“ 莞盾-2024” 东莞市网络安全攻防演练”
攻击队(队长2024年06月 )
资产识别与漏洞挖掘：利用 nacos、druid 未授权漏洞成功获取 5 个数据库连接信息，实现对 3 个靶标系统深入渗透。
垂直越权与密码修改：利用 5 个弱口令和 3 个逻辑漏洞，对 3 个管理员账户垂直越权，修改管理员密码，获取系统访问权限。
未授权漏洞利用：发现并利用 CMS 平台 SQL 注入漏洞，运用 sqlmap 工具实现远程代码执行，成功在 5 个系统中植入后门。
log4j2 漏洞利用与内网控制：探测 log4j2 反序列化漏洞，结合 JNDI 注入技术反弹 shell，对内网 10 台主机实现深入渗
透。
渗透项目：
广东某某科技：对客户提供的 APP 和 web 网站进行渗透测试，发现并报告了 9 个高危和 14 个中危漏洞。
某某日报：发现 fastjson 反序列化漏洞等高危漏洞 1 个以及 7 个中危漏洞，并提供修复方案。
某某邮政消费金融：在内网渗透测试中识别 20 个漏洞，包括 SSRF 和 JDWP 协议远程代码执行等严重安全风险。
某应急厅：在护网行动期间执行红队渗透任务，评估和加强了关键基础设施的网络安全。