搜索

[6743] 2020-06-01_Tomcatsession分析【CVE-2020-9484】

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2020-06-01_Tomcatsession分析【CVE-2020-9484】 T o m c a t   s e s s i o n   分 析 【 C V E - 2 0 2 0 - 9 4 8 4 】 E 安 全   2 0 2 0 - 0 6 - 0 1 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 l 1 n k 3 r 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 1 N o . 1 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 T o m c a t   在 2 0 2 0 年 5 月 1 1 日 时 候 修 复 了 一 个   R e m o t e   C o d e   E x e c u t i o n   v i a   s e s s i o n   p e r s i s t e n c e   漏 洞 ， 这 个 洞 利 用 条 件 有 点 苛 刻 。 N o . 2 N o . 2 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 点 在   o r g / a p a c h e / c a t a l i n a / s e s s i o n / F i l e S t o r e # l o a d   ， 这 里   t o m c a t   本 地 会 有 个 文 件 ， 这 个 文 件 会 记 录   S E S S I O N   信 息 ， 当 加 载 这 个   S E S S I O N   信 息 文 件 的 时 候 漏 洞 就 出 来 了 ， 具 体 看 下 图 ， 他 会 先 创 建 一 个 空 S e s s i o n 用 来 接 收 这 个   S e s s i o n   文 件 里 面 的 S e s s i o n   。 跟 进   r e a d O b j e c t D a t a   ， 来 到   o r g / a p a c h e / c a t a l i n a / s e s s i o n / S t a n d a r d S e s s i o n   这 里 。         p u b l i c   v o i d   r e a d O b j e c t D a t a ( O b j e c t I n p u t S t r e a m   s t r e a m )   t h r o w s   C l a s s N o t F o u n d E x c e p t i o n ,   I O E x c e p t i o n   {                           t h i s . d o R e a d O b j e c t ( s t r e a m ) ;       } 继 续 跟 进   d o R e a d O b j e c t   这 几 个   r e a d O b j e c t   眼 熟 吧 。 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
p r o t e c t e d   v o i d   d o R e a d O b j e c t ( O b j e c t I n p u t S t r e a m   s t r e a m )   t h r o w s   C l a s s N o t F o u n d E x c e p t i o n ,   I O E x c e p t i o n   {     t h i s . a u t h T y p e   = n u l l ;                 t h i s . c r e a t i o n T i m e   =   ( L o n g ) s t r e a m . r e a d O b j e c t ( ) ;     t h i s . l a s t A c c e s s e d T i m e   =   ( L o n g ) s t r e a m . r e a d O b j e c t ( ) ;               t h i s . m a x I n a c t i v e I n t e r v a l   =   ( I n t e g e r ) s t r e a m . r e a d O b j e c t ( ) ;                 t h i s . i s N e w   =   ( B o o l e a n ) s t r e a m . r e a d O b j e c t ( ) ;               t h i s . i s V a l i d   =   ( B o o l e a n ) s t r e a m . r e a d O b j e c t ( ) ;                 t h i s . t h i s A c c e s s e d T i m e   = ( L o n g ) s t r e a m . r e a d O b j e c t ( ) ;                 t h i s . p r i n c i p a l   =   n u l l ;                 t h i s . i d   =   ( S t r i n g ) s t r e a m . r e a d O b j e c t ( ) ; 问 题 来 了 ， 这 个 洞 如 何 利 用 呢 ， 很 简 单 你 写 一 个 文 件 上 传 ， 跨 目 录 的 ， 生 成 一 个   S e s s i o n   文 件 覆 盖 这 个 文 件 就 行 ， 所 以 你 需 要 两 个 前 置 条 件 ， 一 个 文 件 上 传 ， 一 个 知 道 绝 对 路 径 ， 当 然 相 对 应 该 也 可 以 。 N o . 3 N o . 3 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 复 现 过 程 t o m c a t   在   P e r s i s t e n t M a n a g e r   支 持 通 过 使 用   S t o r e   将 内 存 中 的   s e s s i o n   拷 贝 至 文 件 或 数 据 库 中 。 如 果 当 前 活 动 的   s e s s i o n   对 象 数 量 超 过 了 上 限 值 或 者   s e s s i o n   对 象 闲 置 了 过 长 时 间 ， 就 会 有   s e s s i o n   对 象 就 会 被 换 出 ， 存 储 到 磁 盘 中 ， 以 节 省 内 存 空 间 。 当 T o m c a t   正 常 关 闭 、 重 启 或   W e b   应 用 程 序 重 新 加 载 时 ， P e r s i s t e n t M a n a g e r     也 会 像   S t a n d a r d M a n a g e r   一 样 ， 将   s e s s i o n   对 象 持 久 化 到 磁 盘 中 。 