https://www.guitarhero.wang/notes/ctf/middleware/ Recent content in 中间件漏洞 on 波奇大王的 "Hugo Project" Hugo -- gohugo.io zh-cn Sat, 29 Aug 2026 17:07:50 +0800 https://www.guitarhero.wang/notes/ctf/middleware/%E6%A1%86%E6%9E%B6%E8%AF%86%E5%88%AB%E6%96%B9%E6%B3%95%E8%AE%BA/ Sat, 29 Aug 2026 17:07:50 +0800 https://www.guitarhero.wang/notes/ctf/middleware/%E6%A1%86%E6%9E%B6%E8%AF%86%E5%88%AB%E6%96%B9%E6%B3%95%E8%AE%BA/ <h1 id="框架识别方法论web-框架组件指纹">框架识别方法论（Web 框架/组件指纹） </h1> <blockquote> <p>用途：看到目标 → 确定它是什么框架/组件 → 知道该打什么 核心思想：<strong>识别目的 = 知道该打什么</strong>，不需要 100% 精确，工具会兜底 组合拳：响应头/插件先猜 → 报错页/默认路径确认 → 工具验证</p> </blockquote> <hr> <h2 id="一识别流程总览照这个顺序走">一、识别流程总览（照这个顺序走） </h2><pre tabindex="0"><code>第1步 响应头 Server / X-Powered-By / X-Application-Context 第2步 浏览器插件 Wappalyzer（快速线索，可被伪造，仅参考） 第3步 报错探测 触发404/非法参数，看框架默认错误页（最可靠） 第4步 默认路径 /actuator、/wp-admin、/console、?s= 等 第5步 Cookie/Session JSESSIONID、PHPSESSID、rememberMe 第6步 主动探测 对目标发特定请求看回显 第7步 工具兜底 whatweb / fscan / nuclei（自动识别+匹配模板） </code></pre><hr> <h2 id="二响应头速查第1步">二、响应头速查（第1步） </h2><table> <thead> <tr> <th>响应头</th> <th>含义</th> </tr> </thead> <tbody> <tr> <td><code>Server: nginx / Apache / IIS</code></td> <td>Web 服务器</td> </tr> <tr> <td><code>X-Powered-By: PHP/7.4</code></td> <td>PHP</td> </tr> <tr> <td><code>X-Powered-By: ASP.NET</code></td> <td>ASP.NET</td> </tr> <tr> <td><code>X-Application-Context: application</code></td> <td><strong>Spring Boot</strong>（基本实锤）</td> </tr> <tr> <td><code>X-AspNet-Version: 4.0</code></td> <td>ASP.NET</td> </tr> <tr> <td><code>Via</code> / <code>X-Generator</code></td> <td>代理 / 生成器线索</td> </tr> </tbody> </table> <hr> <h2 id="三报错页特征第3步最可靠">三、报错页特征（第3步，最可靠） </h2><table> <thead> <tr> <th>报错特征</th> <th>框架</th> </tr> </thead> <tbody> <tr> <td><code>Whitelabel Error Page</code></td> <td><strong>Spring Boot</strong></td> </tr> <tr> <td>特定的 404 页面样式</td> <td>Tomcat</td> </tr> <tr> <td>ThinkPHP 风格报错</td> <td>ThinkPHP</td> </tr> <tr> <td>标准 Nginx 404</td> <td>Nginx</td> </tr> <tr> <td>语法错误/堆栈回显</td> <td>PHP / .NET</td> </tr> </tbody> </table> <blockquote> <p>触发方式：访问不存在的路径、提交非法参数、故意制造异常</p> </blockquote> <hr> <h2 id="四默认路径--路由特征第4步硬指纹">四、默认路径 / 路由特征（第4步，硬指纹） </h2><table> <thead> <tr> <th>路径/特征</th> <th>框架/组件</th> </tr> </thead> <tbody> <tr> <td><code>/actuator/env</code>、<code>/actuator/health</code></td> <td><strong>Spring Boot</strong></td> </tr> <tr> <td><code>/wp-admin</code>、<code>/wp-login.php</code></td> <td>WordPress</td> </tr> <tr> <td><code>/console</code></td> <td>Weblogic</td> </tr> <tr> <td><code>/manager/html</code></td> <td>Tomcat</td> </tr> <tr> <td><code>?s=index/think\app/invokefunction</code></td> <td>ThinkPHP</td> </tr> <tr> <td><code>?index.php?s=...