搜索

[19341] 2018-06-15_【动手实验】OrientDB远程代码执行漏洞

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-06-15_【动手实验】OrientDB远程代码执行漏洞 【 动 手 实 验 】 O r i e n t D B 远 程 代 码 执 行 漏 洞 i 春 秋   2 0 1 8 - 0 6 - 1 5 实 验 环 境 实 验 环 境 操 作 机 ： K a l i   L i n u x 操 作 机 I P ： 1 7 2 . 1 6 . 1 1 . 2 目 标 机 A ： 1 7 2 . 1 6 . 1 2 . 2 目 标 机 B   I P 以 及 端 口 ： 1 7 2 . 1 6 . 1 2 . 3   2 4 8 0 下 载 实 验 工 具 访 问 ： f i l e . i c h u n q i u . c o m / h n e i d t s r 实 验 目 的 实 验 目 的 掌 握 M e t a s p l o i t - F r a m e w o r k 的 简 单 使 用 掌 握 通 过 M e t a s p l o i t - F r a m e w o r k 对 O r i e n t D B   2 . 2 . 2   <   2 . 2 . 2 2 进 行 渗 透 并 远 程 执 行 命 令 实 验 步 骤 实 验 步 骤 步 骤 一 ： 步 骤 一 ：   扫 描 目 标 端 口 是 否 开 放 扫 描 目 标 端 口 是 否 开 放 本 步 尝 试 扫 描 目 标 服 务 端 口 ， 如 果 开 放 则 可 以 进 行 下 一 步 渗 透 本 步 尝 试 扫 描 目 标 服 务 端 口 ， 如 果 开 放 则 可 以 进 行 下 一 步 渗 透 我 们 根 据 左 侧 的 实 验 指 导 ， 打 开 K a l i 终 端 。 由 于 O r i e n t d b 默 认 服 务 端 口 为 2 4 8 0 ， 所 以 输 入 n m a p   - s S   - P n   1 7 2 . 1 6 . 1 2 . 2   - p   2 4 8 0 ， 扫 描 得 到 该 地 址 的 此 端 口 开 放 情 况 。 可 以 看 到 ， O r i e n t D B 的 2 4 8 0 端 口 是 开 放 的 。
步 骤 二 ： 步 骤 二 ：   导 入 导 入 m e t a s p l o i t 模 块 。 模 块 。 所 要 用 到 的 工 具 在 地 址 f i l e . i c h u n q i u . c o m / h n e i d t s r 处 下 载 。 在 用 m e t a s p l o i t 找 不 到 可 用 漏 洞 的 模 块 情 况 下 ， 可 以 在 h t t p s : / / w w w . e x p l o i t - d b . c o m / 上 搜 索 并 保 存 。   注 意 实 验 环 境 内 不 能 联 网 ， 请 在 本 地 注 意 实 验 环 境 内 不 能 联 网 ， 请 在 本 地 搜 索 访 问 。 搜 索 访 问 。 然 后 在 / r o o t / . m s f 4 / m o d u l e s / e x p l o i t s / 目 录 下 新 建 一 个 自 定 义 目 录 ， 并 在 该 目 录 下 存 放 你 的 m s f 模 块 。 例 如 ， 我 们 新 建 / r o o t / . m s f 4 / m o d u l e s / e x p l o i t s / o r i e n t d b , 并 在 该 目 录 下 存 放 o r i e n t d b _ e x e c . r b 模 块 。 步 骤 三 步 骤 三 : 使 用 使 用 M e t a s p l o i t - F r a m e w o r k 进 行 渗 透 测 试 进 行 渗 透 测 试 本 步 使 用 本 步 使 用 M e t a s p l o i t - F r a m e w o r k 进 行 渗 透 该 应 用 进 行 渗 透 该 应 用 我 们 通 过 命 令 m s f c o n s o l e 打 开 M e t a s p l o i t - F r a m e w o r k 。
