xiaohack's Blog - 未授权访问
type: channel
link: https://blog.xiaohack.org/tag/3aac0e31-7dbe45/
items: 利用Ollama对Deepseek 模型进行攻击
items: 一次ComfyUI第三方未授权凭据访问分析
items: JS漏洞挖掘 ｜ 分享使用FindSomething联动的挖掘思路
items: 分享最近一次攻防演练RTSP奇特之旅
items: 分享某次项目上的渗透测试复盘
items: OpenCode 未认证远程命令执行漏洞分析
items: MindsDB 未授权任意文件读取漏洞详细分析

利用Ollama对Deepseek 模型进行攻击
type: item
date: 2026-01-25T01:08:49+08:00
description: 0x01 组件简介近期由于Deepseek爆火，大部分企业和个人都开始部署AI。Ollama是一个本地私有化部署大语言模型（LLM，如DeepSeek等）的运行环境和平台，简化了大语言模型在本地的部署、运行和管理过程,具有简化部署、轻量级可扩展、API支持、跨平台等特点，在AI领域得到了较为广泛的应用。fofa语法：app="Ollama"0x02 漏洞描述近日，Ollama存在安全漏洞，该漏洞源于默认未设置身份验证和访问控制功能，未经授权的攻击者可在远程条件下调用Ollama服务接口，执行包括但不限于敏感模型资产窃取、虚假信息投喂、模型计算资源滥用和拒绝服务、系统配置篡改和扩大利用等恶意操作。0x03 影响版本Ollama所有版本均受此漏洞影响。0x04 漏洞验证随机找一个靶机看看出现Ollama is running，即证明存在未授权访问的漏洞漏洞验证通过查看Ollama api文档，Ollama提供了多个API 端点，用于执行不同的操作详细情况查看：https://ollama.cadn.net.cn/api.html/api/generate 用于生成文本或内容。通常用于基于给定的输入生成响应或输出，例如生成对话回复、文章等。 /api/chat 专门用于聊天交互。用户可以通过此端点与模型进行对话，模型会根据输入生成相应的回复。 /api/create 用于创建新的模型或资源。可能涉及初始化一个新的模型实例或配置。 /api/ps(或者tags) 用于管理或查看模型的标签。标签可以帮助用户对模型进行分类或标记，便于管理和查找。 /api/show 用于显示模型或资源的详细信息。用户可以获取模型的配置、状态或其他相关信息。 /api/copy 用于复制模型或资源。用户可以通过此端点创建一个现有模型的副本。 /api/delete 用于删除模型或资源。用户可以通过此端点移除不再需要的模型或数据。 /api/pull 用于从 Ollama 下载模型。用户可以通过此端点将模型从远程服务器拉取到本地环境中。 /api/push 用于将模型上传到 Ollama。用户可以通过此端点将本地模型推送到远程服务器。 /api/embeddings 用于生成文本的嵌入向量。嵌入向量是文本的数值表示，通常用于机器学习任务中的特征提取。 /api/version 用于获取 Ollama 的版本信息。用户可以通过此端点查询当前使用的 Ollama 版本。漏洞利用在未授权情况，可以通过访问/api/ps（使用GET请求即可） 获取目前搭建的所有模型信息。通过返回信息可以看到采用的是deepseek-r1模型，通过刚才我们知道的接口端点信息，我们可以调用/api/chat（使用POST请求）来完成聊天请求，消耗资源。通过引导deepseek回答问题的过程中也能造成一些信息的泄露所以在未授权的情况下，其他的接口都是可以用的，危害极大，可以通过调用那些危险接口进行操作，可对模型进行创建或删除的操作0x05 漏洞影响通过以上过程，我们可以看到该漏洞危害极大，且该漏洞利用难度也极低，可以通过未授权对大模型进行操作0x06 修复建议限制公网访问：尽量避免直接将 Ollama 服务端口（默认 11434）暴露在公网。 配置网络访问控制：通过云安全组、防火墙等手段限制对 Ollama 服务端口的访问来源。仅允许可信的源 IP 地址连接 11434 端口，阻止非授权 IP 的访问请求。 0X07 参考链接https://github.com/ollama/ollama/blob/main/docs/faq.md0x08 免责声明本文所涉及的任何技术、信息或工具，仅供学习和参考之用。请勿利用本文提供的信息从事任何违法活动或不当行为。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。

一次ComfyUI第三方未授权凭据访问分析
type: item
date: 2026-01-21T11:46:22+08:00

JS漏洞挖掘 ｜ 分享使用FindSomething联动的挖掘思路
type: item
date: 2026-01-19T23:52:52+08:00
