搜索

[14907] 2019-12-07_ApacheAxis1.4远程命令执行诡异探索之路

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2019-12-07_ApacheAxis1.4远程命令执行诡异探索之路 A p a c h e   A x i s   1 . 4 远 程 命 令 执 行 诡 异 探 索 之 路 1 u 0 h u n   F r e e B u f   2 0 1 9 - 1 2 - 0 7 概 述 概 述 a x i s   全 称 全 称 A p a c h e   E X t e n s i b l e   I n t e r a c t i o n   S y s t e m   即 即 A p a c h e 可 扩 展 交 互 系 统 。 可 扩 展 交 互 系 统 。 a x i s   为 创 建 服 务 器 端 、 客 户 端 和 为 创 建 服 务 器 端 、 客 户 端 和 网 关 网 关 S O A P 等 操 作 提 供 基 本 框 架 。 等 操 作 提 供 基 本 框 架 。 a x i s   目 前 版 本 主 要 面 向 目 前 版 本 主 要 面 向 J a v a ， 面 向 ， 面 向 C + + 的 版 本 正 在 开 发 中 。 的 版 本 正 在 开 发 中 。 a x i s   并 不 完 全 是 并 不 完 全 是 一 个 一 个 S O A P 引 擎 ， 还 可 以 作 为 一 个 独 立 的 引 擎 ， 还 可 以 作 为 一 个 独 立 的 S O A P 服 务 器 和 一 个 嵌 入 服 务 器 和 一 个 嵌 入 S e r v l e t 引 擎 （ 例 如 引 擎 （ 例 如 T o m c a t ） 的 服 务 器 。 ） 的 服 务 器 。 本 地 漏 洞 复 现 本 地 漏 洞 复 现 从 a p a c h e   a x i s 官 网 下 载 1 . 4 的 版 本 。 在 本 地 t o m c a t 搭 建 ， 可 以 看 到 下 载 下 来 后 的 W B E - I N F ， 其 中 并 没 有 有 些 文 档 中 写 的 s e r v e r - c o n f i g . w s d d 文 件 然 后 去 查 看 w e b . x m l 中 的 文 件 ， 也 未 打 开 A d m i n S e r v i c e 的 注 释 。
此 时 我 们 直 接 本 地 利 用 p o c 来 本 地 注 册 服 务 攻 击 ， 发 现 可 以 正 常 注 册 ， 并 向 服 务 对 应 的 j s p 文 档 里 写 入 s h e l l 内 容 。 注 册 完 之 后 ， 此 时 是 通 过 A d m i n S e r v i c e 本 地 注 册 了 一 个 R a n d o m S e r v i c e 服 务 ， 然 后 绑 定 了 一 个 日 志 操 作 ， 日 志 操 作 将 日 志 输 入 到 一 个 j s p 文 件 中 ， 于 是 就 可 以 构 造 操 作 去 写 日 志 ， 并 执 行 j s p 文 件 ， 造 成 远 程 命 令 攻 击 。 诡 异 的 事 情 诡 异 的 事 情
阶 段 一 ： 阶 段 一 ： 根 据 漏 洞 利 用 的 P O C ， 先 将 本 地 之 前 利 用 的 代 码 生 成 的 w e b s h e l l 文 件 h a 2 3 3 . j s p 删 除 ， 再 在 远 程 主 机 利 用 P O C 、 此 时 将 w e b s h e l l 的 名 称 改 为 w e b s h e l l . j s p ， 居 然 可 以 直 接 生 成 s h e l l 文 档 ， 且 名 称 为 h a 2 3 3 . j s p 删 除 本 地 利 用 时 生 成 的 w e b s h e l l 文 件 h a 2 3 3 . j s p 再 在 虚 拟 机 执 行 利 用 的 e x p ， 此 时 将 w e b s h e l l 文 件 改 名 为 w e b s h e l l . j s p 发 现 此 时 本 地 仍 然 生 成 了 一 个 h a 2 3 3 . j s p 查 看 t o m c a t 服 务 器 ， 日 志 中 表 明 拒 绝 了 远 程 I P 访 问 的 方 式
通 过 上 述 的 一 系 列 操 作 ， 可 以 得 知 本 地 注 册 服 务 ， 远 程 是 可 以 调 用 ， 但 是 仅 仅 如 此 嘛 ？ 阶 段 二 阶 段 二 与 阶 段 一 上 边 基 本 一 致 ， 但 是 此 时 我 们 将 虚 拟 机 里 边 的 e x p 再 次 修 改 一 下 ， 将 写 的 文 件 内 容 修 改 ， 命 名 仍 为 w e b s h e l l . j s p ， 只 是 将 参 数 改 为 h a c k e r ， 本 地 的 e x p 为 c 查 看 写 入 到 本 地 的 w e b s h e l l 文 件 ， 肯 定 命 名 是 h a 2 3 3 . j s p ， 但 是 内 容 却 改 变 了 ， 此 时 参 数 就 为 h a c k e r 诡 异 的 事 情 总 结 诡 异 的 事 情 总 结 在 原 生 的 状 态 下 ， 可 以 从 本 地 来 注 册 服 务 ， 在 注 册 的 服 务 中 绑 定 日 志 操 作 ， 且 日 志 操 作 对 应 的 日 志 文 档 为 j s p 文 件 时 ， 可 以 从 远 程 直 接 调 用 该 服 务 ， 此 时 进 行 的 操 作 都 会 记 录 到 日 志 文 件 中 ， 从 而 可 以 将 j s p 码 写 入 其 中 。 利 用 前 提 利 用 前 提 1 . 本 地 注 册 服 务 的 名 称 要 知 道 2 . 本 地 注 册 服 务 有 日 志 记 录 ， 且 日 志 记 录 使 用 j s p 文 件 格 式 远 程 漏 洞 复 现 远 程 漏 洞 复 现 过 程 过 程 在 本 地 漏 洞 复 现 中 ， 我 们 发 现 a x i s 下 载 下 来 后 并 没 有 s e r v e r - c o n f i g . w s d d 文 件 ， 但 是 在 本 地 注 册 一 个 服 务 后 ， 该 文 件 就 会 出 现
将 该 文 件 中 的 e n a b l e R e m o t e A d m i n 配 置 为 t r u e 此 时 在 虚 拟 机 执 行 e x p ， 可 以 看 到 正 常 注 册 一 个 服 务 ， 并 写 入 s h e l l . j s p 文 件 总 结 总 结 通 过 我 们 的 测 试 ， 发 现 只 需 要 将 s e r v e r - c o n f i g . w s d d 文 件 中 e n a b l e R e m o t e A d m i n 配 置 为 t r u e ， 就 可 以 远 程 注 册 服 务 ， 并
不 需 要 将 w e b . x m l 中 的 A d m i n S e r v l e t 注 释 掉 漏 洞 分 析 漏 洞 分 析 可 以 先 看 看 A x i s 使 用 ， 基 本 上 就 懂 得 漏 洞 利 用 的 原 理 h t t p s : / / b l o g . c s d n . n e t / a 5 4 8 9 8 8 8 / a r t i c l e / d e t a i l s / 9 0 1 0 9 3 9 参 考 文 章 参 考 文 章 h t t p s : / / b l o g . c s d n . n e t / a 5 4 8 9 8 8 8 / a r t i c l e / d e t a i l s / 9 0 1 0 9 3 9 h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 0 8 9 3 7 . h t m l h t t p s : / / g i t h u b . c o m / K i b o d W a p o n / A x i s - 1 . 4 - R C E - P o c * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 1 u 0 h u n ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理