Spring框架的反序列化远程代码执行漏洞分析（转）
欢迎和大家交流技术相关问题：
邮箱: jiangxinnju@163.com
博客园地址: http://www.cnblogs.com/jiangxinnju
GitHub地址: https://github.com/jiangxincode
知乎地址: https://www.zhihu.com/people/jiangxinnju
漏洞介绍
国外的研究人员zero thoughts发现了一个Spring框架的反序列化远程代码执行漏洞。
spring-tx.jar包中的org.springframework.transaction.jta.JtaTransactionManager类存在JNDI反序列化问题。只要创建一个JtaTransactionManager 对象让userTransactionName指向我们注册的RMI链接（如rmi://x.x.x.x:1099/Object）然后将对象发送到有漏洞的服务器，即可执行远程命令。具体细节可以分析漏洞作者的POC代码。
漏洞发现者的博客
http://zerothoughts.tumblr.com/post/137769010389/fun-with-jndi-remote-code-injection
漏洞影响
受影响漏洞服务器主要需要满足如下条件：
- CLASSPATH 中包含了 spring-tx.jar，spring-commons.jar，javax.transaction-api.jar
- 存在反序列化接口如RMI, JMS, IIOP等
出现漏洞的关键jar包 spring-tx.jar，并不是spring最基本的包，默认并不使用，所以并不是所有使用了spring框架的应用都受影响，需要具体检查是否包含了spring-tx.jar包。
POC简要复现
环境描述：
Java环境——这里使用的是JDK1.7版本
Maven环境——见下面的maven包 apache-maven-3.3.9-bin.zip
Spring漏洞利用POC——spring-jndi-master.zip
环境搭建：
- Java环境安装，略
- Maven安装
直接解压apache-maven-3.3.9-bin.zip ，添加环境变量，然后用mvn –v测试是否安装成功
如我的maven路径：C:\java\apache-maven-3.3.9
添加环境变量：
Mvn –v测试
服务器搭建：
Poc里面有两个文件夹server和client
Server用于搭建包含spring的服务器环境，client用于构建反序列化对象并发送给server
服务器搭建命令如下
首先进入server目录
然后用mvn install安装spring环境
Mvn就是开始安装的maven，server目录下有pom.xml文件。 Mvn install会根据里面的内容来下载安装spring等组件。 最后会将jar包放到target中。
java -cp “target/*” ExploitableServer 9999命令在9999端口起到有漏洞的服务器程序。
ExploitableServer.java比较简单，创建socket等待连接，读取对象。
这样便开启了一个连接
客户端攻击对象构建：
命令与上面相似：
进入目录，安装spring组件，调用代码向服务器发送指令。
Mvn install，客户端也需要安装spring的组件，来使得客户端的java代码能够构造spring对象。
java -cp “target/” ExploitClient 127.0.0.1 9999 127.0.0.1
“target/ 指定spring路径
ExploitClient 为客户端的main程序
127.0.0.1 9999 127.0.0.1三个参数分别对应为
客户端包含三个文件
ExploitClient是主程序，包含序列化的过程，一些主要出现漏洞的类，以及数据的发送。
HttpFileHandler 主要是构建字节流
ExportObject 是功能代码，构建自己的java代码，服务器有权限就能执行。
执行结果：
自检与修复：
由于主要出现漏洞的地方在于Spring-tx.jar包的JtaTransactionManager类中。 可以检测项目中是否有使用spring-tx.jar包。如果有使用可以对JtaTransactionManager类进行重写。同时有防火墙的用户可以先对数据包中的JtaTransactionManager数据进行过滤，直到源码修复。
POC网络传输数据如下，可以先对使用了JtaTransactionManager的报文进行拦截。
