渗透测试 - 黑客技术 | 【技术分享】数据库连接池信息泄露引起的主机沦陷实战记录

本篇实战文档主要是跟大家交流分享学习一份因为一个由于“xml配置文件”的信息泄露在配合各种配置不当和平台漏洞的情况下，最终引发的一起主机沦陷的个人渗透测试学习笔记，仅为个人的学习总结，希望各位路过大大多多指点。

1. xml配置文件信息泄露

通过前期的信息收集，发现了配置文件web.xml直接暴露在网络中，通过读取发现了“数据库连接池”与“后台管理”的访问目录信息。

2. 数据库连接池账号密码暴露

通过前面数据连接池目录/pool/的挖掘，我们可以直接访问本目录，通过目录信息的读取，我们发现平台直接连接后台数据库的账号和密码信息。

3. 管理后台暴露

通过前面配置文件信息泄露的后台管理路径信息，我们直接访问目录/admin，可以直接找到后台的管理界面，具体信息如下。

4. 数据库登陆尝试

我们在获取数据库登陆账号后，直接尝试连接数据库管理后台，通过尝试发现竟然可以直接登录成功，并成功读取了数据库root账号的密码以及后台管理账号的密码信息。

4.1. 数据库管理账号信息挖掘

4.2. 后台管理账号密码挖掘

5. 尝试写入jsp脚本测试

我们在获取后台数据库控制权限后，为进一步获取主机的控制权限，首先想到尝试使用数据库的写入操作权，直接写入jsp脚本，获取主机的控制权限。

5.1. 尝试写入jsp脚本

5.1.1. 写入路径查找

对于写入路径查找，最直接的方法就是访问系统登录页面的的图片路径，收集其存放的的路径信息，当然这里的路径信息可能是相对路径信息，而非物理路径信息，不过我们可以直接测试下，也许我们的运气比较好呢。

图片存放路径收集：/eis/images/login/default/

5.1.2. 写入jsp脚本尝试

我们在获取图片存放路径后，直接尝试进行测试文件的写入，尝试后发现写入失败，具体截图如下。

报错小结：写入报错，回显显示，没有创建和写入权限，那么一般出现这个情况的可能有两种：

1. 我们写入的路径是一个相对路径，并非真实的网站物理路径，故没创建和写入权限；

2. 这个路径的确是物理路径，但是我们真的没有写入权限；

有了以上的总结，我们现在直接写入jsp脚本的想法就泡汤了，接下来我们还是按部就班的去找下apache配置文件，从配置文件中收集站点的真实物理路径信息。

5.1.3. Apache中间配置文件的读取尝试

由于我们已经获取了数据库的后台管理权限，此时我们可以通过后台管理权限进行数据库的“mysql安装目录”、“mysql数据存放目录”以及“mysql的插件目录”，然后进行apache配置文件信息的猜测和读取，具体操作如下。

（1）数据库相关路径信息收集

								>select @@datadir;#数据库存放路径查询
							
								>select @@basedir;#数据库安装路径查询
							
								>select @@plugin_dir;  #数据库第三方插件存放路径查询

（2） apache配置文件的读取

通过上面数据库相关目录信息的读取，我们可以猜测apache中间配置文件的路径可能是：/opt/thirdsoft-2.0/apache2/conf/httpd.conf

此时我们通过数据库文件读取函数进行配置文件信息的读取，这里由于直接命令行读取时文件显示不全，这里直接使用了一个数据库管理软件进行登录操作。可能我们的人品比较好，竟然真的读取到了apached的配置文件httpd.conf的内容，我们从其中的DocumentRoot找到的网站的真实存放路径，且到这里我们知道了前面图片路径信息收集时，收集到的路径”/eis”，其实它是个“别名路径”，这里做的还是很到位的。