搜索

[28373] 2020-06-27_Ysererial有效负载的Java反序列化开发

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-06-27_Ysererial有效负载的Java反序列化开发 Y s e r e r i a l 有 效 负 载 的 J a v a 反 序 列 化 开 发 O t s 安 全   2 0 2 0 - 0 6 - 2 7 简 介 ： 利 用 简 介 ： 利 用 J a v a 反 序 列 化 漏 洞 反 序 列 化 漏 洞 在 R h i n o 最 近 的 一 次 应 用 评 估 中 ， 我 们 发 现 了 J a v a 反 序 列 化 漏 洞 ， 该 漏 洞 最 终 导 致 未 经 身 份 验 证 的 远 程 代 码 执 行 。 事 实 证 明 ， 利 用 此 漏 洞 并 不 像 使 用 Y s o s e r i a l 生 成 默 认 有 效 负 载 那 样 简 单 。 在 此 博 客 文 章 中 ， 我 们 将 逐 步 介 绍 修 改 Y s o s e r i a l 的 过 程 ， 工 具 和 技 术 ， 以 自 定 义 有 效 载 荷 并 修 复 开 发 过 程 中 可 能 遇 到 的 错 误 。 漏 洞 利 用 ： 问 题 漏 洞 利 用 ： 问 题 1 （ 压 缩 ） （ 压 缩 ） 最 初 的 漏 洞 是 在 解 码 b a s e 6 4 编 码 的 参 数 时 返 回 的 ， 看 起 来 像 一 个 随 机 的 二 进 制 b l o b 。 在 尝 试 使 用 各 种 编 码 和 解 压 缩 算 法 对 二 进 制 B l o b 进 行 解 码 后 ， 发 现 它 实 际 上 是 使 用 Z l i b   d e f l a t e 压 缩 方 法 压 缩 的 序 列 化 J a v a 对 象 。 在 后 端 ， 负 责 反 序 列 化 对 象 的 函 数 将 首 先 解 压 缩 对 象 ， 然 后 反 序 列 化 。 如 果 遇 到 b a s e 6 4 编 码 的 参 数 ， 该 参 数 似 乎 只 返 回 二 进 制 b l o b ， 则 始 终 确 保 尝 试 对 其 进 行 一 些 常 见 的 编 码 和 解 压 缩 ， 以 查 看 实 际 上 是 否 存 在 一 些 有 趣 的 东 西 。 B u r p   S u i t e 扩 展 H a c k v e r t o r 是 执 行 此 操 作 的 好 工 具 ， 因 为 它 具 有 许 多 内 置 的 编 码 和 压 缩 算 法 。 下 一 步 显 然 是 使 用 H a c k v e t o r 压 缩 Y s o s e r i a l 有 效 负 载 ， 然 后 再 将 其 发 送 到 请 求 中 。 这 不 起 作 用 ， 一 旦 在 服 务 器 端 反 序 列 化 了 有 效 负 载 ， 其 有 效 负 载 就 被 破 坏 ， 并 且 利 用 不 成 功 。 问 题 问 题 2 （ 类 版 本 不 匹 配 ） （ 类 版 本 不 匹 配 ） 第 二 个 障 碍 是 由 Y s o s e r i a l 序 列 化 的 类 版 本 与 服 务 器 端 的 类 版 本 不 匹 配 。 这 将 导 致 抛 出 j a v a . i o . I n v a l i d C l a s s E x c e p t i o n ， 因 为 在 对 象 序 列 化 过 程 中 使 用 的 本 地 类 与 服 务 器 端 类 的 版 本 不 匹 配 。 这 将 导 致 利 用 失 败 。 正 确 压 缩 对 象 正 确 压 缩 对 象 由 于 尝 试 压 缩 有 效 负 载 时 无 法 使 用 H a c k v e r t o r ， 因 此 我 们 决 定 在 生 成 有 效 负 载 之 前 直 接 在 Y s o s e r i a l 中 压 缩 对 象 。 这 是 通 过 修 改 Y s o s e r i a l 代 码 并 构 建 新 的 J a v a 存 档 （ J A R ） 来 完 成 的 。 这 样 就 可 以 生 成 有 效 的 有 效 负 载 ， 该 负 载 将 在 服 务 器 端 正 确 反 序 列 化 。 在 Y s o s e r i a l 的 G e n e r a t e P a y l o a d 类 中 添 加 一 个 函 数 来 压 缩 对 象 ， 然 后 返 回 它 的 b a s e 6 4 编 码 字 符 串 可 以 正 常 工 作 。 然 后 将 b a s e 6 4 编 码 的 对 象 仅 打 印 到 控 制 台 。 更 正 更 正 S e r i a l V e r s i o n U I D 不 匹 配 不 匹 配 现 在 已 经 可 以 生 成 适 当 压 缩 的 有 效 负 载 ， 我 们 仍 然 收 到 错 误 ， 并 且 该 漏 洞 利 用 没 有 起 作 用 。 但 是 ， 这 提 供 了 足 够 的 信 息 来 解 决 问 题 。
