若依框架杀猪交易所系统管理后台渗透测试分析

1. 目标系统概述

目标系统是一个基于若依(RuoYi)框架开发的加密货币"杀猪盘"交易所管理后台。这类系统通常用于非法金融活动，具有以下特点：

• 源码购买或租赁成本低
• 开发框架常见（主要是若依框架）
• 安全防护薄弱
• 后台功能包括交易机器人、合约等欺诈功能

2. 初始信息收集

2.1 框架识别

通过以下方式识别若依框架：

1. 浏览器开发者工具(F12)查看源码，搜索"ruoyi"关键字
2. 观察登录页面风格和后台界面布局

2.2 默认凭证发现

在登录表单中发现硬编码的默认凭证：

<input type="text" name="username" class="form-control uname" placeholder="用户名" value="admin" />
<input type="password" name="password" class="form-control pword" placeholder="密码" value="admin123" />

可直接使用admin/admin123登录系统。

3. 漏洞利用分析

3.1 SQL注入漏洞

在角色管理模块存在SQL注入点：

• 参数1：params[dataScope]=
• 参数2：ancestors=

利用方式：

1. 构造恶意参数提交到角色管理接口
2. 通过时间延迟或错误回显确认注入存在
3. 使用SQLMap等工具进行自动化利用

3.2 任意文件读取漏洞

若依框架旧版本存在任意文件读取漏洞，可通过特定接口读取服务器上的敏感文件：

• 读取/etc/passwd等系统文件
• 读取应用配置文件获取数据库凭证
• 读取日志文件获取敏感信息

3.3 Shiro组件利用（如存在）

若系统使用了Apache Shiro组件：

1. 检测Cookie中是否存在rememberMe字段
2. 使用Shiro反序列化漏洞利用工具（如ShiroExploit）
3. 通过rememberMe=1等方式触发漏洞

4. 综合渗透测试流程

1. 初始访问：使用默认凭证admin/admin123登录
2. 漏洞验证：
   • 测试SQL注入点
   • 尝试任意文件读取
   • 检查Shiro组件
3. 权限提升：通过漏洞获取更高权限或系统权限
4. 横向移动：获取数据库访问权限或其他系统组件控制权
5. 持久化：部署后门（如Viper）维持访问

5. 防御建议

对于使用若依框架的系统管理员：

1. 及时更新到最新版本框架
2. 删除或修改默认凭证
3. 对用户输入进行严格过滤
4. 限制文件读取权限
5. 禁用或更新存在漏洞的组件（如Shiro）

6. 总结

该案例展示了典型"杀猪盘"交易所后台的安全状况：

• 使用存在已知漏洞的框架
• 缺乏基本的安全配置
• 多个高危漏洞并存
• 渗透过程技术门槛低

渗透测试人员遇到类似系统时，可按照框架识别→默认凭证尝试→已知漏洞利用的流程进行安全评估。