</code></td> <td>ThinkPHP</td> </tr> <tr> <td><code>/index.php?m=&amp;c=&amp;a=</code></td> <td>老 PHP 框架</td> </tr> <tr> <td><code>/vendor</code></td> <td>Laravel</td> </tr> <tr> <td><code>/admin</code></td> <td>各种后台</td> </tr> </tbody> </table> <hr> <h2 id="五cookie--session-特征第5步">五、Cookie / Session 特征（第5步） </h2><table> <thead> <tr> <th>Cookie</th> <th>含义</th> </tr> </thead> <tbody> <tr> <td><code>rememberMe=deleteMe</code></td> <td><strong>Shiro</strong>（实锤）</td> </tr> <tr> <td><code>JSESSIONID</code></td> <td>Java 系（Tomcat/Weblogic/Jetty）</td> </tr> <tr> <td><code>PHPSESSID</code></td> <td>PHP</td> </tr> <tr> <td><code>ASP.NET_SessionId</code></td> <td>ASP.NET</td> </tr> </tbody> </table> <hr> <h2 id="六主动指纹探测第6步">六、主动指纹探测（第6步） </h2><table> <thead> <tr> <th>探测动作</th> <th>识别目标</th> </tr> </thead> <tbody> <tr> <td>访问 <code>/actuator/env</code> 看返回</td> <td>Spring Boot</td> </tr> <tr> <td>访问 <code>/wp-login.php</code></td> <td>WordPress</td> </tr> <tr> <td>访问 <code>/index.php?s=index/think\app/invokefunction</code></td> <td>ThinkPHP（顺便可打 RCE）</td> </tr> <tr> <td>传 <code>${jndi:ldap://dnslog}</code> 看回连</td> <td>Log4j</td> </tr> </tbody> </table> <hr> <h2 id="七工具兜底第7步安全感来源">七、工具兜底（第7步，安全感来源） </h2><pre tabindex="0"><code>whatweb 目标 # 命令行指纹 fscan -h 目标 # 扫描+识别+常见洞 nuclei -u 目标 -t 组件模板/ # 按组件打 CVE 模板 </code></pre> <blockquote> <p>工具模板按框架分类，<strong>识别和利用一步到位</strong>——你只需要确认结果。</p> </blockquote> <hr> <h2 id="八识别出来之后常见框架--该打什么">八、识别出来之后：常见框架 → 该打什么 </h2><table> <thead> <tr> <th>识别结果</th> <th>优先测试方向</th> </tr> </thead> <tbody> <tr> <td>Spring Boot</td> <td><code>/actuator</code> 信息泄露、SpEL、历史 RCE CVE</td> </tr> <tr> <td>Shiro</td> <td>rememberMe 反序列化</td> </tr> <tr> <td>Fastjson</td> <td><code>@type</code> 反序列化</td> </tr> <tr> <td>ThinkPHP</td> <td>历史 RCE（如 5.0.23 远程代码执行）</td> </tr> <tr> <td>Weblogic</td> <td>反序列化 / 未授权（7001）</td> </tr> <tr> <td>Tomcat</td> <td>弱口令 manager、AJP 文件读取</td> </tr> <tr> <td>WordPress</td> <td>插件漏洞、弱口令</td> </tr> <tr> <td>Laravel</td> <td>密钥泄露 → 反序列化</td> </tr> </tbody> </table> <hr> <h2 id="记忆口诀">记忆口诀 </h2> <blockquote> <p><strong>头看响应，错看报错，路看路径，标识看Cookie，最后工具兜底。</strong></p> </blockquote> <hr> <p><em>速查表持续补充，实战遇到新框架/新特征随时更新。