搜索

[28990] 2021-06-05_CVE-2021-25641协议漏洞利用–ApacheDubbo

文档创建者：s7ckTeam
浏览次数：55
最后更新：2025-01-19
2021-06-05_CVE-2021-25641协议漏洞利用–ApacheDubbo C V E - 2 0 2 1 - 2 5 6 4 1 协 议 漏 洞 利 用   –   A p a c h e   D u b b o D o r   T u m a r k i n   O t s 安 全   2 0 2 1 - 0 6 - 0 5 ▼ 更 多 精 彩 推 荐 ， 请 关 注 我 们 ▼ 介 绍 当 我 之 前 撰 写 原 始 D u b b o   出 版 物 时 ， 我 们 披 露 了 该 问 题 ， 因 为 它 已 被 供 应 商 缓 解 。 虽 然 该 披 露 中 的   D u b b o “ H T T P ” 协 议 很 容 易 受 到 最 常 见 的 J a v a   反 序 列 化 攻 击 （ 正 如 在 邮 件 列 表 中 发 布 对 该 问 题 的 非 常 广 泛 的 描 述 后 立 即 出 现 的 针 对   D u b b o   的 攻 击 所 证 明 的 那 样 ） — — 所 谓 的 “ H T T P ” 是 一 个 可 选 协 议 ， 老 实 说 — — 没 有 明 显 的 理 由 选 择 它 而 不 是 默 认 的   D u b b o   协 议 。 这 使 得 它 不 太 可 能 出 现 配 置 错 误 ， 大 多 数 开 发 人 员 可 能 只 会 坚 持 默 认 的   D u b b o   协 议 ； 这 使 得 进 一 步 调 查   D u b b o   变 得 非 常 诱 人 。 “ D u b b o ” 协 议 是 一 种 专 有 的 二 进 制 协 议 ， 需 要 对 其 内 部 逻 辑 以 及 端 点 如 何 使 用 它 进 行 一 些 逆 向 工 程 。 它 实 际 上 包 装 了 序 列 化 对 象 的 二 进 制 文 件 ， 将 元 数 据 和 其 他 对 象 添 加 到 流 中 。 底 层 反 序 列 化 器 默 认 为   H e s s i a n 2 ， 配 置 为 排 除 许 多 经 常 用 于 利 用 此 类 攻 击 的 “ 已 知 危 险 ” 类 。 但 是 ， 有 一 些 方 法 可 以 操 纵 此 协 议 ， 例 如 选 择 解 串 器 ， 然 后 会 导 致   R C E 。 漏 洞 概 览 D u b b o   协 议 是 为   A p a c h e   D u b b o   开 发 的 专 有 协 议 ， 用 于 在   D u b b o   服 务 之 间 传 输 对 象 。 使 用 特 定 版 本   D u b b o   的   A p a c h e   D u b b o   提 供 者 和 消 费 者 ， 当 配 置 为 接 受 默 认 的 “ D u b b o ” 协 议 时 ， 允 许 远 程 攻 击 者 向 暴 露 的 服 务 发 送 包 含 恶 意 对 象 的 畸 形 流 ， 这 将 导 致 远 程 代 码 执 行 。 此   R C E   在 没 有 身 份 验 证 的 情 况 下 发 生 ， 攻 击 者 无 需 了 解 即 可 利 用 此 漏 洞   -   只 需 在 运 行   A p a c h e   D u b b o   的   P r o v i d e r   服 务 器 上 打 开 一 个 端 口 即 可 。 此 问 题 适 用 于 默 认 配 置 ， 使 用 内 置 的   D u b b o   协 议 。 严 重 性 C h e c k m a r x   认 为 该 漏 洞 的   C V S   S c o r e   为   1 0 . 0 （ 严 重 ） ， 因 为 它 是 一 个 未 经 身 份 验 证 的 远 程 代 码 执 行 漏 洞 ， 它 提 供   D u b b o   服 务 权 限 级 别 的 特 权 ， 可 以 完 全 破 坏 该 服 务 的 机 密 性 、 完 整 性 和 可 访 问 性 。 C V S S : 3 . 0 / A V : N / A C : L / P R : N / U I : N / S : C / C : H / I : H / A : H 这 是 怎 么 回 事 — — 了 解   D u b b o   协 议 提 供 者 上 的 服 务 器 端 “ D u b b o ” 协 议 用 于 向 外 部 消 费 者 公 开 服 务 和 该 服 务 中 的 方 法 。
