搜索

[12716] 2018-05-17_如何利用Struts2漏洞绕过防火墙获取Root权限

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2018-05-17_如何利用Struts2漏洞绕过防火墙获取Root权限 如 何 利 用 S t r u t s 2 漏 洞 绕 过 防 火 墙 获 取 R o o t 权 限 c l o u d s   F r e e B u f   2 0 1 8 - 0 5 - 1 7 本 文 我 要 分 享 的 是 关 于 本 文 我 要 分 享 的 是 关 于 A p a c h e   s t r u t s 2   C V E - 2 0 1 3 – 2 2 5 1 漏 洞 的 ， 由 于 该 漏 洞 可 以 导 致 远 程 代 码 执 行 ， 曾 一 度 被 漏 洞 的 ， 由 于 该 漏 洞 可 以 导 致 远 程 代 码 执 行 ， 曾 一 度 被 广 泛 滥 用 。 该 漏 洞 原 理 在 于 ， 通 过 操 纵 前 缀 为 广 泛 滥 用 。 该 漏 洞 原 理 在 于 ， 通 过 操 纵 前 缀 为 “ a c t i o n : ” / ” r e d i r e c t : ” / ” r e d i r e c t A c t i o n : ” 的 参 数 ， 在 的 参 数 ， 在 S t r u t s   低 于 低 于 2 . 3 . 1 5 的 版 本 框 架 中 实 现 远 程 代 码 执 行 。 此 次 测 的 版 本 框 架 中 实 现 远 程 代 码 执 行 。 此 次 测 试 中 ， 我 不 仅 绕 过 了 试 中 ， 我 不 仅 绕 过 了 W A F 防 火 墙 实 现 远 程 代 码 执 行 ， 还 利 用 了 某 防 火 墙 实 现 远 程 代 码 执 行 ， 还 利 用 了 某 L i n u x 提 权 漏 洞 获 取 了 目 标 服 务 器 的 提 权 漏 洞 获 取 了 目 标 服 务 器 的 r o o t 管 理 管 理 控 制 权 。 整 个 过 程 如 下 ： 控 制 权 。 整 个 过 程 如 下 ： 构 造 构 造 P a y l o a d 被 被 W A F 拦 截 拦 截 首 先 我 在 测 试 一 个 旅 游 预 订 网 站 的 时 候 ， 发 现 了 其 网 站 存 在 有 漏 洞 的 A p a c h e   S t r u t s 框 架 ， 又 对 “ a c t i o n , r e d i r e c t , r e d i r e c t A c t i o n ” 漏 洞 参 数 进 行 了 必 要 的 测 试 ， 为 了 实 现 漏 洞 利 用 ， 需 要 构 造 一 个 O G N L 表 达 式 ， 从 这 个 网 站 上 我 得 到 了 一 些 启 示 ， 由 此 ， 我 构 造 了 一 个 执 行 命 令 ” i f c o n f i g ” 的 有 效 P a y l o a d ： 但 不 出 所 料 ， 以 上 P a y l o a d 却 被 目 标 服 务 器 上 的 应 用 层 防 火 墙 拦 截 了 ， 返 回 了 以 下 b o t s 响 应 页 面 ： 这 时 ， 我 总 会 从 根 本 性 上 来 分 析 问 题 ， 之 前 提 到 过 ， 漏 洞 参 数 中 涉 及   “ R e d i r e c t ” ， 而 上 述 P a y l o a d 也 是 利 用 了 “ R e d i r e c t ” 参 数 构 造 的 ， 那 我 们 再 对 目 标 网 站 的 请 求 作 个 R e d i r e c t 测 试 吧 ， 把 请 求 跳 转 到 假 设 网 站 h t t p : / / w w w . g o a l . c o m
