WebGoat JAVA反序列化漏洞分析复现

0x01 前言

靶场部署的话在Linux中。附地址了

GitHub - WebGoat/WebGoat: WebGoat is a deliberately insecure application

ysoserial准备一个即可。用来生成payload

后续需要自己写一个读取序列化的内容并进行base64加密。

0x02 实验部分

这里由于WebGoat用的jar包形式，所以需要用jd-gui反编译一下即可

经过反复寻找，最终定位到BOOT-INF.lib.insecure-deserialization-8.1.0.jar中org.owasp.webgoat.deserializtion.InsecureDeserializationTask方法。

该方法代码如下，首先第6行进行传参token，跟到第10行，在进行反序列化对象创建的时候，进行了base64解码并返回到ois变量。并在13行进行了读取序列化内容，之后在14行进行判断是否为vulnerableTaskHolder对象

@RestController@AssignmentHints({"insecure-deserialization.hints.1", "insecure-deserialization.hints.2", "insecure-deserialization.hints.3"})publicclassInsecureDeserializationTaskextendsAssignmentEndpoint{@PostMapping({"/InsecureDeserialization/task"})@ResponseBodypublic AttackResult completed(@RequestParam String token) throws IOException {    long before, after;    String b64token = token.replace('-', '+').replace('_', '/');try {      ObjectInputStream ois = new ObjectInputStream(new ByteArrayInputStream(Base64.getDecoder().decode(b64token)));try {        before = System.currentTimeMillis();        Object o = ois.readObject();if (!(o instanceof org.dummy.insecure.framework.VulnerableTaskHolder)) {if (o instanceof String) {            AttackResult attackResult1 = failed(this).feedback("insecure-deserialization.stringobject").build();            ois.close();return attackResult1;          }           AttackResult attackResult = failed(this).feedback("insecure-deserialization.wrongobject").build();          ois.close();return attackResult;        }         after = System.currentTimeMillis();        ois.close();      } catch (Throwable throwable) {try {          ois.close();        } catch (Throwable throwable1) {          throwable.addSuppressed(throwable1);        } throw throwable;      }     } catch (InvalidClassException e) {return failed(this).feedback("insecure-deserialization.invalidversion").build();    } catch (IllegalArgumentException e) {return failed(this).feedback("insecure-deserialization.expired").build();    } catch (Exception e) {return failed(this).feedback("insecure-deserialization.invalidversion").build();    }     int delay = (int)(after - before);if (delay > 7000)return failed(this).build(); if (delay < 3000)return failed(this).build(); return success(this).build();  }}

跟进org.dummy.insecure.framework.VulnerableTaskHolder对象之后

在59行处执行了exec。参数为this.taskAction，所以直接往上跟该变量初始化发现了使用有参构造进行了赋值(因没动态分析,没搞懂t变量怎么赋值)

0x03 利用

进行简单分析一波之后，使用ysoserial生成序列化的payload，这里的话不做过多讲解，具体使用应该大家都会

由于靶场在Linux中，所以命令改成了touch 1.txt

打开之后确实是已经序列化了

但根据上面的代码分析也得知需要在提交之后，会进行base64解码，所以需要提前加密，但是像这种序列化数据直接copy出来并加密的话。很有可能就跑偏了。因为其中本身就是一些字节形式。为此写了加密的小工具。直接在公众号回复"反序列化" 即可获取，内有python和java两个版本

之后使用工具测试一下。可以看到序列化的数据成功加密

看一下当前目录，确实还不存在1.txt

直接提交刚才工具加密的payload即可

漏洞利用成功

如何入门学习网络安全

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

视频配套资料&国内外网安书籍、文档&工具

当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。