搜索

[12508] 2018-03-25_小白都能看懂的JSON反序列化远程命令执行

文档创建者：s7ckTeam
浏览次数：112
最后更新：2025-01-18
2018-03-25_小白都能看懂的JSON反序列化远程命令执行 小 白 都 能 看 懂 的 J S O N 反 序 列 化 远 程 命 令 执 行 原 创   T o p S c r e w   F r e e B u f   2 0 1 8 - 0 3 - 2 5 前 言 前 言 F a s t j s o n 是 一 个 由 阿 里 巴 巴 维 护 的 一 个 是 一 个 由 阿 里 巴 巴 维 护 的 一 个 j s o n 库 。 它 采 用 一 种 库 。 它 采 用 一 种 “ 假 定 有 序 快 速 匹 配 假 定 有 序 快 速 匹 配 ” 的 算 法 ， 是 号 称 的 算 法 ， 是 号 称 J a v a 中 最 快 的 中 最 快 的 j s o n 库 。 库 。 F a s t j s o n 接 口 简 单 易 用 ， 已 经 被 广 泛 使 用 在 缓 存 序 列 化 、 协 议 交 互 、 接 口 简 单 易 用 ， 已 经 被 广 泛 使 用 在 缓 存 序 列 化 、 协 议 交 互 、 W e b 输 出 、 输 出 、 A n d r o i d 客 户 端 等 多 种 客 户 端 等 多 种 应 用 场 景 。 今 天 我 们 就 以 最 详 细 的 姿 势 ， 一 步 步 分 析 一 下 应 用 场 景 。 今 天 我 们 就 以 最 详 细 的 姿 势 ， 一 步 步 分 析 一 下 F a s t J s o n 的 远 程 命 令 执 行 ！ 的 远 程 命 令 执 行 ！ 0 x 0 1 序 列 化 序 列 化 先 熟 悉 一 下 F a s t J s o n 的 用 法 ， 毕 竟 连 用 法 都 不 会 怎 么 分 析 漏 洞 。 下 面 用 在 最 简 单 的 示 例 快 速 入 门 一 下 F a s t J s o n 简 单 创 建 了 一 个 实 体 b e a n , 并 s e t 了 两 个 属 性 值 。 进 行 简 单 的 序 列 化 ， 看 看 序 列 化 后 是 不 是 变 成 了 我 们 想 要 的 东 西 。 至 于 W r i t e C l a s s N a m e 的 作 用 ， 序 列 化 时 写 入 类 型 信 息 ， 默 认 为 f a l s e 。 反 序 列 化 是 需 用 到 。 此 时 ， 已 经 非 常 完 美 的 序 列 化 成 了 我 们 常 见 的 j s o n 数 据 。 而 加 了 W r i t e C l a s s N a m e 属 性 的 序 列 化 ， 多 了 一 个 @ t y p e , 也 就 是 我 们 当 时 创 建 的 那 个 实 体 对 象 。 0 x 0 2 反 序 列 化 反 序 列 化 反 序 列 化 的 用 法 也 比 较 简 单 ， 也 就 是 将 t o J S O N S t r i n g 换 成 p a r s e O b j e c t 即 可 。 第 一 个 参 数 是 j s o n 字 符 串 ， 第 二 个 参 数 就 是 前 面 说 到 的 @ t y p e 实 体 对 象 。 成 功 的 将 字 符 反 序 列 化 位 了 实 体 对 象 。
0 x 0 3 静 态 分 析 静 态 分 析 分 析 漏 洞 最 好 的 方 式 就 是 看 看 他 到 底 做 了 什 么 防 御 ， 从 他 的 补 丁 入 手 。 从 更 新 的 补 丁 来 看 ， 官 方 增 加 了 一 个 c h e c k A u t o T y p e 方 法 ， 看 到 c h e c k 这 个 词 大 概 就 能 想 到 这 块 估 计 是 是 做 了 一 个 黑 名 单 。 跟 进 这 个 方 法 发 现 c h e c k A u t o T y p e 方 法 对 d e n y L i s t 列 表 进 行 了 遍 历 。 跟 进 c h e c k A u t o T y p e 看 一 看 。 首 先 他 会 先 判 断 e x p e c t C l a s s 是 否 为 空 如 果 为 空 的 化 ， 就 会 去 检 查 d e n y L i s t 这 个 列 表 。 看 名 字 就 知 道 是 一 个 黑 名 单 列 表 。 看 看 这 个 列 表 里 都 有 什 么 东 西 。 p u b l i c   C l a s s < ? >   c h e c k A u t o T y p e ( S t r i n g t y p e N a m e ,   C l a s s < ? >   e x p e c t C l a s s )   {               i f   ( t y p e N a m e   = =   n u l l )   {                       r e t u r n   n u l l ;               }                 f i n a l   S t r i n g   c l a s s N a m e   =   t y p e N a m e . r e p l a c e ( ' $ ' ,   ' . ' ) ;                 i f   ( a u t o T y p e S u p p o r t   | |   e x p e c t C l a s s   ! =   n u l l )   {                       f o r   ( i n t   i   =   0 ;   i   <   a c c e p t L i s t . l e n g t h ;   + + i )   {                                 S t r i n g   a c c e p t   =   a c c e p t L i s t [ i ] ;                                 i f   ( c l a s s N a m e . s t a r t s W i t h ( a c c e p t ) ) {                                         r e t u r n T y p e U t i l s . l o a d C l a s s ( t y p e N a m e ,   d e f a u l t C l a s s L o a d e r ) ;                                 }                       }                         f o r   ( i n t   i   =   0 ;   i   <   d e n y L i s t . l e n g t h ;   + + i )   {                                 S t r i n g   d e n y   =   d e n y L i s t [ i ] ;                                 i f   ( c l a s s N a m e . s t a r t s W i t h ( d e n y ) ) {                                         t h r o w   n e w J S O N E x c e p t i o n ( " a u t o T y p e   i s   n o t   s u p p o r t .   "   +   t y p e N a m e ) ;                                 }                       }               }                 C l a s s < ? >   c l a z z   =   T y p e U t i l s . g e t C l a s s F r o m M a p p i n g ( t y p e N a m e ) ;               i f   ( c l a z z   = =   n u l l )   {                       c l a z z   =   d e s e r i a l i z e r s . f i n d C l a s s ( t y p e N a m e ) ;               }                 i f   ( c l a z z   ! =   n u l l )   {                       i f   ( e x p e c t C l a s s   ! =   n u l l   & &   ! e x p e c t C l a s s . i s A s s i g n a b l e F r o m ( c l a z z ) ) {                                 t h r o w   n e w J S O N E x c e p t i o n ( " t y p e   n o t   m a t c h .   "   +   t y p e N a m e   +   "   - >   "   + e x p e c t C l a s s . g e t N a m e ( ) ) ;                       }                         r e t u r n   c l a z z ;               }                 i f   ( ! a u t o T y p e S u p p o r t )   {                       f o r   ( i n t   i   =   0 ;   i   <   d e n y L i s t . l e n g t h ;   + + i )   {                               S t r i n g   d e n y   =   d e n y L i s t [ i ] ;                                 i f   ( c l a s s N a m e . s t a r t s W i t h ( d e n y ) ) {                                         t h r o w   n e w J S O N E x c e p t i o n ( " a u t o T y p e   i s   n o t   s u p p o r t .   "   +   t y p e N a m e ) ;                                 }                       }                       f o r   ( i n t   i   =   0 ;   i   <   a c c e p t L i s t . l e n g t h ;   + + i )   {                                 S t r i n g   a c c e p t   =   a c c e p t L i s t [ i ] ;                                 i f ( c l a s s N a m e . s t a r t s W i t h ( a c c e p t ) )   {                                         c l a z z   = T y p e U t i l s . l o a d C l a s s ( t y p e N a m e ,   d e f a u l t C l a s s L o a d e r ) ;                                           i f   ( e x p e c t C l a s s   ! =   n u l l & &   e x p e c t C l a s s . i s A s s i g n a b l e F r o m ( c l a z z ) )   {                                                 t h r o w   n e w J S O N E x c e p t i o n ( " t y p e   n o t   m a t c h .   "   +   t y p e N a m e   +   "   - >   "   + e x p e c t C l a s s . g e t N a m e ( ) ) ;                                         }                                         r e t u r n   c l a z z ;                                 }                       }               }                 i f   ( a u t o T y p e S u p p o r t   | |   e x p e c t C l a s s   ! =   n u l l )   {                       c l a z z   =   T y p e U t i l s . l o a d C l a s s ( t y p e N a m e ,   d e f a u l t C l a s s L o a d e r ) ;               }                 i f   ( c l a z z   ! =   n u l l )   {                         i f   ( C l a s s L o a d e r . c l a s s . i s A s s i g n a b l e F r o m ( c l a z z )   / /   c l a s s l o a d e r   i s   d a n g e r                                         | | D a t a S o u r c e . c l a s s . i s A s s i g n a b l e F r o m ( c l a z z )   / /   d a t a S o u r c e   c a n   l o a d   j d b c   d r i v e r                                         )   {                                 t h r o w   n e w J S O N E x c e p t i o n ( " a u t o T y p e   i s   n o t   s u p p o r t .   "   +   t y p e N a m e ) ;                       }                         i f   ( e x p e c t C l a s s   ! =   n u l l )   {                                 i f ( e x p e c t C l a s s . i s A s s i g n a b l e F r o m ( c l a z z ) )   {                                         r e t u r n   c l a z z ;                                 }   e l s e   {                                         t h r o w   n e w J S O N E x c e p t i o n ( " t y p e   n o t   m a t c h .   "   +   t y p e N a m e   +   "   - >   "   + e x p e c t C l a s s . g e t N a m e ( ) ) ;                                 }                       }               }                 i f   ( ! a u t o T y p e S u p p o r t )   {                       t h r o w   n e w   J S O N E x c e p t i o n ( " a u t o T y p e   i s   n o t   s u p p o r t .   "   + t y p e N a m e ) ;               }                 r e t u r n   c l a z z ;         } }
当 我 们 引 入 的 库 是 以 列 表 中 任 何 一 个 字 段 开 头 时 就 报 t h r o w   n e w J S O N E x c e p t i o n ( “ a u t o T y p e   i s   n o t   s u p p o r t .   “   + t y p e N a m e ) ; 的 异 常 。 再 看 看 网 上 的 p o c 引 入 的 库 c o m . s u n . o r g . a p a c h e . x a l a n . i n t e r n a l . x s l t c . t r a x . T e m p l a t e s I m p l 。 看 来 当 循 环 到 c o m . s u n 时 就 抛 出 了 异 常 。 阻 止 了 对 恶 意 对 象 反 序 列 化 的 执 行 。 当 然 这 是 知 道 了 网 上 流 传 的 p o c ， 利 用 前 辈 们 的 p o c 分 析 起 来 就 轻 松 多 了 。 0 x 0 5 构 造 构 造 p o c 当 然 引 入 p o c 以 前 ， 再 熟 悉 j s o n 和 j a v a 的 应 用 。 依 旧 是 新 建 一 个 实 体 b e a n ， 但 是 现 在 要 注 意 两 个 地 方 ， 一 个 是 我 设 置 了 两 个 属 性 。 二 是 我 往 无 参 构 造 器 里 写 入 了 一 条 弹 计 算 器 的 命 令 。 接 下 来 我 们 看 看 会 发 生 什 么 。
神 奇 的 地 方 发 生 了 ， 当 j s o n 反 序 列 化 时 会 自 动 调 用 无 参 构 造 器 里 的 方 法 ， 导 致 计 算 器 弹 出 。 但 是 还 有 一 点 大 家 有 没 有 注 意 到 ， 我 上 面 的 j s o n 字 符 串 明 明 有 p a s s w o r d = 1 2 3 4 5 6 为 什 么 没 有 反 序 列 化 出 来 。 答 案 是 因 为 我 的 P a s s W o r d 字 段 设 置 的 是 私 有 属 性 ， 所 以 F a s t J s o n 无 权 直 接 去 反 序 列 化 私 有 字 段 。 只 是 我 们 构 造 p o c 的 一 点 j a v a 基 础 知 识 。 这 已 经 能 执 行 系 统 命 令 了 ， 是 不 是 把 我 们 的 实 体 b e a n 直 接 传 给 服 务 器 ， 服 务 器 就 可 以 让 我 们 为 所 欲 为 了 呢 ？ 当 然 不 是 的 ， 因 为 这 个 只 是 我 们 自 己 构 造 的 实 体 b e a n ， 只 有 在 自 己 环 境 才 能 认 识 ， 除 非 将 实 体 b e a n 直 接 上 传 到 服 务 器 。 那 就 有 点 扯 淡 了 … … … 言 归 正 传 ， 现 在 的 第 一 步 就 是 学 习 j a v a 反 序 列 化 的 思 想 ， 想 尽 办 法 在 j d k 和 f a s t j s o n 中 ， 服 务 器 肯 定 存 在 的 代 码 中 找 我 们 想 要 的 东 西 。 这 时 就 该 引 出 前 辈 们 的 p o c 中 的 c o m . s u n . o r g . a p a c h e . x a l a n . i n t e r n a l . x s l t c . t r a x . T e m p l a t e s I m p l 类 , 那 就 跟 进 去 看 一 看 g e t T r a n s l e t I n s t a n c e 方 法 生 成 一 个 t r a n s l e t 类 的 实 例 _ b y t e c o d e s 字 节 数 组 又 是 t r a n s l e t 类 的 实 际 类 定 义 。 