搜索

[12701] 2018-05-14_CVE-2018-2628补丁绕过分析与修复建议

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-05-14_CVE-2018-2628补丁绕过分析与修复建议 C V E - 2 0 1 8 - 2 6 2 8 补 丁 绕 过 分 析 与 修 复 建 议 s u n y z 2   F r e e B u f   2 0 1 8 - 0 5 - 1 4 一 、 漏 洞 背 景 一 、 漏 洞 背 景 O r a c l e 官 方 在 北 京 时 间 官 方 在 北 京 时 间 2 0 1 8 年 年 4 月 月 1 8 日 凌 晨 发 布 了 关 键 补 丁 更 新 ， 其 中 包 含 了 日 凌 晨 发 布 了 关 键 补 丁 更 新 ， 其 中 包 含 了 O r a c l e W e b L o g i c   S e r v e r 的 一 个 高 的 一 个 高 危 反 序 列 化 漏 洞 （ 危 反 序 列 化 漏 洞 （ C V E - 2 0 1 8 - 2 6 2 8 ） ， 通 过 该 漏 洞 ， 攻 击 者 可 以 在 未 授 权 的 情 况 下 远 程 执 行 代 码 。 ） ， 通 过 该 漏 洞 ， 攻 击 者 可 以 在 未 授 权 的 情 况 下 远 程 执 行 代 码 。 C V E - 2 0 1 8 - 2 6 2 8 为 C V E - 2 0 1 7 - 3 2 4 8 修 复 版 本 的 绕 过 ， 远 程 攻 击 者 可 利 用 该 漏 洞 在 未 授 权 的 情 况 下 发 送 攻 击 数 据 ， 通 过 T 3 协 议 在 W e b l o g i c   S e r v e r 中 执 行 反 序 列 化 操 作 ， 利 用 R M I （ 远 程 方 法 调 用 ）   机 制 的 缺 陷 ， 通 过   J R M P   协 议 达 到 执 行 任 意 反 序 列 化   p a y l o a d   的 目 的 。 C V E - 2 0 1 8 - 2 6 2 8 原 理 为 在 C V E - 2 0 1 7 - 3 2 4 8 补 丁 中 I n b o u n d M s g A b b r e v 的 r e s o l v e P r o x y C l a s s 处 理 r m i 接 口 类 型 ， 只 判 断 了 j a v a . r m i . r e g i s t r y . R e g i s t r y ， 找 一 个 其 他 的 r m i 接 口 即 可 绕 过 ， 比 如 j a v a . r m i . a c t i v a t i o n . A c t i v a t o r 。 二 、 补 丁 分 析 二 、 补 丁 分 析 针 对 O r a c l e 发 布 的 最 新 补 丁 进 行 测 试 ， 测 试 版 本 ： w e b l o g i c 1 0 . 3 . 6 . 0 ， 反 序 列 化 工 具 为 y s o s e r i a l 。 更 新 W e b l o g i c   1 0 . 3 . 6 . 0 至 最 新 补 丁 版 本 （ B U G 2 7 3 9 5 0 8 5 _ 1 0 3 6 0 1 8 0 4 1 7 ） ： 使 用 大 神 [ 2 ] 的 测 试 脚 本 ， 利 用 y s o s e r i a l 工 具 生 成 反 序 列 化 p a y l o a d ， 成 功 执 行 命 令 ， 补 丁 仍 可 绕 过 。
测 试 环 境 使 用 的 j d k 为 1 . 6 . 0 . 4 5 ， 经 测 试 ， 更 新 最 新 补 丁 后 ， y s o s e r i a l 的 p a y l o a d 仅 J d k 7 u 2 1 才 能 成 功 执 行 命 令 ， C o m m o n s C o l l e c t i o n s 已 无 法 执 行 代 码 。 分 析 B U G 2 7 3 9 5 0 8 5 _ 1 0 3 6 0 1 8 0 4 1 7 补 丁 代 码 ， 其 w e b l o g i c . u t i l s . i o . o i f . e b L o g i c F i l t e r C o n f i g 类 中 定 义 了 R M I 远 程 反 序 列 化 的 黑 名 单 ， 其 中 ” s u n . r m i . s e r v e r . U n i c a s t R e f ” 为 该 补 丁 新 增 的 黑 名 单 类 。 黑 名 单 被 I n b o u n d M s g A b b r e v . c l a s s 中 r e s o l v e C l a s s 的 c h e c k L e g a c y B l a c k l i s t I f N e e d e d 方 法 调 用 ， 其 对 于 反 序 列 化 传 入 的
类 名 是 否 在 黑 名 单 内 进 行 判 断 ， 如 在 黑 名 单 类 则 抛 出 异 常 。 因 此 ， 该 补 丁 尝 试 过 滤 反 序 列 化 类 名 s u n . r m i . s e r v e r . U n i c a s t R e f 进 行 修 复 。 启 用 W e b l o g i c 调 试 模 式 [ 6 ] ， 利 用 上 述 p a y l o a d 进 行 攻 击 ， 设 置 断 点 跟 踪 调 试 ， 可 以 发 现 传 入 的 反 序 列 化 类 名 ， 依 次 为 j a v a . l a n g . O b j e c t - > j a v a . u t i l . V e c t o r - > j a v a . l a n g . r e f l e c t . P r o x y - > j a v a . r m i . s e r v e r . R e m o t e O b j e c t I n v o c a t i o n H a n d l e r - > j a v a . r m i . s e r v e r . R e m o t e O b j e c t ， 这 也 是 该 p a y l o a d 的 反 射 链 [ 7 ] 。 p a y l o a d 使 用   y s o s e r i a l 序 列 化 一 个 R e m o t e O b j e c t I n v o c a t i o n H a n d l e r ， R e m o t e O b j e c t I n v o c a t i o n H a n d l e r 使 用 U n i c a s t R e f 建 立 到 远 端 的   T C P   连 接 获 取 R M I r e g i s t r y 。 而 新 增 的 黑 名 单 s u n . r m i . s e r v e r . U n i c a s t R e f 虽 然 在 p a y l o a d 中 使 用 ， 但 并 未 包 含 在 反 射 链 中 。 因 此 ， 补 丁 所 希 望 起 到 的 R M I 远 程 反 序 列 化 修 复 效 果 并 未 生 效 ， 该 漏 洞 仍 可 绕 过 。
