搜索

[14060] 2019-05-03_Weblogic漏洞反序列化（CVE-2019-2725）分析

文档创建者：s7ckTeam
浏览次数：52
最后更新：2025-01-18
2019-05-03_Weblogic漏洞反序列化（CVE-2019-2725）分析 W e b l o g i c 漏 洞 反 序 列 化 （ C V E - 2 0 1 9 - 2 7 2 5 ） 分 析 云 影 实 验 室   F r e e B u f   2 0 1 9 - 0 5 - 0 3 一 、 漏 洞 描 述 一 、 漏 洞 描 述 4 月 月 1 7 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 公 开 了 ） 公 开 了 W e b l o g i c 反 序 列 化 远 程 代 码 执 行 漏 洞 （ 反 序 列 化 远 程 代 码 执 行 漏 洞 （ C N V D - C - 2 0 1 9 - 4 8 8 1 4 ） 。 由 于 在 反 序 列 化 处 理 输 入 信 息 的 过 程 中 存 在 缺 陷 ， 未 经 授 权 的 ） 。 由 于 在 反 序 列 化 处 理 输 入 信 息 的 过 程 中 存 在 缺 陷 ， 未 经 授 权 的 攻 击 者 可 以 发 送 精 心 构 造 的 恶 意 攻 击 者 可 以 发 送 精 心 构 造 的 恶 意   H T T P   请 求 ， 利 用 该 漏 洞 获 取 服 务 器 权 限 ， 实 现 远 程 代 码 执 行 。 目 前 ， 请 求 ， 利 用 该 漏 洞 获 取 服 务 器 权 限 ， 实 现 远 程 代 码 执 行 。 目 前 ， P O C 已 在 野 外 公 开 （ 见 参 考 链 接 ） 。 官 方 紧 急 补 丁 （ 已 在 野 外 公 开 （ 见 参 考 链 接 ） 。 官 方 紧 急 补 丁 （ C V E - 2 0 1 9 - 2 7 2 5 ） 已 于 ） 已 于 4 月 月 2 6 日 发 布 ， 请 受 影 响 主 机 及 时 修 复 漏 洞 。 日 发 布 ， 请 受 影 响 主 机 及 时 修 复 漏 洞 。 受 影 响 版 本 受 影 响 版 本 O r a c l e   W e b L o g i c   S e r v e r   1 0 . * O r a c l e   W e b L o g i c   S e r v e r   1 2 . 1 . 3 影 响 组 件 ： 影 响 组 件 ： b e a _ w l s 9 _ a s y n c _ r e s p o n s e . w a r w s a t . w a r 二 、 漏 洞 分 析 根 据 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 漏 洞 公 告 ， 此 漏 洞 存 在 于 异 步 通 讯 服 务 ， 可 通 过 访 问 路 径 / _ a s y n c / A s y n c R e s p o n s e S e r v i c e ， 判 断 不 安 全 组 件 是 否 开 启 。 w l s 9 _ a s y n c _ r e s p o n s e . w a r 包 中 的 类 由 于 使 用 注 解 方 法 调 用 了 W e b l o g i c 原 生 处 理 W e b 服 务 的 类 ， 因 此 会 受 该 漏 洞 影 响 ： 为 更 好 的 理 解 漏 洞 成 因 ， 通 过 I D E A 对 W e b L o g i c 服 务 器 远 程 动 态 调 试 （ 因 为 需 要 跟 进 原 生 类 中 的 方 法 ， 需 要 在 I D E A 中 指 定 W e b L o g i c 安 装 目 录 中 的 J D K 文 件 夹 ） ， 在 P r o c e s s B u i l d e r 类 中 打 下 断 点 ， 关 键 的 调 用 栈 过 程 如 下 所 示 ： 调 用 栈 非 常 深 ， 下 面 解 释 一 下 几 个 关 键 的 部 分 。 首 先 是 继 承 自 H t t p S e r v l e t 的 B a s e W S S e r v l e t 类 ， 其 中 的 s e r v i c e 方 法 主 要 用 于 处 理 H T T P 请 求 及 其 响 应 ， 通 过 H T T P 协 议 发 送 的 请 求 包 封 装 在 H t t p S e r v l e t R e q u e s t 类 的 实 例 化 对 象 v a r 1 中 ：
