【護(hù)網(wǎng)行動(dòng)專題】紅隊(duì)攻擊指南

作者：護(hù)網(wǎng)專題小組  編輯：白帽子社區(qū)運(yùn)營(yíng)團(tuán)隊(duì)

    "白帽子社區(qū)在線CTF靶場(chǎng)BMZCTF，歡迎各位在這里練習(xí)、學(xué)習(xí)，BMZCTF全身心為網(wǎng)絡(luò)安全賽手提供優(yōu)質(zhì)學(xué)習(xí)環(huán)境，鏈接（http://www.bmzclub.cn/）

"    

vSphere 是 VMware 推出的虛擬化平臺(tái)套件，包含 ESXi、vCenter Server 等一系列的軟件。其中 vCenter Server 為 ESXi 的控制中心，可從單一控制點(diǎn)統(tǒng)一管理數(shù)據(jù)中心的所有 vSphere 主機(jī)和虛擬機(jī)，使得 IT 管理員能夠提高控制能力，簡(jiǎn)化入場(chǎng)任務(wù)，并降低 IT 環(huán)境的管理復(fù)雜性與成本。

vSphere Client（HTML5）在 vCenter Server 插件中存在一個(gè)遠(yuǎn)程執(zhí)行代碼漏洞。未授權(quán)的攻擊者可以通過(guò)開(kāi)放 443 端口的服務(wù)器向 vCenter Server 發(fā)送精心構(gòu)造的請(qǐng)求，從而在服務(wù)器上寫入 webshell，最終造成遠(yuǎn)程任意代碼執(zhí)行。

存在問(wèn)題的接口完整路徑為（https://domain.com/ui/vropspluginui/rest/services/uploadova）

0x02.漏洞影響版本

vcenter_server7.0 U1c 之前的 7.0 版本

vcenter_server6.7 U3l 之前的 6.7 版本

vcenter_server6.5 U3n 之前的 6.5 版本

首先是exp下載 https://github.com/NS-Sp4ce/CVE-2021-21972

或者h(yuǎn)ttps://github.com/gsheller/vcenter_rce

利用成功

Sudo是一個(gè)功能強(qiáng)大的工具，其允許普通用戶執(zhí)行root權(quán)限命令，大多數(shù)基于Unix和Linux的操作系統(tǒng)都包含sudo。

2021年01月26日，sudo被披露存在一個(gè)基于堆的緩沖區(qū)溢出漏洞（CVE-2021-3156，該漏洞被命名為“Baron Samedit”），可導(dǎo)致本地權(quán)限提升。

當(dāng)在類Unix的操作系統(tǒng)上執(zhí)行命令時(shí)，非root用戶可以使用sudo命令來(lái)以root用戶身份執(zhí)行命令。由于sudo錯(cuò)誤地在參數(shù)中轉(zhuǎn)義了反斜杠導(dǎo)致堆緩沖區(qū)溢出，從而允許任何本地用戶（無(wú)論是否在sudoers文件中）獲得root權(quán)限，無(wú)需進(jìn)行身份驗(yàn)證，且攻擊者不需要知道用戶密碼。

安全研究人員于1月26日公開(kāi)披露了此漏洞，并表示該漏洞已經(jīng)隱藏了近十年。

sudo 1.8.2-1.8.31p2

sudo 1.9.0-1.95p1

下載CVE-2021-3156腳本到目標(biāo)機(jī)器上

https://haxx.in/CVE-2021-3156nsspoc_ubuntu.tar.gz

以普通用戶身份，解壓后進(jìn)入CVE-2021-3156目錄

cd CVE-2021-3156

隨后輸入命令make &&./sudo-hax-me-a-sandwich 0

https://github.com/brianwrf/hackUtils java反序列化利用

https://github.com/GoSecure/break-fast-serial 借助DNS解析來(lái)檢測(cè)Java反序列化漏洞工具

https://github.com/s1kr10s/Apache-Struts-v3 Apache-Struts漏洞利用工具

https://github.com/iBearcat/S2-057 struts2 CVE-2018-11776 漏洞檢測(cè)工具

https://github.com/Ivan1ee/struts2-057-exp struts2-057利用腳本

https://github.com/theLSA/s2sniper struts2漏洞的檢測(cè)工具

https://github.com/Lucifer1993/struts-scan 批量檢測(cè)struts命令執(zhí)行漏洞

https://github.com/lijiejie/struts2_045_scan Struts2-045漏洞批量掃描工具

https://github.com/riusksk/StrutScan 基于perl的strut2的歷史漏洞掃描

https://github.com/Coalfire-Research/java-deserialization-exploits java反序列化漏洞收集

https://github.com/quentinhardy/jndiat weblogic漏洞利用工具

https://github.com/jas502n/CVE-2018-3191 Weblogic CVE-2018-3191遠(yuǎn)程代碼命令執(zhí)行

