【实战】对某一国gov主站的授权渗透测试
原创
佚名
佚名
星宇Sec
2026年10月28日 19:20
山东
去阅读
封面：某国gov主站授权安全评估
受相关方邀请，对某一国gov主站及其关联业务系统开展授权安全评估，以验证政府门户、业务系统和内网边界在真实攻击条件下的防护能力。评估以非破坏性验证为原则，对生产数据仅做证明危害所需的最小必要读取，未执行删除、破坏性写入或影响业务连续性的操作。
本次共确认16项具有实际控制或明确数据影响的漏洞与风险，其中严重6项、高危8项、中危2项。风险由老旧组件、SUID配置错误、系统口令与SSH私钥跨主机复用、Web目录备份泄露、SQL注入和可预测默认口令共同形成。
攻击链最终导致www.gov.xxx真实后端取得root权限、ERL应用主机取得root权限、前置代理取得命令执行权限，并可读写承载主站及OAuth数据的关键MySQL实例；投诉管理系统和承包商管理系统也分别被后台接管。
本文对评估过程、漏洞证据、业务影响和修复建议进行统一复盘。所有域名、网络地址、人员信息、账号、口令、哈希与业务标识均已脱敏，技术内容仅用于授权安全评估、防御建设和风险治理。
| 域名或入口 | 角色 | 网络位置 | 关键技术栈 |
|---|---|---|---|
| www.gov.xxx | 主站公网入口 | F5%20BIG-IP%20VIP | F5%20ASM/APM、Apache反代 |
| www.gov.xxx | 主站前置代理 | 192.168.xxx.10 | Ubuntu%2020.04、Apache%202.4.41、OpenSSH%208.2p1 |
| www.gov.xxx | 真实Laravel后端 | 192.168.xxx.20 | Ubuntu%2020.04、Laravel%208.83.27、PHP%208.2.35 |
| www.gov.xxx/services/erl/ | ERL电子业务平台 | 192.168.xxx.80 | Tomcat%206.0.35、Struts%202.1.2 |
| data.gov.xxx | 开放数据门户 | 192.168.xxx.40 | Drupal%207、DKAN%201.12.11、Apache%202.4.53、PHP |
| c\\\\\\\\.s\\\\.gov.xxx | 投诉管理系统 | 198.x.x.x1 | nginx%201.18.0、PHP、MySQL%208.0.46 |
| m\\\\.e\\\\\\.n\*.gov.xxx | 承包商管理系统 | 198.x.x.x2 | cPanel/LiteSpeed、PHP、MariaDB%2010.11.19 |
本次评估共确认16项具有实际控制或明确数据影响的漏洞与风险，其中严重6项、高危8项、中危2项。主要结果集中在未认证远程代码执行、主机提权、凭据复用、内网横向移动和业务后台接管。
- ERL业务平台存在Struts2未认证RCE，随后利用SUID-root程序取得应用主机root权限。
- 开放数据门户存在Drupalgeddon2未认证RCE，可作为进入内网的独立跳板。
- 系统口令与SSH私钥跨主机复用，使前置代理获得命令执行权限，并使主站真实后端取得root权限。
- 主站数据库账号可跨库读写，影响主站、OAuth及其他站点数据。
- 投诉管理系统后台被接管，可读取用户与投诉数据；承包商管理系统同样被接管，并存在任意可写目录文件写入。
| 编号 | 站点 | 漏洞名称 | 等级 | CVSS3.1 | 利用状态 |
|---|---|---|---|---|---|
| V01 | www.gov.xxx | ERL应用Struts2%20S2-016远程代码执行 | 严重 | 9.8 | 已实际利用 |
| V02 | www.gov.xxx | ERL主机SUID-root%20bash本地提权 | 严重 | 7.8 | 已实际利用 |
| V03 | www.gov.xxx | 支付网关与密钥库明文凭据泄露 | 高危 | 8.1 | 已实际读取 |
