SeedDMS渗透测试实战：密码爆破与远程命令执行漏洞利用

1. 目标系统识别

SeedDMS是一个开源的文档管理系统，本次测试目标为一个暴露在互联网上的SeedDMS实例。

2. 初始信息收集

1. 尝试默认凭证：

   • 用户名：admin
   • 密码：admin
   • 结果：登录失败

2. 系统特征识别：

   • 多语言支持（存在languages目录）
   • 默认文档ID结构（如documentid=3）

3. 密码爆破攻击

3.1 字典准备

• 根据目标系统特征准备定制化字典
• 包含常见弱口令和数字组合

3.2 爆破实施

• 工具：Burp Suite
• 目标：登录表单
• 时间：约2分钟
• 成功凭证：
  • 用户名：admin
  • 密码：2359631867

3.3 权限分析

• 获得的权限：只读权限

4. 文件上传漏洞利用

4.1 上传点发现

• 在系统中发现文件上传功能
• 无有效过滤机制：
  • 可上传PHP脚本文件
  • 无文件类型限制
  • 无内容检查

4.2 上传后问题

• 文件成功上传但无法直接访问
• 直接访问返回404错误

5. 目录结构分析

5.1 多语言目录线索

• 分析languages/sk_SK/lang.inc文件
• 关键发现：
  • settings_contentOffsetDir_desc配置项
  • 指示系统生成1048576文件夹

5.2 目录爆破

• 工具：DirBuster
• 成功发现路径：/data/1048576/
• 但直接访问/data/1048576/1.php仍返回404

6. 最终漏洞利用

6.1 文档ID分析

• 观察URL结构：out.ViewDocument.php?documentid=3&showtree=1
• 推测文档存储路径可能与ID相关

6.2 路径构造

• 尝试路径：/data/1048576/3/
• 成功访问上传的PHP脚本：/data/1048576/3/1.php

7. 技术要点总结

1. 密码爆破：

   • 针对管理界面使用定制化字典
   • 数字组合密码容易被爆破

2. 文件上传绕过：

   • 系统未对上传文件进行有效过滤
   • 可直接上传可执行脚本

3. 路径发现技巧：

   • 通过配置文件获取关键目录信息
   • 结合文档ID构造实际存储路径
   • 多语言文件常包含系统配置线索

4. 目录结构特征：

   • SeedDMS使用固定偏移目录(1048576)
   • 文档存储在/data/[offset]/[documentid]/结构下

8. 防御建议

1. 密码策略：

   • 强制使用复杂密码
   • 实施账户锁定机制
   • 启用多因素认证

2. 文件上传防护：

   • 限制上传文件类型
   • 对上传内容进行检测
   • 存储上传文件时重命名

3. 目录结构安全：

   • 避免暴露内部路径信息
   • 禁用目录列表
   • 修改默认存储路径模式

4. 系统加固：

   • 定期更新系统补丁
   • 限制配置文件的访问权限
   • 实施适当的文件系统权限

9. 扩展思考

1. 类似文档管理系统常见漏洞模式：

   • 默认凭证
   • 不安全的直接对象引用
   • 缺乏输入验证

2. 渗透测试方法论：

   • 从信息收集到漏洞利用的系统性方法
   • 配置文件分析的重要性
   • 路径构造的逻辑推理

通过本案例，安全研究人员可以学习到从初始信息收集到最终漏洞利用的完整过程，特别是如何通过系统线索推断内部结构和绕过防护机制。