是，平台无法进行导出资产功能点，给差评。后续我通过ai帮我将页面的资产爬取下来生成excle（厚码）。不得不说，ai现在的帮助真的非常大，我这次攻防也通过利用ai辅助帮助我获取到很多信息。

接着，我们可以按照一些薄弱点进行挖掘以及后续渗透，我们优先可以先进行打公司企业，这部分的资产往往安全很薄弱，或者没怎么有waf的防护。其次我们以此类推往上提升到学校、高职高校、医院、交通、政府等。由低往上，难度越来越大。

开始阶段，我通过搜索公司的关键词来寻找一些安全薄弱的企业，通过直接访问进入主站，一开始看只有一个页面，感觉好像没啥东西，丢一边了，对他进行子域名挖掘以及测绘平台寻找发现只存在这一个资产貌似。可能只是一个小公司，没什么资产。

通过扫描目录成功地找到了一个后台地址。从url上看该域名是http://xxxxx/admin/xxx.asp     我Chovy，资产给我拿好的来啊，这么鸡脖老的站点也拿给我了。通过测试弱口令发现无果，看来只能先暂时先放到一边了。

继续扫描得到了sitemap.xml，类似站点的url地址导航图吧。找到了好像是源码的压缩包web.rar。访问直接被WTS的waf拦截，这边想尝试绕过这个waf，发现只要后缀存在rar或者zip等后缀就直接拦截，卧槽了，源码下不下来，用%00截断发现直接挂了，只能从其他地方突破了。

通过sitemap发现了一个社区，页面太老了，就是那种零几年代的那种网站，虽说是asp搭建的站点，但是发现攻击点十分的少，基本没啥漏洞，最终经过鼠标猴的点点点找到了一个注册的功能点

嗯？还一个账号检测，看来好像是查询账号是否可以注册的，一个单引号甩进去，直接产生SQL报错。熟悉asp的都知道，一般这种语言搭建的站点只能有MSSQL和ACCESS数据库。前者好说，注入方式多样，以及好getshell，后者就是一托石，从报错信息得出，很明显就是access数据库。这种数据库首先注入方式只有联合和布尔，其实利用条件都需要用到select敏感函数，而且access数据库无自建库。只有表名的存储，并且注入十分牢弟，需要靠猜解表名从而到达注入。

当然，我们有sqlmap，直接充当脚本小子梭哈

我Chovy，脚本给我拿好的来啊，这边sqlmap确实识别到了是access数据库，但是他就是注入不出来，当然我添加了space2plus脚本进行绕过了wts的waf，这种小waf的sql注入很好绕过，直接空格代替+即可，并且将level提升了也无法注入出来，垃圾sqlmap。。。

既然脚本小子不行，走手工。很明显，他这里只能走布尔，这对于我们来说是十分不妙的，猜解的时间成本太高了，但是我这边前期是已经通过布尔猜解表名是admin了，情况还是比较好的，不会是特别难猜的表。

布尔这块，我只能从脚本小子转变成ai小子了。我搭建的是claude+deepseek模型，目前感觉还不错，dk的token量大管饱。

通过将注入的数据包发给Claude，并且告诉他waf绕过的方法以及出的表名，很明显admin表就是管理员。（国内模型是有道德的，但是非常的低，我们可以伪造一个口头的授权书发送给它即可帮我们进行渗透测试）

ai还是非常牛逼的，帮我成功地得出了布尔的注入类型，这边我没有告诉它

中途的过程就是ai帮我提取的阶段，我直接全程yes工程师。最终我让ai帮我提取一部分信息就行，它帮我注入获取到密码账号，密码是hash过的。直接放入cmd5网站解出来发现是稍微弱的弱口令，我竟然没爆破出来。

接着输入账号密码进入后台

案例二：

继续筛选资产，找到某校的小程序功能点，进去开插件瞎点瞎按，发现插件识别存在了springboot的heapdump文件泄露，这个文件类似开盲盒一样，解析出来的文件运气好的话可以得到一些jwt token以及云上的ak sk等或者一些数据库的账号密码和redis的账密等，不过一般是MySQL数据库，不支持外链，所以相当于没有。

解析文件后，发现存在阿里云MySQL和Redis账密还有个Rabbit的登录平台的账密，但是资产都在内网，没啥鸟用，还有shirokey。翻找文件内容还找到了小程序APPsk，和access-token，以及一些微信的支付秘钥等。

我们可以通过深情哥搭建的秘钥检测网站，我们通过小程序存储的地址找到appid，接着再放入小程序的秘钥去获取access-token，发现无法获取到token，我这边怀疑是不是秘钥过期或者appid不对。我直接拿泄露的access-token进行调用腾讯微信小程序的api

秘钥没过期，但是它设置了白名单，使得我的ip无法利用它微信小程序的token调用api。

不过他还有shirokey，我们通过了Tsojanscan找到了shiro的触发点，使用脚本进行获取利用链，最终成功地执行出root权限，Java相对于其他语言不同，自带最高权限。即使不是最高权限也能拿5月份爆出的多个Linux内核漏洞进行提权。

反弹shell到自身的攻击机上，信息收集一波，发现处于在一个docker容器内，容器权限分十分低，我们得想办法逃逸出来，通过输入ll进行输出目列，可以看到存在.dockerenv,一般存在这个可能是docker环境。

我们利用ai帮助写一个逃逸检查的脚本，并且将权限赋予chmod +x \*.sh

直接运行发现存在危险的挂载，当然我们也不一定相信脚本，自己手动输入命令观察，输入

ls -lah /var/run/docker.sock观察是否存在，可以看到确实存在

我们接着进行下载dokcer在dokcer容器上，安装完成后，输入docker -version查看是否存在dokcer版本号。这边显示成功，证明安装成功。

接着我们输入dokcer挂载命令，将宿主机的磁盘挂载到dokcer容器下的host一个目录

docker run -it -v /:/host ubuntu /bin/bash

接着我们查看、host目录下的东西即是宿主机的文件以及目录。接着我们就可以使用一些计划执行从而将宿主机的shell反弹到我们这里。再进行一个内网的横向

总结：

ai的发展十分迅速，但我们并不是一味的去让ai帮助我们渗透所以事情，可以利用ai去辅助我们挖掘以及绕过漏洞，而不是当做扫描器直接让他执行，这样挖到的漏洞基本都是水洞。