VMware VRealize Network Insight 命令注入和目录穿越及补丁绕过
本文分为两部分，前半部分主要是对VMSA-2022-0031的分析，后半部分是我挖的补丁绕过，官方公告是VMSA-2023-0012。
Tag
#Java
63 篇文章Nacos Hessian 反序列化 RCE
漏洞概述 由于7848端口采用hessian协议传输数据，反序列化未设置白名单导致存在RCE漏洞。
VMware vROPS RCE of java bean
前言 这个漏洞是看了mrme的文章之后 顺手看了看vROPS，发现也存在这个漏洞，于是有此文，漏洞比较简单，下面简单写一下。这是一个授权后的RCE漏洞。
VMware vROPS 文件读取到反序列化RCE
配置调试 修改/opt/vmware/etc/vmware-vcops-firewall.conf配置文件，修改加上自己的端口然后vmware-vcops-firewall restart开防火墙。
Java静态分析框架Tai-e的简单使用
思考很久，发现还是自己底子不扎实，于是学了很长一段时间的静态软件分析，看了很多的论文（折磨）和视频，其中包括南京大学谭添、李樾两位老师的课，北大熊英飞老师的课等等，今天就简单写一下谭添、李樾两位老师开发的tai-e指针分析框架的简单使用。
CVE-2022-43781 Bitbucket Server & Data Center 环境变量注入导致RCE
补丁要求用户名不能有空白字符，典型。我们需要看这个空白字符在哪用到了，以及对我们漏洞利用起了什么作用。
ZK框架权限绕过导致R1Soft RCE并接管Agent
调试java需要编辑/usr/sbin/r1soft/conf/server.conf加一行。
fastjson 1.2.80 漏洞分析
回顾fastjson历史漏洞 fastjson1.2.47是通过MiscCodec向白名单缓存中put任意类。
Doop学习 part 1
基本使用 doop仓库是一个gradle项目，./doop其实就是一个bash去调用gradle命令。
ByteCodeDL 学习
ByteCodeDL也是一款java字节码静态分析工具，它借助了soot-fact-generator + Souffle 两个工具实现了一款声明式的静态分析工具。
CVE-2022-36923 ManageEngine OpManager getUserAPIKey Authentication Bypass
MickeyLiteUtil.getUserId()需要给一个正确的domainName才行，得看数据库AaaLogin表中有什么值。
网鼎杯2022 BadBean Hessian2反序列化
所以要找一个触发tostring的，给的版本是dubbo-2.7.14.jar，这个版本有一个任意tostring调用CVE-2021-43297 见。
Tomcat Upgrade Memshell
需要加一个Upgrade等于hello的头，并且Connection要为Upgrade。
CVE-2022-22955 VMware Workspace ONE Access OAuth2TokenResourceController Auth Bypass
generateActivationToken为oauth2客户端生成激活码。
CVE-2022-31656 VMware Workspace ONE Access UrlRewriteFilter 权限绕过
Petrus Viet在UrlRewriteFilter过滤器中找到了用RequestDispatcher绕过权限校验的点。
CVE-2022-35405 Zoho Password Manager Pro XML-RPC RCE
回顾 CVE-2020-9496 Apache Ofbiz XMLRPC RCE漏洞 漏洞由XmlRpcRequestParser解析xml时触发，由此我们用tabby来查询谁调用了XmlRpcRequestParser。
CVE-2022-2143 Advantech iView NetworkServlet 命令注入RCE
那么mysqldump可以拼接-w参数将内容写入文件，然后可以多次传递-r参数覆盖原有的-r文件路径值。
CVE-2022-28219 Zoho ManageEngine ADAudit Plus XXE到RCE
分析 这个洞用了两个点串起来成了一个rce，分别是xxe和一个readObject的点。
CVE-2022-21445 Oracle ADF Faces 反序列化RCE
安装fmw12.2.1.3.0infrastructure.jar 下一步下一步就行。
CVE-2022-22972 VMware Workspace ONE Access Authentication Bypass RCE
补丁对比 HW-156875-Appliance-21.08.0.1/frontend-0.1.war中增加了一个HostHeaderFilter，匹配全路由。
从滥用HTTP hop by hop请求头看CVE-2022-1388
前言 最近爆出来的bigip的CVE-2022-1388漏洞，涉及到一个知识点就是hop by hop，对这个东西没了解过，所以有了此文。
JBoss EAP/AS <= 6.* RCE及rpc回显