description: 0x1 前言哈喽，师傅们！这次又来给师傅们分享我的文章心得了呦，这次是给师傅们分享下js未授权漏洞挖掘的一个小技巧的汇总，然后也是会给师傅们分享几个案例，带师傅们更加深刻的理解和看的懂这个js未授权，然后再带师傅们去挖这个漏洞，从怎么挖去带师傅们掌握这个js未授权。然后特别是给一些不会挖漏洞，然后针对于FindSomething插件工具的使用来做一个分享，让师傅们对呀FindSomething插件的使用更加娴熟，能够更好的利用这个插件，然后让师傅们挖出属于自己的第一个js未授权漏洞！0x2 js未授权简介一、什么是未授权？首先理解什么是未授权漏洞未授权字面上理解是未获得授权，对于正常的业务来说，有些功能点需要经过登录之后才能进行，那么如果我们通过一些绕过，无需登录也可以完成此类操作，那么便是未授权访问漏洞了。二、常见的未授权访问漏洞常见的未授权漏洞一般分为两种：组件类的，如js未授权、redis未授权、mongodb未授权等，也是比较常见的。对于此类漏洞，可以理解为不需要登录即可执行里面的功能，所以存在未授权漏洞。 WEB层面的，如某某CMS未授权文件上传、未授权创建账号、findsomething接口拼接未授权访问敏感信息泄露等。因为可以绕过登录限制进行操作，所以存在未授权访问漏洞。三、浅谈未授权访问的挖掘不是针对所有网站，这只是一种思路，通过信息收集来实现登录绕过，从而达到未授权。正常来说可以通过抓包修改返回值也可以达到绕过，前提是不知道网站代码的判断情况下，可以尝试猜解返回值。如果网站后端认证做好了，是不会有该漏洞的。0x3浅谈 js未授权挖掘技巧一、常规js未授权挖掘这里就要和师傅们分享下我之前在没有认真研究js未授权的时候，喜欢的一个针对js的一个测试手法。我相信很多师傅应该都是和我一样的思路，就是大家知道且都非常喜欢使用的一个插件findsomething。就是常见的使用findsomething小熊猫头插件打开，然后把里面的泄露的路径进行拼接使用，然后直接拿bp进行POST/GET方法都进行跑一遍，然后再看看有没有什么js路径拼接，然后导致的敏感信息泄露。然后把插件泄露的js路径保存到一个txt文件夹里面然后简单的进行GET/POST跑下然后跑完以后会发现，怎么还是没跑出什么东西来，然后就这样觉得这个js路径很安全，没有漏洞，直接下了Google插件FindSomething下载链接：https://chromewebstore.google.com/detail/findsomething/kfhniponecokdefffkpagipffdefeldb二、使用findsomething插件工具的目的为了寻找隐藏的接口JS中存在一些网址或接口信息，特别是隐藏的一些信息，也就是UI中没有的，这些隐藏的 接口很有可能存在各种常见的漏洞，例如越权，未授权等。如果我们通过JS中的信息构造出完整的隐藏接口和传参，就有可能发现极其隐蔽的漏洞三、js未授权挖掘小技巧分享师傅们来看下下面的这个接口，是不是可以看到存在一个id参数，那么你要是直接把这个复制下来，然后去使用bp跑，是不是再怎么跑都跑不出什么信息泄露然后还有就是下面的这个js接口，findsomething显示出来的接口，一个?id=xxx的一个参数，像碰到这样的，我们是不是得提前进行一个数据的处理，然后再放到bp去跑接口，才会最大可能性让你找到一些敏感信息泄露的接口，这样就是有些师傅挖不到js未授权的漏洞，但是有些师傅却可以的原因之一了还有下面的这种情况，就是跑js路径的时候，需要我们注意前面是否有前缀像上面的存在一个#的路径，建议是师傅们单独把这些js路径给拿出来，进行一个手动拼接尝试看看未授权，或者说要爆破，那也得把这个/#/这个给带上，然后再进行一个爆破，下面简单来拿百度的给师傅们看看这个案例下面可以把findsomething的url复制到一个txt文本里面，然后进行替换如下：四、查询接口的未授权访问测试奇招就是我们平常在测试漏洞的时候，有时候不传参，或者在参数置空，发包的时候，对方服务器返回的请求是500的时候，那么有时候使用下面的参数进行一个传参，把这个给加上去，那么有时候会有一个不一样的效果，有时候就能返回一些高权限才可以看的内容{ "pageNum":"1", "pageSize":"100" } { "pageNo"1", "pageSize":100, }五、HAE匹配规则下面是我给师傅们整理的HAE正则匹配，直接使用bp中的hae插件，把下面的规则直接导入到bp插件hae中，或者编辑Rules.yml文件type:"POST"|type:"GET"|post("|get("|ashx?|ashx|ur1:|ur1:"|ur1:|path:|p…

分享最近一次攻防演练RTSP奇特之旅
type: item
date: 2026-01-19T23:36:22+08:00