打 开 M e t a s p l o i t - F r a m e w o r k 之 后 ， 敲 命 令 的 时 候 ， 如 果 忘 记 命 令 可 以 使 用 T A B 进 行 补 全 。 我 们 接 下 来 使 用 以 下 命 令 选 择 o r i e n t d b _ e x e c 插 件 ： u s e   e x p l o i t s / o r i e n t d b / o r i e n t d b _ e x e c 然 后 使 用 o p t i o n s 来 查 看 此 插 件 的 参 数 以 及 属 性 。
设 置 R H O S T 为 目 标 的 I P 地 址 。 然 后 设 置 P a y l o a d 为 L i n u x / x 8 6 / m e t e r p r e t e r / r e v e r s e _ t c p , 而 且 设 置 L H O S T 为 本 机 I P 地 址 。 插 件 以 及 P a y l o a d 配 置 完 成 之 后 ， 就 可 以 使 用 r u n 或 者 e x p l o i t 对 目 标 机 进 行 渗 透 测 试 。
渗 透 测 试 成 功 之 后 ， 将 会 反 弹 一 个 m e t e r p r e t e r 的 M e t a s p l o i t - F r a m e w o r k 专 属 s h e l l 回 来 。 如 果 第 一 次 执 行 之 后 返 回 的 s h e l l 没 有 用 ， 那 么 再 执 行 一 次 即 可 。 至 此 ， 我 们 已 经 成 功 完 成 了 对 O r i e n t D B 的 渗 透 测 试 。 获 取 到 了 O r i e n t D B 目 标 服 务 器 的 权 限 并 能 远 程 执 行 命 令 。 步 骤 四 步 骤 四 : 通 过 通 过 O r i e n t   D B 的 权 限 进 行 横 向 渗 透 的 权 限 进 行 横 向 渗 透 本 步 通 过 步 骤 本 步 通 过 步 骤 2 获 得 的 权 限 进 行 横 向 渗 透 渗 透 测 试 获 得 的 权 限 进 行 横 向 渗 透 渗 透 测 试 W e b 应 用 应 用 首 先 进 行 必 要 的 前 期 信 息 收 集 。 使 用 p w d 命 令 查 看 当 前 目 录 。 使 用 p s   - a u x 命 令 查 看 运 行 的 进 程 ， 分 析 进 程 可 以 得 到 该 服 务 器 正 在 运 行 的 其 他 隐 藏 服 务 。 使 用 n e t s t a t   - a n 查 看 端 口 使 用 情 况 。 分 析 端 口 使 用 情 况 可 以 发 现 与 本 服 务 器 正 在 通 信 的 其 他 服 务 器 以 及 通 信 端 口 代 表 的 应 用 。 例 如 4 4 5 端 口 一 般 就 是 W i n d o w s 共 享 。 在 这 里 ， 我 们 能 发 现 O r i e n t D B 监 听 的 2 4 2 4 端 被 远 程 地 址 1 7 2 . 1 6 . 1 2 . 3 连 接 着 的 。 我 们 使 用 N m a p 扫 描 1 7 2 . 1 6 . 1 2 . 3 ， 发 现 1 7 2 . 1 6 . 1 2 . 3 开 放 8 0 端 口 。
新 开 一 个 终 端 ， 输 入 f i r e f o x 打 开 火 狐 浏 览 器 ， 访 问 h t t p : / / 1 7 2 . 1 6 . 1 2 . 3 / i n d e x . p h p 之 后 ， 得 到 一 个 W e b 界 面 。 确 定 1 7 2 . 1 6 . 1 2 . 3 是 一 个 W e b 应 用 端 。 这 时 候 ， 我 们 已 经 能 够 简 约 的 画 出 网 络 拓 扑 图 。 我 们 控 制 的 电 脑 可 以 访 问 数 据 库 服 务 器 以 及 W e b 服 务 器 。 而 数 据 库 服 务 器 能 与 W e b 服 务 器 互 相 通 信 。 如 下 图 所 示 ： 所 以 我 们 可 以 使 用 D i r b u s t e r 对 该 网 站 进 行 扫 描 操 作 。 