调 用 B a s e W S S e r v l e t 中 定 义 的 内 部 类 A u t h o r i z e d I n v o k e 的 r u n ( ) 方 法 完 成 传 入 H T T P 对 象 的 权 限 验 证 过 程 ： 若 校 验 成 功 ， 则 进 入 到 S o a p P r o c e s s o r 类 的 p r o c e s s 方 法 中 ， 通 过 调 用 H t t p S e r v l e t R e q u e s t 类 实 例 化 对 象 v a r 1 的 g e t M e t h o d ( ) 方 法 获 取 H T T P 请 求 类 型 ， 若 为 P O S T 方 法 ， 则 继 续 处 理 请 求 ： H T T P 请 求 发 送 至 S o a p P r o c e s s o r 类 的 h a n d l e P o s t 方 法 中 ： 为 方 便 后 续 分 析 工 作 进 行 ， 在 此 先 简 单 介 绍 一 下 S O A P 协 议 内 容 及 格 式 ： S O A P （ 中 文 称 之 为 简 单 对 象 访 问 协 议 ） ， 用 于 在 W E B 上 交 换 结 构 化 和 固 化 的 信 息 ， 是 W e b   S e r v i c e 三 要 素 之 一 ， 可 以 和 现 存 的 许 多 因 特 网 协 议 和 格 式 结 合 使 用 。 下 图 展 示 S O A P 消 息 封 装 的 标 准 格 式 ： B a s e W S S e r v l e t 类 实 例 化 对 象 v a r 1 封 装 了 基 于 H T T P 协 议 的 S O A P 消 息 ： 调 用 v a r 1 对 象 中 定 义 的 g e t P o r t ( ) 方 法 解 析 S O A P 消 息 中 的 根 元 素 E n v e l o p e （ 可 把   X M L   文 档 定 义 为   S O A P   消 息 ） ， 获 取 所 调 用 服 务 的 端 口 信 息 ： 通 过 v a r 4 对 象 的 g e t W s d l P o r t ( ) . g e t B i n d i n g ( ) . g e t B i n d i n g T y p e ( ) 方 法 获 取 当 前 S O A P 协 议 规 范 版 本 信 息 ： p r i v a t e   v o i d   h a n d l e P o s t ( B a s e W S S e r v l e t   v a r 1 ,   H t t p S e r v l e t R e q u e s t   v a r 2 ,   H t t p S e r v l e t R e s p o n s e   v a r 3 )   t h r o w s   I O E x c e p t i o n   {         a s s e r t   v a r 1 . g e t P o r t ( )   ! =   n u l l ;         W s P o r t   v a r 4   =   v a r 1 . g e t P o r t ( ) ;         S t r i n g   v a r 5   =   v a r 4 . g e t W s d l P o r t ( ) . g e t B i n d i n g ( ) . g e t B i n d i n g T y p e ( ) ;         H t t p S e r v e r T r a n s p o r t   v a r 6   =   n e w   H t t p S e r v e r T r a n s p o r t ( v a r 2 ,   v a r 3 ) ;         W s S k e l   v a r 7   =   ( W s S k e l ) v a r 4 . g e t E n d p o i n t ( ) ;         t r y   {                 C o n n e c t i o n   v a r 8   =   C o n n e c t i o n F a c t o r y . i n s t a n c e ( ) . c r e a t e S e r v e r C o n n e c t i o n ( v a r 6 ,   v a r 5 ) ;                 v a r 7 . i n v o k e ( v a r 8 ,   v a r 4 ) ;         }   c a t c h   ( C o n n e c t i o n E x c e p t i o n   v a r 9 )   {                 t h i s . s e n d E r r o r ( v a r 3 ,   v a r 9 ,   " F a i l e d   t o   c r e a t e   c o n n e c t i o n " ) ;         }   c a t c h   ( T h r o w a b l e   v a r 1 0 )   {                 t h i s . s e n d E r r o r ( v a r 3 ,   v a r 1 0 ,   " U n k n o w n   e r r o r " ) ;         } }