在   c o n f / c o n t e x t . x m l 文   件 中 配 置 下 列 内 容 ， 开 启   s e s s i o n   持 久 化 。 < M a n a g e r   c l a s s N a m e = " o r g . a p a c h e . c a t a l i n a . s e s s i o n . P e r s i s t e n t M a n a g e r " d e b u g = " 0 " s a v e O n R e s t a r t = " f a l s e " m a x A c t i v e S e s s i o n = " - 1 " m i n I d l e S w a p = " - 1 " m a x I d l e S w a p = " - 1 " m a x I d l e B a c k u p = " - 1 " > < S t o r e   c l a s s N a m e = " o r g . a p a c h e . c a t a l i n a . s e s s i o n . F i l e S t o r e "   d i r e c t o r y = " . / s e s s i o n "   / > < / M a n a g e r > 然 后 用 y s o 创 建 一 个 序 列 化 文 件 ， 命 名 为   s e s s i o n I D . s e s s i o n   ， 我 这 里 的   s e s s i o n i d   为 1 3 0 5 E 8 2 A 6 4 6 6 D A 5 A B B 5 E 8 E A B B 1 A 8 5 3 6 9   ， 所 以 创 建 文 件 为   1 3 0 5 E 8 2 A 6 4 6 6 D A 5 A B B 5 E 8 E A B B 1 A 8 5 3 6 9 . s e s s i o n
然 后 按 照 上 述 所 说 之 需 要 重 启 、 重 新 加 载 就 会 生 效 。 所 以 能 理 解 第 二 部 分 说 的 这 里 需 要 一 个 跨 目 录 上 传 的 利 用 点 ， 以 及 觉 得 绝 对 路 径 了 吧 。 N o . 4 N o . 4 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 修 复 也 很 简 单 在 F i l e S t o r e . j a v a 动 手 了 N o . 5 N o . 5 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 后 话 这 个 洞 我 也 给 过 去 t o m c a t ， 当 然 他 们 没 认 我 的 ， 他 们 不 认 为 这 个 是 漏 洞 ， 所 以 我 在 公 开 一 个 场 景 。
一 般 现 在 持 久 化 做 的 比 较 多 的 还 是 在 r e d i s 上 ， 比 较 常 见 的 是 类 似 这 个 项 目 R e d i s S e s s i o n   继 承 的 是   t o m c a t   的 S t a n d a r d S e s s i o n 。 i m p o r t   o r g . a p a c h e . c a t a l i n a . M a n a g e r ; i m p o r t   o r g . a p a c h e . c a t a l i n a . s e s s i o n . S t a n d a r d S e s s i o n ; i m p o r t   j a v a . u t i l . H a s h M a p ; i m p o r t   j a v a . i o . I O E x c e p t i o n ; i m p o r t   o r g . a p a c h e . j u l i . l o g g i n g . L o g ; i m p o r t   o r g . a p a c h e . j u l i . l o g g i n g . L o g F a c t o r y ; p u b l i c   c l a s s   R e d i s S e s s i o n   e x t e n d s   S t a n d a r d S e s s i o n   {   . . .         p u b l i c   v o i d   r e a d O b j e c t D a t a ( j a v a . i o . O b j e c t I n p u t S t r e a m   i n )   t h r o w s   I O E x c e p t i o n ,   C l a s s N o t F o u n d E x c e p t i o n   {       s u p e r . r e a d O b j e c t D a t a ( i n ) ;         t h i s . s e t C r e a t i o n T i m e ( i n . r e a d L o n g ( ) ) ;   } } 来 到 跟 进 s u p e r . r e a d O b j e c t D a t a ， 漏 洞 存 在   o r g . a p a c h e . c a t a l i n a . s e s s i o n . S t a n d a r d S e s s i o n 漏 洞 利 用 漏 洞 利 用 r e d i s   里 面 的   k e y   是   J S E S S I O N I D   的   v a l u e   ， 而   v a l u e   则 是 序 列 化 数 据 。 配 合   r e d i s   未 授 权 漏 洞 修 改 这 部 分 序 列 化 数 据 ， 配 合 g a d g e t ， 就 会 触 发   s e s s i o n   反 序 列 化 漏 洞 ， 当 然 这 部 分 他 们 也 没 处 理 ， 既 然 认 为 不 是 漏 洞 我 就 公 开 了 。
注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 微 软 警 告 ： P o n y F i n a l 勒 索 软 件 正 在 泛 滥 ！ 印 度 、 伊 朗 和 美 国 均 已 中 招 英 国 廉 价 航 空 公 司 e a s y J e t 数 据 泄 露   将 面 临 1 8 0 亿 英 镑 巨 额 诉 讼 E 课 堂   |   记 住 这 八 大 防 骗 技 巧 ！ “ 人 人 都 是 安 全 官 ” 活 动 进 社 区 所 有 i P h o n e 设 备 都 可 能 被 解 锁 ！ 黑 客 发 布 新 款 越 狱 软 件 “ U n c 0 v e r ” 征 集   |   2 0 2 0 世 界 信 息 安 全 大 会 议 题 征 集 全 面 开 启 ！ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理