搜索

[1082] 2020-03-12_WeblogicCVE-2016-3510MarshalledObject反序列化绕过分析

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-16
2020-03-12_WeblogicCVE-2016-3510MarshalledObject反序列化绕过分析 W e b l o g i c   C V E - 2 0 1 6 - 3 5 1 0   M a r s h a l l e d O b j e c t 反 序 列 化 绕 过 分 析 C h a B u g 运 营 小 哥 哥   C h a B u g   2 0 2 0 - 0 3 - 1 2 W e b l o g i c 系 列 文 章 ， 还 是 绕 过 黑 名 单 。 复 现 h t t p s : / / g i t h u b . c o m / 5 u p 3 r c / w e b l o g i c _ c m d   修 改 p a y l o a d 类 型 成 功 执 行 命 令 ， 断 点 同 样 下 在 I n v o k e r T r a n s f o r m e r 的 t r a n s f o r m ( ) ， 堆 栈 如 下 。 t r a n s f o r m : 1 2 3 ,   I n v o k e r T r a n s f o r m e r   ( o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . f u n c t o r s ) t r a n s f o r m : 1 2 2 ,   C h a i n e d T r a n s f o r m e r   ( o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . f u n c t o r s ) g e t : 1 5 7 ,   L a z y M a p   ( o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . m a p ) i n v o k e : 5 0 ,   A n n o t a t i o n I n v o c a t i o n H a n d l e r   ( s u n . r e f l e c t . a n n o t a t i o n ) e n t r y S e t : - 1 ,   $ P r o x y 5 7 r e a d O b j e c t : 3 2 7 ,   A n n o t a t i o n I n v o c a t i o n H a n d l e r   ( s u n . r e f l e c t . a n n o t a t i o n ) i n v o k e 0 : - 1 ,   N a t i v e M e t h o d A c c e s s o r I m p l   ( s u n . r e f l e c t ) i n v o k e : 3 9 ,   N a t i v e M e t h o d A c c e s s o r I m p l   ( s u n . r e f l e c t ) i n v o k e : 2 5 ,   D e l e g a t i n g M e t h o d A c c e s s o r I m p l   ( s u n . r e f l e c t )
i n v o k e : 5 9 7 ,   M e t h o d   ( j a v a . l a n g . r e f l e c t ) i n v o k e R e a d O b j e c t : 9 7 4 ,   O b j e c t S t r e a m C l a s s   ( j a v a . i o ) r e a d S e r i a l D a t a : 1 8 4 8 ,   O b j e c t I n p u t S t r e a m   ( j a v a . i o ) r e a d O r d i n a r y O b j e c t : 1 7 5 2 ,   O b j e c t I n p u t S t r e a m   ( j a v a . i o ) r e a d O b j e c t 0 : 1 3 2 8 ,   O b j e c t I n p u t S t r e a m   ( j a v a . i o ) r e a d O b j e c t : 3 5 0 ,   O b j e c t I n p u t S t r e a m   ( j a v a . i o ) r e a d R e s o l v e : 5 8 ,   M a r s h a l l e d O b j e c t   ( w e b l o g i c . c o r b a . u t i l s ) i n v o k e 0 : - 1 ,   N a t i v e M e t h o d A c c e s s o r I m p l   ( s u n . r e f l e c t ) i n v o k e : 3 9 ,   N a t i v e M e t h o d A c c e s s o r I m p l   ( s u n . r e f l e c t ) i n v o k e : 2 5 ,   D e l e g a t i n g M e t h o d A c c e s s o r I m p l   ( s u n . r e f l e c t ) i n v o k e : 5 9 7 ,   M e t h o d   ( j a v a . l a n g . r e f l e c t ) i n v o k e R e a d R e s o l v e : 1 0 6 1 ,   O b j e c t S t r e a m C l a s s   ( j a v a . i o ) r e a d O r d i n a r y O b j e c t : 1 7 6 1 ,   O b j e c t I n p u t S t r e a m   ( j a v a . i o ) r e a d O b j e c t 0 : 1 3 2 8 ,   O b j e c t I n p u t S t r e a m   ( j a v a . i o ) r e a d O b j e c t : 3 5 0 ,   O b j e c t I n p u t S t r e a m   ( j a v a . i o ) r e a d O b j e c t : 6 9 ,   I n b o u n d M s g A b b r e v   ( w e b l o g i c . r j v m ) r e a d : 4 1 ,   I n b o u n d M s g A b b r e v   ( w e b l o g i c . r j v m ) r e a d M s g A b b r e v s : 2 8 3 ,   M s g A b b r e v J V M C o n n e c t i o n   ( w e b l o g i c . r j v m ) i n i t : 2 1 5 ,   M s g A b b r e v I