搜索

[27244] 2021-05-10_追洞小组Jdbc反序列化漏洞复现浅析

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-05-10_追洞小组Jdbc反序列化漏洞复现浅析 追 洞 小 组   |   J d b c 反 序 列 化 漏 洞 复 现 浅 析 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 5 - 1 0 收 录 于 话 题 # 追 洞 小 组   , 7 # 漏 洞 复 现   , 2 3 文 章 来 源 ｜ 文 章 来 源 ｜ M S 0 8 0 6 7   W E B 攻 防 知 识 星 球 攻 防 知 识 星 球 本 文 作 者 ： 爱 吃 芝 士 的 小 葵 爱 吃 芝 士 的 小 葵 （ M s 0 8 0 6 7 实 验 室 追 洞 小 组 成 员 ） 漏 洞 复 现 分 析 漏 洞 复 现 分 析     认 准 追 洞 小 组 认 准 追 洞 小 组 目 录 目 录 1 、 前 言 、 前 言 + 靶 场 搭 建 靶 场 搭 建   2 、 漏 洞 复 现 、 漏 洞 复 现   3 、 漏 洞 分 析 、 漏 洞 分 析 4 、 漏 洞 修 复 、 漏 洞 修 复   5 、 心 得 、 心 得 前 言 前 言 + 靶 场 搭 建 靶 场 搭 建 很 多 时 候 我 们 获 得 密 码 之 后 进 入 后 台 管 理 的 界 面 ， 有 些 上 传 的 漏 洞 或 者 s q l 注 入 无 法 g e t s h e l l ， 但 是 如 果 发 现 连 接 m y s q l 服 务 的 数 据 包 中 可 以 传 参 ， 那 么 我 们 就 可 以 尝 试 控 制 连 接 m y s q l 服 务 器 ， 反 序 列 化 代 码 来 得 到 s h e l l 。 所 以 该 漏 洞 的 关 键 只 需 要 能 够 控 制 客 户 端 的 j d b c 连 接 ， 在 连 接 阶 段 就 可 以 进 行 处 发 反 序 列 化 。 这 篇 文 章 也 不 深 入 理 解 m y s q l 的 协 议 。 使 用 i d e a   m a v e n 项 目 创 建 ， 在 p o m 中 导 入 j d b c 的 坐 标 。 ( 5 版 本 的 在 5 . 1 . 4 0 以 下 ， 8 版 本 的 在 8 . 0 . 2 0 以 下 ) 导 入 之 后 在 右 边 点 击 m a v e n 图 标 导 入 。
需 要 自 行 根 据 版 本 选 择 J D B C 连 接 串 ， 最 后 有 基 于 各 版 本 C o n n e c t o r 连 接 串 的 总 结 。 漏 洞 复 现 漏 洞 复 现 一 、 一 、   准 备 伪 造 的 准 备 伪 造 的 m y s q l 服 务 服 务 M y S Q L 服 务 器 使 用 ： h t t p s : / / g i t h u b . c o m / f n m s d / M y S Q L _ F a k e _ S e r v e r 二 、 二 、   可 控 的 可 控 的 m y s q l 连 接 的 字 符 串 连 接 的 字 符 串 可 以 去 找 到 " 靶 场 " 。 这 里 当 然 以 本 地 靶 场 搭 建 。
漏 洞 分 析 漏 洞 分 析   d e t e c t C u s t o m C o l l a t i o n s 触 发 方 式 触 发 方 式 测 试 环 境 中 使 用 测 试 环 境 中 使 用 m y s q l - c o n n e c t o r - j a v a   5 . 1 . 3 2 + j a v a   1 . 8 . 2 2 1 ： ： 我 们 在   c o m . m y s q l . j d b c # b u i l d C o l l a t i o n M a p p i n g ( )   下 上 断 点 ， 初 始 化 了 一 个 M a p   i n d e x T o c h a r s e t ; 并 且 i f 判 断 为 f a l s e 再 进 入 下 一 个 i f 体 。 关 键 的 语 句 在 蓝 色 的 那 一 行 。 前 提 条 件 是 红 框 判 断 j d b c 的 版 本 大 于 4 . 1 . 0 ， 然 后 执 行   s h o w   c o l l a t i o n   语 句 ， 再 判 断 版 本 大 于 5 . 0 . 0 ， 才 将   s h o w c o l l a t i o n   的 执 行 结 果 r e s u l t s 传 入 U t i l 的 r e s u l t S e t T o M a p 执 行 。 进 入 跟 入 c o m . m y s q l j d b c . r e s u l t . R e s u l t S e t I m p l # g e t O b j e c t   可 以 看 到 反 序 列 化 的 触 发 点 ， 因 为 刚 刚 传 入 的 参 数 是 2 和 3 ， 所 以 只 要 这 两 个 字 段 的 s q l T y p e 属 性 为 - 4 那 么 我 们 就 可 以 进 入 反 序 列 化 的 入 口 。
