可通过qq聊天机器人拿下服务器权限
早上起床看到群里机器人有个ping主机的功能
很快啊 我就想到了命令执行 进行测试一下
果然命令成功执行 明显下载文件执行就能拿权限了啊
当然 按传统功夫自然是点到为止
所以我就没继续了 给群主说明了情况 进行了处理
这件事告诉我们 安全无小事 哪里都有可能出风险
很多人问怎么上传文件 下载执行 建议大家看一下3gstudent师傅的文章
https://3gstudent.github.io/3gstudent.github.io/%E6%B8%97%E9%80%8F%E6%8A%80%E5%B7%A7-%E4%BB%8Egithub%E4%B8%8B%E8%BD%BD%E6%96%87%E4%BB%B6%E7%9A%84%E5%A4%9A%E7%A7%8D%E6%96%B9%E6%B3%95/
评论123次
传统功夫虽然点到为止,但是每次执行命令都能被整个群看到,小心群主一个连五鞭加一个接化发给你抓走。
啪的一下就执行了啊 很快啊
命令执行而已啊...
按照传统功夫肯定是点到为止,lz可不是乱打得哈,whoami, net user, powershell 训练有素,明显是有备而来,我劝这位年轻群主,耗子尾汁,好好反思.不要搞被窝里斗
这波机器人大意了啊 没有闪
传统功夫虽然点到为止,但是每次执行命令都能被整个群看到,小心群主一个连五鞭加一个接化发给你抓走。
老牛了,这样都能搞,机器人都不放过。耗子尾汁
这么奇葩的么。。做ping点机器人不屏蔽点东西真的处处都是坑
已经可以命令执行了 而且是高权限 大家就不要纠结标题的事情了 我只是想举个典型rce漏洞例子 提醒大家要有做安全的意识 哪里都有可能有漏洞
大哥你这个whoami的命令返回应该是拿到了机器人的服务器的whoami吧,,意思是把机器人的服务器给拿了?
是部署机器人的服务器
这样也算下拿下服务器了??????
没授权我拿了服务器不好吧 都是群友 已经可以命令执行了 bitsadmin下载执行一个码 不就拿到了吗 实在不行还能net user 而且我标题是 可以拿服务器 不是已经拿到服务器
第一次见这种,绝了
直接命令执行还是牛
大哥你这个whoami的命令返回应该是拿到了机器人的服务器的whoami吧,,意思是把机器人的服务器给拿了?
肯定是返回当前登录用户
这样也算下拿下服务器了??????
可以可以,连QQ机器人都可以骚操作一把。。。
还有这样的玩法 果然万物皆可渗透,我有个大胆的想法 tg的机器人是不是也有同样的问题
聊天机器人还能这么玩,学xi了
请教下师傅怎么上传文件 类似wget这种?有详细点的就好了
直接certutil就可以,默认下载到system32下,然后直接执行exe就欧克
没想到机器人 还能这样玩 学xi了
请教下师傅怎么上传文件 类似wget这种?有详细点的就好了
能执行命令了 那还不简单吗,可以远程下载或者windows下边的powershell,再不行也可以echo直接写文件
请教下师傅怎么上传文件 类似wget这种?有详细点的就好了
文件放自己服务器上,再执行命令下载不就行了?
请教下师傅怎么上传文件 类似wget这种?有详细点的就好了
命令执行而已啊...
只在自己的靶机见过。。。