用友NC-RCE写马问题分析与解决
2022-7-26 08:31:27 Author: 潇湘信安(查看原文) 阅读量:84 收藏

朋友解决的一个用友NC-RCE写马问题,这篇主要记录的是解决这个问题的过程和思路,其实这次遇到的这个问题与用友NC RCE的这个py利用工具有着很大关系,可以多试一些其他的工具看看。

0x01 问题描述

用友NC的一个远程命令执行漏洞,在命令终端下用Py利用工具可以正常执行命令,但由于目标主机存在WindowsDefender,测试了各种CS/MSF的远程执行上线方式都失败了,也不能使用echo写入webshell,会将<>尖括号给转义了,测试了一些文件落地方式好像也被拦截了。

0x02 测试过程

使用certutil将冰蝎jsp马进行一次base64编码,使用burpsuite抓包py利用工具的写马payload,将刚编码的base64通过这个Payload写进去,然后在py利用工具下使用certutil解码,但解码后发现找不到jsp马文件,再次测试使用certutil进行二次编码,第一次解码jsp马文件是存在的,这就说明可能是因为这个jsp马不免杀,在解码后被WindowsDefender给杀掉了。

0x03 解决方式

找到问题所在就简单了,只需找一个能过WindowsDefender的冰蝎或哥拉斯的jsp免杀就行,将这个jsp免杀马经过base64编码后写进去,然后在py利用工具下使用certutil解码即可,只要不被WindowsDefender查杀就可以连接了。但最后还得解决下360+WindowsDefender执行cs马上线问题,一个进程防护,一个特征查杀。

JSP马免杀相关链接:

https://github.com/G0mini/Bypasshttps://mp.weixin.qq.com/s/Nbt711grXyubO8q0z8wk5g

关 注 有 礼

关注公众号回复“9527”可以领取一套HTB靶场文档和视频1208”个人常用高效爆破字典0221”2020年酒仙桥文章打包2191潇湘信安文章打包,“1212”杀软对比源码+数据源,0421Windows提权工具包

 还在等什么?赶紧点击下方名片关注学习吧!


推 荐 阅 读



文章来源: http://mp.weixin.qq.com/s?__biz=Mzg4NTUwMzM1Ng==&mid=2247497108&idx=2&sn=6f4f458008218337bb5a6492a435fecb&chksm=cfa55187f8d2d891c0102575ea89853eb9c01e7f3454300aade0c9974ba133f283d4e51735bc#rd
如有侵权请联系:admin#unsafe.sh