使 用 w h e r e i s 定 位 软 件 的 目 录 ， 找 到 自 带 的 字 典 进 行 爆 破 目 录 。 我 们 这 里 选 择 最 小 的 字 典 进 行 扫 描 。 扫 描 可 以 得 到 几 个 重 要 的 页 面 ， 分 别 是 r e g . p h p 、 l o g i n . p h p 、 u p l o a d . p h p 、 i n d e x . p h p 。 访 问 u p l o a d . p h p 提 示 需 要 登 陆 。 所 以 我 们 可 以 先 大 体 使 用 一 下 可 用 的 功 能 ， 看 一 下 网 站 逻 辑 。
通 过 分 析 ， 我 们 可 以 理 出 思 路 ， 先 通 过 访 问 r e g . p h p 注 册 一 个 新 用 户 ， 登 陆 后 通 过 上 传 界 面 上 传 W e b S h e l l 。 但 是 该 界 面 不 存 在 S Q L 注 入 、 X S S 、 C S R F 等 漏 洞 。 比 如 ， 已 知 系 统 存 在 一 个 用 户 a d m i n ， 来 爆 破 该 用 户 ， 插 入 点 标 记 如 下 这 种 情 况 该 怎 么 拿 到 管 理 员 权 限 呢 ？ 由 于 W e b 服 务 器 1 7 2 . 1 6 . 1 2 . 3 连 接 了 O r i e n t D B ， 所 以 它 应 该 是 通 过 O r i e n t D B 进 行 认 证 的 。 那 么 我 们 有 了 一 个 思 路 ， 就 是 直 接 去 O r i e n t D B 查 看 管 理 员 账 号 密 码 ， 便 可 以 直 接 登 陆 。 找 到 O r i e n t D B 的 配 置 文 件 ， 配 置 文 件 是 O r i e n t D B 根 目 录 下 c o n f i g / o r i e n t d b - s e r v e r - c o n f i g . x m l 。 通 过 查 看 你 根 目 录 下 的 配 置 文 件 ， 可 以 得 到 数 据 库 账 号 与 密 码 。 我 们 便 可 以 通 过 2 4 8 0 端 口 访 问 并 登 陆 管 理 数 据 库 了 。
访 问 h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 : 2 4 8 0 / ， 便 可 以 看 到 数 据 库 管 理 平 台 ， 登 陆 后 ， 在 S C H E M A 里 能 看 到 有 a d m i n 与 u s e r 类 。 我 们 需 要 管 理 员 权 限 ， 所 以 查 看 a d m i n 类 里 面 的 对 象 ， 发 现 密 码 是 加 密 后 存 储 的 。 没 办 法 拿 到 明 文 。 但 是 由 于 可 以 注 册 新 用 户 ， h t t p : / / 1 7 2 . 1 6 . 1 2 . 3 / r e g . p h p , 那 么 我 们 通 过   注 册 的 新 用 户 的 密 码   去 替 换   管 理 员 的 密 码 。 那 么 管 理 员 的 密 码 也 变 成 了   自 己 注 册 用 户 的 密 码 了 。 我 们 就 可 以 以 管 理 员 的 账 户 登 陆 了 。
或 者 使 用 第 二 种 方 法 ， 我 们 可 以 直 接 在 数 据 库 新 建 管 理 员 对 象 ， 直 接 把 之 前   注 册 的 账 户 的 密 码   复 制 后 输 入 在 密 码 字 段 。 也 就 可 以 使 用 自 己 创 建 的 新 的 管 理 员 成 功 登 陆 。
G I F 演 示 的 时 候 为 了 方 便 输 入 的 明 文 密 码 ， 由 于 只 是 为 了 演 示 如 何 插 入 新 字 段 ， 密 码 为 明 文 是 无 效 的 操 作 。 你 需 要 将 自 己   注 册 账 户 的 密 码   复 制 粘 贴 到 插 入 字 段 的 密 码 处 。 你 才 可 以 用 你   插 入 的 账 户   与 你   注 册 用 户 的 密 码   登 陆 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理