并 将 H t t p S e r v l e t R e q u e s t 类 的 v a r 2 对 象 及 H t t p S e r v l e t R e s p o n s e 类 的 对 象 v a r 3 传 入 到 H t t p S e r v e r T r a n s p o r t 类 构 造 函 数 中 初 始 化 实 例 对 象 v a r 6 统 一 处 理 后 续 H T T P 请 求 及 响 应 。 继 续 调 用 v a r 4 对 象 中 g e t E n d p o i n t ( ) 方 法 完 成 对 S O A P 消 息 中 根 元 素 E n v e l o p e 解 析 并 读 取 与 其 相 关 联 的 x m l n s : s o a p 命 名 空 间 ， 其 后 分 别 完 成 对 S O A P   H e a d e r 元 素 和 B o d y 元 素 解 析 工 作 : 跟 进 W s S k e l 类 中 定 义 的 i n v o k e ( ) 方 法 ， 其 中 完 成 了 S e r v e r D i s p a t c h e r 类 实 例 化 过 程 ， 并 调 用 s e t W s P o r t ( ) 方 法 指 定 服 务 请 求 地 址 ， 进 入 调 试 器 查 看 W s P o r t 对 象 v a r 2 的 属 性 值 ， 发 现 底 层 依 靠 H a s h M a p 数 据 结 构 保 存 请 求 服 务 的 A d d r e s s 和 U R I ， 其 中 当 前 请 求 h t t p : / / : 7 0 0 1 / _ a s y n c / A s y n c R e s p o n s e S e r v i c e 服 务 ： 在 调 试 器 中 查 看 S e r v e r D i s p a t c h e r 对 象 v a r 5 属 性 值 ， 发 现 m e t h o d N a m e 属 性 中 赋 值 了 o n A s y n c D e l i v e r y 方 法 名 ， 在 调 用 d i s p a t c h ( ) 方 法 时 将 调 用 上 述 服 务 中 定 义 的 该 方 法 ： W o r k A r e a S e r v e r H a n d l e r 类 中 的 h a n d l e R e q u e s t ( ) 方 法 用 于 处 理 访 问 请 求 ， 通 过 W l M e s s a g e C o n t e x t 对 象 v a r 2 获 取 传 入 的 M e s s a g e C o n t e x t ， 调 用 v a r 2 对 象 的 g e t H e a d e r s ( ) 方 法 获 取 传 入 S O A P 消 息 的 H e a d e r 元 素 ， 并 最 终 将 该 元 素 传 递 到 W o r k A r e a H e a d e r 对 象 v a r 4 中 ， 可 以 在 调 试 器 中 清 晰 看 到 元 素 内 容 的 赋 值 ： 新 建 W o r k C o n t e x t M a p I n t e r c e p t o r 对 象 v a r 5 ， 在 其 r e c e i v e R e q u e s t ( ) 方 法 中 读 入 经 W o r k C o n t e x t X m l I n p u t A d a p t e r 适 配 器 构 造 函 数 转 换 过 后 的 v a r 4 对 象 字 节 数 组 输 出 流 ， 经 内 部 g e t M a p ( )   - >   r e c e i v e R e q u e s t ( )   - >   r e a d E n t r y ( )   方 法 处 理 后 ， 将 上 述 C o n t e n t 字 段 传 入 至 W o r k C o n t e x t X m l I n p u t A d a p t e r 类 的 r e a d U T F ( ) 方 法 中 ： r e a d U T F ( ) 方 法 中 调 用 W o r k C o n t e x t X m l I n p u t A d a p t e r 类 私 有 成 员 变 量 x m l D e c o d e r 的 r e a d O b j e c t ( ) 方 