s q l T y p e 为 - 4 ， 一 直 进 入 到 - 2 的 判 断 。 这 里 我 们 可 以 看 到 f i e l d . m y s q l T y p e 不 能 为 2 5 5 ， 并 且 f i e l d 是 B i n a r y 而 且 是 B l o b 属 性 才 能 进 入 获 取 字 段 的 d a t a 属 性 并 进 行 之 后 的 反 序 列 化 。 S e r v e r S t a t u s D i f f I n t e r c e p t o r 触 发 方 式 触 发 方 式 测 试 环 境 中 使 用 测 试 环 境 中 使 用 m y s q l - c o n n e c t o r - j a v a   8 . 0 . 1 4 + j a v a   1 . 8 . 2 2 1 ： ： 这 部 分 有 点 长 ， 解 释 一 下 为 什 么 会 执 行 四 次 命 令 。 q u e r y I n t e r c e p t o r s : 一 个 逗 号 分 割 的 一 个 逗 号 分 割 的 C l a s s 列 表 （ 实 现 了 列 表 （ 实 现 了 c o m . m y s q l . c j . i n t e r c e p t o r s . Q u e r y I n t e r c e p t o r 接 口 的 接 口 的 C l a s s ） ， 在 ） ， 在 Q u e r y " 之 间 之 间 " 进 行 执 行 来 进 行 执 行 来 影 响 结 果 。 （ 效 果 上 来 看 是 在 影 响 结 果 。 （ 效 果 上 来 看 是 在 Q u e r y 执 行 前 后 各 插 入 一 次 操 作 ） 执 行 前 后 各 插 入 一 次 操 作 ） a u t o D e s e r i a l i z e : 自 动 检 测 与 反 序 列 化 存 在 自 动 检 测 与 反 序 列 化 存 在 B L O B 字 段 中 的 对 象 。 字 段 中 的 对 象 。 所 以 如 上 所 述 ， 如 果 要 触 发 q u e r y I n t e r c e p t o r s 则 需 要 触 发 S Q L   Q u e r y ， 而 在 g e t C o n n e c t i o n 过 程 中 ， 会 触 发 S E T   N A M E S   u t f 、 s e t   a u t o c o m m i t = 1 一 类 的 请 求 ， 所 以 会 触 发 我 们 所 配 置 的 q u e r y I n t e r c e p t o r s 。 c o m . m y s q l . c j . p r o t o c o l . a . N a t i v e P r o t o c o l # i n v o k e Q u e r y I n t e r c e p t o r s P r e   方 法 会 调 用   S e r v e r S t a t u s D i f f I n t e r c e p t o r   的   p r e P r o c e s s   方 法 ， 再 去 调 用 了 p o p u l a t e M a p W i t h S e s s i o n S t a t u s V a l u e s   ， 一 下 是 调 用 链 ：
首 先 先 大 致 说 一 下 为 什 么 会 执 行 四 次 命 令 接 下 来 我 们 细 分 一 下 到 底 查 询 了 什 么 之 后 的 细 分 步 骤 。 首 先 连 接 m y s q l 服 务 器 ， 并 C o n n e c t i o n I m p l 中 设 置 客 户 端 的 字 符 集 ， 我 们 进 入 这 个 方 法 。 因 为 前 面 那 个 方 法 的 c h a r s e t E n c o d i n g 为 空 值 ， 所 以 进 入 这 个 方 法 查 询 如 何 配 置 。 在 N a t i v e S e s s i o n . c l a s s 里 会 获 取 当 前 m y s q l 的 环 境 然 后 会 触 发 一 次 查 询 ” S E T   N A M E S   u t f ” , 并 发 送 该 请 求 ， 在 p y t h o n 中 收 到 请 求 。
