起点
相信大家在这几日都已经见过了插img标签来获取一个反弹的get请求，比如 在UI组件里写入<html><img src=x>就会得到这样的效果
这是一个demo的java swing的代码，在jlabel里我直接输入了payload就会得到一个渲染失败的图片，学过基础的xss的都知道，这就是个html的img标签渲染失败的样子。这也意味着如果填入了远程地址，就会对远程服务器发送get请求。这也是这几天最常见的基础利用。那么这是为什么呢？没错，这就是swing（一种java GUI的库）自带的特性，也是一切的起点。
看到没，文档里直接告诉我们一个事实：在内容的开头插入<html>标签后续的内容就会被格式化为html文档进行解析，也就是说支持html标签。这里有个关键点就是at the beginning of the text，也就是说必须是开头插入<html>才行，这个点很关键记一下。大部分鲁特们看到这里，可能就很显然的认为既然支持html标签了那是不是直接套一套XSS那一套就可以RCE了
相信大家在这几日都已经见过了插img标签来获取一个反弹的get请求，比如 在UI组件里写入<html><img src=x>就会得到这样的效果
这是一个demo的java swing的代码，在jlabel里我直接输入了payload就会得到一个渲染失败的图片，学过基础的xss的都知道，这就是个html的img标签渲染失败的样子。这也意味着如果填入了远程地址，就会对远程服务器发送get请求。这也是这几天最常见的基础利用。那么这是为什么呢？没错，这就是swing（一种java GUI的库）自带的特性，也是一切的起点。
看到没，文档里直接告诉我们一个事实：在内容的开头插入<html>标签后续的内容就会被格式化为html文档进行解析，也就是说支持html标签。这里有个关键点就是at the beginning of the text，也就是说必须是开头插入<html>才行，这个点很关键记一下。大部分鲁特们看到这里，可能就很显然的认为既然支持html标签了那是不是直接套一套XSS那一套就可以RCE了
学信网学历认证的方式快速办理的只有两种
第一种是套号，套取同名同姓人的学历，套号简单说就是找你同名同姓同出生年月的人，学信网可查，用他的学历学位找工作，适合求职学信网可查。
以下不适合使用范围
1.不能考公，考编
2.国企央企不行，事业单位政府
3.现场查学籍
4.（照片身份证号码都不是你的）
第二种就是挂网我们有专业的渠道可以办理挂学信网的学历需要提供需要的（学校 专业 毕业时间 蓝底照片） 学信网可查，反之照片身份证号码都是你的收费比套号要昂贵
其他学历认证包括学校这一块留学服务我们也是提供的。
第一种是套号，套取同名同姓人的学历，套号简单说就是找你同名同姓同出生年月的人，学信网可查，用他的学历学位找工作，适合求职学信网可查。
以下不适合使用范围
1.不能考公，考编
2.国企央企不行，事业单位政府
3.现场查学籍
4.（照片身份证号码都不是你的）
第二种就是挂网我们有专业的渠道可以办理挂学信网的学历需要提供需要的（学校 专业 毕业时间 蓝底照片） 学信网可查，反之照片身份证号码都是你的收费比套号要昂贵
其他学历认证包括学校这一块留学服务我们也是提供的。
Tomcat漏洞利用
直接使用弱口令tomcat:tomcat进入后台，也可以尝试暴力破解，往下拉，找到Tomcat项目部署功能，此功能允许用户通过上传war包，来部署自己的应用项目
利用蚁剑的jsp木马，制作生成包含jsp木马的ant.war包：利用管理后台上传部署war包的功能，上传部署制作的含有恶意木马的ant.war包
war包部署后会在Tomcat的WEB根目录创建解压生成一个ant文件夹，war包中的恶意
木马ant.jsp在ant文件夹下
直接使用弱口令tomcat:tomcat进入后台，也可以尝试暴力破解，往下拉，找到Tomcat项目部署功能，此功能允许用户通过上传war包，来部署自己的应用项目
利用蚁剑的jsp木马，制作生成包含jsp木马的ant.war包：利用管理后台上传部署war包的功能，上传部署制作的含有恶意木马的ant.war包
war包部署后会在Tomcat的WEB根目录创建解压生成一个ant文件夹，war包中的恶意
木马ant.jsp在ant文件夹下
Getshell，查看当前主机所在内网IP段，及当前主机，所运行的服务信息，查看所有用户信息，可能存在因配置不当导致的特权用户及用户的密码信息等
cat /etc/passwd
cat /etc/shadow
查看存放在系统内的敏感文件，如包含用户密码、服务访问密码等敏感信息的文件
find / -name *pass* -type f
find / -name *admin* -type f
查看flag，可以发现前四个flag
grep -r "flag*"
cat /etc/passwd
cat /etc/shadow
查看存放在系统内的敏感文件，如包含用户密码、服务访问密码等敏感信息的文件
find / -name *pass* -type f
find / -name *admin* -type f
查看flag，可以发现前四个flag
grep -r "flag*"
内网渗透
第一层内网
信息收集
上传工具，使用ladon64工具扫描探测172.22.0.0/24网段，判断内网存活主机IP
cd /tmp
chmod +x ladon64
./ladon64 172.22.0.0/24 icmpscan
得到内网网段存活主机IP：172.22.0.20
发现内网网段存活主机172.22.0.22开放了7001端口，服务为weblogic，版本号为10.3.6.0
FRP建立Socks5代理
通过蚁剑的文件管理功能，上传相关工具文件到tomcat服务器的/tmp目录
Tomcat修改frpc配置文件
第一层内网
信息收集
上传工具，使用ladon64工具扫描探测172.22.0.0/24网段，判断内网存活主机IP
cd /tmp
chmod +x ladon64
./ladon64 172.22.0.0/24 icmpscan
得到内网网段存活主机IP：172.22.0.20
发现内网网段存活主机172.22.0.22开放了7001端口，服务为weblogic，版本号为10.3.6.0
FRP建立Socks5代理
通过蚁剑的文件管理功能，上传相关工具文件到tomcat服务器的/tmp目录
Tomcat修改frpc配置文件
Weblogic漏洞利用
这里他是vnc连接，没办法上传一把梭工具，只能利用里面给的工具。
通过WeblogicScan.py发现目标存在CVE-2019-2725漏洞
目标存在CVE-2019-2725漏洞
执行成功
weblogic-CVE-2019-2725.py传马默认用的get请求，所以蚁剑连不上
但是Tomcat和Weblogic服务器在同一个网段，可以互相访问，在Weblogic服务器上可以通过如下URL访问ant.txt文件
打开一个新的蚁剑窗口并配置socks5代理，找到 AntSword > 代理设置 > 手动设置代理 > 选择socks5代理协议 > 填写代理服务器IP > 填写代理服务端口 > 保存。注意，保存时会提示重启中国蚁剑。
这里他是vnc连接，没办法上传一把梭工具，只能利用里面给的工具。
通过WeblogicScan.py发现目标存在CVE-2019-2725漏洞
目标存在CVE-2019-2725漏洞
执行成功
weblogic-CVE-2019-2725.py传马默认用的get请求，所以蚁剑连不上
但是Tomcat和Weblogic服务器在同一个网段，可以互相访问，在Weblogic服务器上可以通过如下URL访问ant.txt文件
打开一个新的蚁剑窗口并配置socks5代理，找到 AntSword > 代理设置 > 手动设置代理 > 选择socks5代理协议 > 填写代理服务器IP > 填写代理服务端口 > 保存。注意，保存时会提示重启中国蚁剑。