当前位置：首页 > news >正文

实战纪实 | 某配送平台zabbix 未授权访问 + 弱口令

news 2025/12/25 5:19:43

本文由掌控安全学院 - 17828147368 投稿

找到一个某src的子站，通过信息收集插件wappalyzer，发现ZABBIX-监控系统：

使用谷歌搜索历史漏洞：zabbix漏洞

通过目录扫描扫描到后台，谷歌搜索一下有没有默认弱口令

成功进去了，挖洞就是这么简单：

搜索文章还爆过未授权访问漏洞，打一波

/overview.php?ddreset=1
/srv_status.php?ddreset=1
/latest.php?ddreset=1
/zabbix.php?action=problem.view&ddreset=1

又成功进去了，已经清除缓存在拼接路径的，进去成功寻找功能点，在搜索位置输入任何东西，前端页面就会显示什么，猜测可能存在反射xss，但没什么用，继续测试ssti注入

不存在，这个站还可以getshell，但是点到为止。
黑盒测试ssti注入这个工具推荐一下，用这个工具还挖出过几个洞，这个感觉已经是公开最好的工具了：https://github.com/vladko312/SSTImap

申明：本账号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。

免费领取安全学习资料包！

渗透工具

技术文档、书籍

面试题

帮助你在面试中脱颖而出

视频

基础到进阶

环境搭建、HTML，PHP，MySQL基础学习，信息收集，SQL注入,XSS，CSRF，暴力破解等等

应急响应笔记

学习路线

实战纪实 | 某配送平台zabbix 未授权访问 + 弱口令

本文由掌控安全学院 - 17828147368 投稿找到一个某src的子站，通过信息收集插件wappalyzer，发现ZABBIX-监控系统： 使用谷歌搜索历史漏洞：zabbix漏洞通过目录扫描扫描到后台，谷歌搜索一下有没有默认弱口令成功进去了…...

编程日记 2024/1/24 1:13:28

【第十五课】数据结构：堆 (“堆”的介绍+主要操作 / acwing-838堆排序 / c++代码 )

目录关于堆的一些知识的回顾数据结构：堆的特点 "down" 和 "up"：维护堆的性质 down up 数据结构：堆的主要操作 acwing-838堆排序代码如下时间复杂度分析确实是在写的过程中频繁回顾了很多关于树的知识&…...

编程日记 2024/1/24 1:11:26

前端JavaScript篇之JavaScript有哪些数据类型，它们的区别？

目录 JavaScript有哪些数据类型，它们的区别？数据类型区别 JavaScript有哪些数据类型，它们的区别？ 数据类型 JavaScript数据类型有： Undefined、Null、Boolean、Number、String、Array、Object、Symbol、BigInt… St…...

编程日记 2024/1/24 1:10:25

LeetCode---380周赛

题目列表 3005. 最大频率元素计数 3006. 找出数组中的美丽下标 I 3007. 价值和小于等于 K 的最大数字 3008. 找出数组中的美丽下标 II 一、最大频率元素计数这题就是个简单的计数题，正常遍历统计数据即可，关键是你要会写代码逻辑。代码如下&…...

编程日记 2024/1/24 1:09:24

archlinux 如何解决安装以后没有声音的问题

今天安装完archlinux以后发现看视频没声音检查一下是否有 /lib/firmware/intel/sof 发现没有如果你也是这样的话，可以尝试安装： sudo pacman -S sof-firmware 重启后再看看有没有声音： reboot 反正我有声音了...

编程日记 2024/1/24 1:08:23

什么是ORM思想？

1. ORM概念 ORM（Object Relational Mapping）对象关系映射模式，是一种技术，解决了面向对象与关系型数据库存互不匹配的现象。 ORM在业务逻辑层和数据库层之间充当了桥梁的作用。 2. ORM由来在软件开发的过程中，通常…...

编程日记 2024/1/24 1:07:22

设计接口时，为其添加签名鉴权---详细教程

一、何为签名我们知道无论是restful api还是传统接口、亦或是其他形式接口的调用，接口签名都是非常重要的安全机制，它可以确保请求的发起者是经过认证和授权的客户端，同时也可以防止接口被攻击，请求参数被篡改等等。用大白话来解…...

编程日记 2024/1/24 1:06:20

5G+物联网：连接万物，重塑智慧社区，开启未来生活新纪元，助力智慧社区的革新与发展

一、5G与物联网：技术概述与基础随着科技的飞速发展，第五代移动通信技术（5G）和物联网（IoT）已经成为当今社会的热门话题。这两项技术作为现代信息社会的核心基础设施，正深刻地改变着人们的生活和…...

编程日记 2024/1/24 1:04:18

[反转链表] [合并两个有序链表][分割链表]

这里写目录标题反转链表合并两个有序链表分割链表反转链表 1、题目： 2.思路思路1：建立一个newHead,取一个节点进行头插。具体做法如下！ 建立一个newHead(新头)，由于一个节点里面存的是下一个节点的地址，如果取…...

编程日记 2024/1/24 1:03:17

我这里先贴一下论文的原链接： https://arxiv.org/abs/2401.10286 然后贴一下我翻译标注的下载链接：https://gitee.com/chatpaper/arXiv_top_chinese/blob/master/0801_top/%E4%B8%AD%E6%96%87%E4%BC%9A%E8%AE%A9LLM%E5%8F%98%E7%AC%A8%EF%BC%9F.pdf 先…...