“ D u b b o ” 协 议 在 同 一 个 端 口 上 有 两 种 通 用 模 式 ： 类 似   T e l n e t   的 模 式 ， 其 中   C L I   可 用 于 调 用 提 供 者 服 务 公 开 的 方 法 R M I   模 式 ， 将   T C P   数 据 包 视 为 字 节 流 ， 反 序 列 化 后 与   D u b b o   提 供 商 提 供 的 服 务 一 起 使 用 图   1   –   D u b b o   T e l n e t 虽 然 默 认 行 为 类 似 于   T e l n e t ， 但 调 用 远 程 协 议 的 方 式 是 提 供 以 以 下 方 式 构 建 的 标 头 ： 两 个 魔 法 字 节 — — 0 x d a b b 一 个 标 志 字 节 — — 这 个 标 志 决 定 ： 1 .   如 果 此 流 是 请 求 或 响 应 2 .   如 果 这 个 交 易 是 单 向 的 还 是 双 向 的 3 .   反 序 列 化 机 制 标 识 符 （ H e s s i a n 2 、 K r y o 、 J a v a   等 ） 填 充 空 字 节 ， 以 允 许 动 态 长 度 流 的 长 度 这 种 方 法 让 人 想 起 端 口 敲 门 ， 但 不 是 发 送 字 节 流 来 打 开 端 口 ， 而 是 使 用 两 个 前 导 字 节 在 协 议 之 间 切 换 （ T e l n e t - l i k e   模 式 和   R M I - l i k e   模 式 ） 。 前 导 标 头 之 后 是 包 含 以 下 数 据 的 流 序 列 ： D u b b o   协 议 版 本 服 务 名 称 （ “ 路 径 ” ） 服 务 版 本 方 法 名 称 方 法 参 数 类 型 方 法 参 数 请 求 附 件 ， 其 中 可 能 包 含 其 他 数 据 除 了   6   个 方 法 参 数 外 ， 以 上 所 有 数 据 都 作 为   U T F   字 符 串 读 取 ； 这 是 因 为 方 法 参 数 可 能 包 含 任 何 可 以 传 递 给   D u b b o   P r o v i d e r   的   J a v a   对 象 ， 而 其 他 数 据 以 字 符 串 形 式 提 供 ， 以 便 在 代 码 内 部 与 反 射 一 起 使 用 。 开 放 的   D u b b o   端 口 可 以 通 过 现 成 的 工 具 （ 例 如   N m a p ） 轻 松 地 进 行 指 纹 识 别 。 图   2   –   D u b b o   t e l n e t d   服 务 ， 它 在   N m a p   上 的 显 示
原 始   T C P   请 求 ， 包 括 前 导 码 和 元 数 据 ， 通 过 相 同 的   T C P   流 发 送 请 求 并 接 收 响 应 ， 如 D u b b o   的 快 速 入 门 的 快 速 入 门 s a y H e l l o   演 示 所 示 ： 图   3   –   默 认 序 列 化 形 式 的   D u b b o   协 议 请 求 图   4   –   D u b b o   D e m o   中 的   D u b b o   协 议 响 应 图   5   –   D u b b o   协 议 分 解 攻 击   D u b b o   协 议 最 广 为 人 知 的 用 于 利 用 反 序 列 化 攻 击 的 基 于   J a v a   的 小 工 具 链 依 赖 于 几 个 关 键 类 — — 这 些 类 似 乎 在 默 认 的   H e s s i a n 2   序 列 化 程 序 中 被 列 入 黑 名 单 。 达 博 协 议 依 赖 于 标 志 字 节 （ 3 次 流 的 字 节 ） ， 以 确 定 哪 些 串 行 解 串 器 对 使 用 处 理 该 流 时 。 虽 然 默 认 是   H e s s i a n   2 ， 但 攻 击 者 可 能 会 篡 改 此 标 志 以 选 择 不 同 的 反 序 列 化 器 ， 从 而 暴 露 多 个 额 外 的 序 列 化 选 项 。 这 些 额 外 的 解 串 器 不 提 供   H e s s i a n   2   所 提 供 的 相 同 保 护 。 攻 击 者 可 以 修 改 该 标 志 以 选 择 以 下 协 议 之 一 ： F S T 序 列 化 序 列 化 K r y o   序 列 化 序 列 化 这 两 个 协 议 都 是 二 进 制 序 列 化 协 议 ， 并 且 成 功 地 反 序 列 化 了   F a s t J S O N   g a d g e t - c h a i n 。