在 这 里 ， 我 们 可 以 看 到 服 务 器 端 希 望 使 用 串 行 版 本 U I D   - 3 4 9 0 8 5 0 9 9 9 0 4 1 5 9 2 9 6 2 ， 但 我 们 发 送 的 串 行 版 本 U I D 是 - 2 0 4 4 2 0 2 2 1 5 3 1 4 1 1 9 6 0 8 。 什 么 是 什 么 是 S e r i a l V e r s i o n U I D ？ ？ S e r i a l V e r s i o n U I D 是 用 于 标 识 类 版 本 的 标 识 符 ， 以 确 保 序 列 化 期 间 使 用 的 类 的 版 本 与 服 务 器 端 反 序 列 化 期 间 使 用 的 本 地 类 相 同 。 如 果 反 序 列 化 时 U I D 值 不 匹 配 ， 则 会 收 到 错 误 消 息 。 如 果 未 在 代 码 中 明 确 定 义 S e r i a l V e r s i o n U I D ， 则 通 常 在 运 行 时 使 用 c o m p u t e D e f a u l t S U I D 方 法 对 类 进 行 序 列 化 时 生 成 它 。 解 决 解 决 S e r i a l V e r s i o n U I D 不 匹 配 的 方 法 不 匹 配 的 方 法 有 几 种 方 法 可 以 用 来 解 决 此 问 题 。 更 改 直 接 在 Y s o s e r i a l 中 使 用 的 依 赖 项 版 本 。 在 运 行 时 从 c o m p u t e D e f a u l t S U I D 方 法 的 S U I D 返 回 值 上 设 置 断 点 ， 并 将 其 修 改 为 所 需 的 值 。 修 改 类 的 字 节 码 以 对 S e r i a l V e r s i o n U I D 进 行 硬 编 码 。 该 博 客 简 要 介 绍 了 后 两 种 方 法 。 我 们 将 详 细 介 绍 如 何 在 运 行 时 修 改 值 c o m p u t e D e f a u l t S U I D 以 及 我 们 发 现 最 简 单 的 其 他 方 法 ， 即 使 用 适 当 的 类 版 本 来 构 建 Y s o s e r i a l 。 两 者 都 可 以 使 用 ， 但 是 当 您 遇 到 一 种 方 法 的 问 题 时 ， 拥 有 选 项 总 是 很 好 。 使 用 正 确 的 版 本 构 建 使 用 正 确 的 版 本 构 建 Y o s o s e r i a l 这 是 能 够 使 用 适 当 的 S e r i a l V e r s i o n U I D 生 成 有 效 负 载 的 最 简 单 ， 最 快 的 方 法 。 参 考 前 面 的 错 误 消 息 ， 我 们 将 需 要 确 定 用 来 构 建 Y s o s e r i a l 的 c o m m o n s - b e a n u t i l s 版 本 ， 以 便 在 序 列 化 时 为 o r g . a p a c h e . c o m m o n s . b e a n u t i l s . B e a n C o m p a r a t o r 类 获 得 正 确 的 S e r i a l V e r s i o n U I D 。 使 用 B a s h ， 它 将 遍 历 特 定 依 赖 项 的 所 有 版 本 ， 下 载 每 个 版 本 ， 并 打 印 目 标 类 的 S e r i a l V e r s i o n U I D 。 这 将 使 我 们 能 够 找 到 所 需 的 版 本 。 从 前 面 的 错 误 消 息 中 我 们 知 道 我 们 正 在 寻 找 S U I D   - 3 4 9 0 8 5 0 9 9 9 0 4 1 5 9 2 9 6 2 。 因 此 ， 使 用 脚 本 ： . / g e t S U I D s . s h h t t p s : / / a r c h i v e . a p a c h e . o r g / d i s t / c o m m o n s / b e a n u t i l s / b i n a r i e s /   o r g . a p a c h e . c o m m o n s . b e a n u t i l s . B e a n C o m p a r a t o r 现 在 我 们 可 以 获 取 Y s o s e r i a l 的 来 源 ： G i t 克 隆 h t t p s : / / g i t h u b . c o m / f r o h o f f / y s o s e r i a l . g i t 在 Y s o s e r i a l 目 录 中 打 开 p o m . x m l 并 进 行 修 改 ， 用 适 当 的 版 本 替 换 c o m m o n s - b e a n u t i l s 版 本 （ 或 任 何 给 您 带 来 麻 烦 的 依 赖 项 ） 。 保 存 并 构 建 Y s o s e r i a l 。 现 在 ， 您 可 以 使 用 Y s o s e r i a l 生 成 具 有 正 确 的 S e r i a l V e r s i o n U I D 的 有 效 负 载 。 在 运 行 时 修 改 在 运 行 时 修 改 S e r i a l V e r s i o n U I D 为 了 在 运 行 时 在 Y s o s e r i a l 中 修 改 S e r i a l V e r s i o n U I D ， 我 们 需 要 使 用 J a v a 调 试 器 并 在 c o m p u t e D e f a u l t S U I D 的 返 回 值 处 设 置 一 个 断 点 。 每 当 方 法 返 回 时 ， 这 将 暂 停 应 用 程 序 ， 并 允 许 我 们 根 据 需 要 查 找 和 修 改 值 。 此 方 法 稍 微 复 杂 一 些 ， 但 是 在 某 些 情 况 下 可 能 需 要 进 行 调 试 或 在 无 法 找 到 S e r i a l V e r s i o n U I D 的 正 确 依 赖 项 版 本 的 情 况 下 。 