description: 声明本文章所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.此文章不允许未经授权转发至除 火线Zone 社区 以外的其它平台！！！0x1 RTSP奇特之旅前言浅谈哈咯，师傅们，好久不见！已经很久没有写文章了，这次简单写一个蛮有意思的案例，也是在最近攻防演练中遇到的。其实在最初开始晚没有特别的去想着去利用这个漏洞——RTSP协议漏洞，因为之前有看过文章简单了解过，主要就是打弱口令和未授权访问漏洞，然后一般就是比较敷衍的使用爆破工具爆破下，有无弱口令，或者使用字典目录遍历下。像下面的我就喜欢使用无影tools的爆破模块把目标导入即可，然后选择RTSP的554端口进行爆破，字典可以选择内置的字典其次一般像RTSP的弱口令和未授权在我以前感觉用处不是很大，且平常挖src漏洞之类的，也不怎么碰的到。但是这次攻防演练嘛，有些东西在平常可能没多大的利用的价值，但是打攻防说不定就是可以打分打权限的那种，下面就来介绍下这个RTSP漏洞。其中主要还是在网上看了很多的打法和文章资料，在网上尝试了蛮多的工具，发现一款GitHub上面的新利用RTSP漏洞一键利用的工具，然后结合这次资产刚好有，就利用起来了。然后这次我开始也是简单的爆破下，因为这次是攻防演练嘛，然后是某单位的资产，且有好多下级部门的厂商视频监控管理系统，所以对应的监控大都是RTSP协议的，集群远程管理。且这次的攻防演练目标资产比较多，范围比较广，只要是属于该市的资产都可以，还有一些企业的都可以，像很多的监控系统都带有远程管理操作，所以有部分都是RTSP协议的，且这个漏洞在平常接触比较少，就比如我平常挖src对这个漏洞基本上没有太多的操作。下面是我简单收集的一些资产表格如下：0x2 众测捡钱小技巧（拓展）一、浅谈上面既然介绍到了我们平常挖企业src中一些不怎么会收的漏洞，比如我这里要讲的RTSP漏洞，这个漏洞的话主要是在攻防演练中，我们可以对目标资料中的一些监控管理系统进行拿监控管理权限的分，因为在攻防演练中主要是通过拿数据分和权限分，特别是你打进内网，像这样的监控系统肯定很多，这样就可以帮助你拿比较多的权限分。这里给师傅们看下某些评分标准：下面我来给师傅们讲下众测中，我一般第一先测试的漏洞——SPF邮件伪造漏洞。具体的测试方法，我下面有很详细的测试手法，其实网上也有很多的批量跑SPF邮件伪造漏洞的脚本，其中我自己也是利用这些脚本去测试的，因为在众测中，得拼手速了，具体的脚本我这里就不放上去了，因为脚本内容因人而异，最好自己修改下。其实在攻防演练中也是可以利用SPF邮件伪造漏洞的，可以使用SPF邮件伪造去钓鱼，收集目标资产的邮箱，然后去钓鱼攻击，也是一种方法，在护网期间，钓鱼攻击是特别常态且使用特别多的一种方式。二、SPF邮件伪造漏洞针对师傅们对于SPF邮件伪造漏洞的拓展，师傅们可以看我之前写的那篇原创文章：https://xz.aliyun.com/news/14752这里就引用这篇文章的SPF邮件伪造漏洞，写的蛮详细的，师傅们可以参考学习下，然后后面在众测项目上去赚点漏洞赏金。1、spf邮件伪造漏洞简介：SPF 记录是一种域名服务（DNS）记录，用于标识哪些邮件服务器可以代表您的域名发送电子邮件。SPF 记录的目的是为了防止垃圾邮件发送者在您的域名上，使用伪造的发件人地址发送邮件。原理:未设置spf导致的邮件任意伪造，可以用来钓鱼社工，本身就是高危若您未对您的域名添加 SPF 解析记录，则黑客可以仿冒以该域名为后缀的邮箱，来发送垃圾邮件。2、漏洞危害：可以用未进行安全配置的网站域名，发送邮件。比如：www.baidu.com有这个漏洞，你就可以伪造HR@baidu.com给受害人发邮件进行钓鱼。src收的少，但是重测和渗透测试项目可以交。注意：如果没有v=spf1或者没spf就存在邮件伪造漏洞。 -all 不能伪造，all可以伪造3、测试漏洞我们直接拿baidu.com的域名来给大家演示下，用kali的nslookup 工具测试下可以看到下面的回显，存在spf记录，是-all参数，说明不能任意伪造。┌──(root-kali)-[~] └─# nslookup -type=txt baidu.com还可以使用dig -t命令来测试┌──(root-kali)-[~] └─# dig -t txt baidu.com4、SPF解析不当导致绕过把下面的spf配置记录复制下来测试地址如下：https://www.kitterman.com/spf/validate.html这里显示spf解析配置正确下面拿一个存在spf解析错误的案例来演示下：SPF记录报错，在这条SPF记录中，存在多个IP段，但只有开头的一段ip用了ip…

分享某次项目上的渗透测试复盘
type: item
date: 2026-01-19T23:24:04+08:00