图   5   –   K r y o   序 列 化   F a s t J S O N   G a d g e t   B y t e S t r e a m   的 雄 伟 、 野 性 之 美 但 是 ， 为 了 反 序 列 化 小 工 具 链 ， 应 创 建 包 含 所 需 前 导 码 、 标 头 和 元 数 据 的 兼 容 流 。 由 于 该 漏 洞 实 际 上 并 不 需 要   D u b b o   成 功 调 度 请 求 （ 在 版 本   < =   2 . 7 . 5   中 ） ， 而 是 简 单 地 成 功 读 取 、 解 析 和 反 序 列 化 它 ， 因 此 流 本 身 可 以 包 含 随 机 或 任 意 字 符 串 。 这 些 字 符 串 仅 用 作 填 充 并 满 足 多 个 “ r e a d U T F ” 操 作 ， 直 到 在 流 上 调 用   r e a d O b j e c t ， 此 时   F S T   或   K r y o   是 所 选 的 解 串 器 并 触 发 漏 洞 利 用 。 重 现 问 题 攻 击 者 可 以 重 新 实 现   D u b b o   协 议 及 其 字 节 序 言 、 标 头 标 志 和 内 容 长 度 ， 以 及 虚 拟 字 符 串 和 恶 意 对 象 ， 以 满 足 端 点 对 它 的 读 取 实 现 。 在 v a n i l l a   A p a c h e   D u b b o   的 范 围 内 发 现 了 在 之 前 的 2 . 7 . 3   H T T P   协 议 漏 洞 利 用 中 使 用 的 相 同 小 工 具 链 ， 它 允 许 远 程 操 作 系 统 命 令 执 行 ， 只 要 d u b b o - c o m m o n   也 在 范 围 内 （ 稍 后 会 详 细 介 绍 ） 。 概 念 验 证 为 为   P o C   重 新 创 建 一 个 受 害 者 重 新 创 建 一 个 受 害 者   D u b b o   实 例 实 例 使 用 随 附 的 代 码 示 例 （ 附 录   2 ） 或 遵 循 本 指 南 ： 1 .   遵 循 官 方   A p a c h e   D u b b o   快 速 入 门 指 南 ， 直 到 成 功 创 建 功 能 提 供 程 序 和 注 册 表 （ 完 整 示 例 见 附 录   2 ） 2 .   确 保 确 保   d u b b o - c o m m o n   或 此 依 赖 项 或 此 依 赖 项 不 是 不 是 可 选 可 选 的 包 的 包 在 范 围 内 在 范 围 内   添 加 以 下 依 赖 ， 启 用 S p r i n g   F r a m e w o r k 、 D u b b o 和 D u b b o   C o m m o n （ 为 了 使 用 方 便 ， 以 M a v e n   p o m . x m l 形 式 呈 现 ） ： 触 发 漏 洞   P o C 有 关 功 能 性   P O C   代 码 ， 请 参 见 附 录   1 。 这 里 利 用 的   g a d g e t   链 是   D u b b o   2 . 7 . 3   生 态 系 统 原 生 的 ， 在 第   1   部 分 中 明 确 分 解 。 此   P O C   的 其 余 部 分