议题中讲到了jboss的4446端口反序列化rce，和一条jndi注入的gadget。
解决哥斯拉内存马pagecontext的问题
前言 注入内存马借助当前的webshell工具而言，冰蝎可以通过创建hashmap放入request、response、session替换pagecontext来解决。
CVE-2022-22954 VMware Workspace ONE Access Server-side Template Injection RCE
看路由是在catalog-portal app下，cd到/opt/vmware/horizon/workspace/webapps/catalog-portal，然后把jar包拖出来解压之后，grep -irn "console.log"。
Java反序列化注入冰蝎内存马相关踩坑笔记
朋友叫帮忙打一个内存马进去，用的是cb链，无cc依赖，我寻思这不是有手就行吗，谁知道接下来遇到了无数的坑。
CVE-2022-22947 SpringCloud GateWay SPEL RCE Echo Response
这个normalizeProperties()是对filter的属性进行解析，会将filter的配置属性传入normalize中,最后进入getValue执行SPEL表达式造成SPEL表达式注入。
CVE-2021-44521 Apache Cassandra 加载UDF RCE
先说原理，enableuserdefinedfunctionsthreads为false时会隐式禁用security-manager，导致可以通过udf执行java代码。
CVE-2022-22733 Apache ShardingSphere ElasticJob-UI RCE
handleLogin函数处理登录时会进行判断，如果authenticationResult.isSuccess()登录成功会返回getToken()。
MeterSphere PluginController Pre-Auth RCE
文件名形如/opt/metersphere/data/body/plugin/490fb08a-eae3-4414-a991-09f16f5b8f5etest.jar。
CVE-2021-21234 Spring Boot Actuator Logview Directory Traversal
在spring-boot-actuator-logview 0.2.13版本之前，对文件路径参数过滤不严导致可以目录穿越读取任意文件。
CommVault Command Center Pre-Auth Rce
CommVault这玩意是两种语言(.net和java)开发的，两掺挺有意思。
WebLogic CVE-2020-14756 T3/IIOP 反序列化RCE
10对应的是实现了ExternalizableLite接口的类。继续跟进readExternalizableLite()，其使用loadClass进行加载类，不受weblogic黑名单限制。
WebLogic CVE-2021-2109 JNDI RCE
分析 consolejndi.portal中存在JNDIBindingPageGeneral jndi绑定的东西。
Apache Flink CVE-2020-17518/17519 读写反序列化
RouterHandler类是路由核心类，用于处理路由的整体交互走向。QueryStringDecoder类是自实现的解码类，在qsd.path()中首次进行url解码。
Java Agent实现反序列化注入内存shell
本文将要讲解的是通过Java agent拦截修改关键类的字节码，最大程度实现一套代码通用注入内存shell。
Spring Cloud SnakeYAML 一键注册cmd shell和reGeorg
使用Spring Cloud SnakeYAML的反序列化漏洞一键注册cmd shell和reGeorg。
Weblogic CVE-2020-14645
UniversalExtractor任意调用get、is方法导致JNDI注入。
fastjson 1.2.68 bypass autotype
首先判断非空和安全模式以及typename长度来决定是否进行autotype。
Ysoserial JDK7u21
getTransletInstance()中将恶意字节码加载进来并且new实例，在实例化时rce。
CVE-2019-3799 Spring-Cloud-Config-Server 路径穿越/任意文件读取
参考 Spring-Cloud-Config-Server-任意文件读取分析。
Bypass JEP290
关于JEP290 JEP290是Java底层为了缓解反序列化攻击提出的一种解决方案，主要做了以下几件事。
Java 反序列化回显的多种姿势
写在文前 在研究weblogic、fastjson、shiro反序列化漏洞时，多次遇到了回显问题，本文将从以下几种角度出发来分别探讨反序列化回显的问题，也感谢各位师傅们的反序列化回显研究。
Java 表达式注入
禁用/启用EL表达式 全局禁用EL表达式，web.xml中进入如下配置：。
Shiro rememberMe 反序列化分析
