JNDI注入

1 介绍JNDI

JDNI是有sun提出的一个规范，Java抽象出来统一与命名服务或者目录服务交互的接口。用于访问DNS服务、LDAP服务、RMI等。

　这套API的主要作用在于：它可以把Java对象放在一个容器中（JNDI容器），并为容器中的java对象取一个名称，以后程序想获得Java对象，只需 通过名称检索即可。其核心API为Context，它代表JNDI容器，其lookup方法为检索容器中对应名称的对象。

String jndiName= ...;
Context context = new InitialContext();
DataSource ds = (DataSourse)context.lookup(jndiName);

2 RMI远程调用利用

RMI(Remote Method Invocation)远程方法调用，远程服务器实现具体的Java方法并提供接口，客户端本地仅需根据接口类的定义，提供相应的参数即可调用远程方法。

攻击者本地启动RMI服务端

要被远程调用的代码

编译成class文件：javac Exploit.java

部署在web服务上：python3 -m http.server 8081

3 JdbcRowSetImpl利用链

在com.sun.rowset.JdbcRowSetImpl.class中的connect()中也调用了looup()

1）looup()的参数是否可控

getDataSourceName()在类 BaseRowSet里

所以只要控制set方法就可以改变DataSourceName

2）JdbcRowSetImpl的connect如何被我们调用

3）最终测试案例如下

JdbcRowSetImpl利用链

4 限制

RMI：

JDK 6u132, JDK 7u122, JDK 8u113

com.sun.jndi.rmi.object.trustURLCodebase、com.sun.jndi.cosnaming.object.trustURLCodebase 的默认值变为false，即默认不允许从远程的Codebase加载Reference工厂类。

JNDI：

JDK 6u211，7u201, 8u191, 11.0.1之后

com.sun.jndi.ldap.object.trustURLCodebase 属性的默认值被调整为false。