采 用 此 小 工 具 ， 并 重 新 实 现   D u b b o   协 议 ， 用 适 当 的 前 导 码 、 标 志 和 标 头 对 其 进 行 包 装 ， 以 利 用 接 收 端   D u b b o   端 点 上 的 易 受 攻 击 的 解 串 器 。 图   6   –   反 序 列 化 小 工 具 写 “ 哎 呀 ！ ”   到   J a v a   控 制 台 ， 并 启 动   C a l c . e x e 漏 洞 演 化 在 此 问 题 的 披 露 和   C V E   之 间 ， 此 问 题 已 在 多 个 版 本 中 演 变 。 对 于 版 本   2 . 7 . 5   和   2 . 7 . 6   -   易 受 攻 击 的 解 串 器 已 从 核 心 包 中 删 除 到 各 自 的 包 中 。 这 个 功 能 是 单 独 导 入 的 ， 以   d u b b o - s e r i a l i z a t i o n - k r y o / f s t   包 的 形 式 。 在   2 . 7 . 7   中 ， 根 据 文 档 ， 不 再 可 能 在   D u b b o   流 中 传 递 垃 圾 值 — — 没 有 正 确 的 方 法 和 服 务 名 称 ， 反 序 列 化 不 会 发 生 。 结 论 这 个 漏 洞 是 继 之 前 在   2 . 7 . 3   版 本 中 利 用   H T T P   协 议 的   P o C   之 后 ， 进 一 步 说 明 了 在 处 理 序 列 化 对 象 的 任 何 远 程 调 用 服 务 中 严 格 白 名 单 与 类 解 析 前 瞻 相 结 合 的 必 要 性 — — 不 仅 仅 是 针 对   D u b b o ， 而 不 是 针 对 仅 适 用 于   J a v a 。 虽 然 这 个 问 题 在   D u b b o   2 . 7 . 3   及 以 下 版 本 很 明 显 ， 但 由 于   g a d g e t   链 依 赖 于 之 前 研 究 中 发 现 和 披 露 的 过 时 的   F a s t J S O N ， 这 只 是 触 及 了 这 次 攻 击 的 表 面 — — 其 他   g a d g e t   链 可 能 仍 然 存 在 于   D u b b o   的 内 部 ， 并 且 大 多 数   D u b b o   实 例 将 依 赖 于 与 此 软 件 捆 绑 的 依 赖 项 之 外 的 其 他 依 赖 项 ， 从 而 允 许 更 多 样 化 的 依 赖 项 生 态 系 统 并 允 许 类 似 形 式 的 利 用 持 续 存 在 ， 直 到 在   D u b b o   内 部 使 用 强 大 的 白 名 单 解 决 方 案 。 目 前 ， 可 以 安 全 地 假 设   D u b b o   < =   2 . 7 . 3   的 许 多 （ 可 能 是 大 多 数 ） 实 例 通 过 反 序 列 化 不 受 信 任 的 数 据 容 易 受 到 远 程 代 码 执 行 的 影 响 ， 而   2 . 7 . 8 下 的 任 何   D u b b o   版 本 都 有 某 种 形 式 的 不 安 全 反 序 列 化 在   D u b b o   协 议 管 道 中 ， 2 . 7 . 9   增 加 了 一 个 配 置 标 志 ， 以 防 止 诸 如 此 类 的 “ 选 择 解 串 器 ” 攻 击 。 它 是 否 易 受 攻 击 取 决 于 小 工 具 的 可 用 性 — — 这 总 是 可 能 的 。 建 议 从 阿 里 巴 巴   D u b b o   升 级 到   A p a c h e   D u b b o ； 阿 里 巴 巴   D u b b o   似 乎 不 再 官 方 维 护 了 将   A p a c h e   D u b b o   更 新 到 最 新 版 本
确 保 永 远 不 要 导 入 不 必 要 的   D u b b o   包 ， 例 如 不 主 动 使 用   K r y o   的   d u b b o - s e r i a l i z a t i o n - k r y o ， 以 减 少 对   R M I   接 口 的 攻 击 面 披 露 时 间 表 2 / 5 / 2 0   –   D u b b o   R C E   反 序 列 化 漏 洞 披 露 2 / 1 9 / 2 0   –   给   A p a c h e   安 全 团 队 的 提 醒   # 1 2 0   年   4   月   6   日   –   给   A p a c h e   安 全 团 队 的 提 醒   # 2 7 / 2 7 / 2 0   –   给   A p a c h e   安 全 团 队 的 提 醒   # 3 1 / 2 2 / 2 1   –   首 次 确 认 问 题 2 / 2 6 / 2 1   –   修 复 发 布 6 / 4 / 2 1   –   公 开 披 露 A p a c h e   包 版 本 使 用 使 用   F a s t J S O N   G a d g e t   反 序 列 化 反 序 列 化   R C E ： ： 漏 洞 包 ： o r g . a p a c h e . d u b b o . d u b b o   < =   2 . 