今天雨笋教育小编给大家介绍,XStream是一个简单易用的开源java类库,在解析XML文本时使用黑名单机制来防御反序列化漏洞,但之前的版本黑名单存在缺陷所以造成反序列化命令执行错误,下午具体来看一下复现过程吧。
0x00简介
XStream是一个轻量级、简单易用的开源Java类库,
它主要用于将对象序列化成XML(JSON)或反序列化为对象。
0x01漏洞概述
XStream 在解析XML文本时使用黑名单机制来防御反序列化漏洞,
但是其 1.4.15 及之前版本黑名单存在缺陷,
攻击者可利用javax.naming.ldap.Rdn$RdnEntry
及javax.sql.rowset.BaseRowSet构造JNDI注入,进而执行任意命令。
0x02影响范围
Xstream<=1.4.15
0x03环境搭建
文件:docker-compose.yml
version: '2'
services:
web:
image: vulhub/xstream:1.4.15
ports:
- "8080:8080"
命令:docker-compose up -d
环境启动后,
访问 http://your-ip:8080 ,
发送