搜索

[6528] 2020-02-27_ApacheDubbo反序列化漏洞（CVE-2019-17564）

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2020-02-27_ApacheDubbo反序列化漏洞（CVE-2019-17564） A p a c h e   D u b b o 反 序 列 化 漏 洞 （ C V E - 2 0 1 9 - 1 7 5 6 4 ） E 安 全   2 0 2 0 - 0 2 - 2 7 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 l 1 n k 3 r N o . 1 N o . 1 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 2 N o . 2 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 漏 洞 描 述 U n s a f e   d e s e r i a l i z a t i o n   o c c u r s   w i t h i n   a   D u b b o   a p p l i c a t i o n   w h i c h   h a s   H T T P r e m o t i n g   e n a b l e d .   A n   a t t a c k e r   m a y   s u b m i t   a   P O S T   r e q u e s t   w i t h   a   J a v a   o b j e c t   i n i t   t o   c o m p l e t e l y   c o m p r o m i s e   a   P r o v i d e r   i n s t a n c e   o f   A p a c h e   D u b b o ,   i f   t h i s i n s t a n c e   e n a b l e s   H T T P . 上 面 这 部 分 是 官 方 描 述 ， 也 就 是 说 当 H T T P   r e m o t i n g   开 启 的 时 候 ， 存 在 反 序 列 化 漏 洞 。 有 一 点 在 描 述 中 值 得 注 意 的 ， 也 就 是 说 它 影 响 不 只 是 d u b b o ， 还 有 s p r i n g - w e b （ 5 . 1 . 9 . R E L E A S E ） 之 前 。 T h i s   v u l n e r a b i l i t y   c a n   a f f e c t   u s e r s   u s i n g   D u b b o - R p c - H t t p   ( 2 . 7 . 3   o r   l o w e r )   a n d S p r i n g - W e b   ( 5 . 1 . 9 . R E L E A S E   o r   l o w e r ) . 影 响 版 本 ： D u b b o   2 . 7 . 0   t o   2 . 7 . 4 D u b b o   2 . 6 . 0   t o   2 . 6 . 7 D u b b o   a l l   2 . 5 . x   v e r s i o n s N o . 3 N o . 3 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 环 境 搭 建 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / a p a c h e / d u b b o - s a m p l e s / t r e e / m a s t e r / j a v a / d u b b o - s a m p l e s - h t t p 把   d u b b o - s a m p l e s - h t t p   这 个 d e m o 下 载 下 来 ， 然 后 修 改 部 分 内 容 ， 首 先 将   p o m . x m l   文 件 中 的   d u b b o . v e r s i o n   修 改 为   2 . 7 . 3   版 本 。 其 次 在   p o m . x m l   文 件 中 加 入 反 序 列 化 的   g a d g e t   ， 为 了 方 便 ， 我 选 择 了   C C 2   的 利 用 链 中 的   c o m m o n s - c o l l e c t i o n s 4 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
< ! - -   h t t p s : / / m v n r e p o s i t o r y . c o m / a r t i f a c t / o r g . a p a c h e . c o m m o n s / c o m m o n s - c o l l e c t i o n s 4   - - > < d e p e n d e n c y >       < g r o u p I d > o r g . a p a c h e . c o m m o n s < / g r o u p I d >       < a r t i f a c t I d > c o m m o n s - c o l l e c t i o n s 4 < / a r t i f a c t I d >       < v e r s i o n > 4 . 0 < / v e r s i o n > < / d e p e n d e n c y > 由 于   d u b b o   和   z o o k e e p e r   还 有 关 系 ， 所 以 搭 建 环 境 的 时 候 需 要 安 装 这 个 ， 并 且 启 动 。 当 这 些 一 切 就 绪 之 后 启 动 d e m o 中 的 o r g / a p a c h e / d u b b o / s a m p l e s / h t t p / H t t p P r o v i d e r 。 N o . 4 N o . 4 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 $   j a v a   - j a r   y s o s e r i a l - m a s t e r - 5 5 f 1 e 7 c 3 5 c - 1 . j a r   C o m m o n s C o l l e c t i o n s 2   " o p e n   / S y s t e m / A p p l i c a t i o n s / C a l c u l a t o r . a p p "   >   p a y l o a d . s e r N o . 5 N o . 5 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 从 右 图 中 的 报 错 调 用 栈 其 实 很 明 显 定 位 到 了 最 开 始 入 口 是 j a v a x . s e r v l e t . h t t p . H t t p S e r v l e t . s e r v i c e 。 在 j a v a x . s e r v l e t . h t t p . H t t p S e r v l e t . s e r v i c e 处 下 个 断 点 ， 可 以 看 到 这 个 地 方 处 理 H T T P 请 求 进 来 的   r e q u e s t   和   r e s p o n s e   。 