7 . 3 要 求 ： o r g . a p a c h e . d u b b o . d u b b o - c o m m o n   < =   2 . 7 . 9 o r g . s p r i n g f r a m e w o r k . s p r i n g - w e b   –   5 . 3 . 4 没 有 没 有   F a s t J S O N   G a d g e t   的 反 序 列 化 漏 洞 ， 需 要 额 外 的 反 序 列 化 的 反 序 列 化 漏 洞 ， 需 要 额 外 的 反 序 列 化   g a d g e t   范 围 ： 范 围 ： 易 受 攻 击 的 包 ： o r g . a p a c h e . d u b b o . d u b b o   < = 2 . 7 . 6   –   依 赖 于 实 现 要 求 ： o r g . a p a c h e . d u b b o . d u b b o - c o m m o n   < =   2 . 7 . 9 d u b b o - s e r i a l i z a t i o n - k r y o   A N D / O R   d u b b o - s e r i a l i z a t i o n - f s t   –   < = 2 . 7 . 9 阿 里 巴 巴 套 餐 版 本 尽 管 有 一 定 的 生 命 迹 象 ， 但 这 不 再 被 官 方 维 护 — — 所 有 阿 里 巴 巴   D u b b o   资 源 现 在 都 指 向   A p a c h e   D u b b o 。 使 用 使 用   F a s t J S O N   G a d g e t   反 序 列 化 反 序 列 化   R C E ： ： 漏 洞 包 ： c o m . a l i b a b a . d u b b o   < =   2 . 6 . 7 要 求 ： C o m . a l i b a b a . d u b b o - s e r i a l i z a t i o n - k r y o   或   C o m . a l i b a b a . d u b b o - s e r i a l i z a t i o n - f s t   < =   2 . 6 . 7
o r g . s p r i n g f r a m e w o r k . s p r i n g - w e b   –   5 . 3 . 4 没 有 没 有   F a s t J S O N   G a d g e t   的 反 序 列 化 漏 洞 ， 需 要 额 外 的 反 序 列 化 的 反 序 列 化 漏 洞 ， 需 要 额 外 的 反 序 列 化   g a d g e t   范 围 ： 范 围 ： 漏 洞 包 ： c o m . a l i b a b a . d u b b o   < =   2 . 6 . 9 要 求 ： C o m . a l i b a b a . d u b b o - s e r i a l i z a t i o n - k r y o   或   C o m . a l i b a b a . d u b b o - s e r i a l i z a t i o n - f s t   < =   2 . 6 . 9 o r g . s p r i n g f r a m e w o r k . s p r i n g - w e b   –   5 . 3 . 4 最 后 的 话 此 类 披 露 是   C h e c k m a r x   安 全 研 究 团 队 努 力 推 动 软 件 安 全 实 践 变 革 的 一 部 分 。 C h e c k m a r x   致 力 于 分 析 开 源 包 ， 以 帮 助 开 发 团 队 构 建 和 部 署 更 安 全 的 软 件 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理