# 国产与常见业务栈攻击面（SRC 实战）

> 不是 CVE 百科。目标：黑盒时快速认出「该往哪挖」。  
> 命中指纹后再查公开历史面，**亲手最小验证**，禁止对生产无脑打破坏性 exploit。

## 1. 业务系统形态（优先于组件名）

| 形态 | 典型入口 | 优先测 |
|------|----------|--------|
| 运营/Topic/CMS 后台 | `/admin`、`/manage`、`/Handler`、`/Ajax` | 未授权、上传、富文本、Save/Delete |
| 审批/OA/流程 | `/flow`、`/workflow`、移动端端口 | 未授权列表、签核参数注入、附件 |
| B2B 订单/开票 | 商户中心 API | 水平越权订单/地址/发票 |
| 售后/工单 | 短信验证后查询 | 验证码逻辑、工单 IDOR（禁轰炸） |
| 文件中台 | `UploadHandler`、`/f/`、`/upload/` | 未授权上传、公网可读、类型限制绕过 |
| 开放 API/网关 | `/api/v1`、签名参数 | 签名可重放、越权、IDOR |
| 小程序/H5 活动 | 临时子域 | 鉴权拷贝粘贴错误、调试接口 |

## 2. 国产 OA / 协同（指纹命中后再测）

常见关键字：泛微 weaver、致远 seeyon、通达 tongda、蓝凌 landray、用友 yongyou/nc/u8、金蝶 kingdee、万户、华天、速达。

**SRC 注意：**

- 历史 RCE 很多已修或有 WAF；**未授权文件读取/任意用户登录/未授权接口**往往仍有边角
- 只证明影响面，不做内网横向
- 报告写清版本/路径与业务数据暴露，别只贴公开 POC 链接

## 3. Java 常见

| 信号 | 看点 |
|------|------|
| Spring Boot | `/actuator/*`、heapdump、env、gateway |
| Swagger/Knife4j | 未授权 api-docs → 直接打高危接口 |
| Druid | `/druid/index.html` 未授权 |
| Shiro | rememberMe 历史面（版本相关，谨慎） |
| Fastjson/Jackson | 有反序列化入口才测，勿盲打 |
| 上传 | 后缀、Content-Type、路径、解析（jsp/jspx） |

## 4. ASP.NET / WebForms（国内政企/制造常见）

| 信号 | 看点 |
|------|------|
| `.aspx` + `ViewState` | 业务参数仍在 Query/Form：`id`、`actiontype`、`SysNo` |
| `.ashx` Handler | 常无统一鉴权；上传/导出/验证码 |
| `Ajax` / `WebMethod` | Cookie 名前端校验 ≠ 服务端校验 |
| 报错黄页 | SQL 语法错误 → 注入信号（WAF 可能挡高阶 payload） |
| 中文错误信息 | 「附近有语法错误」「引号不完整」可作证据 |

**打法：** 先未授权页面枚举 → 读接口 → 写接口是否同样裸奔 → 参数注入有信号再深挖。

## 5. PHP 常见

- 备份：`.git`、`.DS_Store`、`www.zip`、`web.config.bak`
- 编辑器：UEditor、KindEditor、FCK 历史上传/列目录
- ThinkPHP / Laravel 调试与历史 RCE（版本相关）

## 6. 中间件 / 运维面（未授权大户）

Redis/Mongo/ES/Actuator/Jenkins/Nacos/Apollo/Kubernetes/Docker API ——  
仅在 **明确 IP/端口 in-scope** 时探测；证明未授权即可，不做持久化。

## 7. 前端 JS 情报（强烈推荐）

从打包 JS 提取：

- 管理域、`Handler` 路径、`appName`、OSS bucket
- `Ajax` URL、`MasterType`、`SysNo` 参数名
- 前端「是否登录」仅读 Cookie 的假鉴权

工具思路：`JSINFO-SCAN`、代理里 Search in JS、`$web-js-reverse`。

## 8. 报告时的组件表述

坏：`存在用友 0day`  
好：`xxx 模块某接口未授权可读取员工手机号（脱敏证明），组件疑似 xxx，建议服务端鉴权与对象级校验`

厂商认的是 **业务危害与复现**，不是你的指纹自信度。