上 来 ， 如 下 ： 构 造 构 造 P a y l o a d 绕 过 绕 过 W A F 可 以 看 到 ， 最 终 响 应 页 面 中 是 一 个 指 向 假 设 网 站 h t t p : / / w w w . g o a l . c o m 的 3 0 2 跳 转 页 面 。 上 述 直 接 的 P a y l o a d 被 防 火 墙 阻 挡 了 ， 而 这 里 的 跳 转 却 能 生 效 ， 那 两 者 结 合 是 不 是 可 以 玩 个 防 火 墙 绕 过 呢 ？ 所 以 ， 也 就 有 了 以 下 P a y l o a d ： 测 试 后 发 起 的 请 求 如 下 ： 响 应 测 试 后 ， 竟 然 能 绕 过 防 火 墙 执 行 i f c o n f i g 命 令 ， 哈 哈 ， 是 时 候 欢 呼 了 ！
S S H 方 式 获 取 方 式 获 取 s h e l l 好 吧 ， 接 下 来 ， 我 就 来 尝 试 远 程 管 理 权 限 获 取 。 我 使 用 了 反 向 S S H 隧 道 和 公 钥 身 份 验 证 进 行 了 尝 试 ， 这 种 方 式 ， 允 许 S S H 用 户 无 需 输 入 密 码 即 可 登 录 。 为 此 呢 ， 我 需 要 把 我 入 侵 测 试 服 务 器 A W S 的 S S H 公 钥 放 到 目 标 服 务 器 的 授 权 认 证 列 表 ~ / . s s h / a u t h o r i z e d _ k e y s 中 去 ， 并 且 ， 为 了 证 实 身 份 和 作 反 向 S S H 连 接 ， 我 还 必 需 在 我 的 测 试 服 务 器 中 添 加 进 目 标 服 务 器 的 i d _ r s a . p u b 公 钥 。 这 里 涉 及 的 公 钥 认 证 概 念 可 参 考 此 处 p u b l i c   k e y   a u t h e n t i c a t i o n 说 明 。 i d _ r s a . p u b 是 一 个 用 户 身 份 公 钥 ， 可 以 把 它 添 加 进 其 它 主 机 中 的 a u t h o r i z e d _ k e y s 文 件 中 ， 以 实 现 用 该 用 户 身 份 的 登 录 行 为 。 a u t h o r i z e d _ k e y s 则 是 允 许 登 录 到 该 特 定 服 务 器 上 的 特 定 用 户 的 公 钥 列 表 。 第 一 步 ， 获 取 目 标 服 务 器 的 i d _ r s a . p u b 文 件 ： 第 二 步 ， 把 a u t h o r i z e d _ k e y s 文 件 复 制 到 我 的 A W S 测 试 服 务 器 中 ：
第 三 步 ， 将 我 A W S 测 试 服 务 器 中 构 造 好 的 a u t h o r i z e d _ k e y s 文 件 复 制 回 目 标 服 务 器 中 ： 使 用 S S H 反 向 实 现 最 终 连 接 ： r o o t 提 权 提 权
看 到 了 吧 ， 可 以 获 取 远 程 管 理 权 限 ， 但 却 不 是 r o o t 管 理 员 身 份 。 好 吧 ， 为 了 要 r o o t 身 份 提 权 ， 我 来 看 看 目 标 服 务 器 上 的 L i n u x 内 核 版 本 ： 是   2 . 6 . 3 2   版 本 的 ， G o o g l e 一 下 ， 看 看 有 没 有 对 应 的 漏 洞 ， 哇 ， 竟 然 有 一 个 对 应 的 系 统 提 权 漏 洞 ： h t t p s : / / g i t h u b . c o m / r e a l t a l k / c v e - 2 0 1 3 - 2 0 9 4   ， 最 终 编 译 运 行 e x p l o i t ， 实 现 r o o t 提 权 ： 好 吧 ， 以 上 就 是 我 利 用 a p a c h e   s t r u t   2 漏 洞 ， 绕 过 W A F 并 结 合 某 L i n u x 提 权 漏 洞 实 现 的 一 次 渗 透 测 试 。 没 有 高 大 上 的 技 巧 ， 仅 当 思 路 拓 展 ， 不 足 之 处 ， 大 牛 多 多 包 涵 。 * 参 考 来 源 ： m e d i u m ， F r e e B u f   小 编   c l o u d s   编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理