声明：本次测试所有的结果已经上报相关部门，本文已做了脱敏处理。
0x00 前言
某天接到一个任务，要对某驾校进行渗透测试，拿到目标后很无奈，该驾校并无官网。简单搜索了一下驾校地址，驱车前往实地考察。该驾校大厅中摆放了多台电脑用来给学员签到，因为系统比较陈旧，需要学员手动输入身份证等一系列操作，驾校工作人员警惕性较低。我似乎看到了机会，接手了电脑之后简单查看，很快就看见了电脑桌面上的Todesk。赚飞，双击后拍照改一下设置，放到后台运行。之后又对两台电脑进行同样操作，收工！！！
抱歉了各位，我的厚码 ........还有一张由于电脑屏幕映出了我的帅脸，就不放了。
0x01 开整
三台机器的Todesk码抱回家，不连不知道，一连吓一跳，一台版本太低（怪我太傻没想到）连不上，一台下线了（驾校下班关电脑）。只能连最后一台，连进去才发现原来有车辆位置监控功能，机器长期不关，针不戳针不戳。没装杀软，这里免杀都不做了，传了c的脚本，关闭了windows defender（要脚本的私我）。创建一个小马子，扔上去，以管理员身份运行，上线go~。
接下来就是常规整活，因为我们有Todesk，我就没去做权限维持，还是因为懒，希望大家别学我，毕竟主要的目标也不是这台机器，我直接进行内网信息收集。OLa插件支持直接上传fscan，扫！我直接扫B段，幻想着拿下几个监控也好。
fscan.exe -h 192.168.1.1/16对着B段扫完，.2.3.7.11.24都有存活的机器，无奈后面3个段的机器没有端口，我这里就没有继续深入。拿下监控的希望彻底破灭，只能怪我太菜好没本领TT。扫出mysql弱口令，传了navicat简单看了，有东西，不少。但远远不够交差。
80端口的是一个路由配置页，admin/admin弱口令直接进去，管驾校运行的网络配置。敏感信息较多，码上加码。扫了其他网段，一样是各种路由配置。
资产非常废物。好消息，没有域，直接gg，心情低落200%。
shell net time /domain
没有域，抓密码环节跳过，还是原先的初心，OLa插件直接抓了一波浏览器，这里建议大家用OLa的BrowseGhost那个工具，其他也已经都试了，本人感觉不好用好戏开始。
0x02 转折
就当我心灰意冷时，浏览器抓完了，看完我乐了。上图。
直接一个后台管理，我在本地看了一下，喔？在公网，直接登进去。
登进去随便看了几眼，不够不够，远远不够，脱敏了一下放图看看。
最不敏感的一页，好啦，看完了要开始干活了。
0x03 上传
开始满大街找上传点，终于，功夫不负白帽人，找到了，系统有一个添加报名地点的地方。只能说非常齐全，由于我是实在不知道王者峡谷的经纬度，我就乱写了一个，在上传图片的时候抓包。
倒腾了半天才发现这个系统一点过滤都没有，直接看了一波指纹，不出所料，php。找到冰蝎server直接拖一个shell.php，不改名，等项目结束了好清理。上传完成之后非常nice，我在信息条目一栏找到了预览风采图。
点击预览，直接报错。看来我要放一个phpinfo看上去效果会好一点，懒，直接getshell得。根据报错信息，难点就在于去拼接出webshell的url路径，这里我直接联系现有的url：xxxx.com:80/service/xxxxadmin/index，又看到报错信息是/service/upload/xxxxxxxxxxxxx/20230723/xxxxxxxxx.php，所以我直接开拼：xxxxx.com:80/service/upload/xxxxxxxxxxxxx/20230723/xxxxxxxxx.php，url直接访问验证，报错一致，搞定。
https://xxxx.com:80/service/upload/shell.php
冰蝎连，直接进去。whoami一看，g普通权限，云服务器没有内网，ggggg，生气了一看时间，不早了赶紧睡觉。明天再想办法。
0x04 第二天
起床就看了一下文件管理，在www目录里到处找找有没有数据库配置，但大概率不能远程连，突然就看见了一个admin文件夹，admin文件夹底下啊又有一个xxxxxadmin文件夹，啊！我突然想到，昨天太傻了，这个系统的后台没测。直接拼了一下url，果然，一个看着不错的后台界面来了。
直接啥也没想，弱口令yyds，失败。那就万能密码吧，直接admin' or '1'='1，WTF居然是直接进，捡了大漏了，我burp都开了就等sql和爆破了。万能密码进来，直接开盲盒看数据，沃日。
厚码，5600多家驾校全部后台数据。我又看了会员，学员信息高达40万，姓名，手机号，身份证号，家庭住址一应俱全。13000多位教练信息，我只能庆新是被我这种白帽遇到了，没有落入非法分子之手。厚码再厚码。
后来才发现这是某省的一个统一驾校平台管理系统，现在可算是可以交差了，基本一套拿下。
0x05 写在后面
后来我对getshell的Linux机器进行提权，dirty-cow成功提权成功，可惜ssh22端口限制了ip访问，这只是后话了，扩大战果。这是一次很好的实战经历，本文有不足的地方勿喷，请大佬师傅们多多指教。