法 读 取 字 节 数 组 ， 经 内 部 S A X P a r s e r 类 链 式 调 用 一 系 列 解 析 器 的 p a r s e ( ) 方 法 后 ， 最 终 在 c o m . s u n . b e a n s . O b j e c t H a n d l e r 类 定 义 的 e n d E l e m e n t ( ) 方 法 中 完 成 X M L 文 档 元 素 解 析 过 程 ， 获 取 了 有 效 类 名 o r a c l e . t o p l i n k . i n t e r n a l . s e s s i o n s . U n i t O f W o r k C h a n g e S e t ： 在 S e c u r i t y 机 制 完 成 对 类 名 权 限 校 验 后 ， 利 用 J a v a 反 射 机 制 ， 通 过 元 类 定 义 的 n e w I n s t a n c e ( ) 方 法 实 现 上 述 类 的 实 例 化 过 程 ：
同 样 通 过 反 射 包 中 的 C o n s t r u c t o r 类 调 用 构 造 器 方 法 传 入 字 节 数 组 ， 为 上 述 实 例 对 象 赋 初 值 ： U n i t O f W o r k C h a n g e S e t 对 象 完 成 初 始 化 过 程 后 ， 使 用 B y t e A r r a y I n p u t S t r e a m 对 象 接 收 经 构 造 函 数 传 入 的 字 节 数 组 ， 再 将 B y t e A r r a y I n p u t S t r e a m 对 象 b y t e I n 转 换 为 O b j e c t I n p u t S t r e a m 对 象 o b j e c t I n ， 并 直 接 调 用 了 o b j e c t I n 对 象 的 r e a d O b j e c t ( ) 方 法 。 由 于 W e b L o g i c 安 装 包 中 默 认 S D K 为 1 . 6 版 本 ， 在 J D K 版 本 < = J D K 7 u 2 1 前 提 下 存 在 J a v a 原 生 类 反 序 列 化 漏 洞 ， 使 用 y s o s e r i a l 工 具 生 成 恶 意 序 列 化 对 象 （ 以 计 算 器 程 序 为 例 ） ， 可 在 调 试 器 中 查 看 到 当 前 所 传 入 的 序 列 化 对 象 ： 经 r e a d O b j e c t ( ) 方 法 反 序 列 化 恶 意 对 象 后 通 过 在 P r o c e s s B u i l d e r 类 的 s t a r t ( ) 方 法 断 点 处 查 看 c o m m a n d 属 性 ， 发 现 成 功 传 入 “ c a l c ” 字 符 串 ： 到 此 就 完 成 了 漏 洞 利 用 的 全 过 程 ， 下 图 演 示 了 漏 洞 利 用 效 果 ， 通 过 反 序 列 化 漏 洞 成 功 运 行 了 计 算 器 程 序 ： 三 、 补 丁 绕 过 三 、 补 丁 绕 过 下 面 来 分 析 下 本 次 漏 洞 和 以 前 所 公 布 的 C V E - 2 0 1 7 - 3 5 0 6 和 C V E - 2 0 1 7 - 1 0 2 7 1 之 间 的 关 系 ， 依 旧 从 补 丁 d i f f 着 手 ， 上 述 两 个 补 丁 都 是 在 w e b l o g i c / w s e e / w o r k a r e a / W o r k C o n t e x t X m l I n p u t A d a p t e r . j a v a 中 添 加 了 v a l i d a t e 方 法 。 首 先 来 看 C V E - 2 0 1 7 - 3 5 0 6 补 丁 文 件 ， 其 实 现 方 法 简 单 来 说 就 是 在 调 用 s t a r t E l e m e n t 方 法 解 析 X M L 的 过 程 中 ， 如 果 解 析 到 E l e m e n t 字 段 值 为 O b j e c t 就 抛 出 异 常 ： 但 上 述 这 类 采 用 黑 名 单 的 防 护 措 施 很 快 就 被 如 下 P O C 轻 松 绕 过 ， 因 为 其 中 不 包 含 任 何 O b j e c t 元 素 ， 但 经 X M L D e c o d e r 解 析 后 依 旧 造 成 了 远 程 代 码 执 行 ： 针 对 如 上 所 示 一 系 列 b y p a s s   C V E - 2 0 1 7 - 3 5 0 6 补 丁 限 制 的 P O C 的 产 生 ， 官 方 在 同 年 十 月 份 发 布 了 C V E - 2 0 1 7 - 1 0 2 7 1 补 丁 文 件 。 