搜索

[1171] 2021-02-01_WebLogicCVE-2020-14756T3IIOP反序列化RCE

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-16
2021-02-01_WebLogicCVE-2020-14756T3IIOP反序列化RCE W e b L o g i c   C V E - 2 0 2 0 - 1 4 7 5 6   T 3 / I I O P   反 序 列 化 R C E 原 创   Y 4 e r   C h a B u g   2 0 2 1 - 0 2 - 0 1 复 现 复 现 分 析 分 析 在 c o h e r e n c e 包 中     存 在 反 序 列 化 接 口 其 借 助 实 现 序 列 化 反 序 列 化 逻 辑 c o m . t a n g o s o l . i o . E x t e r n a l i z a b l e L i t e c o m . t a n g o s o l . i o . E x t e r n a l i z a b l e L i t e
在 E x t e r n a l i z a b l e L i t e 中 有 r e a d O b j c e t ( ) r e a d O b j e c t I n t e r n a l ( ) 会 根 据 n T y p e 进 入 不 同 的 反 序 列 化 函 数
其 中 n T y p e 在 w r i t e O b j e c t 中 由 g e t S t r e a m F o r m a t ( ) 决 定 。
代 码 如 下 1 0 对 应 的 是 实 现 了 E x t e r n a l i z a b l e L i t e 接 口 的 类 。 继 续 跟 进 r e a d E x t e r n a l i z a b l e L i t e ( ) ， 其 使 用 l o a d C l a s s 进 行 加 载 类 ， 不 受 w e b l o g i c 黑 名 单 限 制 。 p u b l i c   s t a t i c   i n t   g e t S t r e a m F o r m a t ( O b j e c t   o )   {         r e t u r n   o   = =   n u l l   ?   0   :   ( o   i n s t a n c e o f   S t r i n g   ?   6   :   ( o   i n s t a n c e o f   N u m b e r   ?   ( o   i n s t a n c e o f   I n t e g e r   ?   1   :   ( o   i n s t a n c e o f   L o n g   ?   2   :   ( o   i n s t a n c e o f   D o u b l e   ?   3   :   ( o   i n s t a n c e o f   B i g I n t e g e r   ?   }
那 么 现 在 就 可 以 调 用 黑 名 单 类 中 的   r e a d E x t e r n a l   方 法 ， 作 者 使 用 的 是 之 前 漏 洞 中 使 用 过 的 ， 它 实 现 了 E x t e r n a l i z a b l e L i t e 接 口 。 在 其 M v e l E x t r a c t o r 的 r e a d E x t e r n a l ( ) 中 进 行 了 m _ s E x p r 表 达 式 赋 值 ， 而 m _ s E x p r 是 可 控 的 。 那 么 只 需 要 触 发 e x t r a c t 方 法 就 行 了 。 现 在 就 在 于 如 何 触 发 e x t r a c t 方 法 。 找 到 类 ， 在 他 的 r e a d E x t e r n a l ( ) 中 c o m . t a n g o s o l . c o h e r e n c e . r e s t . u t i l . e x t r a c t o r . M v e l E x t r a c t o r c o m . t a n g o s o l . u t i l . a g g r e g a t o r . T o p N A g g r e g a t o r . P a r t i a l R e s u l t
会 自 动 触 发 这 里 返 回 一 个 m a p ， 而 其 中 的 c o m p a r a t o r 可 控 为 我 们 的 M v e l E x t r a c t o r 。 回 头 再 看 上 图 f o r 循 环 中 的 a d d ( ) 方 法 t h i s . i n s t a n t i a t e I n t e r n a l M a p ( t h i s . m _ c o m p a r a t o r ) t h i s . a d d ( E x t e r n a l i z a b l e H e l p e r . r e a d O b j e c t ( i n ) )
跟 进   s u p e r . a d d ( v a l u e )   从 自 身 拿 到 一 个 m a p 然 后 进 行 m a p . p u t ， 跟 进 c o m . t a n g o s o l . u t i l . S o r t e d B a g # a d d j a v a . u t i l . T r e e M a p # p u t
然 后 这 里 进 入 到 M v e l E x t r a c t o r 父 类 的 方 法 ， 调 用 了 e x t r a c t 方 法 。 然 后 就 成 了 ， 但 是 还 有 个 问 题 ， 类 并 没 有 实 现 E x t e r n a l i z a b l e L i t e 接 口 ， 因 此 r e a d E x t e r n a l 在 反 序 列 化 时 不 会 被 触 发 ， 所 以 需 要 寻 找 一 个 实 现 了 E x t e r n a l i z a b l e 接 口 的 类 ， 并 能 调 用 E x t e r n a l i z a b l e H e l p e r . r e a d O b j e c t 方 法 。 找 到 在 其 r e a d E x t e r n a l 调 用 了 E x t e r n a l i z a b l e H e l p e r . r e a d O b j e c t ， 可 以 触 发 P a r t i a l R e s u l t 的 r e a d E x t e r n a l 。 堆 栈 c o m . t a n g o s o l . u t i l . e x t r a c t o r . A b s t r a c t E x t r a c t o r # c o m p a r e c o m . t a n g o s o l . u t i l . a g g r e g a t o r . T o p N A g g r e g a t o r . P a r t i a l R e s u l t c o m . t a n g o s o l . c o h e r e n c e . s e r v l e t . A t t r i b u t e H o l d e r # r e a d E x t e r n a l ( j a v a . i o . D a t a I n p u t )
E X P 见 我 的 G i t H u b [ 1 ] 思 考 思 考 在 c o m . t a n g o s o l . u t i l . E x t e r n a l i z a b l e H e l p e r # r e a d O b j e c t I n t e r n a l 中 n T y p e 有 多 种 类 型 其 他 的 c a s e 应 该 也 有 漏 洞 吧 参 考 参 考 1 . h t t p s : / / m p . w e i x i n . q q . c o m / s / E - 4 w j b K D - i S i 0 C E M e g V m Z Q R e f e r e n c e s   见 我 的 G i t H u b :   h t t p s : / / g i t h u b . c o m / Y 4 e r / C V E - 2 0 2 0 - 1 4 7 5 6 分 享 、 点 赞 、 在 看 就 是 对 我 们 的 一 种 支 持 ！

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理