https://github.com/pyn3rd/CVE-2018-3245 weblogic cve-2018-2893與cve-2018-3245遠(yuǎn)程代碼命令執(zhí)行

https://github.com/NickstaDB/BaRMIe 用于Java Remote Method Invocation服務(wù)的工具/rmi的枚舉與遠(yuǎn)程命令執(zhí)行

https://github.com/joaomatosf/jexboss JBoss和其他java序列化漏洞驗(yàn)證和開(kāi)發(fā)工具

https://github.com/frohoff/ysoserial java反序列化利用工具

https://github.com/Lz1y/CVE-2017-8759 .NET Framework換行符漏洞，CVE-2017-8759完美復(fù)現(xiàn)（另附加hta+powershell彈框閃爍解決方案）https://www.freebuf.com/vuls/147793.html

https://github.com/WyAtu/CVE-2018-8581 Exchange使用完成添加收信規(guī)則的操作進(jìn)行橫向滲透和提權(quán)漏洞

https://github.com/dafthack/MailSniper PS,用于在Microsoft Exchange環(huán)境搜索電子郵件查找特定郵件（密碼、網(wǎng)絡(luò)架構(gòu)信息等）

https://github.com/sensepost/ruler GO,通過(guò)MAPI / HTTP或RPC / HTTP協(xié)議遠(yuǎn)程與Exchange服務(wù)器進(jìn)行交互,通過(guò)客戶端Outlook功能遠(yuǎn)程獲取shell

https://github.com/3gstudent/Smbtouch-Scanner 掃描內(nèi)網(wǎng)永恒之藍(lán)ETERNAL445SMB系列漏洞

https://github.com/smgorelik/Windows-RCE-exploits windows命令執(zhí)行RCE漏洞POC樣本，分為web與文件兩種形式

https://github.com/3gstudent/CVE-2017-8464-EXP CVE-2017-8464，win快捷方式遠(yuǎn)程執(zhí)行漏洞

https://github.com/Lz1y/CVE-2018-8420 Windows的msxml解析器漏洞可以通過(guò)ie或vbs執(zhí)行后門

https://www.anquanke.com/post/id/163000 利用Excel 4.0宏躲避殺軟檢測(cè)的攻擊技術(shù)分析

https://github.com/BuffaloWill/oxml_xxe XXE漏洞利用

https://thief.one/2017/06/20/1/ 淺談XXE漏洞攻擊與防御

https://github.com/thom-s/docx-embeddedhtml-injection word2016，濫用Word聯(lián)機(jī)視頻特征執(zhí)行惡意代碼poc

https://blog.cymulate.com/abusing-microsoft-office-online-video word2016，濫用Word聯(lián)機(jī)視頻特征執(zhí)行惡意代碼介紹

https://github.com/0xdeadbeefJERKY/Office-DDE-Payloads 無(wú)需開(kāi)啟宏即可在word文檔中利用DDE執(zhí)行命令

http://www.freebuf.com/articles/terminal/150285.html 無(wú)需開(kāi)啟宏即可在word文檔中利用DDE執(zhí)行命令利用

https://github.com/Ridter/CVE-2017-11882 利用word文檔RTF獲取shell，https://evi1cg.me/archives/CVE_2017_11882_exp.html

https://github.com/Lz1y/CVE-2017-8759 利用word文檔hta獲取shell，http://www.freebuf.com/vuls/147793.html

https://fuping.site/2017/04/18/CVE-2017-0199漏洞復(fù)現(xiàn)過(guò)程 WORD RTF 文檔，配合msf利用

https://github.com/tezukanice/Office8570 利用ppsx幻燈片遠(yuǎn)程命令執(zhí)行，https://github.com/rxwx/CVE-2017-8570

https://github.com/0x09AL/CVE-2018-8174-msf 目前支持的版本是 32 位 IE 瀏覽器和 32 位 office。網(wǎng)頁(yè)訪問(wèn)上線，瀏覽器關(guān)閉，shell 依然存活，http://www.freebuf.com/vuls/173727.html

http://www.4hou.com/technology/9405.html 在 Office 文檔的屬性中隱藏攻擊載荷

https://evi1cg.me/archives/Create_PPSX.html 構(gòu)造PPSX釣魚文件

https://github.com/enigma0x3/Generate-Macro PowerShell腳本，生成含有惡意宏的Microsoft Office文檔

https://github.com/mwrlabs/wePWNise 生成獨(dú)立于體系結(jié)構(gòu)的VBA代碼，用于Office文檔或模板，并自動(dòng)繞過(guò)應(yīng)用程序控制

https://github.com/curi0usJack/luckystrike 基于ps，用于創(chuàng)建惡意的Office宏文檔

https://github.com/sevagas/macro_pack MS Office文檔、VBS格式、快捷方式payload捆綁

https://github.com/khr0x40sh/MacroShop 一組通過(guò)Office宏傳遞有效載荷的腳本