中间件漏洞
IIS服务器漏洞
IIS文件上传漏洞
IIS6.0 PUT上传漏洞是比较经典的ISS漏洞,如果IIS开启了PUT上传方法,就可以利用此方法上传任意文件,因此,该漏洞危害极大。
漏洞产生原因
IIS6.0 PUT上传漏洞产生的原因
- IIS Server在WEB服务扩展中开启了WebDAV
- IIS配置了可以写入的权限
漏洞测试方法
利用OPTIONS方法测试是否开启了WEBDAV,如果返回DAV信息,说明开启了WebDAV - 利用PUT协议上传Webshell。注意,不能直接上传.asp扩展名的文件,需要先上传内容为<% eval request("123")%>的txt文件。服务器返回201 Created,说明文件创建成功。
- 修改文件扩展名,利用move方法将文件的扩展名由.txt改为.asp:
MOVE /1.txt HTTP/1.1
Host:www.test.com
Destination:http://www.test.com/shell.asp
服务器返回201 Created,说明扩展名修改成功,shell.asp就通过IIS PUT上传漏洞上传到服务器的根目录下,获取了服务器的Webshell。
IIS短文件名枚举漏洞
IIS存在短文件名枚举漏洞,该漏洞通过在GET请求中加入“~”,可以让远程攻击者看到diclose文件和文件夹的名称,找到重要从文件和文件夹,他们通常不是可见的,攻击者在对它们进行深入分析后可以威胁用户的安全。
IIS HTTP.sys漏洞
IIS HTTP.sys的漏洞编号是“CVE-2015-1635,MS15-034,CNNVD-201703-1151”。HTTP.sys。HTTP.sys是一个运用于Windows内核模式下的驱动程序,能够让任何应用程序通过它提供的接口利用HTTP进行通信。由于HTTP.sys会错误地解析某些特殊构造的HTTP请求,因此存在远程代码执行漏洞。远程攻击者可以通过IIS 7.0(或更高版本)服务将恶意的HTTP请求传递给HTTP.sys。成功利用此漏洞可导致IIS系统蓝屏,执行任意代码,甚至使网站遭受网页被篡改、用户信息被泄露以及更严重的攻击风险。
利用curl工具检测漏洞
curl http://192.168.109.132 -H "Host: 192.168.109.132" -H "Range: bytes=0-18446744073709551615"
如果服务器返回Requested Range Not Satisfiable,则说明存在IIS HTTP.sys漏洞。利用MSF:search MS15-034
JBoss服务器漏洞
JBoss是一个基于J2EE的开放源代码的应用服务器。JBoss代码遵循GNU都LGPL,可以在任何商业应用中免费使用。JBoss是一个管理EJB的容器和服务器,支持EJB 1.1、EJB2.0和EJB3.0的规范。
1. JBoss未授权访问部署木马
JBoss可以通过多种方式部署Web应用程序,常见的部署WEB应用的方式包括JBossWeb Console、JMX Console、JMXInvokerServlet等接口。如果存在接口未授权访问或者弱口令等漏洞,攻击者就可以通过弱口令进入后台,通过部署WAR包的过年,上传木马,获取shell权限。
JMX是Java 1.5中引入的新特性。JMX全称为Java Management Extension,即Java管理扩展,常用于管理线程、内存、日志Level、服务重启、系统环境等。
JMX Console是JBoss JMX的管理程序,可以通过JMX Console方便地对JBoss进行管理。其中jboss.deployment是用来进行应用部署的接口,可以通过jboss.deployment接口的addURL方法部署Web应用程序。
2. JBoss Invoker接口未授权访问远程命令执行
JMX Invoker允许客户端应用程序发送任意协议的JMX请求到服务端。JMX Invoker默认对外开放端口。攻击者可以构造一个恶意的Java序列化MarshalledInvocation对象,然后远程调用MarshalledInvocation可在服务器中执行任意代码。jboss_exploit_fat.jar是JBoss Invoker接口未授权访问远程命令执行漏洞利用程序,通过jboss_exploit_fat.jar是JBoss Invoker可以获取操作系统的基本信息,并且可以部署木马WAR包,远程服务器shell权限。
Tomcat服务器漏洞
1. Tomcat弱口令攻击
Tomcat服务器有后台管理功能,通过后台管理可以上传部署WAR包。如果管理后台存在弱口令,攻击者就可以通过弱口令进入后台,通过部署WAR包的功能上传木马,获取shell权限。
默认的后台管理地址为http://www.xxx.com/manager/html,默认口令为:admin:admin。登录后台,即可部署WAR包的功能上传木马,以获得shell权限
2. Tomcat远程代码执行漏洞
Tomcat远程代码执行漏洞的编号为CVE-2017-12615。在Tomcat配置文件conf/Web.xml中,当readonly设置为false时,可以允许用PUT或者DELETE方法上传或者删除文件。通过上传的JSP文件可以在服务器上执行任意代码。
Tomcat远程代码执行漏洞影响的版本时Apache Tomcat 5.x~9.x。Tomcat配置文件conf/Web.xml默认将readonly参数设置为true,不允许使用PUT、DELETE方法,无法利用Tomcat远程代码执行漏洞。
方法:
PUT上传test.jsp文件
1. 利用空格绕过
PUT /test%20
2. 利用点号绕过
PUT /test.jsp.
3. 利用NTFS ADS流绕过
PUT /test.jsp::$DATA
4. bypass绕过
通过fuzz测试,发现用斜线可以正常创建JSP文件,并且在Windows系统和Linux系统中都有效
PUT /test.jsp/
WebLogic服务器漏洞
WebLogic是美国Oracle公司发布的应用服务器,确切的说是一个基于Java EE架构的中间件。WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。它将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理指中。
1. WebLogic弱口令漏洞利用
通过用户名、密码登录控制台后,在控制台进行应用部署。如果控制台存在弱口令,就可以通过弱口令进入控制台,部署木马应用,获取WebLoic服务器的shell权限。