前言
这不2月份开学得回学校写毕设了嘛，然后学弟问起来之前学校SSO系统的那个路径穿越导致任意文件读取的漏洞，就顺手重新打了一下。
因为之前是在公网上打的，学校的龟缩策略确实好使，公网IP内网使用是真的无懈可击，这回我都在内网了，看看能不能打出点什么。
开打
其实主要就一个authserver.xxx.xxx的子域名，是个SSO服务的入口，里面的头像功能存在路径穿越，（去年自己把这个洞用php复现到国赛决赛里拿了个创新单项，还行），但是因为只能cat不能ls导致睁眼瞎，打不出啥东西。
自然是先看看/proc/self/cmdline是个啥东西。
有用的信息其实不是很多，也就/minos-fundation-oss/minos-fundation-oss-core-3.5.3.SP2-SNAPSHOT.jar、/minos-fundation-oss/library/需要注意一下。
再看看/proc/self/environ。
可知有个/minos-fundation-oss/start.sh，那就去看看。
感觉像是docker环境，那去看看pid=1的/proc/1/cmdline是啥。
有个/minos-fundation-oss/container.sh，既然1进程是这种，那容器是肯定了。
看看内容。
有个高频路径/opt/settings/，感觉是配置目录，看了下出现的文件名，就deploy.info感觉有点用。
那再看看/proc/self/maps吧，应该能有/minos-fundation-oss/library/目录的东西。
果然，于是写脚本把主程序和这些jar包都给拉下来逆向看看。
脚本不公开，毕竟不难
发现是个spring的东西，但是路由没几个，看来是打到头像文件存储的微服务去了。
那既然是微服务，尝试找找怎么下发配置项的，不论是文件还是在线都肯定有地址。
搜了下刚才那个关键目录，发现确实是下发的。
那个nodeHost.info倒是没啥用，就是本地地址，应该是注册自身用来关联的。
这个路径倒是用了好几回。
不过实际上除了第一个，其他几个文件都是上面出现过了的，所以重点观察第一个。
appName这个应该是appId，跟了一连串调用后发现是读取的jar包配置项。
所以就是minos-oss，文件路径就是/opt/settings/minos-oss.properties，读取下看看。
东西挺多，应该是主配置了。
但是密码大概是加密了，因为base解不出来，而且上面那个system.encrypt.fields几乎已经明示了。
先看看这个文件哪来的吧，因为开头有个日期，应该是配置落地的时候自动带的。
这大大的链接！deployHost应该就是之前deploy.info里面的，构造一下上面的ConfigRequest(appId, localhost, envId)参数访问一下发现可以直接访问，没验证。
内容嘛，自然是上面那个minos-oss.properties咯。
再看看密码解密的逻辑，应该好找，直接找system.encrypt.fields关键字就行。
尝试性地解密了下，发现确实可以。
于是尝试连到配置里面的elasticsearch、rabbitmq、redis，前者就一些消息通知，后面俩应该是spring附带的，更加没用了。
于是尝试看看其他的服务能不能搞到配置项，先看看jar包里面有没有其他的名字出现。
试了下minos-gateway也能拿到东西。
有个oracle，但是连上去发现也没啥有用的。
然后minos-stata也有配置项。可惜依旧没有啥有用的。
然后推测了下应该有个主服务是minos、minos-sso、minos-vpn、minos-auth、minos-authserver这类的，试了一下发现minos-authserver可以出来东西。
好家伙，ldap这也太有年代感了吧，现找了个连接工具，然后试了半天怎么连接（这种和域一样的用户名是真头一回见）。
连上去之后，成功拿下sso的数据库。
后记
本来还想通过拿到的lib看看有没有老依赖组件的洞可以打的，结果发现承包公司还挺敬业的，组件都拉到了挺新的版本，所以寄。
然后上面那个oracle因为是普通用户，版本又还行，所以也没啥命令执行的机会。