你 可 以 抓 住 的 I n t e l l i J   I D E A 的 副 本 ， 这 里 并 下 载 Y s o s e r i a l   这 里 。 打 开 I D E A 并 使 用 默 认 值 创 建 一 个 新 的 空 项 目 。 将 Y s o s e r i a l   J A R 拖 到 左 侧 文 件 窗 口 中 的 项 目 上 （ 此 演 练 是 在 使 用 O p e n J D K   1 1 的 K a l i   L i n u x 上 执 行 的 ） 。 # ! / b i n / b a s h # E x a m p l e   u s a g e :   . / g e t S U I D s . s h   h t t p s : / / a r c h i v e . a p a c h e . o r g / d i s t / c o m m o n s / b e a n u t i l s / b i n a r i e s /   o r g . a p a c h e . c o m m o n s . b e a n u t i l s . B e a n C o m p a r a t o r # E x a m p l e   u s a g e :   . / g e t S U I D s . s h   h t t p s : / / a r c h i v e . a p a c h e . o r g / d i s t / c o m m o n s / b e a n u t i l s / b i n a r i e s /   o r g . a p a c h e . c o m m o n s . b e a n u t i l s . B e a n C o m p a r a t o r # E x a m p l e 2   u s a g e :   . / g e t S U I D s . s h   h t t p s : / / a r c h i v e . a p a c h e . o r g / d i s t / c o m m o n s / c o l l e c t i o n s / b i n a r i e s /   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s 4 . f u n c t o r s . I n v o k e r T r a n s f o r m e r # E x a m p l e 2   u s a g e :   . / g e t S U I D s . s h   h t t p s : / / a r c h i v e . a p a c h e . o r g / d i s t / c o m m o n s / c o l l e c t i o n s / b i n a r i e s /   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s 4 . f u n c t o r s . I n v o k e r T r a n s f o r m e r u r l = $ 1 = $ 1 c l a s s = $ 2 c l a s s = $ 2 m k d i r   t m p j a r s f o r   z i p   i n   $ ( c u r l   - s   $ u r l   |   g r e p   ' . z i p < '   |   g r e p   - E o   ' h r e f = " [ ^ " ] + " '   |   c u t   - d   ' " '   - f   2 ) ; d o   f o r   z i p   i n   $ ( c u r l   - s   $ u r l   |   g r e p   ' . z i p < '   |   g r e p   - E o   ' h r e f = " [ ^ " ] + " '   |   c u t   - d   ' " '   - f   2 ) ;     w g e t   - O   t m p j a r s / c u r r e n t . z i p   - 4   $ u r l $ z i p   & > / d e v / n u l l - O   t m p j a r s / c u r r e n t . z i p   - 4   $ u r l $ z i p   & > / d e v / n u l l     u n z i p   t m p j a r s / c u r r e n t . z i p   - d   t m p j a r s   & > / d e v / n u l l / c u r r e n t . z i p   - d   t m p j a r s   & > / d e v / n u l l         e c h o   " C h e c k i n g   f i l e :   $ z i p " " C h e c k i n g   f i l e :   $ z i p "     f o r   j a r   i n   $ ( f i n d   t m p j a r s /   - n a m e   ' * . j a r ' ) ; d o   f o r   j a r   i n   $ ( f i n d   t m p j a r s /   - n a m e   ' * . j a r ' ) ; d o           s e r i a l v