description: 声明本文章所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.此文章不允许未经授权转发至除 火线Zone 社区 以外的其它平台！！！0x1 前言一、浅谈这篇文章主要是给师傅们分享下前段时间我们公司做的渗透测试，这次是跟市里面的网信办一起做的。因为是第一次所以我们这次做的渗透测试价格不高，主要是为了后面连续几年的一个渗透测试服务项目。这次的渗透测试范围特别广，包含整个市里面的好多政企单位和学校，资产多，测试起来也就比较简单。下面简单给师傅们分享下一些渗透测试上面的漏洞复盘，给新手师傅们，特别是没有参加过渗透测试的师傅们给点经验。这里需要注明下，该项目中的漏洞目前已经全部修复了，另外提醒师傅们不要做未授权测试。所以下面的渗透测试漏洞案例中又部分截屏不全，我会备注，因为目前已经修复了。二、资产整理首先我会把公司发的跟这次渗透测试项目相关的文件和资产，还有一些些漏洞报告的模版之类的汇总在一个文件夹中，这样方便后面我自己进行一个漏洞报告编写，以及资产的收集整理，比如像web资产和APP、小程序漏洞都是可以分开整理我们在渗透测试项目之前，甲方那边都会给我们一些资产相关的表格，下面就是常见的excel表格资产，还有就是有些甲方可能目标资产不是那么多，且大多都是web资产，直接也有发txt文件的txt的类型像下面的如下：然后像渗透测试，还有就是授权书也是得有的，这里我们都是合法授权渗透测试的项目，跟那边都有授权合作的项目书，这里也希望师傅们能够合法进行渗透测试0x2漏洞一 短信轰炸一、纵向轰炸这里首先先带师傅们看看渗透测试常测试的点，比如像登陆口，一般都有手机号码登录，手机号码验证登录，需要我们接受短信验证码，然后进行登录操作。像渗透测试还有重测和src漏洞挖掘中，短信轰炸都是收的，企业src价格低点，且一般香短信轰炸，一般像很多企业都要求在比如每分钟15/30条以上就收。这里测试的手是一个人力资源管理局的一个微信小程序，这里直接输入我自己的手机号，然后使用bp抓包，拦截短信验证码发送的数据包：直接把数据包放到重放模块，下面直接go一下（第一次go）数据包可以看到数据包回显是正常的，且手机也是正常的接受到了短信验证码了但是第二次再次点击发送数据包，缺显示报错，意思是我们已经发送了一次，在短时间类不能再发送了这里我们就可以想下了，我们能不能进行一个验证码发送限制次数的绕过，这个要是能绕过，无限次数的发送验证码是会消耗这个单位的一个资源的然后我们就可以进行一个测试了，看看什么字符可以进行绕过验证码发送呢？经过测试发现，可以通过@、空格、+86、逗号等进行绕过，从而达到短信轰炸的漏洞危害：我们如果要把危害加大，达到一分钟短信轰炸达到几十条，那么我们就要利用bp的爆破了，我们手动添加多个绕过字符，然后进行爆破，尽量多的提高每分钟爆破短信验证码的发送次数，以此来提高这个漏洞的危害：然后师傅们就可以看自己的手机上面的短信验证码了，就可以看到一次性并发绕过了很多条短信验证码：二、横向轰炸然后这个人力资源局的小程序还存在横向爆破绕过漏洞，可以进行双手机号验证码同时进行发送，从而造成逻辑漏洞，下面师傅们可以参考下我具体的绕过技巧，在碰到这样的场景时候，直接去实操即可类似下面的，常用的就是下面几个：phone=13888888888,phone=13999999999 phone=13888888888&phone=13999999999 phone=13888888888,13999999999 phone=13888888888&13999999999下面我就直接重新回到刚才上面的抓包步骤，抓取发送短信验证码的数据包，然后去尝试使用上面的绕过方法，看看能不能进行绕过，双手机号验证码同时发送，这里我使用我的卡一和卡二来演示：我这里使用的就是下面这个思路：phone=13888888888&13999999999然后就可以看到自己手机短信验证码，收到了来自卡一和卡二一样的验证码，且时间也是一样的：然后我们这里就可以使用卡二的手机收到的验证码，只需要知道卡一的手机号就行了，那么就可以直接登陆卡一的账号那么我们后面深入利用就可以去改人力资源局相关站点去搜索电话号码，然后使用这个漏洞就可以越权登陆其他账号，特别是像权限比较高的admin之类的管理员账号三、短信轰炸总结下面是我之前总结的一些验证码爆破的一个思维导图，师傅们可以保存下，对于挖掘企业src和众测的时候，厂家收不收呢，其实可以看看相关的文档，一般都是定义每分钟15/30条以上就收0x3 漏洞 二 SessionKey三要素泄露一、未授权登陆下面这个漏洞就是给师傅们分享下，在渗透测试中比较容易发现，并且好打的一个漏洞点——SessionKey…

OpenCode 未认证远程命令执行漏洞分析
type: item
date: 2026-01-19T12:03:26+08:00
description: OpenCode 未认证远程命令执行漏洞 前言 Opencode 最近也是很火，看着公众号天天都在推，结果一番，翻到了还有未授权命令执行漏洞，于是来分析分析 在github 已经是超过 66k star 了 漏洞描述 OpenCode 是一个开源的人工智能编码代理。在升级到版本 1.0.216 之前，OpenCode 会自动启动未经验证的 HTTP 服务器，允许任何本地进程（或通过允许 CORS 的任何网站）以用户的权限执行任意 shell 命令。这一漏洞已在版本 1.0.216 中得到修复。 