和 上 述 不 同 点 在 于 本 次 更 新 中 官 方 将 o b j e c t 、 n e w 、 m e t h o d 关 键 字 继 续 加 入 到 黑 名 单 中 ， 一 旦 解 析 X M L 元 素 过 程 中 匹 配 到 上 述 任 意 一 个 关 键 字 就 立 即 抛 出 运 行 时 异 常 。 但 是 针 对 v o i d 和 a r r a y 这 两 个 元 素 是 有 选 择 性 的 抛 异 常 ， 其 中 当 解 析 到 v o i d 元 素 后 ， 还 会 进 一 步 解 析 该 元 素 中 的 属 性 名 ， 若 没 有 匹 配 上 i n d e x 关 键 字 才 会 抛 出 异 常 。 而 针 对 a r r a y 元 素 而 言 ， 在 解 析 到 该 元 素 属 性 名 匹 配 c l a s s 关 键 字 的 前 提 下 ， 还 会 解 析 该 属 性 值 ， 若 没 有 匹 配 上 b y t e 关 键 字 ， 才 会 抛 出 运 行 时 异 常 ： 本 次 反 序 列 化 漏 洞 绕 过 以 往 补 丁 的 关 键 点 在 于 利 用 了 C l a s s 元 素 指 定 任 意 类 名 ， 因 为 C V E - 2 0 1 7 - 1 0 2 7 1 补 丁 限 制 了 带 m e t h o d 属 性 的 v o i d 元 素 ， 所 以 不 能 调 用 指 定 的 方 法 ， 而 只 能 调 用 完 成 类 实 例 化 过 程 的 构 造 方 法 。 在 寻 找 利 用 链 的 过 程 中 发 现 U n i t O f W o r k C h a n g e S e t 类 构 造 方 法 中 直 接 调 用 了 J D K 原 生 类 中 的 r e a d O b j e c t ( ) 方 法 ， 并 且 其 构 造 方 法 的 接 收 参 数 恰 好 是 字 节 数 组 ， 这 就 满 足 了 上 一 个 补 丁 中 a r r a y 标 签 的 c l a s s 属 性 值 必 须 为 b y t e 的 要 求 ， 再 借 助 带 i n d e x 属 性 的 v o i d 元 素 ， 完 成 向 字 节 数 组 中 赋 值 恶 意 序 列 化 对 象 的 过 程 ， 最 终 利 用 J D K   7 u 2 1 反 序 列 化 漏 洞 造 成 了 远 程 代 码 执 行 。 通 过 巧 妙 的 利 用 了 v o i d 、 a r r a y 和 C l a s s 这 三 个 元 素 成 功 的 打 造 了 利 用 链 ， 再 次 完 美 的 绕 过 了 C V E - 2 0 1 7 - 1 0 2 7 1 补 丁 限 制 ， 本 次 漏 洞 的 发 现 进 一 步 证 明 了 依 靠 黑 名 单 机 制 是 一 种 不 可 靠 的 防 护 措 施 。 p r i v a t e   v o i d   v a l i d a t e ( I n p u t S t r e a m   i s )   {             W e b L o g i c S A X P a r s e r F a c t o r y f a c t o r y   =   n e w   W e b L o g i c S A X P a r s e r F a c t o r y ( ) ;             t r y   {                   S A X P a r s e r   p a r s e r   = f a c t o r y . n e w S A X P a r s e r ( ) ;                   p a r s e r . p a r s e ( < j a v a   v e r s i o n = " 1 . 4 . 0 "   c l a s s = " j a v a . b e a n s . X M L D e c o d e r " >         < n e w   c l a s s = " j a v a . l a n g . P r o c e s s B u i l d e r " >                 < s t r i n g > c a l c < / s t r i n g > < m e t h o d   n a m e = " s t a r t "   / >         < / n e w > < / j a v a > p u b l i c   v o i d   s t a r t E l e m e n t ( S t r i n g   u r i ,   S t r i n g   l o c a l N a m e ,   S t r i n g   q N a m e ,   A t t r i b u t e s a t t r i b u t e s )   t h r o w s   S A X E x c e p t i o n   {                         i f ( q N a m e . e q u a l s I g n o r e C a s e ( " o b j e c t " ) )   {                              