e r   - c l a s s p a t h   $ j a r   $ c l a s s   2 > / d e v / n u l l |   g r e p   s e r i a l V e r s i o n U I D     - c l a s s p a t h   $ j a r   $ c l a s s   2 > / d e v / n u l l |   g r e p   s e r i a l V e r s i o n U I D         d o n e d o n e         r m   - r f   t m p j a r s / * - r f   t m p j a r s / * d o n e r m   - d   t m p j a r s / m v n   c l e a n   p a c k a g e   - D s k i p T e s t s p a c k a g e   - D s k i p T e s t s c d   t a r g e t j a v a   - j a r   y s o s e r i a l - 0 . 0 . 6 - S N A P S H O T - a l l . j a r - j a r   y s o s e r i a l - 0 . 0 . 6 - S N A P S H O T - a l l . j a r
现 在 ， 我 们 可 以 设 置 配 置 以 在 调 试 器 中 运 行 Y s o s e r i a l 。 按 A L T   +   S H I F T   +   F 1 0 打 开 运 行 菜 单 ， 然 后 选 择 “ 编 辑 ” 。 将 命 令 参 数 设 置 为 您 所 需 的 Y s o s e r i a l ， 在 此 示 例 中 ， 我 们 使 用 ： C o m m o n s B e a n u t i l s 1   “ n s l o o k u p   e x a m p l e . c o m ” 在 “ 日 志 ” 选 项 卡 上 ， 您 可 以 设 置 输 出 文 件 ， 以 使 输 出 更 易 于 使 用 。
单 击 “ 应 用 并 运 行 ” 以 确 保 其 正 确 执 行 。 现 在 ， 我 们 将 为 S U I D 返 回 值 设 置 断 点 。 返 回 值 来 自 j a v a . i o . O b j e c t S t r e a m C l a s s 类 中 的 c o m p u t e D e f a u l t S U I D 方 法 。 在 左 侧 的 文 件 导 航 窗 口 中 ， 展 开 以 下 内 容 ： E x t e r n a l   L i b r a r i e s < J a v a   J D K > J a v a O b j e c t S t r e a m C l a s s I o J a v a . b a s e 双 击 该 类 并 搜 索 “   r e t u r n   t h i s . s u i d ” ， 然 后 在 该 行 设 置 一 个 断 点 （ 1 0 2 ） 。 在 这 里 ， 您 可 以 通 过 单 击 行 号 右 侧 的 g e t S e r i a l V e r s i o n U I D 返 回 值 来 查 看 设 置 的 断 点 。 现 在 ， 按 A L T   +   S H I F T   +   F 9 组 合 键 可 在 调 试 器 中 运 行 J A R ， 并 在 我 们 的 断 点 处 停 止 。 现 在 ， 我 们 可 以 继 续 按 绿 色 箭 头 以 逐 步 浏 览 断 点 ， 直 到 到 达 需 要 修 改 的 类 s e r i a l V e r s i o n U I D ， 该 类 是 从 我 们 先 前 收 到 的 错 误 消 息 中 获 得 的 ， 在 本 例 中 为 B e a n C o m p a r a t o r 。 只 需 右 键 单 击 s u i d 参 数 ， 然 后 使 用 “ 设 置 值 ” 将 值 设 置 为 - 3 4 9 0 8 5 0 9 9 9 0 4 1 5 9 2 9 6 2 L 。
现 在 继 续 执 行 ， 有 效 负 载 输 出 现 在 应 包 含 该 类 的 正 确 S e r i a l V e r s i o n U I D 。 它 的 全 部 价 值 ： 获 得 外 壳 它 的 全 部 价 值 ： 获 得 外 壳 现 在 ， 使 用 此 处 介 绍 的 任 何 一 种 方 法 ， 我 们 都 可 以 继 续 进 行 操 作 ， 并 使 用 适 当 的 S e r i a l V e r s i o n U I D 生 成 压 缩 的 有 效 负 载 ， 并 获 得 一 个 s h e l l 。 结 论 结 论 尽 管 起 初 并 不 明 显 利 用 此 漏 洞 ， 但 在 测 试 应 用 程 序 时 始 终 值 得 挖 掘 任 何 b a s e 6 4 编 码 的 值 。 如 果 您 在 尝 试 利 用 J a v a 反 序 列 化 时 遇 到 麻 烦 ， 希 望 这 里 的 某 些 步 骤 可 以 对 您 有 所 帮 助 。 尽 管 这 里 讨 论 了 两 种 不 同 的 方 法 ， 但 是 您 可 能 会 发 现 一 种 方 法 在 您 的 特 定 情 况 下 会 比 另 一 种 方 法 更 好 ， 或 者 可 以 帮 助 您 调 试 以 获 取 有 效 的 有 效 负 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理