而 使 用 y s o s e r i a l 的 C o m m o n s C o l l e c t i o n s 生 成 的 p a y l o a d 测 试 已 无 法 成 功 执 行 命 令 ， 原 因 应 为 补 丁 中 w e b l o g i c . r m i . C l a s s F i l t e r 对 C o m m o n s C o l l e c t i o n s 反 序 列 化 所 用 到 的 I n v o k e r T r a n s f o r m e r 等 类 设 置 了 黑 名 单 o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . f u n c t o r s ： 因 此 ， 更 新 补 丁 后 ， 对 于 j d k < = 1 . 7 . 0 . 2 1 环 境 ， 仍 能 使 用 该 漏 洞 进 行 反 序 列 化 攻 击 。
三 、 修 复 建 议 三 、 修 复 建 议 1 .   此 漏 洞 产 生 于 W e b l o g i c   T 3 服 务 ， 当 开 放 W e b l o g i c 控 制 台 端 口 （ 默 认 为 7 0 0 1 端 口 ） 时 ， T 3 服 务 会 默 认 开 启 。 关 闭 T 3 服 务 ， 或 控 制 T 3 服 务 的 访 问 权 限 ， 能 防 护 该 漏 洞 。 对 于 不 在 O r a c l e 官 方 支 持 范 围 内 的 版 本 ， 由 于 没 有 最 新 补 丁 ， 推 荐 采 用 此 种 方 式 进 行 修 复 。 同 时 ， W e b l o g i c 采 用 黑 名 单 的 方 式 进 行 反 序 列 化 漏 洞 的 修 复 ， 存 在 被 绕 过 的 风 险 ， 因 此 控 制 T 3 服 务 为 防 护 W e b l o g i c   R M I 这 类 反 序 列 化 漏 洞 的 有 效 方 式 。 控 制 T 3 服 务 方 式 ： a ） 进 入 W e b l o g i c 控 制 台 ， 在 b a s e _ d o m a i n 的 配 置 页 面 中 ， 进 入 “ 安 全 ” 选 项 卡 页 面 ， 点 击 “ 筛 选 器 ” ， 进 入 连 接 筛 选 器 配 置 。 b ） 在 连 接 筛 选 器 中 输 入 ： w e b l o g i c . s e c u r i t y . n e t . C o n n e c t i o n F i l t e r I m p l ， 在 连 接 筛 选 器 规 则 中 输 入 ： 1 2 7 . 0 . 0 . 1   a l l o w   t 3   t 3 s ， 0 . 0 . 0 . 0 / 0   d e n y   t 3   t 3 s ( t 3 和 t 3 s 协 议 的 所 有 端 口 只 允 许 本 地 访 问 ) 。 c ） 保 存 后 需 重 新 启 动 ， 规 则 方 可 生 效 。 2 .   更 新 O r a c l e 官 方 发 布 的 最 新 补 丁 ， 同 时 升 级 j d k 至 1 . 7 . 0 . 2 1 以 上 版 本 。 3 .   如 以 上 两 种 策 略 都 无 法 采 用 ， 则 可 以 考 虑 用 更 改 代 码 的 方 式 。 以 1 0 . 3 . 6 . 0 为 例 ， 在 w e b l o g i c . u t i l s . i o . o i f . W e b L o g i c F i l t e r C o n f i g 的 黑 名 单 D E F A U L T _ B L A C K L I S T _ C L A S S 中 添 加 ” j a v a . r m i . s e r v e r . R e m o t e O b j e c t I n v o c a t i o n H a n d l e r ” ， 编 译 并 更 新 s w l c l i e n t . j a r 、 w l t h i n t 3 c l i e n t . j a r 这 两 个 用 到 该 类 的 包 [ 4 ] 。 补 ： 参 考 链 接 补 ： 参 考 链 接 [ 1 ]   h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 1 6 9 7 7 0 . h t m l [ 2 ]   h t t p s : / / g i t h u b . c o m / b r i a n w r f / C V E - 2 0 1 8 - 2 6 2 8 [ 3 ]   h t t p s : / / g i t h u b . c o m / f r o h o f f / y s o s e r i a l [ 4 ]   h t t p s : / / b l o g . c s d n . n e t / c z l 8 8 9 7 0 9 8 / a r t i c l e / d e t a i l s / 5 1 9 3 3 4 8 0 [ 5 ]   h t t p : / / b l o g . t o p s e c . c o m . c n / a d _ l a b / c v e - 2 0 1 8 - 2 6 2 8 - w e b l o g i c % E 5 % 8 F % 8 D % E 5 % B A % 8 F % E 5 % 8 8 % 9 7 % E 5 % 8 C % 9 6 % E 6 % B C % 8 F % E 6 % B 4 % 9 E % E 5 % 8 8 % 8 6 % E 6 % 9 E % 9 0 / [ 6 ]   h t t p s : / / w w w . c n b l o g s . c o m / x i a y u s c c / p / 5 3 6 3 8 4 0 . h t m l [ 7 ]   h t t p : / / w w w . f r e e b u f . c o m / n e w s / 1 5 0 8 7 2 . h t m l *   本 文 作 者 ： 本 文 作 者 ： s u n y z 2 ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理