请选择 进入手机版 | 继续访问电脑版

SSS安全论坛

 找回密码
 立即注册

QQ登录

只需一步,快速开始

产品
产品
团队
团队
版规
版规
查看: 6849|回复: 114

[原创文章] Jboss反序列化漏洞利用的成功渗透

  [复制链接]
  • TA的每日心情
    奋斗
    2016-7-14 17:48
  • 签到天数: 7 天

    [LV.3]偶尔看看II

    发表于 2016-5-28 21:36:42 | 显示全部楼层 |阅读模式
    http://xx.xx.xx.xx:8080/放入反序列测试工具中直接获取Administrator权限,并且具有上传文件功能和可执行命令
    图片1.png
    从图中可看出java的版本为1.6,服务器系统为Windows2012,权限为管理员,执行命令net user 和命令whoami
    图片2.png
    图片3.png
    列目录
    图片4.png
    上传webshell。在上传webshell时上传地址要特别注意,上传地址为C:\jboss-6.1.0.Final\server\default\deploy\ROOT.war,即要将webshell上传到ROOT.war的文件夹下,才是根目录(sqzr.jsp就是我上传的jsp小马)
    图片5.png
    访问测试看小马是否生效,webshell的地址为http://xx.xx.xx.xx:8080/sqzr.jsp
    图片6.png
    用菜刀连接,连接成功
    图片7.png
    net view
    图片8.png
    接下来进行提权
    先添加一个新用户,net user admin /add,创建成功后再将admin添加进管理组,这里要注意admin的密码要复杂一点否则无法创建,但也可以空密码,但是空密码到远程连接的时候无法连接。在设置密码的时候,开启了安全策略的,如果密码太简单会报出以下的错误
    图片9.png
    游客,如果您要查看本帖隐藏内容请回复

    图片12.png
    回复

    使用道具 举报

  • TA的每日心情
    奋斗
    2016-7-14 17:48
  • 签到天数: 7 天

    [LV.3]偶尔看看II

     楼主| 发表于 2016-5-28 21:37:57 | 显示全部楼层
    虽然我也有这些工具和大马,但是这是别人的投稿我只是代发,就不好方面带上了

    话说作者要是投稿的时候不打马赛克就好了,我肯定去内网玩玩,哈哈哈,帮你完善内网渗透的后续
  • TA的每日心情
    奋斗
    6 天前
  • 签到天数: 215 天

    [LV.7]常住居民III

    发表于 2016-5-28 21:41:27 | 显示全部楼层

    66666
    回复

    使用道具 举报

  • TA的每日心情
    奋斗
    5 天前
  • 签到天数: 337 天

    [LV.8]以坛为家I

    发表于 2016-5-28 21:44:06 | 显示全部楼层
    1楼没了 卧槽
  • TA的每日心情
    奋斗
    半小时前
  • 签到天数: 193 天

    [LV.7]常住居民III

    发表于 2016-5-28 21:49:13 | 显示全部楼层
    求无毒工具
  • TA的每日心情
    开心
    2016-4-12 22:29
  • 签到天数: 1 天

    [LV.1]初来乍到

    发表于 2016-5-28 21:56:35 | 显示全部楼层
    支持 SSSie
    回复

    使用道具 举报

  • TA的每日心情

    2 小时前
  • 签到天数: 419 天

    [LV.9]以坛为家II

    发表于 2016-5-28 21:56:50 | 显示全部楼层
    学习一下新姿势看看。
  • TA的每日心情
    无聊
    2017-3-15 10:25
  • 签到天数: 216 天

    [LV.7]常住居民III

    发表于 2016-5-28 22:05:56 | 显示全部楼层
    66666666666
  • TA的每日心情
    无聊
    2015-11-18 13:05
  • 签到天数: 1 天

    [LV.1]初来乍到

    发表于 2016-5-28 22:07:20 | 显示全部楼层
    。z
    回复

    使用道具 举报

  • TA的每日心情
    擦汗
    前天 16:42
  • 签到天数: 206 天

    [LV.7]常住居民III

    发表于 2016-5-28 22:12:48 | 显示全部楼层
    看看看
    回复

    使用道具 举报

    您需要登录后才可以回帖 登录 | 立即注册

    本版积分规则

    关闭

    站长推荐上一条 /1 下一条

    关注微信赢邀请码

    QQ|Archiver|手机版|网站地图|网页地图|SSS安全论坛 ( 黔ICP备15010987号  

    GMT+8, 2017-3-30 18:50 , Processed in 0.235663 second(s), 36 queries .

    Powered by SSS团队 X3.2

    © 2014-2015 Comsenz Inc.

    快速回复 返回顶部 返回列表