| V04 | www.gov.xxx | SSH私钥跨主机复用导致前置代理命令执行 | 高危 | 8.8 | 已实际利用 |
| V05 | www.gov.xxx | 系统口令复用导致主站后端root | 严重 | 9.1 | 已实际利用 |
| V06 | www.gov.xxx | 主站数据库弱口令与多库读写 | 高危 | 8.1 | 已实际利用 |
| V07 | data.gov.xxx | Drupalgeddon2未认证远程代码执行 | 严重 | 9.8 | 已实际利用 |
| V08 | c\\\\\\\\.s\\\\.gov.xxx | 后台登录SQL注入导致认证绕过 | 严重 | 9.8 | 已实际利用 |
| V09 | c\\\\\\\\.s\\\\.gov.xxx | complaint-details.php参数SQL注入 | 高危 | 8.6 | 已实际利用 |
| V10 | c\\\\\\\\.s\\\\.gov.xxx | user-search.php参数SQL注入 | 高危 | 8.6 | 已实际利用 |
| V11 | c\\\\\\\\.s\\\\.gov.xxx | 未授权密码重置 | 中危 | 6.5 | 已实际利用 |
| V12 | c\\\\\\\\.s\\\\.gov.xxx | 数据库导出文件未授权下载 | 高危 | 8.2 | 已实际利用 |
| V13 | m\\\\.e\\\\\\.n\*.gov.xxx | 源码备份泄露与数据库凭据暴露 | 高危 | 8.2 | 已实际下载并解析 |
| V14 | m\\\\.e\\\\\\.n\*.gov.xxx | project-invoice参数SQL注入 | 严重 | 8.8 | 已实际利用 |
| V15 | m\\\\.e\\\\\\.n\*.gov.xxx | 承包商默认口令等于注册号 | 高危 | 8.1 | 已实际利用 |
| V16 | m\\\\.e\\\\\\.n\*.gov.xxx | news\_img路径穿越任意文件写入 | 中危 | 5.4 | 已实际利用 |
脱敏后的公网攻击面与内网资产拓扑
图1：公网攻击面与内网资产拓扑
公开资产主要经由F5%20BIG-IP进入。主域名承载Laravel主站，data.gov.xxx指向开放数据门户，投诉管理、承包商管理和ERL业务平台分别由独立应用或路径暴露。边界入口、反向代理与内部应用虽然分层部署，但权限和信任关系并未完全隔离。
| 资产 | 地址 | 角色 | 主要风险 |
|---|---|---|---|
| 前置代理 | 192.168.xxx.10 | Apache反向代理 | 共享私钥可登录，账号属于sudo组 |
| 主站后端 | 192.168.xxx.20 | Laravel生产服务器 | 系统口令复用，可取得root |
| ERL主机 | 192.168.xxx.80 | Tomcat与Struts2 | 未认证RCE，SUID-root提权 |
| 主站数据库 | 192.168.xxx.30 | 多站点共用MySQL | 弱口令，可跨库读写 |
| 开放数据主机 | 192.168.xxx.40 | Drupal门户 | 未认证RCE，可作内网跳板 |
| 数据平台库 | 192.168.xxx.50 | 开放数据MySQL | 与开放数据业务关联 |
| 内部数据库 | 192.168.xxx.60 | MySQL | 共享SSH私钥可登录 |
| 内部同步主机 | 192.168.xxx.70 | 数据同步 | 共享SSH私钥可登录 |
第一条路径以ERL应用为入口：
公网ERL入口
→Struts2%20S2-016未认证RCE
→tomcat低权限命令执行
→SUID-root%20bash提权
→读取支付配置、系统哈希、JKS与SSH私钥
→登录前置代理和内部主机
→主站后端root
→主站与OAuth数据库读写
第二条路径以开放数据门户为入口：
data.gov.xxx%20Drupalgeddon2
→www-data命令执行
→访问192.168.xxx.0/24
→前置代理、主站后端与数据库
→与第一条路径汇合
评论