n p u t S t r e a m   ( w e b l o g i c . r j v m ) d i s p a t c h : 4 9 8 ,   M s g A b b r e v J V M C o n n e c t i o n   ( w e b l o g i c . r j v m ) d i s p a t c h : 3 3 0 ,   M u x a b l e S o c k e t T 3   ( w e b l o g i c . r j v m . t 3 ) d i s p a t c h : 3 9 4 ,   B a s e A b s t r a c t M u x a b l e S o c k e t   ( w e b l o g i c . s o c k e t ) r e a d R e a d y S o c k e t O n c e : 9 6 0 ,   S o c k e t M u x e r   ( w e b l o g i c . s o c k e t ) r e a d R e a d y S o c k e t : 8 9 7 ,   S o c k e t M u x e r   ( w e b l o g i c . s o c k e t ) p r o c e s s S o c k e t s : 1 3 0 ,   P o s i x S o c k e t M u x e r   ( w e b l o g i c . s o c k e t )
用 的 c o m m o n - c o l l e c t i o n 1 ， M a r s h a l l e d O b j e c t   在   ( w e b l o g i c . c o r b a . u t i l s )   中   分 析 同 样 是 绕 过 黑 名 单 ， 将 反 序 列 化 的 对 象 封 装 进 了 w e b l o g i c . c o r b a . u t i l s . M a r s h a l l e d O b j e c t ， 然 后 再 对 M a r s h a l l e d O b j e c t 进 行 序 列 化 ， 生 成 p a y l o a d 字 节 码 。 由 于 M a r s h a l l e d O b j e c t 不 在 W e b L o g i c 黑 名 单 里 ， 可 正 常 反 序 列 化 ， 在 反 序 列 化 时 M a r s h a l l e d O b j e c t 对 象 调 用 r e a d O b j e c t 时 对 M a r s h a l l e d O b j e c t 封 装 的 序 列 化 对 象 再 次 反 序 列 化 ， 可 以 绕 过 黑 名 单 的 限 制 。 看 下 w e b l o g i c _ c m d 中 如 何 构 造 的 h a n d l e r 是 构 造 的 c c 对 象 ， 进 入 B y p a s s P a y l o a d S e l e c t o r . s e l e c t B y p a s s ( ) r u n : 2 9 ,   S o c k e t R e a d e r R e q u e s t   ( w e b l o g i c . s o c k e t ) e x e c u t e : 4 2 ,   S o c k e t R e a d e r R e q u e s t   ( w e b l o g i c . s o c k e t ) e x e c u t e : 1 4 5 ,   E x e c u t e T h r e a d   ( w e b l o g i c . k e r n e l ) r u n : 1 1 7 ,   E x e c u t e T h r e a d   ( w e b l o g i c . k e r n e l ) W E B - I N F l i b w e b l o g i c . j a r ! w e b l o g i c c o r b a u t i l s M a r s h a l l e d O b j e c t . c l a s s
根 据 T Y P E 决 定 使 用 什 么 来 构 造 p a y l o a d ， 跟 进 到 m a r s h a l l e d O b j e c t ( p a y l o a d ) 将 构 造 的 c c 对 象 封 装 进 M a r s h a l l e d O b j e c t 对 象 m a r s h a l l e d O b j e c t ， 然 后 r e t u r n ， 进 入 S e r i a l i z a b l e s . s e r i a l i z e ( _ h a n d l e r ) 拿 到 序 列 化 对 象 的 字 节 码 数 组 ， 然 后 通 过 t 3 协 议 发 送 出 去 ， 后 面 不 再 解 释 。 总 的 来 说 ， 就 是 将 c c 对 象 封 装 进 M a r s h a l l e d O b j e c t ， M a r s h a l l e d O b j e c t 不 在 黑 名 单 中 ， 那 么 执 行 他 的 r e a d O b j e c t ( ) 就 可 以 触 发 c c 链 。 再 来 看 下 w e b l o g i c 在 哪 触 发 的 r e a d O b j e c t ( ) ， 断 到 M a r s h a l l e d O b j e c t . c l a s s 的 4 8 行 。
这 里 的 r e a d O b j e c t ( ) 触 发 反 序 列 化 ， 怎 么 进 入 到 r e a d R e s o l v e ( ) 这 个 方 法 的 ？ 查 看 堆 栈 进 入 i n v o k e R e a d R e s o l v e ( ) 这 里 通 过 反 射 调 用 v a r 1 也 就 是 M a r s h a l l e d O b j e c t 对 象 的 r e a d R e s o l v e ( ) 方 法 。 v a r 1 中 包 含 了 我 们 恶 意 的 序 列 化 数 据 ， 它 怎 么 传 进 来 的 ？ 进 入 堆 栈 中 r e a d O r d i n a r y O b j e c t ( ) p r i v a t e   O b j e c t   r e a d O r d i n a r y O b j e c t ( b o o l e a n   v a r 1 )   t h r o w s   I O E x c e p t i o n   {         i f   ( t h i s . b i n . r e a d B y t e ( )   ! =   1 1 5 )   {                 t h r o w   n e w   I n t e r n a l E r r o r ( ) ;