这 样 我 们 是 不 是 就 以 其 他 的 方 式 代 替 了 将 恶 意 类 上 传 到 服 务 器 这 个 不 可 取 的 方 法 了 呢 。 首 先 _ b y t e c o d e s 会 传 入 g e t T r a n s l e t I n s t a n c e 方 法 中 的 d e f i n e T r a n s l e t C l a s s e s 方 法 ， d e f i n e T r a n s l e t C l a s s e s 方 法 会 根 据 _ b y t e c o d e s 字 节 数 组 n e w 一 个 _ c l a s s ， _ b y t e c o d e s 加 载 到 _ c l a s s 中 ， 最 后 根 据 _ c l a s s , 用 n e w I n s t a n c e 生 成 一 个 j a v a 实 例 。 p r i v a t e   v o i d   d e f i n e T r a n s l e t C l a s s e s ( )               t h r o w s   T r a n s f o r m e r C o n f i g u r a t i o n E x c e p t i o n   {                 i f   ( _ b y t e c o d e s   = =   n u l l )   {                       E r r o r M s g   e r r   =   n e w   E r r o r M s g ( E r r o r M s g . N O _ T R A N S L E T _ C L A S S _ E R R ) ;                       t h r o w   n e w   T r a n s f o r m e r C o n f i g u r a t i o n E x c e p t i o n ( e r r . t o S t r i n g ( ) ) ;               }                 T r a n s l e t C l a s s L o a d e r   l o a d e r   =   ( T r a n s l e t C l a s s L o a d e r )                       A c c e s s C o n t r o l l e r . d o P r i v i l e g e d ( n e w   P r i v i l e g e d A c t i o n ( )   {                                 p u b l i c   O b j e c t   r u n ( )   {                                         r e t u r n   n e w T r a n s l e t C l a s s L o a d e r ( O b j e c t F a c t o r y . f i n d C l a s s L o a d e r ( ) , _ t f a c t o r y . g e t E x t e r n a l E x t e n s i o n s M a p ( ) ) ;                                 }                       } ) ;               t r y   {                       f i n a l   i n t   c l a s s C o u n t   =   _ b y t e c o d e s . l e n g t h ;                       _ c l a s s   =   n e w   C l a s s [ c l a s s C o u n t ] ;                         i f   ( c l a s s C o u n t   >   1 )   {                                 _ a u x C l a s s e s   =   n e w   H a s h t a b l e ( ) ;                       }                       f o r   ( i n t   i   =   0 ;   i   <   c l a s s C o u n t ;   i + + )   {                                 _ c l a s s [ i ]   = l o a d e r . d e f i n e C l a s s ( _ b y t e c o d e s [ i ] ) ;                                 f i n a l   C l a s s   s u p e r C l a s s   = _ c l a s s [ i ] . g e t S u p e r c l a s s ( ) ;                                   / /   C h e c k   i f   t h i s   i s   t h e   m a i n c l a s s                                 i f ( s u p e r C l a s s . g e t N a m e ( ) . e q u a l s ( A B S T R A C T _ T R A N S L E T ) )   {                                         _ t r a n s l e t I n d e x   =   i ;                                 }                                 e l s e   {                                       _ a u x C l a s s e s . p u t ( _ c l a s s [ i ] . g e t N a m e ( ) ,   _ c l a s s [ i ] ) ;                                 }                       }                         i f   ( _ t r a n s l e t I