</em></p> https://www.guitarhero.wang/notes/ctf/middleware/%E4%B8%AD%E9%97%B4%E4%BB%B6%E7%BB%84%E4%BB%B6%E6%8C%87%E7%BA%B9%E9%80%9F%E6%9F%A5%E8%A1%A8/ Sat, 29 Aug 2026 14:07:45 +0800 https://www.guitarhero.wang/notes/ctf/middleware/%E4%B8%AD%E9%97%B4%E4%BB%B6%E7%BB%84%E4%BB%B6%E6%8C%87%E7%BA%B9%E9%80%9F%E6%9F%A5%E8%A1%A8/ <h1 id="中间件组件框架-指纹速查表">中间件/组件/框架 指纹速查表 </h1> <blockquote> <p>用途：<strong>识别目标是什么组件 → 查对应 CVE → 工具复现</strong> 学习策略：不用背漏洞细节，只记&quot;端口映射 + 指纹特征 + 每类 1 个代表洞&quot; 一句话流程：<code>扫端口 → 认组件 → nuclei/fscan 打模板 → 搜 CVE 复现</code></p> </blockquote> <hr> <h2 id="一端口--组件映射核心必记">一、端口 → 组件映射（核心，必记） </h2><table> <thead> <tr> <th>端口</th> <th>组件</th> <th>端口</th> <th>组件</th> </tr> </thead> <tbody> <tr> <td>21</td> <td>FTP</td> <td>7001</td> <td>Weblogic</td> </tr> <tr> <td>22</td> <td>SSH</td> <td>8009</td> <td>Tomcat AJP</td> </tr> <tr> <td>3306</td> <td>MySQL</td> <td>8080</td> <td>Tomcat / 各种 Web</td> </tr> <tr> <td>6379</td> <td>Redis</td> <td>8081/8082</td> <td>中间件后台</td> </tr> <tr> <td>27017</td> <td>MongoDB</td> <td>8161</td> <td>ActiveMQ</td> </tr> <tr> <td>445</td> <td>SMB</td> <td>8443</td> <td>HTTPS 管理口</td> </tr> <tr> <td>3389</td> <td>RDP</td> <td>8848</td> <td>Nacos</td> </tr> <tr> <td>2375</td> <td>Docker API</td> <td>9200</td> <td>Elasticsearch</td> </tr> <tr> <td>11211</td> <td>Memcached</td> <td>9090</td> <td>WebLogic 管理台 / Prometheus</td> </tr> <tr> <td>2181</td> <td>Zookeeper</td> <td>10000</td> <td>Webmin</td> </tr> <tr> <td>5432</td> <td>PostgreSQL</td> <td>1521</td> <td>Oracle</td> </tr> <tr> <td>80/443</td> <td>Web 服务</td> <td>2222</td> <td>SSH 改端口</td> </tr> </tbody> </table> <blockquote> <p>记忆要点：<strong>高危未授权三兄弟 = Redis(6379) / MongoDB(27017) / Docker API(2375)</strong>，扫到直接连一下试试。</p> </blockquote> <h2 id="二组件指纹特征看到特征--知道是啥">二、组件指纹特征（看到特征 = 知道是啥） </h2><table> <thead> <tr> <th>组件</th> <th>招牌特征</th> </tr> </thead> <tbody> <tr> <td><strong>Shiro</strong></td> <td>响应 Cookie 带 <code>rememberMe=deleteMe</code>（最经典）</td> </tr> <tr> <td><strong>Fastjson</strong></td> <td>请求体 <code>{&quot;@type&quot;:&quot;...&quot;}</code>；报错回显特征</td> </tr> <tr> <td><strong>Spring</strong></td> <td>响应头 <code>X-Application-Context</code>；特定报错页</td> </tr> <tr> <td><strong>ThinkPHP</strong></td> <td>URL 特征（如 <code>?s=index/think\app/invokefunction</code>）；特定报错格式</td> </tr> <tr> <td><strong>Nacos</strong></td> <td>8848 端口 + 登录界面（默认口令 nacos/nacos 常有效）</td> </tr> <tr> <td><strong>Tomcat</strong></td> <td>默认报错页；<code>/manager/html</code> 管理后台（弱口令）</td> </tr> <tr> <td><strong>Weblogic</strong></td> <td>7001 端口 + 特定报错；<code>/console</code> 管理台</td> </tr> <tr> <td><strong>Jenkins</strong></td> <td>8080 端口 + Jenkins 界面（未授权 / 弱口令）</td> </tr> <tr> <td><strong>Log4j</strong></td> <td>传 <code>${jndi:ldap://...