D3CTF-d3kshrm
ioctl总共分为4个功能，add、delete、bind、unbind。
逆向还原出结构体情况如下：
add功能会给ChunkManager结构体申请0xA0（实际0xC0）大小的堆块，再为其page成员从自定义的kmem_cache中获取0x1000的堆块，这里0xC0的堆块没有隔离，0x1000的隔离了。
之后会基于传入参数申请n个page（1-0x200）。
最后ChunkManager会存入d3kshrm_arr数组。
bind就是将指定d3kshrm_arr[idx]绑定到当前的file->private_data，使得当前file保留一份ChunkManager的引用，这里会给其进行加引用处理，保证安全性。unbind就是和bind相反，减引用和删除file->private_data.
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
ioctl总共分为4个功能，add、delete、bind、unbind。
逆向还原出结构体情况如下：
add功能会给ChunkManager结构体申请0xA0（实际0xC0）大小的堆块，再为其page成员从自定义的kmem_cache中获取0x1000的堆块，这里0xC0的堆块没有隔离，0x1000的隔离了。
之后会基于传入参数申请n个page（1-0x200）。
最后ChunkManager会存入d3kshrm_arr数组。
bind就是将指定d3kshrm_arr[idx]绑定到当前的file->private_data，使得当前file保留一份ChunkManager的引用，这里会给其进行加引用处理，保证安全性。unbind就是和bind相反，减引用和删除file->private_data.
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤1
短信轰炸
一、纵向轰炸
这里首先看看渗透测试常测试的点，比如像登陆口，一般都有手机号码登录，手机号码验证登录，需要我们接受短信验证码，然后进行登录操作。像渗透测试还有重测和src漏洞挖掘中，短信轰炸都是收的，企业src价格低点，且一般香短信轰炸，一般像很多企业都要求在比如每分钟15/30条以上就收。
这里测试的手是一个人力资源管理局的一个微信小程序，这里直接输入我自己的手机号，然后使用bp抓包，拦截短信验证码发送的数据包：
直接把数据包放到重放模块，下面直接go一下（第一次go）数据包
可以看到数据包回显是正常的，且手机也是正常的接受到了短信验证码了
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
一、纵向轰炸
这里首先看看渗透测试常测试的点，比如像登陆口，一般都有手机号码登录，手机号码验证登录，需要我们接受短信验证码，然后进行登录操作。像渗透测试还有重测和src漏洞挖掘中，短信轰炸都是收的，企业src价格低点，且一般香短信轰炸，一般像很多企业都要求在比如每分钟15/30条以上就收。
这里测试的手是一个人力资源管理局的一个微信小程序，这里直接输入我自己的手机号，然后使用bp抓包，拦截短信验证码发送的数据包：
直接把数据包放到重放模块，下面直接go一下（第一次go）数据包
可以看到数据包回显是正常的，且手机也是正常的接受到了短信验证码了
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤2
横向轰炸
然后这个人力资源局的小程序还存在横向爆破绕过漏洞，可以进行双手机号验证码同时进行发送，从而造成逻辑漏洞，下面具体的绕过技巧，在碰到这样的场景时候，直接去实操即可
下面我就直接重新回到刚才上面的抓包步骤，抓取发送短信验证码的数据包，然后去尝试使用上面的绕过方法，看看能不能进行绕过，双手机号验证码同时发送
然后就可以看到自己手机短信验证码，收到了来自卡一和卡二一样的验证码，且时间也是一样的
然后我们这里就可以使用卡二的手机收到的验证码，只需要知道卡一的手机号就行了，那么就可以直接登陆卡一的账号
那么我们后面深入利用就可以去改人力资源局相关站点去搜索电话号码，然后使用这个漏洞就可以越权登陆其他账号，特别是像权限比较高的admin之类的管理员账号
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
然后这个人力资源局的小程序还存在横向爆破绕过漏洞，可以进行双手机号验证码同时进行发送，从而造成逻辑漏洞，下面具体的绕过技巧，在碰到这样的场景时候，直接去实操即可
下面我就直接重新回到刚才上面的抓包步骤，抓取发送短信验证码的数据包，然后去尝试使用上面的绕过方法，看看能不能进行绕过，双手机号验证码同时发送
然后就可以看到自己手机短信验证码，收到了来自卡一和卡二一样的验证码，且时间也是一样的
然后我们这里就可以使用卡二的手机收到的验证码，只需要知道卡一的手机号就行了，那么就可以直接登陆卡一的账号
那么我们后面深入利用就可以去改人力资源局相关站点去搜索电话号码，然后使用这个漏洞就可以越权登陆其他账号，特别是像权限比较高的admin之类的管理员账号
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤1
SessionKey三要素泄露
未授权登陆
在渗透中比较容易发现，并且好打的一个漏洞点——SessionKey三要素泄露，这个漏洞在蛮多微信小程序中都存在，且利用的手法不难，看完我这篇文章，师傅们也可以去测试下