编程日记 2024/1/24 1:01:15

【代码随想录】刷题笔记Day54

前言差单调栈就结束代码随想录一刷啦，回家二刷打算改用python补充进博客，小涛加油！！！ 647. 回文子串 - 力扣（LeetCode） 双指针法中心点外扩，注意中心点可能有一个元素可能有两个…...

编程日记 2024/1/24 1:00:14

二.Winform使用Webview2在Demo1中实现地址简单校验

Winform使用Webview2在Demo1中实现地址简单校验往期目录回顾添加对于的简单url验证提示通过上节和本节涉及到的函数有往期目录往期相关文章目录专栏目录回顾通过一.Winform使用Webview2(Edge浏览器核心) 创建demo(Demo1)实现回车导航到指定地址我们已经知道了解决资源…...

编程日记 2024/1/24 0:59:13

从0开始学习C++ 第二十课：模板与泛型编程

第二十课：模板与泛型编程学习目标： 掌握模板的基本语法和概念。学会使用函数模板来创建可重用的函数。学习如何定义类模板以实现数据结构的泛型。理解模板在C中提供的灵活性和强大功能。学习内容： 模板的概念： 模板是C中支持…...

编程日记 2024/1/24 0:57:12

pcl之滤波器（一）

pcl滤波器 pcl一共是有十二个主要模块，详细了解可以查看官网。https://pcl.readthedocs.io/projects/tutorials/en/latest/#basic-usage 今天学习一下pcl的滤波器模块。滤波器模块，官网一共是提供了6个例程，今天先来看第一第二个。直通…...

编程日记 2024/1/24 0:55:10

java项目性能优化（MyBatis中开启查询缓存及flushCache与useCache的使用）

在java项目中，如果需要大量的DB查询，导致缓存过多，项目运行缓慢，可以设置在select查询时，添加二级缓存的清空。如果没有去配置flushCache、useCache，那么默认是启用缓存的。 1，flushCache默认…...

编程日记 2024/1/24 0:51:06

Unity3D控制人物移动的多种方法

系列文章目录 unity知识点文章目录系列文章目录前言一、人物移动之键盘移动1-1、代码如下1-2、效果二、人物移动之跟随鼠标点击移动2-1、代码如下2-2、效果三、人物移动之刚体移动3-1、代码如下3-2、效果四、人物移动之第一人称控制器移动4-1、代码如下4-2、效果五、And…...

编程日记 2024/1/24 0:49:05

无人机打击激光器

激光器的应用非常广泛，涵盖了多个领域。以下是一些主要的激光器应用： 医疗领域：激光器在医疗行业中有着重要应用，比如用于激光手术（如眼科手术）、皮肤治疗、牙科治疗、肿瘤治疗等。工业制造：在…...

编程日记 2024/1/24 0:48:04

Lingo数学建模基础

1.基本运算符 1.1算数运算符 1.2逻辑运算 #not# 否定操作数的逻辑值，一元运算符 #eq# 若两运算数相等，则为true,否则为false #ne# 若两运算数不相等，则为true,否则为false #gt# 若左边运算数严格大于右边，则为true,否则为…...

编程日记 2024/1/24 0:45:01

finalshell连接linux的kali系统

kali的ssh服务似乎是默认关闭的，笔者在玩CentOS系统时可以直接用finalshell完成连接，但kali不行，需要先手动开启ssh服务。开启kali的ssh服务输入【ssh start】命令开启ssh服务，可以用【ssh status】命令查看ssh状态&#xff0c…...

编程日记 2024/1/24 0:42:59

2、Line Charts折线图

可视化时间趋势现在你已经熟悉了编码环境，是时候学习如何制作自己的图表了！在本教程中，您将学习足够的Python来创建专业外观的折线图。然后，在接下来的练习中，您将使用您的最新技能处理真实世界的数据集。本课程数据集夸克网盘下载链接：https://pan.quark.cn/s/a235ac…...

编程日记 2024/1/24 0:41:58

微信小程序之bind和catch

这两个呢，都是绑定事件用的，具体使用有些小区别。官方文档： 事件冒泡处理不同 bind：绑定的事件会向上冒泡，即触发当前组件的事件后，还会继续触发父组件的相同事件。例如，有一个子视图绑定了b…...

编程新知 2025/12/22 8:55:27

Android Bitmap治理全解析：从加载优化到泄漏防控的全生命周期管理

引言 Bitmap（位图）是Android应用内存占用的“头号杀手”。一张1080P（1920x1080）的图片以ARGB_8888格式加载时，内存占用高达8MB（192010804字节）。据统计，超过60%的应用OOM崩溃与Bitm…...

编程新知 2025/9/9 23:27:37

【开发技术】.Net使用FFmpeg视频特定帧上绘制内容

目录一、目的二、解决方案 2.1 什么是FFmpeg 2.2 FFmpeg主要功能 2.3 使用Xabe.FFmpeg调用FFmpeg功能 2.4 使用 FFmpeg 的 drawbox 滤镜来绘制 ROI 三、总结一、目的当前市场上有很多目标检测智能识别的相关算法，当前调用一个医疗行业的AI识别算法后返回…...

编程新知 2025/12/22 8:39:26