}</code> 看 DNSLog 是否回连</td> </tr> <tr> <td><strong>JBoss</strong></td> <td>8080 + <code>/jmx-console</code>、<code>/invoker</code> 等路径</td> </tr> <tr> <td><strong>ActiveMQ</strong></td> <td>8161 端口 + ActiveMQ 界面</td> </tr> <tr> <td><strong>Elasticsearch</strong></td> <td>9200 端口，<code>/_cat/indices</code> 直接可访问</td> </tr> </tbody> </table> <h2 id="三每类-1-个代表洞原理带一片够了">三、每类 1 个代表洞（原理带一片，够了） </h2><table> <thead> <tr> <th>类别</th> <th>代表洞</th> <th>同类</th> </tr> </thead> <tbody> <tr> <td><strong>反序列化</strong></td> <td>Shiro 反序列化（rememberMe 密文）</td> <td>Fastjson、Weblogic、JBoss、Log4j</td> </tr> <tr> <td><strong>未授权访问</strong></td> <td>Redis 未授权（写 SSH key/定时任务）</td> <td>MongoDB、Docker API、Nacos、Jenkins、ES</td> </tr> <tr> <td><strong>默认/弱口令</strong></td> <td>Nacos nacos/nacos</td> <td>Tomcat、Weblogic、Jenkins、SSH 爆破</td> </tr> <tr> <td><strong>任意文件读</strong></td> <td>Spring 目录穿越（CVE-2021-21234 等）</td> <td>Tomcat 任意文件、各种历史 CVE</td> </tr> </tbody> </table> <blockquote> <p>反序列化的核心思想（必懂）：<strong>服务端把不可信数据反序列化 → 攻击者构造恶意序列化数据 → 触发代码执行</strong>。懂这一个原理，Shiro/Fastjson/Weblogic 的洞都是&quot;换了个入口的同一个故事&quot;。</p> </blockquote> <h2 id="四工具链2026-标配">四、工具链（2026 标配） </h2><table> <thead> <tr> <th>工具</th> <th>用途</th> </tr> </thead> <tbody> <tr> <td><strong>fscan</strong></td> <td>内网/端口扫描 + 常见漏洞一把梭（识别组件、未授权、弱口令）</td> </tr> <tr> <td><strong>nuclei</strong></td> <td>用模板库自动打历史 CVE（识别到组件 → 跑对应模板）</td> </tr> <tr> <td>nmap</td> <td>端口扫描（<code>-sV</code> 识别服务版本）</td> </tr> <tr> <td>xray / goby</td> <td>被动/主动扫描（可选）</td> </tr> <tr> <td>Wappalyzer（浏览器插件）</td> <td>前端快速看技术栈</td> </tr> </tbody> </table> <p><strong>实战流程</strong>：</p> <pre tabindex="0"><code>1. nmap -sV 目标IP → 看开放端口 + 服务版本 2. fscan -h 目标IP → 自动识别组件 + 打常见漏洞 3. 根据识别结果： - nuclei -u 目标 -t 组件/ → 跑该组件的 CVE 模板 - 或手动搜 CVE：Exploit-DB / GitHub PoC / 本地笔记 4. 复现 → 拿 flag / getshell </code></pre><h2 id="五查-cve-的资源记住去哪查就行">五、查 CVE 的资源（记住去哪查就行） </h2><ul> <li><strong>Exploit-DB</strong>：https://www.exploit-db.com/</li> <li><strong>nuclei 模板库</strong>：https://github.com/projectdiscovery/nuclei-templates（按组件分类）</li> <li><strong>GitHub PoC 搜索</strong>：搜 <code>组件名 CVE-年份 PoC</code></li> <li><strong>fscan 输出</strong>：识别+常见洞一键出结果</li> <li>自己仓库的「中间件漏洞」文件夹：遇到新洞顺手记一页（触发特征 → payload → 复现截图）</li> </ul> <h2 id="六记忆口诀">六、记忆口诀 </h2> <blockquote> <p><strong>端口认组件，指纹定版本，工具打模板，查表补细节。</strong></p> </blockquote> <hr> <p><em>速查表持续补充，实战遇到新组件/新特征随时更新。</em></p>