然 后 进 入 到 o r g . a p a c h e . d u b b o . r e m o t i n g . h t t p . s e r v l e t . D i s p a t c h e r S e r v l e t 中 ， 这 里 会 有 个 判 断 ， 如 果 h a n d l e r 对 象 等 于 n u l l ， 就 返 回 4 0 4 告 诉 对 方 ， 服 务 没 有 找 到 ， 否 则 继 续 调 用 相 关 对 象 的 h a n d l e 方 法 进 行 处 理 。 事 实 上 这 里 d u b b o 支 持 这 几 种 方 式 或 者 用 协 议 来 说 更 为 合 适 ， 来 进 行 数 据 的 传 输 交 互 ， 而 本 次 的 处 理 H T T P 协 议 的 进 入 到 自 然 是 o r g . a p a c h e . d u b b o . r p c . p r o t o c o l . h t t p . H t t p P r o t o c o l 这 个 类 里 面 。
而 在 o r g . a p a c h e . d u b b o . r p c . p r o t o c o l . h t t p . H t t p P r o t o c o l 这 个 类 中 ， 首 先 会 判 断 请 求 方 式 是 否 是 P O S T ， 不 是 的 话 会 抛 出 5 0 0 错 误 ， 其 次 就 是 从 r e q u e s t 对 象 中 获 取 远 程 r e m o t e A d d r 和 r e m o t e P o r t ， 这 个 不 多 赘 述 ， 接 着 就 进 入 s k e l e t o n . h a n d l e R e q u e s t 进 行 处 理 。 跟 进 之 后 s k e l e t o n . h a n d l e R e q u e s t 之 后 会 发 现 调 用 的 是   s p r i n g   的   h t t p i n v o k e r   ， 其 中   r e a d R e m o t e I n v o c a t i o n   会 处 理 我 们 传 入 的   r e q u e s t   对 象 。 继 续 跟 进   r e a d R e m o t e I n v o c a t i o n   会 发 现 ， 它 返 回 的 是 R e m o t e I n v o c a t i o n . r e a d R e m o t e I n v o c a t i o n 的 处 理 结 果 。 继 续 跟 进 R e m o t e I n v o c a t i o n . r e a d R e m o t e I n v o c a t i o n 调 用   R e m o t e I n v o c a t i o n S e r i a l i z i n g E x p o r t e r # d o R e a d R e m o t e I n v o c a t i o n   来 针 对 数 据 流 进 行 处 理 。 跟 进   R e m o t e I n v o c a t i o n S e r i a l i z i n g E x p o r t e r # d o R e a d R e m o t e I n v o c a t i o n   ， 反 序 列 化 入 口 就 在 这 里 了 。 实 际 上 可 以 看 到 的 一 点 就 是 ， d u b b o 在 进 行 H T T P 协 议 做 数 据 传 输 的 时 候 ， 走 的 是 J a v a 序 列 化 ， 我 通 过 w i r e s h a r k 抓 了 一 个 包 ， 相 信 这 个 大 家 一 定 不 陌 生 ， 从   C o n t e n t T y p e :   a p p l i c a t i o n / x - j a v a - s e r i a l i z e d - o b j e c t   和 报 文   B o d y   部 分 的   A S C I I   码 可 以 看 出 ， 使 用 的 是   J a v a   S e r i a l i z e   序 列 化 ， 而 这 部 分 功 能 的 实 现 使 用 的 自 然 是   s p r i n g   的 h t t p i n v o k e r   功 能 。
细 看   s p r i n g   的 d o c s ， 也 做 了 下 图 可 能 存 在 反 序 列 化 的 风 险 提 示 。 N o . 6 N o . 6 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 前 面 说 过 d u b b o 的 h t t p 处 理 是 通 过 o r g . a p a c h e . d u b b o . r p c . p r o t o c o l . h t t p . H t t p P r o t o c o l ， 然 后 是 实 例 化 一 个 J s o n R p c S e r v e r 对 象 s k e l e t o n 来 处 理 u r i ， 紧 接 着 调 用   s k e l e t o n . h a n d l e 也 就 是 c o m . g o o g l e c o d e . j s o n r p c 4 j . J s o n R p c B a s i c S e r v e r # h a n d l e 在 c o m . g o o g l e c o d e . j s o n r p c 4 j . J s o n R p c B a s i c S e r v e r # h a n d l e 当 中 没 办 法 处 理 我 们 传 输 J a v a 序 列 化 字 节 流 ， 因 此 就 会 抛 出 异 常 ， 也 就 是 说 这 里 的 o r g . a p a c h e . d u b b o . r p c . p r o t o c o l . h t t p . H t t p P r o t o c o l 后 续 处 理 不 是 通 过 s p r i n g   h t t p i n v o k e r   了 ， 而 是 通 过   j s o n r p c   。 w i r e s h a r k 再 抓 个 包 确 认 一 下 ， 嗯 ， 确 实 是 这 样 。
注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： v l o g ｜ 身 临 其 境 一 场 网 安 盛 宴 　 2 0 2 0 R S A C 直 击 现 场 实 况 图 片 直 播   |   E 安 全 带 你 直 击 R S A C 2 0 2 0 现 场 前 瞻 ｜ 2 0 2 0   R S A   C o n f e r e n c e ： 网 络 安 全 的 根 本 是 人 在 保 护 人 美 国 V o a t z 选 举 投 票 应 用 发 现 漏 洞       可 能 更 改 或 暴 露 选 民 投 票 方 式 美 国 国 防 部 新 网 安 标 准 二 ： 网 安 成 熟 度 等 级 划 分 和 新 增 变 化 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理