四 、 临 时 修 复 建 议 四 、 临 时 修 复 建 议 官 方 目 前 已 发 布 针 对 此 漏 洞 的 紧 急 修 复 补 丁 ， 可 以 采 取 以 下 4 种 方 式 进 行 防 护 。 及 时 打 上 官 方 及 时 打 上 官 方 C V E - 2 0 1 9 - 2 7 2 5 补 丁 包 补 丁 包 官 方 已 于 4 月 2 6 日 公 布 紧 急 补 丁 包 ， 下 载 地 址 如 下 ： h t t p s : / / w w w . o r a c l e . c o m / t e c h n e t w o r k / s e c u r i t y - a d v i s o r y / a l e r t - c v e - 2 0 1 9 - 2 7 2 5 - 5 4 6 6 2 9 5 . h t m l ? f r o m = t i m e l i n e 升 级 本 地 升 级 本 地 J D K 版 本 版 本 因 为 W e b l o g i c 所 采 用 的 是 其 安 装 文 件 中 默 认 1 . 6 版 本 的 J D K 文 件 ， 属 于 存 在 反 序 列 化 漏 洞 的 J D K 版 本 ， 因 此 升 级 到 J D K 7 u 2 1 以 上 版 本 可 以 避 免 由 于 J a v a 原 生 类 反 序 列 化 漏 洞 造 成 的 远 程 代 码 执 行 。 配 置 配 置 U R L 访 问 控 制 策 略 访 问 控 制 策 略 部 署 于 公 网 的 W e b L o g i c 服 务 器 ， 可 通 过 A C L 禁 止 对 / _ a s y n c / 及 / w l s - w s a t / 路 径 的 访 问 。 删 除 不 安 全 文 件 删 除 不 安 全 文 件 删 除 w l s 9 _ a s y n c _ r e s p o n s e . w a r 与 w l s - w s a t . w a r 文 件 及 相 关 文 件 夹 ， 并 重 启 W e b l o g i c 服 务 。 具 体 文 件 路 径 如 下 ： 1 0 . 3 . * 版 本 ： 1 2 . 1 . 3 版 本 ： 注 ： 注 ： w l s 9 _ a s y n c _ r e s p o n s e . w a r 及 w l s - w s a t . w a r 属 于 一 级 应 用 包 ， 对 其 进 行 移 除 或 更 名 操 作 可 能 造 成 未 知 的 后 果 ， O r a c l e 官 方 不 建 议 对 其 进 行 此 类 操 作 。 若 在 直 接 删 除 此 包 的 情 况 下 应 用 出 现 问 题 ， 将 无 法 得 到 O r a c l e 产 品 部 门 的 技 术 支 持 。 请 用 户 自 行 进 行 影 响 评 估 ， 并 对 此 文 件 进 行 备 份 后 ， 再 执 行 此 操 作 。 请 用 户 自 行 进 行 影 响 评 估 ， 并 对 此 文 件 进 行 备 份 后 ， 再 执 行 此 操 作 。 五 、 五 、 R e f e r e n c e h t t p : / / w w w . c n v d . o r g . c n / w e b i n f o / s h o w / 4 9 9 9 h t t p s : / / w w w . o r a c l e . c o m / t e c h n e t w o r k / s e c u r i t y - a d v i s o r y / a l e r t - c v e - 2 0 1 9 - 2 7 2 5 - 5 4 6 6 2 9 5 . h t m l ? f r o m = t i m e l i n e h t t p s : / / d e v c e n t r a l . f 5 . c o m / a r t i c l e s / o r a c l e - w e b l o g i c - d e s e r i a l i z a t i o n - r e m o t e - c o d e - e x e c u t i o n - 3 4 1 8 5 * 本 文 作 者 ： 云 影 实 验 室 ， 转 载 请 注 明 来 自 本 文 作 者 ： 云 影 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理