JNDI注入

最新推荐文章于 2025-04-01 13:49:01 发布

凌松LSJ

最新推荐文章于 2025-04-01 13:49:01 发布

阅读量779

点赞数

分类专栏： Web安全文章标签： java 安全 jndi

本文链接：https://blog.youkuaiyun.com/xlsj228/article/details/114598759

版权

27 篇文章

订阅专栏

本文介绍了Java命名和目录接口(JNDI)的基本概念及其核心API，并探讨了RMI远程方法调用的工作原理。此外，还分析了JdbcRowSetImpl组件中的潜在安全漏洞及其实现细节。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1 介绍JNDI

JDNI是有sun提出的一个规范，Java抽象出来统一与命名服务或者目录服务交互的接口。用于访问DNS服务、LDAP服务、RMI等。

　这套API的主要作用在于：它可以把Java对象放在一个容器中（JNDI容器），并为容器中的java对象取一个名称，以后程序想获得Java对象，只需通过名称检索即可。其核心API为Context，它代表JNDI容器，其lookup方法为检索容器中对应名称的对象。

String jndiName= ...;
Context context = new InitialContext();
DataSource ds = (DataSourse)context.lookup(jndiName);

RMI(Remote Method Invocation)远程方法调用，远程服务器实现具体的Java方法并提供接口，客户端本地仅需根据接口类的定义，提供相应的参数即可调用远程方法。

攻击者本地启动RMI服务端

要被远程调用的代码

编译成class文件：javac Exploit.java

部署在web服务上：python3 -m http.server 8081

在com.sun.rowset.JdbcRowSetImpl.class中的connect()中也调用了looup()

1）looup()的参数是否可控

getDataSourceName()在类 BaseRowSet里

所以只要控制set方法就可以改变DataSourceName

2）JdbcRowSetImpl的connect如何被我们调用

3）最终测试案例如下

JdbcRowSetImpl利用链

RMI：

JDK 6u132, JDK 7u122, JDK 8u113

com.sun.jndi.rmi.object.trustURLCodebase、com.sun.jndi.cosnaming.object.trustURLCodebase 的默认值变为false，即默认不允许从远程的Codebase加载Reference工厂类。

JNDI：

JDK 6u211，7u201, 8u191, 11.0.1之后

com.sun.jndi.ldap.object.trustURLCodebase 属性的默认值被调整为false。