1 介绍JNDI
JDNI是有sun提出的一个规范,Java抽象出来统一与命名服务或者目录服务交互的接口。用于访问DNS服务、LDAP服务、RMI等。
这套API的主要作用在于:它可以把Java对象放在一个容器中(JNDI容器),并为容器中的java对象取一个名称,以后程序想获得Java对象,只需 通过名称检索即可。其核心API为Context,它代表JNDI容器,其lookup方法为检索容器中对应名称的对象。
String jndiName= ...;
Context context = new InitialContext();
DataSource ds = (DataSourse)context.lookup(jndiName);
2 RMI远程调用利用
RMI(Remote Method Invocation)远程方法调用,远程服务器实现具体的Java方法并提供接口,客户端本地仅需根据接口类的定义,提供相应的参数即可调用远程方法。
攻击者本地启动RMI服务端
要被远程调用的代码
编译成class文件:javac Exploit.java
部署在web服务上:python3 -m http.server 8081
3 JdbcRowSetImpl利用链
在com.sun.rowset.JdbcRowSetImpl.class中的connect()中也调用了looup()
1)looup()的参数是否可控
getDataSourceName()在类 BaseRowSet里
所以只要控制set方法就可以改变DataSourceName
2)JdbcRowSetImpl的connect如何被我们调用
3)最终测试案例如下
JdbcRowSetImpl利用链
4 限制
RMI:
JDK 6u132, JDK 7u122, JDK 8u113
com.sun.jndi.rmi.object.trustURLCodebase、com.sun.jndi.cosnaming.object.trustURLCodebase 的默认值变为false,即默认不允许从远程的Codebase加载Reference工厂类。
JNDI:
JDK 6u211,7u201, 8u191, 11.0.1之后
com.sun.jndi.ldap.object.trustURLCodebase 属性的默认值被调整为false。