        }   e l s e   {                 O b j e c t S t r e a m C l a s s   v a r 2   =   t h i s . r e a d C l a s s D e s c ( f a l s e ) ;                 v a r 2 . c h e c k D e s e r i a l i z e ( ) ;                 O b j e c t   v a r 3 ;                 t r y   {                         v a r 3   =   v a r 2 . i s I n s t a n t i a b l e ( )   ?   v a r 2 . n e w I n s t a n c e ( )   :   n u l l ;                 }   c a t c h   ( E x c e p t i o n   v a r 6 )   {                         t h r o w   ( I O E x c e p t i o n ) ( n e w   I n v a l i d C l a s s E x c e p t i o n ( v a r 2 . f o r C l a s s ( ) . g e t N a m e ( ) ,   " u n a b l e   t o   c r e a t e   i n s t a n c e " ) ) . i n i t C a u s e ( v a r 6 ) ;                 }                 t h i s . p a s s H a n d l e   =   t h i s . h a n d l e s . a s s i g n ( v a r 1   ?   u n s h a r e d M a r k e r   :   v a r 3 ) ;                 C l a s s N o t F o u n d E x c e p t i o n   v a r 4   =   v a r 2 . g e t R e s o l v e E x c e p t i o n ( ) ;                 i f   ( v a r 4   ! =   n u l l )   {                         t h i s . h a n d l e s . m a r k E x c e p t i o n ( t h i s . p a s s H a n d l e ,   v a r 4 ) ;                 }                 i f   ( v a r 2 . i s E x t e r n a l i z a b l e ( ) )   {                         t h i s . r e a d E x t e r n a l D a t a ( ( E x t e r n a l i z a b l e ) v a r 3 ,   v a r 2 ) ;                 }   e l s e   {                         t h i s . r e a d S e r i a l D a t a ( v a r 3 ,   v a r 2 ) ;                 }                 t h i s . h a n d l e s . f i n i s h ( t h i s . p a s s H a n d l e ) ;                 i f   ( v a r 3   ! =   n u l l   & &   t h i s . h a n d l e s . l o o k u p E x c e p t i o n ( t h i s . p a s s H a n d l e )   = =   n u l l   & &   v a r 2 . h a s R e a d R e s o l v e M e t h o d ( ) )   {                         O b j e c t   v a r 5   =   v a r 2 . i n v o k e R e a d R e s o l v e ( v a r 3 ) ;                         i f   ( v a r 1   & &   v a r 5 . g e t C l a s s ( ) . i s A r r a y ( ) )   {                                 v a r 5   =   c l o n e A r r a y ( v a r 5 ) ;                         }
                        i f   ( v a r 5   ! =   v a r 3 )   {                                 v a r 3   =   v a r 5 ;                                 t h i s . h a n d l e s . s e t O b j e c t ( t h i s . p a s s H a n d l e ,   v a r 5 ) ;                         }                 }                 r e t u r n   v a r 3 ;         } } 在 这 里 调 用 了 i n v o k e R e a d R e s o l v e ( ) ， 参 数 v a r 3 在 上 文 经 过 t h i s . r e a d C l a s s D e s c ( ) . n e w I n s t a n c e ( ) 拿 到 传 入 t 3 协 议 的 M a r s h a l l e d O b j e c t 对 象 ， 具 体 做 了 什 么 处 理 不 深 入 研 究 。 总 结 t 3 传 入 M a r s h a l l e d O b j e c t 对 象   - >   r e a d O r d i n a r y O b j e c t ( )   拿 到 M a r s h a l l e d O b j e c t 对 象   - >   i n v o k e R e a d R e s o l v e ( )   反 射 调 用 M a r s h a l l e d O b j e c t 对 象 的 r e a d R e s o l v e ( )   - >   r e a d O b j e c t ( ) 触 发 c c 反 序 列 化 。 参 考 1 .   j d k 最 好 用 1 . 6 的 ， 不 然 总 是 定 位 不 到 正 确 的 函 数 。 1 .   h t t p s : / / w w w . c n b l o g s . c o m / a f a n t i / p / 1 0 2 4 0 2 3 2 . h t m l 文 笔 垃 圾 ， 措 辞 轻 浮 ， 内 容 浅 显 ， 操 作 生 疏 。 不 足 之 处 欢 迎 大 师 傅 们 指 点 和 纠 正 ， 感 激 不 尽 。 文 笔 垃 圾 ， 措 辞 轻 浮 ， 内 容 浅 显 ， 操 作 生 疏 。 不 足 之 处 欢 迎 大 师 傅 们 指 点 和 纠 正 ， 感 激 不 尽 。 看 都 看 完 了 ， 不 点 个 关 注 吗 ？ 看 都 看 完 了 ， 不 点 个 关 注 吗 ？ ❤ ❤
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理