记一次heapdump泄漏获取服务器权限
创始人
2025-01-17 22:03:12
0次

文章目录

      • 一、漏洞原因
      • 二、漏洞利用
      • 三、漏洞进一步利用
        • 1、工具下载
        • 2、通过关键字查询
        • 3、通过配置redis的默认账号和密码进行登录
        • 4、添加定时计划任务，进行反弹shell
        • 5、成功获取服务器的shell
        • 补充
      • 四、总结
      • 五、免责声明

一、漏洞原因

  • 扫描目录发现某个spring框架存在大量泄露信息的路径，访问ip/heapdump可直接下载内存文件；
  • 通过分析heapdump获取redis数据库权限
  • 利用定时任务，进行反弹shell获取服务器权限

二、漏洞利用

1、通过目录扫描发现heapdump文件

2、进行访问，下载在这里插入图片描述
3、解压文件后，得到hprof的文件
在这里插入图片描述

三、漏洞进一步利用

工具利用：

https://github.com/whwlsfb/JDumpSpider
1、工具下载
https://github.com/wyzxxz/heapdump_tool

在这里插入图片描述

2、通过关键字查询
java -jar heapdump_tool.jar  heapdump

打开文件，然后输入1，表示通过关键字进行查询

上一篇：使用rsync同步服务器目录及文件遇到的问题

下一篇：群晖网络UPS服务器-PVE All In One使用UPS

相关内容

热门资讯

大纲f辅助！wpk俱乐部有没有... 大纲f辅助！wpk俱乐部有没有辅助，wepoker祈福有用吗，必备教程（有挂详情）1、该软件可以轻松...
方针f辅助！红龙poker辅助... 方针f辅助！红龙poker辅助器免费观看，wepoker插件下载，解迷教程（有人有挂）1、许多玩家不...
手册f辅助！大菠萝789辅助器... 手册f辅助！大菠萝789辅助器下载，wepoker破解器，专业教程（有挂细节）1、每一步都需要思考，...
策略f辅助！wepoker怎么... 策略f辅助！wepoker怎么拿到好牌，aapoker透视插件，详细教程（有挂攻略）1）wepoke...
法子f辅助！wepoker辅助... 法子f辅助！wepoker辅助器激活码，聚星ai辅助工具下载，详细教程（竟然有挂）1、玩家可以在聚星...
手筋f辅助！xpoker怎么作... 手筋f辅助！xpoker怎么作弊，wejoker手机版透视脚本，详情教程（有挂方针）1、wejoke...
讲义f辅助！wepokerpl... 讲义f辅助！wepokerplus开挂，wepoker辅助工具，普及教程（揭秘有挂）1、不需要AI权...
学习f辅助！pokemomo辅... 学习f辅助！pokemomo辅助软件，newpoker脚本，分享教程（真的有挂）1、每一步都需要思考...
经验f辅助！aapoker辅助... 经验f辅助！aapoker辅助工具安全吗，sohoopoker辅助，有挂教程（有挂解密）暗藏猫腻，小...
模块f辅助！wepoker怎么... 模块f辅助！wepoker怎么挂飞机，hhpkoer辅助器视频，有挂教程（发现有挂）1、实时hhpk...