环境搭建 ​9912345678910git clone https://github.com/sst/opencode.gitcd opencodegit checkout v1.0.215bun installbun run dev服务器默认监听 http://127.0.0.1:4096，无需任何认证即可访问 验证是否搭建成功 ​9912345678910111213141516GET /global/health HTTP/1.1Host: 127.0.0.1:4096Sec-Fetch-Dest: documentsec-ch-ua: "Not(A:Brand";v="99", "Google Chrome";v="133", "Chromium";v="133"sec-ch-ua-mobile: ?0sec-ch-ua-platform: "macOS"Upgrade-Insecure-Requests: 1Sec-Fetch-Mode: navigateAccept-Language: zh-CN,zh;q=0.9Accept-Encoding: gzip, deflate, br, zstdAccept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36Sec-Fetch-User: ?1Sec-Fetch-Site: none 漏洞复现 复现步骤 首先创建一个会话 我们不需要传入参数的，但是必须得有下面的 json 记录 id 就可以直接执行命令了，而且这个端点未授权 pty 路由的话利用方法还更多 利用脚本 漏洞分析 session 执行命令 server.ts - HTTP 服务器配置 .use(cors()) 配置了宽松的 CORS 策略，允许任何源访问而且整个应用中没有任何认证中间件导致所有端点都可以未授权访问 /session/:sessionID/shell 端点 SessionPrompt.shell 很直白 1 用户提供的 command 直接放入 args 2 使用 spawn(shell, args) 执行 3命令以 OpenCode 进程的用户权限运行 4输出返回给 /pty 命令执行 相比于 shell，更强大 API 端点列表: 创建 PTY: WebSocket 交互源码: 如何利用在漏洞复现部分已经给出了 漏洞修复 还未修复，不过如果需要修复也很简单，加认证就好了，当然有人会有疑问，怎么可能有人把opencode部署在公网上，去fofa搜了，你别说，还真有 都能直接看到别人的项目 参考资料 资源链接漏洞公告https://github.com/opencode-ai/opencode/security/advisories源码仓库https://github.com/sst/opencode 免责声明 本漏洞分析报告仅供安全研究和教育目的使用。请勿将此信息用于任何非法活动。 ​

MindsDB 未授权任意文件读取漏洞详细分析
type: item
date: 2026-01-19T12:03:00+08:00
description: MindsDB 未授权任意文件读取漏洞详细分析 前言 可能分析组件多了吧，都准备下播了，看到 360 又发了一个 AI 数据库的漏洞 漏洞描述 MindsDB 是一个基于企业数据构建人工智能的平台。在 25.11.1 版本之前，文件上传 API 中的非认证路径遍历允许任何调用者从服务器文件系统读取任意文件并将其移入 MindsDB 存储，从而暴露敏感数据。file.py 中的 PUT 处理程序会直接将用户控制的数据加入文件系统路径，当请求主体是 JSON 且 source_type 不是“url”时。只有多部分上传和基于 URL 的上传会被净化;JSON 上传没有调用 clear_filename 或等效检查。该漏洞在 25.11.1 中修复。 环境搭建 ​912git clone --depth 1 --branch v25.11.0 https://github.com/mindsdb/mindsdb.git vulnerable-25.11.0 搭建成功 漏洞复现 首先模拟创建一个敏感文件 然后我们开始目录穿越 看到回显，证明穿越的路径不够 现在成功把文件内容写进数据库了，然后就是读取的问题了 我们通过 sql 查询，把内容查出来 /api/files/aaa 路由后面的 aaa，就是我们的文件名称 成功读取到了文件内容 漏洞分析 文件上传 当然第一个查看的就是 file 文件 注意，这个文件我们可以分为两个部分分析，其中有两种文件上传，一个是 Multipart 格式，但是对路径穿越是有检查的 但是为什么还是漏洞呢？我们看到全部代码 这里可以看到，如果是 json 格式，也就是我们漏洞复现的 payload 模式，没有检查可以直接绕过 文件读取部分 文件读取后直接把内容移动到 MindsDB 中存储，所以我们读取文件，可以直接从数据库查询文件内容 绝对路径读取 但是我后来发现，都不需要目录穿越，直接绝对路径就可以成功，其实还是因为一个漏洞 我们写一个例子代码，就明白了 可以看到当我的第二个路径是绝对路径的时候，直接被覆盖掉了 所以我们完全可以绝对路径去读取信息 尝试一手再说 完全没有问题 一键利用脚本 注意，只能在本地环境复现，因为，每次读取文件后，都会把原文件删除，所以请在虚拟机复现或者创建临时文件 漏洞修复 修复方案 在 file.py 第 214 行之前添加路径验证： 参考资料 资源链接GitHub Advisoryhttps://github.com/mindsdb/mindsdb/security/advisories/GHSA-qqhf-pm3j-96g7MindsDB Releasehttps://github.com/mindsdb/mindsdb/releases/tag/v25.11.1MindsDB Repositoryhttps://github.com/mindsdb/mindsdb 免责声明 本报告仅供安全研究和教育目的使用。