分析 首先要知道shiro是一个用来做身份验证的框架，其原理是基于servlet的filter进行的。在web.xml中定义了ShiroFilter，作用范围是当前目录下所有的url。
Fastjson 反序列化RCE分析
fastjson是阿里巴巴的一个json库，频频爆RCE。本文分析fastjson至今的一些RCE漏洞。
Javassist 学习
前言 Java中所有的类都被编译为class文件来运行，在编译完class文件之后，类不能再被显示修改，而Javassist就是用来处理编译后的class文件，它可以用来修改方法或者新增方法，并且不需要深入了解字节码，还可以生成一个新的类对象。
Ysoserial Commonscollections 2
反序列化从PriorityQueue开始，进入PriorityQueue的readObject()。
Java XMLDecoder反序列化分析
简介 XMLDecoder是java自带的以SAX方式解析xml的类，其在反序列化经过特殊构造的数据时可执行任意命令。在Weblogic中由于多个包wls-wast、wls9asyncresponse war、async使用了该类进行反序列化操作，出现了了多个RCE漏洞。
攻击Java中的JNDI、RMI、LDAP(二)
攻击JNDI 作者水平有限，本文仅讲述以下几种攻击JNDI的方法。 JNDI 配合 RMI Remote Object(codebase) JNDI Reference 配合 RMI JNDI Reference 配合 LDAP。
Java 代理模式
简述代理模式 代理是英文(Proxy)翻译过来的，在我们的实际生活中，最常见的代理模式应该是朋友圈中的微商了。在起初的时候，厂商直接对标顾客，没有微商在中间赚差价，结构就是如图。
CVE-2020-10189 Zoho ManageEngine Desktop Central反序列化RCE
漏洞描述 在3月6日，@steventseeley 在twitter上发布了关于 Zoho 企业产品 Zoho ManageEngine Desktop Central 中的反序列化远程代码执行漏洞。
Weblogic CVE-2020-2555 反序列化RCE EXP构造
2020.03.06 早上4点，看到了清水川崎师傅推送了Weblogic CVE-2020-2555的通告，在推特上搜了一波，发现有详细的分析文章，遂有此文。
攻击Java中的JNDI、RMI、LDAP(一)
关于JNDI JNDI(Java Naming and Directory Interface)是Java提供的Java 命名和目录接口。通过调用JNDI的API应用程序可以定位资源和其他程序对象。
Weblogic CVE-2020-2551 IIOP协议反序列化RCE
在Weblogic中，默认启用了IIOP，而IIOP的传输也是通过序列化和反序列化的形式来进行的。在Weblogic中RMI-IIOP模型可以借用奇安信观星实验室的一张图来说明。
Weblogic JRMP反序列化及绕过分析
JRMP在前文中提到了在传输过程中也会自动序列化和反序列化，那么我们可以构造一个gadgets，通过T3协议让weblogic自动请求我们的JRMPListener，然后JRMPListener返回给他一个恶意的gadgets对象，weblogic自动反序列化恶意对象，达到rce。
Java RMI原理及反序列化学习
RMI简介 Java远程方法调用，即Java RMI（Java Remote Method Invocation）是Java编程语言里，一种用于实现远程过程调用的应用程序编程接口。它使客户机上运行的程序可以调用远程服务器上的对象。远程方法调用特性使Java编程人员能够在网络环境中分布操作。
Ysoserial URLDNS分析
可以看到是HashMap类的问题，而触发反序列化的⽅法是 readObject ，直奔 HashMap 类的 readObject ⽅法：。
Weblogic CVE-2016-3510 MarshalledObject反序列化绕过分析
成功执行命令，断点同样下在InvokerTransformer的transform()，堆栈如下。
Weblogic CVE-2016-0638 StreamMessageImpl反序列化绕过分析
后来集成为一个补丁 p219845891036Generic ，补丁下载需要Oracle的metalink账号也就是付费客户才可以下载，p219845891036Generic 补丁我在网上没找到，只能退而求其次用两个补丁的方式了。
Weblogic CVE-2015-4852 反序列化RCE分析
common-collections导致的反序列化RCE，闲着也是闲着，分析下。
Java下多种执行命令的姿势及问题
Java中执行命令有很多姿势，但是有时候带有|, 等符号的命令没办法正常执行。为什么呢？
ysoserial CommonsCollections 5 反序列化分析
在我的上篇关于 Java反序列化 的文章中，简单提到了反序列化的入口(readObject)和反射，本文我们根据上文的基础来学习 ysoserial CommonsCollections5 的反序列化流程。
Java Web之Servlet
两周的Java实训结束了，学了一个servlet做接口，给前端提供数据支持，记下笔记，免得以后忘了。