这个漏洞需要使用到一个SessionKey三要素解密的工具，有直接下载使用的，也有burpsuit插件，反正原理都是一样的，加解密→替换数据包→未授权登陆
首先使用到的SessionKey解密工具
这个工具直接双击运行即可，类似下面的
还有一个就是使用burpsuit的自带插件
直接就可以导入到bp插件中
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
未授权登陆
在渗透中比较容易发现，并且好打的一个漏洞点——SessionKey三要素泄露，这个漏洞在蛮多微信小程序中都存在，且利用的手法不难，看完我这篇文章，师傅们也可以去测试下
这个漏洞需要使用到一个SessionKey三要素解密的工具，有直接下载使用的，也有burpsuit插件，反正原理都是一样的，加解密→替换数据包→未授权登陆
首先使用到的SessionKey解密工具
这个工具直接双击运行即可，类似下面的
还有一个就是使用burpsuit的自带插件
直接就可以导入到bp插件中
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
这个微信小程序是目标资产中的一个大学的小程序设备，大学那种预约访谈进出校园、校园招聘那种功能点，像这样的基本上都有那种手机号一键登陆的功能点，像这样的微信小程序手机号一键登陆，很大概率存在SessionKey三要素泄露漏洞，这样的漏洞我之前挖EDUSRC挖了好多，且有一本证书站也就是这个漏洞，但是没有那么明显
点击手机号快捷登陆操作，直接使用bp抓包，可以看到数据包中出现了SessionKey三要素泄露
直接一键发送到AppletPentester 插件中
直接一键解密即可
在信息收集的时候，在一个接口中，发现这个微信小程序里面有很多的一些学校老师信息，比如手机号之类的，然后这里我就带师傅们利用这个SessionKey三要素泄露漏洞，直接未授权登陆管理员老师账号
直接替换成管理员老师176的手机号，然后点击加密
再进行登陆口抓起数据包，替换数据包，然后点击重发数据包即可
就可以直接未授权登陆这个账号了
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
点击手机号快捷登陆操作，直接使用bp抓包，可以看到数据包中出现了SessionKey三要素泄露
直接一键发送到AppletPentester 插件中
直接一键解密即可
在信息收集的时候，在一个接口中，发现这个微信小程序里面有很多的一些学校老师信息，比如手机号之类的，然后这里我就带师傅们利用这个SessionKey三要素泄露漏洞，直接未授权登陆管理员老师账号
直接替换成管理员老师176的手机号，然后点击加密
再进行登陆口抓起数据包，替换数据包，然后点击重发数据包即可
就可以直接未授权登陆这个账号了
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
JWT爆破攻击
可爆破/未验证签名导致越权
首先通过微信搜索小程序，找到对应目标资产中的小程序系统
直接点击这个微信小程序，这个时候我们需要一直打开我们的bp抓取小程序的数据包（这个是一个测试小程序的一个好习惯，因为有些接口，包括敏感信息泄露，看历史的数据包很关键），然后看看数据包有没有什么提示，因为这里我的bp安装了HAE，一般重点关注带颜色的数据包
这里我们可以看到bp的历史数据包，显示了多个JSON Web Token也就是大家常说的JWT值，像一般碰到这样的JWT值，我一般都会选择JWT爆破尝试haiy选择有无设置None加密，去进行做一个渗透测试
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
可爆破/未验证签名导致越权
首先通过微信搜索小程序，找到对应目标资产中的小程序系统
直接点击这个微信小程序，这个时候我们需要一直打开我们的bp抓取小程序的数据包（这个是一个测试小程序的一个好习惯，因为有些接口，包括敏感信息泄露，看历史的数据包很关键），然后看看数据包有没有什么提示，因为这里我的bp安装了HAE，一般重点关注带颜色的数据包
这里我们可以看到bp的历史数据包，显示了多个JSON Web Token也就是大家常说的JWT值，像一般碰到这样的JWT值，我一般都会选择JWT爆破尝试haiy选择有无设置None加密，去进行做一个渗透测试
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
弱口令+信息泄露
然后，我这里直接把这个小程序的host拿到web页面去访问，因为我一般打小程序都有这个习惯，看看web端有没有系统，特别是那种登陆系统，弱口令的概率很大
打开web端访问，直接跳转这个页面，特别经典的若依系统页面
这里直接使用刚才的手机号+弱口令密码
直接成功登陆了后台，里面泄露了整个学校的学校个人敏感信息
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
然后，我这里直接把这个小程序的host拿到web页面去访问，因为我一般打小程序都有这个习惯，看看web端有没有系统，特别是那种登陆系统，弱口令的概率很大
打开web端访问，直接跳转这个页面，特别经典的若依系统页面
这里直接使用刚才的手机号+弱口令密码
直接成功登陆了后台，里面泄露了整个学校的学校个人敏感信息
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤1👍1