所有测试均在授权环境中进行。 ●请勿将本文提供的信息用于任何非法目的 ●本文所述漏洞利用方法仅用于帮助理解和修复安全漏洞 ●使用本文信息造成的任何后果，由使用者自行承担 ​

JS漏洞挖掘 ｜ 分享使用FindSomething联动的挖掘思路
type: item
date: 2026-01-18T13:57:35+08:00
description: 0x1 前言哈喽，师傅们！这次又来给师傅们分享我的文章心得了呦，这次是给师傅们分享下js未授权漏洞挖掘的一个小技巧的汇总，然后也是会给师傅们分享几个案例，带师傅们更加深刻的理解和看的懂这个js未授权，然后再带师傅们去挖这个漏洞，从怎么挖去带师傅们掌握这个js未授权。然后特别是给一些不会挖漏洞，然后针对于FindSomething插件工具的使用来做一个分享，让师傅们对呀FindSomething插件的使用更加娴熟，能够更好的利用这个插件，然后让师傅们挖出属于自己的第一个js未授权漏洞！0x2 js未授权简介一、什么是未授权？首先理解什么是未授权漏洞未授权字面上理解是未获得授权，对于正常的业务来说，有些功能点需要经过登录之后才能进行，那么如果我们通过一些绕过，无需登录也可以完成此类操作，那么便是未授权访问漏洞了。二、常见的未授权访问漏洞常见的未授权漏洞一般分为两种：组件类的，如js未授权、redis未授权、mongodb未授权等，也是比较常见的。对于此类漏洞，可以理解为不需要登录即可执行里面的功能，所以存在未授权漏洞。 WEB层面的，如某某CMS未授权文件上传、未授权创建账号、findsomething接口拼接未授权访问敏感信息泄露等。因为可以绕过登录限制进行操作，所以存在未授权访问漏洞。三、浅谈未授权访问的挖掘不是针对所有网站，这只是一种思路，通过信息收集来实现登录绕过，从而达到未授权。正常来说可以通过抓包修改返回值也可以达到绕过，前提是不知道网站代码的判断情况下，可以尝试猜解返回值。如果网站后端认证做好了，是不会有该漏洞的。0x3浅谈 js未授权挖掘技巧一、常规js未授权挖掘这里就要和师傅们分享下我之前在没有认真研究js未授权的时候，喜欢的一个针对js的一个测试手法。我相信很多师傅应该都是和我一样的思路，就是大家知道且都非常喜欢使用的一个插件findsomething。就是常见的使用findsomething小熊猫头插件打开，然后把里面的泄露的路径进行拼接使用，然后直接拿bp进行POST/GET方法都进行跑一遍，然后再看看有没有什么js路径拼接，然后导致的敏感信息泄露。然后把插件泄露的js路径保存到一个txt文件夹里面然后简单的进行GET/POST跑下然后跑完以后会发现，怎么还是没跑出什么东西来，然后就这样觉得这个js路径很安全，没有漏洞，直接下了Google插件FindSomething下载链接：https://chromewebstore.google.com/detail/findsomething/kfhniponecokdefffkpagipffdefeldb二、使用findsomething插件工具的目的为了寻找隐藏的接口JS中存在一些网址或接口信息，特别是隐藏的一些信息，也就是UI中没有的，这些隐藏的 接口很有可能存在各种常见的漏洞，例如越权，未授权等。如果我们通过JS中的信息构造出完整的隐藏接口和传参，就有可能发现极其隐蔽的漏洞三、js未授权挖掘小技巧分享师傅们来看下下面的这个接口，是不是可以看到存在一个id参数，那么你要是直接把这个复制下来，然后去使用bp跑，是不是再怎么跑都跑不出什么信息泄露然后还有就是下面的这个js接口，findsomething显示出来的接口，一个?id=xxx的一个参数，像碰到这样的，我们是不是得提前进行一个数据的处理，然后再放到bp去跑接口，才会最大可能性让你找到一些敏感信息泄露的接口，这样就是有些师傅挖不到js未授权的漏洞，但是有些师傅却可以的原因之一了还有下面的这种情况，就是跑js路径的时候，需要我们注意前面是否有前缀像上面的存在一个#的路径，建议是师傅们单独把这些js路径给拿出来，进行一个手动拼接尝试看看未授权，或者说要爆破，那也得把这个/#/这个给带上，然后再进行一个爆破，下面简单来拿百度的给师傅们看看这个案例下面可以把findsomething的url复制到一个txt文本里面，然后进行替换如下：四、查询接口的未授权访问测试奇招就是我们平常在测试漏洞的时候，有时候不传参，或者在参数置空，发包的时候，对方服务器返回的请求是500的时候，那么有时候使用下面的参数进行一个传参，把这个给加上去，那么有时候会有一个不一样的效果，有时候就能返回一些高权限才可以看的内容{ "pageNum":"1", "pageSize":"100" } { "pageNo"1", "pageSize":100, }五、HAE匹配规则下面是我给师傅们整理的HAE正则匹配，直接使用bp中的hae插件，把下面的规则直接导入到bp插件hae中，或者编辑Rules.yml文件type:"POST"|type:"GET"|post("|get("|ashx?|ashx|ur1:|ur1:"|ur1:|path:|p…