走 完 之 后 完 成 了 下 断 点 的 这 句 ， 紧 接 着 走 箭 头 所 指 向 的 这 句 话 。 还 在 c o m . m y s q l . c j . j d b c . C o n n e c t i o n I m p l 这 个 类 中 。 随 后 会 调 用 c o m . m y s q l . c j . p r o t o c o l . a . N a t i v e P r o t o c o l 类 中 的 s e n d Q u e r y S t r i n g - > s e n d Q u e r y P a c k e t 里 面 再 是 s e n d C o m m a n d - > s e n d 方 法 ， 有 兴 趣 可 以 跟 一 下 ） ， 在 这 里 我 们 可 以 看 到 这 个 方 法 将 s e t a u t o c o m m i t = 1 传 入 i n v o k e Q u e r y I n t e c e p t o r s P r e ( ) 方 法 中 。 而 进 入 这 里 的 方 法 只 是 将 上 次 的   s e t   n a m e s u t f 8   的 结 果 返 回 并 反 序 列 化 。 一 直 走 到 反 序 列 化 的 点 ， 将 结 果 返 回 后 反 序 列 化 。 弹 出 第 一 次 计 算 机 。
r e s u l t S e t T o M a p g e t O b j e c t 的 反 序 列 化 方 法 刚 刚 将   s e t   n a m e s   u t f 8   并 结 果 返 回 的   s h o w   s e s s i o n   s t a t u s   i n v o k e Q u e r y I n t e r c e p t o r s P r e 走 完 ， 到
再 到 ， 可 以 看 到 调 用 了 p o s t P r o c e s s 执 行 反 序 列 化 操 作 p o s t P r o c e s s 走 完 ， 控 制 台 打 印 p y t h o n
至 此 第 一 部 分 结 束 。   第 二 部 分 流 程 也 是 类 似 的 情 况 ， 就 不 列 举 了 ： 都 是 在 第 二 次 的 s h o w   S e s s i o n   S t a t u s 进 行 了 反 序 列 化 的 操 作 。 刚 刚 是 分 析 了 第 一 个 红 框 的 两 次 反 序 列 化 操 作 ， 接 下 来 是 下 一 个 红 框 的 反 序 列 化 操 作 ， 可 以 看 到 左 下 角 的 调 用 栈 。 随 后 服 务 器 因 为 执 行 了 S H O W   S E S S I O N   S T A T U S 会 触 发 一 次 p r e P r o c e s s ( ) 进 而 在 触 发 S E T   s q l _ m o d e = ’ S T R I C T _ T R A N S _ T A B L E S ‘ 查 询 然 后 进 入 N a t i v e P r o t o c o l # s e n d Q u e r y S t r i n g 触 发 一 次 p o s t P r o c e s s p o s t P r o c e s s 中 最 后 打 印 台 的 两 句 话 印 证 了 我 们 的 思 路 并 且 将 结 果 返 回 。
漏 洞 修 复 漏 洞 修 复 q u e r y I n t e r c e p t o r s 参 数 是 m y s q l - c o n n e c t o r - j a v a - 8 . 0 . 7 版 本 才 开 始 支 持 的 ， 2 1 版 本 以 上 被 修 复 。 取 消 了 反 序 列 化 的 操 作 ， g e t O b j e c t 改 成 了 g e t S t r i n g 。 心 得 心 得 这 个 也 是 在 反 序 列 化 的 过 程 中 没 有 对 数 据 做 严 格 的 校 验 导 致 的 ， 利 用 起 来 的 化 反 序 列 化 的 操 作 还 是 需 要 环 境 有 可 利 用 的 类 。 所 以 这 个 漏 洞 有 可 能 利 用 起 来 很 鸡 肋 ， 但 是 如 果 能 够 找 到 这 样 一 个 控 制 m y s q l 字 符 串 的 地 方 ， 不 妨 可 以 试 一 试 。 扫 描 下 方 二 维 码 加 入 星 球 学 习 扫 描 下 方 二 维 码 加 入 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理