n d e x   <   0 )   {                                 E r r o r M s g   e r r =   n e w E r r o r M s g ( E r r o r M s g . N O _ M A I N _ T R A N S L E T _ E R R ,   _ n a m e ) ;                                 t h r o w   n e w T r a n s f o r m e r C o n f i g u r a t i o n E x c e p t i o n ( e r r . t o S t r i n g ( ) ) ;                       }               }               c a t c h   ( C l a s s F o r m a t E r r o r   e )   {                       E r r o r M s g   e r r   =   n e w   E r r o r M s g ( E r r o r M s g . T R A N S L E T _ C L A S S _ E R R ,   _ n a m e ) ;                       t h r o w   n e w   T r a n s f o r m e r C o n f i g u r a t i o n E x c e p t i o n ( e r r . t o S t r i n g ( ) ) ;               }               c a t c h   ( L i n k a g e E r r o r   e )   {                       E r r o r M s g   e r r   =   n e w   E r r o r M s g ( E r r o r M s g . T R A N S L E T _ O B J E C T _ E R R ,   _ n a m e ) ;                       t h r o w   n e w   T r a n s f o r m e r C o n f i g u r a t i o n E x c e p t i o n ( e r r . t o S t r i n g ( ) ) ;               }         }
此 时 可 以 看 到 已 经 成 功 生 成 了 我 们 的 恶 意 代 码 c o m . s c r e w . t e s t . D e m o . 但 是 还 要 注 意 另 一 个 标 注 点 。 强 制 类 型 转 化 为 A b s t r a c t T r a n s l e t 类 ， 这 是 就 知 道 为 什 么 构 造 的 恶 意 代 码 一 定 要 继 承 A b s t r a c t T r a n s l e t 类 了 。 0 x 0 4 障 碍 解 决 障 碍 解 决 现 在 还 有 一 个 问 题 ， 怎 么 去 触 发 g e t T r a n s l e t I n s t a n c e 接 下 来 会 将 大 家 带 入 一 个 好 玩 的 调 用 链 。 感 觉 这 个 巧 妙 程 度 和 当 时 的 j a v a 反 序 列 化 有 得 一 拼 。 在 n e w T r a n s f o r m e r 中 触 发 了 g e t T r a n s l e t I n s t a n c e 方 法 ， 那 问 题 又 来 了 怎 么 触 发 n e w T r a n s f o r m e r ? g e t O u t p u t P r o p e r t i e s ( ) 方 法 出 场 了 ， 在 r e t u r n 处 调 用 了 n e w T r a n s f o r m e r 方 法 。 继 续 寻 找 g e t O u t p u t P r o p e r t i e s 方 法 。 很 快 找 到 了 这 个 o u t p u t P r o p e r t i e s 属 性 ， 只 要 调 用 他 的 g e t 方 法 是 不 是 就 出 发 了 g e t O u t p u t P r o p e r t i e s 方 法 了 呢 ？ 但 是 非
常 遗 憾 的 是 _ o u t p u t P r o p e r t i e 属 性 前 面 有 一 个 下 划 线 ， 调 用 g e t 方 法 是 触 发 的 是 g e t   O u t p u t P r o p e r t i e s 方 法 ， 而 且 这 个 属 性 还 是 一 个 私 有 属 性 ， 不 知 道 大 家 还 记 不 记 得 我 前 面 的 实 验 ， F a s t J s o n 不 能 直 接 使 用 实 体 b e a n 中 的 私 有 方 法 ， 没 有 达 到 我 们 的 目 标 怎 么 办 ？ J a v a B e a n D e s e r i a l i z e r 中 的 s m a r t M a t c h 方 法 会 将 传 入 的 k e y 的 _ 替 换 为 空 。 这 张 是 动 态 调 试 的 结 果 ， 很 明 显 k e y 2 已 经 从 _ O u t p u t P r o p e r t i e s 变 成 了 O u t p u t P r o p e r t i e s 。 至 此 所 有 的 阻 碍 已 经 去 除 。 0 x 0 5 调 用 链 调 用 链
0 x 0 6 最 终 最 终 P O C 恶 意 类 p o c 这 块 放 出 了 完 整 的 p o c 和 恶 意 类 可 以 结 合 调 用 链 再 回 顾 一 下 整 个 的 反 序 列 化 过 程 ！ 总 结 ： 总 结 ： F a s t J s o n 虽 然 被 广 泛 利 用 但 是 不 知 道 大 家 有 没 有 看 到 , F e a t u r e . S u p p o r t N o n P u b l i c F i e l d 这 个 属 性 就 是 最 后 一 个 坑 。 他 是 在 1 . 2 . 2 2 版 本 才 引 入 的 ， 在 1 . 2 . 2 5 版 本 就 被 修 复 了 。 导 致 这 个 漏 洞 特 别 的 稀 少 。 虽 然 漏 洞 没 有 什 么 太 大 的 利 用 价 值 ， 但 是 最 重 要 的 是 我 们 学 到 了 大 佬 的 挖 洞 思 路 ， 我 想 这 才 是 最 有 价 值 的 东 西 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： T o p S c r e w ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理