分享最近一次攻防演练RTSP奇特之旅
type: item
date: 2026-01-18T13:47:42+08:00
description: 声明本文章所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.此文章不允许未经授权转发至除 火线Zone 社区 以外的其它平台！！！0x1 RTSP奇特之旅前言浅谈哈咯，师傅们，好久不见！已经很久没有写文章了，这次简单写一个蛮有意思的案例，也是在最近攻防演练中遇到的。其实在最初开始晚没有特别的去想着去利用这个漏洞——RTSP协议漏洞，因为之前有看过文章简单了解过，主要就是打弱口令和未授权访问漏洞，然后一般就是比较敷衍的使用爆破工具爆破下，有无弱口令，或者使用字典目录遍历下。像下面的我就喜欢使用无影tools的爆破模块把目标导入即可，然后选择RTSP的554端口进行爆破，字典可以选择内置的字典其次一般像RTSP的弱口令和未授权在我以前感觉用处不是很大，且平常挖src漏洞之类的，也不怎么碰的到。但是这次攻防演练嘛，有些东西在平常可能没多大的利用的价值，但是打攻防说不定就是可以打分打权限的那种，下面就来介绍下这个RTSP漏洞。其中主要还是在网上看了很多的打法和文章资料，在网上尝试了蛮多的工具，发现一款GitHub上面的新利用RTSP漏洞一键利用的工具，然后结合这次资产刚好有，就利用起来了。然后这次我开始也是简单的爆破下，因为这次是攻防演练嘛，然后是某单位的资产，且有好多下级部门的厂商视频监控管理系统，所以对应的监控大都是RTSP协议的，集群远程管理。且这次的攻防演练目标资产比较多，范围比较广，只要是属于该市的资产都可以，还有一些企业的都可以，像很多的监控系统都带有远程管理操作，所以有部分都是RTSP协议的，且这个漏洞在平常接触比较少，就比如我平常挖src对这个漏洞基本上没有太多的操作。下面是我简单收集的一些资产表格如下：0x2 众测捡钱小技巧（拓展）一、浅谈上面既然介绍到了我们平常挖企业src中一些不怎么会收的漏洞，比如我这里要讲的RTSP漏洞，这个漏洞的话主要是在攻防演练中，我们可以对目标资料中的一些监控管理系统进行拿监控管理权限的分，因为在攻防演练中主要是通过拿数据分和权限分，特别是你打进内网，像这样的监控系统肯定很多，这样就可以帮助你拿比较多的权限分。这里给师傅们看下某些评分标准：下面我来给师傅们讲下众测中，我一般第一先测试的漏洞——SPF邮件伪造漏洞。具体的测试方法，我下面有很详细的测试手法，其实网上也有很多的批量跑SPF邮件伪造漏洞的脚本，其中我自己也是利用这些脚本去测试的，因为在众测中，得拼手速了，具体的脚本我这里就不放上去了，因为脚本内容因人而异，最好自己修改下。其实在攻防演练中也是可以利用SPF邮件伪造漏洞的，可以使用SPF邮件伪造去钓鱼，收集目标资产的邮箱，然后去钓鱼攻击，也是一种方法，在护网期间，钓鱼攻击是特别常态且使用特别多的一种方式。二、SPF邮件伪造漏洞针对师傅们对于SPF邮件伪造漏洞的拓展，师傅们可以看我之前写的那篇原创文章：https://xz.aliyun.com/news/14752这里就引用这篇文章的SPF邮件伪造漏洞，写的蛮详细的，师傅们可以参考学习下，然后后面在众测项目上去赚点漏洞赏金。1、spf邮件伪造漏洞简介：SPF 记录是一种域名服务（DNS）记录，用于标识哪些邮件服务器可以代表您的域名发送电子邮件。SPF 记录的目的是为了防止垃圾邮件发送者在您的域名上，使用伪造的发件人地址发送邮件。原理:未设置spf导致的邮件任意伪造，可以用来钓鱼社工，本身就是高危若您未对您的域名添加 SPF 解析记录，则黑客可以仿冒以该域名为后缀的邮箱，来发送垃圾邮件。2、漏洞危害：可以用未进行安全配置的网站域名，发送邮件。比如：www.baidu.com有这个漏洞，你就可以伪造HR@baidu.com给受害人发邮件进行钓鱼。src收的少，但是重测和渗透测试项目可以交。注意：如果没有v=spf1或者没spf就存在邮件伪造漏洞。 -all 不能伪造，all可以伪造3、测试漏洞我们直接拿baidu.com的域名来给大家演示下，用kali的nslookup 工具测试下可以看到下面的回显，存在spf记录，是-all参数，说明不能任意伪造。┌──(root-kali)-[~] └─# nslookup -type=txt baidu.com还可以使用dig -t命令来测试┌──(root-kali)-[~] └─# dig -t txt baidu.com4、SPF解析不当导致绕过把下面的spf配置记录复制下来测试地址如下：https://www.kitterman.com/spf/validate.html这里显示spf解析配置正确下面拿一个存在spf解析错误的案例来演示下：SPF记录报错，在这条SPF记录中，存在多个IP段，但只有开头的一段ip用了ip…

