使用 Fuzztag 一键爆破反序列化链

渗透技巧 2个月前 admin
128 0 0

使用 Fuzztag 一键爆破反序列化链


背景 


使用 Fuzztag 一键爆破反序列化链

Yakit 新增的 Yso-Java-Hack 功能可以让我们生成反序列化利用的 payload ,通过图形化的方式简化了生成 payload 的过程,但发包过程由于需要针对不同的目标站点对 payload 进行编码,所以这部分留给了用户,自行通过Yak进行编码和发包。


......还是要写代码。在@rr师傅的建议下,我为 Fuzztag 增加了几个新标签,方便一键爆破利用链。


使用 Fuzztag 一键爆破反序列化链

新增标签

使用 Fuzztag 一键爆破反序列化链

新增了几个标签:yso:exec、yso:urldns、yso:headerecho、yso:bodyexec、headerauth、yso:dnslog,方便大家进行反序列化漏洞的简单手工测试。

如果需要更复杂的漏洞利用,可以使用 Yso-Java Hack 生成 hex 格式 payload ,然后使用 hexdec 标签在Fuzztag中调用。

1
命令执行

yso:exec标签用于命令执行测试,参数是需要执行的命令。

这里介绍下命令执行链的分类,可以分为代码执行链命令执行链,命令执行链是通过反射调用RuntimeExec执行的,而代码执行链可以加载任意java代码执行,所以代码执行链可以实现更多操作。

2
URLDNS

yso:urldns标签用于反序列化漏洞检测。

参数是一个url,其原理是通过URL对象反序列化时触发dns查询。

3
DNSLOG

yso:dnslog标签用于dns出网的利用链爆破。

它有两个参数,第一个参数是一个域名,第二个参数是域名前缀。第一个参数是必填参数,第二个参数是可选的,后面会介绍使用方法。

原理上是通过InetAddress.getByName方法实现,与URLDNS链原理相同。

4
Header回显

yso:headerecho标签可用于不出网的站点反序列化漏洞检测,它支持tomcat和weblogic的header回显,它需要两个参数,分别是需要回显的header的key和value

例如{{yso:headerecho(flag|ok)}},需要注意的是,使用此标签需要设置header:Accept-Language: zh-CN,zh;q=1.9

5
Body回显

yso:headerecho标签用于不出网情况的命令执行回显,同样支持tomcat和weblogic的回显,它需要一个参数,例如这样{{yso:headerecho(whoami)}},同样的,使用此标签需要设置header:Accept-Language: zh-CN,zh;q=1.9

6
Header标志

由于header和body回显都需要设置header:Accept-Language: zh-CN,zh;q=1.9,每次设置比较麻烦,所以提供了一个新标签:headerauth,会自动生成Accept-Language: zh-CN,zh;q=1.9,使用时可以这样用{{headerauth}}


使用 Fuzztag 一键爆破反序列化链

实战演练

使用 Fuzztag 一键爆破反序列化链
1
思路分析

在开始靶场测试前先分析下测试流程:

首先要判断出目标站点是否有反序列化漏洞,再爆破反序列化利用链,得到一条可以代码执行或命令执行的链,这个过程需要想办法得知是否命令执行成功了。最后利用这条链完成后续攻击。

总结下流程大概是这样的:

使用 Fuzztag 一键爆破反序列化链

2

环境搭建

在本地搭建一个测试环境,源码如下

使用 Fuzztag 一键爆破反序列化链

这里已经给需要测试的师傅打包好了docker环境,docker运行下就可以docker run -p 8080:8080 -itd --name="deserilize_test" z3r0ne0/deserilize_test

3

漏洞检测

先使用urldns检测目标是否存在漏洞

使用 Fuzztag 一键爆破反序列化链

使用 Fuzztag 一键爆破反序列化链

如图,未收到dnslog记录,说明可能目标机器不出网,那再继续测试下不出网回显。

使用yso:headerecho和yso:bodyecho时要注意下,需要在header中加入{{headerauth}}并设置并发数量为1,随机延迟的最大和最小值要大于1,原因是回显链的原理是遍历所有请求,并在header中有特殊标志的的请求的header中添加元素,这种方式在并发情况下会有问题。

使用 Fuzztag 一键爆破反序列化链

注意看我设置的回显header的kay和value都很长,目的是可以通过header头相似度找出成功回显的请求

使用 Fuzztag 一键爆破反序列化链

如图,CommonsBeanutils183NOCC链的相似度明显小了0.1,看下响应,发现成功回显。

使用 Fuzztag 一键爆破反序列化链

再测试下命令执行回显,如图

使用 Fuzztag 一键爆破反序列化链

CommonsBeanutils183NOCC和CommonsCollectionsK1的响应大小明显不正常,在详情中可以看到命令执行成功。

使用 Fuzztag 一键爆破反序列化链

至此,我们就得到了 CommonsBeanutils183NOCC 和 CommonsCollectionsK1 两条可以代码执行的利用链了。

4

补充案例

如果回显失败,可能是不支持该中间件回显,那就可以使用yso:dnslog去爆破可代码执行的链,也有可能代码执行链用不了,那就使用yso:exec爆破命令执行链。

先试下yso:dnslog爆破,使用时注意,此标签第一个参数是域名,第二个参数是可选参数,如果设置了,那么每条链调用的域名将会是<参数2><编号>.<域名>

使用 Fuzztag 一键爆破反序列化链

如图,收到dnslog,可以看到标号9和标号3对应的链触发了dnslog

使用 Fuzztag 一键爆破反序列化链

在 Responses 的 Payloads 中可以看见对应的链为 CommonsBeanutils183NOCC 和 CommonsCollectionsK1。

使用 Fuzztag 一键爆破反序列化链

如果还是收不到dnslog,那就只能用yso:exec试试反弹shell、在web目录写文件、延时等操作了,这里测试下写文件。

使用 Fuzztag 一键爆破反序列化链

进入docker可以看见写入文件成功

使用 Fuzztag 一键爆破反序列化链

5

打内存马

可以看另一篇文章 《Yso-Java Hack 进阶:利用反序列化漏洞打内存马》


使用 Fuzztag 一键爆破反序列化链

总结

使用 Fuzztag 一键爆破反序列化链

新增的几个tag几乎可以覆盖大部分反序列化漏洞利用场景了,师傅们使用时需要根据目标出网情况,是否有代码执行链去判断,可以参考前面的流程图。

如果有可代码执行的链,可以根据出网情况选择打入内存马、直接上线cs或其它操作,需要打入内存马时可以使用 Yso-Java Hack 直接生成hex格式的payload,然后使用hexdec标签调用就可以了。


使用 Fuzztag 一键爆破反序列化链

往期推荐

使用 Fuzztag 一键爆破反序列化链

Yso-Java Hack 进阶:利用反序列化漏洞打内存马

Yakit实战技巧:用MITM热加载任意修改流量

安全基础设施|Yaklang SQL Injection 检测启发式算法

YakVM:编写栈机虚拟机分离语法编译与运行时

仅需10秒!从批量爆破请求中提取关键数据,安全能力基座功能强化ing

使用 Fuzztag 一键爆破反序列化链

原文始发于微信公众号(Yak Project):使用 Fuzztag 一键爆破反序列化链

版权声明:admin 发表于 2022年12月22日 下午5:31。
转载请注明:使用 Fuzztag 一键爆破反序列化链 | CTF导航

相关文章

暂无评论

暂无评论...