分享某次项目上的渗透测试复盘
type: item
date: 2026-01-18T13:41:23+08:00
description: 声明本文章所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.此文章不允许未经授权转发至除 火线Zone 社区 以外的其它平台！！！0x1 前言一、浅谈这篇文章主要是给师傅们分享下前段时间我们公司做的渗透测试，这次是跟市里面的网信办一起做的。因为是第一次所以我们这次做的渗透测试价格不高，主要是为了后面连续几年的一个渗透测试服务项目。这次的渗透测试范围特别广，包含整个市里面的好多政企单位和学校，资产多，测试起来也就比较简单。下面简单给师傅们分享下一些渗透测试上面的漏洞复盘，给新手师傅们，特别是没有参加过渗透测试的师傅们给点经验。这里需要注明下，该项目中的漏洞目前已经全部修复了，另外提醒师傅们不要做未授权测试。所以下面的渗透测试漏洞案例中又部分截屏不全，我会备注，因为目前已经修复了。二、资产整理首先我会把公司发的跟这次渗透测试项目相关的文件和资产，还有一些些漏洞报告的模版之类的汇总在一个文件夹中，这样方便后面我自己进行一个漏洞报告编写，以及资产的收集整理，比如像web资产和APP、小程序漏洞都是可以分开整理我们在渗透测试项目之前，甲方那边都会给我们一些资产相关的表格，下面就是常见的excel表格资产，还有就是有些甲方可能目标资产不是那么多，且大多都是web资产，直接也有发txt文件的txt的类型像下面的如下：然后像渗透测试，还有就是授权书也是得有的，这里我们都是合法授权渗透测试的项目，跟那边都有授权合作的项目书，这里也希望师傅们能够合法进行渗透测试0x2漏洞一 短信轰炸一、纵向轰炸这里首先先带师傅们看看渗透测试常测试的点，比如像登陆口，一般都有手机号码登录，手机号码验证登录，需要我们接受短信验证码，然后进行登录操作。像渗透测试还有重测和src漏洞挖掘中，短信轰炸都是收的，企业src价格低点，且一般香短信轰炸，一般像很多企业都要求在比如每分钟15/30条以上就收。这里测试的手是一个人力资源管理局的一个微信小程序，这里直接输入我自己的手机号，然后使用bp抓包，拦截短信验证码发送的数据包：直接把数据包放到重放模块，下面直接go一下（第一次go）数据包可以看到数据包回显是正常的，且手机也是正常的接受到了短信验证码了但是第二次再次点击发送数据包，缺显示报错，意思是我们已经发送了一次，在短时间类不能再发送了这里我们就可以想下了，我们能不能进行一个验证码发送限制次数的绕过，这个要是能绕过，无限次数的发送验证码是会消耗这个单位的一个资源的然后我们就可以进行一个测试了，看看什么字符可以进行绕过验证码发送呢？经过测试发现，可以通过@、空格、+86、逗号等进行绕过，从而达到短信轰炸的漏洞危害：我们如果要把危害加大，达到一分钟短信轰炸达到几十条，那么我们就要利用bp的爆破了，我们手动添加多个绕过字符，然后进行爆破，尽量多的提高每分钟爆破短信验证码的发送次数，以此来提高这个漏洞的危害：然后师傅们就可以看自己的手机上面的短信验证码了，就可以看到一次性并发绕过了很多条短信验证码：二、横向轰炸然后这个人力资源局的小程序还存在横向爆破绕过漏洞，可以进行双手机号验证码同时进行发送，从而造成逻辑漏洞，下面师傅们可以参考下我具体的绕过技巧，在碰到这样的场景时候，直接去实操即可类似下面的，常用的就是下面几个：phone=13888888888,phone=13999999999 phone=13888888888&phone=13999999999 phone=13888888888,13999999999 phone=13888888888&13999999999下面我就直接重新回到刚才上面的抓包步骤，抓取发送短信验证码的数据包，然后去尝试使用上面的绕过方法，看看能不能进行绕过，双手机号验证码同时发送，这里我使用我的卡一和卡二来演示：我这里使用的就是下面这个思路：phone=13888888888&13999999999然后就可以看到自己手机短信验证码，收到了来自卡一和卡二一样的验证码，且时间也是一样的：然后我们这里就可以使用卡二的手机收到的验证码，只需要知道卡一的手机号就行了，那么就可以直接登陆卡一的账号那么我们后面深入利用就可以去改人力资源局相关站点去搜索电话号码，然后使用这个漏洞就可以越权登陆其他账号，特别是像权限比较高的admin之类的管理员账号三、短信轰炸总结下面是我之前总结的一些验证码爆破的一个思维导图，师傅们可以保存下，对于挖掘企业src和众测的时候，厂家收不收呢，其实可以看看相关的文档，一般都是定义每分钟15/30条以上就收0x3 漏洞 二 SessionKey三要素泄露一、未授权登陆下面这个漏洞就是给师傅们分享下，在渗透测试中比较容易发现，并且好打的一个漏洞点——SessionKey…